sou · H8B314 · 2020-03-11 00:00:00 — I ytt- randet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personuppgifter. Detta gäller framför allt registeransvariga inom den offentliga sektorn, där be- 149SOU 2017:66 s. 229. 150Artikel 29-gruppen var en oberoende europeisk arbetsgrupp som behandlade frågor om integritetsskydd och skydd av personuppgifter fram till . Det formella namnet var Arbetsgruppen för skydd av enskilde med avseende på behandlingen av personuppgifter, inrättad genom och rådets direktiv /46/EG av . handlingen av personuppgifter normalt är knuten till fullgörandet av en rättslig förpliktelse eller utförandet av en arbetsuppgift av allmänt intresse. Att använda samtycke som rättslig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter med officiella maktbefogenheter, t.ex. rättsvårdande myndigheter som agerar i samband med polisiära och rättsliga aktiviteter. Vidare anges att ett samtycke som i en vård- situation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt.151 Yttrandet har setts över senast , jfr Riktlinjer om samtycke enligt förordning (EU) 2016/679. Artikel 29- gruppens yttranden är fortsatt relevanta i de fall där de är förenliga med den nya rättsliga ramen, eftersom dataskyddsförordningen an- ses som en kodifiering av artikel 29-gruppens riktlinjer och allmänna goda praxis.152 Datainspektionen skriver i linje med detta på sin hemsida att sam- tycke ofta är en olämplig rättslig grund för myndigheter, eftersom samtycket måste vara frivilligt och jämlikt. Vidare anges att endast en rättslig grund bör användas för en viss personuppgiftsbehandling. Därför ska man alltid först överväga om det går att stödja person- uppgiftsbehandlingen på någon annan grund än just samtycke.153 I det här sammanhanget kan det vara värt att notera att det före- kommer bestämmelser i registerförfattningar om att en behandling för vissa ändamål bara får utföras med den registrerades samtycke, trots att den behandling som författningen reglerar stödjer sig på en annan rättslig grund än samtycke, t.ex. en arbetsuppgift av allmänt intresse. Bestämmelser som innebär krav på samtycke för en viss åt- gärd, t.ex. direktåtkomst, när den behandling som författningen regle- rar stödjer sig på en annan rättslig grund kan enligt Socialdataskydds- utredningens bedömning i vissa fall anses utgöra en integritetshöjande åtgärd, dvs. Datainspektionen har tidigare uttalat att ett giltigt samtycke förut- sätter att en person har ett verkligt fritt val och senare kan ta tillbaka sitt samtycke utan att det medför några nackdelar för honom eller 151Se SOU 2017:66 s. 230. 152I det nya dokumentet ersätts därför inte tidigare yttranden utan de utvecklas. 153Jfr här Datainspektionens icke lagakraftvunna tillsynsbeslut i fråga om ansiktsigenkänning i skolan (beslut i dnr DI-2019-2221). 154Se SOU 2017:66 s. 232. henne.155 Hypotetiska eller tysta samtycken accepteras inte. Där- emot kan konkludent handlande grunda ett lagligt samtycke under förutsättning att den enskilde har fått tydlig information om person- uppgiftsbehandlingen. Konkludent handlande innebär i detta sam- manhang att den enskilde lämnar efterfrågade uppgifter efter att ha fått information om såväl den tilltänkta behandlingen som att det är frivilligt att lämna uppgifterna och att uppgiftslämnandet kommer att betraktas som ett samtycke. Konkludent handlande är dock i normal- fallet inte godtagbart som samtycke till behandling av känsliga person- uppgifter, t.ex. uppgifter om hälsa. Då ska samtycket vara uttryck- ligt, se artikel 9.2 a dataskyddsförordningen. I artikel 9.2 a finns som tidigare en möjlighet för medlemsstaterna att föreskriva att den registrerade inte kan samtycka till behandling av känsliga personuppgifter.156 Vid införandet av PUL ansåg regeringen att det inte var befogat att förbjuda en behandling som den registre- rade och den personuppgiftsansvarige var överens om.157 Det infördes därför varken någon sådan bestämmelse i lag eller någon möjlighet för regeringen eller Datainspektionen att föreskriva om förbud mot behandling trots samtycke. Även senare har bedömningen gjorts att det inte bör införas ett förbud mot behandling trots den registrera- des samtycke.158 Att behandling av känsliga personuppgifter får ske då den registrerade lämnat samtycke framgår av artikel 9.2 a och be- höver inte föreskrivas i nationell rätt, menade regeringen. Upplysningsvis kan nämnas att Europeiska dataskyddsstyrelsen tagit fram riktlinjer om kameraövervakning och ansiktsigenkänning, Guidelines 3/2019 on processing of personal data through video devices. Här framhålls vikten av att iaktta de generella principerna i artikel 5, liksom av att överväga om övervakningen verkligen är nödvändig. ”Video surveillance measures should only be chosen if the purpose of the processing could not reasonably be fulfilled by other means which are less intrusive to the fundamental rights and freedoms of the data subject” (punkt 24). I riktlinjerna framgår att i regel krävs 155Datainspektionens rapport 2005:3 s. 7, 22 och 24 samt beslut dnr 763-2005. 156Bestämmelsen motsvarar artikel 8.2 a i dataskyddsdirektivet. Exempel på svensk sådan lag- stiftning finns i lag (2003:460) om etikprövning av forskning som avser människor och lag (2006:351) om genetisk integritet m.m. (jfr HFD 2017 ref. 67). 1997/98:44 s. 69. 2017/18:105 s. 76. samtycke vid ansiktsigenkänning där enskilda kan identifieras.159 Vik- ten av att alltid göra konsekvensbedömningar enligt artikel 35 (DPIA) lyfts fram och här erinras också om riktlinjerna på det området, dvs. 7.12.2Informationssäkerhet och inbyggt skydd I artikel 32 föreskrivs att med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sam- manhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den per- sonuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tek- niska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt 1.pseudonymisering och kryptering av personuppgifter, 2.förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, 3.förmågan att återställa tillgängligheten och tillgången till person- uppgifter i rimlig tid vid en fysisk eller teknisk incident, 4.ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. I artikel 25 föreskrivs om inbyggt dataskydd och dataskydd som standard. Med beaktande av den senaste utvecklingen, genomförande- kostnader och behandlingens art, omfattning, sammanhang och ända- mål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgifts- ansvarige genomföra lämpliga tekniska och organisatoriska åtgärder vilka är utformade för ett effektivt genomförande av dataskydds- principer – såsom uppgiftsminimering – och för integrering av de 159Det förefaller därmed som att en myndighet i dessa fall måste ha stöd i två grunder sam- tidigt, både individens samtycke och en annan rättslig grund, t.ex. art. 6.1 e. Det kan i och för sig anses rimligt vid mer integritetskänslig behandling av personuppgifter, men framstår som inkonsekvent om man anser att samtycket inte lämnas frivilligt och därmed inte ska anses giltigt när individen är i underläge mot den andra parten, t.ex. hälso- och sjukvården. Eftersom det är omöjligt att erhålla ett giltigt samtycke i ojämlika situationer, blir slutsatsen i sådana fall att dessa tekniker inte kan användas inom hälso- och sjukvården eller den sociala omsorgen – inte ens om personen samtycker. Frågan är om det har varit avsikten. nödvändiga skyddsåtgärderna i behandlingen. Den personuppgifts- ansvarige ska vidare genomföra lämpliga tekniska och organisato- riska åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Det handlar både om mängden insamlade personuppgifter, behand- lingens omfattning, tiden för deras lagring och deras tillgänglighet. Åtgärderna ska framför allt säkerställa att personuppgifter inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer. Enligt artikel 35.3 b i dataskyddsförordningen måste en konsekvens- bedömning avseende dataskydd göras på förhand om behandlingen av personuppgifter innefattar behandling i stor omfattning av käns- liga personuppgifter. I punkt 1 anges att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgifts- ansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker.160 Bedömningen ska innehålla åtminstone –en systematisk beskrivning av den planerade behandlingen och behandlingens syften, inbegripet, när det är lämpligt, den person- uppgiftsansvariges berättigade intresse (punkt a), –en bedömning av behovet av och proportionaliteten hos behand- lingen i förhållande till syftena (punkt b), –en bedömning av de risker för de registrerades rättigheter och fri- heter som avses i punkt 1 (c), och –de åtgärder som planeras för att hantera riskerna, inbegripet skydds- åtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att denna förordning efter- levs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen (d). 160Se även skäl 84, 89, 90 och 92. Överträdelser av skyldigheterna enligt artikeln kan medföra administrativa sanktionsavgifter enligt artikel 83.4. Konsekvensbedömningen avseende dataskydd ska, enligt skäl 84, syfta till att framför allt bedöma riskens ursprung, art, särdrag och allvar samt, enligt skäl 90, riskens specifika sannolikhetsgrad och allvar. Risken ska bedömas utan hänsyn till de åtgärder som planeras för att minska risken. I skäl 75 berörs vilka riskerna för fysiska personers rättigheter och friheter kan vara. Det handlar om immateriella skador, i synner- het om behandlingen kan leda till diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, skadat anseende, förlust av konfiden- tialitet när det gäller personuppgifter som omfattas av tystnadsplikt, obehörigt hävande av pseudonymisering eller annan betydande eko- nomisk eller social nackdel, om registrerade kan berövas sina rättig- heter och friheter eller hindras att utöva kontroll över sina person- uppgifter, om personuppgifter behandlas som avslöjar bl.a. etniskt ursprung, politiska åsikter, religion, genetiska uppgifter, uppgifter om hälsa eller sexualliv, om behandlingen gäller sårbara personer, framför allt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade. Den tidigare nämnda Artikel 29-gruppen har gett ut riktlinjer även om konsekvensbedömning avseende dataskydd (WP 248).161 Datainspektionen har i enlighet med artikelns fjärde punkt beslutat om en kompletterande förteckning över det slags verksamheter som omfattas av kravet på en konsekvensbedömning avseende dataskydd.162 Den s.k. högriskförteckningen har offentliggjorts på Datainspektio- nens webbplats. I förteckningen anges såvitt nu är av intresse att en konsekvensbedömning avseende dataskydd ska göras om den plane- rade behandlingen uppfyller minst två kriterier: –systematisk övervakning av människor, till exempel genom kamera- övervakning av en allmän plats eller genom att samla in person- uppgifter från internetanvändning i offentliga miljöer, –behandling av känsliga personuppgifter eller uppgifter av mycket personlig karaktär, t.ex. ett sjukhus som lagrar patientjournaler, –behandling av personuppgifter i stor omfattning, 161Data Protection Impact Assessment (DPIA). 162Datainspektionens beslut , dnr DI-2018-13200, jfr Europeiska dataskyddsstyrelsens yttrande 20/2018. –behandling som kombinerar personuppgifter från två eller flera behandlingar på ett sätt som avviker från vad de registrerade rim- ligen kunnat förvänta sig, t.ex. när man samkör register, –behandling av personuppgifter om personer som befinner sig i ett underläge eller i beroendeställning och därför är sårbara, t.ex. barn, anställda, asylsökande, äldre och patienter –användning av ny teknik eller nya organisatoriska lösningar, t.ex. en sakernas internet-applikation (Internet of things, IoT). Datainspektionen har under särskilda rubriker även lämnat mer kon- kreta exempel på behandling av personuppgifter som kräver att en konsekvensbedömning avseende dataskydd görs på förhand. Här nämns bl.a. en kommun som behandlar personuppgifter i social om- sorg om det är ett större antal registrerade och vidare en myndighet som, enskilt eller tillsammans med andra personuppgiftsansvariga, genom digitala plattformar ger service till befolkningen, vilket leder till storskalig personuppgiftsbehandling. Under rubriken ”Teknik” nämns bl.a. följande: –Verksamheter inom social omsorg som använder välfärdsteknik, t.ex. robotar eller kamerabevakning, i människors boenden. –Verksamheter som gör stora ändringar i sin tekniska infrastruk- tur och som behandlar personuppgifter inom exempelvis hälso- och sjukvård eller social omsorg. Av det ovan anförda synes framgå att det är nödvändigt att göra en konsekvensbedömning före ett breddinförande av välfärdsteknik. I konsekvensbedömningen ska dokumenteras vad som ska göras för att garantera säkerheten i personuppgiftsbehandlingen. Om per- sonuppgiftsansvarige ändå anser att det finns hög risk med person- uppgiftsbehandlingen ska den personuppgiftsansvarige samråda med Datainspektionen innan behandlingen får påbörjas. Det kan handla om att riskerna inte kan begränsas tillräckligt genom åtgärder som är rimliga med tanke på tillgänglig teknik och kostnader. S.k. för- handssamråd regleras i artikel 36 i dataskyddsförordningen.163 163Datainspektionen skriver att man normalt lämnar skriftligt besked . Om Datainspektionen bedömer att personuppgiftsbehandlingen strider mot förordningen lämnas råd om hur man kan gå vidare. Det ska finnas ett formulär för ansökan om förhandssamråd på Datainspektionens webbplats. Av bestämmelsens tionde punkt framgår ett undantag från skyl- digheten att göra konsekvensbedömning och det är när konsekvens- bedömning gjorts vid lagstiftningsarbetet och den tilltänkta behand- lingen av personuppgifter grundas på artikel 6.1 c eller e (dvs. rättslig förpliktelse, allmänt intresse eller myndighetsutövning) med stöd i EU-rätt eller nationell rätt, som reglerar behandlingen. Vid lagreglering av myndigheters behandling av personuppgifter har konsekvensbedömningar avseende dataskydd regelmässigt gjorts vid det svenska lagstiftningsarbetet.164 Registerförfattningar som tillå- ter behandling av känsliga personuppgifter innehåller i regel olika ut- tryckliga bestämmelser om vad som bedömts vara lämpliga skydds- åtgärder. Det kan vara bestämmelser om sökbegränsningar, restrik- tioner för elektronisk åtkomst, behörighetstilldelning och loggkon- troll, restriktioner för vad som får vara mer allmänt tillgängligt i den aktuella organisationen osv. (SOU 2017:66 s. 242). Mot bakgrund härav förekommer uppfattningen att kommuner inte behöver göra någon konsekvensbedömning inför införandet av välfärdsteknik i exempelvis äldreomsorgen. Av det ovan anförda framgår dock att tillsynsmyndigheten inte instämmer i detta. I Datainspektionens till- synsbeslut i fråga om ansiktsigenkänning har det lagts kommunen till last att kommunen varken gjort en konsekvens- bedömning eller initierat ett förhandssamråd.165 Dataskyddsförordningen lämnar utrymme för medlemsländerna att stifta kompletterande lagar inom vissa av förordningens områden. Lag (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen) är en sådan lag. Som framgår av 1 kap. 2 § utsträcker dataskyddslagen tillämpningen av dataskyddsförord- ningen till områden där man inte hade behövt tillämpa den. Enligt 1 kap. 6 § gäller att om en annan lag eller en förordning innehåller någon bestämmelse som avviker från dataskyddslagen, tillämpas den bestämmelsen. Härmed avses bara att avvika från dataskyddslagen, däremot inte från dataskyddsförordningen. Det finns en mängd av- 164Öman, S. Dataskyddsförordningen m.m. Kommentaren till artikel 35.10, ver. 1 i Zeteo. vikande bestämmelser i sektorsspecifika författningar. Dataskydds- lagen innehåller bara kompletterande bestämmelser till dataskydds- förordningen som ansetts böra gälla för många.166 konstaterade att även om det inte behövs någon ytterligare nationell reglering på generell nivå för att sådan be- handling av personuppgifter som är nödvändig för att utföra upp- gifter av allmänt intresse ska kunna ske med stöd av den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen, kan det ändå finnas anledning att ta in en bestämmelse i dataskyddslagen som tydliggör att begreppet uppgift av allmänt intresse avser en uppgift av allmänt intresse som utförs med stöd av gällande rätt. En sådan upplysnings- bestämmelse ansågs bidra till förståelsen av dataskyddsregleringen och kunde mot bakgrund av skäl 8 i dataskyddsförordningen inte anses vara en otillåten implementeringsåtgärd.167 I 2 kap. 2 § dataskyddslagen anges att personuppgifter får be- handlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig –för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har med- delats med stöd av lag eller annan författning, eller –som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Under rubriken ”Hälso- och sjukvård och social omsorg” anges i 3 kap. 5 § att känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i EU:s dataskyddsförordning, om behandlingen är nöd- vändig för 1.förebyggande hälso- och sjukvård och yrkesmedicin, 2.bedömningen av en arbetstagares arbetskapacitet, 4.tillhandahållande av hälso- och sjukvård eller behandling, 5.social omsorg, eller 6.förvaltning av hälso- och sjukvårdstjänster, social omsorg samt deras system. 2017/18:105 s. 22. 167SOU 2017:39 s. 133. Bestämmelsen har sin grund i artikel 9.2 h i dataskyddsförordningen och är således av upplysningskaraktär (prop. 2017/18:105 s. 196). Att behandlingen ska vara nödvändig innebär inte ett krav på att behand- lingsåtgärden ska vara oundgänglig (a. prop. s. 196). Behandling enligt bestämmelsens första stycke får ske under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt. Behandling av känsliga personuppgifter inom hälso- och sjukvården och är dock i de flesta fall särskilt reglerad, bl.a. i patient- datalagen (2008:355) och lagen (2001:454) om behandling av person- uppgifter inom . Det har förts fram att 3 kap. 5 § dataskyddslagen, genom att en bestämmelse om att känsliga personuppgifter får behandlas har tagits in i lag, medför att myndigheter får utföra en behandling av person- uppgifter trots 2 kap. 6 § andra stycket RF, dvs. även om behandlingen leder till betydande intrång i den personliga integriteten genom över- vakning eller kartläggning (se 2 kap. 20 § RF).168 7.12.5Lagen om behandling av personuppgifter inom I 11 kap. 5 § SoL anges att handläggning av ärenden som rör enskilda samt genomförande av beslut om stödinsatser, vård och behandling ska dokumenteras. Dokumentationen ska utvisa beslut och åtgärder som vidtas i ärendet samt faktiska omständigheter och händelser av betydelse. Handlingar som rör enskildas personliga förhållanden ska förvaras så att obehöriga inte får tillgång till dem. Dokumentationen ska utformas med respekt för den enskildes integritet (11 kap. 6 §). SoL kompletteras av en registerförfattning, lagen (2001:454) om behandling av personuppgifter inom , SoLPUL, som gäller vid sidan av dataskyddsförordningen, se 4 §. Lagen gäller för sådan behandling av personuppgifter som är helt eller delvis automa- tiserad och även för annan behandling, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier, se 1 §. I 2 § finns en bestämning av begreppet socialtjänst, genom en ut- tömmande uppräkning. Bestämmelsen omfattar även sådan verksam- 168Öman, S. (2019). Dataskyddsförordningen (GDPR) m.m., kommentaren till 3 kap. 5 § data- skyddslagen, version i Zeteo . het som bedrivs av enskilda. Med verksamhet förstås inte enbart den verksamhet som utgör handläggning av ett ärende utan även rent faktisk verksamhet, som t.ex. handlingar och uppgifter i övrigt som gäller uppsökande verksamhet, social hemhjälp, vård och behandling vid behandlingshem, och annan social service som lämnas av socialnämnden. Definitionen har utformats med utgångspunkt i 1 § offentlighets- och sekretesslagen, som behandlar sekre- tessen inom socialtjänsten.169 Av 6 § SoLPUL framgår att personuppgifter får behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom social- tjänsten ska kunna utföras. Personuppgifter får även behandlas för uppgiftsutlämnande som föreskrivs i lag eller förordning. Det ovan- ligt vidsträckta ändamålet i lagen preciseras i en förordning.170 En registrerad person har enligt 6 § SoLPUL inte rätt att motsätta sig sådan behandling av uppgifter som är tillåten enligt lagen. Av 7 § SoLPUL framgår att får behandla person- uppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter). Sådana personuppgifter får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksam- heten (se 7 § andra stycket). Vidare framgår – som en upplysning – att känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i EU:s dataskyddsförordning under förutsättning att kravet på tystnads- plikt i artikel 9.3 i förordningen är uppfyllt. Någon uttömmande reglering av för vilka ändamål som person- uppgifter får behandlas inom ges inte i SoLPUL, vilket var ett medvetet ställningstagande från lagstiftarens sida (se avsnitt 13.4 i prop. 2000/01:80). I stället gavs regeringen eller den myndighet som regeringen bestämmer rätt att meddela föreskrifter om begränsningar av den i 6 § tillåtna behandlingen av personuppgifter (11 § SolPUL). Förordningen (2001:637) om behandling av personuppgifter inom , SoLPUL-förordningen, preciserar det vidsträckta ända- målet i 6 § SoLPUL. I 12 § punkt 1 anges att en myndig- het får behandla personuppgifter för handläggning av ärenden om bistånd och annat stöd samt genomförande av beslut om bistånd, stödinsatser, vård och behandling samt annan social service som följer av bestämmelserna i socialtjänstlagen och 2 kap. 7 § lagen (2009:47) om vissa kommunala befogenheter. I 17–21 §§ i SoLPUL-förord- Kommentaren till 2 § SoLPUL, version i Zeteo . 170Jfr SOU 2017:66 s. 396 f. ningen regleras vad som gäller för privata verksamheter. I 18 § anges att i privat verksamhet får personuppgifter behandlas för dokumen- tation av sådan vård, behandling eller omsorg av enskilda som ges inom verksamheten. Personuppgifter får även behandlas för admini- strationen av verksamheten.