sou · H6B352 · 2018-06-28 00:00:00 — Av 2–3 §§ framgår att uppdraget inne- bär att myndigheten ska följa upp och analysera vårdens och om- sorgens funktionssätt, effektivitetsgranska statliga åtaganden och verksamheter, inom sitt verksamhetsområde bistå regeringen med underlag och rekommendationer för effektivisering av statlig verk- samhet och styrning, kontinuerligt utvärdera sådan information om vården och omsorgen som lämnas till den enskilde, i fråga om informationens innehåll, kvalitet, ändamålsenlighet och tillgänglig- het, på regeringens uppdrag bistå med utvärderingar och uppfölj- ningar av beslutade eller genomförda statliga reformer och andra statliga initiativ, samt inom sitt verksamhetsområde bedriva omvärlds- bevakning och genomföra internationella jämförelser. För de sär- skilda uppdrag som regeringen ger myndigheten anges det dessutom mer specifikt i regleringsbrev eller separata regeringsbeslut vad varje analys eller uppföljning ska omfatta.21 Myndigheten ska även, enligt 4 § i instruktionen, i en särskild analys- och granskningsplan ange vilken huvudsaklig inriktning verksamheten ska ha . I den planen specificeras, förutom regeringsuppdragen, även de pro- jekt som myndigheten avser att initiera på egen hand.22 I de verksamheter som myndigheten har i uppdrag att analysera behandlas ett stort antal personuppgifter, även känsliga sådana, vilket torde vara tydligt för de registrerade. Att myndigheten behöver behandla en betydande mängd personuppgifter för att fullgöra sitt uppdrag att på olika sätt analysera dessa verksamheter är därmed förutsägbart. Myndighetens uppdrag anges i förordning och preci- seras genom regeringsuppdrag och analysplaner. Utredningen är därför av uppfattningen att regleringen av myndighetens uppdrag är tillräckligt tydlig, precis och förutsägbar för att kunna utgöra en rättslig fastställelse av arbetsuppgiften av allmänt intresse. Grunden för behandlingen är således fastställd på det sätt som krävs enligt dataskyddsförordningen. 21Se t.ex. regeringens beslut dnr S2016/07779/RS. Myndigheten för vård- och omsorgsanalys analysplan s. 25–41. Behandling av personuppgifter med stöd av dataskyddsförordningen Syftet med behandlingen ska vara nödvändigt Vid behandling av personuppgifter med stöd av artikel 6.1 e i data- skyddsförordningen måste dessutom syftet med behandlingen enligt artikel 6.3 vara nödvändigt för att utföra arbetsuppgiften av allmänt intresse. Bestämmelsen uttrycker det samband som måste finnas mellan behandlingen och den fastställda arbetsuppgiften och riktar sig till den som bestämmer ändamålen för behandlingen, dvs. som regel den personuppgiftsansvarige. Det innebär alltså att den speci- fika behandlingen måste vara nödvändig för ett ändamål som i sin tur är nödvändigt för att myndigheten ska kunna utföra arbetsuppgiften av allmänt intresse. En bedömning av detta måste göras av myndig- heten i samband med varje behandling. Kravet på att syftet ska vara nödvändigt ska enligt förarbetena till dataskyddslagen inte tolkas som att arbetsuppgiften av allmänt in- tresse måste vara avgränsad så att den bara kan utföras på ett sätt.23 Den metod som den personuppgiftsansvarige väljer för att utföra sin arbetsuppgift måste dock – som all offentlig förvaltning – vara ända- målsenlig, effektiv och proportionerlig och får därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss arbetsuppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige att välja olika tillvägagångssätt. Detta medför i sin tur en större förutsebarhet i fråga om vilken behandling av personuppgifter som kan aktualiseras. Om ett upp- drag i stället har reglerats på en mer övergripande och resultat- inriktad nivå, kan det sannolikt utföras på många olika sätt, vilka i förhållande till varandra kan vara mer eller mindre nödvändiga i dataskyddsförordningens mening. Kravet på att ändamålet ska vara nödvändigt för att utföra en arbetsuppgift av allmänt intresse inne- bär alltså i sig en spärr mot helt onödig behandling av personupp- gifter eller sådan behandling som utgör ett oproportionerligt intrång i privatlivet som inte kunnat förutses. Proportionalitet och mål av allmänt intresse Unionsrätten eller den nationella rätt som utgör den rättsliga grun- den för behandlingen av personuppgifter enligt artikel 6.1 e i data- skyddsförordningen måste enligt artikel 6.3 andra stycket sista 2017/18:105 s. 60 f. Behandling av personuppgifter med stöd av dataskyddsförordningen meningen i dataskyddsförordningen också uppfylla ett mål av all- mänt intresse och vara proportionell mot det legitima mål som efter- strävas. Det finns därmed en gräns för vilka arbetsuppgifter som över huvud taget kan läggas till grund för behandling av personuppgifter. Bestämmelsen om att unionsrätten eller medlemsstaternas natio- nella rätt ska uppfylla ett mål av allmänt intresse och vara proportio- nell med det legitima mål som eftersträvas motsvarar, enligt för- arbetena till dataskyddslagen, det krav som ställer på lagstiftaren i en rättsstat.24 Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättig- heterna och de grundläggande friheterna har inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § regerings- formen att lagar och andra föreskrifter inte får meddelas i strid med åtaganden enligt . Det bör därför vara mycket ovanligt att svensk rätt inte uppfyller krav. Mot denna bakgrund bör, enligt propositionen, utgångs- punkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk rätt. Den personuppgiftsansvarige behöver därmed inte göra någon proportionalitetsbedömning avseende regleringen av den rättsliga grunden för behandlingen, utan kan utgå från att svensk rätt uppfyller detta krav. Däremot måste behandlingen vara nödvändig i förhållande till den rättsliga grunden och följa de grundläggande principerna i artikel 5. Dessutom ankommer det på varje svensk myndighet att i all verksamhet iaktta proportionalitetskravet.25 Utredningen har ovan konstaterat att den uppföljnings- och ana- lysverksamhet som Myndigheten för vård- och omsorgsanalys be- driver enligt instruktionen utgör en sådan arbetsuppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. Av samma skäl får regleringen av myndighetens arbetsuppgifter anses uppfylla ett mål av allmänt intresse. Myndighetens arbetsuppgifter, inklusive den behandling av per- sonuppgifter som uppdraget medför, synes väl avvägda i förhållande till syftet med myndighetens verksamhet. Dessutom måste myndig- heten i sin verksamhet beakta skyddet mot betydande intrång i den 2017/18:105 s. 50. 25Se 5 § förvaltningslagen (2017:900). Lagen träder i kraft . Behandling av personuppgifter med stöd av dataskyddsförordningen personliga integriteten enligt 2 kap. 6 § andra stycket regerings- formen. Utredningen är mot denna bakgrund av uppfattningen att regleringen av myndighetens arbetsuppgifter med råge når upp till dataskyddsförordningens proportionalitetskrav. Kraven enligt arti- kel 6.3 andra stycket sista meningen i dataskyddsförordningen är därmed uppfyllda. 7.1.4Inget behov av nationell reglering av rättslig grund för myndighetens behandling Utredningens bedömning: Myndigheten för vård- och omsorgs- analys har möjlighet att stödja behandling av personuppgifter som inte är känsliga direkt på bestämmelserna i dataskyddsförord- ningen. Det behövs därmed inte någon särskild nationell reglering av rättslig grund för behandlingen av personuppgifter vid Myn- digheten för vård- och omsorgsanalys. Myndigheten för vård- och omsorganalys har, som utredningen konstaterat i avsnitt 7.1.2 och 7.1.3, möjlighet att behandla person- uppgifter med stöd av de rättsliga grunderna samtycke och arbets- uppgift av allmänt intresse. Myndigheten synes alltså ha goda möjlig- heter att behandla sådana personuppgifter som inte är känsliga och som behövs i verksamheten enbart med stöd av regleringen i data- skyddsförordningen. Någon särskild författningsreglering i syfte att utgöra stöd för behandling av personuppgifter som inte är känsliga verkar därför inte behövas. För behandling av känsliga personupp- gifter ställer dock dataskyddsförordningen särskilda krav, se avsnitt 7.2 nedan. När myndigheten behandlar personuppgifter med stöd av någon av de ovan angivna grunderna måste givetvis dataskyddsförord- ningens reglering i övrigt tillämpas. Myndigheten måste alltså bl.a. se till att de grundläggande principerna i artikel 5 i dataskyddsför- ordningen iakttas, de säkerhetsåtgärder som dataskyddsförordningen kräver vidtas och den registrerades rättigheter tillgodoses. Även om myndigheten har stöd i dataskyddsförordningen för en behandling av personuppgifter, måste myndigheten, som när person- uppgiftslagen upphävts inte har stöd i svensk lag för behandling av personuppgifter, se till att behandlingen inte strider mot 2 kap. 6 § Behandling av personuppgifter med stöd av dataskyddsförordningen andra stycket regeringsformen om skydd mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär över- vakning eller kartläggning av den enskildes personliga förhållanden. 7.2Behandling av känsliga personuppgifter För att känsliga personuppgifter ska få behandlas är det inte tillräck- ligt att det finns en rättslig grund enligt artikel 6 i dataskyddsför- ordningen. Vid sådan behandling måste även artikel 9 i dataskydds- förordningen beaktas. Av artikel 9.1 i dataskyddsförordningen fram- går att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som särskilda kategorier av uppgifter. I 3 kap. dataskyddslagen finns kompletterande bestämmelser om behandling av känsliga personuppgifter. Enligt 3 kap. 1 § dataskydds- lagen avses med känsliga personuppgifter sådana uppgifter som avses i artikel 9.1 i dataskyddsförordningen. Enligt propositionen är motivet till att använda det tidigare begreppet känsliga personuppgifter i lagen att det begreppet är väl inarbetat, även på EU-nivå, och att det är språkligt enklare att använda och förstå, inte minst i författ- ningstext.26 Utredningen använder därför också begreppet känsliga personuppgifter för de kategorier av uppgifter som räknas upp i artikel 9.1 i dataskyddsförordningen. Förbudet mot att behandla känsliga personuppgifter komplet- teras av ett antal undantag i artikel 9.2 i dataskyddsförordningen, som anger när behandling av känsliga personuppgifter trots allt är tillåten eller kan tillåtas. Några av undantagen är direkt tillämpliga medan andra kräver viss reglering i den nationella lagstiftningen för att behandling av känsliga personuppgifter ska få ske. 2017/18:105 s. 75. Behandling av personuppgifter med stöd av dataskyddsförordningen Av artikel 9.2 a i dataskyddsförordningen följer att känsliga per- sonuppgifter får behandlas med stöd av ett uttryckligt samtycke från den registrerade. Om behandlingen sker på grundval av eller medlemsstaternas nationella rätt, kan känsliga personuppgifter också behandlas bl.a. av hänsyn till ett viktigt allmänt intresse (), i anslutning till hälso- och sjukvård, yrkesmedicin och social omsorg under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt (9.2 h och 9.3) och för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (9.2 j). Nedan berörs enbart de undantag som bedöms relevanta för Myndigheten för vård- och omsorgsanalys att tillämpa. 7.2.2Undantag för behandling med stöd av samtycke Utredningens bedömning: Myndigheten för vård- och omsorgs- analys har möjlighet att behandla känsliga personuppgifter med stöd av ett uttryckligt samtycke enligt artikel 9.2 a i dataskydds- förordningen. Känsliga personuppgifter får med stöd av artikel 9.2 a i dataskydds- förordningen behandlas om den registrerade uttryckligen har lämnat sitt samtycke till behandlingen av personuppgifterna för ett eller flera specifika ändamål. I propositionen till dataskyddslagen konstateras att bestämmel- sen motsvarar artikel 8.2 a i dataskyddsdirektivet.27 Vid införandet av personuppgiftslagen ansåg regeringen att det inte fanns något integritetsskyddsintresse som gjorde det befogat att förbjuda en behandling som den registrerade och den personuppgiftsansvarige var överens om.28 Det infördes därför varken någon sådan bestäm- melse i lag eller någon möjlighet för regeringen eller Datainspek- tionen att föreskriva om förbud mot behandling trots den regi- strerades samtycke. Regeringen anser att det inte heller nu med anledning av dataskyddsförordningen bör införas ett förbud mot behandling trots den registrerades samtycke.29 Den registrerades 2017/18:105 s. 76. 1997/98:44 s. 69. 2017/18:105 s. 76. Behandling av personuppgifter med stöd av dataskyddsförordningen uttryckliga samtycke medför alltså även fortsättningsvis att känsliga personuppgifter får behandlas. De krav på samtycke som redovisats i avsnitt 7.1.2 gäller även för samtycke enligt den nu aktuella artikeln. Av samma skäl som anges i det avsnittet förefaller det i många fall vara möjligt för Myndig- heten för vård- och omsorgsanalys att stödja behandling av känsliga personuppgifter på samtycke. Som anges i det ovan nämnda avsnittet finns det dock praktiska svårigheter med att använda samtycke som grund för all behandling av personuppgifter myndigheten behöver utföra. 7.2.3Undantag för viktiga allmänna intressen Utredningens bedömning: Myndigheten för vård- och omsorgs- analys kan inte stödja behandling av känsliga personuppgifter direkt på undantaget för ett viktigt allmänt intresse i artikel i dataskyddsförordningen. Inte heller de generella nationella undan- tagen kan tillämpas. Känsliga personuppgifter får enligt artikel i dataskyddsför- ordningen behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller med- lemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Vad som är ett allmänt intresse respektive ett viktigt allmänt intresse är inte definierat i dataskyddsdirektivet eller dataskydds- förordningen och begreppets innebörd har inte heller utvecklats närmare av . I förarbetena till dataskyddslagen kon- stateras att det är svårt att på ett generellt plan definiera vad som skiljer ett allmänt intresse från ett viktigt allmänt intresse.30 Enligt propositionen torde det dock stå klart att verksamhet som innefattar myndighetsutövning utgör ett viktigt allmänt intresse. När det gäller myndigheters behandling måste det också anses utgöra ett viktigt 2017/18:105 s. 83 f. Behandling av personuppgifter med stöd av dataskyddsförordningen allmänt intresse att svenska myndigheter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt. Utredningen har i avsnitt 7.1.3 konstaterat att den uppföljnings- och analysverksamhet som Myndigheten för vård- och omsorgs- analys bedriver utgör en sådan arbetsuppgift av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. Av samma skäl får myndighetens arbetsuppgifter anses utgöra ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen. Ytterligare en förutsättning för att undantaget i artikel ska vara tillämpligt är att behandlingen sker på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet. Enligt propositionen som föregick data- skyddslagen innebär detta att den rättsliga grunden för behandlingen typiskt sett kommer att vara någon av de som avses i artikel 6.1 c eller e, dvs. en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller myndighetsutövning som har stöd i rättsordningen.31 Att grun- den för behandlingen ska vara fastställd i enlighet med unionsrätten eller den nationella rätten innebär inte ett krav på att själva behand- lingen av personuppgifter måste regleras. Det är i stället den rättsliga förpliktelsen, arbetsuppgiften av allmänt intresse respektive myndig- hetsutövningen som ska ha stöd i rättsordningen. För att behandling av känsliga personuppgifter ska få ske ställs särskilda krav på det rättsliga stödet.32 Detta måste vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. I propositionen konsta- teras att dessa krav på det rättsliga stödet motsvarar kraven för att begränsa de rättigheter som skyddas av EU:s stadga om de grund- läggande rättigheterna. I artikel 52 i stadgan anges att varje begräns- ning i utövandet av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. 2017/18:105 s.48 f. och s. 84. 2017/18:105 s. 84. Behandling av personuppgifter med stöd av dataskyddsförordningen Vad som utgör det väsentliga innehållet i rätten till dataskydd definieras inte i dataskyddsförordningen. Det anförs i propositionen att det är svårt att föreställa sig en rättslig grund för behandling av personuppgifter som uppfyller kraven i artikel 6, men som ändå inte är förenlig med det väsentliga innehållet i rätten till dataskydd.33 Om grunden för behandlingen inte är förenlig med det väsentliga inne- hållet i rätten till dataskydd lär den inte utgöra en godtagbar rättslig grund för behandling av personuppgifter över huvud taget. Det kan därför ifrågasättas om tillägget i artikel utgör ett krav som går utöver de krav som gäller enligt artikel 6 och som måste vara upp- fyllda vid all behandling av personuppgifter i allmänt intresse. Däremot tillkommer, enligt propositionen, ett krav på att gällande rätt inne- håller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. Detta krav överensstämmer med det som har gällt även enligt dataskyddsdirek- tivet och innebär således ingen ny begränsning av möjligheten att behandla känsliga personuppgifter. Det innebär inte heller att undan- taget i sig måste genomföras i svensk rätt för att vara tillämpligt. Utredningen bedömer att det inte helt klart framgår av arti- kel i dataskyddsförordningen att ett undantag avseende be- handling av känsliga personuppgifter måste regleras i nationell rätt. Den nationella regleringen ska i vart fall omfatta bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Att tolka bestämmelsen som att det utöver reglering av skyddsåtgärder är tillräckligt att verksamheten i sig är reglerad skulle innebära en betydande utvidg- ning av möjligheten att behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse jämfört med vad som gällde enligt dataskyddsdirektivet. Där angavs nämligen i artikel 8.4 att medlems- staterna i sin nationella lagstiftning fick besluta om undantag från förbudet mot att behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse. Det var också enligt artikeln tillåtet med nationell lagstiftning som gav tillsynsmyndigheten möjlighet att besluta om undantag. Det är inte troligt att en utvidgning, som innebär att det inte längre ska krävas något nationellt författnings- stöd för själva behandlingen, har varit avsedd. Härtill kommer att det är svårt att förstå vad kravet på proportionalitet i artikel i data- skyddsförordningen skulle avse om det inte hänför sig till den 2017/18:105 s. 84. Behandling av personuppgifter med stöd av dataskyddsförordningen reglering som tillåter behandlingen av hänsyn till ett viktigt allmänt intresse. Även om det alltså inte är helt klart vad skrivningen om nationell rätt i artikel i dataskyddsförordningen innebär gör utredningen bedömningen att det är sannolikt att vid en pröv- ning, av de skäl som anges ovan, skulle komma fram till att stöd i nationell rätt för själva behandlingen krävs. Utredningen är därför av uppfattningen att behandling av känsliga personuppgifter vid Myndigheten för vård- och omsorgsanalys direkt med stöd av arti- kel i dataskyddsförordningen och den skyddsåtgärd som gäll- ande sekretessreglering kan sägas innebära inte bör komma i fråga. I dataskyddslagen finns det för myndigheter ett generellt undan- tag från förbudet mot att behandla känsliga personuppgifter. Enligt 3 kap. 3 § dataskyddslagen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i dataskyddsförordningen om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vid behandling som sker enbart med stöd av den bestämmelsen är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. I propositionen konstateras att för att myndigheter ska kunna bedriva sin verksamhet är det ofta nödvändigt att behandla känsliga personuppgifter, och i många fall sker behandlingen i den registrerades eget intresse.34 Det finns därför ett behov av en tydlig reglering som tillåter viss behandling av känsliga personuppgifter hos myndig- heterna. I många fall finns sådana bestämmelser i sektorsspecifika författningar om behandling av personuppgifter. Det finns också bestämmelser som tillåter behandling av känsliga personuppgifter på ett mer indirekt sätt, t.ex. i form av bestämmelser som anger att uppgifter eller handlingar ska överlämnas till andra myndigheter eller till enskilda som begär det. Det behov av att behandla känsliga personuppgifter som därutöver finns hos myndigheter var på per- sonuppgiftslagens tid tillgodosett genom att viss behandling var tillåten genom den s.k. missbruksregeln i 5 a § personuppgiftslagen och enligt 8 § personuppgiftsförordningen. 2017/18:105 s. 84 f. Behandling av personuppgifter med stöd av dataskyddsförordningen krav på skyddsåtgärder har i svensk rätt ofta ansetts tillgodosett genom att personuppgifterna omfattas av bestämmelser om sekre- tess. Det har också ansetts utgöra en skyddsåtgärd att bara tillåta behandling av känsliga personuppgifter som inte innefattar ett miss- bruk av personuppgifterna.35 Enligt 8 § personuppgiftsförordningen fick känsliga personupp- gifter behandlas av en myndighet i löpande text, om uppgifterna hade lämnats i ett ärende eller var nödvändiga för handläggningen av det. Här avsågs sådan behandling som var oundviklig i en myn- dighets verksamhet som en direkt följd av exempelvis offentlighets- och sekretesslagens (2009:400) och förvaltningslagens (1986:223) krav, såsom krav på diarieföring och skyldighet att ta emot e-post.36 Bestämmelsen möjliggjorde t.ex. att känsliga personuppgifter fick finnas i skälen till ett beslut, när det krävdes för att uppfylla kraven på att beslut ska innehålla de skäl som bestämt utgången.