sou · H9B343 · 2022-01-01 00:00:00 — Genom en reglering i regeringsformen har den personliga integri- teten ett grundlagsskydd i . Av 2 kap. 6 § andra stycket reger- ingsformen framgår att var och en är skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Inskränkningar i detta skydd får enligt 2 kap. 20 och 21 §§ regeringsformen enbart göras genom lag och bara för att tillgodose ändamål som är godtagbara i ett demo- kratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begräns- ningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning.30 Bestämmelsen i 2 kap. 6 § andra stycket regeringsformen innebär således att regleringar som medför en inskränkning av rätten till skydd för den personliga integriteten, måste ske i form av lag. Även genom OSL säkerställs ett skydd för uppgifter om enskilds personliga förhållanden genom att lagen innehåller ett stort antal bestämmelser som syftar till att skydda den enskildes personliga integritet. 2017/18:171, Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning, s. 56. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (nedan kallad data- skyddsförordningen) är det grundläggande regelverket för behand- ling av personuppgifter som är direkt tillämplig som svensk lag. Syftet med förordningen är att skydda fysiska personers grund- läggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. Dataskyddsförordningen ersatte dataskyddsdirektiv och utgör numera den generella regleringen av personuppgiftsbehandling inom EU. Data- skyddsförordningen gäller däremot inte för sådan personuppgifts- behandling som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder inbegripet skydd mot samt förebyggande och för- hindrande av hot mot den allmänna säkerheten eftersom det omfattas av dataskyddsdirektivs tillämpningsområde (artikel 2.2 d data- skyddsförordningen). Brottsdatalagen genomför tillsammans med brottsdataförordningen (2018:1202) det nya dataskyddsdirektivet i svensk rätt. Gränsen mellan när dataskyddsförordningen respektive brottsdatalagen gäller regleras i den senare lagen. trädde lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) i kraft och upphävdes personuppgiftslagen (1998:204, PuL). Dataskyddslagen innehåller bestämmelser som på ett generellt plan kompletterar dataskyddsförordningen. De nationella bestämmelser som behövs eller är lämpliga och som är av generell karaktär, i bety- delsen att de rör hela samhället eller flertalet myndigheter, finns i dataskyddslagen. Lagen reglerar bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsyns- myndighetens handläggning och beslut samt skadestånd och över- klagande. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning (1 kap. 6 § dataskyddslagen), vilket gör det möjligt att ha avvikande bestämmelser i sektorsspecifika registerförfatt- ningar. Bestämmelser i såväl lagar som förordningar har därigenom företräde framför den generella regleringen i dataskyddslagen. Patientdatalagen är exempel på en lag som innehåller bestämmelser som går före regleringen i dataskyddslagen. Viktiga bestämmelser om integritetsskydd finns dessutom i s.k. registerförfattningar, vars huvudsakliga syfte är att reglera hanter- ingen av register eller andra samlingar av personuppgifter vid myn- digheter. Registerförfattningarna reglerar myndigheternas behandling av personuppgifter och är utformade för att ge ett integritetsskydd som är anpassat utifrån respektive myndighets hantering av person- uppgifter i de fall då det finns behov av att avvika från eller komplet- tera det integritetsskydd som de övergripande personuppgiftslagarna annars ger. Förutom de svenska regleringarna i grundlag och lag, finns bestäm- melser om skydd för enskilds personliga integritet i en del interna- överenskommelser. Som exempel kan nämnas den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () som gäller som svensk lag. Enligt artikel 8 har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Artikel 8 är således tillämplig på behandling av personuppgifter men omfattar inte all sorts behandling av personuppgifter – frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Artikeln skyddar dock en prov- givares integritet och rätt att bestämma över användningen av bio- banksprover. Inskränkningar i dessa rättigheter får endast göras med stöd av lag och för vissa i artikeln uppräknade ändamål, bl.a. hänsyn till den allmänna säkerheten och förebyggande av oordning och brott. är även folkrättsligt bundet av konvention om skydd för enskilda vid automatisk databehandling av personupp- gifter, den s.k. dataskyddskonventionen. Konventionen innehåller bestämmelser som ger uttryck för en rad grundläggande principer om dataskydd. Härutöver innehåller Europeiska unionens (EU) stadga om de grundläggande rättigheterna (rättighetsstadgan) bestäm- melser om behandling av personuppgifter. 9.6.3Rättsliga utgångspunkter vid personuppgiftsbehandling Behandling av personuppgifter i verksamhet som omfattas av unionsrätten faller antingen inom tillämpningsområdet dataskyddsdirektiv, vilket huvudsakligen genomförs genom brottsdatalagen, eller inom tillämpningsområdet för dataskydds- förordningen. Brottsdatalagen och dataskyddsförordningen kan inte vara tillämpliga på samma behandling för samma syfte. Har samma behandling däremot flera olika syften kan regelverken vara tillämpliga parallellt. Det bör då betraktas som två olika behand- lingar av personuppgifter som var och en måste ha stöd i och följa gällande regelverk. En konsekvens av att det är syftet med behand- lingen som avgör vilket regelverk som är tillämpligt för en viss personuppgiftsbehandling, är att om detta syfte ändras, kan också andra bestämmelser bli tillämpliga.31 När det gäller behandling av personuppgifter för hälso- och sjuk- vårdens syften omfattas sådan personuppgiftsbehandling av data- skyddsförordningen och av de kompletterande bestämmelserna som finns i dataskyddslagen och den sektorsspecifika patientdatalagen. Patientdatalagen kompletteras med patientdataförordningen (2008:360) och föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40). Hälso- och sjukvården bedriver verksamhet som framför allt omfattas av dataskyddsförordningens tillämpningsområde men kan i vissa fall bedömas omfattas av brottsdatalagens tillämpningsområde vid exempelvis rättspsykiatrisk vård med särskild utskrivnings- prövning. Det kan även konstateras att de spårsäkringssatser som hälso- och sjukvården bevarar inte kan anses förvaras i en biobank enligt lagen (2002:297) om biobanker i hälso- och sjukvården m.m. I för- arbetena till biobankslagen anges att prover som tas på offer för sexualbrott är tagna i syfte att användas i utredningen av brott och omfattas därmed inte av biobankslagen.32 De spårsäkringssatser som hälso- och sjukvården förvarar kan inte heller anses förvaras i en väv- nadsinrättning enligt 2 § lagen (2008:286) om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler. Av den bestämmelsen framgår nämligen att vävnadsinrättning är en inrättning där fysisk eller juridisk person bedriver verksamhet som innefattar kontroll, bearbetning, konservering, förvaring eller distribution av mänskliga vävnader eller celler avsedda för användning på människor eller för tillverkning av läkemedel avsedda för användning på män- niskor. 2019/20 :106 s. 19. 32SOU 2018:4, Framtidens biobanker, s. 418. Det materiella tillämpningsområdet för dataskyddsförordningen om- fattar sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1 dataskyddsförord- ningen). Det finns dock vissa undantag från tillämpningsområdet. Exempelvis ska behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten inte omfattas av för- ordningens bestämmelser (artikel 2.2 a). Genom dataskyddslagen har dock förordningens tillämpningsområde utvidgats till att även omfatta behandling av personuppgifter i verksamhet som inte om- fattas av unionsrätten, med vissa specifika undantag (1 kap. 2 och 3 §§ dataskyddslagen). Dataskyddsförordningen gäller inte heller, vilket nämnts ovan, för sådan personuppgiftsbehandling som behöriga myndigheter utför i syfte att syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten, det vill säga dataskyddsdirektivets tillämpningsområde (artikel 2.2 d dataskyddsförordningen). Vad menas med begreppen personuppgift och behandling? Enligt dataskyddsförordningen avses med personuppgift varje upp- lysning som avser en identifierad eller identifierbar fysisk person, var- vid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online- identifikationer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekono- miska, kulturella eller sociala identitet (artikel 4.1 dataskyddsförord- ningen). Med behandling avses en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller änd- ring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller samman- förande, begränsning, radering eller förstöring (artikel 4.2 dataskydds- förordningen). När en spårsäkring har utförts av hälso- och sjukvården kan spår- säkringssatsen innehålla spår från brottsoffret men även från andra personer. Spår från brottsoffret utgörs bl.a. av blodprov för dna- analys, blod- och urinprover för analys av förekomst av alkohol och narkotika. Spårsäkringssatsen kan även innehålla fibrer, hårstrån, spermier och andra spår som efter dna-analys kan kopplas till en gärningsman eller annan person.33 För att få klarhet i huruvida de spår som säkras eller eventuellt säkras när hälso- och sjukvården utför en spårsäkring utgör person- uppgifter samt om själva förvaringen av vävnadsprover utgör en sådan delvis automatiserad eller behandling av personupp- gifter som regleras i dataskyddsförordningen går det att få ledning av förarbetena till lagen om biobanker i hälso- och sjukvården m.m. I lagen och den tillhörande förordningen finns det bestämmelser om hur humanbiologiskt material ska få samlas in, förvaras och användas för vissa ändamål. I förarbetena till lagen framgår att lagstiftaren gjorde bedömningen att de vävnadsprover från levande personer som förvaras i biobanker utgjorde personuppgifter i tidigare person- uppgiftslagens mening. Man bedömde dock att bevarandet av prover i biobanker inte utgjorde en sådan delvis automatiserad eller behandling av personuppgifter att PuL skulle bli tillämplig på han- teringen av vävnadsprover. Detta synsätt kom däremot inte till uttryck i formuleringen av lagtexten. Biobankslagen skiljer mellan å ena sidan vävnadsprover, å andra sidan personuppgifter kopplade till proverna. I den praktiska tillämpningen har t.ex. Nationella bio- banksrådet inte ansett att vävnadsprover är personuppgifter, utan har tolkat lagen utifrån dess ordalydelse.34 I tidigare förarbeten till biobankslagen uttalas bl.a. följande. Vävnadsproverna förvaras t.ex. i paraffinklossar vilka har ett identifier- ingsnummer. Övriga uppgifter om provtagarna såsom personnummer m.m.förvaras i anslutning till vävnadsproverna i register eller patient- journaler. Identifieringsnumret är nödvändigt för att vävnadsproverna ska kunna härledas till personuppgifterna i registren. Ett exempel på delvis automatiserad behandling är om det till en samling av handlingar eller annat material innehållande personuppgifter, t.ex. vävnadsprover i en biobank, finns ett datoriserat index med hänvisning till detta mate- rial. Fråga uppkommer då om hur personuppgifterna i materialet ska beaktas. Om ett sådant datoriserat index är sökbart på personuppgifter 33Socialstyrelsens rapport s. 45. 34SOU 2017:40, För dig och för alla – Delbetänkande av Utredningen om regleringen av bio- banker, s. 45–46. anses den automatiserade behandlingen hänförlig enbart till det dato- riserade indexet, inte till sammanställningen av vävnadsprover som sådan. Mot bakgrund av hur vävnadsprover och patientuppgifter för- varas är regeringens bedömning att själva förvaringen av vävnadspro- verna i en biobank inte kan anses utgöra en delvis automatiserad behandling. Enligt personuppgiftslagen gäller lagen även för behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. För att per- sonuppgiftslagen ska vara tillämplig måste uppgifterna vara sorterade enligt något system och vara sökbara med hjälp av någon personuppgift på mer än ett kriterium. Såsom tidigare nämnts förvaras vävnadsprover sorterade efter ett identifieringsnummer. Med detta nummer kan man söka fram de personuppgifter som finns t.ex. i det register som förvaras i anslutning till vävnadsproverna. Något annat kriterium för sökning finns inte. Regeringens bedömning är därför att vävnadsprover i en biobank inte kan anses tillgängliga för sökning på ett sådant sätt att vävnadsproverna omfattas av personuppgiftslagens bestämmelser om behandling av personuppgifter.35 Mot bakgrund av vad som anges i förarbetena innebär detta att per- sonuppgiftslagarna inte är tillämpliga på själva biobanken i sig. Per- sonuppgiftslagarna är däremot tillämpliga på den automatiserade behandlingen i patientjournaler eller register som finns i anslutning till biobanken. Regeringen uttalade dock även i förarbetena att han- teringen av vävnadsprover i en biobank ändå är så integritetskänslig att den i allt väsentligt bör uppfylla krav på integritetsskydd motsva- rande de i personuppgiftslagarna.36 När det gäller biobankslagen finns i de register som är kopplade till proverna i biobanker personuppgifter som behandlas på ett sådant sätt att dataskyddsförordningen och därtill kompletterande bestämmelser gäller. Dessa uppgifter om provgivarna ses dock inte som en del av biobanken, och behandlingen av dem regleras inte av biobankslagen. Biobankslagen tillåter inte heller att biobanksprover används i brottsutredningar (2 kap. 2 § biobankslagen).37 Det kan även tilläggas att Utredningen om regleringen av bio- banker, som bl.a. undersökte frågan om undantag för prover som inte sparas inom hälso- och sjukvården, i ett delbetän- kande uttalade bl.a. följande i frågan. ”När vävnadsprover tas för 2001/02:44, Biobanker inom hälso- och sjukvården m.m., s. 31–32. 36SOU 2017:66, Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning, s. 521–522 och prop. 2001/02:44 s. 31–32. 37SOU 2018:4 s. 407. analys vid vård och behandling i hälso- och sjukvården kasseras ofta proverna efter analysen. Dessa prover samlas inte in till en biobank för att bevaras och de används inte för något annat ändamål än det för vilket det togs. Provtagandet och analysen av vävnadsprover är i dessa fall en del av vården och behandlingen. För vården och behandlingen skyddas den enskildes integritet av bestämmelserna i hälso- och sjukvårdslagen (1982:763, HSL) i patientlagen (2014:821) och i patientsäkerhetslagen (2010:659).”38 När det kommer till hanteringen av vävnadsprover inom hälso- och sjukvården som används för vård och behandling och inte samlas in till en biobank utan kasseras efter att proverna analyseras bedömde således Utredningen om regleringen av biobanker att den enskildes integritet skyddas genom befintlig hälso- och sjukvårdslagstiftning. Härutöver kan nämnas att den tidigare s.k. Artikel 29-gruppen, som bildades i syfte att skapa en enhetlig tillämpning av EU:s regler- ing av personuppgifter i medlemsstaterna, tog i ett rådgivande ytt- rande 2007 ställning till frågan i förhållande till dataskydds- direktiv. Artikel 29-gruppens bedömning var att vävnadsprover inte i sig är personuppgifter, utan att de är källor som personuppgifter kan utvinnas ur.39 Av Artikel 29-gruppens yttrande anges bl.a. att väv- nadsprov (t.ex. blodprov) är källor som biometriska uppgifter kan utvinnas ur, men att de inte är biometriska uppgifter i sig. Därför utgör endast utvinnandet av information från sådana prov insamling av personuppgifter som omfattas av bestämmelserna i direktivet (dataskyddsdirektiv). Rättslig grund och grundläggande principer för behandling av personuppgifter I artikel 6 i dataskyddsförordningen stadgas det grundläggande kra- vet att det ska finnas en giltig rättslig grund för varje behandling av personuppgifter. Det finns enligt artikel 6 sammanlagt sex rättsliga grunder för att personuppgiftsbehandlingen ska vara laglig. Dessa är i korthet att det finns ett samtycke till personuppgiftsbehandlingen (artikel 6.1 a), den registrerade har ett avtal eller ska ingå i ett avtal med den personuppgiftsansvarige (artikel 6.1 b), behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den 38SOU 2017:40 s. 98 f. 39Yttrande 4/2007 s. 8 f. personuppgiftsansvarige (artikel 6.1 c), behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person (artikel 6.1 d), behand- lingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e) och att behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av person- uppgifter, särskilt när den registrerade är ett barn (artikel 6.1 f). En behandling av personuppgifter är endast laglig om och i den mån som åtminstone ett villkor i artikel 6.1 är uppfyllt. Uppräk- ningen av de rättsliga grunderna i artikel 6.1 är uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte genomföras. Flera av grunderna är över- lappande och flera kan vara tillämpliga avseende samma behandling av personuppgifter. Utöver det grundläggande kravet på att behand- ling av personuppgifter måste vara laglig så gäller också andra krav som följer av dataskyddsförordningen. De grundläggande princi- perna för behandling av personuppgifter, dvs. de allmänna krav som gäller för all personuppgiftsbehandling som anges i artikel 5.1 i data- skyddsförordningen ska också följas.40 Bland dessa kan nämnas att all personuppgiftsbehandling måste vara laglig, korrekt och präglas av öppenhet (artikel 5.1 a). Uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behand- las på ett sätt som är oförenligt med dessa ändamål (artikel 5.1 b). Uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c). Uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (artikel 5.1 d). Uppgifterna får inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 e). Artiklarna 5 och 6 är grundläggande och kumulativa. Det innebär att någon av de rättsliga 2017/18:171 s. 79. grunderna i artikel 6 måste vara tillämplig, som samtliga principer i artikel 5 ska följas.41 Även om dataskyddsförordningen är direkt tillämplig och ska tillämpas som svensk lag, anges i artikel 6.2 att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa till- lämpningen av bestämmelserna i förordningen när det gäller be- handling som sker enligt artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse och myndighetsutövning). Detta får ske genom att medlemsstaterna närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Av skäl 10 till förordningen framgår att detta även gäller för behandlingen av känsliga personuppgifter. Av artikel 6.3 framgår att vid behandling enligt artikel 6.1 c och e, ska den rättsliga grunden fastställas i unionsrätten eller i nationell rätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behand- lingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av all- mänt intresse eller som ett led i den personuppgiftsansvariges myn- dighetsutövning. Där anges vidare att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamåls- begränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Förordningen innehåller artiklar som tillåter undantag i vissa avse- enden, exempelvis när det gäller känsliga personuppgifter enligt arti- kel 9 och begränsningar av den registrerades rättigheter enligt arti- kel 23. Vissa av de rättigheter och skyldigheter som föreskrivs i för- ordningen får begränsas i nationell rätt. Begränsningarna ska dock ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23.1. Förordningen ger således medlemsstaterna möjlighet att i lagar på nationell nivå föreskriva vissa anpassade bestämmelser under för- 2019/20:106 s. 14 f. utsättning att bestämmelser i sådana författningar är förenliga med dataskyddsförordningen.42 Rättslig grund och ändamål för personuppgiftsbehandling på dataskyddsförordningens och patientdatalagens tillämpningsområde Som nämnts ovan är i den vårdande verksamhet inom hälso- och sjukvården patientdatalagen tillämplig och lagen gäller för vård- givares behandling av personuppgifter (1 kap. 1 § PDL). Den be- handling av personuppgifter som sker enligt patientdatalagen avser huvudsakligen insamling av personuppgifter för dokumentering i en patientjournal.