sou · H9B3102 · 2022-01-01 00:00:00 — Artikel 8 i beskriver var och ens rätt till respekt för privat- och familjeliv, familj och korrespondens. Vidare anges att en offentlig myndighet inte får inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokra- tiskt samhälle är nödvändigt med hänsyn till landets säkerhet, den all- männa säkerheten, landets ekonomiska välstånd eller till förebyg- gande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Artikel 8 har i praxis ansetts tillämplig också vid behandling av personuppgifter. Bestämmelsen omfattar dock inte all slags behandling av personuppgifter, det måste gälla privatliv, familje- liv, hem eller korrespondens. tar i första hand sikte på åtgärder som vidtas av det allmänna. antog 1980 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personupp- gifter (dataskyddskonventionen). anslöt sig till dataskydds- konventionen före EU-medlemskapet. Övriga EU-medlemsländer är anslutna. Konventionens syfte är att säkerställa respekten för grund- läggande fri-och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatiserad behandling av personupp- gifter. Dess innehåll kan ses som en precisering av skyddet för den personliga integriteten som följer av artikel 8 i . Konventionen tillämpas på behandling av personuppgifter i auto- matiserade personregister och automatiserad personuppgiftsbehand- ling i allmän och enskild verksamhet, men inte för enskilds rent pri- vata verksamhet. antog ändringsprotokoll 108 som syftar till att modernisera och uppdatera konventionens integritetsskydd. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna länderna måste iaktta i sin nationella lagstiftning. 3.2.4EU-stadgan om de grundläggande rättigheterna Den Europeiska unionens stadga om de grundläggande rättigheterna (EU-stadgan) skyddar bl.a. individers rätt till personlig integritet. Som en följd av Lissabonfördraget, som trädde 2009, är stadgan rättsligt bindande för EU-institutionerna och medlemslän- derna när dessa tillämpar . I EU-stadgan anges att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7). Av artikel 8 framgår vidare att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem (artikel 7 och 8). Ett av syftena med dataskyddsförordningen är att skydda enskildas grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personupp- gifter. Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgif- ter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Dataskyddsförordningen är direkt tillämplig i alla medlemsländer och ersatte och rådets direktiv /46/EG av om skydd för en- skilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Även om dataskyddsförordningen är direkt tillämplig både möjliggör och förutsätter förordningen kompletterande nationella bestämmelser av olika slag. Dataskyddsförordningen baseras till stor del på data- skyddsdirektivets struktur och innehåll men det har även tillkommit några nyheter såsom en utökad informationsskyldighet, administra- tiva sanktionsavgifter och inrättandet av Europeiska dataskydds- styrelsen. Dataskyddsförordningen är tillämplig på all helt eller delvis auto- matiserad behandling av personuppgifter och på behandling av personuppgifter, om uppgifterna ingår i eller kommer att ingå i ett register. Vissa behandlingar av personuppgifter är uttryckligen undantagna från tillämpningsområdet. Dataskyddsförordningen ska inte tillämpas på behandlingar som utförs av en fysisk person och som är av rent privat natur. Detsamma gäller behandlingar som sker inom verksamhet som inte omfattas av , behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik och behand- ling som sker inom brottsbekämpande verksamhet (artikel 2). För dataskyddsförordningen ska vara tillämplig krävs att de per- sonuppgiftsansvariga är etablerade inom EES, att de behandlar per- sonuppgifter i samband med att de erbjuder varor och tjänster till personer i det området eller behandlar personuppgifter i samband med övervakning av människors beteende inom EES (artikel 3). Dataskyddsförordningen förutsätter att det finns en personupp- giftsansvarig för all personuppgiftsbehandling som sker (artikel 4.7). Den som behandlar personuppgifter är antingen personuppgiftsan- svarig eller personuppgiftsbiträde. Ett personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansva- riges räkning (artikel 4.8). Ett personuppgiftsbiträde har inte infly- tande över bestämmandet av ändamålet med behandlingen och medel. Det är de faktiska omständigheterna i det enskilda fallet som är av- görande för om en aktör är personuppgiftsansvarig eller biträde, dvs. vem eller vilka som faktiskt har bestämt över behandlingen av per- sonuppgifterna. Mellan den personuppgiftsansvarige och biträdet måste ett personuppgiftsbiträdesavtal upprättas. Ett sådant avtal ska inne- hålla bl.a. tydliga instruktioner om hur biträdet får behandla person- uppgifterna (artikel 28). Två eller flera kan vara gemensamt personuppgiftsansvariga (arti- kel 4.7 d). Om två eller fler personuppgiftsansvariga gemensamt fast- ställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga (artikel 26). Ett samarbete mellan flera personuppgiftsansvariga medför inte automatiskt ett gemen- samt ansvar för behandlingen av personuppgifter. Det avgörande är om de deltagande parterna i någon mån tillsammans bestämmer ända- målen med och medlen för behandlingen. Av artikel 5 i dataskyddsförordningen följer ett antal grundläg- gande principer som gäller vid all behandling av personuppgifter. Dessa principer utgör ett ramverk för hur personuppgifter får behandlas. För det första ska uppgifterna behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den enskilde (artikel 5.1 a). Uppgifterna ska vidare samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (artikel 5.1 b). Uppgifterna ska också vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c). Uppgifterna ska dessutom vara riktiga och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i för- hållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (artikel 5.1 d). Personuppgifter får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas (artikel 5.1 e). Slutligen ska uppgifterna behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, in- begripet skydd mot obehörig eller otillåten behandling och mot för- lust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (artikel 5.1 f). Av artikel 5.2 följer att det är den personuppgiftsansvarige som ansvarar för och ska kunna visa att de grundläggande principerna efter- levs (ansvarsskyldighet). Som ett led i den personuppgiftsansvariges ansvarsskyldighet ska denna bl.a. genomföra en konsekvensbedöm- ning avseende dataskydd (artikel 35). Det är en skyldighet för den personuppgiftsansvarige att göra en konsekvensbedömning före en behandling av personuppgifter som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. Konsekvensbedömning avseende dataskydd är ett verktyg för att säkerställa att den person- uppgiftsansvarige följer dataskyddsförordningen. För att det ska vara tillåtet att behandla personuppgifter krävs det att behandlingen stödjer sig på någon av de rättsliga grunderna i arti- kel 6 i dataskyddsförordningen. Bestämmelsen är uttömmande och om inte någon av de uppräknade rättsliga grunderna är tillämpliga är det inte tillåtet att behandla personuppgifter. Ett sådant villkor är att den enskilde har lämnat sitt samtycke till att personuppgifterna be- handlas (artikel 6.1 a). Behandling kan också ske om den är nöd- vändig för att fullgöra ett avtal (artikel 6.1 b) eller nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c), för att skydda intres- sen som är av grundläggande betydelse för en fysiskperson (arti- kel 6.1 d), för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Personuppgifter kan slut- ligen behandlas med stöd av en intresseavvägning (artikel 6.1 f). Av artikel 6.3 i dataskyddsförordningen följer att grunden för den personuppgiftsbehandling som är nödvändig för att den person- uppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (arti- kel 6.1 c) eller en uppgift för allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e) måste fastställas i nationell rätt eller EU-rätt. Det innebär att det inte är möjligt att endast stödja sig på den generella regleringen i dataskyddsförordningen vid sådan be- handling. Vidare framgår av artikel 6.3 andra stycket att syftet med behandlingen, då denna grundar sig på en rättslig förpliktelse, ska fastställas i den rättsliga grunden och i fråga om behandling vara nöd- vändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Det finns också möjlighet att i nationell rätt mer detaljerat reglera olika krav på sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2). I artikel 6.3 anges dess- utom att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av dataskyddsförordningen, bl.a. de all- männa villkor som ska gälla för den personuppgiftsansvariges behand- ling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt förordningen måste upp- fylla ett mål av allmänt intresse och vara proportionell mot det legi- tima mål som eftersträvas (artikel 6.3 andra stycket sista meningen). Behandling av känsliga personuppgifter (i dataskyddsförordningen benämnda särskilda kategorier av personuppgifter, se artikel 9) är som huvudregel förbjuden. Huvudregeln kompletteras med ett antal undantag i artikel 9.2 i dataskyddsförordningen som anger när be- handling av känsliga personuppgifter är tillåten. Ett av undantagen är om den registrerade har uttryckligen samtyckt till behandlingen (artikel 9.2 a). Ett annat undantag avser behandling av känsliga per- sonuppgifter som är nödvändig för skäl som hör samman med före- byggande hälso- och sjukvård, yrkesmedicin och social omsorg, på grundval av eller medlemsländernas nationella rätt, under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt (artikel 9.2 h). Dataskyddsförordningen innehåller även ett antal rättigheter för de enskilda vars personuppgifter behandlas (de registrerade). Av arti- kel 12–14 framgår t.ex. att den registrerade har rätt att få omfattande information från den personuppgiftsansvarige. Om personuppgif- terna har samlats in från någon annan än den registrerade, behöver information inte lämnas om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan, om erhållande eller utlämnande av personuppgifter är rättsligt reglerat eller om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt. Den registrerade kan också begära registerutdrag med information om bl.a. vilka uppgifter som behandlas om honom eller henne (artikel 15) och begära att få sådana uppgifter rättade eller raderade eller att behandlingen ska begränsas (artikel 16–18). Vidare har den registrerade rätt att göra invändningar mot personuppgifts- behandling avseende honom eller henne som utförs på vissa rättsliga grunder (artikel 21.1). Dessa rättigheter kan begränsas under vissa förutsättningar (artikel 23.1). Grundläggande bestämmelser om skydd för den personliga integri- teten finns i regeringsformen. Av målsättningsstadgandet i 1 kap. 2 § regeringsformen (RF) framgår bl.a. att den offentliga makten ska ut- övas med respekt för den enskilda människans frihet och att det allmänna ska värna den enskildes privatliv och familjeliv. För att stärka skyddet för den personliga integriteten infördes ett nytt andra stycke i 2 kap. 6 § RF. I bestämmelsen anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållan- den. Enligt 2 kap. 20 § RF får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. 21 § RF. Enligt förarbetena avses med begreppet den enskildes personliga förhållanden bl.a. namn och andra personliga identifikationsuppgifter, adress, familjeförhållanden, hälsa, fotografisk bild, uppgift om anställning och en persons eko- nomi.1 Uttrycket avses ha samma innebörd som i tryckfrihetsförord- ningen och offentlighets- och sekretesslagen (2009:400). Vid bedömningen om en åtgärd ska anses innebära övervakning eller kartläggning är det inte åtgärdens huvudsakliga syfte utan vil- ken effekt åtgärden har som är avgörande. I förarbetena anges som exempel att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda ärenden i många fall anses innebära kartläggning av enskildas för- hållanden, även om kartläggning inte är avsikten. Ett annat exempel är de myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering som förekommer i stort sett all statlig och . Enligt förarbetena får uppgifterna i flertalet fall anses tillgängliga för myn- digheterna på sådant sätt att lagringen och behandlingen av uppgif- terna kan sägas innebära att enskilda kartläggs, även om det huvud- sakliga ändamålet med behandlingen är ett helt annat.2 Som exempel på kartläggning angav i sitt betänkande Han- tering av uppgifter om den enskildes hälsa i patientjournaler och hälso- dataregister eller inom ramen för forskning i det allmännas regi.3 Behandling av personuppgifter med stöd av samtycke är undan- taget i 2 kap. 6 § andra stycket RF. I förarbetena anges att regler- ingen tar sikte på sådana åtgärder som den enskilde inte själv kan få kännedom om eller påverka genom krav på frivilligt godkännande. Om åtgärderna förutsätter den enskildes godkännande anses in- trånget normalt inte vara så allvarligt att det omfattas av det särskilda grundlagsskyddet. Detta bör gälla oberoende av vilka slags uppgifter 2009/10:80 s. 177. 2009/10:80 s. 180. 3SOU 2008:3 s. 271. åtgärden eller behandlingen avser. Vidare hänvisas i förarbetena till den då gällande personuppgiftslagen (1998:204) och att den regler- ingen kan tjäna som vägledning vid bedömningen av vad som krävs för att en åtgärd ska falla utanför grundlagsskyddet redan p.g.a. att den vidtas med den enskildes samtycke. De krav som nämns i för- arbetena är att de berörda personerna tillfrågats om samtycke och att de därvid fick all den information som kunde tänkas påverka deras beslut att tillåta behandlingen.4 Det särskilda grundlagsskyddet omfattar endast betydande integ- ritetsintrång. Det är således bara vissa kvalificerade intrång i den personliga integriteten som omfattas. Vid bedömningen av hur in- gripande intrånget i den personliga integriteten kan anses vara i sam- band med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden är det enligt förarbe- tena naturligt att stor vikt läggs vid uppgifternas karaktär. Ju käns- ligare uppgifterna är, desto mer ingripande måste det allmännas han- tering av uppgifterna normalt anses vara. Även hantering av ett litet fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. Därutöver kan givetvis mängden uppgifter vara en betydelsefull faktor i sammanhanget. Vidare hänvisas i förarbetena till att i flera lagstiftningsärenden som rört myndigheters personuppgiftsbehand- ling framhållit att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. Regeringen har instämt i denna bedömning.5 Enligt förarbetena bör flera omständigheter vägas in vid bedöm- ningen av vad som kan anses utgöra ett betydande intrång. Upp- gifternas karaktär och omfattning utgör endast två faktorer att beakta. Även sådana omständigheter som t.ex. ändamålet med behandlingen av uppgifterna och omfattningen av utlämnandet av uppgifter till andra som sker utan stöd av offentlighetsprincipen kan vara av betydelse vid bedömningen.6 2009/10:80 s. 178 f. 2009/10:80 s. 183. I propositionen hänvisas till bet. 1990/91:KU11 s. 11, 1997/98:KU18 s. 43, prop. 1997/98:44 s. 41 och prop. 1999/2000:39 s. 78. 2009/10:80 s. 184. Skyddet för den personliga integriteten enligt 2 kap. 6 § andra stycket RF är inte absolut och kan under vissa förutsättningar be- gränsas med hänsyn till andra motstående intressen. Av 2 kap. 20 § RF följer att en sådan begränsning endast får ske genom lag. Enligt 2 kap. 21 § RF följer att begränsningen får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt sam- hälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart p.g.a. politisk, religiös, kulturell eller annan sådan åskådning. I förarbetena framfördes att en följd av denna reglering är bl.a. att lagstiftaren tvingas att tydligt redovisa vilka avvägningar som gjorts vid proportionalitetsbedömningen. Detta kan förväntas öka förut- sättningarna för att avvägningarna i fråga om integritetsintrånget blir mer ingående belysta och att de presenteras på ett sådant sätt att kvaliteten i lagstiftningen höjs ytterligare.7 Vid en proportionalitets- bedömning ska det intrång som sker i den enskildes personliga integ- ritet vägas mot de fördelar som intrånget innebär. Det intrång som sker i den enskildes personliga integritet måste vara befogat och stå i rimlig proportion till de fördelar som intrånget bidrar med till det motstående intresset. Ett ytterligare krav är att det inte finns några mindre integritetskänsliga alternativ. Det är bara genom svensk lag som skyddet enligt 2 kap. 6 § andra stycket RF kan inskränkas. Den rätt att behandla personuppgifter som följer av dataskyddsförordningen gör alltså inte att myndigheter får behandla personuppgifter i strid med 2 kap. 6 § andra stycket RF. 3.2.7Lagen om nationell läkemedelslista trädde lagen (2018:1212) om nationell läkemedels- lista i kraft. Lagen ersätter lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Det övergripande målet med den nationella läkemedelslistan är att skapa en samlad källa av en patients förskrivna läkemedel och andra varor som patien- tens behov av integritetsskydd tillgodoses. 2009/10:80 s. 177. ska med automatiserad behandling föra ett register över vissa uppgifter om förskrivna och expedierade läkemedel och andra varor för människor (1 kap. 1 §). är personuppgiftsansvarig för den personuppgiftsbehandling myndig- heten utför (3 kap. 1 §). I lagen finns kompletterande bestämmelser till dataskyddsförordningen. Känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i dataskyddsförordningen under förutsätt- ning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är uppfyllt. I 3 kap. 2–5 §§ anges de ändamål för vilka personuppgif- terna får behandlas. Uppgifterna får bl.a. behandlas om det är nödvän- digt för ändamål som rör registrering av uppgifter om förskrivna läkemedel och för ändamål som rör öppenvårdsapotek, bl.a. expe- diering av läkemedel och andra varor som förskrivits. Enligt 4 kap. 1 § första stycket får behandling som är tillåten enligt lagen utföras även om den registrerade inte har lämnat sitt samtycke. Personupp- gifterna som behandlas för något av de angivna ändamålen får dess- utom, enligt 3 kap. 7 §, behandlas för andra ändamål under förut- sättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Av samma be- stämmelse följer att behandling som inte annars är tillåten enligt lagen får utföras om den registrerade har lämnat uttryckligt samtycke. Vilka uppgifter som får behandlas i registret framgår av 3 kap. 8 §. Registret får också innehålla andra uppgifter som krävs i samband med en förskrivning eller en expediering och uppgifter om samtycke, spärr och fullmakt. Expedierande personal på öppenvårdsapotek, viss hälso- och sjuk- vårdspersonal samt patienten själv och dennes ombud får ges direkt- åtkomst till registret, under vissa förutsättningar och för vissa ända- mål. Enligt 5 kap. 1 § får direktåtkomst ges till expedierande personal på öppenvårdsapotek för bl.a. ändamålet expediering av läkemedel och andra varor. Det krävs inte samtycke för sådan direktåtkomst, förutom när det gäller uppgift om ordinationsorsak. Av 6 kap. följer att har en skyldighet att lämna ut uppgifter från registret till bl.a. expedierande personal på öppenvårdsapoteken, viss hälso- och sjukvårdspersonal, regioner, och till vissa myndigheter. Lagen innehåller också vissa skyddsåtgärder som t.ex. s.k. integ- ritetshöjande samtycke för vissa ändamål och viss behandling, spärr- ning (4 kap. 3–4 § §), sökbegränsningar (3 kap. 9 §), bevarandetid (3 kap. 10 §) och villkor för tilldelning av behörighet och åtkomst- kontroll (8 kap. 1 §). Apoteksdatalagen tillkom i och med omregleringen av apo- teksmarknaden. I förarbetena till lagen uttalade regeringen att det var angeläget med en tydlig reglering av hanteringen av personupp- gifter i öppenvårdsapotekens verksamhet för att även på en omregle- rad marknad skydda integriteten hos konsumenter och den som är behörig att förordna läkemedel.8 Apoteksdatalagen reglerar öppenvårdsapotekens behandling av personuppgifter och är en registerförfattning som innehåller kom- pletterande nationella bestämmelser till dataskyddskyddsförord- ningen. Med öppenvårdsapotek avses en inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 § lagen (2009:366) om handel med läkemedel (3 §). Apotekens kärnverk- samhet utgörs av expediering av läkemedel och andra varor som för- ordnats. Det innebär en behandling av personuppgifter hänförliga till såväl konsumenter som till den som är behörig att förordna läke- medel.