sou · H8B347 · 2020-08-26 00:00:00 — –Förordningen om behandling av personuppgifter om insatser för stöd och service till funktionshindrade –Förordningen om behandling av personuppgifter om insatser för äldre och personer med funktionsnedsättning m.fl. –Förordningen om behandling av personuppgifter om insatser för brottsoffer. stannade vid att föreslå att ge Socialsty- relsen ett bemyndigande att, i samråd med Kommuner och Landsting (numera Kommuner och Regioner, SKR), närmare förordna om vilka personuppgifter som får behandlas i stället för en detaljreglering i varje förordning. Att detaljreglera en sådan fråga på lag- eller förordningsnivå ansåg otymp- ligt och omodernt. Definitionen av socialtjänst i 7 kap. 4 § sekretesslagen (1980:10) (numera 26 kap. 1 § offentlighets- och sekretesslagen) ansåg Social- tjänstdatautredningen behövde kompletteras så att den även skulle omfatta uppföljning, utvärdering och kvalitetssäkring av allmän eller enskild socialtjänst. föreslog ett par ytter- ligare ändringar i sekretesslagstiftningen. förslag realiserades aldrig. De för- fattningar som utredningen hade att granska gäller alltjämt med samma innehåll och begränsningar. Det har gått en sådan sedan presenterade sina förslag att det varit svårt att få klarhet i den bak- omliggande orsaken till att en ny ”socialtjänstdatalag” och en ny lag för regleringen av den nationella statistiken för aldrig ledde till ett förslag som presenterades . Den sannolika an- ledningen är emellertid den kritik som både Datainspektionen och riktade mot förslagen och som redovisas i efterföl- jande avsnitt. Kritiken är hänförlig till bristande analyser av både behov och konsekvenser för enskildas personliga integritet. Det skulle dröja till 2011 innan en ny utredning, Utredningen om rätt information i vård och omsorg tog sig an frågan om en ny refor- merad lagstiftning för behandling av personuppgif- ter.23 Den utredningen hade emellertid inte ett uppdrag att lägga fram förslag om en utökad nationell statistik för (se av- snitt 15.9). Vid remissbehandlingen av betänkande anförde Datainspektionen i sitt remissyttrande att den välkomnade en tydligare reglering av behandling av personupp- gifter, men avstyrkte förslagen i de delar som avsåg –en utökning av möjligheterna och skyldigheterna för socialtjäns- ten att lämna personuppgifter till , och –en utökning av möjligheterna för , hälso- och sjuk- vården och att utbyta personuppgifter vid verk- samhetsuppföljning. Datainspektionen höll med om att det låg i allas intresse att social- tjänsten blir mer effektiv, att kvaliteten på insatser inom social- tjänsten säkerställs och att detta även ska gälla vid samverkan mellan och hälso- och sjukvården. De förändringar som föreslog inne- bar emellertid enligt Datainspektionen att utlämnandet av person- uppgifter från och hälso- och sjukvården skulle öka i betydande omfattning. Därvid syftade de största nyheterna i förslagen inte till att förbättra insatserna för den enskilde direkt utan, menade Datainspektionen, endast indirekt genom att verksamheterna för- utsätts kunna förbättras genom ett omfattande utbyte av uppgifter om klienter och patienter i verksamheterna. Datainspektionen ifrågasatte därför om förslagen kan rättfärdiga en så omfattande kartläggning, i samling, spridning och hantering av uppgifter på individnivå om en så stor andel av landets befolkning som haft att föreslå en reglering kring. Datainspektionens främsta kritik avsåg bristen på en redovisning av vilka proportionalitetsbedömningar som låg till grund för ett sådant omfattande informationsutbyte av integritetskänsliga uppgifter om vård- och omsorgstagare. Datainspektionen ansåg att förslagen måste anses som ett ”paradigmskifte” i den meningen att Socialtjänstdata- utredningen utan närmare överväganden i fråga om proportionalitet, ”lämnar den försiktighet och det integritetsskyddsperspektiv som präglat lagstiftningen inom och sjukvården”. Som exempel på bristen på proportionalitetsbedömning i förslagen lyfte Datainspektionen fram de föreslagna ändringarna i socialtjänst- lagen. Socialnämnderna ska enligt nuvarande reglering i socialtjänst- lagen lämna ut personuppgifter till för ”angelägna statis- tiska ändamål” (12 kap. 5 §). I föreslagna lydelse skulle socialnämnderna till i stället lämna ut sådana personuppgifter ”som styrelsen behöver i sin verksamhet”. Datainspektionen ansåg att med hänsyn till det föreliggande under- laget från utredningen, den inte kunde ställa sig bakom de delar av förslaget som innebar en utökning av skyldigheterna och möjlighe- terna att lämna och utbyta personuppgifter. Av intresse i sammanhanget är även remissyttrande över förslag.24 yttrande är tämligen omfattande, men av sådant intresse i sammanhanget att stora delar redovisas. Redovisningen är dock avgränsad till de syn- punkter som framför om förslagen till verksamhets- uppföljning av och statistik om . underströk i sitt yttrande betydelsen av att myn- digheten får ett nytt författningsstöd för att behandla personupp- gifter och att det är en nödvändig förutsättning för att myndigheten på olika sätt ska kunna följa socialtjänstfrågornas utveckling och arbete på nationell nivå. Vidare uppgav Socialstyrel- sen att det är bra att stöd för att behandla personupp- gifter ses över och att det utvidgas. välkomnade också ambitionen att i lagstiftningen öppna upp för möjligheten att kunna göra gemensamma verksam- hetsuppföljningar mellan och hälso- och sjukvården. riktade dock även kritik mot utredningen och an- förde bl.a. att motiveringarna till förslagen var alltför kortfattade och svepande, varför det ofta inte är möjligt annat än att förmoda hur dessa är tänkta att fungera. Det saknades också enligt genomgående en analys av hur förslagen förhåller sig till Europaparla- mentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirek- tivet) och EU-förordningen om gemenskapsstatistik. tillstyrkte emellertid förslaget till en ny lag som specifikt reglerar behandling av personuppgifter inom , men ansåg att lagen måste utformas annorlunda för att ska kunna fullgöra myndighetens uppgifter och möta de utvecklingskrav som finns från såväl regeringen som kom- muner och regioners och allmänhetens sida. hade valt att dela upp regleringen av personuppgiftsbehandlingen för statistikändamål på två olika regel- verk. Den ena regleringen avsåg officiell statistik och den andra s.k. annan statistik. motsatte sig denna uppdelning och ansåg att all statistik behöver regleras tillsammans, antingen inom Yttrande över SOU 2009:32, , dnr 60-4823/2009. ramen för en särskild lag eller inom lagen och förordningen om den officiella statistiken. menade att ett lämpligt alterna- tiv skulle vara att utforma lagen på samma sätt som lagen (1998:543) om hälsodataregister. Att uppgifter från kommunerna ska kunna behandlas för både ändamålen statistik och verksamhetsuppföljning ansåg Socialsty- relsen ologiskt och ställde sig frågande till varför samma uppgifter ska samlas in för olika ändamål. Lagen om den officiella statistiken avser såväl officiell statistik som ”annan statistik”. Gränsdragningen är enligt problematisk, men framhöll att det inte är ändamålet för behandlingen av personuppgifter som är avgörande för huruvida det rör sig om officiell statistik eller inte. Avgörande är enligt vilka procedurer och kvalitetssäkringsmoment som tillämpas på data. erinrade att inom ramen för regeringens direktiv om vilka ämnesområden det ska produceras officiell statistik har inom sitt ansvarsområde ett stort mått av frihet att avgöra vad som ska utgöra officiell statistik och inte. bedriver statistikverksamhet vid en särskild avdel- ning. Statistiken omfattas av den s.k. statistiksekretessen (24 kap. 8§ OSL). En statistikansvarig myndighets verksamhet för framställ- ning av statistik ska, enligt 10 § förordning (2001:100) om den offi- ciella statistiken, vara organiserad så att den är avgränsad från myn- dighetens verksamhet i övrigt. Utredningens förslag innebar enligt att myndig- heten skulle behöva två avdelningar, varav den ena enligt den föreslagna ordningen skulle behöva ett särskilt sekretesskydd för verksamhetsupp- följning och en särskild personuppgiftsbehandlingsreglering. Socialsty- relsen erinrade att statistiksekretessen som gäller i statistikverksam- heten dit uppgifterna först ska tas emot inte tillåter utlämnanden för uppföljnings-, utvärderings- och kvalitetssäkringsändamål. Vidare ifrågasatte ur integritetssynpunkt och med tanke på uppgiftslämnarbördan för kommunerna om det är lämpligt att data samlas in eller hanteras i flera versioner. hade synpunkter även på utredningens förslag till uppgiftsskyldigheter för kommunerna, bl.a. ändringarna i 12 kap. 5§ SoL respektive 15 a § LSS. anförde att de delar av verksamhet som inte omfattas av dokumentations- plikt, och där inte får dokumentera några personupp- gifter, får inte begära in personuppgifter. Det är av det skälet i stället samlar in mängduppgifter. framhöll att även i andra sammanhang är det vik- tigt att kunna inhämta mängduppgifter. Det gäller dels i de fall då inte behöver uppgifter på mer detaljerad nivå och då inte heller ska behandla fler personuppgifter än vad som behövs, dels då det av effektivitetsskäl kan vara att föredra. Även om förslagen gav sådana möjligheter att ta in mängduppgifter, ansåg myndigheten att det skulle vara värdefullt om det i det fortsatta lag- stiftningsarbetet också kunde uttalas, om än inte i författningstexten, att även mängduppgifter omfattas av uppgiftsskyldigheten. hade vidare invändningar mot Socialtjänstdata- utredningens förslag att reglera behandling av natio- nell statistik i sex kompletterande förordningar till den föreslagna lagen om behandling av personuppgifter. Lagen och förordningarna inbegriper inte officiell statistik som i stället regleras av lagen respektive förordningen om den officiella statistiken. På detta sätt hade , ansåg , infört en reglering vid sidan av regelverket för den officiella statisti- ken. ansåg att detta skulle ge upphov till problem efter- som det är samma data som används för de olika ändamålen och hän- visade till sin uppfattning att den officiella statistiken inte styrs av ändamålen för behandlingen utan av regeringens anvisningar samt procedurer och kvalitetssäkringsmetoder (se ovan). erinrade att de register myndigheten har inom (se avsnitt 15.4) förs för officiell statistik och inget annat och ställde sig frågande till om utredningen ansåg att registren ska finnas vid myndigheten i ”dubbla versioner”. förordade två alternativa regleringar. Ett alterna- tiv skulle enligt eftersträva en reglering som liknar officiell statistik på hälsodataområdet. anförde att i sådant fall skulle all statistik, såväl ”annan statistik” som officiell sta- tistik, regleras i den föreslagna lagen och kompletterande förord- ningar om behandling av personuppgifter. Det skulle inte hindra att statistikområden fortfarande framgår av förordningen om den officiella statistiken med vissa justeringar i förordningen. På hälsoområdet har för övrigt enligt denna förordning ett vidare mandat att behandla känsliga person- uppgifter på hälsoområdet. Det andra alternativet enligt skulle vara att de olika förordningarna om behandling av personuppgifter utvecklas så att de endast avser uppföljning, utvärdering, kvalitets- säkring och tillsyn. ansåg att i sådant fall kunde man överväga att slå ihop dem till en förordning eftersom innehållet huvud- sakligen är detsamma i alla förordningarna. uppehåller sig också vid Socialtjänstdatautred- ningens förslag om att en ny förordning om behand- ling av personuppgifter om insatser för brottsoffer m.fl. ska införas. Detta menade skulle utgöra ett helt nytt statistik- område inom , men att det inte skulle bli fråga om officiell statistik då någon motsvarande reglering inte föreslagits i förordningen om den officiella statistiken. erinrade att myndigheten inte kan hämta in personnummerbaserade upp- gifter om utsatthet för brott eftersom kommunerna inte själva har tillgång till sådana uppgifter. förslag att skulle få ett brett bemyndigande att i detalj få reglera vilka uppgifter som ska lämnas till myndigheten ifrågasattes också av myndigheten, som ansåg att det behövde förtydligas. har i andra rappor- ter och skrivelser till regeringen av rättssäkerhetsskäl ifrågasatt var- för myndigheten ska reglera närmare i föreskrifter vilka uppgifter som kommunerna ska lämna för ändamålet nationell officiell stati- stik för (se avsnitt 15.7). framhöll avslutningsvis att det är olyckligt att ut- redningen valt att enbart koncentrera sina förslag till behandling av uppgifter för annan statistik än den officiella. Förordningen om den officiella statistiken ger lite stöd för att behandla känsliga personuppgifter. Enligt skulle förslag även ha omfattat en översyn av de delar av regelverket rörande den officiella statistiken som rör , och då speciellt bilagan till förordningen om den officiella statistiken som reglerar vilka käns- liga personuppgifter som får behandlas. ansåg att det hade varit fullt tillräckligt om lämnat förslag till en ny skrivning i bilagan till den officiella statistiken rörande möjligheter att behandla känsliga personuppgifter på område. 15.9Utredningen om rätt information i vård och omsorg beslöt regeringen att tillsätta en särskild utredare med huvudsakligt uppdrag att utreda och lämna förslag till en mer sammanhållen och ändamålsenlig informationshantering inom och mellan hälso- och sjukvården och socialtjänsten.25 Utredningen tog namnet Utredningen om rätt information i vård och omsorg. Utred- ningen om rätt information i vård och omsorg fick också i uppdrag att presentera en lagstiftning som gjorde det möjligt att utbyta infor- mation om enskilda individer som är föremål för insatser från både hälso- och sjukvården och , t.ex. äldre, personer med missbruk eller beroende och personer med psykisk ohälsa. Även för- utsättningarna för en gemensam dokumentationsyta för verksam- heterna skulle utredas. I betänkandet förslog utredningen en ny hälsodatalag som skulle ersätta patientdatalagen, och en ny socialtjänstdatalag.26 Utredningen om rätt information i vård och omsorgs förslag innebar en ökad tillgänglighet till känsliga personuppgifter för både vårdgivare och socialnämnder samt privata utförare än vad både patientdatalagen och lagen samt förordningen om behandling av per- sonuppgifter i erbjuder . Bl.a. skulle verk- samhetsuppföljning få bedrivas genom att vårdgivare, socialnämnder och privata utförare skulle få ta del av varandras informationssystem genom direktåtkomst. Utredningen om rätt information i vård och omsorg hade emel- lertid inget uppdrag att granska den nationella officiella statistiken inom hälso- och sjukvården och och lämnade följakt- ligen inga förslag i den delen. Däremot uppehöll sig Utredningen om rätt information i vård och omsorg vid frågan om regionala eller bör införas på område på motsvarande sätt inom hälso- och sjukvården. Trots att Utredningen om rätt information i vård och omsorg fann att det finns ett behov av att systematisk och fortlöpande kunna följa upp olika insatser på regional och nationell nivå inom , ansåg den att övervägande skäl talade emot en motsvarighet till regleringen av i patient- Den främsta anledningen till att Utredningen om rätt information i vård och omsorg avstod från att lämna några förslag i frågan – såvitt kan förstås – var att det inom inte finns en etablerad och kraftfull inomprofessionell rörelse samt att det inte finns en nationell eller regional stödstruktur för systematisk kvali- tetssäkring inom på motsvarande sätt som inom hälso- och sjukvården.27 Utredningen om rätt information i vård och om- sorg bedömde att med utredningens förslag i stället skulle få förutsättningar att bedriva ett systematiskt kvalitetsarbete som i praktiken kan jämföras med hälso- och sjukvårdens möjligheter. Utredningen om rätt information i vård och omsorgs förslag mötte omfattande kritik från bl.a. Datainspektionen, ombuds- män (JO) och Justitiekanslern, bl.a. att behov och konsekvenser inte utretts i tillräcklig utsträckning samt att hälso- och sjukvården inte var mogen för en ny tillgänglighetsreform som gick längre än nu- varande patientdatalagen. Bortsett från ett förslag om bestämmelser för att kunna behandla personuppgifter om vuxna med permanent nedsatt kognitiv förmåga i sammanhållen journalföring och kvalitetsregister, vilka genomför- des i patientdatalagen 2013, har Utredningen om rätt information i vård och omsorgs förslag inte resulterat i den tillgänglighetsreform som förordades eller i någon ny lagstiftning för hälso- och sjukvår- den respektive . 15.10 Behov av lag om socialtjänstdataregister behandling av personuppgifter för nationell statistik inom förvaltar flera nationella register för att kunna ana- lysera och följa utvecklingen inom . finns fem s.k. socialtjänstregister. kan sägas bestå av ett antal olika verksamhetsområden, och följaktligen har systemati- serat sin statistikproduktion med utgångspunkt från dessa verksam- heter: 27SOU 2014:23 s. 760. 2013/14:202. –registret för ekonomiskt bistånd, –registret över insatser till barn och unga, –registret över insatser till äldre och personer med funktionsned- sättning, –registret över insatser enligt LSS, och –register över tvångsvård enligt LVM. I förordningarna om skyldighet för socialnämnderna att lämna statis- tiska uppgifter och om utlämnande av uppgifter som avser stöd och service till vissa funktionshindrade regleras socialnämndernas skyl- dighet att lämna ut personuppgifter för statistiska ändamål till Social- styrelsen. Regleringen av i vilka fall olika slags personuppgifter får behand- las finns i EU:s dataskyddsförordning. Denna kompletteras även i vissa delar av nationella bestämmelser. Det rör sig bl.a. om lagen (2018:218) med kompletterande bestämmelser till EU:s dataskydds- förordning (dataskyddslagen) och förordningen (2018:219) med kom- pletterande bestämmelser till EU:s dataskyddsförordning. som hade i uppdrag att göra en an- passning av registerförfattningar inom ansvars- område till EU:s dataskyddsförordning ansåg att den uppgiftsskyl- dighet för socialnämnderna som följer av förordningen om skyldighet för socialnämnderna att lämna statistiska uppgifter är tillåten enligt förordningen.29 EU:s dataskyddsförordning kräver att personuppgifter bara be- handlas utifrån vissa grundläggande principer. Dessa principer finns i artikel 5 i EU:s dataskyddsförordning och gäller som ett ramverk vid all behandling av personuppgifter. Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (principen om laglighet, korrekthet och öppenhet). De ska som huvudregel samlas in för särskilda, uttryckligt angivna och berätti- gade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (principen om ändamålsbegränsning, även kallad finalitetsprincipen). De ska vara adekvata, relevanta och inte för om- fattande i förhållande till de ändamål för vilka de behandlas (prin- cipen om uppgiftsminimering). De ska vara korrekta och om nödvän- 29SOU 2017:66 s. 618. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (principen om korrekthet). Personuppgifterna får som huvudregel inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgif- terna behandlas (principen om lagringsminimering). De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med använd- ning av lämpliga tekniska eller organisatoriska åtgärder (principen integritet och konfidentialitet). Det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att principerna ovan efterlevs (principen om ansvarsskyldighet). Enligt EU:s dataskyddsförordning måste varje personuppgifts- behandling kunna hänföras till minst en av de i EU:s dataskyddsför- ordning uppräknade rättsliga grunderna, vilka finns i artikel 6.1. Det finns sex rättsliga grunder. Av intresse här är två specifika rättsliga grunder. Personuppgifter får behandlas om det är nödvändig för att utföra en uppgift av allmänt intresse (artikel 6.1 e i EU:s dataskydds- förordning). Vidare får behandling ske om den är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c i EU:s dataskyddsför- ordning). Vad som är ett allmänt intresse definieras inte i EU:s dataskydds- förordning. Innebörden av begreppet allmänt intresse i EU:s data- skyddsförordnings mening har ännu inte närmare utvecklats av EU- domstolen i mål om behandling av personuppgifter. Det finns dock inget som tyder på att begreppet allmänt intresse ska uppfattas mer restriktivt enligt EU:s dataskyddsförordning än enligt dataskydds- direktivet. har tvärtom ansett att mycket talar för att begreppet allmänt intresse bör ha en vidare EU-rättslig betydelse genom EU:s dataskyddsförordning än det har haft.30 Regeringen har i förarbetena till dataskyddslagen anfört att sådan verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse.31 Det är därmed den rättsliga grunden i artikel 6.1 e i EU:s dataskyddsförordning som 30SOU 2017:39 s. 123. 2017/18:105 s. 57. vanligen bör tillämpas av myndigheten.32 Rent språkligt torde begrep- pet allmänt intresse avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse. Av skäl 45 i EU:s dataskyddsförordning föl- jer att allmänintresset inbegriper hälso- och sjukvårdsändamål, folk- hälsa, socialt skydd och förvaltning av hälso- och sjukvårdstjänster. har bedömt att det med hänsyn till svensk förvaltningstradition är rimligt att alla arbetsuppgifter som utförs av statliga myndigheter i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering är av allmänt intresse. Även obligatoriska arbets- uppgifter som utförs av kommuner och regioner, till följd av deras åligganden enligt lag eller förordning, bedöms av Dataskyddsutred- ningen vara av allmänt intresse i EU:s dataskyddsförordnings mening.33 Grunden för sådan behandling av personuppgifter som är nöd- vändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c i EU:s dataskyddförordning) eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myn- dighetsutövning (artikel 6.1 e i EU:S dataskyddsförordning) måste fastställas i nationell rätt eller EU-rätt (artikel 6.3 i EU:s dataskydds- förordning). Det innebär att det inte är möjligt att endast stödja sig på den generella regleringen i EU:s dataskyddsförordning vid sådan behandling. har analyserat om det med anled- ning av detta krav behöver införas generella nationella bestämmelser till stöd för åtminstone den offentliga sektorns behandling av per- sonuppgifter. Enligt bedömning krävdes det inte någon särskild reglering med anledning av EU:s dataskyddsför- ordnings ikraftträdande. Däremot är förekomsten av reglering av- görande för i vilken utsträckning personuppgiftsansvariga kan behandla personuppgifter på den grunden att det är nödvändigt för att upp- fylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Kravet på att grunden för behandlingen ska vara fastställd i enlig- het med unionsrätten eller den nationella rätten utgör således ett vill- kor som måste vara uppfyllt för att de lagliga grunderna för behandling av personuppgifter i artikel 6.1 c och 6.1 e i EU:s dataskyddsförord- ning ska vara tillämpliga.34 2017/18_105 s. 56. 33SOU 2017:39 s. 124. 34SOU 2017:39 s. 111.