sou · H9B3102 · 2022-01-01 00:00:00 — Det krävs således inte en reglering i EU- rätten eller i nationell rätt av den personuppgiftsbehandling som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive upp- giften av allmänt intresse eller rätten att utöva myndighet.6 I för- arbetena till dataskyddslagen betonas att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personupp- gifter utan att det är i linje med legalitetsprincipen. Myndigheternas maktutövning, även i den mån denna förutsätter behandling av per- sonuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen.7 Vidare framgår av skäl 41 till dataskyddsförordningen att den rätts- liga grunden bör vara tydlig och precis och dess tillämpning förut- sägbar för dem som omfattas av den, i enlighet med rättspraxis vid och Europeiska domstolen för de mänskliga rättig- 2017/18:105 s. 49. 2017/18:105 s. 49 f. SOU 2021:102 Grundläggande förutsättningar för personuppgiftsbehandling m.m. Även detta är, enligt förarbetena till dataskyddslagen, ett uttryck för legalitetsprincipen och utgör således inte någon nyhet inom den svenska offentliga förvaltningen.8 Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behand- lingens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten bör kunna ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång, t.ex. behandling av känsliga personuppgifter inom hälso- och sjukvården, kräver att den rättsliga grunden är mer pre- ciserad och därmed gör intrånget förutsebart. Om intrånget är bety- dande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden, krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ regeringsformen (RF).9 Grunden för behandlingen ska enligt artikel 6.3 första stycket i dataskyddsförordningen fastställas i enlighet med eller ett medlemslands nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses inte att den rättsliga grunden nödvän- digtvis måste fastställas i eller i enlighet med en av beslutad lag. Däremot måste grunden vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt. Sammanfattningsvis konstaterar reger- ingen i förarbetena till dataskyddslagen att en rättslig grund är fast- ställd i enlighet med svensk rätt om den följer av författning eller beslut som meddelats i enlighet med RF.10 I en upplysningsbestäm- melse i 2 kap. 1 och 2 §§ lagen dataskyddslagen framgår att den rätts- liga förpliktelsen eller det allmänna intresset kan följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Den behandling av personuppgifter som är nödvändig vid infor- mationsutbyte av e-recept har sin grund i patientrörlighetsdirektivet. EU ska stödja och främja samarbete om och utbyte av information mellan medlemsländerna (artikel 14 i patientrörlighetsdirektivet). Eftersom hälso- och sjukvårdsfrågor ligger inom medlemsländernas nationella kompetens innebär regleringen ingen skyldighet för med- lemsländerna att delta i sådant samarbete eller informationsutbyte. 2017/18:105 s. 51. 2017/18:105 s. 51. 2017/18:105 s. 51 f. Grundläggande förutsättningar för personuppgiftsbehandling m.m. SOU 2021:102 Någon rättslig förpliktelse med stöd i patientrörlighetsdirektivet eller finns således inte enligt utredningens bedömning. Samarbetet och informationsutbytet kan med hänsyn till bestäm- melsen i patientrörlighetsdirektivet utgöra ett allmänt intresse. En- ligt utredningens mening uppfyller det dock inte kravet på att den rättsliga grunden ska vara tillräckligt tydlig, precis och förutsägbar för att direktivet ska kunna utgöra en fastställd rättslig grund enligt data- skyddsförordningens mening (skäl 41 till dataskyddsförordningen). Sammanfattningsvis anser utredningen att det inte finns något stöd iEU-rätten som kan läggas till grund för be- handling av personuppgifter vid informationsutbytet av e-recept. Informationsutbytet av e-recept över landsgränser regleras inte i svensk rätt . har visserligen en skyldighet att upprätthålla funktioner för det enligt myndighetens reglerings- brev. Ett regleringsbrev är dock begränsat till i taget. Även om uppdraget har funnits under anser utredningen att upp- draget inte är en tillräcklig tydlig skyldighet för att utgöra en rättslig grund för behandlingen enligt dataskyddsförordningens krav. Det finns inte heller någon annan författning som skulle kunna utgöra rättslig grund i nationell rätt. Sammanfattningsvis saknas det , enligt utredningens be- dömning, en fastställd rättslig grund för informationsutbytet av e-recept över landsgränser som uppfyller dataskyddsförordningens krav. Utredningens bedömning: Den rättsliga grunden för informa- tionsutbytet av e-recept över landsgränser bör fastställas i lag. För att behandlingen av personuppgifter för informationsutbyte av e-recept över landsgränser ska kunna stödjas på de rättsliga grunderna i artikel 6.1 c (rättslig förpliktelse) och artikel 6.1 e (allmänt intresse) i dataskyddsförordningen krävs alltså att det finns stöd i nationell rätt. För att vara fastställd i nationell rätt krävs enligt 2 kap. 1 och 2 §§ dataskyddslagen att den rättsliga grunden för behandlingen i de SOU 2021:102 Grundläggande förutsättningar för personuppgiftsbehandling m.m. ovan nämnda fallen ska följa av lag eller annan författning, beslut som har meddelats med stöd av lag eller annan författning eller av kollektivavtal. Valet mellan lag och annan författning avgörs av bestämmelserna i . Grundlagens regler om hur normgivningsmakten är fördelad mellan och regeringen finns i huvudsak i 8 kap. RF. meddelas av genom lag och av regeringen genom förordning. Föreskrifter ska meddelas genom lag bl.a. om de avser skyldigheter för enskilda eller ingrepp i enskildas personliga eller ekonomiska förhållanden (8 kap. 2 § första stycket 2), s.k. betungande offentligrättsliga föreskrifter. Kravet på att sådana föreskrifter ska ha lagform är dock inte obligatoriskt. kan med vissa undan- tag som inte är aktuella här bemyndiga regeringen att meddela före- skrifterna (8 kap. 3 §). Regeringen får i övrigt meddela bl.a. sådana föreskrifter som inte enligt grundlag ska meddelas av (8 kap. Denna föreskriftsrätt brukar kallas för regeringens restkompetens. Att det allmänna behandlar personuppgifter om enskilda anses inte innebära någon skyldighet för den enskilde eller något ingrepp i enskildas personliga förhållanden i den mening som avses i 8 kap. 2§ första stycket 2 RF. Bestämmelser om personuppgiftsbehandling som utförs av statliga myndigheter under regeringen har därmed i princip ansetts kunna beslutas av regeringen med stöd av dess rest- kompetens enligt 8 kap. 7 § första stycket 2 RF.11 Det har emellertid varit både och regeringens målsättning att myndighets- register som innehåller ett stort antal registrerade och har ett särskilt känsligt innehåll bör regleras i lag, även om lagform inte krävs enligt RF.12 Vid behandling av personuppgifter aktualiseras även det särskilda grundlagsskyddet för den personliga integriteten enligt 2 kap. 6 § andra stycket RF. Där anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § RF får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. Skyddet får således inte begränsas genom förordning. 2017/18:105 s. 26. 1990/91:KU11 s. 11, 1997/98:KU18 s. 48, prop. 1990/91:60 s. 58 och prop. 1997/98:44 s. 41. Grundläggande förutsättningar för personuppgiftsbehandling m.m. SOU 2021:102 snitt 3.2.6 redogör utredningen för rekvisiten i 2 kap. 6 § andra stycket RF. 7.3.2Den rättsliga grunden bör fastställas i lag Informationen i ett e-recept innehåller känsliga personuppgifter om patienten, bl.a. uppgifter om patientens läkemedel och därmed indirekt uppgift om hans eller hennes hälsa. Antalet expedieringar av e-recept som utfärdats i ett annat EES-land kan troligtvis komma att öka i takt med att tjänsten e-recept över landsgränser tas i bruk och fler länder ansluter sig. Informationsutbytet kan således komma att omfatta personuppgifter om ett stort antal människor. Uppgifter om bl.a. vad som expedierats och namn på expedierande personal och expedierande apotek i ett annat EES-land kommer att återrapporteras till . Uppgifterna innebär att det potentiellt går att ta reda på att en patient varit utomlands och på vilket apotek som patienten har hämtat ut sitt läkemedel. Vad gäller e-recept som utfärdats i ett annat EES-land kommer också uppgift om vad som expedierats och namn på expedierande apotek och personal att spa- ras hos . Vid bedömningen av om en åtgärd innebär kartläggning eller övervakning ska åtgärdens effekter snarare än det huvudsakliga syf- tet med åtgärden beaktas. Enligt utredningens bedömning går det inte att utesluta att den behandling som sker vid det gränsöverskri- dande informationsutbytet skulle kunna anses som en sådan över- vakning eller kartläggning som avses i 2 kap. 6 § andra stycket RF. Mot bakgrund av att behandlingen rör känsliga personuppgifter som potentiellt kan omfatta en större mängd registrerade skulle behand- lingen kunna utgöra ett betydande intrång i den personliga integriteten. behandling av personuppgifter när ett e-recept från ett annat EES-land ska expedieras i kommer, enligt ut- redningens förslag, att ske utan att patientens samtycke inhämtas, se avsnitt 9.10. I förarbetena till bestämmelsen i 2 kap. 6 § andra stycket RF anförs att integritetsskyddet bör ta sikte på sådana åt- gärder som den enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande. Om åtgärden däremot för- utsätter den enskildes godkännande, kan det intrång som åtgärden innebär normalt inte anses vara av så allvarlig beskaffenhet att den SOU 2021:102 Grundläggande förutsättningar för personuppgiftsbehandling m.m. bör omfattas av ett stärkt grundlagsskydd.13 En patient som kommer in på ett öppenvårdsapotek för att hämta ut sitt läkemedel innebär enligt utredningens mening en form av medvetet ställningstagande till att patientens personuppgifter ska få överföras för expedieringen. Patienten kan också påverka om personuppgifterna ska behandlas genom att avstå från att hämta ut läkemedlet. Enligt utredningens bedömning är det därför inte troligt att behandlingen utgör ett betydande integritetsintrång för den enskilde patienten i den mening som avses i 2 kap. 6 § andra stycket RF. Vad gäller svenska e-recept föreslår utredningen att ett integri- tetshöjande samtycke av patienten ska lämnas för att patientens per- sonuppgifter ska få lämnas ut till ett apotek eller motsvarande i ett annat EES-land, se avsnitt 8.2.6. Det är således patienten själv som väljer om personuppgifter om honom eller henne ska behandlas. Enligt utredningens bedömning utgör inte heller den behandling som sker när ett svenskt e-recept ska expedieras i ett annat EES-land ett bety- dande integritetsintrång för den enskilde patienten i den mening som avses i 2 kap. 6 § andra stycket RF. Som framgår ovan och i avsnitt 3.2.6 är och regeringen överens om att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras i lag även om det inte krävs enligt regeringsformens bestämmelser. Mot bakgrund av att uppgifter i ett e-recept innehåller känsliga personuppgifter och att det gränsöverskridande informationsutbytet potentiellt kan komma att omfatta ett stort antal registrerade är utredningens bedömning att bestämmelser om personuppgiftshantering vid expediering av svenska e-recept i ett annat EES-land och expediering i av e-recept ut- färdade av behörig föreskrivare i ett annat EES-land bör ha stöd i lag. 7.4Förutsättningar för nationell reglering enligt dataskyddsförordningen Utredningens förslag: Särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen ska införas i de författ- ningar som ska reglera personuppgiftsbehandlingen vid informa- tionsutbytet av e-recept över landsgränser. 2009/10:80 s. 178 f. Grundläggande förutsättningar för personuppgiftsbehandling m.m. SOU 2021:102 Medlemsländerna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförord- ningen när det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e) enligt artikel 6.2 i dataskydds- förordningen. Den rättsliga grunden som i dessa fall ska vara fast- ställd i den nationella rätten i enlighet med artikel 6.3 i dataskydds- förordningen får innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Den kan bl.a. ange de all- männa villkor som ska gälla för den personuppgiftsansvariges be- handling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka uppgifter får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behand- ling och förfaranden för behandling. Vidare ska syftet med behandlingen fastställas i den rättsliga grun- den, eller vara nödvändigt för att utföra en uppgift av allmänt intresse. Stödet i rättsordningen ska dessutom uppfylla ett mål av allmänt in- tresse och vara proportionellt mot det legitima mål som eftersträvas (artikel 6.3 andra stycket i dataskyddsförordningen). Det gränsöver- skridande informationsutbytet är enligt utredningens bedömning en rättslig förpliktelse och en uppgift av allmänt intresse enligt arti- kel 6.1 c och 6.1 e i dataskyddsförordningen. Det är därför tillåtet att införa mer specifika bestämmelser för att anpassa tillämpningen av dataskyddsförordningen. Utredningen föreslår därför att särskilda bestämmelser för att anpassa tillämpningen av förordningen ska in- föras i de författningar som ska reglera personuppgiftsbehandlingen vid informationsutbytet av e-recept över landsgränser. Det beskrivs närmare i de följande kapitlen. 7.5Behandling av känsliga personuppgifter Utredningens bedömning: Behandling av känsliga personupp- gifter i informationsutbytet av e-recept över landsgränser är nöd- vändig av skäl som hör samman med de hälso- och sjukvårdsverk- samheter som anges i artikel 9.2 h i dataskyddsförordningen. SOU 2021:102 Grundläggande förutsättningar för personuppgiftsbehandling m.m. För att behandla känsliga personuppgifter krävs det förutom att det finns en rättslig grund för behandlingen enligt artikel 6 i dataskydds- förordningen även att något av undantagen i artikel 9 i förordningen är tillämpliga. Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa14 eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personupp- gifter benämns i artikeln som särskilda kategorier av uppgifter, men kallas i detta delbetänkande för känsliga personuppgifter. Förbudet mot att behandla känsliga personuppgifter komplet- teras med ett antal undantag i artikel 9.2 i dataskyddsförordningen som anger när behandling av känsliga personuppgifter är tillåten. Några av undantagen är direkt tillämpliga medan andra kräver viss reglering i den nationella lagstiftningen för att behandling av känsliga person- uppgifter ska få ske. Enligt utredningens bedömning är det fram- för allt undantaget i artikel 9.2 h i dataskyddsförordningen som är av intresse vid informationsutbytet över landsgränser. Undantag för hälso- och sjukvård och social omsorg Känsliga personuppgifter får enligt artikel 9.2 h i dataskyddsförord- ningen behandlas om det är nödvändigt av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhanda- hållande av hälso- och sjukvård, behandling, social omsorg eller för- valtning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av eller den nationella rätten eller enligt avtal med yrkesverksamma på hälsoområdet. En ytter- ligare förutsättning för att behandling av känsliga personuppgifter på hälso- och sjukvårdsområdet samt inom social omsorg ska vara tillåten är att uppgifterna enligt artikel 9.3 i dataskyddsförordningen 14Uppgifter om läkemedel och andra varor som förskrivs en enskild har ansetts röra dennes hälsa enligt personuppgiftslagen, prop. 2008/09:145 s. 305. Jfr Justitiekanslerns beslut , dnr 7692-06-42. Grundläggande förutsättningar för personuppgiftsbehandling m.m. SOU 2021:102 behandlas av eller under ansvar av en yrkesutövare eller annan person som omfattas av tystnadsplikt. I 3 kap. 5 § dataskyddslagen finns, i syfte att tydliggöra regleringen, motsvarande undantag. Regeringen uttalade i förarbetena till dataskyddslagen, att även om dessa krav visserligen följer direkt av dataskyddsförordningen, var det av stor vikt för verksamheten inom de områden som omfattas av bestäm- melsen att förutsättningarna för att behandla känsliga personupp- gifter framgår tydligt.15 I skäl 53 till dataskyddsförordningen klargörs att förvaltning av tjänster för hälso- och sjukvård och social omsorg omfattar behand- ling som utförs av förvaltningen och centrala nationella hälsovårds- myndigheter av sådana uppgifter för syften som hör samman med kvalitetskontroll, information om förvaltningen samt allmän natio- nell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg samt gränsöverskridande hälso- och sjuk- vård eller hälsosäkerhet, syften som hör samman med övervakning samt varningssyften eller för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål som baseras på eller på medlemsländernas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genom- förs av allmänt intresse på folkhälsoområdet. Uppräkningen av syften i skäl 53 till dataskyddsförordningen lär i praktiken täcka nästan all behandling av känsliga personuppgifter som förekommer inom hälso- och sjukvårdsområdet.16 I förarbetena till lagen om nationell läkemedelslista gör reger- ingen bedömningen att den behandling av personuppgifter som om- fattas av den föreslagna lagen om nationell läkemedelslista är nöd- vändig av skäl som hör samman med verksamheter som anges i arti- kel 9.2 h i dataskyddsförordningen, särskilt förebyggande hälso- och sjukvård och yrkesmedicin, tillhandahållande av hälso- och sjukvård eller behandling samt förvaltning av hälso- och sjukvårdstjänster och deras system.17 2017/18:105 s. 94. 16Sören , Dataskyddsförordningen (GDPR) m.m. – En kommentar, kommentaren till artikel 9, version: 1A. 2017/18:223 s. 79. SOU 2021:102 Grundläggande förutsättningar för personuppgiftsbehandling m.m. 7.5.2Utredningens bedömning av känsliga personuppgifter Den behandling av personuppgifter som är nödvändig vid informa- tionsutbytet av e-recept över landsgränser för att möjliggöra expe- diering i ett annat EES-land har i princip samma syfte som en del av den personuppgiftsbehandling som sker inom ramen för den nationella läkemedelslistan, nämligen expediering av recept. Enligt utredningens bedömning är därför behandlingen även vid informationsutbytet inom EES nödvändig av skäl som hör samman med de hälso- och sjuk- vårdsverksamheter som anges i artikel 9.2 h i dataskyddsförordningen, särskilt förebyggande hälso- och sjukvård eller behandling samt för- valtning av hälso- och sjukvårdstjänster och deras system. Detta undantag kräver emellertid att den aktuella verksamheten utförs med stöd av , medlemsländernas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet. Kravet på tystnadsplikt i arti- kel 9.3 i dataskyddsförordningen måste också vara uppfyllt. Utred- ningens närmare bedömning av förutsättningarna för att behandla känsliga personuppgifter görs i respektive avsnitt 8.2.1 och 9.9. 7.6Var regleringen av personuppgiftsbehandlingen ska placeras Utredningens förslag: personuppgiftsbe- handling ska regleras på följande sätt. •E-hälsomyndighetens uppdrag att vara nationell kontaktpunkt för e-hälsa och att tillhandahålla tjänster och infrastruktur för det gränsöverskridande informationsutbytet om e-recept ska regleras i myndighetens instruktion. •E-hälsomyndighetens personuppgiftsbehandling när e-recept utfärdade i expedieras i annat EES-land ska regleras i lagen om nationell läkemedelslista. •E-hälsomyndighetens personuppgiftsbehandling när e-recept utfärdade i annat EES-land expedieras i ska regleras i en egen lag. Grundläggande förutsättningar för personuppgiftsbehandling m.m. SOU 2021:102 har haft regeringens uppdrag att vara den nationella kontaktpunkten för e-hälsa och haft en skyldighet att upprätthålla funktioner för ett gränsöverskridande informations- utbyte av e-recept. Utredningen har i tidigare avsnitt gjort bedöm- ningen att uppdraget i regleringsbrevet inte bör utgöra en rättslig grund för personuppgiftsbehandling vid ett sådant informationsutbyte. Utredningen föreslår att E-hälsomyndig- hetens uppdrag som nationell kontaktpunkt för e-hälsa och som till- handahållare av tjänster och infrastruktur för det gränsöverskridande informationsutbytet bör regleras i myndighetens instruktion för en långsiktig stabil rättslig grund för uppdragen och för den person- uppgiftsbehandling som är nödvändig. Förutom instruktion bör den rättsliga grun- den liksom de närmare reglerna om person- uppgiftsbehandling vid det gränsöverskridande informationsutbytet av e-recept regleras i lag. Frågan är då hur denna reglering ska utfor- mas. Antingen kan regleringen ske samlat och omfatta både svenska e-recept och e-recept utfärdat i ett annat EES-land eller så kan regler- ingen ske var för sig i olika författningar. När personuppgifter ska behandlas för nya ändamål är det ofta lämpligt att en ny författning reglerar all den behandling som kan komma att ske. En sådan sammanhållen reglering ger en samlad över- blick över personuppgiftsbehandlingen vilket ofta medför bättre för- utsättningar att bedöma vilken påverkan behandlingen som helhet har för de registrerades integritet. Vidare är fördelen att det är lättare för tillämparen men även för den registrerade att få en överblick av bestämmelserna om allt är samlat. Vid gränsöverskridande informationsutbyte av e-recept är förut- sättningarna emellertid olika beroende på om e-receptet är utfärdat i eller i ett annat EES-land. I den förra situationen finns e-recepten registrerade i den nationella läkemedelslistan medan i den senare situationen finns e-recepten i ett utländskt register som inte omfattas av svensk rätt. Lagen om nationell läkemedelslista reglerar rätt att behandla personuppgifter om det är nödvändigt för bl.a. ändamål som rör expediering av läkemedel på öppenvårdsapotek. Lagen innehåller detaljerade regler om hur per- sonuppgifterna får behandlas. Syftet med den nationella läkemedels- listan är bl.a. att ge hälso- och sjukvården, apoteken och patienten själv samma bild av patientens förskrivna och uthämtade läkemedel. SOU 2021:102 Grundläggande förutsättningar för personuppgiftsbehandling m.m.