Dataskydd inom Socialdepartementets verksamhetsområde

– en anpassning till EU:s dataskyddsförordning

Betänkande av Socialdataskyddsutredningen

Stockholm 2017

SOU 2017:66

SOU och Ds kan köpas från Wolters Kluwers kundservice. Beställningsadress: Wolters Kluwers kundservice, 106 47 Stockholm Ordertelefon: 08-598 191 90

E-post: kundservice@wolterskluwer.se

Webbplats: wolterskluwer.se/offentligapublikationer

För remissutsändningar av SOU och Ds svarar Wolters Kluwer Sverige AB på uppdrag av Regeringskansliets förvaltningsavdelning.

Svara på remiss – hur och varför

Statsrådsberedningen, SB PM 2003:2 (reviderad 2009-05-02).

En kort handledning för dem som ska svara på remiss.

Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remisser

Layout: Kommittéservice, Regeringskansliet

Omslag: Elanders Sverige AB

Tryck: Elanders Sverige AB, Stockholm 2017

ISBN 978-91-38-24659-7

ISSN 0375-250X

Till statsrådet och chefen för Socialdepartementet

Genom beslut den 16 juni 2016 bemyndigade regeringen statsrådet Annika Strandhäll att tillkalla en särskild utredare med uppdrag att analysera konsekvenserna av EU:s s.k. dataskyddsförordning för behandlingen av personuppgifter inom Socialdepartementets verksam- hetsområde och föreslå författningsändringar till följd av dataskydds- förordningen. Från och med samma dag förordnade Annika Strandhäll ordföranden i Arbetsdomstolen Sören Öman som särskild utredare.

Som sakkunniga i utredningen förordnades den 19 september 2016 departementssekreteraren Niclas Fogelström (Socialdepartementet), ämnesrådet Jimmy Järvenpää (Socialdepartementet), kanslirådet tidigare departementssekreteraren Caroline Nilsson (Socialdeparte- mentet) och departementssekreteraren Annika Remaeus (Social- departementet). Som experter förordnades samma dag chefen Peter Andrén (Försäkringskassan), chefsjuristen Catarina Eklundh Ahlgren (Inspektionen för socialförsäkringen), chefsjuristen Anette Enberg (Myndigheten för familjerätt och föräldraskaps- stöd), biträdande chefsjuristen Bo Granath (Folkhälsomyndig- heten), juristen Ulrika Holfelt (Inspektionen för vård och omsorg), avdelningsdirektören Suzanne Isberg (Datainspektionen), juristen Ulrika Marusarz (Socialstyrelsen), stabschefen och chefsjuristen Karin Nylén (Myndigheten för vård- och omsorgsanalys) och juristen Anne Vilval (Pensionsmyndigheten).

Som sekreterare i utredningen har arbetat verksjuristen Hélène Runsten från och med den 8 augusti 2016 och hovrättsassessorn Jonna Wiborn från och med den 1 september 2016. Jur. stud. Ebba Hagelroth har kontrollerat hänvisningarna i betänkandet.

Utredningen (S 2016:05) har antagit namnet Socialdataskydds- utredningen.

Härmed får utredningen överlämna betänkandet Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning.

Utredningsarbetet fortsätter enligt tilläggsdirektiven dir. 2017:67.

Stockholm i augusti 2017

Sören Öman

/Hélène Runsten

Jonna Wiborn

Innehåll

Sammanfattning ................................................................		27
1	Författningsförslag.....................................................	41
1.1	Förslag till lag om ändring i socialförsäkringsbalken ...........	41

1.2 Förslag till ändringar i förslaget till lag om behandling av personuppgifter inom verksamheten för

Inspektionen för socialförsäkringen......................................

49

1.3 Förslag till lag om ändring i lagen (1996:1156) om

receptregister...........................................................................

52

1.4 Förslag till lag om ändring i lagen (1998:543) om

hälsodataregister......................................................................

55

1.5 Förslag till lag om ändring i lagen (2001:454) om

behandling av personuppgifter inom socialtjänsten .............

56

1.6 Förslag till lag om ändring i lagen (2002:297) om

biobanker i hälso- och sjukvården m.m.................................

59

1.7 Förslag till lag om ändring i lagen (2005:258) om

läkemedelsförteckning............................................................

63

1.8 Förslag till lag om ändring i lagen (2006:351) om

genetisk integritet m.m...........................................................

66

1.9 Förslag till lag om ändring i lagen (2006:496) om

blodsäkerhet ............................................................................	67
1.10 Förslag till lag om ändring i lagen (2006:1570) om
skydd mot internationella hot mot människors hälsa ..........	69

5

Innehåll

SOU 2017:66

1.11	Förslag till lag om ändring i lagen (2008:286) om
	kvalitets- och säkerhetsnormer vid hantering av
	mänskliga vävnader och celler................................................	71
1.12	Förslag till lag om ändring i patientdatalagen
	(2008:355) ...............................................................................	73
1.13	Förslag till lag om ändring i apoteksdatalagen
	(2009:367) ...............................................................................	82
1.14	Förslag till lag om ändring i lagen (2010:111) om
	införande av socialförsäkringsbalken ....................................	85
1.15	Förslag till lag om ändring i alkohollagen (2010:1622)........	87
1.16	Förslag till lag om ändring i lagen (2012:263) om
	kvalitets- och säkerhetsnormer vid hantering av
	mänskliga organ......................................................................	88
1.17	Förslag till lag om ändring i lagen (2012:453) om
	register över nationella vaccinationsprogram .......................	89

1.18 Förslag till lag om ändring i lagen (2016:526) om behandling av personuppgifter i ärenden om licens för

läkemedel.................................................................................

92

1.19 Förslag till förordning om ändring i förordningen (1981:1370) om skyldighet för socialnämnderna att

lämna statistiska uppgifter .....................................................

95

1.20 Förslag till förordning om ändring i förordningen (2001:637) om behandling av personuppgifter inom

socialtjänsten...........................................................................	96
1.21 Förslag till förordning om ändring i förordningen
(2001:707) om patientregister hos Socialstyrelsen...............	99

1.22 Förslag till förordning om ändring i förordningen (2001:708) om medicinskt födelseregister hos

Socialstyrelsen.......................................................................	101
1.23 Förslag till förordning om ändring i förordningen
(2001:709) om cancerregister hos Socialstyrelsen..............	103

6

SOU 2017:66		Innehåll
1.24	Förslag till förordning om ändring i förordningen
	(2003:766) om behandling av personuppgifter inom
	socialförsäkringens administration ......................................	105
1.25	Förslag till förordning om ändring i förordningen
	(2005:363) om läkemedelsregister hos Socialstyrelsen.......	107

1.26 Förslag till förordning om ändring i förordningen (2006:94) om register hos Socialstyrelsen över insatser

	inom den kommunala hälso- och sjukvården......................	109
1.27	Förslag till förordning om ändring i förordningen
	(2006:196) om register över hälso- och
	sjukvårdspersonal..................................................................	111
1.28	Förslag till förordning om ändring i förordningen
	(2008:194) om tandhälsoregister hos Socialstyrelsen.........	113
1.29	Förslag till förordning om ändring i förordningen
	(2009:1422) om behandling av personuppgifter i
	Statistiska centralbyråns verksamhet med framställning
	av statistik över kommunalt vårdnadsbidrag.......................	115

1.30 Förslag till förordning om ändring i förordningen (2011:116) om register hos Socialstyrelsen över

	läkemedel som lämnats ut från apotek i Jämtlands län.......	118
1.31	Förslag till förordning om ändring i förordningen
	(2011:306) om behandling av personuppgifter i
	Tandvårds- och läkemedelsförmånsverkets verksamhet
	i fråga om det statliga tandvårdsstödet................................	119
1.32	Förslag till förordning om ändring i förordningen
	(2013:413) om kosmetiska produkter .................................	121
1.33	Förslag till förordning om ändring i
	läkemedelsförordningen (2015:458)....................................	123
1.34	Förslag till förordning om upphävande av förordningen
	(1994:565) om vårdnadsbidragsregister...............................	125
1.35	Förslag till förordning om upphävande av förordningen
	(1998:156) med bemyndigande för Datainspektionen
	att meddela säkerhetsföreskrifter för
	socialförsäkringsregister.......................................................	126

7

Innehåll

SOU 2017:66

2	Utredningsarbetet och betänkandet ...........................		127
2.1	Utredningsarbetet ................................................................		127
2.2	Betänkandets disposition .....................................................		128
BAKGRUND		....................................................................	131
3	Kort om gällande rätt ...............................................		133
3.1	Europarådet...........................................................................		133
	3.1.1 ............................................	Europakonventionen	133
	3.1.2 .....................................	Dataskyddskonventionen	133

3.1.3 Rekommendation om skyddet av

hälsouppgifter........................................................

135

3.1.4 Rekommendation om skyddet av

	personuppgifter som behandlas för ändamål
	rörande social trygghet .........................................	137
3.2 Dataskyddsdirektivet ...........................................................		139
3.2.1	Inledning................................................................	139
3.2.2	Tillämpningsområde .............................................	140
3.2.3	Grundläggande krav och principer.......................	140
3.2.4	Känsliga personuppgifter......................................	141
3.2.5	Rättigheter och skyldigheter ................................	142
3.2.6	Tillsynsmyndighet och anmälningsplikt..............	144

3.2.7 När uppgifter behandlas i strid med

	lagstiftningen.........................................................	144
3.2.8	Överföring till tredjeland......................................	144
3.3 Personuppgiftslagen .............................................................		145
3.3.1	Tillämpningsområdet............................................	145
3.3.2	Hanteringsregler ...................................................	146
3.3.3	Ostrukturerat material..........................................	149

3.4 Registerförfattningar inom Socialdepartementets

verksamhetsområde..............................................................		149
3.4.1	Ett stort antal författningar..................................	149
3.4.2	Lagstiftning som reglerar en verksamhet ............	151

3.4.3 Lagstiftning som reglerar ett register

eller en informationssamling ................................

153

8

SOU 2017:66

Innehåll

3.4.4 Lagstiftning som bland annat reglerar

		behandling av personuppgifter .............................	154
	3.4.5	Lagstiftning som reglerar uppgiftsskyldigheter...	157
4	Dataskyddsförordningen ...........................................		159
4.1	Inledning................................................................................		159

4.2 Skillnaden mellan en EU-förordning

och ett EU-direktiv...............................................................		160
4.3 Dataskyddsförordningens innehåll......................................		161
4.3.1	Materiell och territoriell avgränsning...................	161
4.3.2	Definitioner ...........................................................	162
4.3.3	Grundläggande principer ......................................	164
4.3.4	Laglig behandling av personuppgifter ..................	164

4.3.5 Känsliga personuppgifter och uppgifter om

	lagöverträdelser......................................................	166
4.3.6	Den registrerades rättigheter ................................	168

4.3.7 Personuppgiftsansvarigas och

		personuppgiftsbiträdens skyldigheter..................	171
	4.3.8	Dataskyddsombud.................................................	172
	4.3.9	Överföring av personuppgifter till tredjeland .....	173
	4.3.10	Tillsynsmyndigheter..............................................	173
	4.3.11	När uppgifter behandlas i strid med
		dataskyddsförordningen .......................................	174
	4.3.12	Konkurrens med andra rättigheter .......................	175
	4.3.13	Övrigt.....................................................................	175
5	Pågående översynsarbete .........................................		177
5.1	Dataskyddsutredningen........................................................		177
5.2	Utredningen om 2016 års dataskyddsdirektiv ....................		179

5.3 Övrigt översynsarbete med anledning av

dataskyddsförordningen.......................................................	180
5.4 Förslaget till myndighetsdatalag ..........................................	181

9

Innehåll

SOU 2017:66

GENERELLA ÖVERVÄGANDEN .........................................		183
6	Allmänna utgångspunkter .........................................	185

6.1 Behandling som i dag är laglig ska kunna fortsätta men

författningsstöd för annat bör inte införas nu....................

185

6.2 Författningsreglering som motsvarar bestämmelser i dataskyddsförordningen bör behållas om det blir

	tydligare.................................................................................	188
7	Konsekvenserna av att dataskyddsförordningen börjar
	tillämpas ................................................................	191
7.1	Inledning ...............................................................................	191

7.2 Personuppgifter kommer inte att kunna behandlas med

stöd av missbruksregeln .......................................................

192

7.3 Möjligheterna för myndigheter att behandla personuppgifter med stöd av en intresseavvägning

	minskar..................................................................................	193
7.4	Rättslig grund för behandling av personuppgifter .............	194
7.5	Känsliga personuppgifter .....................................................	195

7.6 Färre uppgifter omfattas av de begränsningar som gäller

	för uppgifter om lagöverträdelser m.m.................................	196
7.7	Utökade rättigheter för den registrerade............................	196
7.8	Personuppgiftsincidenter ska anmälas ................................	198
7.9	Konsekvensbedömning........................................................	198
7.10	Skyldighet att utse dataskyddsombud.................................	198
7.11	Sanktioner .............................................................................	199
8	Verksamheter som inte har en registerförfattning.........	201

10

SOU 2017:66		Innehåll
9	Allmänt om befintliga bestämmelser .........................	203
9.1	Inledning................................................................................	203

9.2 Det är tillåtet att begränsa myndigheters möjligheter till

behandling och utöka deras skyldigheter ............................

203

9.3 Nationella bestämmelser för att anpassa tillämpningen

	av bestämmelserna i dataskyddsförordningen ....................	205
9.4	Registerförfattningarnas syfte..............................................	207
9.5	Registerförfattningarnas tillämpningsområde.....................	208

9.6 Registerförfattningarnas förhållande till annan

	dataskyddsreglering ..............................................................		210
9.7	Personuppgiftsansvar............................................................		213
9.8	Begreppet allmänt intresse ...................................................		215
	9.8.1	Bestämmelser om allmänt intresse i
		dataskyddsförordningen och
		dataskyddsdirektivet..............................................	215
	9.8.2	Att bedriva verksamhet som ska finnas i
		enlighet med internationella rättighetsstadgor
		är ett viktigt allmänt intresse ................................	219
	9.8.3	Redan gjorda bedömningar av allmänt intresse
		har alltjämt giltighet ..............................................	221
9.9	Principer för behandling av personuppgifter ......................		222
9.10	Rättslig grund för behandling av personuppgifter..............		224
	9.10.1	Laglig behandling av personuppgifter vid
		rättslig förpliktelse, allmänt intresse och
		myndighetsutövning..............................................	224
	9.10.2	Samtycke som rättslig grund ................................	229
	9.10.3	Finalitetsprincipen.................................................	232
9.11	Känsliga personuppgifter......................................................		235
	9.11.1	Förbud mot att behandla känsliga
		personuppgifter och möjligheterna till
		undantag.................................................................	235

11

Innehåll

SOU 2017:66

9.11.2 Undantag vid fullgörande av skyldigheter och

rättigheter inom arbetsrätten och på områdena
social trygghet och socialt skydd .........................	238
9.11.3 Undantag för viktiga allmänna intressen.............	239

9.11.4 Undantag för hälso- och sjukvård samt social

		omsorg ...................................................................	243
	9.11.5	Undantag för folkhälsoområdet...........................	248
	9.11.6 Fler uppgifter blir känsliga personuppgifter .......		249
9.12	Uppgifter om lagöverträdelser.............................................		252
9.13	Personnummer .....................................................................		256
9.14	Överföring till tredjeland.....................................................		257
9.15	Den registrerades rättigheter ...............................................		261
	9.15.1 Utökade rättigheter för registrerade....................		261
	9.15.2	Begränsningar av rättigheter.................................	276
9.16	Säkerhetsåtgärder..................................................................		281
	9.16.1 Den generella regleringen om
		säkerhetsåtgärder/skyddsåtgärder........................	281

9.16.2 Bestämmelser om säkerhetsåtgärder

i registerförfattningar............................................	285
9.17 Gallring och bevarande.........................................................	292

9.17.1 Den generella regleringen om gallring

		och bevarande ........................................................	292
	9.17.2	Överväganden ........................................................	295
9.18	Tillsyn	....................................................................................	298
9.19	Sanktioner .............................................................................		299
	9.19.1 .............................................................	Skadestånd	299
	9.19.2 .........................	Administrativa sanktionsavgifter	302
	9.19.3 ........................................................	Straff och vite	306
9.20	Överklagande av beslut som fattats av en myndighet
	i egenskap ..................................av personuppgiftsansvarig		306
9.21	Uppgiftsskyldigheter............................................................		309
9.22	Barns personuppgifter..........................................................		311

12

SOU 2017:66 Innehåll

SÄRSKILDA ÖVERVÄGANDEN OCH FÖRSLAG ...................			315
10	Författningar som reglerar en verksamhet...................		317
10.1	Patientdatalagen (2008:355).................................................		317
	10.1.1	Lagens tillämpningsområde ..................................	317
	10.1.2	Lagens syfte ...........................................................	320
	10.1.3 Förhållandet till annan dataskyddsreglering........		321

10.1.4 Tillämpningsområdet för kapitlet med grundläggande bestämmelser om behandling

av personuppgifter.................................................

322

10.1.5 Rätten att invända mot behandling av

	personuppgifter .....................................................	323
10.1.6	Samtycke som grund för behandlingen................	325
10.1.7	Ändamål och grund för behandling av
	personuppgifter .....................................................	326
10.1.8	Personuppgiftsansvar ............................................	328
10.1.9	Personuppgifter som får behandlas......................	329
10.1.10	Känsliga personuppgifter ......................................	330
10.1.11	Sökbegränsningar ..................................................	331
10.1.12	Skyldigheten att föra patientjournal.....................	333
10.1.13	Säkerhetsåtgärder...................................................	337
10.1.14	Upplysningsbestämmelser och allmän
	bestämmelse om utlämnande................................	342
10.1.15	Sammanhållen journalföring.................................	343
10.1.16	Nationella och regionala kvalitetsregister............	350
10.1.17	Rättigheter för den enskilde .................................	362
10.1.18	Omhändertagande och återlämnande av
	patientjournaler......................................................	368
10.1.19	Skadestånd..............................................................	369
10.1.20	Överklagande.........................................................	370
10.2 Patientdataförordningen (2008:360) ...................................		371
10.3 Förordningen (1985:796) med vissa bemyndiganden för
Socialstyrelsen att meddela föreskrifter m.m......................		371
10.4 Förordningen (2008:363) om provtagning för
hivinfektion ...........................................................................		372

13

Innehåll

SOU 2017:66

10.5 Apoteksdatalagen (2009:367) ..............................................		372
10.5.1	Lagens tillämpningsområde..................................	372
10.5.2 Krav på behandling, hantering och förvaring ......		373
10.5.3	Förhållandet till annan dataskyddsreglering........	373

10.5.4 Den enskildes inställning till behandling av

personuppgifter.....................................................	374
10.5.5 Personuppgiftsansvar............................................	376

10.5.6 Ändamål och grund för behandling av

personuppgifter.....................................................

376

10.5.7 Känsliga personuppgifter och uppgifter om

	lagöverträdelser .....................................................	379
10.5.8	Säkerhetsåtgärder ..................................................	380
10.5.9	Gallring ..................................................................	381
10.5.10	Rättelse och skadestånd........................................	381
10.5.11	Information som ska lämnas självmant ...............	381
10.6 Apoteksdataförordningen (2009:624).................................		383
10.7 Lagen (2016:526) om behandling av personuppgifter
i ärenden om licens för läkemedel .......................................		383
10.7.1	Lagens tillämpningsområde..................................	383
10.7.2	Förhållandet till annan dataskyddsreglering........	384
10.7.3	Krav på behandling................................................	384

10.7.4 Rätten att invända mot behandling av

personuppgifter.....................................................	385
10.7.5 Personuppgiftsansvar............................................	386

10.7.6 Ändamål och grund för behandling av

	personuppgifter.....................................................	387
10.7.7	Känsliga personuppgifter......................................	388
10.7.8	Säkerhetsåtgärder ..................................................	390
10.7.9	Uppgiftsskyldigheter ............................................	390
10.7.10	Gallring ..................................................................	391
10.7.11	Rättelse och skadestånd........................................	391
10.7.12	Information som ska lämnas självmant ...............	392
10.8 Förordningen (2016:533) om behandling av
personuppgifter i ärenden om licens för läkemedel ...........		394
10.9 Lagen (2001:454) om behandling av personuppgifter
inom socialtjänsten...............................................................		394
10.9.1	Lagens tillämpningsområde..................................	394

14

SOU 2017:66		Innehåll
10.9.2	Förhållandet till annan dataskyddsreglering........	396
10.9.3	Ändamål och grund för behandling av
	personuppgifter .....................................................	396
10.9.4	Rätten att invända mot behandling av
	personuppgifter .....................................................	397
10.9.5	Personnummer, känsliga personuppgifter
	och uppgifter om lagöverträdelser........................	399
10.9.6	Upplysningsbestämmelse......................................	402
10.9.7	Rättelse och skadestånd ........................................	402
10.9.8	Överklagande.........................................................	403
10.9.9	Bemyndiganden .....................................................	404
10.10 Förordningen (2001:637) om behandling av
personuppgifter inom socialtjänsten ...................................		405
10.10.1	Förordningens tillämpningsområde.....................	405
10.10.2	Upplysningsbestämmelser ....................................	406
10.10.3	Personuppgiftsansvar ............................................	407
10.10.4	Ändamål och grund för behandling av
	personuppgifter .....................................................	407
10.10.5	Känsliga personuppgifter ......................................	408
10.10.6	Säkerhetsåtgärder...................................................	409
10.10.7	Uppgiftsskyldigheter.............................................	410
10.10.8	Överföring av personuppgifter till tredjeland .....	410
10.10.9	Bemyndiganden .....................................................	411

10.11 Förordningen (2009:1422) om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt

vårdnadsbidrag ......................................................................		412
10.11.1	Förordningens tillämpningsområde.....................	412
10.11.2	Personuppgiftsansvar ............................................	412
10.11.3 Förhållandet till annan dataskyddsreglering........		413
10.11.4 Ändamål och grund för behandling av
	personuppgifter .....................................................	414
10.11.5 Personuppgifter som får behandlas......................		415
10.11.6 Rätten att invända mot behandling av
	personuppgifter .....................................................	417
10.11.7	Rättelse och skadestånd ........................................	418

15

Innehåll

SOU 2017:66

10.12 112 kap. socialförsäkringsbalken .........................................		418
10.12.1	Beslut genom automatiserad behandling.............	418
10.13 114 kap. socialförsäkringsbalken .........................................		419
10.13.1	Kapitlets tillämpningsområde...............................	419
10.13.2	Rätten att invända mot behandling av
	personuppgifter.....................................................	420
10.13.3	Förhållandet till annan dataskyddsreglering........	422
10.13.4	Personuppgiftsansvar............................................	422
10.13.5	Ändamål och grund för behandling av
	personuppgifter.....................................................	422
10.13.6	Känsliga personuppgifter och uppgifter om
	lagöverträdelser .....................................................	425
10.13.7	Sökbegränsningar ..................................................	427
10.13.8	Säkerhetsåtgärder ..................................................	430
10.13.9	Överföring av personuppgifter till tredjeland .....	431
10.13.10	Information som ska lämnas på begäran .............	432
10.13.11	Gallring ..................................................................	434
10.13.12	Avgifter..................................................................	434
10.13.13	Rättelse och skadestånd........................................	436
10.13.14	Tystnadsplikt.........................................................	437
10.13.15	Överklagande ........................................................	437

10.14 Förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens

administration.......................................................................		438
10.15 Lagen (2010:111) om införande av
socialförsäkringsbalken ........................................................		440
10.16 Förordningen (2011:306) om behandling av
personuppgifter i Tandvårds- och
läkemedelsförmånsverkets verksamhet i fråga om
det statliga tandvårdsstödet .................................................		441
10.16.1	Förordningens tillämpningsområde.....................	441
10.16.2	Personuppgiftsansvar............................................	441
10.16.3 Förhållandet till annan dataskyddsreglering........		442
10.16.4 Ändamål och grund för behandling av
	personuppgifter.....................................................	442
10.16.5 Personuppgifter som får behandlas......................		444

16

SOU 2017:66		Innehåll
10.16.6 Rätten att invända mot behandling av
	personuppgifter .....................................................	446
10.16.7	Säkerhetsåtgärder...................................................	448
10.16.8 Information som ska lämnas på begäran..............		448
10.16.9	Rättelse och skadestånd ........................................	450

10.17 Förslag som lämnats i betänkandet Inbyggd integritet inom Inspektionen för socialförsäkringen

(SOU 2014:67)......................................................................	450
10.17.1 Uppdraget ..............................................................	450

10.17.2 Förslag till lag om behandling av personuppgifter inom verksamheten för

		Inspektionen för socialförsäkringen ....................	450
	10.17.3	Övriga författningsförslag ....................................	462
11	Författningar som reglerar ett register
	eller en informationssamling.....................................		465
11.1	Lagen (1996:1156) om receptregister..................................		465
	11.1.1	Inledning ................................................................	465
	11.1.2	Förande av receptregistret ....................................	465
	11.1.3	Förhållandet till annan dataskyddsreglering........	466

11.1.4 Den enskildes inställning till behandling av

personuppgifter .....................................................	466
11.1.5 Personuppgiftsansvar ............................................	468

11.1.6 Ändamål och grund för behandling av

	personuppgifter .....................................................	468
11.1.7	Personuppgifter som får behandlas......................	470
11.1.8	Säkerhetsåtgärder...................................................	472
11.1.9	Uppgiftsskyldigheter.............................................	472
11.1.10	Gallring...................................................................	473
11.1.11	Information som ska lämnas självmant................	473
11.1.12	Upplysningsbestämmelse......................................	475
11.1.13	Rättelse och skadestånd ........................................	476
11.1.14	Avgifter ..................................................................	476
11.1.15	Bemyndigande .......................................................	476
11.2 Förordningen (2009:625) om receptregister.......................		477

17

Innehåll

SOU 2017:66

11.3 Lagen (2005:258) om läkemedelsförteckning.....................		477
11.3.1	Inledning................................................................	477
11.3.2 Skyldighet att föra register ...................................		478
11.3.3	Personuppgiftsansvar............................................	478
11.3.4 Förhållandet till annan dataskyddsreglering........		478

11.3.5 Rätten att invända mot behandling av

personuppgifter.....................................................

479

11.3.6 Ändamål och grund för behandling av

	personuppgifter.....................................................	480
11.3.7	Personuppgifter som får behandlas......................	482
11.3.8	Säkerhetsåtgärder ..................................................	484
11.3.9	Återkallelse av samtycke.......................................	484
11.3.10	Bevarande och gallring..........................................	485
11.3.11	Information som ska lämnas självmant ...............	486
11.3.12	Information som ska lämnas på begäran .............	487
11.3.13	Upplysningsbestämmelse .....................................	488
11.3.14	Rättelse och skadestånd........................................	489
11.3.15	Avgifter..................................................................	489
11.4 Förordningen (2009:626) om läkemedelsförteckning .......		490
11.5 Förordningen (2006:196) om register över hälso- och
sjukvårdspersonal .................................................................		490
11.5.1	Skyldighet att föra register ...................................	490
11.5.2	Förhållandet till annan dataskyddsreglering........	491

11.5.3 Rätten att invända mot behandling av

personuppgifter.....................................................	491
11.5.4 Personuppgiftsansvar............................................	492

11.5.5 Ändamål och grund för behandling av

	personuppgifter.....................................................	492
11.5.6	Personuppgifter som får behandlas......................	493
11.5.7	Säkerhetsåtgärder ..................................................	494
11.5.8	Uppgiftsskyldigheter ............................................	494
11.5.9	Information som ska lämnas självmant ...............	495
11.5.10	Rättelse och skadestånd........................................	496
11.6 Lagen (1998:543) om hälsodataregister och tillhörande
förordningar..........................................................................		497
11.6.1	Bemyndiganden.....................................................	497
11.6.2	Förande av hälsodataregister ................................	498

18

SOU 2017:66		Innehåll
11.6.3	Personuppgiftsansvar ............................................	498
11.6.4	Förhållandet till annan dataskyddsreglering........	499
11.6.5	Ändamål och grund för behandling av
	personuppgifter .....................................................	499
11.6.6	Personuppgifter som får behandlas......................	501
11.6.7	Rätten att invända mot behandling av
	personuppgifter .....................................................	503
11.6.8	Säkerhetsåtgärder...................................................	504
11.6.9	Uppgiftsskyldighet................................................	504
11.6.10	Upplysningsbestämmelse......................................	505
11.6.11	Rättelse och skadestånd ........................................	506
11.6.12	Information som ska lämnas självmant................	506
11.7 Lagen (2012:453) om register över nationella
vaccinationsprogram.............................................................		508
11.7.1	Lagens tillämpningsområde ..................................	508
11.7.2	Förhållandet till annan dataskyddsreglering........	508

11.7.3 Rätten att invända mot behandling av

personuppgifter .....................................................	509
11.7.4 Personuppgiftsansvar ............................................	510

11.7.5 Ändamål och grund för behandling av

		personuppgifter .....................................................	511
	11.7.6	Personuppgifter som får behandlas......................	512
	11.7.7	Uppgiftsskyldighet................................................	514
	11.7.8	Säkerhetsåtgärder...................................................	514
	11.7.9	Upplysningsbestämmelse......................................	515
	11.7.10	Rättelse och skadestånd ........................................	516
	11.7.11	Information som ska lämnas självmant................	516
11.8	Förordningen (1992:62) om bevarande av registret
	rörande vissa alkoholbrott m.m. ..........................................		518
12	Författningar som bl.a. reglerar behandling av
	personuppgifter.......................................................		521

12.1 Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och förordningen (2002:746) om biobanker

i hälso- och sjukvården m.m.................................................		521
12.1.1	Inledning ................................................................	521
12.1.2	Register över biobanker ........................................	522

19

Innehåll

SOU 2017:66

12.1.3 Skyldigheten att dokumentera i patientjournal...		526
12.1.4	Utlämnande av journalhandling ...........................	528
12.1.5	Uppgiftsskyldighet ...............................................	531
12.1.6	PKU-registret........................................................	532
12.1.7	Rättelse och skadestånd........................................	537
12.1.8	Tillsyn ....................................................................	537
12.1.9	Överklagande ........................................................	538
12.2 Lagen (2006:351) om genetisk integritet m.m. ..................		539
12.2.1	Inledning................................................................	539
12.2.2 Förhållandet till annan dataskyddsreglering........		540
12.2.3 Skyldigheten att föra journal och bevarande.......		540
12.2.4	Uppgiftsskyldigheter ............................................	543
12.3 Lagen (2006:496) om blodsäkerhet och förordningen
(2006:497) om blodsäkerhet................................................		543
12.3.1	Inledning................................................................	543
12.3.2 Förhållandet till annan dataskyddsreglering........		544

12.3.3 Register som förs av den som har tillstånd att

bedriva blodverksamhet........................................

544

12.3.4 Register som förs av Inspektionen för vård

	och omsorg............................................................	550
12.3.5	Rättelse och skadestånd........................................	554
12.3.6	Uppgiftsskyldighet ...............................................	554

12.4 Lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler och förordningen (2008:414) om kvalitets- och

säkerhetsnormer vid hantering av mänskliga vävnader
och celler ...............................................................................		555
12.4.1	Inledning................................................................	555
12.4.2 Förhållandet till annan dataskyddsreglering........		555
12.4.3	Register som förs av vävnadsinrättning...............	556

12.4.4 Register som förs av Inspektionen för vård

	och omsorg............................................................	563
12.4.5	Rättelse och skadestånd........................................	566
12.4.6	Uppgiftsskyldigheter ............................................	567

20

SOU 2017:66 Innehåll

12.5 Lagen (2012:263) om kvalitets- och säkerhetsnormer
	vid hantering av mänskliga organ och förordningen
	(2012:346) om kvalitets- och säkerhetsnormer vid
	hantering av mänskliga organ...............................................		568
	12.5.1	Inledning ................................................................	568
	12.5.2 Förhållandet till annan dataskyddsreglering........		568
	12.5.3	Register ..................................................................	569
	12.5.4	Rättelse och skadestånd ........................................	572
	12.5.5	Uppgiftsskyldigheter.............................................	572
12.6	Patientsäkerhetslagen (2010:659) och
	patientsäkerhetsförordningen (2010:1369).........................		573
	12.6.1	Inledning ................................................................	573
	12.6.2	Register ..................................................................	574
	12.6.3	Uppgiftsskyldigheter.............................................	578
12.7 Lagen (2009:366) om handel med läkemedel och
	förordningen (2009:659) om handel med läkemedel..........		579
	12.7.1	Inledning ................................................................	579
	12.7.2 Elektroniskt system för direktåtkomst................		579
	12.7.3	Avgifter ..................................................................	580
	12.7.4	Uppgiftsskyldigheter.............................................	581
	12.7.5 Skyldighet att lämna ut uppgifter elektroniskt....		581
	12.7.6 Skyldighet att föra register....................................		583
12.8	Läkemedelslagen (2015:315) och
	läkemedelsförordningen (2015:458)....................................		583
	12.8.1	Inledning ................................................................	583
	12.8.2	System för säkerhetsövervakning.........................	584
	12.8.3	Personuppgiftsansvar ............................................	584
	12.8.4	Känsliga personuppgifter ......................................	585
	12.8.5	Hälsodataregister...................................................	590
	12.8.6	Uppgiftsskyldigheter.............................................	591
12.9 Förordningen (2013:413) om kosmetiska produkter.........			592
	12.9.1	Inledning ................................................................	592
	12.9.2	Känsliga personuppgifter ......................................	592
	12.9.3	Personuppgiftsansvar ............................................	594

21

Innehåll

SOU 2017:66

12.10 Lagen (2006:1570) om skydd mot internationella hot
mot människors hälsa...........................................................		594
12.10.1	Inledning................................................................	594
12.10.2	Upplysningsbestämmelse .....................................	595
12.10.3	Känsliga personuppgifter......................................	595
12.10.4	Överföring till tredjeland......................................	598
12.11 Tobakslagen (1993:581).......................................................		599
12.12 Alkohollagen (2010:1622) ...................................................		600
12.12.1	Inledning................................................................	600
12.12.2	Register ..................................................................	601
12.12.3	Rättelse och skadestånd........................................	603
12.12.4	Uppgiftsskyldigheter ............................................	603
12.13 Socialtjänstlagen (2001:453) och
socialtjänstförordningen (2001:937)...................................		604
12.13.1	Inledning................................................................	604
12.13.2	Behandling av personuppgifter.............................	605
12.13.3	Register över verksamheter ..................................	606
12.13.4	Säkerhetsåtgärder ..................................................	607
12.13.5	Information och rättelse.......................................	608
12.13.6	Uppgiftsskyldigheter ............................................	610
12.13.7	Gallring ..................................................................	610

12.14 Lagen (1993:387) om stöd och service till vissa funktionshindrade och förordningen (1993:1090) om

stöd och service till vissa funktionshindrade ......................		611
12.14.1	Inledning................................................................	611
12.14.2	Krav på dokumentation ........................................	612
12.14.3	Säkerhetsåtgärder ..................................................	613
12.14.4	Information och rättelse.......................................	613
12.14.5	Uppgiftsskyldighet ...............................................	615
12.14.6	Register över verksamheter ..................................	615
12.14.7	Gallring ..................................................................	617
12.15 Förordningen (1981:1370) om skyldighet för
socialnämnderna att lämna statistiska uppgifter.................		618
12.16 Förordningen (2010:425) om ersättning för kostnader
för sjuklön.............................................................................		619

22

SOU 2017:66		Innehåll
12.17	Förordningen (1998:562) med vissa bemyndiganden för
	Försäkringskassan.................................................................	620
12.18	Lagen (1991:1047) om sjuklön.............................................	621
12.19	Bostadsbidragsförordningen (1993:739).............................	622
12.20	Förordningen (1996:1036) om underhållsstöd...................	623
12.21	Förordningen (1998:1340) om inkomstgrundad
	ålderspension.........................................................................	624
12.22	Förordningen (2008:193) om statligt tandvårdsstöd..........	626
13	Författningar med uppgiftsskyldigheter ......................	629
14	Obsoleta författningar ..............................................	631
14.1	Förordningen (1994:565) om vårdnadsbidragsregister ......	631

14.2 Förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för

	socialförsäkringsregister.......................................................		633
AVSLUTANDE DEL ..........................................................			635
15	Ikraftträdande och övergångsbestämmelser ................		637
15.1	Ikraftträdande .......................................................................		637
15.2	Övergångsbestämmelser.......................................................		639
	15.2.1	Regleringen i dataskyddsförordningen ................	639
	15.2.2	Överklagande av myndighetsbeslut......................	640
	15.2.3	Skadestånd..............................................................	641
	15.2.4	Övriga övergångsbestämmelser............................	642
16	Konsekvenser av att utredningens förslag genomförs ...		643
16.1	Inledning................................................................................		643
16.2	Uppdraget och de ändringar som föreslås...........................		644
16.3	Konsekvenser enligt kommittéförordningen......................		646
16.4	Konsekvenser för den personliga integriteten ....................		647

23

Innehåll

SOU 2017:66

17	Författningskommentar ............................................	649
17.1	Förslaget till lag om ändring i socialförsäkringsbalken......	649

17.2 Förslaget till ändringar i förslaget till lag om behandling av personuppgifter inom verksamheten för

	Inspektionen för socialförsäkringen ...................................	650
17.3	Förslaget till lag om ändring i lagen (1996:1156) om
	receptregister ........................................................................	650
17.4	Förslaget till lag om ändring i lagen (1998:543) om
	hälsodataregister ...................................................................	651
17.5	Förslaget till lag om ändring i lagen (2001:454) om
	behandling av personuppgifter inom socialtjänsten...........	651
17.6	Förslaget till lag om ändring i lagen (2002:297) om
	biobanker i hälso- och sjukvården m.m. .............................	651
17.7	Förslaget till lag om ändring i lagen (2005:258) om
	läkemedelsförteckning .........................................................	652
17.8	Förslaget till lag om ändring i lagen (2006:351) om
	genetisk integritet m.m. .......................................................	652
17.9	Förslaget till lag om ändring i lagen (2006:496) om
	blodsäkerhet..........................................................................	652
17.10	Förslaget till lag om ändring i lagen (2006:1570) om
	skydd mot internationella hot mot människors hälsa........	652
17.11	Förslaget till lag om ändring i lagen (2008:286) om
	kvalitets- och säkerhetsnormer vid hantering av
	mänskliga vävnader och celler..............................................	653
17.12	Förslaget till lag om ändring i patientdatalagen
	(2008:355) .............................................................................	653
17.13	Förslaget till lag om ändring i apoteksdatalagen
	(2009:367) .............................................................................	654
17.14	Förslaget till lag om ändring i lagen (2010:111) om
	införande av socialförsäkringsbalken ..................................	654
17.15 Förslaget till lag om ändring i alkohollagen (2010:1622)...		654

24

SOU 2017:66		Innehåll
17.16	Förslaget till lag om ändring i lagen (2012:263) om
	kvalitets- och säkerhetsnormer vid hantering av
	mänskliga organ ....................................................................	654
17.17	Förslaget till lag om ändring i lagen (2012:453) om
	register över nationella vaccinationsprogram......................	655

17.18 Förslaget till lag om ändring i lagen (2016:526) om behandling av personuppgifter i ärenden om licens för

läkemedel...............................................................................

655

17.19 Förslaget till förordning om ändring i förordningen (1981:1370) om skyldighet för socialnämnderna att

lämna statistiska uppgifter....................................................

655

17.20 Förslaget till förordning om ändring i förordningen (2001:637) om behandling av personuppgifter inom

	socialtjänsten .........................................................................	656
17.21	Förslaget till förordning om ändring i förordningen
	(2001:707) om patientregister hos Socialstyrelsen .............	656
17.22	Förslaget till förordning om ändring i förordningen
	(2001:708) om medicinskt födelseregister hos
	Socialstyrelsen.......................................................................	656
17.23	Förslaget till förordning om ändring i förordningen
	(2001:709) om cancerregister hos Socialstyrelsen ..............	656

17.24 Förslaget till förordning om ändring i förordningen (2003:766) om behandling av personuppgifter inom

	socialförsäkringens administration ......................................	657
17.25	Förslaget till förordning om ändring i förordningen
	(2005:363) om läkemedelsregister hos Socialstyrelsen.......	657
17.26	Förslaget till förordning om ändring i förordningen
	(2006:94) om register hos Socialstyrelsen över insatser
	inom den kommunala hälso- och sjukvården......................	657

17.27 Förslaget till förordning om ändring i förordningen (2006:196) om register över hälso- och

sjukvårdspersonal..................................................................

657

25

Innehåll

SOU 2017:66

17.28	Förslaget till förordning om ändring i förordningen
	(2008:194) om tandhälsoregister hos Socialstyrelsen ........	658
17.29	Förslaget till förordning om ändring i förordningen
	(2009:1422) om behandling av personuppgifter i
	Statistiska centralbyråns verksamhet med framställning
	av statistik över kommunalt vårdnadsbidrag ......................	658

17.30 Förslaget till förordning om ändring i förordningen (2011:116) om register hos Socialstyrelsen över

läkemedel som lämnats ut från apotek i Jämtlands län ......

658

17.31 Förslaget till förordning om ändring i förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet

	i fråga om det statliga tandvårdsstödet................................	659
17.32	Förslaget till förordning om ändring i förordningen
	(2013:413) om kosmetiska produkter.................................	659
17.33	Förslaget till förordning om ändring i
	läkemedelsförordningen (2015:458) ...................................	659
17.34	Förslaget till förordning om upphävande av
	förordningen (1994:565) om vårdnadsbidragsregister.......	659

17.35 Förslaget till förordning om upphävande av förordningen (1998:156) med bemyndigande för

Datainspektionen att meddela säkerhetsföreskrifter för
socialförsäkringsregister.......................................................		660
Referenser.......................................................................		661
Bilagor
Bilaga 1	Kommittédirektiv 2016:52...........................................	667
Bilaga 2	Dataskyddsförordningen.............................................	679

26

Sammanfattning

EU:s dataskyddsförordning blir tillämplig i Sverige den 25 maj 2018 och ersätter då personuppgiftslagen. Utredningen har inför det sett över registerförfattningarna inom Socialdepartementets verksam- hetsområde. Utredningens målsättning, eller utgångspunkt, har varit att den behandling av personuppgifter som är laglig i dag ska kunna fortsätta. Den målsättningen har uppnåtts efter en ingående analys av både dataskyddsförordningen och registerförfattningarna. Utred- ningens förslag, som i huvudsak är av författningsteknisk karaktär, inskränker alltså inte nuvarande möjligheter att behandla person- uppgifter, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. Å andra sidan föreslås inte heller författningsstöd för sådan behandling som inte är laglig i dag.

Dataskyddsförordningen

EU har beslutat om en förordning – den s.k. dataskyddsförordningen

– som utgör en ny generell reglering för behandling av person- uppgifter inom EU. Dataskyddsförordningen ska börja tillämpas den 25 maj 2018 och vid samma tidpunkt kommer personuppgifts- lagen att upphävas. Dataskyddsförordningen är direkt tillämplig och dess bestämmelser är tvingande. Nationell lagstiftning på området kommer därför endast att komplettera dataskyddsförordningen i den utsträckningen det är möjligt att göra undantag eller förtydliganden i förhållande till dataskyddsförordningen.

Dataskyddsutredningen har föreslagit en ny lag – dataskydds- lagen – som, om förslaget leder till lagstiftning, kommer att inne- hålla bestämmelser som kompletterar dataskyddsförordningen på en generell nivå.

27

Sammanfattning

SOU 2017:66

Det har sedan över ett år tillbaka dessutom pågått ett omfatt- ande arbete med att anpassa befintliga registerförfattningar till data- skyddsförordningen. Registerförfattningarna kommer att komplettera dataskyddsförordningen på verksamhetsspecifik nivå. Den före- slagna dataskyddslagen kommer att vara subsidiär i förhållande till registerförfattningarna och är tillämplig i verksamheter som om- fattas av en särskild registerförfattning endast om inget annat följer av registerförfattningen eller föreskrifter som har meddelats med stöd av den.

Socialdataskyddsutredningen har haft i uppdrag att analysera vilka konsekvenser dataskyddsförordningen medför i fråga om behandling av personuppgifter inom Socialdepartementets verksamhetsområde samt föreslå behövliga och lämpliga anpassningar av författningar inom verksamhetsområdet till följd av den nya förordningen.

I det följande sammanfattas de viktigaste bedömningarna och förslagen i betänkandet.

Utgångspunkter för översynen

En utgångspunkt för utredningen har varit att de personuppgifts- ansvariga ska kunna fortsätta att behandla personuppgifter på samma sätt som de får i dag. Det innebär att översynen har inriktats på att undersöka om behandling som i dag är laglig kommer att kunna ske när dataskyddsförordningen ska tillämpas.

Konsekvenser för verksamheter som inte har en registerförfattning

När personuppgiftslagen upphävs försvinner möjligheten att be- handla personuppgifter med stöd av den s.k. missbruksregeln (5 a § personuppgiftslagen). Någon motsvarande regel finns inte i data- skyddsförordningen.

Offentliga myndigheter får enligt dataskyddsförordningen inte behandla personuppgifter med stöd av en intresseavvägning när de fullgör sina arbetsuppgifter, vilket lär innefatta de arbetsuppgifter de utför inom den myndighetsspecifika verksamheten. Möjlighet- erna för myndigheter att behandla personuppgifter med stöd av en intresseavvägning minskar därmed.

28

SOU 2017:66

Sammanfattning

Det har inte framkommit att några myndigheter eller verksam- heter inom Socialdepartementets verksamhetsområde som inte har en registerförfattning behöver kompletterande föreskrifter till följd av att personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas.

Utredningen har dock genom tilläggsdirektiv fått i uppdrag att utreda behovet av en särskild författning med bestämmelser om be- handling av personuppgifter för Myndigheten för vård- och omsorgs- analys. Det uppdraget ska redovisas senast den 15 januari 2018.

Nationella bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen

Medlemsstaternas nationella lagstiftning får enligt artikel 6.2 och 6.3 i dataskyddsförordningen innehålla mer specifika bestämmelser för att anpassa tillämpningen av dataskyddsförordningen för såväl myndigheter som enskilda när det gäller behandling av person- uppgifter som är tillåten enligt artikel 6.1 c eller e. Det innebär att det är möjligt att i registerförfattningarna närmare reglera förutsätt- ningarna för behandling när behandlingen är nödvändig

• för att fullgöra en rättslig förpliktelse,

• för att utföra en arbetsuppgift av allmänt intresse, eller

• för att utföra en arbetsuppgift som ett led i den personuppgifts- ansvariges myndighetsutövning.

Därutöver hindrar dataskyddsförordningen inte att medlemsstaterna i nationell rätt inför mer restriktiva bestämmelser än enligt data- skyddsförordningen för sina egna myndigheters behandling av per- sonuppgifter eller ålägger dem utökade skyldigheter.

Registerförfattningarnas tillämpningsområde

Nationell lagstiftning som kompletterar dataskyddsförordningen kan ha både ett vidare och ett snävare tillämpningsområde än dataskydds- förordningen. Bestämmelser om registerförfattningars tillämpnings- område behöver därför i regel inte ändras med anledning av data- skyddsförordningen. Patientdatalagen, lagen om behandling av per-

29

Sammanfattning

SOU 2017:66

sonuppgifter inom socialtjänsten och den tillhörande förordningen om behandling av personuppgifter inom socialtjänsten omfattar dock viss behandling av personuppgifter som syftar till att verk- ställa straffrättsliga påföljder, såsom rättspsykiatrisk vård och ung- domsvård. Sådan behandling omfattas inte av dataskyddsförord- ningen utan av det nya dataskyddsdirektivet som i Sverige föreslås bli genomfört genom en ny brottsdatalag. Utredningen föreslår därför att lagen om behandling av personuppgifter inom social- tjänsten och den tillhörande förordningen inte ska gälla vid sådan behandling av personuppgifter som omfattas av den föreslagna brottsdatalagen. Patientdatalagen föreslås däremot gälla utöver den föreslagna brottsdatalagen vid behandling av personuppgifter inom rättspsykiatrisk vård.

Rättslig grund för behandling av personuppgifter

Ändamål

Behandling av personuppgifter är laglig enligt dataskyddsförord- ningen endast om och i den mån åtminstone ett av villkoren i arti- kel 6.1 i dataskyddsförordningen är uppfyllt. Villkoren i artikel 6.1 i dataskyddsförordningen är i huvudsak desamma som anges i arti- kel 7 i dataskyddsdirektivet och 10 § personuppgiftslagen.

I registerförfattningar anges ofta de ändamål för vilka person- uppgifter får behandlas. Utredningen har konstaterat att de ända- mål som anges i de registerförfattningar som setts över grundar sig på rättsliga förpliktelser eller arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning. Ändamålen har därmed stöd i dataskyddsförordningen och kan behållas.

Nya krav på den rättsliga grunden

Det har i och med dataskyddsförordningen tillkommit vissa nya krav på de rättsliga grunderna för behandling av personuppgifter. När det gäller behandling som är nödvändig för att den person- uppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning måste grunden fastställas i nationell rätt eller

30

SOU 2017:66

Sammanfattning

EU-rätt. Vidare måste syftet med behandling som sker på den grunden att den är nödvändig för att fullgöra en rättslig förpliktelse fastställas i den rättsliga grunden. I fråga om behandling för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning gäller i stället att syftet med behandlingen ska vara nödvändigt för ändamålet. Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter för att uppfylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning måste slut- ligen också uppfylla ett mål av allmänt intresse och vara proportio- nell mot det legitima mål som eftersträvas.

Myndighetsutövning måste alltid ha stöd i författning och rätts- liga förpliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. Arbetsuppgifter av allmänt intresse härrör från uppdrag och åligganden som framgår av olika verksamhetsorienterade författningar eller regeringsbeslut. Är den rättsliga grunden inte fastställd i annan författning, är den dessutom i vart fall fastställd genom registerförfattningens ända- målsbestämmelser. Utredningen bedömer därför att kravet på att grunden ska vara fastställd genomgående är uppfyllt.

Syftet med en behandling av personuppgifter med anledning av en rättslig förpliktelse kan enligt utredningens bedömning framgå av en registerförfattning eller av exempelvis den författning som reglerar själva verksamheten. För arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning får det förutsättas att tidi- gare bedömningar av lagligt stöd för behandling av personuppgifter även innefattat ett ställningstagande till att syftet med behandlingen för det aktuella ändamålet också är nödvändigt för ändamålet.

Även kravet på att den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter måste upp- fylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas får anses vara uppfyllt genom tidigare ställningstaganden.

31

Sammanfattning

SOU 2017:66

Samtycke

Samtycke utgör enligt både dataskyddsdirektivet och dataskydds- förordningen en rättslig grund för behandling av personuppgifter. Utredningen har funnit att bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan behållas.

Finalitetsprincipen

Utredningens utgångspunkt är att i den mån det är möjligt behålla de möjligheter att behandla personuppgifter som myndigheter och vissa enskilda aktörer har i dagsläget. Det krävs därför att det är tydligt att de uppräknade ändamålen i registerförfattningarna inte är uttömmande när så har gällt tidigare. Utredningen behåller därför i sina förslag bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i författningen uttryckligen angivna ändamål, får behandlas också för andra ändamål när det inte strider mot finalitetsprincipen.

Känsliga personuppgifter och uppgifter om lagöverträdelser

Nya kategorier av känsliga personuppgifter

Det har i dataskyddsförordningen tillkommit några nya kategorier av känsliga personuppgifter – genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Att nya kategorier lagts till de befintliga innebär att det kommer att vara fler uppgifter som kategoriseras som käns- liga och som därmed omfattas av artikel 9 i dataskyddsförordningen. Eftersom huvudregeln enligt artikel 9.1 är att det är förbjudet att behandla känsliga personuppgifter, måste något av undantagen i artikel 9.2 vara tillämpligt för att behandling av sådana uppgifter ska vara tillåten.

Bestämmelser i särskilda registerförfattningar som tillåter att alla kategorier av känsliga personuppgifter enligt nuvarande defini- tion får behandlas bör avse alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestämmelser som endast tillåter behandling av någon eller några av kategorierna av känsliga personuppgifter enligt nuvarande definition bör där-

32

SOU 2017:66

Sammanfattning

emot som utgångspunkt inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter. Utredningen har dock i två fall, när det gäller patientdatalagen och läkemedelsförordningen, föreslagit förtydliganden som innebär att viss behandling av de nytillkomna kategorierna av känsliga personuppgifter ska vara tillåten även i fortsättningen. Detta eftersom det bedömts nödvändigt för en ändamålsenlig behandling av personuppgifter i de aktuella verksam- heterna.

Tillåten behandling av känsliga personuppgifter

Utredningen bedömer att bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av ett vik- tigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet är för- enliga med artikel 9.2 g i dataskyddsförordningen. I ett fall, när det gäller läkemedelsförordningen, har dock regleringen inte bedömts leva upp till det nya kravet på att det ska finnas bestämmelser om lämpliga skyddsåtgärder i den nationella lagstiftningen. Utredningen har därför föreslagit en begränsning som innebär att behandling av de där aktuella personuppgifterna endast får ske för angivna ändamål.

Viss behandling av känsliga personuppgifter – enligt lagen om blodsäkerhet, lagen om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler, lagen om skydd mot inter- nationella hot mot människors hälsa samt lagen om register över nationella vaccinationsprogram – som tidigare tillåtits med stöd av ett viktigt allmänt intresse enligt artikel 8.4 i dataskyddsdirektivet har utredningen bedömt vara tillåten med stöd av det s.k. folk- hälsoundantaget i artikel 9.2 i i dataskyddsförordningen.

Även bestämmelser i registerförfattningar som tillåter behand- ling av känsliga personuppgifter inom hälso- och sjukvården samt inom social omsorg, såsom socialtjänst, är förenliga med dataskydds- förordningen. Sådana bestämmelser bör dock kompletteras med en bestämmelse som påminner om det nya kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnads- plikt.

33

Sammanfattning

SOU 2017:66

Uppgifter om lagöverträdelser

Nuvarande bestämmelser i registerförfattningarna om uppgifter om lagöverträdelser omfattar, utöver vad som gäller enligt dataskydds- förordningen, även uppgifter om friande brottmålsdomar och admi- nistrativa frihetsberövanden och innebär oftast restriktioner för behandlingen. Att dessa uppgifter, som omfattas av motsvarande bestämmelse i dataskyddsdirektivet, inte omfattas av dataskydds- förordningens reglering gör det möjligt att ta bort sådana restrik- tioner. Det är dock enligt utredningens mening svårt att se varför myndigheter och enskilda skulle få behandla sådana kategorier av personuppgifter i större utsträckning än de hittills har bedömts ha behov av bara därför att dataskyddsförordningen gör det möjligt. Med stöd av möjligheten att införa nationella bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen bör även de begränsningar för uppgifter om lagöverträdelser som inte omfattas av artikel 10 i dataskyddsförordningen behållas.

Personnummer

Bestämmelser om att personnummer får registreras, t.ex. i en data- bas, eller att (bara) personnummer får användas som sökbegrepp vid vissa sökningar kan enligt utredningens mening inte i sig anses ställa upp några särskilda villkor för behandlingen av personnum- mer enligt artikel 87 i dataskyddsförordningen. Det behöver därför inte iakttas några sådana lämpliga skyddsåtgärder som krävs enligt samma artikel. Skulle sådana bestämmelser trots allt anses ställa upp särskilda villkor, är de bestämmelser som redan finns i register- författningarna att anse som lämpliga skyddsåtgärder.

Överföring till tredjeland

Dataskyddsförordningens bestämmelser om överföring till tredje- land är direkt tillämpliga och medför inte något behov av nationella bestämmelser som tillåter överföring av personuppgifter till tredje- land. En nationell bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten har dock en klargörande verkan och får anses vara en sådan mer specifik, eller särskild,

34

SOU 2017:66

Sammanfattning

bestämmelse som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning. Bestämmelserna i registerförfattningarna som anger när överföring av personuppgifter till tredjeland är tillåten har bedömts förenliga med dataskyddsförordningen och behöver därför inte ändras.

Rättigheter och skyldigheter

Nya rättigheter och skyldigheter

Det är utredningens övergripande bedömning att de nya rättigheter för registrerade och de nya skyldigheter för personuppgiftsansva- riga som dataskyddsförordningen medför normalt sett inte kan anses så betungande för de personuppgiftsansvariga att det med fog kan sägas vara nödvändigt och proportionerligt att begränsa dem ens vid behandling av personuppgifter som rör viktiga mål av gene- rellt allmänt intresse. Utredningens utgångspunkt är därför att det inte bör finnas begränsningar i registerförfattningarna som innebär att de registrerade inte får mera rättigheter än i dag trots att nya rättigheter följer av dataskyddsförordningen.

Rätt att göra invändningar

Den registrerade ska, enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av person- uppgifter avseende honom eller henne som grundar sig på allmänt intresse, myndighetsutövning eller en intresseavvägning.

Flera registerförfattningar innehåller bestämmelser som begränsar rätten att göra invändningar. Utredningen har i fråga om sådana be- stämmelser gjort en prövning av om begränsningen är tillåten enligt den undantagsmöjlighet som anges i artikel 23.1 i dataskyddsförord- ningen i förhållande till varje enskild registerförfattning. Prövning- arna har lett till slutsatsen att det även fortsättningsvis är tillåtet att begränsa rätten att göra invändningar på det sätt som skett.

35

Sammanfattning

SOU 2017:66

Information till registrerade

Bestämmelser i registerförfattningar om att den information som ska lämnas till registrerade ska innehålla fler upplysningar än vad som följer av dataskyddsförordningen kan och bör behållas om skyldigheten avser myndigheter eller den ursprungliga behand- lingen grundas på att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. Krav på information till registrerade som motsvarar krav som finns i dataskyddsförordningen bör tas bort. Bestämmelserna bör kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen.

Rättelse

Dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling är direkt tillämpliga. Bestämmelser i registerförfattningar med hänvisningar till bestämmelserna i person- uppgiftslagen om rättelse bör således upphävas och inte ersättas av hänvisningar till dataskyddsförordningen.

Automatiserade beslut

Utredningen bedömer att artikel 22.1 i dataskyddsförordningen omfattar enbart beslut som grundas på automatiserad behandling och inkluderar profilering. I den mån det inom Socialdepartemen- tets verksamhetsområde förekommer sådana beslut, krävs att något av de undantag som anges i artikel 22.2 i dataskyddsförordningen är tillämpligt. Vanligare är dock att beslut fattas genom automatiserad behandling utan att det inkluderar profilering. Sådana beslut om- fattas enligt utredningens tolkning inte av artikel 22 i dataskydds- förordningen, och dataskyddsförordningen ställer inte heller i övrigt några krav på att sådant beslutsfattande ska regleras särskilt.

36

SOU 2017:66

Sammanfattning

Säkerhetsåtgärder

Bestämmelser om säkerhetsåtgärder/skyddsåtgärder som finns i registerförfattningar är enligt utredningens bedömning sådana mer specifika, eller särskilda, bestämmelser som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rätts- lig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Myndigheter kan vidare genom nationell lag åläggas krav på säkerhetsåtgärder utan hinder av data- skyddsförordningen. Vid viss behandling av känsliga personupp- gifter krävs det dessutom att skyddsåtgärder regleras i nationell rätt. Så är fallet även vid behandling av uppgifter om lagöverträdel- ser som inte utförs under kontroll av en myndighet.

Gallring

Bestämmelser i registerförfattningar om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande kan behållas under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning eller därför att bestämmelserna endast avser myndigheters behandling av personuppgifter.

Formuleringar i registerförfattningarna om bevarande av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål bör dock ändras till att avse arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med formuleringen i dataskyddsförordningen. Enligt utred- ningens bedömning innebär omformuleringen inte någon skillnad i sak.

Tillsyn

Av Dataskyddsutredningens förslag till dataskyddslag framgår att tillsynsmyndighetens befogenheter enligt dataskyddsförordningen ska gälla även vid tillsyn över efterlevnaden av bestämmelserna i dataskyddslagen och andra författningar som kompletterar data- skyddsförordningen. Det behövs därför inte några särskilda be-

37

Sammanfattning

SOU 2017:66

stämmelser om tillsyn i de registerförfattningar som omfattas av översynen.

Sanktioner

Skadestånd

Bestämmelserna i dataskyddsförordningen om skadestånd är direkt tillämpliga även på sådan behandling av personuppgifter som om- fattas av en registerförfattnings tillämpningsområde, under förut- sättning att det rör sig om sådan behandling som också omfattas av dataskyddsförordningen. Bestämmelser i registerförfattningar med hänvisningar till bestämmelserna om skadestånd i personuppgifts- lagen bör därför upphävas och inte ersättas av hänvisningar till dataskyddsförordningen.

Sanktionsavgifter

I artikel 83 i dataskyddsförordningen finns en uttömmande upp- räkning av när det är möjligt att utfärda sanktionsavgifter. Efter- som endast överträdelser av nationell lagstiftning som antagits på grundval av kapitel IX omnämns i artikeln, kan sanktionsavgifter påföras endast vid överträdelser av sådana nationella bestämmelser. Vid överträdelser av bestämmelser i de registerförfattningar som omfattas av utredningens översyn, som samtidigt innebär en över- trädelse av dataskyddsförordningens bestämmelser, är det dock enligt utredningens bedömning möjligt att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i dataskyddsförord- ningen. Utredningen bedömer att det inte finns något behov av bestämmelser om administrativa sanktionsavgifter i registerförfatt- ningarna.

Överklagande

Dataskyddsutredningen har föreslagit att dataskyddslagen ska inne- hålla en bestämmelse om överklagande av personuppgiftsansvariga myndigheters beslut. Den bestämmelsen kommer att vara tillämplig även inom registerförfattningarnas tillämpningsområde, på samma

38

SOU 2017:66

Sammanfattning

sätt som personuppgiftslagens bestämmelser är det i dag. Något skäl att reglera överklagandemöjligheten på annat sätt än vad Data- skyddsutredningen föreslagit har inte framkommit. Bestämmelser om överklagande i registerförfattningar som enbart avser beslut om behandling av personuppgifter bör därför upphävas. I de fall register- författningen även innehåller överklagandebestämmelser avseende andra beslut än sådana som berör behandling av personuppgifter bör det dock införas en upplysning om att det finns bestämmelser om överklagande i den föreslagna dataskyddslagen.

Uppgiftsskyldigheter

För ett utlämnande av behandlade personuppgifter gäller enligt utredningens bedömning i princip samma förutsättningar enligt dataskyddsförordningen och dataskyddsdirektivet. Utlämnandet måste ske med stöd av ett primärt eller sekundärt ändamål eller vara förenligt med finalitetsprincipen alternativt omfattas av ett tillåtet undantag från den principen. De bestämmelser om uppgiftsskyldig- het som finns inom Socialdepartementets verksamhetsområde är därmed lika tillåtna enligt dataskyddsförordningen som enligt data- skyddsdirektivet. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

Barns personuppgifter

Utredningen har tänkt på barnens rättigheter enligt barnkonven- tionen när förslagen skrivits. Det behövs inte några nya bestämmel- ser för att uppfylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter.

Författningar som bör upphävas

Utredningen har kommit fram till att två av de författningar som ingått i översynen, förordningen om vårdnadsbidragsregister och förordningen med bemyndigande för Datainspektionen att med- dela säkerhetsföreskrifter för socialförsäkringsregister, är obsoleta,

39

Sammanfattning

SOU 2017:66

överspelade. De författningarna bör därför inte anpassas till data- skyddsförordningen utan i stället upphävas.

Ikraftträdande och övergångsbestämmelser

Författningsändringar till följd av dataskyddsförordningen bör träda i kraft den 25 maj 2018, medan författningsändringar till följd av den föreslagna brottsdatalagen bör träda i kraft den 1 maj 2018. Utredningen föreslår att övergångsbestämmelser införs avseende bestämmelser om överklagande och skadestånd.

Konsekvenser

Utredningens förslag leder inte till att möjligheten att behandla personuppgifter förändras, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. Skydds- åtgärden innebär ett förstärkt skydd av den personliga integriteten. I övrigt medför förslagen inga konsekvenser. Däremot får förstås den direkt tillämpliga dataskyddsförordningen konsekvenser, vilka är generella för alla verksamheter i Sverige och beskrivs översiktligt.

40

1 Författningsförslag

1.1 Förslag till

lag om ändring i socialförsäkringsbalken

Härigenom föreskrivs i fråga om socialförsäkringsbalken dels att 114 kap. 33 § ska upphöra att gälla,

dels att rubriken närmast före 114 kap. 33 § ska utgå,

dels att 114 kap. 1, 6, 10, 11, 12, 13, 15, 16, 27, 29, 30, 31 och 36 §§ och rubriken närmast före 114 kap. 6 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 6 a §, och närmast före 6 a § en ny rubrik av följande lydelse.

Nuvarande lydelse Föreslagen lydelse

114 kap.

1 §1

I detta kapitel finns allmänna bestämmelser i 2–5 §§.

Vidare finns bestämmelser om
– personuppgiftslagen och per-	– förhållandet till annan data-
sonuppgiftsansvar i 6 §,	skyddsreglering i 6 §,
	– personuppgiftsansvar i 6 a §,

– ändamål för behandling av personuppgifter i 7–10 §§,

– behandling av känsliga personuppgifter m.m. i 11–13 §§,

– behandling av personuppgifter i socialförsäkringsdatabasen i 14–16 §§,

– tilldelning av behörighet i 17 §,

– direktåtkomst i 18–23 §§,

– utlämnande på medium för automatisk behandling i 24–26 a §§,

– sökbegrepp i 27 och 28 §§,

1 Senaste lydelse 2012:935.

41

Författningsförslag SOU 2017:66

– överföring		av	personupp-		– överföring	av	personupp-
gifter till tredje land i 29 §,					gifter till tredjeland i 29 §,
– information i 30 §,
– gallring i 31 §,
– avgifter i 32 §,
– rättelse och skadestånd i 33 §,
– kontrollverksamhet i 34 §,
– tystnadsplikt i 35 §, och
– överklagande i 36 §.
Personuppgiftslagen					Förhållandet till annan
och personuppgiftsansvar					dataskyddsreglering
				6 §
Personuppgiftslagen (1998:204)					Bestämmelserna i detta kapitel
gäller vid behandling av person-					kompletterar Europaparlamentets
uppgifter inom socialförsäkringens					och rådets förordning (EU)
administration,		om	inte annat		2016/679 av den 27 april 2016
följer av detta kapitel eller före-					om skydd för fysiska personer
skrifter som meddelas med stöd					med avseende på behandling av
av kapitlet eller av personupp-					personuppgifter och om det fria
giftslagen. Med		socialförsäkring-			flödet av sådana uppgifter och om
ens administration avses i detta					upphävande av direktiv 95/46/EG
kapitel Försäkringskassan				och	(allmän dataskyddsförordning).
Pensionsmyndigheten.					Lagen (2018:xx) med kom-
En myndighet inom social-					pletterande bestämmelser till EU:s
försäkringens	administration			är	dataskyddsförordning gäller vid
personuppgiftsansvarig för				den	behandling av personuppgifter en-
behandling	av	personuppgifter			ligt detta kapitel, om inte annat
som den utför.					följer av detta kapitel eller före-
					skrifter som har meddelats med
					stöd av kapitlet.
					Personuppgiftsansvar
					6 a §
					Med socialförsäkringens admi-
					nistration avses i detta kapitel
					administration	hos	Försäkrings-
					kassan och Pensionsmyndigheten.

42

SOU 2017:66 Författningsförslag

					En myndighet inom social-
					försäkringens administration		är
					personuppgiftsansvarig för den be-
					handling	av personuppgifter	som
					den utför.
				10 §
I fråga om behandling av					Att personuppgifter som be-
personuppgifter för annat ända-					handlas för ändamål som anges i
mål än vad som anges i 7–9 §§					7 § även får behandlas för andra
gäller	9 §	första stycket d		och	ändamål framgår av artikel 5.1 b
andra stycket personuppgiftslagen					i Europaparlamentets och rådets
(1998:204).					förordning (EU) 2016/679.
				11 §
Känsliga		personuppgifter		som	Sådana särskilda kategorier av
avses	i 13 § personuppgiftslagen				personuppgifter som anges i arti-
(1998:204)		(känsliga	person-		kel 9.1 i Europaparlamentets och
uppgifter) får behandlas om upp-					rådets förordning (EU) 2016/679
gifterna lämnats till en myndig-					(känsliga	personuppgifter)	får
het	inom	socialförsäkringens			behandlas om uppgifterna läm-
administration i ett ärende eller					nats till en myndighet inom
är nödvändiga för handläggning					socialförsäkringens administra-
av ett ärende. Känsliga person-					tion i ett ärende eller är nöd-
uppgifter får vidare			behandlas		vändiga för handläggning av ett
för något av de ändamål som					ärende. Känsliga personuppgif-
anges i 7 § första stycket 1 samt					ter får vidare behandlas för
8 och 9 §§ om det är nödvändigt					något av de ändamål som anges i
med hänsyn till ändamålet.					7 § första stycket 1 samt 8 och
					9 §§ om det är nödvändigt med
					hänsyn till ändamålet.

För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet.

Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som

43

Uppgifter om lagöverträdel- ser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihets- berövanden (uppgifter om lag- överträdelser) får behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Uppgifter om lag- överträdelser får behandlas för något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet.

För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får uppgifter om lagöver- trädelser behandlas som enligt 15 § får behandlas i socialförsäk- ringsdatabasen.

Författningsförslag

SOU 2017:66

behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4.

12 §

Uppgifter om lagöverträdel- ser m.m. som avses i 21 § person- uppgiftslagen (1998:204) får be- handlas om uppgifterna lämnats till en myndighet inom social- försäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen får behandlas för något av de ändamål som anges i 7 § första stycket 1 samt 8 och 9 §§ om det är nödvändigt med hänsyn till ändamålet.

För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen be- handlas som enligt 15 § får be- handlas i socialförsäkringsdata- basen.

Utöver vad som följer av första stycket första meningen och andra stycket får sådana uppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lagöverträdelser än dem som be- handlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4.

44

I 15 § finns särskilda bestäm- melser om behandling i social- försäkringsdatabasen av sådana känsliga personuppgifter som avses i 11 § första stycket och sådana uppgifter om lagöverträ- delser som avses i 12 § första stycket.

SOU 2017:66

Författningsförslag

13 §

I 15 § finns särskilda bestäm- melser om behandling i social- försäkringsdatabasen av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204).

15 §

För de ändamål som anges i 7–10 §§ får, med beaktande av de begränsningar som följer av 7 och 14 §§, identifierings- och adress-

uppgifter behandlas i socialförsäkringsdatabasen.
Känsliga personuppgifter eller						Sådana		känsliga	personupp-
uppgifter		om	lagöverträdelser			gifter som		avses i	11 §	första
m.m. som avses i 21 § person-						stycket eller sådana uppgifter om
uppgiftslagen (1998:204) får ut-						lagöverträdelser som avses i 12 §
över vad som anges i 16 § be-						första stycket får, utöver vad som
handlas	i	socialförsäkringsdata-				anges i 16 §, behandlas i social-
basen bara om det särskilt anges						försäkringsdatabasen			bara	om
i lag eller förordning. För sådan						det särskilt anges i lag eller för-
behandling gäller de begräns-						ordning. För sådan			behandling
ningar	som följer			av 11	och	gäller de begränsningar som följer
12 §§.	Regeringen			eller	den	av 11	och 12 §§.		Regeringen
myndighet som regeringen be-						eller den myndighet som reger-
stämmer		meddelar		föreskrifter		ingen bestämmer meddelar före-
om ytterligare begränsningar för						skrifter om ytterligare begräns-
vilka uppgifter som får behand-						ningar för vilka uppgifter som
las i socialförsäkringsdatabasen.						får behandlas i socialförsäkrings-
						databasen.
					16 §
Uppgifter i en handling som						Uppgifter i en handling som
kommit in i ett ärende får be-						kommit in i ett ärende får be-
handlas	i	socialförsäkringsdata-				handlas	i socialförsäkringsdata-
basen även om de utgör känsliga						basen även om de utgör sådana
personuppgifter			eller uppgifter			känsliga	personuppgifter			som
om lagöverträdelser				m.m. som		avses i	11 § första stycket			eller

45

Författningsförslag

SOU 2017:66

avses i 21 § personuppgiftslagen

(1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialför- säkringsdatabasen, om uppgif- terna är nödvändiga för ärendets handläggning.

sådana uppgifter om lagöverträ- delser som avses i 12 § första stycket. Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialför- säkringsdatabasen, om uppgif- terna är nödvändiga för ärendets handläggning.

		27 §
Känsliga personuppgifter eller			Sådana	känsliga	personupp-
uppgifter	om	lagöverträdelser	gifter som	avses i	11 § första
m.m. som avses i 21 § person-			stycket eller sådana uppgifter om
uppgiftslagen (1998:204) får inte			lagöverträdelser som avses i 12 §
användas	som	sökbegrepp vid	första stycket får inte användas
sökning i socialförsäkringsdata-			som sökbegrepp vid sökning i
basen.			socialförsäkringsdatabasen.

Vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upp- rättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp.

Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsningar i övrigt för vilka sök- begrepp som får användas.

29 §

Överföring av personuppgifter	Personuppgifter får föras över
till tredje land på grund av åtagan-	till tredjeland på grund av åtagan-
den i avtal om social trygghet	den i avtal om social trygghet
som Sverige ingått med andra	som Sverige ingått med andra
stater får ske utan hinder av 33 §	stater.
personuppgiftslagen (1998:204).
30 §
Personuppgifter i handlingar	Personuppgifter i handlingar
som kommit in i ett ärende eller	som kommit in i ett ärende eller
upprättats i ett ärende behöver	upprättats i ett ärende behöver
inte tas med i information	inte tas med i sådan information
enligt 26 § personuppgiftslagen	som avses i artikel 15 i Europa-

46

Bestämmelser om överklag- ande finns i lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Andra beslut enligt detta kapi- tel än sådana som får överklagas enligt de bestämmelser som avses i första stycket får inte överklagas.

47

Personuppgifter som behand- las automatiserat ska gallras när de inte längre är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om att upp- gifter får bevaras för arkivända- mål av allmänt intresse, veten- skapliga eller historiska forsknings- ändamål eller statistiska ändamål.

SOU 2017:66

Författningsförslag

(1998:204) om den registrerade tagit del av handlingens innehåll. Av informationen ska det dock framgå vilka sådana handlingar som behandlas. Om den regi- strerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess. I sistnämnda fall ska begränsningen i 26 § personupp- giftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig.

parlamentets och rådets förord- ning (EU) 2016/679 om den registrerade tagit del av hand- lingens innehåll. Av informa- tionen ska det dock framgå vilka sådana handlingar som behand- las. Om den registrerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess.

31 §

Personuppgifter som behand- las automatiserat ska gallras när de inte längre är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om att upp- gifter får bevaras för historiska, statistiska eller vetenskapliga ända- mål.

36 §

I fråga om överklagande av beslut om rättelse eller om avslag på ansökan om information enligt 26 § personuppgiftslagen (1998:204) tillämpas bestämmel- serna i den lagen. Andra beslut enligt detta kapitel får inte över- klagas.

Författningsförslag

SOU 2017:66

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter gäller fortfarande för överklagande av be- slut som har meddelats före ikraftträdandet.

48

SOU 2017:66

Författningsförslag

1.2 Förslag till

ändringar i förslaget till lag om behandling av personuppgifter inom verksamheten

för Inspektionen för socialförsäkringen

Härigenom föreslås i fråga om förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen

dels att 5 och 17 §§ ska tas bort,

dels att rubrikerna närmast före 5 och 17 §§ ska tas bort,

dels att 2, 3, 7, 8, 15 och 16 §§ och rubriken närmast före 3 § ska ha följande lydelse.

Tidigare föreslagen lydelse				Utredningens förslag till lydelse
			2 §
	Behandling av personuppgifter som är tillåten enligt denna lag
får utföras även om den enskilde motsätter sig behandlingen.
	Första stycket gäller inte om			Första stycket gäller inte om
personuppgifter samlas in direkt				personuppgifter samlas in direkt
från den enskilde. I sådant fall				från den enskilde. I sådant fall
får	personuppgifter		behandlas	får personuppgifter behandlas
endast om den enskilde har				endast om den enskilde har
lämnat sitt uttryckliga samtycke				lämnat sitt uttryckliga samtycke
till	behandlingen.		Bestämmel-	till behandlingen.
serna i 12 §		personuppgiftslagen
(1998:204)		om återkallelse av
lämnat samtycke tillämpas på mot-
svarande sätt vid behandling av
personuppgifter enligt denna lag.
Förhållandet till				Förhållandet till
personuppgiftslagen				annan dataskyddsreglering
			3 §
	Personuppgiftslagen (1998:204)			Denna lag kompletterar Europa-
gäller vid behandling av person-				parlamentets och rådets förordning
uppgifter inom verksamheten vid				(EU) 2016/679 av den 27 april
inspektionen om inte annat följer				2016 om skydd för fysiska perso-

49

Sådana särskilda kategorier av personuppgifter som anges i arti- kel 9.1 i Europaparlamentets och rådets förordning (EU) 2016/679 (känsliga personuppgifter) och personuppgifter om lagöverträdel- ser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihets- berövanden får behandlas om uppgifterna har lämnats i ett

Personuppgifter får behand- las för att fullgöra ett utläm- nande av uppgifter som sker i överensstämmelse med lag eller förordning. Att personuppgifter som behandlas för ändamål som anges i 6 § även får behandlas för andra ändamål framgår av arti- kel 5.1 b i Europaparlamentets och rådets förordning (EU) 2016/679.

Författningsförslag

SOU 2017:66

av denna lag eller föreskrifter som har meddelats med stöd av denna lag.

ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen.

7 §

Personuppgifter får behand- las för att fullgöra ett utläm- nande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

8 §

Känsliga personuppgifter en- ligt 13 § personuppgiftslagen (1998:204) och personuppgifter som avses i 21 § samma lag får behandlas om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handlägg- ningen av ett sådant ärende.

50

Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte reger- ingen eller den myndighet som regeringen bestämmer har med- delat föreskrifter eller i ett en- skilt fall beslutat att gallring ska ske senast vid en viss tidpunkt eller att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål.

51

Sådan information som avses i artikel 15 i Europaparlamentets och rådets förordning (EU) 2016/679 behöver inte omfatta en uppgift som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild.

SOU 2017:66

Författningsförslag

tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende.

15 §

Information som ska lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta en uppgift som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild.

16 §

Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte reger- ingen eller den myndighet som regeringen bestämmer har med- delat föreskrifter eller i ett en- skilt fall beslutat att gallring ska ske senast vid en viss tidpunkt eller att uppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål.

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen.

Författningsförslag

SOU 2017:66

1.3 Förslag till

lag om ändring i lagen (1996:1156) om receptregister

Härigenom föreskrivs i fråga om lagen (1996:1156) om recept- register2

dels att 24 § ska upphöra att gälla,

dels att rubriken närmast före 24 § ska utgå,

dels att 3, 7 och 20 §§ och rubriken närmast före 3 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till	Förhållandet till
personuppgiftslagen3	annan dataskyddsreglering

3 §4

Personuppgiftslagen (1998:204) gäller för behandling av person- uppgifter i receptregistret, om inte annat följer av denna lag eller föreskrifter som meddelas i an- slutning till denna lag.

2 Senaste lydelse av 24 § 2009:370.

3 Senaste lydelse 2009:370.

4 Senaste lydelse 2009:370.

52

SOU 2017:66 Författningsförslag

	7 §5
I fråga om behandling av per-		Att personuppgifter som be-
sonuppgifter	i receptregistret för	handlas för ändamål som anges i
annat ändamål än vad som anges		6 § även får behandlas för andra
i 6 § gäller 9 § första stycket d och		ändamål framgår av artikel 5.1 b
andra stycket personuppgiftslagen		i Europaparlamentets och					rådets
(1998:204).		förordning (EU) 2016/679.
	20 §6
E-hälsomyndigheten ska se till		Utöver vad som framgår av
att den enskilde får information		artikel 13.1, 13.2, 13.3, 14.1, 14.2
om personuppgiftsbehandlingen.		och 14.4 i Europaparlamentets och
Informationen ska innehålla		rådets förordning (EU) 2016/679
upplysningar om		ska den personuppgiftsansvarige
1. vem som är personuppgifts-		enligt denna lag till den registre-
ansvarig,		rade lämna information om
2. ändamålen med registret,
3. vilka uppgifter registret får		1. vilka uppgifter registret får
innehålla,		innehålla,
4. de tystnadsplikts- och säker-		2. de tystnadsplikts- och säker-
hetsbestämmelser som gäller för		hetsbestämmelser			som gäller			för
registret,		registret,
5. rätten att ta del av uppgifter		3. rätten		enligt		artikel 82 i
enligt 26 §	personuppgiftslagen	Europaparlamentets				och	rådets
(1998:204),		förordning		(EU)	2016/679			och
6. rätten till rättelse av orik-		8 kap.	1 §	lagen	(2018:xx) med
tiga eller missvisande uppgifter		kompletterande bestämmelser						till
enligt 24 §,		EU:s	dataskyddsförordning					till
7. rätten till skadestånd enligt		skadestånd		vid	behandling			av
24 §,		personuppgifter i strid med denna
		lag,
8. de begränsningar i fråga		4. de begränsningar i					fråga
om sökbegrepp och bevarande av		om sökbegrepp som gäller för
uppgifter som gäller för registret,		registret, och
och

5 Senaste lydelse 2009:370.

6 Senaste lydelse 2013:1021.

53

Författningsförslag

SOU 2017:66

9. att registreringen inte är frivillig med undantag för ända- mål enligt 6 § första stycket 2 och 8.

5. att registreringen inte är frivillig med undantag för ända- mål enligt 6 § första stycket 2 och 8.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

54

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen.

SOU 2017:66

Författningsförslag

1.4 Förslag till

lag om ändring i lagen (1998:543) om hälsodataregister

Härigenom föreskrivs i fråga om lagen (1998:543) om hälso- dataregister

dels att 11 § ska upphöra att gälla,

dels att rubriken närmast före 11 § ska utgå,

dels att 2 § och rubriken närmast före 2 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till	Förhållandet till
personuppgiftslagen	annan dataskyddsreglering

2 §

Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd härav, tillämpas person- uppgiftslagen (1998:204) vid be- handling av personuppgifter för hälsodataregister.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

55

Lagen tillämpas inte vid be- handling av personuppgifter

1. hos domstolar,

2. för forsknings- och stati- stikändamål, eller

3. som utförs av behöriga myn- digheter för syften som anges i 1 kap. 2 § brottsdatalagen (2018:xx).

Denna lag tillämpas, om inte annat anges i 3 §, vid behandling av personuppgifter inom social- tjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier.

Författningsförslag

SOU 2017:66

1.5 Förslag till

lag om ändring i lagen (2001:454) om behandling av personuppgifter inom socialtjänsten

Härigenom föreskrivs i fråga om lagen (2001:454) om behand- ling av personuppgifter inom socialtjänsten

dels att 9 och 10 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 9 och 10 §§ ska utgå,

dels att 1, 3, 4, 7 och 7 a §§ och rubriken närmast före 4 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 §7

Denna lag tillämpas vid be- handling av personuppgifter inom socialtjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en struktu- rerad samling av personuppgif- ter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier.

3 §

Lagen tillämpas inte vid be- handling av personuppgifter hos domstolar. Den tillämpas inte heller vid behandling av person- uppgifter för forsknings- och statistikändamål.

7 Senaste lydelse 2003:136.

56

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen.

SOU 2017:66 Författningsförslag

Förhållandet till	Förhållandet till
personuppgiftslagen m.m.	annan dataskyddsreglering

4 §

Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom socialtjänsten, om inte annat följer av denna lag eller föreskrifter som har med- delats med stöd av denna lag eller annars av 2 § personuppgifts- lagen.

7 §

Socialtjänsten får behandla

1. person- och samordningsnummer,

2. känsliga personuppgifter som	2. sådana särskilda kategorier
avses i 13 § personuppgiftslagen	av personuppgifter som anges i
(1998:204), samt	artikel 9.1 i Europaparlamentets och
	rådets förordning (EU) 2016/679
	(känsliga personuppgifter), samt

3. uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden.

Personuppgifter enligt första stycket får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för verk- samheten.

Enligt artikel 9.3 i Europa- parlamentets och rådets förord- ning (EU) 2016/679 får känsliga

57

Författningsförslag SOU 2017:66

	personuppgifter endast behandlas
	av eller under ansvar av den som
	omfattas av tystnadsplikt.
7 a §
I sammanställningar av per-	I sammanställningar av per-
sonuppgifter får det inte tas in	sonuppgifter får det inte tas in
känsliga personuppgifter eller	sådana känsliga personuppgifter
uppgifter i övrigt om ömtåliga	som avses i 7 § första stycket 2
personliga förhållanden.	eller uppgifter i övrigt om öm-
	tåliga personliga förhållanden.

Undantag från första stycket gäller för

1. uppgifter om åtgärder som har beslutats inom socialtjänsten som innebär myndighetsutövning och om den bestämmelse som ett sådant beslut grundar sig på,

2. uppföljning, utvärdering och kvalitetssäkring,

3. tillsynsverksamhet som bedrivs av Inspektionen för vård och omsorg,

4. administration som bedrivs av Statens institutionsstyrelse centralt, och

5. verksamhet enligt lagen (2007:606) om utredningar avseende vissa dödsfall.

Uppgift som avslöjar medlemskap i fackförening får aldrig tas in.

1. Denna lag träder i kraft den 1 maj 2018 i fråga om 1 och 3 §§ och i övrigt den 25 maj 2018.

2. Äldre föreskrifter gäller fortfarande för överklagande av be- slut som har meddelats före ikraftträdandet.

3. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

58

En journalhandling inom en- skild hälso- och sjukvård som rör en viss patient ska lämnas ut på begäran av den som fått till- gång till kodat humanbiologiskt material från den patienten en- ligt 1 §, om patienten samtyckt till att journalhandlingen lämnas ut. I fråga om vissa känsliga per- sonuppgifter finns föreskrifter i

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) och forsknings- datalagen (2018:xx).

59

SOU 2017:66

Författningsförslag

1.6 Förslag till

lag om ändring i lagen (2002:297)

om biobanker i hälso- och sjukvården m.m.

Härigenom föreskrivs i fråga om lagen (2002:297) om biobanker i hälso- och sjukvården m.m.

dels att 4 kap. 4 a § och 6 kap. 2, 3 och 7 §§ och rubriken närmast före 6 kap. 2 § ska ha följande lydelse,

dels att det ska införas en ny paragraf, 6 kap. 7 a § av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

4 kap.

4 a §8

En journalhandling inom en- skild hälso- och sjukvård som rör en viss patient ska lämnas ut på begäran av den som fått till- gång till kodat humanbiologiskt material från den patienten en- ligt 1 §, om patienten samtyckt till att journalhandlingen lämnas ut. I fråga om vissa känsliga per- sonuppgifter finns föreskrifter i personuppgiftslagen (1998:204).

8 Senaste lydelse 2008:358.

Författningsförslag SOU 2017:66

Skadestånd m.m. Skadestånd

6 kap.

2 §9

Huvudmannen för biobanken	Huvudmannen för biobanken
skall ersätta en enskild provgivare	ska ersätta en enskild provgivare
för den skada eller kränkning av	för den skada eller kränkning av
den personliga integriteten som	den personliga integriteten som
ett förfarande med vävnadspro-	ett förfarande med vävnadspro-
ver i strid med denna lag har	ver i strid med denna lag har
orsakat honom eller henne.	orsakat honom eller henne.

Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om huvudmannen för banken visar att felet inte berodde på honom eller henne.

Bestämmelserna i personupp-
giftslagen (1998:204) om rättelse
och skadestånd gäller vid behand-
ling av personuppgifter enligt denna
lag eller föreskrifter som har med-
delats med stöd av lagen.
3 §10
Inspektionen för vård och	Inspektionen		för vård och
omsorg utövar tillsyn över att	omsorg utövar tillsyn över att
denna lag och föreskrifter som	denna lag och föreskrifter som
har meddelats i anslutning till	har meddelats i anslutning till
lagen följs. Den myndighet som	lagen följs. Den myndighet som
är tillsynsmyndighet enligt per-	är tillsynsmyndighet enligt lagen
sonuppgiftslagen (1998:204) ut-	(2018:xx)	med	kompletterande
övar dock tillsyn över den be-	bestämmelser till EU:s dataskydds-
handling som sker av person-	förordning	utövar dock tillsyn
uppgifter.	över den behandling som sker av
	personuppgifter.

Den som bedriver verksamhet som står under tillsyn är skyldig att på Inspektionen för vård och omsorgs begäran lämna ut hand- lingar, prover och annat material som rör verksamheten samt att

9 Ändringen innebär bl.a. att tredje stycket tas bort.

10 Senaste lydelse 2012:947.

60

SOU 2017:66

Författningsförslag

lämna de upplysningar om verksamheten som inspektionen behö- ver för sin tillsyn.

Inspektionen för vård och omsorg får förelägga den som bedri- ver verksamheten att lämna ut vad som begärs. Ett beslut om före- läggande får förenas med vite.

7 §11

Beslut enligt 4 kap. 6 § första stycket får överklagas till Inspek- tionen för vård och omsorg. Inspektionens beslut enligt 4 kap. 6 § får inte överklagas.

Inspektionen för vård och omsorgs övriga beslut får överklagas till allmän förvaltningsdomstol.

En annan myndighets beslut om rättelse och om avslag på an- sökan om information enligt 26 § personuppgiftslagen (1998:204) får överklagas till allmän förvaltnings- domstol.

Prövningstillstånd krävs vid överklagande till kammarrätten. Beslut som Inspektionen för vård och omsorg eller allmän för-

valtningsdomstol meddelar enligt denna lag gäller omedelbart, om inte annat anges i beslutet.

7 a §

Bestämmelser om överklagande av myndigheters beslut om sådan behandling av personuppgifter som avses i artikel 2.1 i Europa- parlamentets och rådets förord- ning (EU) 2016/679 finns i lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskydds- förordning.

11 Senaste lydelse 2012:947. Ändringen innebär att tredje stycket tas bort.

61

Författningsförslag

SOU 2017:66

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter gäller fortfarande för överklagande av be- slut om behandling av personuppgifter som har meddelats före ikraftträdandet.

3. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

62

SOU 2017:66

Författningsförslag

1.7 Förslag till

lag om ändring i lagen (2005:258) om läkemedelsförteckning

Härigenom föreskrivs i fråga om lagen (2005:258) om läke- medelsförteckning

dels att 8 och 13 §§ ska upphöra att gälla,

dels att rubrikerna närmast före 8 och 13 §§ ska utgå,

dels att 2, 10 och 11 §§ och rubrikerna närmast före 2, 10 och 11 §§ ska ha följande lydelse,

dels att det ska införas en ny paragraf, 4 a §, och närmast före 4 a § en ny rubrik av följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållande till	Förhållandet till
personuppgiftslagen	annan dataskyddsreglering
2 §
Personuppgiftslagen (1998:204)	Denna lag kompletterar Europa-
gäller vid behandling av person-	parlamentets och rådets förordning
uppgifter för läkemedelsförteck-	(EU) 2016/679 av den 27 april
ningen, om inget annat följer av	2016 om skydd för fysiska perso-
denna lag.	ner med avseende på behandling
	av personuppgifter och om det fria
	flödet av sådana uppgifter och om
	upphävande av direktiv 95/46/EG
	(allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen.

En registrerad har inte, utom i de fall som avses i 3 § andra stycket, rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag.

63

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 ska den personuppgifts- ansvarige enligt denna lag till den registrerade lämna information om

1. vilken typ av uppgifter som ingår i förteckningen,

2. de tystnadsplikts- och säker- hetsbestämmelser som gäller för förteckningen,

3. rätten att ta del av uppgif- ter enligt 11 §,

Författningsförslag SOU 2017:66

	Behandling av känsliga
	personuppgifter
	4 a §
	Enligt artikel 9.3 i Europa-
	parlamentets och rådets förord-
	ning (EU) 2016/679 får sådana
	särskilda kategorier av person-
	uppgifter som anges i artikel 9.1 i
	samma förordning (känsliga per-
	sonuppgifter) endast behandlas av
	eller under ansvar av den som
	omfattas av tystnadsplikt.
Information som skall lämnas	Information som ska lämnas
självmant	självmant

10 §12

E-hälsomyndigheten ska se till att den registrerade får informa- tion om läkemedelsförteckningen. Informationen ska innehålla upp- lysningar om

1. vem som är personuppgifts- ansvarig,

2. ändamålet med förteck- ningen,

3. vilken typ av uppgifter som ingår i förteckningen,

4. de tystnadsplikts- och säker- hetsbestämmelser som gäller för förteckningen,

5. rätten att ta del av uppgif- ter enligt 11 §,

6. rätten till rättelse av orik- tiga eller missvisande uppgifter,

12 Senaste lydelse 2013:621 (jfr 2013:1023).

64

Den registrerade har rätt att när som helst och så fort som möjligt få sådan information som avses i artikel 15 i Europa- parlamentets och rådets förord- ning (EU) 2016/679.

SOU 2017:66

Författningsförslag

7. rätten till skadestånd vid behandling av personuppgifter i strid med denna lag,

8. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad be- handling,

9. vad som gäller i fråga om bevarande och gallring, samt

10. att registreringen inte är frivillig.

4. rätten till skadestånd vid behandling av personuppgifter i strid med denna lag,

5. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad be- handling, samt

6. att registreringen inte är frivillig.

Information som skall lämnas	Information som ska lämnas
efter ansökan	efter ansökan

11 §

Den registrerade har rätt att när som helst och så fort som möjligt få sådan information som avses i 26 § personuppgifts- lagen (1998:204).

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

65

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) vid behandling av personuppgifter.

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen.

Författningsförslag

SOU 2017:66

1.8 Förslag till

lag om ändring i lagen (2006:351) om genetisk integritet m.m.

Härigenom föreskrivs i fråga om lagen (2006:351) om genetisk integritet m.m. att 1 kap. 4 § och rubriken närmast före 1 kap. 4 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till	Förhållandet till annan
personuppgiftslagen	dataskyddsreglering

1 kap.

4 §

Om inget annat följer av denna lag eller föreskrifter som meddelats med stöd av denna, tillämpas per- sonuppgiftslagen (1998:204) vid behandling av personuppgifter.

Denna lag träder i kraft den 25 maj 2018.

66

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) vid behandling av personuppgifter.

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen.

67

SOU 2017:66

Författningsförslag

1.9 Förslag till

lag om ändring i lagen (2006:496) om blodsäkerhet

Härigenom föreskrivs i fråga om lagen (2006:496) om blod- säkerhet

dels att 21 § ska upphöra att gälla, dels att 5 § ska ha följande lydelse,

dels att rubriken närmast före 4 § ska lyda ”Förhållandet till be- stämmelser i annan lagstiftning”.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till bestämmelser	Förhållandet till bestämmelser
i annan lag	i annan lagstiftning

5 §

Om inget annat följer av denna lag eller föreskrifter som har med- delats med stöd av lagen, gäller personuppgiftslagen (1998:204) vid behandling av personuppgifter.

Författningsförslag

SOU 2017:66

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

68

Bestämmelser om skydd mot kränkning av en enskilds person- liga integritet genom behandling av personuppgifter finns i Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och i lagen (2018:xx) med komplette- rande bestämmelser till EU:s data- skyddsförordning. Folkhälsomyn- digheten och andra berörda myn- digheter, kommuner och lands- ting får överföra personuppgifter till Världshälsoorganisationen och tredjeland för att fullgöra sin

69

SOU 2017:66

Författningsförslag

1.10 Förslag till

lag om ändring i lagen (2006:1570) om skydd mot internationella hot mot människors hälsa

Härigenom föreskrivs i fråga om lagen (2006:1570) om skydd mot internationella hot mot människors hälsa att 12 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

12 §13

Om det bedöms nödvändigt för att skydda mot ett internationellt hot mot människors hälsa ska Folkhälsomyndigheten och andra berörda myndigheter, kommuner och landsting lämna uppgifter till Världshälsoorganisationen och till berörda utländska myndigheter även om de är sekretessbelagda enligt offentlighets- och sekretess- lagen (2009:400).

Bestämmelser om skydd mot kränkning av en enskilds person- liga integritet genom behandling av personuppgifter finns i person- uppgiftslagen (1998:204). Folk- hälsomyndigheten och andra be- rörda myndigheter, kommuner och landsting får oavsett bestäm- melserna i 33 § personuppgifts- lagen överföra personuppgifter till Världshälsoorganisationen och tredje land för att fullgöra sin uppgiftsskyldighet enligt denna lag. Uppgifter som rör någons hälsa får behandlas helt eller del- vis automatiserat, om det är nöd- vändigt för att en myndighet, en kommun eller ett landsting ska kunna fullgöra sin uppgiftsskyl- dighet enligt denna lag.

13 Senaste lydelse 2014:1550.

Författningsförslag

SOU 2017:66

uppgiftsskyldighet enligt denna lag. Uppgifter som rör någons hälsa får behandlas helt eller del- vis automatiserat, om det är nöd- vändigt för att en myndighet, en kommun eller ett landsting ska kunna fullgöra sin uppgiftsskyl- dighet enligt denna lag.

Denna lag träder i kraft den 25 maj 2018.

70

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) vid behandling av personuppgifter.

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen.

71

SOU 2017:66

Författningsförslag

1.11 Förslag till

lag om ändring i lagen (2008:286)

om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler

Härigenom föreskrivs i fråga om lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler

dels att 26 § ska upphöra att gälla, dels att 8 § ska ha följande lydelse,

dels att rubriken närmast före 6 § ska lyda ”Förhållandet till be- stämmelser i annan lagstiftning”.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till bestämmelser	Förhållandet till bestämmelser
i annan lag	i annan lagstiftning

8 §

Om inget annat följer av denna lag eller föreskrifter som har med- delats med stöd av lagen, gäller personuppgiftslagen (1998:204) vid behandling av personuppgifter.

Författningsförslag

SOU 2017:66

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

72

SOU 2017:66

Författningsförslag

1.12 Förslag till

lag om ändring i patientdatalagen (2008:355)

Härigenom föreskrivs i fråga om patientdatalagen (2008:355) dels att 8 kap. 3 § och 10 kap. 1 § ska upphöra att gälla,

dels att rubrikerna närmast före 8 kap. 3 §, 10 kap. 1 § och 10 kap. 2 § ska utgå,

dels att 1 kap. 1 och 4 §§, 2 kap. 5, 7 och 8 §§, 7 kap. 3, 8 och 10 §§, 8 kap. 6 och 7 §§, 10 kap. 2 § och rubrikerna närmast före 1 kap. 4 § och 8 kap. 7 § ska ha följande lydelse,

dels att rubriken till 10 kap. ska lyda ”Överklagande”,

dels att det ska införas två nya paragrafer, 1 kap. 5 § och 2 kap.

7 a § av följande lydelse.
Nuvarande lydelse	Föreslagen lydelse

1 kap.

1 §

Denna lag tillämpas vid vård-	Denna lag tillämpas vid vård-
givares behandling av person-	givares behandling av person-
uppgifter inom hälso- och sjuk-	uppgifter inom hälso- och sjuk-
vården. I lagen finns också be-	vården. Vid behandling av per-
stämmelser om skyldighet att	sonuppgifter inom rättspsykiatrisk
föra patientjournal.	vård enligt lagen (1991:1129) om
	rättspsykiatrisk vård tillämpas dock
	inte […]. I lagen finns också
	bestämmelser om skyldighet att
	föra patientjournal.
Lagen gäller i tillämpliga delar även uppgifter om avlidna personer.
Förhållandet till	Förhållandet till
personuppgiftslagen	annan dataskyddsreglering
4 §
Personuppgiftslagen (1998:204)	Denna lag kompletterar Europa-
gäller vid sådan behandling av	parlamentets och rådets förordning
personuppgifter inom hälso- och	(EU) 2016/679 av den 27 april
sjukvården som är helt eller del-	2016 om skydd för fysiska perso-
vis automatiserad eller där upp-	ner med avseende på behandling
gifterna ingår i eller är avsedda	av personuppgifter och om det fria

73

Personuppgifter som behand- las för ändamål som anges i 4 § får också behandlas för att full- göra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Att personuppgifter som behandlas för ändamål som anges i 4 § även får behandlas för

Författningsförslag

SOU 2017:66

att ingå i en strukturerad sam- ling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av denna lag.

flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) vid sådan behandling av personupp- gifter inom hälso- och sjukvår- den som är helt eller delvis auto- matiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av per- sonuppgifter som är tillgängliga för sökning eller sammanställ- ning enligt särskilda kriterier.

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid sådan behandling av personupp- gifter som avses i första stycket, om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen.

5 §

Inom rättspsykiatrisk vård gäller, i stället för vad som anges i 1 kap. 4 §, brottsdatalagen (2018:xx) om inte annat följer av denna lag eller föreskrifter som meddelats med stöd av lagen.

2 kap.

5 §

Personuppgifter som behand- las för ändamål som anges i 4 § får också behandlas för att full- göra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

74

SOU 2017:66 Författningsförslag

andra ändamål framgår av arti-

kel 5.1 b

i

Europaparlamentets

och

rådets

förordning

(EU)

2016/679.

7 §

En

vårdgivare

får

behandla

En

vårdgivare får behandla

endast

sådana

personuppgifter

endast

sådana

personuppgifter

som behövs för de ändamål som

som behövs för de ändamål som

anges i 4 §. Uppgifter om lagöver-

anges i 4 §. Uppgifter om lagöver-

trädelser m.m. som avses i 21 §

trädelser

som

innefattar

brott,

personuppgiftslagen (1998:204) får

domar i brottmål, straffprocessu-

endast behandlas om det är

ella tvångsmedel eller administra-

absolut nödvändigt för ett sådant

tiva

frihetsberövanden (uppgifter

ändamål. Även en vårdgivare som

om

lagöverträdelser) får

endast

inte är statlig myndighet, lands-

behandlas om det är absolut nöd-

ting eller kommun får under

vändigt för ett sådant ändamål.

dessa

förutsättningar

behandla

Även en vårdgivare som inte är

uppgifter

om

lagöverträdelser

statlig myndighet, landsting eller

m.m. som avses i 21 § person-

kommun får under dessa förut-

uppgiftslagen.

sättningar behandla uppgifter om

lagöverträdelser.

7 a §

Enligt

artikel 9.3 i Europa-

parlamentets och rådets förord-

ning (EU) 2016/679 får sådana

särskilda kategorier av person-

uppgifter som anges i artikel 9.1 i

samma förordning (känsliga per-

sonuppgifter) endast behandlas av

eller under ansvar av den som

omfattas av tystnadsplikt.

8 §

Känsliga personuppgifter som

Sådana

känsliga personupp-

avses

i 13 § personuppgiftslagen

gifter som avses i 7 a § eller så-

(1998:204)

eller

uppgifter om

dana uppgifter om lagöverträ-

lagöverträdelser m.m. som avses

delser som avses i 7 § får inte

i 21 § samma lag får inte använ-

användas som sökbegrepp. Inte

75

Innan personuppgifter be- handlas i ett nationellt eller regionalt kvalitetsregister ska den som är personuppgiftsansvarig se till att den enskilde, utöver den information som ska lämnas enligt 8 kap. 6 §, får information om rätten att när som helst få uppgifter om sig själv utplånade ur registret.

Författningsförslag SOU 2017:66

das som sökbegrepp. Inte heller	heller får uppgifter om att någon
får uppgifter om att någon fått	fått bistånd eller varit föremål
bistånd eller varit föremål för	för andra insatser inom social-
andra insatser inom socialtjäns-	tjänsten eller enligt utlännings-
ten eller enligt utlänningslagen	lagen (2005:716) användas som
(2005:716) användas som sök-	sökbegrepp.
begrepp.

Det är trots förbudet i första stycket tillåtet att som sökbegrepp

använda uppgifter om
1. hälsa, eller	1. hälsa, inklusive genetiska och
	biometriska uppgifter och uppgifter
	om sexuell läggning, eller

2. att någon varit föremål för tvångsingripande enligt lagen (1991:1128) om psykiatrisk tvångsvård eller lagen (1991:1129) om rättspsykiatrisk vård.

Regeringen får meddela föreskrifter om att en vårdgivare, trots förbudet i första stycket, får använda uppgifter om etnicitet eller uppgifter av betydelse för smittskyddet samt att någon fått bistånd eller andra insatser inom socialtjänsten eller varit föremål för åtgär- der enligt utlänningslagen som sökbegrepp för att göra vissa slags sammanställningar.

7 kap.

3 §

Innan personuppgifter be- handlas i ett nationellt eller regionalt kvalitetsregister ska den som är personuppgiftsansvarig se till att den enskilde, utöver den information som ska lämnas en- ligt 8 kap. 6 §, får information om

1. rätten att när som helst få uppgifter om sig själv utplånade ur registret,

2. i vilken utsträckning per- sonuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal, och

76

3. vilka kategorier av mottag- are som personuppgifter kan komma att lämnas ut till.

Om det inte är möjligt att lämna informationen innan person- uppgiftsbehandlingen påbörjas, ska den lämnas så snart som möj- ligt därefter.

8 §

Endast sådana personuppgifter som behövs för ändamål som anges i 4 § får behandlas i ett nationellt eller regionalt kvalitets- register.

En enskilds personnummer eller namn får behandlas i ett natio- nellt eller regionalt kvalitetsregister endast om det inte är till- räckligt för ändamål som anges i 4 § att använda kodade person- uppgifter eller personuppgifter som endast indirekt kan hänföras till den enskilde.

Känsliga personuppgifter som Uppgifter om hälsa får be- avses i 13 § personuppgiftslagen handlas i nationella och regionala (1998:204) och som inte rör hälsa kvalitetsregister. Andra sådana samt uppgifter om lagöverträdel- känsliga personuppgifter som av- ser m.m. som avses i 21 § samma ses i 2 kap. 7 a § patientdatalagen lag får behandlas endast om reger- får behandlas i nationella och ingen eller den myndighet som regionala kvalitetsregister endast regeringen bestämmer i enskilda om regeringen eller den myndighet fall medger det. som regeringen bestämmer i en-

skilda fall medger det. Sådana uppgifter om lagöverträdelser som avses i 2 kap. 7 § får behandlas i nationella och regionala kvalitets- register endast om regeringen eller den myndighet som regeringen bestämmer i enskilda fall medger det. Enligt artikel 9.3 i Europa- parlamentets och rådets förord- ning (EU) 2016/679 får sådana känsliga personuppgifter som av- ses i 2 kap. 7 a § endast behandlas av eller under ansvar av den som omfattas av tystnadsplikt.

77

SOU 2017:66

Författningsförslag

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 ska den personuppgiftsansvarige enligt denna lag till den registre- rade lämna information om

Författningsförslag SOU 2017:66

10 §

Personuppgifter i ett nationellt eller regionalt kvalitetsregister ska

gallras när de inte längre behövs för det ändamål som anges i 4 §.
En arkivmyndighet inom ett				En arkivmyndighet inom ett
landsting eller en kommun får				landsting eller en kommun får
dock föreskriva att personupp-				dock föreskriva att personupp-
gifter i ett nationellt eller regio-				gifter i ett nationellt eller regio-
nalt kvalitetsregister		som	förs	nalt	kvalitetsregister		som	förs
inom landstinget eller kommunen				inom landstinget eller kommunen
får bevaras för historiska, statis-				får bevaras för arkivändamål av
tiska eller vetenskapliga ändamål.				allmänt		intresse, vetenskapliga
				eller	historiska forskningsända-
				mål eller statistiska ändamål.
Om	regeringen	eller	den	Om		regeringen	eller	den
myndighet regeringen bestämt				myndighet regeringen bestämt
har meddelat föreskrifter enligt				har meddelat föreskrifter enligt
7 § andra stycket, får regeringen				7 § andra stycket, får regeringen
eller myndigheten också före-				eller myndigheten också före-
skriva	att personuppgifter		får	skriva		att personuppgifter		får
bevaras för historiska,		statistiska		bevaras för arkivändamål av all-
eller vetenskapliga ändamål.				mänt intresse, vetenskapliga eller
				historiska forskningsändamål eller
				statistiska ändamål.

8 kap.

6 §

Den som är personuppgifts- ansvarig enligt denna lag ska se till att den registrerade får infor- mation om personuppgiftsbehand- lingen.

Informationen ska innehålla upplysningar om

1. vem som är personuppgifts- ansvarig,

2. ändamålet med behand- lingen,

3. vilka kategorier av uppgifter som behandlas,

78

SOU 2017:66

Författningsförslag

4. den uppgiftsskyldighet som kan följa av lag eller förordning,

5. de sekretess- och säkerhets- bestämmelser som gäller för upp- gifterna och behandlingen,

6. rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras,

7. rätten enligt 5 § att få infor- mation om den direktåtkomst och elektroniska åtkomst som förekommit,

8. rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204),

9. rätten till rättelse och under- rättelse av tredje man enligt 28 § personuppgiftslagen,

10. rätten enligt 10 kap. 1 § till skadestånd vid behandling av personuppgifter i strid med denna lag,

11. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad be- handling,

1. den uppgiftsskyldighet som kan följa av lag eller förordning,

2. de sekretess- och säkerhets- bestämmelser som gäller för upp- gifterna och behandlingen,

3. rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras,

4. rätten enligt 5 § att få infor- mation om den direktåtkomst och elektroniska åtkomst som förekommit,

5. rätten enligt artikel 82 i Europaparlamentets och rådets för- ordning (EU) 2016/679 och 8 kap. 1 § lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning till skade- stånd vid behandling av person- uppgifter i strid med denna lag, samt

6. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad be- handling.

12. vad som gäller i fråga om bevarande och gallring, samt

13. huruvida personuppgifts- behandlingen är frivillig eller inte.

I 6 kap. 2 § och 7 kap. 3 § finns ytterligare bestämmelser om vil- ken information som ska lämnas i vissa fall.

79

Författningsförslag SOU 2017:66

Andra rättigheter	Andra rättigheter
enligt denna lag	för den enskilde
7 §
I denna lag finns föreskrifter	I denna lag finns föreskrifter
om andra rättigheter för den	om andra rättigheter för den
enskilde i 3 kap. 8 §, 4 kap. 4 §,	enskilde i 3 kap. 8 §, 4 kap. 4 §,
6 kap. 2 § samt 7 kap. 2 och 3 §§.	6 kap. 2 § samt 7 kap. 2 och 3 §§.
	Ytterligare föreskrifter om rättig-
	heter för den enskilde finns i
	Europaparlamentets och rådets
	förordning (EU) 2016/679.
10 kap.
Skadestånd och överklagande	Överklagande

2 §14

Inspektionen för vård och omsorgs beslut om att avslå en ansö- kan om förstöring av en patientjournal enligt 8 kap. 4 § första stycket, samt i fråga om omhändertagande eller återlämnande av patientjournaler enligt 9 kap. 1 och 2 §§, får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

I fråga om överklagande av Inspektionen för vård och omsorgs beslut enligt 8 kap. 2 § andra stycket gäller i tillämpliga delar 6 kap. 7–11 §§ offentlighets- och sekretesslagen (2009:400).

Vid sådan behandling av per-	Vid sådan behandling av per-
sonuppgifter som avses i 1 kap.	sonuppgifter som avses i 1 kap.
4 § finns ytterligare bestämmel-	4 § finns ytterligare bestämmelser
ser om överklagande i 51–53 §§	om överklagande av myndigheters
personuppgiftslagen (1998:204).	beslut i lagen (2018:xx) med kom-
	pletterande bestämmelser till EU:s
	dataskyddsförordning.

Övriga beslut enligt denna lag får inte överklagas.

14 Senaste lydelse 2012:954.

80

SOU 2017:66

Författningsförslag

1. Denna lag träder i kraft den 1 maj 2018 i fråga om 1 kap. 1 och 5 §§ och rubriken närmast före 1 kap. 4 §, och i övrigt den 25 maj 2018.

2. Äldre föreskrifter gäller fortfarande för överklagande av beslut som har meddelats före ikraftträdandet.

3. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

81

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrif- ter som har meddelats med stöd av lagen.

Författningsförslag

SOU 2017:66

1.13 Förslag till

lag om ändring i apoteksdatalagen (2009:367)

Härigenom föreskrivs i fråga om apoteksdatalagen (2009:367) dels att 15 § ska upphöra att gälla,

dels att rubrikerna närmast före 2 och 15 §§ ska utgå,

dels att 5, 9 och 16 §§ och rubriken närmast före 5 § ska ha följande lydelse,

dels att rubriken närmast före 3 § ska sättas närmast före 2 §, dels att det ska införas en ny paragraf, 9 a §, och närmast före

9 a § en ny rubrik av följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållande till	Förhållandet till
personuppgiftslagen	annan dataskyddsreglering

5 §

Personuppgiftslagen (1998:204) gäller för öppenvårdsapotekens behandling av personuppgifter, om inte annat följer av denna lag eller föreskrifter som meddelas i anslutning till denna lag.

82

Att personuppgifter som be- handlas för ändamål som anges i 8 § även får behandlas för andra ändamål framgår av artikel 5.1 b i Europaparlamentets och rådets förordning (EU) 2016/679.

SOU 2017:66

Författningsförslag

9 §

I fråga om behandling av per- sonuppgifter för annat ändamål än vad som anges i 8 § gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).

Behandling av känsliga personuppgifter

			9 a §
			Enligt artikel 9.3	i Europa-
			parlamentets och rådets förord-
			ning (EU) 2016/679 får sådana
			särskilda kategorier av person-
			uppgifter som anges i artikel 9.1 i
			samma förordning (känsliga per-
			sonuppgifter) endast behandlas av
			eller under ansvar av den som
			omfattas av tystnadsplikt.
		16 §
Tillståndshavaren ska se till			Utöver vad som framgår av
att den enskilde får information			artikel 13.1, 13.2, 13.3, 14.1, 14.2
om personuppgiftsbehandlingen.			och 14.4 i Europaparlamentets och
Informationen	ska	innehålla	rådets förordning (EU) 2016/679
upplysningar om			ska den personuppgiftsansvarige
1. vem som är personuppgifts-			enligt denna lag till den registre-
ansvarig,			rade lämna information om
2. ändamålen	med	behand-
lingen,
3. den uppgiftsskyldighet som			1. den uppgiftsskyldighet som
kan följa av lag eller förordning,			kan följa av lag eller förordning,
4. de tystnadsplikts- och säker-			2. de tystnadsplikts- och säker-
hetsbestämmelser	som	gäller för	hetsbestämmelser som gäller för
uppgifterna och behandlingen,			uppgifterna och behandlingen,
5. rätten att ta del av uppgif-			3. rätten enligt	artikel 82 i
terna enligt 26 § personuppgifts-			Europaparlamentets och rådets för-
lagen (1998:204),			ordning (EU) 2016/679 och 8 kap.

83

Författningsförslag

SOU 2017:66

6. rätten enligt 15 § till rättelse av oriktiga eller missvisande upp- gifter,

7. rätten enligt 15 § till skade- stånd vid behandling av person- uppgifter i strid med denna lag,

8. vad som gäller i fråga om sökbegrepp,

1 § lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning till skade- stånd vid behandling av person- uppgifter i strid med denna lag, och

4. vad som gäller i fråga om sökbegrepp.

9. vad som gäller i fråga om bevarande, samt

10. huruvida personuppgifts- behandlingen är frivillig eller inte.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

84

Bestämmelserna i 114 kap. socialförsäkringsbalken tillämpas även i fråga om förmåner som avser tid före ikraftträdandet. Det som föreskrivs i 114 kap. 2 § balken om förmåner enligt denna ska då avse förmåner en- ligt de upphävda författningarna. De upphävda bestämmelserna i 114 kap. 33 § balken om skade- stånd på grund av behandling en- ligt det kapitlet eller föreskrifter som har meddelats i anslutning till det kapitlet ska även avse be- handling enligt den upphävda lagen (2003:763) om behandling av personuppgifter inom social- försäkringens administration eller föreskrifter som har meddelats i anslutning till den lagen.

SOU 2017:66

Författningsförslag

1.14 Förslag till

lag om ändring i lagen (2010:111)

om införande av socialförsäkringsbalken

Härigenom föreskrivs i fråga om lagen (2010:111) om införande av socialförsäkringsbalken att 9 kap. 22 och 23 §§ ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

9 kap.

22 §

Bestämmelserna i 114 kap. socialförsäkringsbalken tillämpas även i fråga om förmåner som avser tid före ikraftträdandet. Det som föreskrivs i 114 kap. 2 § balken om förmåner enligt denna ska då avse förmåner en- ligt de upphävda författningarna. Bestämmelserna i 114 kap. 33 § balken om skadestånd på grund av behandling enligt det kapitlet eller föreskrifter som har med- delats i anslutning till det kapitlet ska även avse behandling enligt den upphävda lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens admi- nistration eller föreskrifter som har meddelats i anslutning till den lagen.

23 §
Bestämmelserna om skade-	De upphävda bestämmelserna
stånd i 114 kap. 33 § socialför-	om skadestånd i	114 kap. 33 §
säkringsbalken tillämpas endast	socialförsäkringsbalken tillämpas
om den omständighet som ett	endast om den	omständighet
yrkande om skadestånd grundas	som ett yrkande om skadestånd

85

Författningsförslag

SOU 2017:66

på har inträffat efter utgången av november 2003. I annat fall tillämpas de dessförinnan gällande bestämmelserna.

grundas på har inträffat efter utgången av november 2003, men före den 25 maj 2018. Har om- ständigheten inträffat före utgången av november 2003, tillämpas de då gällande bestämmelserna.

Denna lag träder i kraft den 25 maj 2018.

86

SOU 2017:66

Författningsförslag

1.15 Förslag till

lag om ändring i alkohollagen (2010:1622)

Härigenom föreskrivs i fråga om alkohollagen (2010:1622) att 13 kap. 5 § ska upphöra att gälla.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

87

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) vid behandling av personuppgifter.

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen.

Författningsförslag

SOU 2017:66

1.16 Förslag till

lag om ändring i lagen (2012:263)

om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ

Härigenom föreskrivs i fråga om lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ

dels att 8 § ska upphöra att gälla,

dels att 4 § och rubriken närmast före 4 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till annan lag	Förhållandet till annan
	dataskyddsreglering

4 §

Om inget annat följer av denna lag eller föreskrifter som har med- delats med stöd av lagen, gäller personuppgiftslagen (1998:204) vid behandling av personuppgifter.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

88

SOU 2017:66

Författningsförslag

1.17 Förslag till

lag om ändring i lagen (2012:453)

om register över nationella vaccinationsprogram

Härigenom föreskrivs i fråga om lagen (2012:453) om register över nationella vaccinationsprogram

dels att 12 § ska upphöra att gälla,

dels att rubriken närmast före 12 § ska utgå, dels att 3, 6 och 13 §§ ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
3 §15
Personuppgiftslagen (1998:204)	Denna lag kompletterar Europa-
gäller vid behandling av person-	parlamentets och rådets förordning
uppgifter i Folkhälsomyndighetens	(EU) 2016/679 av den 27 april
verksamhet när det gäller natio-	2016 om skydd för fysiska perso-
nella vaccinationsprogram, om	ner med avseende på behandling
inte annat följer av denna lag	av personuppgifter och om det fria
eller av föreskrifter som har med-	flödet av sådana uppgifter och om
delats i anslutning till lagen.	upphävande av direktiv 95/46/EG
	(allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen.

6 § Personuppgifter får behandlas för

1. framställning av statistik,

2. uppföljning, utvärdering och kvalitetssäkring av nationella vaccinationsprogram, samt

3. forskning och epidemiologiska undersökningar.

15 Senaste lydelse 2013:637.

89

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 ska den personuppgiftsansvarige enligt denna lag till den registre- rade lämna information om

1. den uppgiftsskyldighet som kan följa av lag eller förordning,

2. de tystnadsplikts- och säker- hetsbestämmelser som gäller för uppgifterna och behandlingen,

3. rätten enligt artikel 82 i Europaparlamentets och rådets för- ordning (EU) 2016/679 och 8 kap. 1 § lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning till skade- stånd vid behandling av person- uppgifter i strid med denna lag,

Författningsförslag

SOU 2017:66

Personuppgifter som behand- las för de ändamål som anges i första stycket får också behand- las för att fullgöra uppgifts- utlämnande som sker i överens- stämmelse med lag eller förord- ning. I övrigt gäller 9 § första stycket d och andra stycket person- uppgiftslagen (1998:204).

Personuppgifter som behand- las för de ändamål som anges i första stycket får också behand- las för att fullgöra uppgifts- utlämnande som sker i överens- stämmelse med lag eller förord- ning. Att personuppgifter som behandlas för ändamål som anges i första stycket även får behandlas för andra ändamål framgår av artikel 5.1 b i Europaparlamen- tets och rådets förordning (EU) 2016/679.

13 §16

Folkhälsomyndigheten ska se till att den enskilde får information om personuppgiftsbehandlingen.

Informationen ska innehålla upplysningar om

1. vem som är personuppgifts- ansvarig,

2. ändamålen med behand- lingen,

3. den uppgiftsskyldighet som kan följa av lag eller förordning,

4. de tystnadsplikts- och säker- hetsbestämmelser som gäller för uppgifterna och behandlingen,

5. rätten att ta del av uppgif- terna enligt 26 § personuppgifts- lagen (1998:204),

6. rätten enligt 12 § till rättelse av oriktiga eller missvisande upp- gifter,

16 Senaste lydelse 2013:637.

90

SOU 2017:66

Författningsförslag

7. rätten enligt 12 § till skade- stånd vid behandling av person- uppgifter i strid med denna lag,

8. vad som gäller i fråga om sökbegrepp,

9. vad som gäller i fråga om bevarande, samt

10. att registreringen inte är frivillig.

4. vad som gäller i fråga om sökbegrepp, samt

5. att registreringen inte är frivillig.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

91

Denna lag kompletterar Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna lag, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av lagen.

Författningsförslag

SOU 2017:66

1.18 Förslag till

lag om ändring i lagen (2016:526)

om behandling av personuppgifter i ärenden om licens för läkemedel

Härigenom föreskrivs i fråga om lagen (2016:526) om behand- ling av personuppgifter i ärenden om licens för läkemedel

dels att 20 § ska upphöra att gälla,

dels att rubrikerna närmast före 3 och 20 §§ ska utgå, dels att 4, 9 och 21 §§ ska ha följande lydelse,

dels att det ska införas en ny paragraf, 9 a §, och närmast före 4 och 9 a §§ nya rubriker av följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
	Förhållandet till annan
	dataskyddsreglering

4 §

Personuppgiftslagen (1998:204) gäller för Läkemedelsverkets och E-hälsomyndighetens behandling av personuppgifter i verksamhet som rör ärenden om ansökan om licens för läkemedel, om inte annat följer av denna lag eller föreskrif- ter som meddelas i anslutning till denna lag.

92

SOU 2017:66 Författningsförslag

			9 §
I fråga om behandling av				Att personuppgifter som be-
personuppgifter för annat ända-				handlas för ändamål som anges i
mål än vad som anges i 8 § gäller				8 § även får behandlas för andra
9 § första	stycket d och andra			ändamål framgår av artikel 5.1 b
stycket	personuppgiftslagen			i Europaparlamentets och rådets
(1998:204).				förordning (EU) 2016/679.
				Behandling av känsliga
				personuppgifter
				9 a §
				Enligt artikel 9.3 i Europa-
				parlamentets och rådets förord-
				ning (EU) 2016/679 får sådana
				särskilda kategorier av person-
				uppgifter som anges i artikel 9.1 i
				samma förordning (känsliga per-
				sonuppgifter) endast behandlas av
				eller under ansvar av den som om-
				fattas av tystnadsplikt.
			21 §
Den personuppgiftsansvarige				Utöver vad som framgår av
ska se till att den registrerade får				artikel 13.1, 13.2, 13.3, 14.1, 14.2
information	om	personuppgifts-		och 14.4 i Europaparlamentets och
behandlingen.				rådets förordning (EU) 2016/679
Informationen		ska	innehålla	ska den personuppgiftsansvarige
upplysningar om				enligt denna lag till den registre-
1. vem som är personuppgifts-				rade lämna information om
ansvarig,
2. ändamålen		med	behand-
lingen,
3. den uppgiftsskyldighet som				1. den uppgiftsskyldighet som
kan följa av lag eller förordning,				kan följa av lag eller förordning,
4. de sekretess- och säkerhets-				2. de sekretess- och säkerhets-
bestämmelser som gäller för upp-				bestämmelser som gäller för upp-
gifterna och behandlingen,				gifterna och behandlingen,

93

Författningsförslag

SOU 2017:66

5. rätten att ta del av uppgif- terna enligt 26 § personuppgifts- lagen (1998:204),

6. rätten enligt 20 § till rättelse av oriktiga eller missvisande upp- gifter och till skadestånd vid be- handling av personuppgifter i strid med denna lag,

7. vad som gäller i fråga om sökbegränsningar, och

8. vad som gäller i fråga om gallring.

3. rätten enligt artikel 82 i

Europaparlamentets och rådets förordning (EU) 2016/679 och 8 kap. 1 § lagen (2018:xx) med kompletterande bestämmelser till EU:s dataskyddsförordning till skadestånd vid behandling av personuppgifter i strid med denna lag, och

4. vad som gäller i fråga om sökbegränsningar.

1. Denna lag träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

94

I denna förordning meddelas föreskrifter om att socialnämnd- erna ska lämna ut sådana per- sonuppgifter som avses i Europa- parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska perso- ner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) för statistiska ändamål.

SOU 2017:66

Författningsförslag

1.19 Förslag till

förordning om ändring i förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter

Härigenom föreskrivs i fråga om förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter att 1 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 §17

I denna förordning meddelas föreskrifter om att socialnämnd- erna skall lämna ut sådana per- sonuppgifter som avses i person- uppgiftslagen (1998:204) för sta- tistiska ändamål.

Denna förordning träder i kraft den 25 maj 2018.

17 Senaste lydelse 2001:942.

95

Denna förordning reglerar, om inte annat anges i 1 a §, be- handlingen av personuppgifter inom socialtjänsten för Statens institutionsstyrelse, kommunala myndigheter, privat verksamhet, Inspektionen för vård och om- sorg och Socialstyrelsen enligt lagen (2001:454) om behandling av personuppgifter inom social- tjänsten.

1 a §

Denna förordning gäller inte vid behandling av personuppgifter som utförs av behöriga myndig- heter för syften som anges i 1 kap. 2 § brottsdatalagen (2018:xx).

Författningsförslag

SOU 2017:66

1.20 Förslag till

förordning om ändring i förordningen (2001:637) om behandling av personuppgifter inom socialtjänsten

Härigenom föreskrivs i fråga om förordningen (2001:637) om behandling av personuppgifter inom socialtjänsten

dels att 4 § ska upphöra att gälla,

dels att 1, 2 och 12 §§ ska ha följande lydelse,

dels att det ska införas en ny paragraf, 1 a §, av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 §18

Denna förordning reglerar behandlingen av personuppgifter inom socialtjänsten för Statens institutionsstyrelse, kommunala myndigheter, privat verksamhet, Inspektionen för vård och om- sorg och Socialstyrelsen enligt lagen (2001:454) om behandling av personuppgifter inom social- tjänsten.

18 Senaste lydelse 2013:183.

96

SOU 2017:66

Författningsförslag

2 §19

Grundläggande bestämmelser om behandling av personuppgifter finns i personuppgiftslagen (1998:204).

Särskilda bestämmelser om behandling av personuppgifter inom socialtjänsten finns i lagen (2001:454) om behandling av person- uppgifter inom socialtjänsten, i 12 kap. socialtjänstlagen (2001:453) och i lagen (1993:387) om stöd och service till vissa funktionshind- rade.

12 §20

En kommunal myndighet får behandla personuppgifter för

1. handläggning av ärenden om bistånd och annat stöd samt genomförande av beslut om bistånd, stödinsatser, vård och be- handling samt annan social service som följer av bestämmelserna i socialtjänstlagen (2001:453) och 2 kap. 7 § lagen (2009:47) om vissa kommunala befogenheter,

2. faderskapsutredningar, utredning om vårdnad av barn, adop- tionsärenden samt annan verksamhet inom familjerätten som följer av bestämmelserna i föräldrabalken,

3. handläggning av ärenden och annan verksamhet som följer av bestämmelserna i lagen (1990:52) med särskilda bestämmelser om vård av unga och lagen (1988:870) om vård av missbrukare i vissa fall,

4. handläggning av ärenden om insatser och för särskilda upp- gifter som följer av bestämmelserna i lagen (1993:387) om stöd och service till vissa funktionshindrade,

5. handläggning av ärenden om tillstånd till parkering för rörelse- hindrade,

6. handläggning av ärenden om bistånd som lämnas av social- nämnd enligt lagstiftning om mottagande av asylsökande m.fl.,

7. handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar,

8. handläggning av ärenden och annan verksamhet inom social- tjänsten som utförs vid kommunal invandrarbyrå,

19 Senaste lydelse 2005:129.

20 Senaste lydelse 2010:42.

97

Författningsförslag

SOU 2017:66

9. handläggning av ärenden som följer av bestämmelserna i lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare och körkortsförordningen (1998:980), samt

10. tillsyn, uppföljning, utvärdering, kvalitetssäkring och admi- nistration av verksamheten.

Vid handläggning av ärenden om tillstånd till parkering för rörelsehindrade och som följer av bestämmelserna i körkorts- förordningen får en kommunal myndighet inte behandla andra känsliga personuppgifter än upp- gifter som rör hälsa.

Vid handläggning av ärenden om tillstånd till parkering för rörelsehindrade och som följer av bestämmelserna i körkorts- förordningen får en kommunal myndighet inte behandla andra sådana känsliga personuppgifter som avses i 7 § första stycket 2 lagen (2001:454) om behandling av personuppgifter inom social- tjänsten än uppgifter som rör hälsa.

Denna förordning träder i kraft den 1 maj 2018 i fråga om 1 och 1 a §§ och i övrigt den 25 maj 2018.

98

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) ska den person- uppgiftsansvarige enligt denna förordning till den registrerade lämna information om

1. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret, och

2. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling.

99

SOU 2017:66

Författningsförslag

1.21 Förslag till

förordning om ändring i förordningen (2001:707) om patientregister

hos Socialstyrelsen

Härigenom föreskrivs i fråga om förordningen (2001:707) om patientregister hos Socialstyrelsen att 7 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

7 §

Den information som Social- styrelsen skall lämna de registre- rade enligt 25 § första stycket c) personuppgiftslagen (1998:204) skall omfatta

1. vilka kategorier av uppgifter som ingår i registret,

2. varifrån uppgifter hämtas in,

3. hur länge registret kommer att föras,

4. rätten till rättelse av orik- tiga eller missvisande uppgifter,

5. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret,

6. vad som gäller ifråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling,

7. den registrerades rätt att ta del av uppgifter enligt 26 § person- uppgiftslagen (1998:204), samt

8. vad som gäller om beva- rande och gallring av registret.

Författningsförslag

SOU 2017:66

Socialstyrelsen skall på lämp- ligt sätt informera allmänheten om registret.

Socialstyrelsen ska på lämp- ligt sätt informera allmänheten om registret.

Denna förordning träder i kraft den 25 maj 2018.

100

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) ska den person- uppgiftsansvarige enligt denna förordning till den registrerade lämna information om

1. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret, och

2. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling.

101

SOU 2017:66

Författningsförslag

1.22 Förslag till

förordning om ändring i förordningen (2001:708) om medicinskt födelseregister hos Socialstyrelsen

Härigenom föreskrivs i fråga om förordningen (2001:708) om medicinskt födelseregister hos Socialstyrelsen att 7 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

7 §

Den information som Social- styrelsen skall lämna de registre- rade enligt 25 § första stycket c) personuppgiftslagen (1998:204) skall omfatta

1. vilka kategorier av uppgifter som ingår i registret,

2. varifrån uppgifter hämtas in,

3. hur länge registret kommer att föras,

4. rätten till rättelse av orik- tiga eller missvisande uppgifter,

5. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret,

6. vad som gäller ifråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling,

7. den registrerades rätt att ta del av uppgifter enligt 26 § person- uppgiftslagen (1998:204), samt

8. vad som gäller om beva- rande och gallring av registret.

Författningsförslag

SOU 2017:66

Socialstyrelsen skall på lämp- ligt sätt informera allmänheten om registret.

Socialstyrelsen ska på lämp- ligt sätt informera allmänheten om registret.

Denna förordning träder i kraft den 25 maj 2018.

102

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) ska den person- uppgiftsansvarige enligt denna förordning till den registrerade lämna information om

1. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret, och

2. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling.

103

SOU 2017:66

Författningsförslag

1.23 Förslag till

förordning om ändring i förordningen (2001:709) om cancerregister

hos Socialstyrelsen

Härigenom föreskrivs i fråga om förordningen (2001:709) om cancerregister hos Socialstyrelsen att 7 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

7 §

Den information som Social- styrelsen skall lämna de registre- rade enligt 25 § första stycket c) personuppgiftslagen (1998:204) skall omfatta

1. vilka kategorier av uppgifter som ingår i registret,

2. varifrån uppgifter hämtas in,

3. hur länge registret kommer att föras,

4. rätten till rättelse av orik- tiga eller missvisande uppgifter,

5. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret,

6. vad som gäller ifråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling,

7. den registrerades rätt att ta del av uppgifter enligt 26 § person- uppgiftslagen (1998:204), samt

8. vad som gäller om beva- rande och gallring av registret.

Författningsförslag

SOU 2017:66

Socialstyrelsen skall på lämp- ligt sätt informera allmänheten om registret.

Socialstyrelsen ska på lämp- ligt sätt informera allmänheten om registret.

Denna förordning träder i kraft den 25 maj 2018.

104

SOU 2017:66

Författningsförslag

1.24 Förslag till

förordning om ändring i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

Härigenom föreslås i fråga om förordningen (2003:766) om be- handling av personuppgifter inom socialförsäkringens administra- tion21

dels att 3 c § ska upphöra att gälla, dels att 8 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

8 §22

Försäkringskassan får meddela föreskrifter i fråga om

1. formerna för tilldelning av behörighet för åtkomst till social- försäkringsdatabasen genom en särskild handling,

2. vilka uppgifter i socialförsäkringsdatabasen Försäkringskassan och Pensionsmyndigheten får ha direktåtkomst till och formerna för direktåtkomsten,

4. vilka uppgifter i socialförsäkringsdatabasen Statens tjänste- pensionsverk och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner får ha direkt- åtkomst till,

5. vilka uppgifter i socialförsäkringsdatabasen som får lämnas ut på medium för automatiserad behandling för sammanställning av gemensam pensionsinformation,

6. vilka uppgifter i socialförsäkringsdatabasen som får lämnas ut på medium för automatiserad behandling till organ som driver för- säkringsrörelse,

7. begränsningar av de sökbegrepp som får användas vid sökning

isocialförsäkringsdatabasen,

8. fastställande av avgifter för utlämnade av uppgifter och hand- lingar från socialförsäkringsdatabasen, om inte utlämnandet är av- giftsfritt till följd av att det sker till en annan myndighet på grund av att det föreligger en sådan skyldighet i lag eller förordning, och

21 Senaste lydelse av 3 c § 2010:1723.

22 Senaste lydelse 2010:1723.

105

Författningsförslag SOU 2017:66

9. vilka särskilda åtgärder som Försäkringskassan och Pensions- myndigheten ska vidta för att kontrollera efterlevnaden av bestäm- melserna i 114 kap. socialförsäkringsbalken.

Om föreskrifterna enligt första			Om föreskrifterna enligt första
stycket avser uppgifter som faller			stycket avser uppgifter som faller
under Pensionsmyndighetens per-			under Pensionsmyndighetens per-
sonuppgiftsansvar enligt 114 kap.			sonuppgiftsansvar enligt 114 kap.
6 § andra	stycket	socialförsäk-	6 a § socialförsäkringsbalken ska
ringsbalken	ska	föreskrifterna	föreskrifterna beslutas i samråd
beslutas i samråd med Pensions-			med Pensionsmyndigheten.
myndigheten.

1. Denna förordning träder i kraft den 25 maj 2018.

2. Bestämmelsen i 3 c § gäller fortfarande när kommunalt vård- nadsbidrag har lämnats enligt den upphävda lagen (2008:307) om kommunalt vårdnadsbidrag.

106

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) ska den person- uppgiftsansvarige enligt denna förordning till den registrerade lämna information om

1. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret, och

2. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling.

107

SOU 2017:66

Författningsförslag

1.25 Förslag till

förordning om ändring i förordningen (2005:363) om läkemedelsregister hos Socialstyrelsen

Härigenom föreskrivs i fråga om förordningen (2005:363) om läkemedelsregister hos Socialstyrelsen att 6 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

6 §

Den information som Social- styrelsen skall lämna de registre- rade enligt 25 § första stycket c personuppgiftslagen (1998:204) skall omfatta

1. vilka kategorier av uppgifter som ingår i registret,

2. varifrån uppgifter hämtas in,

3. hur länge registret kommer att föras,

4. rätten till rättelse av orik- tiga eller missvisande uppgifter,

5. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret,

6. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling,

7. den registrerades rätt att ta del av uppgifter enligt 26 § person- uppgiftslagen, samt

8. vad som gäller om beva- rande och gallring av registret.

Författningsförslag

SOU 2017:66

Socialstyrelsen skall på lämp- ligt sätt informera allmänheten om registret.

Socialstyrelsen ska på lämp- ligt sätt informera allmänheten om registret.

Denna förordning träder i kraft den 25 maj 2018.

108

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) ska den person- uppgiftsansvarige enligt denna för- ordning till den registrerade lämna information om

1. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret, och

2. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling.

109

SOU 2017:66

Författningsförslag

1.26 Förslag till

förordning om ändring i förordningen (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården

Härigenom föreskrivs i fråga om förordningen (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården att 6 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

6 §

Den information som Social- styrelsen skall lämna de registre- rade enligt 25 § första stycket c personuppgiftslagen (1998:204) skall omfatta

1. vilka kategorier av uppgifter som ingår i registret,

2. varifrån uppgifter hämtas in,

3. hur länge registret kommer att föras,

4. rätten till rättelse av orik- tiga eller missvisande uppgifter,

5. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret,

6. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling,

7. den registrerades rätt att ta del av uppgifter enligt 26 § person- uppgiftslagen (1998:204), samt

8. vad som gäller om beva- rande och gallring av registret.

Författningsförslag

SOU 2017:66

Socialstyrelsen skall på lämp- ligt sätt informera allmänheten om registret.

Socialstyrelsen ska på lämp- ligt sätt informera allmänheten om registret.

Denna förordning träder i kraft den 25 maj 2018.

110

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 ska den personuppgiftsansvarige enligt denna förordning till den registrerade lämna information om

111

Denna förordning kompletterar

Europaparlamentets och rådets för- ordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna förordning, om inte annat följer av denna förordning.

SOU 2017:66

Författningsförslag

1.27 Förslag till

förordning om ändring i förordningen (2006:196) om register över hälso- och sjukvårdspersonal

Härigenom föreskrivs i fråga om förordningen (2006:196) om register över hälso- och sjukvårdspersonal

dels att 9 § ska upphöra att gälla,

dels att rubriken närmast före 9 § ska utgå, dels att 2 och 8 §§ ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

2 §

Personuppgiftslagen (1998:204) gäller utöver denna förordning vid behandlingen av personuppgifter i registret.

8 §

Socialstyrelsen skall på lämp- ligt sätt informera den registre- rade om registret. Informationen skall ge upplysning om vem som är personuppgiftsansvarig och redovisa ändamålet med registret och vilken typ av uppgifter som registret får innehålla samt ge upplysning om

Författningsförslag

SOU 2017:66

1. de sekretess- och säker- hetsbestämmelser som gäller för registret,

1. vilken typ av uppgifter som registret får innehålla,

2. de sekretess- och säker- hetsbestämmelser som gäller för registret,

2. rätten att få information och rättelse enligt personuppgifts- lagen (1998:204),

3. rätten till skadestånd vid behandling av personuppgifter i strid med denna förordning,

4. vad som gäller i fråga om			4. vad som gäller i fråga om
sökbegrepp,	direktåtkomst	och	sökbegrepp,	direktåtkomst	och
utlämnande	av uppgifter	på	utlämnande	av uppgifter	på
medium för automatiserad be-			medium för automatiserad be-
handling,			handling, samt
5. om registreringen är frivillig eller inte.

1. Denna förordning träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

112

Utöver vad som framgår av artikel 13.1, 13.2, 13.3, 14.1, 14.2 och 14.4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning) ska den person- uppgiftsansvarige enligt denna förordning till den registrerade lämna information om

1. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret, samt

2. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling.

113

SOU 2017:66

Författningsförslag

1.28 Förslag till

förordning om ändring i förordningen (2008:194) om tandhälsoregister hos Socialstyrelsen

Härigenom föreskrivs i fråga om förordningen (2008:194) om tandhälsoregister hos Socialstyrelsen att 6 § ska ha följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

6 §

Den information som Social- styrelsen ska lämna de registre- rade enligt 25 § första stycket c personuppgiftslagen (1998:204) ska omfatta

1. vilka kategorier av uppgifter som ingår i registret,

2. varifrån uppgifter hämtas in,

3. hur länge registret kommer att föras,

4. rätten till rättelse av orik- tiga eller missvisande uppgifter,

5. innebörden och omfatt- ningen av det sekretess- och säkerhetsskydd som gäller för registret,

6. vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för auto- matiserad behandling,

7. den registrerades rätt att ta del av uppgifter enligt 26 § person- uppgiftslagen, samt

8. vad som gäller om beva- rande och gallring av registret.

Författningsförslag

SOU 2017:66

Socialstyrelsen ska på lämpligt sätt informera allmänheten om registret.

Denna förordning träder i kraft den 25 maj 2018.

114

SOU 2017:66

Författningsförslag

1.29 Förslag till

förordning om ändring i förordningen

(2009:1422) om behandling av personuppgifter i Statistiska centralbyråns verksamhet

med framställning av statistik över kommunalt vårdnadsbidrag

Härigenom föreskrivs i fråga om förordningen (2009:1422) om behandling av personuppgifter i Statistiska centralbyråns verksam- het med framställning av statistik över kommunalt vårdnadsbidrag

dels att 7 § ska upphöra att gälla,

dels att rubriken närmast före 7 § ska utgå,

dels att 1, 3, 4 och 5 §§ och rubriken närmast före 3 § ska ha följande lydelse.

Nuvarande lydelse		Föreslagen lydelse
	1 §
Denna förordning gäller vid		Denna förordning gäller vid
helt eller	delvis automatiserad	helt eller delvis automatiserad
behandling av personuppgifter i		behandling av personuppgifter i
Statistiska centralbyråns verksam-		Statistiska centralbyråns verksam-
het med framställning av statistik		het med framställning av statistik
över vårdnadsbidrag enligt lagen		över vårdnadsbidrag enligt	den
(2008:307) om kommunalt vård-		upphävda lagen (2008:307)	om
nadsbidrag.		kommunalt vårdnadsbidrag.
Förhållandet till lagen om		Förhållandet till annan
den officiella statistiken		lagstiftning
och personuppgiftslagen
	3 §
Bestämmelserna i 14, 15 och		Denna förordning komplette-
19 §§ lagen (2001:99) om den		rar Europaparlamentets och rådets
officiella	statistiken gäller när	förordning (EU) 2016/679	av
Statistiska centralbyrån behandlar		den 27 april 2016 om skydd för
personuppgifter för att framställa		fysiska personer med avseende på
statistik över kommunalt vård-		behandling av personuppgifter och
nadsbidrag. Om inte annat följer		om det fria flödet av sådana upp-

115

Författningsförslag SOU 2017:66

av angivna bestämmelser	eller	gifter och om upphävande av
denna förordning gäller person-		direktiv 95/46/EG (allmän data-
uppgiftslagen (1998:204)	vid	skyddsförordning).
Statistiska centralbyråns behand-		Bestämmelserna i 14, 15 och
ling av personuppgifterna.		19 §§ lagen (2001:99) om den
		officiella	statistiken	gäller	när
		Statistiska	centralbyrån behand-
		lar personuppgifter för att fram-
		ställa statistik över		kommunalt
		vårdnadsbidrag.
		Lagen (2018:xx) med kom-
		pletterande bestämmelser till EU:s
		dataskyddsförordning		gäller	vid
		behandling av personuppgifter en-
		ligt denna förordning, om inte
		annat följer av angivna bestäm-
		melser eller denna förordning.

4 §

Behandling av personuppgifter får ske inom ramen för ett upp- drag från regeringen som gäller framställning av statistik över det

kommunala vårdnadsbidraget.
Personuppgifter som behand-	Personuppgifter som behand-
las för det ändamål som anges i	las för ändamål som anges i
första stycket får också behand-	första stycket får också behand-
las för att fullgöra uppgiftsläm-	las för att fullgöra uppgiftsläm-
nande som sker i överensstäm-	nande som sker i överensstäm-
melse med lag eller förordning.	melse med lag eller förordning.
I övrigt gäller 9 § första stycket d	Att personuppgifter som behand-
och andra stycket personuppgifts-	las för ändamål som anges i första
lagen (1998:204).	stycket även får behandlas för andra
	ändamål framgår av artikel 5.1 b
	i Europaparlamentets och rådets
	förordning (EU) 2016/679.

116

SOU 2017:66 Författningsförslag

		5 §
Utöver vad som följer av 14 §			Utöver vad som följer av 14 §
lagen (2001:99) om den offici-			lagen (2001:99) om den offici-
ella statistiken	får Statistiska		ella statistiken		får Statistiska
centralbyrån behandla sådana			centralbyrån	behandla sådana
personuppgifter som anges i 2 §			personuppgifter som anges i den
förordningen (2009:1421)		om	upphävda	2 §	förordningen
skyldighet för	kommuner	att	(2009:1421)	om	skyldighet för
lämna statistiska uppgifter		om	kommuner att lämna statistiska
kommunalt vårdnadsbidrag.			uppgifter om kommunalt vård-
			nadsbidrag.

Endast sådana uppgifter får behandlas som behövs för de ända- mål som anges i 4 §.

1. Denna förordning träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

117

Författningsförslag

SOU 2017:66

1.30 Förslag till

förordning om ändring i förordningen (2011:116) om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län

Härigenom föreskrivs i fråga om förordningen (2011:116) om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län

dels att 6 § ska upphöra att gälla,

dels att rubriken närmast före 6 § ska utgå.

1. Denna förordning träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

118

Denna förordning kompletterar

Europaparlamentets och rådets för- ordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskydds- förordning).

Lagen (2018:xx) med kom- pletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter en- ligt denna förordning, om inte annat följer av denna förordning.

119

SOU 2017:66

Författningsförslag

1.31 Förslag till

förordning om ändring i förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet

Härigenom föreskrivs i fråga om förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet

dels att 9 § ska upphöra att gälla,

dels att rubriken närmast före 9 § ska utgå,

dels att 3 och 4 §§ och rubriken närmast före 3 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Förhållandet till	Förhållandet till
personuppgiftslagen	annan dataskyddsreglering

3 §

Om inte annat följer av denna förordning, gäller personuppgifts- lagen (1998:204) vid Tandvårds- och läkemedelsförmånsverkets be- handling av personuppgifter.

Författningsförslag

SOU 2017:66

4 §

Tandvårds- och läkemedelsförmånsverket får behandla person- uppgifter om det behövs för att:

1. fatta beslut om utformningen av det statliga tandvårdsstödet

ifråga om ersättningsberättigande tandvårdsåtgärder, referenspriser för de ersättningsberättigande åtgärderna samt beloppsgränser och ersättningsgrader inom skyddet mot höga kostnader, och

2. genomföra uppföljning av utvecklingen på tandvårdsområdet.

Personuppgifter som behand-	Personuppgifter som behand-
las för de ändamål som anges i	las för de ändamål som anges i
första stycket får också behand-	första stycket får också behand-
las för att fullgöra uppgiftsläm-	las för att fullgöra uppgiftsläm-
nande som sker i överensstäm-	nande som sker i överensstäm-
melse med lag eller förordning.	melse med lag eller förordning.
I övrigt gäller 9 § första stycket d	Att personuppgifter som behandlas
och andra stycket personuppgifts-	för ändamål som anges i första
lagen (1998:204).	stycket även får behandlas för
	andra ändamål framgår av arti-
	kel 5.1 b i Europaparlamentets och
	rådets förordning (EU) 2016/679.

1. Denna förordning träder i kraft den 25 maj 2018.

2. Äldre föreskrifter om skadestånd gäller fortfarande om den omständighet som yrkandet hänför sig till har inträffat före ikraft- trädandet.

120

SOU 2017:66

Författningsförslag

1.32 Förslag till

förordning om ändring i förordningen (2013:413) om kosmetiska produkter

Härigenom föreskrivs i fråga om förordningen (2013:413) om kosmetiska produkter att 1 och 5 §§ och rubriken närmast före 5 § ska ha följande lydelse.

Nuvarande lydelse Föreslagen lydelse

1 § Denna förordning är meddelad

1. med stöd av 14 kap. 19 § 1 miljöbalken i fråga om 4 och 6 §§,

2. med stöd av 20 §	person-	2. med stöd av 3 kap. 8 § lagen
uppgiftslagen (1998:204)	i fråga	(2018:xx) med kompletterande
om 5 §,		bestämmelser till EU:s dataskydds-
		förordning i fråga om 5 §,

3. med stöd av 8 kap. 7 § regeringsformen i fråga om 8 §,

4. med stöd av 26 kap. 6 § miljöbalken i fråga om 13 och 15 §§,

5. i övrigt med stöd av 14 kap. 8 § miljöbalken.

Undantag		Behandling av personuppgifter
från personuppgiftslagen
	5 §
Läkemedelsverket får trots		Läkemedelsverket får utföra
13 § andra stycket personuppgifts-		de behandlingar av personupp-
lagen (1998:204) utföra de be-		gifter som rör hälsa och som är
handlingar	av personuppgifter	nödvändiga för att fullgöra de
som rör hälsa och som är nöd-		skyldigheter som föreskrivs i för-
vändiga för att fullgöra de skyl-		ordning (EG) nr 1223/2009 samt
digheter som föreskrivs i för-		i övrigt utföra de behandlingar
ordning (EG) nr 1223/2009 samt		av personuppgifter som rör hälsa
i övrigt utföra de behandlingar		i den omfattning behandlingen
av personuppgifter som rör hälsa		omfattas av Läkemedelsverkets
i den omfattning behandlingen		tillsynsverksamhet.
omfattas av	Läkemedelsverkets

tillsynsverksamhet.

121

Författningsförslag

SOU 2017:66

Läkemedelsverket är personuppgiftsansvarigt för behandling av personuppgifter som Läkemedelsverket utför för att fullgöra sådana uppgifter som avses i första stycket.

Denna förordning träder i kraft den 25 maj 2018.

122

Läkemedelsverket och inne- havare av ett godkännande eller en registrering för försäljning får utföra de behandlingar av personuppgifter som rör hälsa, inklusive genetiska och biomet- riska uppgifter och uppgifter om sexuell läggning, och som är nöd- vändiga för att fullgöra de skyl- digheter som föreskrivs i läke- medelslagen (2015:315) eller i denna förordning.

Personuppgifter som behandlas av annan än Läkemedelsverket med stöd av första stycket får inte behandlas för några andra ända- mål än arkivändamål av allmänt intresse, vetenskapliga eller histo- riska forskningsändamål eller sta- tistiska ändamål. Vad som nu sagts hindrar inte att personupp- gifterna behandlas med stöd av ett uttryckligt samtycke från den regi- strerade.

123

SOU 2017:66

Författningsförslag

1.33 Förslag till

förordning om ändring i läkemedelsförordningen (2015:458)

Härigenom föreskrivs i fråga om läkemedelsförordningen (2015:458) att 3 kap. 13 § och rubriken närmast före 3 kap. 13 § ska ha följande lydelse.

Nuvarande lydelse	Föreslagen lydelse
Undantag	Behandling av personuppgifter
från personuppgiftslagen

3 kap.

13 §

Läkemedelsverket och inne- havare av ett godkännande eller en registrering för försäljning får trots bestämmelserna i 13 § andra stycket personuppgiftslagen (1998:204) utföra de behand- lingar av personuppgifter som rör hälsa och som är nödvändiga för att fullgöra de skyldigheter som föreskrivs i läkemedelslagen (2015:315) eller i denna förord- ning.

Läkemedelsverket är person- uppgiftsansvarigt för behandling av personuppgifter som verket ut- för för att fullgöra en sådan skyl- dighet som avses i första stycket.

Författningsförslag

SOU 2017:66

Läkemedelsverket är person- uppgiftsansvarigt för behandling av personuppgifter som verket ut- för för att fullgöra en sådan skyl- dighet som avses i första stycket.

Denna förordning träder i kraft den 25 maj 2018.

124

SOU 2017:66

Författningsförslag

1.34 Förslag till

förordning om upphävande av förordningen (1994:565) om vårdnadsbidragsregister

Härigenom föreskrivs att förordningen (1994:565) om vårdnads- bidragsregister ska upphöra att gälla den 25 maj 2018.

125

Författningsförslag

SOU 2017:66

1.35 Förslag till

förordning om upphävande av förordningen (1998:156) med bemyndigande

för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister

Härigenom föreskrivs att förordningen (1998:156) med bemyn- digande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister ska upphöra att gälla den 25 maj 2018.

126

2 Utredningsarbetet och betänkandet

2.1 Utredningsarbetet

Utredningens utredningsdirektiv (dir. 2016:52) finns intagna som bilaga till detta betänkande.

Utredningen har bedrivits på sedvanligt sätt med regelbundna sammanträden och andra kontakter med experter och sakkunniga. Sammanlagt har tre utredningssammanträden hållits. Därutöver har särskilda sammanträden hållits med bl.a. de experter som företräder myndigheter som i dag inte tillämpar en registerförfattning.

Utredningen har vidare gett myndigheter och andra intressenter som på olika sätt påverkas av de många författningar som omfattas av utredningens uppdrag tillfälle att lämna synpunkter. Syftet har varit att säkerställa att förutsättningarna för en ändamålsenlig be- handling av personuppgifter inte försämras, om det går att undvika, och även i övrigt få de berörda aktörernas syn på de författnings- ändringar som utredningen föreslår.

Utredningen har haft kontakter med ett stort antal andra utred- ningar som har haft i uppdrag att på olika sätt anpassa svensk rätt till den nya EU-regleringen. Detta har i huvudsak skett genom regel- bundna möten i den samordningsgrupp som bildats i syfte att för- söka skapa enhetlighet när det gäller bl.a. tolkning av bestämmel- serna i dataskyddsförordningen. I samordningsgruppen har även representanter för det arbete som bedrivs inom Regeringskansliet med att anpassa författningar till den nya EU-regleringen deltagit. Utredningen har i samordningsgruppen delat med sig av sina texter avseende generella överväganden.

Utöver möten i samordningsgruppen har utredningen haft sam- råd eller andra kontakter med företrädare för Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06), Forskningsdatautred-

127

Utredningsarbetet och betänkandet

SOU 2017:66

ningen (U 2016:04), Utbildningsdatautredningen (U 2016:03), Utred- ningen om regleringen av biobanker (S 2016:04) och Totalförsvars- datautredningen (Fö 2016:01).

2.2 Betänkandets disposition

Betänkandet är indelat i fyra delar, förutom detta kapitel och för- fattningsförslagen samt sammanfattningen.

Den första delen, som omfattar kapitel 3–5, innehåller en allmän bakgrund. Kapitel 3 innehåller en kort beskrivning av gällande rätt. I kapitel 4 beskrivs innehållet i dataskyddsförordningen översikt- ligt. Kapitel 5 innehåller en kort beskrivning av annat pågående lagstiftningsarbete som har samband med utredningens uppdrag.

I betänkandets andra del, kapitel 6–9, har de generella över- väganden som utredningen gjort samlats. I kapitel 6 redovisas några allmänna utgångspunkter för utredningens arbete. I kapitel 7 finns det en redogörelse för de generella konsekvenserna av att person- uppgiftslagen upphävs och dataskyddsförordningen ska börja tillämpas. I kapitel 8 redogör utredningen för sina slutsatser kring behovet av reglering för de myndigheter och verksamheter inom Socialdepartementets verksamhetsområde som i dag inte har en registerförfattning. Kapitel 9 innehåller de generella bedömningar som utredningen gjort när det gäller befintlig lagstiftning. Över- vägandena i det kapitlet har sedan använts som en utgångspunkt vid översynen av de berörda författningarna.

Den tredje delen av betänkandet, som omfattar kapitel 10–14, består av de särskilda överväganden som utredningen har gjort be- träffande de författningar som har ingått i översynen. Behovet av anpassning analyseras i separata avsnitt för varje författning. Dessa avsnitt är disponerade på det sättet att samtliga bestämmelser om behandling av personuppgifter i registerförfattningen gås igenom i huvudsak i den ordning de förekommer i respektive författning. Kapitel 10 innehåller överväganden kring de författningar som reg- lerar behandling av personuppgifter inom en hel verksamhet. I kapitel 11 återfinns övervägandena om författningar som reglerar ett visst register eller en viss informationssamling. Kapitel 12 inne- håller bedömningar avseende författningar som inte enbart reglerar behandling av personuppgifter. Författningar som innehåller upp-

128

SOU 2017:66

Utredningsarbetet och betänkandet

giftsskyldigheter berörs i kapitel 13. I kapitel 14 redogörs för för- fattningar som utredningen bedömt inte behöver finnas kvar. Kapitel- indelningen i denna del är gjord av pedagogiska skäl och respektive författning har placerats i det kapitel den bedömts höra bäst hemma.

Slutligen finns i betänkandets fjärde del, kapitel 15–17, de av- slutande kapitlen. I kapitel 15 berörs ikraftträdande och övergångs- bestämmelser. Kapitel 16 innehåller en beskrivning av konsekvenserna av utredningens förslag. En författningskommentar som innehåller hänvisningar till de avsnitt där respektive författningsförslag kom- menteras finns i kapitel 17.

Som bilagor till betänkandet har fogats utredningens huvud- direktiv (dir. 2016:52) och dataskyddsförordningen.

129

BAKGRUND

3 Kort om gällande rätt

3.1 Europarådet

3.1.1 Europakonventionen

Artikel 8 i den europeiska konventionen om skydd för de mänsk- liga rättigheterna och de grundläggande friheterna (Europakonven- tionen) avser rätt till skydd för privat- och familjeliv. Artikeln lyder enligt följande:

1. Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens.

2. Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till före- byggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter.

Artikel 8 är tillämplig på behandling av personuppgifter men om- fattar inte all slags behandling av personuppgifter – frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europakonven- tionen tar i första hand sikte på åtgärder av det allmänna.

3.1.2 Dataskyddskonventionen

Europarådets ministerkommitté antog år 1980 en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventionen). Dataskyddskonventionen trädde i kraft den 1 oktober 1985 och Sverige anslöt sig till den före EU-medlemskapet. Även övriga medlemsstater i EU är anslutna till

133

Kort om gällande rätt

SOU 2017:66

dataskyddskonventionen. Dess syfte är att säkerställa den enskildes rätt till personlig integritet och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Tillämpningsområdet är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet (artikel 3).

Dataskyddskonventionen har fem kapitel. Den centrala delen är kapitel II (artiklarna 4–11) som innehåller de grundläggande princi- perna för dataskydd. Konventionsstaterna ska vidta nödvändiga åtgärder i sin nationella lagstiftning för att ge principerna effekt (artikel 4). Det handlar bl.a. om att personuppgifter ska inhämtas och behandlas på ett korrekt sätt bara när det är lagligt och för sär- skilt angivna ändamål, att personuppgifterna ska vara relevanta med hänsyn till ändamålet och att personuppgifter ska vara riktiga och uppdaterade vid behov (artikel 5). Uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott får inte behandlas automatiserat, om inte den nationella lagen ger ett ändamålsenligt skydd (artikel 6). Lämpliga säkerhetsåtgärder ska vidtas för att skydda personuppgifter mot oavsiktlig eller otillåten förstörelse m.m. (artikel 7). Vidare föreskrivs bl.a. att alla som är registrerade i ett personregister ska ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade (artikel 8).

De grundläggande principerna ger ett minimiskydd och bestäm- melserna i kapitel II hindrar inte att personuppgifter ges ett mer omfattande skydd än det som föreskrivs i dataskyddskonventionen (artikel 11). En konventionsstat får dock, enligt artikel 12 i kapi- tel II, inte hindra gränsöverskridande överföring av personuppgif- ter till en annan konventionsstat bara av skäl som rör integritets- skydd. Avvikelser kan göras även från minimiskyddet enligt data- skyddskonventionen under förutsättning att avvikelserna anges i lag och är nödvändiga i ett demokratiskt samhälle för att bl.a. skydda den registrerades eller andra personers fri- och rättigheter (arti- kel 9).

Kapitel III innehåller bestämmelser om behandlingen i nationell lag av flödet av personuppgifter över gränserna. Kapitel IV och V reglerar formerna för samarbetet mellan konventionsstaterna, medan kapitel VI och VII innehåller bestämmelser om hur man kan ansluta sig till konventionen och hur den kan ändras.

134

SOU 2017:66

Kort om gällande rätt

Dataskyddskonventionen är för närvarande föremål för en över- syn.

3.1.3 Rekommendation om skyddet av hälsouppgifter

I anslutning till konventionen har Europarådets ministerkommitté antagit rekommendationer för behandling av personuppgifter på vissa områden. Rekommendationerna är inte direkt bindande. En av rekommendationerna, Recommendation No. R (97) 5 of the Committe of Ministers to Member States on the protection of medical data, antogs 1997 i syfte att förtydliga vad som gäller för personuppgifter om hälsa (hälsouppgifter) enligt artikel 6 i dataskydds- konventionen. Rekommendationen ersatte en tidigare rekommen- dation avseende medicinska databanker, som hade antagits 1981. Den nya tekniken föranledde nya ställningstaganden.

Rekommendationen No. R (97) 5 är tillämplig på insamling och automatiserad behandling av hälsouppgifter. Verksamhet utanför hälso- och sjukvårdssektorn, som omfattas av lämpliga skydds- åtgärder i nationell rätt, omfattas dock inte av rekommendationen. (Princip 2)

Här följer en översiktlig redogörelse för innehållet i rekommen- dationen.

Hälsouppgifter får som huvudregel behandlas endast av sjuk- vårdspersonal med tystnadsplikt och i övrigt i enlighet med lämp- liga säkerhetsåtgärder som ska framgå av nationell rätt. (Princip 3)

Hälsouppgifter ska som huvudregel samlas in från den registre- rade och får behandlas enbart för vissa i rekommendationen an- givna ändamål. Det ska också finnas stöd för behandlingen i lag- stiftning. Ändamålen i rekommendationen avser dels allmänna intressen – folkhälsa, förhindrande av stor fara eller viss brottslig- het samt andra allmänna intressen – och dels enskilda intressen. Hälsouppgifter får behandlas för förebyggande hälso- och sjukvård, diagnosticering och behandling av den registrerade eller anhörig med genetisk anknytning, för att skydda den registrerades eller tredje persons grundläggande intressen, för att uppfylla en kontraktuell skyldighet, för att fastställa, göra gällande eller försvara rättsliga anspråk eller med stöd av samtycke utom då nationell rätt före- skriver att samtycke inte kan lämnas. (Princip 4.1–3)

135

Kort om gällande rätt

SOU 2017:66

Ett samtycke till behandling av hälsouppgifter ska vara frivilligt, uttryckt och informerat (princip 6).

För genetiska uppgifter anges särskilt att om de samlats in för förebyggande hälso- och sjukvård, diagnosticering eller behandling av den registrerade eller för forskning, ska uppgifterna behandlas endast för dessa ändamål. Det kan dock finnas överordnade intres- sen som motiverar att genetiska uppgifter används även för andra ändamål; detta under förutsättning att lämpliga säkerhetsåtgärder föreskrivs i lagstiftning. Exempelvis kan genetiska uppgifter be- handlas för forskningsändamål och för att fastställa släktskap inom brottsbekämpande verksamhet. (Princip 4.7–9)

Hälsouppgifter får under vissa förutsättningar lämnas ut för ungefär samma ändamål som de uppgifterna ursprungligen fick samlas in för. Utlämnande får ske endast till den som omfattas av sådan tystnadsplikt som gäller sjukvårdspersonal, eller motsvarande tystnadsplikt. Utlämnandet ska också ske med stöd i lagstiftning och utgöra en nödvändig åtgärd i ett demokratiskt samhälle. I vissa fall har den registrerade möjlighet att invända mot utlämnandet. (Princip 7)

Den registrerade ska få information om vilka hälsouppgifter som behandlas om honom eller henne, för vilka ändamål de behandlas, varifrån hälsouppgifterna samlats in, till vilka hälsouppgifterna kan komma att lämnas ut, möjligheten att ta tillbaka ett samtycke, vem som är ansvarig för hälsouppgifterna och möjligheten att ta del av och begära rättelse av hälsouppgifterna. Informationsskyldigheten begränsas dock av vissa angivna undantag. (Princip 5)

Den registrerade ska ha möjlighet att ta del av vilka hälsouppgifter som behandlas om honom eller henne. Begränsningar i rätten att få del av hälsouppgifterna kan göras i lagstiftning om det exempelvis är nödvändigt av skäl som berör allmän säkerhet, om den registre- rade eller en anhörig med genetisk anknytning skulle åsamkas all- varlig skada genom att hälsouppgifterna lämnas ut, eller om uppgif- terna endast behandlas för statistiska eller forskningsrelaterade skäl och det inte finns någon risk för integritetsintrång. (Princip 8.1 och 2)

Oväntade resultat till följd av en genetisk analys ska meddelas den registrerade om nationell rätt inte förbjuder det, om den regi- strerade själv frågat efter resultatet och informationen inte riskerar att skada den registrerade eller annan (princip 8.4).

136

SOU 2017:66

Kort om gällande rätt

Den registrerade ska också ha möjlighet att begära rättelse av felaktiga hälsouppgifter och, om begäran av rättelse avslås, kunna överklaga beslutet om avslag (princip 8.3).

Lämpliga tekniska och organisatoriska åtgärder ska vidtas för att skydda personuppgifter mot oavsiktlig eller otillåten förstörelse, oavsiktlig förlust samt otillåten tillgång, ändring, utlämnande eller i övrigt otillåten behandling (princip 9). Hälsouppgifter får inte be- varas längre än vad som är nödvändigt för det ändamål för vilket uppgifterna samlats in (princip 10).

Principerna i rekommendationen gäller även överföring av hälso- uppgifter till andra länder. Överföring till länder som inte tillhanda- håller sådant skydd som dataskyddskonventionen och de aktuella rekommendationerna föreskriver, ska i regel inte förekomma. Över- föring kan trots det ske om den registrerade har lämnat samtycke eller det framgår av nationell rätt att överföring ska ske och till- räckliga åtgärder har vidtagits för att tillförsäkra uppgifterna skydd. (Princip 11)

Hälsouppgifter som används för forskningsändamål ska, när det är möjligt, vara anonymiserade. Om anonymisering inte är möjlig, får hälsouppgifter behandlas om samtycke har lämnats, om stöd finns i nationell rätt, eller om användningen av hälsouppgifter i ett avgränsat forskningsprojekt med ett allmänt intresse har tillåtits av en i nationell rätt särskilt utsedd funktion. Det förutsätter dock bl.a. att den registrerade inte uttryckligen motsatt sig behandlingen och att intresset av forskningsprojektet motiverar behandlingen. (Princip 12)

3.1.4 Rekommendation om skyddet av personuppgifter som behandlas för ändamål rörande social trygghet

Europarådets ministerkommitté har också antagit en rekommen- dation som avser personuppgifter som behandlas inom ramen för de sociala trygghetssystemen, Recommendation No. R (86) 1 of the Committee of Ministers to Member States on the protection of personal data used for social security purposes. Rekommendationen antogs 1986 i syfte att ge principer och riktlinjer för behandling av personuppgifter för ändamål rörande social trygghet.

Rekommendationen är tillämplig på behandling av personupp- gifter för ”social security purposes” (ändamål hänförliga till social

137

Kort om gällande rätt

SOU 2017:66

trygghet). Av definitionen av uttrycket ”social security purposes” framgår att det avser alla de arbetsuppgifter som utförs inom de sociala trygghetssystemen avseende följande förmåner: förmåner vid sjukdom och havandeskap, invaliditetsförmåner, åldersförmåner, efterlevandeförmåner, förmåner vid arbetsskada, förmåner vid dödsfall, arbetslöshetsförmåner och familjeförmåner (princip 1.2).

Här följer en översiktlig redogörelse för innehållet i rekommen- dationen.

Insamling och lagring av personuppgifter ska begränsas till vad som är nödvändigt för att arbetsuppgifter inom de sociala trygg- hetssystemen ska kunna utföras. Är personuppgifterna av känslig natur, får de samlas in om det finns stöd i nationell rätt. Person- uppgifter som rör ras, politiska åsikter eller religiösa eller andra övertygelser får behandlas enbart om det är absolut nödvändigt för administrationen av en viss förmån. (Princip 3.1)

Personuppgifter ska som huvudregel samlas in från den registre- rade men kan även samlas in från andra om det finns stöd för det i nationell rätt. Personuppgifter av känslig natur får samlas in från andra källor än den registrerade endast med stöd av samtycke eller i enlighet med lämpliga säkerhetsåtgärder som ska framgå av natio- nell rätt. (Princip 3.2 och 3)

Personuppgifter som samlats in för ett visst ändamål får be- handlas även för andra ändamål hänförliga till social trygghet (princip 4.1). Utbyte av personuppgifter mellan olika organ inom det sociala trygghetssystemet får ske i den mån det behövs för att arbetsuppgifter ska kunna utföras (princip 4.2). Överföring av per- sonuppgifter över nationsgränser och mellan olika organ inom det sociala trygghetssystemet får också ske om det är nödvändigt för att arbetsuppgifter ska kunna utföras i enlighet med internationella rättsakter (princip 8.1). Till andra organ får uppgifter lämnas ut enbart för ändamål som avser social trygghet eller med stöd av den registrerades samtycke (princip 4.3).

Användningen av nationella identifikationsnummer (person- nummer eller liknande) ska omgärdas av lämpliga säkerhetsåtgärder fastställda i nationell rätt (princip 5.1). Lämpliga tekniska och orga- nisatoriska åtgärder ska vidtas även i övrigt för att personuppgifter ska tillförsäkras säkerhet och sekretess (princip 7.1).

Om inte annat framgår av nationell rätt rörande hälsouppgifter eller personuppgifter inom forskning och statistik, får rätten till

138

SOU 2017:66

Kort om gällande rätt

insyn och möjligheten att begära rättelse inte begränsas förutom om det är nödvändigt för att förhindra bedrägeri eller utnyttjande av det sociala trygghetssystemet eller för skyddet av enskildas fri- och rättigheter. (Princip 6.1)

Personuppgifter får inte lagras under längre tid än vad som är motiverat för ändamålet eller vad som är behövligt med hänsyn till den registrerades intresse. Personuppgifter som endast ska användas för forskning eller statistik ska, om det är möjligt, anonymiseras. Om det inte är möjligt att använda sig av anonymisering, ska andra lämpliga säkerhetsåtgärder vidtas. (Princip 9)

3.2 Dataskyddsdirektivet

3.2.1 Inledning

Den allmänna regleringen om behandling av personuppgifter inom EU finns för närvarande i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter, nedan kallat dataskyddsdirektivet. Data- skyddsdirektivet syftar till att garantera en hög och i alla medlems- stater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU.

Dataskyddsdirektivet är direkt bindande för medlemsstaterna i fråga om det resultat som ska uppnås. Medlemsstaterna bestäm- mer dock själva på vilket sätt dataskyddsdirektivet ska införlivas i den nationella lagstiftningen och de får, inom den ram som anges i dataskyddsdirektivet, närmare precisera villkoren för när behand- ling av personuppgifter får förekomma. Sådana preciseringar får inte hindra det fria flödet av personuppgifter inom unionen.

Dataskyddskonventionens roll som grundläggande dokument för automatiserad behandling av personuppgifter inom EU har i praktiken övertagits av dataskyddsdirektivet. EU-domstolen1 har emellertid ansett att artikel 8 i Europakonventionen har betydelse

1 Här och i det följande används namnet EU-domstolen genomgående även när den dom- stolen meddelat det aktuella avgörandet under namnet EG-domstolen.

139

Kort om gällande rätt

SOU 2017:66

vid sidan av dataskyddsdirektivet vid bedömningen av nationella regler som tillåter behandling av personuppgifter.2

Dessutom finns en grundläggande bestämmelse om dataskydd i artikel 8 i Europeiska unionens stadga om de grundläggande rättig- heterna (2010/C 83/02), rättighetsstadgan. I artikeln anges att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Personuppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs.

3.2.2 Tillämpningsområde

Dataskyddsdirektivet omfattar helt eller delvis automatiserad be- handling av personuppgifter. Även manuell behandling av person- uppgifter omfattas, om personuppgifterna ingår i eller kommer att ingå i ett register. Däremot omfattas inte behandling av personupp- gifter på områden som faller utanför EU-rätten, t.ex. allmän säker- het, försvar, medlemsstaternas säkerhet och medlemsstaternas verk- samhet på straffrättens område. Dataskyddsdirektivet gäller inte heller för sådan behandling av personuppgifter som en fysisk per- son bedriver som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. (Artikel 3)

3.2.3 Grundläggande krav och principer

Dataskyddsdirektivet innehåller en rad grundläggande krav på be- handlingen av personuppgifter. Det åligger den registeransvarige (i dataskyddsdirektivet används begreppet registeransvarig, som i sak motsvarar begreppet personuppgiftsansvarig) att säkerställa att kraven efterlevs (artikel 6.2). All behandling av personuppgifter måste vara laglig och korrekt. Personuppgifter får bara samlas in

2 EU-domstolens dom av den 20 maj 2003, Rechnungshof (C-465/00) mot Österreichischer Rundfunk m.fl. och Christa Neukomm (C-138/01) och Joseph Lauermann (C-139/01) mot Österreichischer Rundfunk, EU:C:2003:294.

140

SOU 2017:66

Kort om gällande rätt

för särskilda, uttryckligt angivna och berättigade ändamål och sen- are behandling får inte ske på ett sätt som är oförenligt med dessa ändamål (finalitetsprincipen). Personuppgifterna måste vara adekvata och relevanta och får inte omfatta mer än vad som är nödvändigt med hänsyn till ändamålet. Vidare ska personuppgifterna vara rik- tiga och aktuella och alla rimliga åtgärder måste vidtas för att säker- ställa att personuppgifter vid behov utplånas eller rättas. Förvaring av personuppgifter ska ske på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt med hänsyn till ändamålet. (Artikel 6)

Personuppgifter får enligt dataskyddsdirektivet behandlas bara i vissa fall. Personuppgifter får behandlas efter att den registrerade otvetydigt har lämnat sitt samtycke eller i samband med fullgör- ande av avtal där den registrerade är part. Behandling får också ske om det är nödvändigt för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller för att skydda intressen som är av grundläggande betydelse för den registrerade. Vidare får behand- ling ske om den är nödvändig för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighets- utövning. Slutligen får personuppgifter behandlas om intresset av att den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas (intresseavvägning). (Artikel 7)

3.2.4 Känsliga personuppgifter

Vissa särskilda, i dataskyddsdirektivet angivna kategorier av upp- gifter, får som huvudregel inte behandlas. Det gäller sådana upp- gifter som avslöjar den registrerades ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv (artikel 8.1). Det finns dock undantag från denna huvudregel. Behandling av sådana personuppgifter får t.ex. ske om den registrerade lämnat sitt uttryckliga samtycke till behandlingen, om behandlingen är nöd- vändig för att fullgöra skyldigheter och rättigheter inom arbets- rätten eller om behandlingen är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är förhindrad att ge sitt samtycke. Ideella verksamheter med politiskt, filosofiskt,

141

Kort om gällande rätt

SOU 2017:66

religiöst eller fackligt syfte kan behandla känsliga personuppgifter om sina medlemmar och personuppgifter kan också behandlas om uppgifterna på ett tydligt sätt offentliggörs av den registrerade eller är nödvändiga för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. (Artikel 8.2) Inom hälso- och sjukvården kan känsliga personuppgifter behandlas om det är nödvändigt med hänsyn till vård, behandling, medicinska diagnoser eller administra- tion eller när dessa uppgifter behandlas av någon som omfattas av krav på tystnadsplikt (artikel 8.3).

Medlemsstaterna kan i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag av hän- syn till ett viktigt allmänt intresse (artikel 8.4).

Behandling av uppgifter om lagöverträdelser måste ske under kontroll av en myndighet eller med stöd av särskild lagstiftning (artikel 8.5).

3.2.5 Rättigheter och skyldigheter

Enligt dataskyddsdirektivet ska den registeransvarige informera den registrerade när personuppgifter är föremål för behandling. Den registrerade ska också få en beskrivning av ändamålet med behandlingen samt få annan information som behövs för att den registrerade ska kunna tillvarata sina rättigheter. Information som den registrerade redan känner till behöver inte lämnas. Om person- uppgifterna har samlats in från någon annan än den registrerade, behöver information inte lämnas om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. (Artikel 10 och 11)

Den registrerade har även rätt att på begäran få information om huruvida uppgifter som rör honom eller henne behandlas eller inte och information om ändamål, uppgiftskategorier och eventuella mottagare av personuppgifterna (artikel 12 a).

Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med dataskyddsdirektivet rättade, utplå- nade eller blockerade. Om en uppgift rättas ska den registeransva- rige underrätta tredje man som fått del av den felaktiga uppgiften. Underrättelse behöver dock inte ske i de fall där en underrättelse

142

SOU 2017:66

Kort om gällande rätt

visar sig vara omöjlig eller förenad med en oproportionerligt stor ansträngning. (Artikel 12 b)

Medlemsstaterna får föreskriva begränsningar i fråga om bl.a. informationsskyldigheten och rätten att på begäran få tillgång till personuppgifter. En sådan begränsning måste dock vara en nöd- vändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. allmän säkerhet, åtgärder mot brott eller överträdelser av etiska regler, viktiga ekonomiska eller finansiella intressen (inklusive monetära frågor, budgetfrågor och skattefrågor), en tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutöv- ning i fall som nämnts ovan och skyddet av den registrerades eller andras fri- och rättigheter. (Artikel 13)

Den registrerade ska enligt dataskyddsdirektivet ha rätt att när som helst, av skäl som rör hans personliga situation, motsätta sig sådan behandling av sina personuppgifter som sker på den grunden att behandlingen bedömts nödvändig för att utföra en arbetsupp- gift av allmänt intresse eller som led i myndighetsutövning alterna- tivt med stöd av en intresseavvägning. Detta gäller dock endast om nationell lagstiftning inte föreskriver något annat. Den register- ansvarige får inte längre behandla uppgifterna om den registrerades invändning är berättigad. (Artikel 14 a)

Den registrerade ska också ha rätt att slippa bli föremål för ett beslut som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma den registrerades personliga egenskaper. Denna rättighet gäller dock inte om beslutet fattas som ett led i ingåendet eller fullgörandet av ett avtal eller om beslutet tillåts i lagstiftning som innehåller bestämmelser till skydd för den regi- strerades berättigade intressen. (Artikel 15)

Till skydd för den registrerade innehåller dataskyddsdirektivet även bestämmelser om säkerhet vid behandlingen. Genom lämpliga tekniska och organisatoriska åtgärder ska den registeransvarige skydda personuppgifter mot otillåten behandling samt mot för- störing, förlust, ändring eller otillåten spridning (artikel 17).

143

Kort om gällande rätt

SOU 2017:66

3.2.6 Tillsynsmyndighet och anmälningsplikt

Enligt dataskyddsdirektivet ska varje medlemsstat se till att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som med- lemsstaterna antar till följd av dataskyddsdirektivet. Ett relativt omfattande anmälningsförfarande till tillsynsmyndigheten vid be- handling av personuppgifter är tänkt att ge tillsynsmyndigheten och allmänheten insyn i behandlingarna. Undantag från anmäl- ningsplikten får dock föreskrivas under vissa förutsättningar. Bland annat krävs ingen anmälan om den registeransvarige i enlighet med nationell lagstiftning utser ett uppgiftsskyddsombud (personupp- giftsombud) som ser till att behandlingen av personuppgifter är lagenlig och dessutom upprättar ett register över de behandlingar som utförs av den registeransvarige. (Artikel 18–21)

3.2.7 När uppgifter behandlas i strid med lagstiftningen

Om personuppgifter inte behandlas i enlighet med den nationella lagstiftning som införs till följd av dataskyddsdirektivet, ska det enligt dataskyddsdirektivet finnas möjlighet att föra talan inför domstol. Det ska också finnas möjlighet att få ersättning av den registeransvarige för eventuell skada som uppstått till följd av en otillåten behandling. Medlemsstaterna ska besluta om sanktioner som ska användas vid överträdelse av dataskyddsbestämmelser. (Artikel 22–24)

3.2.8 Överföring till tredjeland

Dataskyddsdirektivet syftar till ett fritt flöde av personuppgifter mellan medlemsstaterna. Som huvudregel gäller att överföring av personuppgifter som är under behandling, eller är avsedda att be- handlas efter överföringen, till ett land utanför EU eller EES (tredjeland), får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som ska behandlas och ändamålet med behandlingen. I vissa fall får per- sonuppgifter föras över till länder vars lagstiftning i och för sig inte

144

SOU 2017:66

Kort om gällande rätt

erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade går med på att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. (Artikel 25 och 26)

3.3 Personuppgiftslagen

3.3.1 Tillämpningsområdet

I Sverige har dataskyddsdirektivet genomförts genom personupp- giftslagen (1998:204) och ett antal andra författningar som kom- pletterar personuppgiftslagen eller innehåller särreglering i för- hållande till personuppgiftslagen. Personuppgiftslagen trädde i kraft den 24 oktober 1998 och ersatte den tidigare gällande datalagen (1973:289).

Personuppgiftslagen är till skillnad från datalagen teknikobero- ende i den meningen att den i fråga om automatiserad behandling inte begränsas till dataregister. All automatiserad behandling av personuppgifter omfattas av personuppgiftslagen, inklusive behand- ling av sådana personuppgifter som framgår av bild eller ljud. En personuppgift är enligt 3 § all slags information som direkt eller indirekt kan hänföras till en enskild person som är i livet.

Syftet med personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks i samband med att deras person- uppgifter behandlas (1 §). Tillämpningsområdet har dock begrän- sats genom en rad bestämmelser. Personuppgiftslagen är för det första subsidiär i förhållande till annan lagstiftning (2 §), vilket innebär att om det i en annan lag eller i en förordning finns bestäm- melser som avviker från personuppgiftslagen, ska de andra bestäm- melserna gälla. Personuppgiftslagen omfattar inte heller sådan be- handling som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Av förtydligande skäl anges att person- uppgiftslagen inte ska tillämpas i den utsträckning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihets- förordningen eller yttrandefrihetsgrundlagen att tillämpa lagens regler (7 § första stycket). Motsvarande gäller när en tillämpning av personuppgiftslagen skulle strida mot en myndighets skyldighet att lämna ut personuppgifter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen (8 § första stycket). Andra undantag i fråga

145

Kort om gällande rätt

SOU 2017:66

om personuppgiftslagens tillämpningsområde gäller behandling av personuppgifter för journalistiska ändamål eller konstnärligt eller litterärt skapande (7 § andra stycket). Slutligen gäller vissa undan- tag från tillämpning av personuppgiftslagen som tar sikte på arki- vering av handlingar (8 § andra stycket).

Personuppgiftslagen innehåller generella regler och omfattar så- väl myndigheter som enskilda. Även verksamheter som faller utan- för unionsrättens område omfattas. Det förutsattes vid lagens till- komst att behov av undantag och preciseringar för speciella områ- den skulle tillgodoses genom särskild lagstiftning.3

3.3.2 Hanteringsregler

Personuppgiftslagen ställer inte något krav på tillstånd för in- rättande och förande av personregister eller annan behandling av personuppgifter. I stället innehåller lagen en rad hanteringsregler för behandling av personuppgifter. Regleringen omfattar all an- vändning av personuppgifter oavsett syfte, omfattning och art och oavsett om hanteringen kan betecknas som harmlös eller känslig från integritetssynpunkt. Paragraferna beskriver hur personupp- gifter ska hanteras från det att de samlas in till dess att de utplånas.

Hanteringsreglerna omfattar bl.a. vissa grundläggande krav på behandlingen av personuppgifter, förutsättningar för när behand- ling över huvud taget är tillåten, förutsättningar för att få behandla känsliga personuppgifter, uppgifter om lagöverträdelser och per- sonnummer samt krav på information till den registrerade.

De grundläggande kraven gäller för all strukturerad behandling av personuppgifter (9 §). Personuppgifter ska behandlas på ett korrekt sätt, i enlighet med god sed och bara om det är lagligt. Insamling av personuppgifter får ske enbart för särskilda, uttryck- ligt angivna och berättigade ändamål och de insamlade personupp- gifterna får inte senare behandlas för något ändamål som är ofören- ligt med det ändamål för vilket de samlades in (finalitetsprincipen). Personuppgifter ska vara adekvata och relevanta i förhållande till ändamålet och behandlingen får inte avse fler personuppgifter än

3 Prop. 1997/98:44 s. 40 f.

146

SOU 2017:66

Kort om gällande rätt

vad som är nödvändigt. Uppgifterna ska också vara riktiga och, om det är nödvändigt, aktuella.

I personuppgiftslagen anges vidare vissa förutsättningar för när en behandling av personuppgifter över huvud taget är tillåten (10 §). Personuppgifter får behandlas med samtycke eller om be- handlingen är nödvändig för något av ett antal uppräknade syften. Är en behandling nödvändig för att ett avtal med den registrerade ska kunna fullgöras eller för att åtgärder som den registrerade be- gärt ska kunna vidtas innan ett avtal träffas, så kan den vara tillåten. En behandling kan också vara tillåten om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldig- het, för att vitala intressen för den registrerade ska kunna skyddas eller för att en arbetsuppgift av allmänt intresse ska kunna utföras. Vidare kan en behandling vara tillåten om den är nödvändig för att den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Slutligen kan en behandling vara tillåten med stöd av en intresseavvägning.

Känsliga personuppgifter får som huvudregel inte behandlas (13 §). Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser, medlemskap i fackförening eller person- uppgifter som rör hälsa eller sexualliv. Vissa undantag görs från för- budet – när den enskilde uttryckligen samtyckt till behandlingen, om behandlingen är nödvändig bl.a. för att skydda vitala intressen hos den registrerade eller någon annan och den registrerade inte kan lämna sitt samtycke, inom hälso- och sjukvården samt för forsk- nings- och statistikändamål (15–19 §§). Enligt personuppgiftslagen får regeringen eller den myndighet som regeringen bestämmer medge ytterligare undantag från förbudet att behandla känsliga per- sonuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Enligt 8 § personuppgiftsförordningen (1998:1191) får myndigheter, utöver vad som anges i 15–19 §§ personuppgifts- lagen, behandla känsliga personuppgifter i löpande text om uppgif- terna har lämnats i ett ärende eller är nödvändiga för handlägg- ningen av det.

Det är förbjudet för andra än myndigheter att behandla person- uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövan-

147

Kort om gällande rätt

SOU 2017:66

den (21 §). Uppgifter om personnummer och samordningsnummer får behandlas bara om den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (22 §).

I personuppgiftslagen finns det bestämmelser som innebär en skyldighet för den personuppgiftsansvarige att självmant lämna viss information om behandlingen av personuppgifter till den registre- rade. Informationen ska omfatta uppgift om den personuppgifts- ansvariges identitet, uppgift om ändamålen med behandlingen, och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Det finns vissa undantag från be- stämmelserna om informationsskyldighet. Information behöver t.ex. inte lämnas om sådant som den registrerade redan känner till. Den personuppgiftsansvarige är också skyldig att efter ansökan en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller inte samt viss information om be- handlingen. (23–27 §§) Enligt 28 § personuppgiftslagen ska den personuppgiftsansvarige på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med lagen.

Personuppgiftslagen innehåller också vissa bestämmelser om säkerheten vid behandlingen av personuppgifter. Den personupp- giftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgär- der för att skydda de personuppgifter som behandlas. (30–32 §§)

Det är som huvudregel förbjudet att till tredjeland föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Personuppgifts- lagen innehåller dock vissa undantag till detta förbud. (33–35 §§)

Den personuppgiftsansvarige är skyldig att anmäla all behand- ling av personuppgifter till tillsynsmyndigheten. Anmälningsskyl- digheten gäller dock inte om den personuppgiftsansvarige utser ett personuppgiftsombud. (36–37 §§)

148

SOU 2017:66

Kort om gällande rätt

3.3.3 Ostrukturerat material

Hanteringsreglerna gäller för behandling av personuppgifter i struk- turerat material som traditionella dataregister, databaser och ärende- och dokumenthanteringssystem. För behandling av personupp- gifter i ostrukturerat material som löpande text i ordbehandlings- program, i e-post, på internet eller i enstaka ljud- eller bildupptag- ningar gäller i stället en förenklad reglering av missbruksmodell. Det innebär att sådan behandling av personuppgifter är undantagen från samtliga hanteringsregler i personuppgiftslagen som det har bedömts möjligt att göra undantag från inom ramen för data- skyddsdirektivet. I stället gäller att behandlingen inte får utföras om den innebär en kränkning av den registrerades personliga integritet (5 a §). Särregleringen för behandling av personuppgifter i ostrukturerat material brukar kallas för missbruksregeln.

3.4 Registerförfattningar inom Socialdepartementets verksamhetsområde

3.4.1 Ett stort antal författningar

Registerförfattningar gäller utöver eller i stället för personuppgifts- lagen. Tanken är att författningarna ska ge berörda personuppgifts- ansvariga ett mer anpassat regelverk när det finns behov av att av- vika från eller komplettera det integritetsskydd som personupp- giftslagen ger.

Den 1 januari 2011 trädde en ny grundlagsbestämmelse, 2 kap. 6 § andra stycket regeringsformen (RF), i kraft. Enligt bestäm- melsen är var och en gentemot det allmänna skyddad mot bety- dande intrång i den personliga integriteten, om det sker utan sam- tycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Det stärkta grundlagsskyddet innebär att en begränsning av det skydd som bestämmelsen föreskriver endast får göras i form av lag (2 kap. 20 § RF) och under de förutsättningar som anges 2 kap. 21 och 22 §§ RF. Enligt övergångsbestämmel- serna har äldre föreskrifter, som inneburit ett betydande intrång i den personliga integriteten, fortsatt att gälla till och med den 31 december 2015. Fram till dess har också ändringar kunnat göras i dessa föreskrifter.

149

Kort om gällande rätt

SOU 2017:66

Det är inte helt självklart att sådana bestämmelser som finns i registerförfattningar alltid måste anses utgöra sådan reglering som medför ett betydande intrång i den personliga integriteten. Infor- mationshanteringsutredningen (Ju 2011:11) har i sitt betänkande argumenterat för att så inte är fallet.4 I den mån bestämmelserna tillåter ett sådant betydande intrång i den personliga integriteten som avses i grundlagsbestämmelsen, måste dock regleringen ske i lag.

Det kan i sammanhanget noteras att det länge har varit ett ut- talat mål från regering och riksdag att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt i lag, dvs. inte av den generella dataskyddslagstiftningen.5

Behovet av en särskild författningsreglering kan uppstå av olika anledningar. När en nödvändig behandling av personuppgifter över huvud taget inte är tillåten enligt personuppgiftslagen, kan det exempelvis finnas skäl att ge ett uttryckligt stöd i en register- författning. Samma sak gäller när personuppgiftslagen visserligen reglerar ett visst förhållande men det finns anledning att avvika från eller precisera den regleringen. Ibland kan personuppgiftslagens bestämmelser ge upphov till tolkningsproblem, vilket kan ge anled- ning att göra förtydliganden i registerförfattning. Stora och käns- liga uppgiftsmängder kan behöva omgärdas av särskilda begräns- ningar ur ett integritetsperspektiv och ibland kan det finnas anled- ning att vara särskilt tydlig gentemot allmänheten, t.ex. i fråga om vilka uppgifter om enskilda som en myndighet registrerar.6

Inom Socialdepartementets verksamhetsområde finns ett stort antal författningar som innehåller bestämmelser om behandling av personuppgifter av olika slag. Författningarna skiljer sig åt i fråga om såväl utformning och struktur som syfte. Vissa författningar har som övergripande funktion att utöver personuppgiftslagen sär- reglera behandling av personuppgifter inom vissa särskilda verk- samheter eller myndigheter. Andra författningar avser att reglera register som ska/får föras och som ska/kan ha ett visst innehåll. Det finns också författningar vars främsta syfte inte är att reglera ett visst register eller annan behandling av personuppgifter, utan bara till en mindre del innehåller bestämmelser som rör behandling

4 SOU 2015:39 s. 185 ff.

5 Se bland annat prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och prop. 1997/98:44 s. 41.

6 För en beskrivning och kartläggning av registerförfattningar, se betänkandet Myndighets- datalagen, SOU 2015:39 s. 71–72 och 83 ff.

150

SOU 2017:66

Kort om gällande rätt

av personuppgifter och i den delen utgör särreglering i förhållande till personuppgiftslagen. Vidare finns författningar som reglerar upp- giftsskyldigheter.

3.4.2 Lagstiftning som reglerar en verksamhet

Sådana författningar som i förhållande till personuppgiftslagen sär- reglerar behandling av personuppgifter inom vissa verksamheter eller myndigheter utgörs vanligtvis av lagar som kompletteras av förordningar med mer detaljerade bestämmelser. Det finns dock även fristående förordningar som har samma syfte.

Författningarna är ofta uppbyggda på liknande sätt och inne- håller bestämmelser om tillämpningsområde, förhållandet till person- uppgiftslagen, personuppgiftsansvar, primära ändamål för myndig- hetens egen användning av personuppgifter och sekundära ändamål för utlämnande av personuppgifter till externa mottagare, vilka per- sonuppgifter som får behandlas, sökbegrepp, behörighetsbegräns- ningar, direktåtkomst och annat elektroniskt utlämnande, bevar- ande och gallring samt frågor om rättelse, skadestånd och överkla- gande. Alla författningar innehåller dock inte alla typer av bestämmel- ser utan författningarnas omfattning och detaljeringsgrad varierar.

Inom Socialdepartementets verksamhetsområde finns flera för- fattningar som reglerar behandling av personuppgifter inom en viss verksamhet. I samtliga dessa författningar anges att personupp- giftslagen gäller om inget annat följer av den aktuella författningen eller av föreskrifter som meddelats i anslutning till denna. I några av författningarna anges också i förtydligande syfte att även annan lagstiftning kan gälla före personuppgiftslagen. I fråga om rättelse och skadestånd hänvisas genomgående till personuppgiftslagens bestämmelser. Vissa författningar, t.ex. 114 kap. socialförsäkrings- balken, gäller bara för myndigheter, medan andra, t.ex. patient- datalagen (2008:355), gäller både för myndigheter och enskilda.

I kapitel 10 går utredningen igenom de författningar som regle- rar behandling av personuppgifter inom en viss verksamhet inom Socialdepartementets verksamhetsområde. Författningarna räknas upp nedan (i kronologisk ordning). Uppräkningen omfattar även några författningar som endast innehåller enstaka bestämmelser om behandling av personuppgifter som på olika sätt anknyter till någon

151

Kort om gällande rätt

SOU 2017:66

av de författningar som reglerar behandling av personuppgifter inom en viss verksamhet. Det rör sig om förordningen (1985:796) med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m., förordningen (2008:363) om provtagning för hivinfektion, 112 kap. socialförsäkringsbalken och lagen (2010:111) om införande av socialförsäkringsbalken.

• Förordningen (1985:796) med vissa bemyndiganden för Social- styrelsen att meddela föreskrifter m.m.

• Lagen (2001:454) om behandling av personuppgifter inom social- tjänsten och den anknytande förordningen (2001:637) om be- handling av personuppgifter inom socialtjänsten

• Patientdatalagen (2008:355) och den anknytande patientdata- förordningen (2008:360)

• Förordningen (2008:363) om provtagning för hivinfektion

• Apoteksdatalagen (2009:367) och den anknytande apoteksdata- förordningen (2009:624)

• Förordningen (2009:1422) om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av sta- tistik över kommunalt vårdnadsbidrag

• 112 kap. socialförsäkringsbalken (2010:110)

• 114 kap. socialförsäkringsbalken (2010:110) och den anknytande förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

• Lag (2010:111) om införande av socialförsäkringsbalken

• Förordningen (2011:306) om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet

• Lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel och den anknytande förordningen (2016:533) om behandling av personuppgifter i ärenden om licens för läkemedel

152

SOU 2017:66

Kort om gällande rätt

• Den föreslagna lagen om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen (SOU 2014:67)

3.4.3 Lagstiftning som reglerar ett register eller en informationssamling

Flera av myndigheterna under Socialdepartementet administrerar register som innehåller stora mängder personuppgifter om många personer. Några exempel är Socialstyrelsen som ansvarar för de olika hälsodataregistren, E-hälsomyndigheten som för ett register över förskrivningar av läkemedel och andra varor för människor (recept- register) och Folkhälsomyndigheten som för register över natio- nella vaccinationsprogram. De författningar som specifikt reglerar behandlingen av personuppgifter i dessa och liknande register har ett tydligt fokus på dataskyddsreglering. Författningarna anger av- vikande eller mer preciserade bestämmelser i förhållande till person- uppgiftslagen och på så sätt framgår det tydligt vad myndigheten ska eller får göra vid förandet av ett register.

Det är vanligt att det i författningarna finns bestämmelser om förhållandet till personuppgiftslagen, betydelsen av den registrerades inställning till behandlingen, personuppgiftsansvar, registrets ända- mål, personuppgifter som får behandlas, sökbegränsningar, direkt- åtkomst, utlämnande på medium för automatiserad behandling, uppgiftsskyldigheter, information som ska lämnas, behörighets- tilldelning, gallring, rättelse och skadestånd.

Av majoriteten av författningarna framgår att personuppgifts- lagen gäller om inget annat följer av den aktuella författningen eller av föreskrifter som meddelats i anslutning till författningen. I övriga författningar anges inte förhållandet till personuppgiftslagen. I de fall frågan om rättelse och skadestånd har tagits upp, hänvisas genom- gående till personuppgiftslagens bestämmelser. I samtliga författ- ningar anges en myndighet vara personuppgiftsanvarig för registret.

I kapitel 11 går utredningen igenom de författningar som reglerar ett visst register eller en informationssamling inom Socialdeparte- mentets verksamhetsområde. Författningarna räknas upp nedan (i kronologisk ordning). Förordningen (1992:62) om bevarande av

153

Kort om gällande rätt

SOU 2017:66

registret rörande vissa alkoholbrott m.m. skiljer sig från övriga författningar genom att enbart reglera frågan om bevarande.

• Förordningen (1992:62) om bevarande av registret rörande vissa alkoholbrott m.m.

• Lagen (1996:1156) om receptregister och den anknytande för- ordningen (2009:625) om receptregister

• Lagen (1998:543) om hälsodataregister och följande anknytande förordningar:

– Förordningen (2001:707) om patientregister hos Social- styrelsen

– Förordningen (2001:708) om medicinskt födelseregister hos Socialstyrelsen

– Förordningen (2001:709) om cancerregister hos Socialstyrelsen

– Förordningen (2005:363) om läkemedelsregister hos Social- styrelsen

– Förordningen (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården

– Förordningen (2008:194) om tandhälsoregister hos Social- styrelsen

– Förordningen (2011:116) om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län

• Lagen (2005:258) om läkemedelsförteckning och den anknytande förordningen (2009:626) om läkemedelsförteckning

• Förordningen (2006:196) om register över hälso- och sjukvårds- personal

• Lagen (2012:453) om register över nationella vaccinationsprogram

3.4.4 Lagstiftning som bland annat reglerar behandling av personuppgifter

Utöver de mer traditionella registerförfattningarna finns många författningar vars främsta syfte inte är att reglera förandet av ett visst register eller annan behandling av personuppgifter men i an-

154

SOU 2017:66

Kort om gällande rätt

slutning till annan verksamhetsreglering också anger vad som gäller i fråga om viss behandling av personuppgifter.

Inom Socialdepartementets verksamhetsområde finns några olika kategorier av författningar som delvis innehåller reglering av behandling av personuppgifter. Det finns några författningar på socialtjänstområdet, som bl. a. innehåller bestämmelser om gallring av personuppgifter. Ett antal författningar som avser hantering av humanbiologiskt material reglerar även vad som gäller ur ett person- uppgiftsperspektiv. Några lagar specificerar vad som gäller i fråga om överföring av personuppgifter till tredjeland medan det i andra lagar finns bestämmelser om register som ska föras. Vissa författ- ningar innehåller bestämmelser om att uppgifter som ska lämnas ut ska eller får överföras elektroniskt. Det finns också exempel på bestämmelser om automatiserade beslut och undantag från för- budet att behandla känsliga personuppgifter. Vissa av de person- uppgiftsrelaterade bestämmelserna riktar sig enbart till myndig- heter, t.ex. bestämmelserna förordningen (2013:413) om kosmetiska produkter, medan andra gäller både för myndigheter och enskilda, t.ex. socialtjänstlagen (2001:453), lagen (2006:496) om blodsäker- het och lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Tobakslagens bestäm- melser riktar sig enbart till enskilda.

I kapitel 12 går utredningen igenom de författningar inom Social- departementets verksamhetsområde vars främsta syfte inte är att reglera behandling av personuppgifter men som ändå innehåller sådana bestämmelser. Nedan följer en uppräkning (i kronologisk ordning) av dessa författningar.

• Förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter

• Lagen (1991:1047) om sjuklön

• Lagen (1993:387) om stöd och service till vissa funktionshindrade och den anknytande förordningen (1993:1090) om stöd och ser- vice till vissa funktionshindrade

• Tobakslagen (1993:581)

• Bostadsbidragsförordningen (1993:739)

• Förordningen (1996:1036) om underhållsstöd

155

Kort om gällande rätt

SOU 2017:66

• Förordningen (1998:562) med vissa bemyndiganden för Försäk- ringskassan

• Förordningen (1998:1340) om inkomstgrundad ålderspension

• Socialtjänstlagen (2001:453) och den anknytande socialtjänst- förordningen (2001:937)

• Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och den anknytande förordningen (2002:746) om biobanker i hälso- och sjukvården m.m.

• Lagen (2006:351) om genetisk integritet m.m.

• Lagen (2006:496) om blodsäkerhet och den anknytande förord- ningen (2006:497) om blodsäkerhet

• Lagen (2006:1570) om skydd mot internationella hot mot män- niskors hälsa

• Förordningen (2008:193) om statligt tandvårdsstöd

• Lagen (2008:286) om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler och den anknytande för- ordningen (2008:414) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler

• Lagen (2009:366) om handel med läkemedel och den ankny- tande förordningen (2009:659) om handel med läkemedel

• Förordningen (2010:425) om ersättning för kostnader för sjuk- lön

• Patientsäkerhetslagen (2010:659) och den anknytande patient- säkerhetsförordningen (2010:1369)

• Alkohollagen (2010:1622)

• Lagen (2012:263) om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga organ och den anknytande förordningen (2012:346) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ

• Förordningen (2013:413) om kosmetiska produkter

• Läkemedelslagen (2015:315) och den anknytande läkemedels- förordningen (2015:458)

156

SOU 2017:66

Kort om gällande rätt

3.4.5 Lagstiftning som reglerar uppgiftsskyldigheter

Det finns inom Socialdepartementets verksamhetsområde ett antal författningar som föreskriver olika uppgiftsskyldigheter. Uppgifts- skyldigheterna härrör från myndigheternas stora behov av att ut- byta och inhämta uppgifter från såväl andra myndigheter som en- skilda.

I kapitel 13 tar utredningen upp författningar som innehåller uppgiftsskyldigheter men som i övrigt inte reglerar någon behand- ling av personuppgifter. Författningar som även innehåller bestäm- melser om hur personuppgifter ska lämnas ut – t.ex. automatiserat eller via direktåtkomst – är sådan lagstiftning som avses i kap. 10–12.

157

4 Dataskyddsförordningen

4.1 Inledning

Den 27 april 2016 antogs Europaparlamentets och rådets förord- ning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), nedan kallad dataskyddsförordningen. Data- skyddsförordningen utgör en ny generell reglering för behandling av personuppgifter inom EU och ersätter dataskyddsdirektivet när den börjar tillämpas den 25 maj 2018. Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivi- sera skyddet för personuppgifter för att förbättra den inre markna- dens funktion och öka enskildas kontroll över sina personuppgifter.

Dataskyddsförordningen baseras till stor del på dataskydds- direktivets struktur och innehåll men det har även tillkommit några nyheter såsom en utökad informationsskyldighet, administrativa sanktionsavgifter och inrättandet av Europeiska dataskyddsstyrelsen. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna, men både förutsätter och möjliggör kompletterande nationella be- stämmelser av olika slag.

I det följande redogörs det först för skillnaderna mellan en EU- förordning och ett EU-direktiv och sedan för bestämmelserna i dataskyddsförordningen.

159

Dataskyddsförordningen

SOU 2017:66

4.2 Skillnaden mellan en EU-förordning och ett EU-direktiv

Det ordinarie lagstiftningsförfarandet inom EU går till på så sätt att Europaparlamentet och rådet på förslag av kommissionen gemensamt antar en EU-förordning, ett EU-direktiv eller ett beslut (artikel 289 fördraget om Europeiska unionen, EU-fördraget).

Enligt principen om EU-rättens företräde ska EU-rätt tillämpas framför svensk lag om olika rättsakter strider mot varandra. Princi- pen om företräde för EU-rätten framgår av en förklaring (nr 17) som fogats till Lissabonfördragets slutakt, undertecknad den 13 december 2007. I förklaringen erinras om att fördragen och den rätt som antas av EU på grundval av fördragen har företräde fram- för nationell rätt på de villkor som fastställts i enlighet med EU- domstolens praxis. Den praxis som avses är huvudsakligen dom av den 15 juli 1964, Costa 6/64, EU:C:1964:66, i vilket en fördrags- artikel erkändes företräde gentemot nationell lag samt dom av den 17 december 1970, Internationale Handelsgesellschaft 11/70, EU:C:1970:114, där företrädesprincipen utvecklades till att med- föra att alla former av EU-rättsakter, även de allra lägsta, står över alla former av nationell lag. I dom av den 9 mars 1978, Simmenthal 106/77, EU:C:1978:49 utvecklades principen om företräde ytterli- gare på så sätt att EU-domstolen uttalade att fördragsbestämmel- serna inte bara medför att varje motstridande föreskrift i den be- fintliga nationella lagstiftningen blir automatiskt otillämplig i och med att EU-rätten träder i kraft, utan att de även hindrar att nya nationella författningar antas med giltig verkan till den del de är oförenliga med EU-rätten.

En EU-förordning är bindande och direkt tillämplig i alla med- lemsländer från och med det datum då den träder i kraft (artikel 288 andra stycket EU-fördraget). Det innebär att medlemsstaten inte behöver vidta några författningsåtgärder för att EU-förordningens regler ska ha allmän giltighet på statens territorium. Dessutom strider alla nationella genomförandebestämmelser som innebär ett hinder mot EU-förordningens direkta effekt, t.ex. genom att i nationell lagstiftning upprepa bara vissa bestämmelser i EU-förordningen eller låta bli att tala om att det är fråga om direkt tillämplig EU-rätt, mot fördraget, se dom av den 7 februari 1973, kommissionen mot

160

SOU 2017:66

Dataskyddsförordningen

Italien 39/72, EU:C:1973:13, punkt 17, och dom av den 2 februari 1977, Amsterdam Bulb 50/76, EU:C:1977:13, punkt 7.

EU-direktiven har en annan karaktär än EU-förordningarna. De riktar sig till medlemsstaterna och alltså inte till enskilda. Ett EU- direktiv föreskriver ett resultat som ska uppnås inom ramen för medlemsstaternas nationella lagstiftning. Form och tillvägagångs- sätt för genomförandet är dock upp till medlemsstaterna att be- stämma (artikel 288 tredje stycket EU-fördraget). Till skillnad från EU-förordningarna måste alltså EU-direktiven genomföras i natio- nell lagstiftning.

Om ett EU-direktiv innehåller s.k. minimibestämmelser, måste medlemsstaterna se till att minimiskyddet uppfylls, men det är också tillåtet att i nationell lagstiftning ha ett mer utsträckt skydd. Är det inte fråga om ett sådant minimidirektiv, får medlemsstaterna införa varken strängare eller mildare bestämmelser än vad som följer av EU-direktivet. Bestämmelserna i EU-direktivet kan dock i sig med- ge ett visst utrymme för nationella skillnader.

I anslutning till ett nytt EU-direktiv föreskrivs en tidsgräns inom vilken EU-direktivet ska vara helt genomfört av medlems- länderna. Detta kan ske genom nya nationella regler, ändring av be- fintliga regler eller genom att befintliga regler som överensstämmer med direktivet fortsätter att gälla.

4.3 Dataskyddsförordningens innehåll

4.3.1 Materiell och territoriell avgränsning

Dataskyddsförordningen är – precis som dataskyddsdirektivet – tillämplig på helt eller delvis automatiserad behandling av person- uppgifter och på manuell behandling av personuppgifter, om upp- gifterna ingår i eller kommer att ingå i ett register. Vissa behand- lingar av personuppgifter är dock uttryckligen undantagna från tillämpningsområdet. Det rör sig om behandling som sker inom verksamhet som inte omfattas av EU-rätten (t.ex. försvar och nationell säkerhet), behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt behandling som sker inom brottsbekämpande verksamhet (artikel 2).

161

Dataskyddsförordningen

SOU 2017:66

Behandlingar av personuppgifter som utförs inom brotts- bekämpande verksamhet omfattas i stället av ett särskilt EU-direk- tiv, Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behö- riga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, nedan kallat det nya dataskyddsdirektivet. Det nya dataskyddsdirektivet ska genom- föras i nationell lagstiftning senast den 6 maj 2018.

För att dataskyddsförordningen ska vara tillämplig krävs att de personuppgiftsansvariga är etablerade i EU/EES eller att de be- handlar personuppgifter i samband med att de erbjuder varor och tjänster till personer i EU/EES eller behandlar personuppgifter i samband med övervakning av människors beteende inom EU/EES (artikel 3).

4.3.2 Definitioner

Dataskyddsförordningen innehåller i artikel 4 en rad definitioner av olika begrepp som används i dataskyddsförordningen. Här anges några av definitionerna.

Personuppgifter är varje upplysning som avser en identifierad eller identifierbar fysisk person (kallad registrerad). Som identifika- torer anges förutom namn, identifikationsnummer, lokaliserings- uppgift eller onlineidentifikatorer även en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, gene- tiska, psykiska, ekonomiska, kulturella eller sociala identitet.

Behandling (av personuppgifter) är en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av per- sonuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utläm- ning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller för- störing.

Profilering är varje form av automatisk behandling av person- uppgifter som består i att dessa personuppgifter används för att

162

SOU 2017:66

Dataskyddsförordningen

bedöma vissa personliga egenskaper hos en fysisk person, i synner- het för att analysera eller förutsäga denna fysiska persons arbets- prestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.

Register är en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centra- liserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden.

Personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensam eller tillsam- mans med andra bestämmer ändamålen och medlen för behand- lingen av personuppgifter. Om ändamålen och medlen för behand- lingen lagts fast i medlemsstaternas nationella rätt, får den natio- nella rätten också peka ut vem som är personuppgiftsansvarig.

Personuppgiftsbiträde är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar person- uppgifter för den personuppgiftsansvariges räkning.

Samtycke är varje slag av frivillig, specifik, informerad och otve- tydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne.

Personuppgiftsincident är en säkerhetsincident som leder till oav- siktlig eller olaglig förstöring, förlust eller ändring eller till obehö- rigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

Genetiska uppgifter är alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga.

Biometriska uppgifter är personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansikts- bilder eller fingeravtrycksuppgifter.

Uppgifter om hälsa är personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhandahållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus.

163

Dataskyddsförordningen

SOU 2017:66

4.3.3 Grundläggande principer

För all behandling av personuppgifter enligt dataskyddsförordningen gäller samma övergripande principer som enligt dataskyddsdirekti- vet (artikel 5). Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt och de ska samlas in för på förhand bestämda och berättigade ändamål, som tydligt angivits. Personuppgifterna ska vara korrekta – alla rimliga åtgärder ska vidtas för att felaktiga upp- gifter rättas eller raderas – och dessutom adekvata, relevanta och inte för omfattande i förhållande till ändamålet. Behandlingen ska ske på ett säkert sätt och inte pågå under längre tid än vad som är nödvändigt med hänsyn till ändamålet. Personuppgifter kan dock under vissa förutsättningar lagras under längre perioder i den mån som uppgifterna enbart behandlas för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statiska ändamål.

Personuppgifter som samlats in för ett visst ändamål får som huvudregel inte behandlas för något annat ändamål som strider mot det ursprungliga ändamålet, den s.k. finalitetsprincipen. Undantag gäller om den registrerade har samtyckt till behandling för det nya ändamålet eller om behandlingen grundar sig på rättslig reglering. (Artikel 5.1 b och 6.4) Av skäl 50 till dataskyddsförordningen fram- går att vid sådan vidarebehandling som inte hindras av finalitets- principen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Detta är en nyhet i förhållande till dataskyddsdirektivet.

4.3.4 Laglig behandling av personuppgifter

För att en behandling av personuppgifter över huvud taget ska vara tillåten, krävs på samma sätt som enligt dataskyddsdirektivet att det finns en laglig grund för behandlingen (artikel 6). Minst ett av ett antal i dataskyddsförordningen angivna villkor måste vara uppfyllt. Det första alternativa villkoret är att den registrerade har lämnat sitt samtycke till behandlingen. Behandling kan också ske om den är nödvändig för att fullgöra ett avtal eller en rättslig förpliktelse, för att skydda intressen som är av grundläggande betydelse för en fysisk person, för att utföra en (arbets)uppgift av allmänt intresse eller som ett led i myndighetsutövning. Personuppgifter kan slutli-

164

SOU 2017:66

Dataskyddsförordningen

gen behandlas med stöd av en intresseavvägning. En nyhet är dock att behandling av personuppgifter som utförs av offentliga myndig- heter när de fullgör sina uppgifter inte får ske med stöd av en intresseavvägning.

Om behandling av personuppgifter ska ske med stöd av sam- tycke från den registrerade, krävs att samtycket är frivilligt. Det ska också vara tydligt vad samtycket avser och det ska ha föregåtts av information från den personuppgiftsansvarige om vad samtycket innebär. Samtycket kan lämnas skriftligt, muntligt eller genom kon- kludent handlande och kan när som helst tas tillbaka. (Artikel 7)

Grunden för sådan behandling av personuppgifter som är nöd- vändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c) eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (arti- kel 6.1 e) måste fastställas i nationell rätt eller EU-rätt (artikel 6.3). Det innebär att det inte – till skillnad från vad som tidigare gällt enligt dataskyddsdirektivet och personuppgiftslagen – kommer att vara möjligt att endast stödja sig på den generella regleringen i data- skyddsförordningen vid sådan behandling. Dataskyddsutredningen har analyserat om det med anledning av detta krav behöver införas generella nationella bestämmelser till stöd för åtminstone den offent- liga sektorns behandling av personuppgifter. Enligt Dataskydds- utredningens bedömning innebär kravet på att grunden för behand- lingen ska fastställas inte att det krävs en särskild reglering med anledning av dataskyddsförordningens ikraftträdande. Däremot är förekomsten av reglering avgörande för i vilken utsträckning per- sonuppgiftsansvariga kan behandla personuppgifter på den grunden att det är nödvändigt för att uppfylla en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Kravet på att grunden för behandlingen ska vara fastställd i enlighet med unionsrätten eller den nationella rätten ut- gör således ett villkor som måste vara uppfyllt för att de rättsliga grunder som anges artikel 6.1 c och e ska vara tillämpliga. Förplik- telser och arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning som inte är rättsligt förankrade i enlighet med unionsrätten eller i medlemsstatens nationella rätt kan därmed inte åberopas som rättsliga grunder för behandling av personuppgifter.1

1 SOU 2017:39 s. 108–113.

165

Dataskyddsförordningen

SOU 2017:66

Ytterligare ett krav när det gäller behandling med stöd av den rättsliga grunden i artikel 6.1 c är att syftet med behandling som sker på den grunden att den är nödvändig för att fullgöra en rättslig förpliktelse ska fastställas i den rättsliga grunden. I fråga om be- handling enligt artikel 6.1 e gäller i stället att syftet med behand- lingen ska vara nödvändigt för att utföra en arbetsuppgift av all- mänt intresse eller som ett led i myndighetsutövning.

Det finns också möjlighet att i nationell rätt mer detaljerat reglera olika krav på sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet eller utföra en arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning (artikel 6.2). I arti- kel 6.3 anges dessutom att den rättsliga grunden kan innehålla sär- skilda bestämmelser för att anpassa tillämpningen av dataskydds- förordningen. Denna möjlighet ger utrymme för s.k. registerlagstift- ning för bl.a. myndigheter.

4.3.5 Känsliga personuppgifter och uppgifter om lagöverträdelser

Behandling av vissa särskilda kategorier av personuppgifter är som huvudregel förbjudna. Det rör sig om uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening, genetiska uppgifter, bio- metriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1). Av dessa kategorier av uppgif- ter är genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning nya i förhållande till dataskyddsdirektivet. Samtliga angivna kategorier av uppgifter brukar med ett samlingsnamn kallas känsliga person- uppgifter.

Från huvudregeln att känsliga personuppgifter inte får behand- las finns flera undantag angivna (artikel 9.2). Känsliga personupp- gifter kan t.ex. behandlas med stöd av samtycke eller för att upp- gifterna på ett tydligt sätt har offentliggjorts av den registrerade. De kan också behandlas för att skyldigheter och rättigheter ska kunna tillvaratas inom arbetsrätten i den omfattning detta är tillåtet enligt unionsrätten, nationell rätt eller kollektivavtal. Samma sak

166

SOU 2017:66

Dataskyddsförordningen

gäller på områdena social trygghet och socialt skydd, vilket är nytt i förhållande till dataskyddsdirektivet. Behandling av känsliga per- sonuppgifter är vidare tillåten om den är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är förhindrad att ge sitt samtycke. Ett annat undantag avser behand- ling som är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller är en del av domstolarnas dömande verksam- het. Ideella verksamheter med politiskt, filosofiskt, religiöst eller fackligt syfte får behandla känsliga personuppgifter om sina med- lemmar. Om behandlingen sker på grundval av EU-rätten eller medlemsstaternas nationella rätt, kan känsliga personuppgifter också behandlas i anslutning till hälso- och sjukvård, yrkesmedicin och social omsorg under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnads- plikt, av hänsyn till ett viktigt allmänt intresse, av skäl av allmänt intresse på folkhälsoområdet och för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål. Villkoret att nödvändig behandling av känsliga person- uppgifter inom hälso- och sjukvård ska ske på grundval av EU-rätt eller nationell lagstiftning är nytt i förhållande till dataskydds- direktivet. Det har inte heller, såsom dataskyddsdirektivet tolkats i Sverige, tidigare funnits något krav på att känsliga personuppgifter inom hälso- och sjukvården ska behandlas under ansvar av någon som omfattas av tystnadsplikt. Vidare har undantagen för allmänt intresse på folkhälsoområdet och för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål inte tidigare uttryckligen framgått av dataskydds- direktivet.

Medlemsstaterna har möjlighet att komplettera dataskyddsför- ordningen med ytterligare villkor, även begränsningar, för behand- lingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa (artikel 9.4).

Behandling av uppgifter om lagöverträdelser måste ske under kontroll av en myndighet eller med stöd av särskild lagstiftning. Till skillnad från vad som gäller enligt dataskyddsdirektivet om- fattas inte friande brottmålsdomar av denna begränsning. Det finns inte heller någon reglering avseende administrativa frihetsberövan- den. (Artikel 10)

167

Dataskyddsförordningen

SOU 2017:66

4.3.6 Den registrerades rättigheter

Dataskyddsförordningen föreskriver ett antal rättigheter för den registrerade – och för den personuppgiftsansvarige motsvarande skyldigheter. Den registrerade har t.ex. rätt att få omfattande information från den personuppgiftsansvarige. Informationen ska avse allt från den personuppgiftsansvariges kontaktuppgifter och vilka rättigheter den registrerade har till uppgifter om hur person- uppgifterna kommer att användas. Information som den registre- rade redan känner till behöver inte lämnas. Om personuppgifterna har samlats in från någon annan än den registrerade, behöver infor- mation inte heller lämnas om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan, om erhållande eller utlämnande av personuppgifter är rättsligt reglerat eller om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt. (Artikel 12–14)

Den informationsskyldighet som framgår av dataskyddsförord- ningen är betydligt mer omfattande än den som föreskrivs i data- skyddsdirektivet. Nytt i förhållande till dataskyddsdirektivet är bl.a. att om den personuppgiftsansvarige avser att behandla person- uppgifterna för ett annat syfte än det för vilket de samlades in, ska den registrerade få information om detta nya syfte samt övrig rele- vant information. Kontaktuppgifter till dataskyddsombudet, uppgift om tredjelandsöverföring, lagringstid, rätten att återkalla ett sam- tycke och rätten att inge klagomål är andra exempel på information som tillkommit. Regleringen av vid vilken tidpunkt information ska lämnas om behandling av uppgifter som har samlats in från någon annan än den registrerade har också ändrats. Huvudregeln enligt dataskyddsdirektivet, att informationen ska lämnas vid tiden för registreringen, har ändrats på så sätt att information i stället ska lämnas inom en rimlig tid från erhållandet av uppgifterna. Det finns också möjlighet att informera först i samband med den första kom- munikationen med den registrerade. (Artikel 13 och 14)

Vidare ställer dataskyddsförordningen i artikel 12.1 nya krav på att informationen som lämnas ska vara koncis, klar och tydlig, be- griplig och lättillgänglig.

Den registrerade kan också begära registerutdrag med informa- tion om bl.a. vilka uppgifter som behandlas om honom eller henne (artikel 15). Vidare finns möjlighet för den registrerade att få fel-

168

SOU 2017:66

Dataskyddsförordningen

aktiga personuppgifter som rör honom eller henne rättade och att under vissa förutsättningar få uppgifterna raderade eller åtminstone få behandlingen begränsad (artikel 16–18). Rätten till radering eller rätten att bli bortglömd följer av artikel 17 och är betydligt mer detaljerat reglerad än rätten till utplåning enligt dataskyddsdirekti- vet. Det finns vissa undantag till bestämmelsen. Bland annat gäller den inte för behandling som sker med stöd av grunderna i arti- kel 6.1 c och e (rättslig förpliktelse och arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning). Det finns också undantag för bl.a. arkivändamål.

Den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuell rättelse, radering av personuppgifter eller begränsning av behandling och den registrerade ska också kunna få information om dessa mottag- are (artikel 19).

Personuppgifter som den registrerade tillhandahållit den per- sonuppgiftsansvarige, ska på begäran lämnas ut i ett strukturerat, allmänt använt och maskinläsbart format i syfte att kunna överlämnas till en annan personuppgiftsansvarig, s.k. dataportabilitet, men bara om behandlingen grundar sig på samtycke eller avtal (artikel 20). Denna rätt gäller inte i fråga om en behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.

Den registrerade har rätt att när som helst göra invändningar mot behandling av personuppgifter som sker på den grunden att behandlingen bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som led i myndighetsutövning alternativt med stöd av en intresseavvägning. Möjligheten att genom invändningar förhindra behandling av personuppgifter är utökad i förhållande till dataskyddsdirektivet. Om den registrerade invänder mot behand- ling av personuppgifter får den personuppgiftsansvarige inte längre behandla uppgifterna, såvida denne inte kan påvisa tvingande be- rättigade skäl för behandlingen som väger tyngre än den registrera- des intressen, rättigheter och friheter eller om det sker för fastställ- ande, utövande eller försvar av rättsliga anspråk. Om personuppgif- ter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att invända mot behandling av hans eller hennes personuppgifter. Detta gäller om

169

Dataskyddsförordningen

SOU 2017:66

inte behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse. (Artikel 21) Dataskyddsförordningen möjliggör i likhet med dataskyddsdirektivet nationella undantag från rätten att invända mot behandling, men endast under de förutsättningar som anges i artikel 23.1 (se nedan). Det innebär att medlemsstaterna inte längre kan begränsa rätten att invända mot behandling genom generella bestämmelser. För att kunna införa eventuella nationella begränsningar krävs det stället att en prövning görs mot artikel 23.1.

En ytterligare rättighet för den registrerade är att slippa bli före- mål för ett beslut som grundas enbart på automatiserad behandling, inbegripet profilering (artikel 22). Denna rättighet gäller dock inte om beslutet är nödvändigt för att ingå eller fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige, om beslutet tillåts enligt EU-rätt eller nationell rätt som också fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och be- rättigade intressen eller om beslutet grundar sig på den registrera- des uttryckliga samtycke.

Dataskyddsförordningen lämnar ett förhållandevis stort hand- lingsutrymme till medlemsstaterna att under vissa förutsättningar göra undantag från och modifiera ovan angivna rättigheter och skyldigheter. Enligt artikel 23.1 kan medlemsstaterna genom be- stämmelser i sin lagstiftning begränsa omfattningen av de skyldig- heter och rättigheter som anges i artiklarna 12–22 och 34, samt artikel 5 i den mån dessa bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. En sådan begränsning måste vara en nödvändig och proportionell åtgärd i ett demokra- tiskt samhälle i syfte att säkerställa olika uppräknade intressen, bl.a. nationell säkerhet, förebyggande, förhindrande, utredning, avslöj- ande eller lagföring av brott, viktiga mål av generellt allmänt intresse (däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet), förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagregle- rade yrken, en tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutövning i fall som nämnts ovan och skydd av den registrerade eller andras rättigheter och friheter.

Om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller sta- tistiska ändamål, får det i EU-rätten eller i medlemsstaternas natio- nella rätt föreskrivas om undantag från vissa av den registrerades

170

SOU 2017:66

Dataskyddsförordningen

rättigheter. Det rör sig om rätten till registerutdrag, rättelse, be- gränsning av behandling och invändning mot behandling. Undan- tag får göras om det krävs för att uppnå ändamålet med behand- lingen. Om personuppgifter behandlas för arkivändamål av allmänt intresse, får undantag även göras från kravet på dataportabilitet och kravet på att den personuppgiftsansvarige ska underrätta mottagare av personuppgifter om eventuella rättelser, raderingar eller begräns- ningar av behandling som skett. (Artikel 89)

4.3.7 Personuppgiftsansvarigas och personuppgiftsbiträdens skyldigheter

Den personuppgiftsansvarige ansvarar för att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen (artikel 24 och 25). Gemensamt personuppgiftsansvariga ska fast- ställa sina respektive ansvarsområden om dessa inte fastställs genom rättslig reglering (artikel 26).

Om den personuppgiftsansvarige anlitar ett personuppgifts- biträde, ska hanteringen regleras genom avtal eller motsvarande rätts- akt. Personuppgiftsbiträdet får endast behandla personuppgifter på instruktion från den personuppgiftsansvarige, såvida en skyldighet att behandla uppgifter inte framgår av EU-rätten eller nationell rätt. (Artikel 28 och 29)

Varje personuppgiftsansvarig och varje personuppgiftsbiträde ska var för sig skriftligen upprätta ett register över behandling som utförts under dess ansvar (artikel 30). Detta register lär inte behöva uppfylla definitionen i artikel 4, men registret ska innehålla kontakt- uppgifter, upplysning om ändamål med behandlingen, en beskriv- ning av kategorier av registrerade och kategorier av personuppgif- ter, upplysning om eventuella mottagare av uppgifterna, eventuell överföring till tredjeland, tidsfrister för radering och en allmän be- skrivning av tekniska och organisatoriska säkerhetsåtgärder. Det är följaktligen inte längre dataskyddsombudets arbetsuppgift att upp- rätta en förteckning över behandlingar (jämför artikel 39 och person- uppgiftsombudets tidigare uppgifter enligt artikel 18 i dataskydds- direktivet).

171

Dataskyddsförordningen

SOU 2017:66

Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta lämpliga tekniska och organisatoriska åtgärder för att säker- ställa en säkerhetsnivå som är lämplig i förhållande till eventuella risker (artikel 32). Detta innefattar bl.a. att se till att personer som får tillgång till personuppgifter med anledning av sitt arbete endast behandlar dessa på instruktion från den personuppgiftsansvarige, under förutsättning att EU-rätten eller nationell rätt inte ålägger personen att behandla uppgifterna.

En nyhet i dataskyddsförordningen är att personuppgiftsinci- denter inom 72 timmar ska anmälas till tillsynsmyndigheten. Den personuppgiftsansvarige är också skyldig att dokumentera alla person- uppgiftsincidenter. (Artikel 33) Även den registrerade ska i vissa fall få information om personuppgiftsincidenten om den sannolikt leder till en hög risk för fysiska personers rättigheter och friheter (artikel 34).

För att minska risker med behandling av personuppgifter inne- håller dataskyddsförordningen dessutom bestämmelser om konse- kvensbedömningar och förhandssamråd med tillsynsmyndigheten, som ska tillämpas om behandlingen sannolikt leder till en hög risk för fysiska personers rättigheter och friheter (artikel 35 och 36).

4.3.8 Dataskyddsombud

Myndigheter och andra offentliga organ, dock inte domstolarna i deras dömande verksamhet, måste enligt dataskyddsförordningen utnämna dataskyddsombud (artikel 37). Kravet på att ha ett data- skyddsombud omfattar i vissa fall även andra personuppgiftsansva- riga och personuppgiftsbiträden. Ett dataskyddsombud ska i dessa fall utnämnas om en kärnverksamhet består av behandling som, på grund av sin karaktär, sin omfattning och/eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning. Ett dataskyddsombud ska också utnämnas om en kärn- verksamhet består av behandling i stor omfattning av känsliga person- uppgifter och uppgifter om lagöverträdelser. Att det i vissa fall krävs att ett dataskyddsombud utses är en nyhet.

Ett dataskyddsombud ska utses på grundval av yrkesmässiga kvalifikationer, sakkunskap och förmåga att utföra arbetsuppgif- terna. Arbetsuppgifterna ska utföras självständigt, utan instruktioner

172

SOU 2017:66

Dataskyddsförordningen

från den personuppgiftsansvarige, och med möjlighet att i god tid delta i alla frågor som rör dataskydd. Som en följd av detta ska dataskyddsombudet också, när det gäller dennes genomförande av sina arbetsuppgifter, vara bundet av regler om sekretess eller konfi- dentialitet. Dataskyddsombudet får inte avsättas eller bli föremål för sanktioner för att ha utfört sina arbetsuppgifter. Rapporter- ingen ska ske direkt till den högsta förvaltningsnivån. (Artikel 38)

Dataskyddsombudet ska informera och ge råd till berörda samt övervaka efterlevnaden av dataskyddsbestämmelser. Dataskydds- ombudet ska också samarbeta med tillsynsmyndigheten och fungera som kontaktpunkt vid förhandssamråd och andra kontakter. Även registrerade ska kunna kontakta dataskyddsombudet. (Artikel 39)

4.3.9 Överföring av personuppgifter till tredjeland

Personuppgifter får överföras till tredjeland eller en internationell organisation endast under vissa förutsättningar. En sådan förut- sättning är om kommissionen har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet eller den internationella organisationen säkerställer en adekvat skyddsnivå (artikel 45). I avsaknad av ett beslut från kommissionen får personuppgifter överföras till tredjeland eller en internationell organisation efter att lämpliga skyddsåtgärder vidtagits och på vill- kor att lagstadgade rättigheter för registrerade och effektiva rätts- medel för registrerade finns tillgängliga (artikel 46). Därutöver anges i dataskyddsförordningen ett antal förhållanden som kan grunda rätt till överföring till tredjeland i särskilda situationer (artikel 49).

4.3.10 Tillsynsmyndigheter

Varje medlemsstat ska ha en tillsynsmyndighet som övervakar tillämpningen av dataskyddsförordningen (artikel 51). Tillsyns- myndigheten och dess ledamöter ska vara oberoende (artikel 52–54) och behörigheten att utföra uppgifter ska vara begränsad till vad som framgår av dataskyddsförordningen (artikel 55–57). I form av utredningsbefogenheter kan tillsynsmyndigheten bl.a. kräva infor- mation som behövs för att myndigheten ska kunna fullgöra sina uppgifter, genomföra undersökningar och få tillgång till lokaler.

173

Dataskyddsförordningen

SOU 2017:66

Tillsynmyndigheten har också korrigerande befogenheter som bl.a. består av att utfärda varningar, reprimander, förelägganden, införa förbud mot behandling och påföra administrativa sanktionsavgifter. Dessutom kan tillsynsmyndigheter utfärda tillstånd och ge råd (artikel 58).

Tillsynsmyndigheter ska samarbeta med varandra, utbyta rele- vant information och ge varandra bistånd (artikel 60 och 61). Vid behov ska de genomföra gemensamma insatser (artikel 62).

4.3.11 När uppgifter behandlas

i strid med dataskyddsförordningen

En registrerad som anser att behandling av personuppgifter avse- ende honom eller henne strider mot dataskyddsförordningen, ska – till skillnad från vad som tidigare varit möjligt enligt dataskydds- direktivet – kunna lämna klagomål till tillsynsmyndigheten och få ett överklagbart beslut (artikel 77 och 78). Den registrerade ska också kunna väcka talan i domstol mot den personuppgiftsansva- rige eller personuppgiftsbiträdet (artikel 79).

Den som har lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ska ha rätt till skadestånd (artikel 82). Ett skadeståndsanspråk kan, i likhet med vad som gäller enligt dataskyddsdirektivet, riktas mot den personuppgifts- ansvarige. Under vissa förutsättningar kan dock skadeståndsanspråk begäras även av ett personuppgiftsbiträde, vilket är nytt i för- hållande till vad som gällt tidigare.

Tillsynsmyndigheten ska enligt en annan nyhet i dataskydds- förordningen kunna påföra s.k. administrativa sanktionsavgifter (artikel 83). Två olika kategorier av överträdelser – uppdelade ut- ifrån bestämmelser som föreskriver rättigheter och skyldigheter – föranleder två olika maxbelopp (artikel 83.4 och 83.5). Medlems- staterna får själva bestämma i vilken utsträckning myndigheter ska kunna påföras administrativa sanktionsavgifter.

Medlemsstaterna ska vidare fastställa regler om andra sanktioner för överträdelser av dataskyddsförordningen, särskilt för överträ- delser som inte är föremål för administrativa sanktionsavgifter (artikel 84).

174

SOU 2017:66

Dataskyddsförordningen

4.3.12 Konkurrens med andra rättigheter

Medlemsstaterna ska i lag förena rätten till integritet i enlighet med dataskyddsförordningen med yttrande- och informationsfriheten (artikel 85.1). För behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande ska med- lemsstaterna fastställa undantag eller avvikelser från stora delar av dataskyddsförordningen om det är nödvändigt för att förena rätten till integritet med yttrande- och informationsfriheten (artikel 85.2).

Personuppgifter i allmänna handlingar får lämnas ut av myndig- heter i enlighet med nationell rätt (artikel 86).

4.3.13 Övrigt

Hur ett nationellt identifikationsnummer (personnummer) får be- handlas, får medlemsstaterna själva bestämma med beaktande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen (artikel 87).

För behandling av personuppgifter i anställningsförhållanden, får medlemsstaterna i lag eller kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av anställdas rättigheter och fri- heter (artikel 88).

Dataskyddsförordningen innehåller också bl.a. bestämmelser om uppförandekoder och certifiering (artikel 40–43) och om till- synsmyndigheternas respektive Europeiska dataskyddsstyrelsens ställning, arbetsuppgifter och samarbete sinsemellan (artikel 51–76).

175

5 Pågående översynsarbete

5.1 Dataskyddsutredningen

Dataskyddsutredningen1 har haft i uppdrag att föreslå de anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till.2 I maj 2017 överläm- nade utredningen betänkandet ”Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning”3, som bl.a. innehåller förslag till en ny lag – dataskyddslagen – med anknytande förordning som ska ersätta personuppgiftslagen och personuppgiftsförord- ningen. I uppdraget har inte ingått att se över någon sektorsspecifik reglering om behandling av personuppgifter och inte heller att analysera eller beskriva vilka förändringar som dataskyddsförord- ningen i sig innebär.

Dataskyddslagen föreslås i tillämpliga delar, utöver dataskydds- förordningens tillämpningsområde, även gälla behandling av person- uppgifter som utförs som ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av EU:s gemen- samma utrikes- och säkerhetspolitik. Lagen förslås vara subsidiär i förhållande till andra lagar och förordningar och ska inte heller tillämpas i den utsträckning det skulle strida mot grundlagsbestäm- melserna om tryck- och yttrandefrihet. Ett undantag från vissa av dataskyddsförordningens bestämmelser föreslås dessutom gälla för sådan behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

Den föreslagna dataskyddslagen innehåller bestämmelser som förtydligar hur rättsliga förpliktelser och arbetsuppgifter av allmänt

1 Ju 2016:04.

2 Dir. 2016:15.

3 SOU 2017:39.

177

Pågående översynsarbete

SOU 2017:66

intresse eller som ett led i myndighetsutövning fastställs i enlighet med svensk rätt.

Eftersom vissa undantag från dataskyddsförordningens förbud att behandla känsliga personuppgifter förutsätter stöd i nationell rätt, föreslås dataskyddslagen innehålla sådant stöd när det gäller nödvändig behandling av personuppgifter på arbetsrättens område, inom hälso- och sjukvård, i social omsorg, i arkivverksamhet och i statistisk verksamhet. Därutöver föreslås ett undantag för viss be- handling av känsliga personuppgifter hos myndigheter. Stödet för behandling av känsliga personuppgifter föreslås förenas med olika restriktioner. För att andra än myndigheter ska få behandla person- uppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel, föreslås ett krav på uttryckligt stöd i lag eller förordning eller i föreskrifter eller förvaltningsbeslut från Datainspektionen. Uppgifter om person- nummer eller samordningsnummer föreslås även fortsättningsvis få behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

Personuppgifter som behandlas enbart för arkivändamål av all- mänt intresse eller statistiska ändamål får enligt Dataskyddsutred- ningens förslag inte användas för att vidta åtgärder i fråga om den registrerade, annat än om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Begränsningen rörande statistik- uppgifter gäller, till skillnad från vad som gäller i fråga om arkive- rade uppgifter, även för myndigheter.

Dataskyddslagen föreslås inte innehålla någon straff- eller vites- bestämmelse, men den administrativa sanktionsavgift som tillsyns- myndigheten enligt dataskyddsförordningen kan ta ut av ett före- tag eller andra enskilda som bryter mot dataskyddsregleringen, före- slås också kunna tas ut av en myndighet. Datainspektionen föreslås vara tillsynsmyndighet. Tillsynsmyndighetens befogenheter enligt dataskyddsförordningen föreslås gälla vid tillsyn över efterlevnaden av bestämmelserna i alla författningar som kompletterar dataskydds- förordningen.

Rätten till skadestånd enligt dataskyddsförordningen föreslås, utöver vid överträdelser av dataskyddsförordningens bestämmelser, gälla vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen.

178

SOU 2017:66

Pågående översynsarbete

Dataskyddslagen föreslås också innehålla bl.a. vissa begränsningar i fråga om rätten till information och registerutdrag, bestämmelser om Datainspektionens klagomålshantering, bestämmelser om över- klagande och en tystnadsplikt för dataskyddsombud inom den pri- vata sektorn.

Dataskyddslagen föreslås träda i kraft den 25 maj 2018. Person- uppgiftslagen är dock tänkt att även fortsättningsvis gälla i den utsträckning som det i en annan lag eller förordning finns bestäm- melser som innehåller hänvisningar till den lagen. Äldre föreskrifter föreslås också fortfarande gälla för ärenden hos Datainspektionen som har inletts men inte avgjorts före ikraftträdandet, för överkla- gande av beslut som har meddelats med stöd av äldre föreskrifter, för överträdelser som har skett före ikraftträdandet och i fråga om skadestånd för skada som har orsakats före ikraftträdandet.

5.2 Utredningen om 2016 års dataskyddsdirektiv

Utredningen om 2016 års dataskyddsdirektiv4 har till uppdrag5 att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt och har i april 2017 lämnat ett delbetänkande med förslag till en brottsdatalag.6

Brottsdatalagen är tänkt att tillämpas vid behandling av person- uppgifter som utförs av myndigheter som har till uppgift att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Lagen ska också gälla för behandling av personuppgifter vid upprätthållande av allmän ordning och säkerhet. Myndigheter som har sådana arbets- uppgifter betecknas behöriga myndigheter. Det som blir avgörande för om lagen är tillämplig är alltså dels om det är en behörig myndighet som behandlar personuppgifterna, dels syftet med be- handlingen. Dataskyddsförordningen är inte tillämplig på sådan behandling av personuppgifter som omfattas av brottsdatalagen. Alla myndigheter som kommer att tillämpa brottsdatalagen kommer även att tillämpa dataskyddsförordningen i de delar av verksamheten som inte omfattas av brottsdatalagens tillämpningsområde. Brotts-

4 Ju 2016:06.

5 Dir. 2016:21.

6 SOU 2017:29.

179

Pågående översynsarbete

SOU 2017:66

datalagen föreslås vara generellt tillämplig – men subsidiär – inom sitt tillämpningsområde. Registerförfattningar som omfattar samma tillämpningsområde kommer att gälla utöver brottsdatalagen.

Personuppgifter föreslås få behandlas med stöd av den rättsliga grunden att behandlingen är nödvändig för att en behörig myndighet ska kunna utföra en sådan arbetsuppgift som gör lagen tillämplig. Arbetsuppgiften ska framgå av en bindande unionsrättsakt, en lag, en förordning eller ett särskilt beslut av regeringen. Personupp- gifter föreslås också få behandlas om behandlingen krävs för diarie- föring eller om uppgifterna har lämnats till en behörig myndighet i en anmälan, ansökan eller liknande och behandlingen är nödvändig för myndighetens handläggning.

Känsliga personuppgifter rörande en viss person föreslås få be- handlas om uppgifter om personen redan behandlas och det är absolut nödvändigt för ändamålet med behandlingen. Biometriska uppgifter som används i identifieringssyfte och genetiska uppgifter föreslås dock få behandlas enbart om det är särskilt föreskrivet. Sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter ska vara förbjudna. För att det inte ska vara möjligt att med stöd av offentlighetsprincipen få tillgång till en sådan sammanställning, föreslås en särskild sekretessregel som innebär att absolut sekretess gäller för uppgifter i sådana sammanställningar.

Brottsdatalagen föreslås också innehålla bestämmelser om bl.a. definitioner, grundläggande krav på behandling, längsta tid för be- handling, automatiserade beslut, personuppgiftsansvarigas skyldig- heter i fråga om bl.a. säkerhet och anmälan om personuppgifts- incidenter, enskildas rättigheter i form av bl.a. information och rättelse, tillsynsmyndighetens befogenheter, administrativa sank- tionsavgifter, skadestånd, rättsmedel och överföring till tredjeland.

Brottsdatalagen föreslås träda i kraft den 1 maj 2018.

5.3 Övrigt översynsarbete med anledning av dataskyddsförordningen

Utöver de utredningar som nämnts ovan har ytterligare ett antal olika utredningar haft i uppdrag – och vissa arbetar fortfarande med

– att anpassa svensk rätt till EU:s dataskyddsreform. Det rör sig bl.a. om Utredningen om kameraövervakning – brottsbekämpning

180

SOU 2017:66

Pågående översynsarbete

och integritetsskydd7, Utredningen om dataskydd vid Rättsmedicinal- verket8, Utbildningsdatautredningen9, Forskningsdatautredningen10 och Utredningen om regleringen av biobanker11.

Det bedrivs dessutom ett omfattande arbete internt inom Reger- ingskansliet med att anpassa författningar till dataskyddsförord- ningen.

5.4 Förslaget till myndighetsdatalag

Regeringen gav i oktober 2011 en särskild utredare i uppdrag att se över den s.k. registerlagstiftningen – de sektors- eller myndighets- specifika lagar och förordningar som kompletterar personuppgifts- lagen och innehåller bestämmelser om statliga och kommunala myndigheters behandling av personuppgifter. Utredningen, som antog namnet Informationshanteringsutredningen, lämnade sitt slut- betänkande i april 2015 (SOU 2015:39), dvs. innan man inom EU kom överens om dataskyddsförordningen.

Uppdraget hade sin bakgrund i att det i olika sammanhang framförts kritik mot registerlagstiftningen för att vara ett svåröver- blickbart och splittrat rättsområde med bristande enhetlighet i fråga om struktur och normtekniska lösningar. Lagstiftningen ansågs till viss del inte heller vara tillräckligt anpassad till annan lagstiftning av central betydelse för myndigheternas informationshantering, så- som tryckfrihetsförordningens bestämmelser om allmänna hand- lingar och offentlighets- och sekretesslagen (2009:400).

Informationshanteringsutredningen har inte gjort några om- prövningar av tidigare avvägningar mellan effektivitetssträvanden och skyddet för enskildas personliga integritet utan har fokuserat på att förtydliga gällande rätt genom att föreslå en ny lag – myndig- hetsdatalagen. Den föreslagna lagen liknar befintliga registerförfatt- ningar men innehåller bestämmelser som är tänkta att gälla gene- rellt för alla statliga och kommunala myndigheters behandling av personuppgifter, frånsett den brottsbekämpande sektorn.

7 Ju 2015:14, tilläggsdir. 2016:54, SOU 2017:55.

8 Ju 2016:18, dir. 2016:75.

9 U 2016:03, dir. 2016:63, SOU 2017:49.

10 U 2016:04, dir. 2016:65, delbetänkande SOU 2017:50.

11 S 2016:04, dir. 2016:41, delbetänkande SOU 2017:40.

181

Pågående översynsarbete

SOU 2017:66

Den föreslagna lagen är utformad som en renodlad generell dataskyddsreglering som bara tar sikte på frågor om skydd för person- uppgifter som uppstår i myndigheternas elektroniska informations- hantering. Behov av sektors- eller myndighetsspecifika särregler, som har sin grund i speciella omständigheter som rör just den aktuella myndigheten eller verksamheten, bedöms kunna tas in i en kompletterande förordning. Lagen ska även kunna kompletteras med bilagor. På detta sätt är det tänkt att skapa ett sammanhållet ramverk med enhetligt utformad reglering både vad avser förhållan- den som kan regleras generellt och förhållanden där fortsatta sär- regler behöver finnas. Informationshanteringsutredningen utesluter dock inte att det i vissa fall kan bedömas vara mer lämpligt med särreglering i separat författning som gäller utöver den nya lagen.

182

GENERELLA ÖVERVÄGANDEN

6 Allmänna utgångspunkter

6.1 Behandling som i dag är laglig

ska kunna fortsätta men författningsstöd för annat bör inte införas nu

Utredningens bedömning: Utgångspunkten bör vara att be- handling av personuppgifter som i dag är laglig ska kunna fort- sätta. Författningsstöd för behandling av personuppgifter som inte är laglig i dag bör inte införas nu.

Avvägningar och bedömningar som redan gjorts bör godtas och inte göras om.

Utredningsuppdraget är omfattande och utredningstiden kort. Det gör att det inte är möjligt att på alla de olika områden som upp- draget omfattar göra ingående avvägningar mellan integritetsskyd- det och andra intressen. Det i sin tur innebär att utredningen i stor utsträckning måste stödja sig på de avvägningar som redan gjorts.

Datainspektionens expert i utredningen har framfört i huvudsak följande. Utredningen bör göra en kartläggning av nuläget avseende sådan behandling av personuppgifter som sker i verksamheter som omfattas av de författningar som ingår i utredningens översyn. Kart- läggningen bör avse bl.a. teknisk utveckling, digitalisering, nya sam- arbetsformer och det ökade antalet aktörer inom exempelvis hälso- och sjukvården och socialtjänsten. Resultatet av kartläggningen kan sedan utgöra underlag för en ny konsekvensbedömning där en analys av om utvecklingen lett till nya risker för den personliga integrite- ten kan ingå. Regleringen bör sedan anpassas efter en analys av hur dessa eventuella nya risker kan minimeras. En fördel med detta till- vägagångssätt skulle vara att utredningens bedömningar kan utgöra en del av den konsekvensbedömning den personuppgiftsansvarige i

185

Allmänna utgångspunkter

SOU 2017:66

vissa fall är skyldig att göra enligt artikel 35 i dataskyddsförord- ningen.

Utredningen är medveten om att det har skett en viss utveck- ling, bl.a. på det tekniska området, sedan flertalet av författningarna tillkom och instämmer i att det inom i vart fall vissa områden hade varit bra med en sådan översyn som förespråkas. Utredningstiden medger dock inte en så omfattande översyn. Det kan inte heller anses ingå i utredningens uppdrag att göra andra anpassningar av författningarna än sådana som föranleds av dataskyddsförordningen. Tidigare gjorda avvägningar måste därför vara utgångspunkten för utredningens bedömningar.

Dessa avvägningar har, när det gäller områden som täcks av registerförfattningar, gjorts efter ingående analyser av respektive område och med mindre tidspress än vad utredningen är utsatt för. Avvägningarna har också varit föremål för remiss- och riksdags- behandling och, oftast, granskning av Lagrådet.

Även på de områden som inte täcks av en registerförfattning kan det sägas att det redan har gjorts en tyst avvägning som innebär att de möjligheter till behandling av personuppgifter som finns enligt personuppgiftslagen är både tillräckliga för verksamheten och inte för långtgående för integritetsskyddet. I vissa fall finns det också utredningsförslag som inte (ännu) har genomförts, t.ex. SOU 2014:67 om behandling av personuppgifter inom verksam- heten för Inspektionen för socialförsäkringen, som nämns i utred- ningsdirektiven, och SOU 2007:48 och SOU 2015:84, båda om för- fattningsreglering av donationsregistret.

Det är inte några ofullkomligheter i lagstiftningen, eller ifråga- satta integritetskränkningar, som har föranlett utredningsuppdraget utan enbart den kommande nya EU-regleringen av behandling av personuppgifter. En utgångspunkt enligt utredningsdirektiven är också att de befintliga förutsättningarna för en ändamålsenlig be- handling inte ska försämras.

Av dessa skäl anser utredningen att en utgångspunkt vid över- synen bör vara att behandling som, enligt utredningens bedömning, i dag är laglig ska kunna fortsätta. Det innebär att översynen av respektive område i första hand inriktas på att undersöka om data- skyddsförordningen innebär att något som i dag är lagligt inte kommer att kunna ske med befintlig författningsreglering. Om så är fallet, blir nästa steg att undersöka om dataskyddsförordningen

186

SOU 2017:66

Allmänna utgångspunkter

medger att det finns ett nationellt författningsstöd för det som är lagligt i dag och, om det är så, utforma förslag till ett sådant för- fattningsstöd som helst ska utformas enhetligt i förhållande till andra registerförfattningar.

Redan av utredningsdirektiven framgår att den korta utred- ningstiden gör att möjligheterna att utreda och föreslå materiella ändringar är begränsade. Utredningen anser därför att en utgångs- punkt vid översynen bör vara att lämpligheten av att införa författ- ningsstöd för mera eller annat än det som enligt utredningens bedömning är lagligt i dag inte ska utredas. Översynen ska alltså begränsas till att analysera vilket författningsstöd som kan behövas för att det som är lagligt i dag ska kunna fortsätta.

Frågan om det med hänsyn till artikel 6.3 i dataskyddsförord- ningen behövs ett generellt författningsstöd för myndigheters och andra organs behandling av personuppgifter och hur ett sådant generellt stöd ska utformas kan dock inte anses omfattad av utred- ningsdirektiven, eftersom frågan inte nämns där. Frågan har dess- utom ingått i Dataskyddsutredningens uppdrag.1 Mot den bak- grunden är uppdraget enligt utredningsdirektiven att undersöka om det till följd av personuppgiftslagens upphävande och regleringen i dataskyddsförordningen behövs kompletterande föreskrifter för vissa myndigheter och verksamheter som i dag saknar särskilda register- författningar och lämna behövliga och lämpliga författningsförslag något svårförståeligt. Uppdraget innefattar i vart fall, enligt vad som uttryckligen anges i utredningsdirektiven, att lämna förslag till de anpassningar till följd av dataskyddsförordningen som behövs av de författningsförslag som lämnats i SOU 2014:67 om behand- lingen av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen, som i dag inte har någon registerförfattning. Uppdraget får därutöver anses innebära att det ska undersökas om det i dag inom området förekommer någon typ av behandling av personuppgifter med stöd av personuppgiftslagen, t.ex. missbruks- regeln i 5 a § eller en intresseavvägning enligt 10 § f, eller person- uppgiftsförordningen som, när personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas, behöver ett författnings- stöd för att kunna fortsätta och som är mer eller mindre unik och därför inte rimligen bör omfattas av en generell reglering. Sådant

1 Dir. 2016:15 och SOU 2017:39.

187

Allmänna utgångspunkter

SOU 2017:66

som många personuppgiftsansvariga, inom flera departements- områden, behöver göra regleras nämligen bättre generellt, t.ex. i den reglering som Dataskyddsutredningen har haft i uppdrag att utreda, än i en mängd registerförfattningar. Om det inom området förekommer att myndigheter utan registerförfattning behandlar känsliga personuppgifter i löpande text vid elektronisk korrespon- dens eller ärendehandläggning, är det t.ex. inte något som är så unikt för området att det motiverar en särskild reglering. Det kan inte anses ankomma på utredningen att bedöma vilka arbetsuppgif- ter i sak myndigheter får eller bör utföra eller att föreslå författ- ningsreglering av myndigheters arbetsuppgifter.

6.2 Författningsreglering som motsvarar bestämmelser i dataskyddsförordningen bör behållas om det blir tydligare

Utredningens bedömning: Befintlig författningsreglering, som innebär begränsningar i förhållande till vad som vore tillåtet en- ligt dataskyddsförordningen, ska behållas i sak i så stor utsträck- ning som möjligt. Regleringen bör göras så enhetlig som möjligt. Författningsreglering som motsvarar bestämmelser i dataskydds- förordningen kan och bör, i den utsträckning det är möjligt enligt vad som anges i skäl 8 till dataskyddsförordningen, be- hållas eller införas när det skapar tydlighet.

Det är enligt utredningsdirektiven viktigt att den nationella regler- ingen är så enhetlig som möjligt i sin utformning, vilket t.ex. inne- bär att termer, uttryck och struktur samt hänvisningar till data- skyddsförordningen är enhetliga. Detta ska utredningen beakta. Motsvarande formulering, och anvisningar om att arbetet i andra utredningar ska beaktas, finns i utredningsdirektiven för flera av de övriga utredningar som har sett över registerförfattningar inför att dataskyddsförordningen ska börja tillämpas.

Ett enhetligt ramverk för myndigheters behandling av person- uppgifter har nyligen utretts och ett förslag till en generell myndig- hetsdatalag, som de befintliga registerförfattningarna skulle kunna

188

SOU 2017:66

Allmänna utgångspunkter

anpassas till, ligger på regeringens bord.2 Det är emellertid osäkert vad som händer med det förslaget, som lämnades innan det stod klart att man inom EU skulle kunna enas om en dataskyddsförord- ning. Utredningsdirektiven innehåller inga anvisningar om att be- fintliga registerförfattningar ska anpassas till förslaget till myndig- hetsdatalag.

Utredningsdirektiven får anses innebära att utredningen har att efter samråd med övriga utredningar försöka göra den författnings- reglering som behöver ändras eller införas så enhetlig som möjligt. Något försök till anpassning till den struktur som förslaget till myndighetsdatalag innebär bör dock inte göras. Utredningsdirekti- ven får anses ge möjlighet att utforma befintlig reglering, som kan och bör vara kvar i sak, så att den blir enhetlig mellan olika register- författningar, om utredningstiden medger det och nödvändigt sam- råd med övriga utredningar kan ske.

Det har lagts ned stora lagstiftningsresurser på registerförfatt- ningarna. Det finns hos tillämparna erfarenhet av och kunskap om registerförfattningarna. Tillämparna har ibland också utformat in- struktioner till sin personal och informationsmaterial för registre- rade samt personuppgiftsbiträdesavtal utifrån den befintliga för- fattningsregleringen.

Som tidigare sagts är möjligheterna att utreda materiella ändringar begränsade. Det – och hänsyn till det stora arbete som lagts ned på registerförfattningarna – gör att utredningen anser att utgångs- punkten bör vara att befintlig författningsreglering, som innebär begränsningar i förhållande till vad som vore tillåtet enligt data- skyddsförordningen, ska behållas i sak i så stor utsträckning som möjligt. Det innebär att översynen bör inriktas på att analysera om de befintliga bestämmelserna i sak kan behållas med hänsyn till dataskyddsförordningen. Är så fallet, bör de efter samråd med övriga utredningar om möjligt göras mera enhetliga. Önskemålet om enhetlighet bör dock inte få gå utöver det materiella innehållet. Innehåller en registerförfattning en unik begränsning, som kan be- hållas med hänsyn till dataskyddsförordningen, bör den begräns- ningen således finnas kvar i sak, trots att regleringen som helhet hade blivit mera enhetlig utan den. Går det inte säkert att fastslå att t.ex. en viss formulering är avsedd att innebära en begränsning i

2 SOU 2015:39.

189

Allmänna utgångspunkter

SOU 2017:66

förhållande till vad som gäller enligt formuleringar i andra register- författningar, bör dock önskemålet om enhetlighet få ta överhanden, dvs. avvikande formuleringar som inte säkert har en viss innebörd justeras så att regleringen blir mera enhetlig.

Även om utredningsdirektiven anvisar enhetlighet, kan de inte anses innebära ett uppdrag att rensa ut befintliga bestämmelser i registerförfattningarna som motsvarar bestämmelser i dataskydds- förordningen; något mera enhetligt än bestämmelser i en EU-för- ordning finns ju inte. Av skäl 8 till dataskyddsförordningen fram- går dessutom att om dataskyddsförordningen föreskriver förtydli- ganden eller begränsningar av bestämmelserna i dataskyddsförord- ningen genom den nationella rätten kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av dataskyddsförordningen i natio- nell rätt. Det kan däremot, som anges i avsnitt 4.2, i andra situa- tioner än den som berörs i skäl 8 anses strida mot EU-rätten att i nationell lagstiftning upprepa bara vissa bestämmelser i en EU- förordning eller låta bli att tala om att det är fråga om direkt tillämplig EU-rätt. Utredningen anser mot bakgrund av det ut- rymme som medlemsstaterna ges genom skäl 8 och det arbete som redan är nedlagt på registerförfattningarna, att utgångspunkten bör vara att befintlig författningsreglering som motsvarar bestämmelser i dataskyddsförordningen ska behållas i den utsträckning det be- hövs för att uppnå tydlighet och igenkänning hos tillämparna. En bedömning av om det är förenligt med EU-rätten att behålla en sådan bestämmelse måste dock göras i varje enskilt fall.

Det är däremot utredningens bedömning att det inte bör införas fler bestämmelser som motsvarar bestämmelser i dataskydds- förordningen än de som redan finns i registerförfattningarna. Registerförfattningarna skulle då komma att bli alltför omfattande. Det kan dessutom bli missvisande för tillämparen att endast återge vissa bestämmelser i dataskyddsförordningen när även övriga be- stämmelser i dataskyddsförordningen gäller. I något enskilt fall kan det dock vara motiverat, för att förtydliga, att ta in en bestämmelse som upplyser om innehållet i en specifik bestämmelse i data- skyddsförordningen. Detta för att göra tillämparen uppmärksam på att regleringen i registerförfattningen inom ett visst område inte är uttömmande.

190

7 Konsekvenserna

av att dataskyddsförordningen börjar tillämpas

7.1 Inledning

Utredaren ska enligt utredningsdirektiven undersöka vilka konse- kvenser dataskyddsförordningen medför i fråga om behandling av personuppgifter inom Socialdepartementets verksamhetsområde.

Dataskyddsförordningen kommer från och med den 25 maj 2018 att gälla direkt i Sverige. Personuppgiftslagen kommer att upphävas vid samma tillfälle. Dataskyddsförordningens bestämmelser är tvingande och nationell lagstiftning på området kommer därför bara att komplettera dataskyddsförordningen i den utsträckningen det är möjligt att göra undantag eller förtydliganden i förhållande till dataskyddsförordningen. Svenska bestämmelser som strider mot dataskyddsförordningen får inte längre tillämpas. Samtliga verksamheter, som omfattas av dataskyddsförordningen, kommer således att behöva tillämpa dataskyddsförordningen, oavsett om verk- samheten också omfattas av tillämpningsområdet för en register- författning.

Dataskyddsutredningen har föreslagit en lag med komplette- rande bestämmelser till EU:s dataskyddsförordning, dataskydds- lagen.1 Denna lag kommer, om förslaget leder till lagstiftning, att innehålla bestämmelser som kompletterar dataskyddsförordningen på en generell nivå. De verksamheter, vars behandling av person- uppgifter inte omfattas av någon särskild registerförfattning men av tillämpningsområdet för dataskyddsförordningen, kommer alltså att tillämpa dataskyddsförordningen och den föreslagna dataskydds-

1 SOU 2017:39.

191

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

SOU 2017:66

lagen i stället för personuppgiftslagen. Bestämmelserna i den före- slagna dataskyddslagen kommer i viss utsträckning även att tilläm- pas i verksamheter som omfattas av en särskild registerförfattning.

Som framgår av avsnitt 4.3 innebär dataskyddsförordningen vissa nyheter i förhållande till nu gällande dataskyddsreglering. Att dataskyddsförordningen ska börja tillämpas får därmed konsekven- ser för all behandling av personuppgifter som omfattas av dess tillämpningsområde. Det är, med hänsyn till utredningens omfatt- ande uppdrag och korta utredningstid, inte möjligt att inom ramen för detta uppdrag göra någon djupgående analys av vilka konse- kvenser dataskyddsförordningen får för var och en av de många olika verksamheter som finns inom Socialdepartementets verksam- hetsområde. De huvudsakliga konsekvenserna av att dataskydds- förordningen ska börja tillämpas kommer dock att beröras i detta avsnitt. De konsekvenser dataskyddsförordningen medför i fråga om behandling av personuppgifter inom Socialdepartementets verk- samhetsområde är desamma som för övriga departements verksam- hetsområden.

7.2 Personuppgifter kommer inte att kunna behandlas med stöd av missbruksregeln

Behandling av personuppgifter i ostrukturerat material, t.ex. löp- ande text i ordbehandlingsprogram, i e-post eller på internet är, som anges i avsnitt 3.3.3, tillåten enligt den s.k. missbruksregeln i 5 a § personuppgiftslagen så länge behandlingen inte innebär en kränkning av den registrerades personliga integritet. Missbruks- regeln kommer inte att finnas kvar när dataskyddsförordningen ska börja tillämpas.2 Bestämmelserna i dataskyddsförordningen ska i stället tillämpas i sin helhet på all automatiserad behandling av personuppgifter.

Att missbruksregeln försvinner innebär att det beträffande så- dan behandling av personuppgifter som i dag är tillåten enbart på grund av att den sker i ostrukturerat material, måste göras en ny bedömning i förhållande till dataskyddsförordningens bestämmel- ser. Det behöver till en början fastställas ändamål för behandlingen

2 SOU 2017:39.

192

SOU 2017:66

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

och bedömas om det finns stöd för behandlingen i någon av de rättsliga grunderna i artikel 6 i dataskyddsförordningen. Om någon av de rättsliga grunderna är tillämplig, ska övriga bestämmelser i dataskyddsförordningen iakttas vid den fortsatta behandlingen.

7.3 Möjligheterna för myndigheter att behandla personuppgifter

med stöd av en intresseavvägning minskar

Som anges i avsnitt 4.3.4 innebär regleringen i artikel 6.1 andra stycket i dataskyddsförordningen att det inte längre kommer att vara tillåtet för offentliga myndigheter att behandla personuppgifter som ett led i fullgörandet av sina uppgifter med stöd av en intresse- avvägning.

Detta betyder att om någon myndighet i dag för sin myndig- hetsverksamhet behandlar personuppgifter med stöd av en intresse- avvägning enligt 10 § f personuppgiftslagen, behöver en bedömning göras av om behandlingen i stället kan ske med stöd av någon annan av grunderna i artikel 6.1 i dataskyddsförordningen. Om det inte finns någon annan tillämplig grund för behandlingen, är den alltså inte tillåten. En myndighets behandling av personuppgifter inom kärnverksamheten som bedömts tillåten efter en intresse- avvägning torde dock ofta även vara nödvändig för att utföra en arbetsuppgift av allmänt intresse och därmed tillåten med stöd av artikel 6.1 e i dataskyddsförordningen.3

Behandling av personuppgifter som en myndighet utför utanför den myndighetsspecifika verksamheten med stöd av en intresse- avvägning, t.ex. inom personal- eller ekonomiadministration, ver- kar inte omfattas av begränsningen i artikel 6.1 andra stycket i data- skyddsförordningen.

3 Se Informationshanteringens bedömning i SOU 2015:39 s. 256 där det också ges exempel på några situationer då myndigheters behandling av personuppgifter bedömts tillåten efter en intresseavvägning.

193

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

SOU 2017:66

7.4 Rättslig grund för behandling av personuppgifter

Av avsnitt 4.3.4 framgår att det tillkommit nya krav för några av de rättsliga grunderna för behandling av personuppgifter. När det gäller behandling som är nödvändig för att den personuppgifts- ansvarige ska kunna uppfylla en rättslig förpliktelse (artikel 6.1 c i dataskyddsförordningen) eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e i data- skyddsförordningen) måste grunden fastställas i nationell rätt eller EU-rätt. Vidare måste syftet med behandling som sker på den grunden att den är nödvändig för att fullgöra en rättslig förpliktelse fastställas i den rättsliga grunden. I fråga om behandling enligt arti- kel 6.1 e i dataskyddsförordningen gäller i stället att syftet med behandlingen ska vara nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning.

Dessa nya villkor måste alltså vara uppfyllda för att de rättsliga grunder som anges artikel 6.1 c och e i dataskyddsförordningen ska vara tillämpliga. Förpliktelser och arbetsuppgifter av allmänt in- tresse eller som ett led i myndighetsutövning som inte är rättsligt förankrade kan därmed inte längre åberopas som rättsliga grunder för behandling av personuppgifter. Dataskyddsutredningen har gjort en analys av vad dessa nytillkomna krav innebär.4

Som anges i avsnitt 4.3.3 krävs enligt skäl 50 till dataskydds- förordningen inte längre någon separat rättslig grund vid sådan vidarebehandling som inte hindras av finalitetsprincipen. I stället räcker det med den rättsliga grund med stöd av vilken personupp- gifter samlades in. Det kommer således att vara tillräckligt att be- döma om en vidarebehandling är oförenlig med de ändamål för vilka personuppgifterna ursprungligen samlades in. Någon bedömning av vilken rättslig grund vidarebehandlingen har behöver däremot inte göras. För en mer ingående analys av innebörden av finalitets- principen hänvisas till Dataskyddsutredningens betänkande.5

4 SOU 2017:39 s. 108–113.

5 SOU 2017:39 s. 224–226.

194

SOU 2017:66

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

7.5 Känsliga personuppgifter

Som anges i avsnitt 4.3.5 har det i dataskyddsförordningen till- kommit några nya kategorier av känsliga personuppgifter, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person och uppgifter om sexuell läggning. Flera av de uppgifter som ryms inom de nya kategorierna är redan i dag att betrakta som känsliga personuppgifter, eftersom de omfattas av de nuvarande kategorierna. Till exempel kan genetiska uppgifter av- slöja såväl hälsotillstånd som etnisk tillhörighet varför sådana upp- gifter redan i dag anses vara känsliga personuppgifter.6 Även de andra nytillkomna kategorierna av känsliga personuppgifter kan i vissa fall också utgöra uppgifter om hälsa (se avsnitt 10.1.11 och 12.8.4). Uppgifter om sexuell läggning lär enligt utredningens be- dömning i de flesta fall också vara uppgifter som rör sexualliv. De olika kategorierna av känsliga personuppgifter överlappar alltså i viss mån varandra. Att nya kategorier lagts till innebär dock att det kommer att vara fler uppgifter som kategoriseras som känsliga och som därmed omfattas av dataskyddsförordningens reglering i arti- kel 9. Eftersom huvudregeln enligt artikel 9.1 är att det är förbjudet att behandla känsliga personuppgifter, måste något av undantagen i artikel 9.2 vara tillämpligt för att behandling av sådana uppgifter ska vara tillåten.

En verksamhet som har behov av att behandla känsliga person- uppgifter måste alltså ha stöd för sådan behandling i artikel 9.2 i dataskyddsförordningen. Dataskyddsutredningen har också före- slagit vissa kompletterande bestämmelser. För en redogörelse av vilka konsekvenser dataskyddsförordningen medför för möjlighet- erna att behandla känsliga personuppgifter hänvisas därför till Data- skyddsutredningens betänkande.7

För verksamhet som omfattas av en särskild registerförfattning kommer precis som i dag möjligheterna att behandla känsliga person- uppgifter att regleras i den författningen.

6 Prop. 2005/06:64 s. 63.

7 SOU 2017:39 s. 161–188.

195

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

SOU 2017:66

7.6 Färre uppgifter omfattas av de begränsningar som gäller för uppgifter om lagöverträdelser m.m.

De särskilda regler i personuppgiftslagen som i dag gäller uppgifter om lagöverträdelser omfattar även uppgifter om friande brottmåls- domar och administrativa frihetsberövanden. Att dessa uppgifter inte omfattas av dataskyddsförordningens reglering, vilket framgår av avsnitt 4.3.5, innebär en utökad möjlighet för andra än myndig- heter att behandla sådana uppgifter.

Eftersom dataskyddsförordningen inte innehåller någon begräns- ning i fråga om myndigheters behandling av uppgifter om lag- överträdelser, kommer myndigheter att ha samma möjligheter som i dag att behandla sådana uppgifter. För myndigheter som omfattas av särskilda registerförfattningar kan det dock i dessa författningar finnas bestämmelser som begränsar möjligheterna att behandla upp- gifter om lagöverträdelser.

7.7 Utökade rättigheter för den registrerade

Bestämmelserna i dataskyddsförordningen innebär att den registre- rades rättigheter utökas och att personuppgiftsansvarigas skyldig- heter utökas i motsvarande mån. Informationsskyldigheten i data- skyddsförordningen är t.ex., som framgår av avsnitt 4.3.6, betydligt mer omfattande än vad som gäller enligt dataskyddsdirektivet och personuppgiftslagen. Den registrerade har rätt att få mer infor- mation än vad som gäller i dag och det har tillkommit nya situa- tioner när information måste lämnas. Information ska t.ex. lämnas vid vidarebehandling av personuppgifter för annat syfte än det för vilket uppgifterna samlades in och i vissa fall vid personuppgifts- incidenter. Ett krav på att informationen ska lämnas i klar och tydlig form har också tillkommit. Vidare har det skett en viss förskjut- ning av tidpunkten för när information ska lämnas i fråga om be- handling av uppgifter som har samlats in från någon annan än den registrerade.

Som också anges i avsnitt 4.3.6 är rätten att bli bortglömd be- tydligt mer utförligt reglerad än rätten till utplåning enligt person- uppgiftslagen och dataskyddsdirektivet. Vissa undantag finns dock som gör att rätten att bli bortglömd inte gäller för behandling som

196

SOU 2017:66

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

sker med stöd av grunderna i artikel 6.1 c och e i dataskydds- förordningen (rättslig förpliktelse och arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning) eller om behand- lingen är nödvändig för arkivändamål av allmänt intresse. Det har också tillkommit en rätt att få ofullständiga personuppgifter kompletterade och en skyldighet att i vissa situationer begränsa behandlingen.

Rätten till dataportabilitet är en nyhet i dataskyddsförordningen. Rätten innebär att en verksamhet som omfattas av bestämmelsen är skyldig att tillhandahålla den registrerade uppgifterna i ett struktu- rerat, allmänt använt och maskinläsbart format. Eftersom rätten till dataportabilitet endast gäller om behandlingen grundar sig på sam- tycke eller avtal får den sannolikt inte någon större betydelse för verksamhet inom Socialdepartementets verksamhetsområde.

Den registrerades rätt att göra invändningar mot behandling är, som anges i avsnitt 4.3.6, utökad i dataskyddsförordningen på det sättet att det inte längre är den registrerade som ska ha berättigade skäl för sin invändning, utan i stället den personuppgiftsansvarige som ska kunna redogöra för varför behandlingen ska få äga rum. Eftersom bestämmelsen i 12 § personuppgiftslagen, som anger att en registrerad med vissa undantag inte har rätt att motsätta sig en behandling av personuppgifter som är tillåten enligt lagen, kommer att upphävas och någon motsvarande bestämmelse inte föreslås av Dataskyddsutredningen8, kommer den registrerades rätt att göra invändningar att omfatta betydligt fler behandlingar än i dag. Rätten gäller dock endast behandling som sker på den grunden att behandlingen bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som led i myndighetsutövning alternativt med stöd av en intresseavvägning. Det finns också undantag från rätten att göra invändningar som avser behandling för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Den utökade rätten att göra invändningar innebär alltså att den personuppgiftsansvarige i fler fall än i dag kommer att behöva pröva invändningar från den registrerade och i förekommande fall avbryta behandlingen av den registrerades personuppgifter.

I registerförfattningar kan det, liksom i dag, finnas bestämmelser som begränsar den registrerades möjlighet att göra invändningar.

8 SOU 2017:39.

197

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

SOU 2017:66

7.8 Personuppgiftsincidenter ska anmälas

Som anges i avsnitt 4.3.7 innehåller dataskyddsförordningen en ny skyldighet för personuppgiftsansvariga att dokumentera och an- mäla personuppgiftsincidenter. Denna nya skyldighet kan komma att innebära att det i verksamheten behövs nya rutiner, särskilt eftersom tidsfristen för anmälan endast är 72 timmar.

7.9 Konsekvensbedömning

Som också framgår av avsnitt 4.3.7 kommer den personuppgifts- ansvarige enligt artikel 35 i dataskyddsförordningen att vara skyldig att göra en konsekvensbedömning före en behandling av person- uppgifter som sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. I vissa fall måste även förhandssamråd ske med tillsynsmyndigheten.

Detta är en ny skyldighet för den personuppgiftsansvarige. Skyldigheten har störst betydelse när verksamheten inte omfattas av särskild registerlagstiftning. En konsekvensbedömning enligt artikel 35.10 i dataskyddsförordningen behöver nämligen som regel inte göras vid behandling som utförs med stöd av artikel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse, allmänt in- tresse eller myndighetsutövning) när en konsekvensutredning redan har genomförts vid antagandet av den reglering som utgör den rätts- liga grunden för behandlingen.

7.10 Skyldighet att utse dataskyddsombud

En annan nyhet i dataskyddsförordningen är, som framgår av av- snitt 4.3.8, kravet på att vissa organisationer ska utse ett dataskydds- ombud. Kravet medför att de myndigheter och andra organisationer som omfattas av kravet – med iakttagande av dataskyddsförord- ningens bestämmelser om kvalifikationer och ställning – måste utse ett dataskyddsombud som ska agera självständigt.

Som framgår av avsnitt 4.3.7 är det inte dataskyddsombudet utan den personuppgiftsansvarige och personuppgiftsbiträdet som ska upprätta en förteckning över behandlingar av personuppgifter.

198

SOU 2017:66

Konsekvenserna av att dataskyddsförordningen börjar tillämpas

Skyldigheten att anmäla behandlingar till tillsynsmyndigheten för- svinner.

7.11 Sanktioner

Som framgår av avsnitt 4.3.11 föreskriver dataskyddsförordningen sanktioner i form av skadestånd och administrativa sanktionsavgifter. Rätten till skadestånd finns föreskriven även i dataskyddsdirektivet och personuppgiftslagen, men en nyhet i dataskyddsförordningen är att även personuppgiftsbiträden kan bli skadeståndsskyldiga. Möjligheten att utfärda administrativa sanktionsavgifter vid över- trädelser av dataskyddsförordningen är helt ny.

Bestämmelsen om administrativa sanktionsavgifter är direkt tillämplig och gäller både personuppgiftsansvariga och person- uppgiftsbiträden. Medlemsstaterna får dock själva avgöra om och i vilken utsträckning tillsynsmyndighetens möjlighet att påföra admi- nistrativa sanktionsavgifter ska omfatta myndigheter. Enligt Data- skyddsutredningens förslag ska ett beslut om sanktionsavgifter få riktas även mot statliga och kommunala myndigheter.9

Personuppgiftslagen innehåller, utöver bestämmelser om skade- stånd, även en straffbestämmelse (49 §) och en möjlighet för Data- inspektionen att utfärda vite (44–46 §§). Medlemsstaterna ska enligt artikel 84 i dataskyddsförordningen fastställa regler om andra sank- tioner för överträdelser av dataskyddsförordningen, särskilt sådana som inte är föremål för administrativa sanktionsavgifter. Data- skyddsutredningen har dock bedömt att det inte finns behov av bestämmelser om straff eller vite.10 Ytterligare en nyhet är därmed att dessa bestämmelser försvinner.

9 SOU 2017:39 s. 287.

10 SOU 2017:39 s. 297.

199

8 Verksamheter som inte har en registerförfattning

Utredningens bedömning: Det har inte framkommit att några myndigheter eller verksamheter inom Socialdepartementets verksamhetsområde som inte har en registerförfattning behöver kompletterande föreskrifter till följd av att personuppgiftslagen upphävs och dataskyddsförordningen börjar tillämpas.

Några av de myndigheter och verksamheter som hör till Social- departementets verksamhetsområde har i dag inte en register- författning. I utredningsdirektiven anges att det exempelvis gäller Myndigheten för vård- och omsorgsanalys, Inspektionen för social- försäkringen, Myndigheten för familjerätt och föräldraskapsstöd och Folkhälsomyndigheten. Dessa myndigheter ska i dag tillämpa personuppgiftslagen vid sin behandling av personuppgifter.

När personuppgiftslagen upphävs kommer myndigheter och verksamheter som inte omfattas av någon registerförfattning i stället att tillämpa dataskyddsförordningen och den föreslagna dataskydds- lagen. Utredningen ska enligt utredningsdirektiven undersöka om det till följd av personuppgiftslagens upphävande och regleringen i dataskyddsförordningen behövs kompletterade föreskrifter för vissa myndigheter och verksamheter som i dag saknar särskilda register- författningar och i förekommande fall lämna författningsförslag. Som anges i avsnitt 6.1 får detta anses innebära att utredningen ska undersöka om det i dag förekommer någon typ av behandling av personuppgifter med stöd av personuppgiftslagen, t.ex. missbruks- regeln i 5 a § eller en intresseavvägning enligt 10 § f personuppgifts- lagen, alternativt personuppgiftsförordningen som behöver författ- ningsstöd för att kunna fortsätta. Det är dock endast reglering av sådan behandling av personuppgifter som är mer eller mindre unik

201

Verksamheter som inte har en registerförfattning

SOU 2017:66

för en viss verksamhet och som därför inte rimligen bör omfattas av en generell reglering som får anses ingå i utredningens uppdrag. Sådan behandling som behöver utföras av flera myndigheter, som hör under flera departement, bör däremot inte specialregleras utan i stället omfattas av den generella regleringen i dataskyddslagen. Som också framgår av avsnitt 6.1 kommer författningsstöd för annat än det som enligt utredningens bedömning är lagligt i dag inte att utredas.

I syfte att undersöka om det behövs kompletterande föreskrifter för de verksamheter som inte har en registerförfattning har utred- ningen haft särskilda möten med experterna från de myndigheter som omnämns i utredningsdirektiven, dvs. Myndigheten för vård- och omsorgsanalys, Inspektionen för socialförsäkringen, Myndig- heten för familjerätt och föräldraskapsstöd och Folkhälsomyndig- heten. Det har inte framkommit att dessa myndigheter utför någon myndighetsspecifik behandling av personuppgifter som är tillåten i dag men som behöver författningsregleras för att vara tillåten när personuppgiftslagen upphävs och dataskyddsförordningen ska börja tillämpas. De behandlingar som dessa myndigheter har redogjort för är i stället i de flesta fall sådana som till sin natur är gemensamma för många myndigheter och organisationer. Det är därför inte motiverat att reglera behandlingen särskilt utan denna bör i stället omfattas av den generella regleringen.

Det bör betonas att utredningen inte har bedömt om det är nöd- vändigt eller lämpligt av annan anledning än den kommande förändringen på grund av EU-regleringen med en författnings- reglering av behandlingen av personuppgifter hos de nämnda myndig- heterna. Genom tilläggsdirektiv1 har dock utredningen även fått i uppdrag att utreda behovet av en särskild författning med bestäm- melser om behandling av personuppgifter för Myndigheten för vård- och omsorgsanalys. Ett betänkande avseende detta uppdrag ska lämnas senast den 15 januari 2018.

Det har inte heller i övrigt framkommit att någon verksamhet eller myndighet inom Socialdepartementets verksamhetsområde behöver kompletterande föreskrifter till följd av personuppgifts- lagens upphävande och regleringen i dataskyddsförordningen.

1 Dir. 2017:67.

202

9 Allmänt om befintliga bestämmelser

9.1 Inledning

I utredningsdirektiven anges inte särskilt många utgångspunkter för översynen av de befintliga registerförfattningarna inom Social- departementets verksamhetsområde. Förslagen ska, självklart, stämma överens med EU-rätten. Det gäller att, också det självklart, i den mån det finns utrymme hitta lämpliga avvägningar mellan skyddet för den personliga integriteten och de behov som finns av att be- handla personuppgifter. Uttryck, struktur och hänvisningar till dataskyddsförordningen ska vara enhetliga. De befintliga förutsätt- ningarna för en ändamålsenlig behandling ska dock inte försämras.

I detta avsnitt görs generella överväganden som sedan används som en slags mall vid översynen av de enskilda författningarna.

9.2 Det är tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter

Utredningens bedömning: Det är tillåtet att begränsa myndig- heters möjligheter till behandling av personuppgifter och utöka deras skyldigheter i förhållande till dataskyddsförordningen. Be- stämmelser i registerförfattningar med den innebörden kan och bör därför behållas.

Dataskyddsförordningen är direkt tillämplig och innebär i vissa fall en rätt att behandla personuppgifter (t.ex. när det finns ett giltigt samtycke eller behandlingen är nödvändig för att fullgöra ett avtal,

203

Allmänt om befintliga bestämmelser

SOU 2017:66

artikel 6.1 a och b) eller en rätt att slippa göra vissa saker (se t.ex. artikel 11.1) som man inte kan avvika från i nationell rätt. Data- skyddsförordningen innebär i dessa fall alltså att det är otillåtet att inskränka rätten att behandla personuppgifter eller ålägga skyldig- heter vid behandling utöver vad som följer av dataskyddsförord- ningen. Detta gäller helt klart i fråga om enskildas behandling av personuppgifter. När det gäller det allmännas, dvs. myndigheters, behandling av personuppgifter gör utredningen följande bedömning.

Dataskyddsförordningen innebär inte en skyldighet att behandla personuppgifter i de fall det är tillåtet annat än när det föreskrivs en sådan skyldighet, t.ex. när det gäller uppfyllandet av den registre- rades rättigheter exempelvis avseende registerutdrag. Dataskydds- förordningen innebär inte heller ett förbud mot att en personupp- giftsansvarig väljer att gå utöver sina skyldigheter enligt data- skyddsförordningen och t.ex. lämna registrerade mera information än som krävs. I den utsträckning personuppgiftsansvariga har en sådan valrätt enligt dataskyddsförordningen, är det utredningens bedömning att medlemsstaterna utan hinder av dataskyddsförord- ningen genom nationell rätt kan disponera över den valrätten för sina egna myndigheter. Det gäller i Sverige såväl statliga som kom- munala myndigheter. Däremot är det förstås inte tillåtet att i natio- nell rätt föreskriva att myndigheter får göra eller slipper göra något annat än när detta är tillåtet enligt dataskyddsförordningen.

Eftersom det alltså är tillåtet att begränsa myndigheters möjlig- heter till behandling av personuppgifter och utöka deras skyldig- heter i förhållande till vad som gäller enligt dataskyddsförordningen, kan och bör bestämmelser i registerförfattningar med den inne- börden behållas.

204

SOU 2017:66

Allmänt om befintliga bestämmelser

9.3 Nationella bestämmelser

för att anpassa tillämpningen

av bestämmelserna i dataskyddsförordningen

Utredningens bedömning: När den rättsliga grunden för behand- lingen är att den är nödvändig för att fullgöra en rättslig för- pliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning, kan och bör bestämmelser i registerförfattningar som begränsar myndigheters och enskildas möjligheter till behand- ling av personuppgifter och utökar deras skyldigheter i förhåll- ande till dataskyddsförordningen behållas.

Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen när det gäller behandling som är nödvändig för att fullgöra en rättslig för- pliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, dvs. behandling som avses i artikel 6.1 c och e i dataskyddsförord- ningen.

Den rättsliga grund för behandlingen som enligt artikel 6.3 i data- skyddsförordningen i dessa fall ska fastställas i den nationella rätten kan också innehålla särskilda bestämmelser för att anpassa tillämp- ningen av dataskyddsförordningen. Som exempel på sådana bestäm- melser anges allmänna villkor som ska gälla för den personuppgifts- ansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgif- terna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behand- ling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling. Enligt skäl 45 till dataskyddsförordningen ska man dess- utom kunna precisera kraven för att fastställa vem den person- uppgiftsansvarige är. Medlemsstaternas nationella rätt bör, enligt det skälet, också reglera frågan huruvida en personuppgiftsansvarig som utför en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig

205

Allmänt om befintliga bestämmelser

SOU 2017:66

lagstiftning eller, om detta motiveras av allmänintresset, vilket in- begriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, av civilrätts- lig lagstiftning, exempelvis en yrkesorganisation.

Den rättsliga regleringen ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

Medlemsstaternas nationella lagstiftning får alltså enligt artikel 6.2 och 6.3 i dataskyddsförordningen innehålla mer specifika bestäm- melser för att anpassa tillämpningen av dataskyddsförordningen när det gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Dataskyddsförordningen hindrar inte att medlemsstaterna i nationell rätt inför mer restriktiva be- stämmelser än enligt dataskyddsförordningen för sina egna myndig- heters behandling av personuppgifter (se avsnitt 9.2). Även behand- ling som utförs av privata subjekt kan regleras i mer specifika bestämmelser så länge behandlingen stödjer sig på någon av de rättsliga grunderna fullgörande av rättslig förpliktelse eller utfö- rande av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Det innebär att det är möjligt att såväl be- gränsa enskildas möjligheter till behandling av personuppgifter som att utöka deras skyldigheter i samband med behandlingen.

Den nationella lagstiftningen ska som nämnts uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det får förutsättas att lagstiftaren i samband med tidi- gare författningsarbeten har gjort en proportionalitetsbedömning och bedömt att lagstiftningen syftar till att uppfylla ett mål av all- mänt intresse. Kraven på bestämmelserna enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen får därmed anses redan vara uppfyllda.

Det lär även i övrigt finnas vissa gränser för vilka begränsningar som kan införas på nationell nivå. De specifika bestämmelserna enligt artikel 6.2 och 6.3 i dataskyddsförordningen lär t.ex. inte få innebära att det i praktiken blir omöjligt att genomföra behandling som är nödvändig för att enskilda ska kunna fullgöra en rättslig förpliktelse. Det är utredningens bedömning att det i registerför- fattningarna inte finns några bestämmelser som ens närmar sig gränsen för det otillåtna.

206

SOU 2017:66

Allmänt om befintliga bestämmelser

9.4 Registerförfattningarnas syfte

Utredningens bedömning: Bestämmelser om registerförfatt- ningars syfte påverkas inte av dataskyddsförordningen.

Dataskyddsförordningen syftar enligt artikel 1 till att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Samtidigt anges att det fria flödet av personuppgifter inom unionen varken får begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på be- handlingen av personuppgifter. Dataskyddsförordningen ska enligt skäl 10 säkerställa en enhetlig och hög skyddsnivå och undanröja hinder för flödet av personuppgifter inom EU. Medlemsstaterna tillåts dock att behålla eller införa nationell reglering för att när- mare fastställa hur dataskyddsförordningens bestämmelser ska tillämpas när det gäller behandling som sker med stöd av de rättsliga grunderna fullgörande av en rättslig förpliktelse och utförande av en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning som anges i artikel 6.1 c och e.

I registerförfattningar förekommer ibland bestämmelser som anger det övergripande syftet med lagen. Sådana bestämmelser är ofta utformade på ett sätt som uttrycker den avvägning lagstiftaren gjort mellan intresset av skydd för den personliga integriteten och intresset av att den aktuella verksamheten ska kunna bedrivas på ett ändamålsenligt och effektivt sätt. Bestämmelser om syftet med en lag innehåller oftast inte någon materiell reglering utan utgör i stället en sorts förklaring till vad som är målet med lagens bestämmelser.

Dataskyddsförordningen innehåller inte några bestämmelser som tar sikte på vilket syfte som anges för nationella bestämmelser som kompletterar förordningen. Eftersom bestämmelser om syftet med en viss lagstiftning sällan har någon materiell betydelse, finns det inte något som hindrar att den typen av bestämmelser behålls i den nationella lagstiftningen.

207

Allmänt om befintliga bestämmelser

SOU 2017:66

9.5 Registerförfattningarnas tillämpningsområde

Utredningens bedömning: Bestämmelser i registerförfattningar om inom vilken verksamhet samt på vilka typer av behandlingar och uppgifter författningen ska tillämpas påverkas inte av data- skyddsförordningen och bör inte ändras.

Om registerförfattningen omfattar verksamhet som faller under tillämpningsområdet för det nya dataskyddsdirektivet, krävs det dock särskilda överväganden.

Av artikel 2.1 i dataskyddsförordningen framgår att förordningen ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Ett register är enligt definitionen i artikel 4.6 i data- skyddsförordningen en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktio- nella eller geografiska förhållanden. Med personuppgifter avses en- ligt artikel 4.1 i dataskyddsförordningen varje upplysning som av- ser en identifierad eller identifierbar fysisk person, varvid en identi- fierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift, online- identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekono- miska, kulturella eller sociala identitet.

Tillämpningsområdet anges i dataskyddsdirektivet i relevanta delar på samma sätt som i dataskyddsförordningen.

I 5 § personuppgiftslagen används inte begreppet register, utan en modifierad formulering av dataskyddsdirektivets definition av ett register, nämligen en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier. Enligt 3 § personuppgiftslagen avses med person- uppgifter all slags information som direkt eller indirekt kan hänfö- ras till en fysisk person som är i livet. Formuleringarna i person- uppgiftslagen är avsedda att motsvara vad som gäller enligt data- skyddsdirektivet.

208

SOU 2017:66

Allmänt om befintliga bestämmelser

Registerförfattningarna omfattar i allmänhet samma typer av behandlingar och personuppgifter som dataskyddsdirektivet, person- uppgiftslagen och dataskyddsförordningen. Ibland är tillämpnings- området inskränkt till att avse bara viss typ av behandling, t.ex. automatiserad, eller typ av personuppgift och ibland är tillämp- ningsområdet utvidgat till att avse ytterligare uppgifter, t.ex. upp- gifter om avlidna eller juridiska personer. Registerförfattningar regle- rar vidare bara behandling inom en viss i författningen angiven verksamhet.

Dataskyddsförordningen hindrar inte att medlemsstaterna fritt bestämmer tillämpningsområdet för nationell lagstiftning. Frågor som ligger utanför dataskyddsförordningens tillämpningsområde kan således regleras i en författning som kompletterar dataskydds- förordningen och en sådan författning behöver inte reglera alla typer av behandlingar eller personuppgifter som dataskyddsförord- ningen reglerar. Det innebär att den nationella registerlagstiftningen för den verksamhet som regleras kan ha ett vidare eller snävare tillämpningsområde än dataskyddsförordningen och t.ex. omfatta sådan manuell behandling som inte omfattas av dataskyddsförord- ningen samt uppgifter om avlidna personer. Att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter avseende avlidna personer framgår dessutom av skäl 27 till data- skyddsförordningen. De registerförfattningar som i dag gäller för uppgifter om avlidna personer eller juridiska personer kan således även fortsättningsvis tillämpas på sådana uppgifter. Utredningens slutsats är alltså att bestämmelser i registerförfattningar som reglerar vilka typer av behandlingar och uppgifter författningen ska tillämpas på inte behöver ändras med anledning av dataskyddsförordningen. Även bestämmelser som styr vilken verksamhet författningen ska tillämpas på kan som regel behållas.

Om författningen omfattar behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, kan dock en förändring av tillämp- ningsområdet krävas. Dataskyddsförordningen ska nämligen enligt artikel 2.2 d inte tillämpas på sådan behandling av personuppgifter. Sådan behandling omfattas i stället av det nya dataskyddsdirektivet. Det innebär att det finns myndigheter som kommer att behöva

209

Allmänt om befintliga bestämmelser

SOU 2017:66

tillämpa regleringen i dataskyddsförordningen, jämte den kom- pletterande nationella lagstiftningen, för behandling av person- uppgifter i en del av verksamheten och den nationella reglering som genomför det nya dataskyddsdirektivet för behandling av person- uppgifter i en annan del av verksamheten. Det gäller framför allt myndigheterna inom rättskedjan men även andra myndigheter kan ha uppdrag som i någon del innebär brottsbekämpning, lagföring eller verkställighet av straffrättsliga påföljder. Inom Socialdeparte- mentets verksamhetsområde aktualiseras denna gränsdragning i samband med rättspsykiatrisk vård och viss vård inom socialtjänsten som innebär att straffrättsliga påföljder verkställs. Hur denna gränsdragningsfråga bör hanteras redogör utredningen för i de av- snitt där de berörda författningarna analyseras, se avsnitt 10.1.1, 10.9.1 och 10.10.1.

9.6 Registerförfattningarnas förhållande till annan dataskyddsreglering

Utredningens förslag: Registerförfattningarna ska innehålla en upplysning om att författningarna kompletterar dataskyddsför- ordningen.

Dataskyddslagen bör gälla, om inte annat följer av register- författningen eller föreskrifter som har meddelats med stöd av den. Det bör det upplysas om.

Om registerförfattningen vid viss behandling kompletteras av brottsdatalagen, ska det i registerförfattningen upplysas om det.

I registerförfattningarna finns det ofta en bestämmelse som anger hur författningen förhåller sig till personuppgiftslagen. I samband med att dataskyddsförordningen och den föreslagna dataskydds- lagen börjar tillämpas kommer personuppgiftslagen att upphävas.

Dataskyddsförordningen är direkt tillämplig i varje medlemsstat och har företräde framför nationell lagstiftning. Registerförfatt- ningarna kommer endast att innehålla bestämmelser som kom- pletterar eller tar över bestämmelserna i dataskyddsförordningen, när det är tillåtet. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör en bestämmelse med en upplysning om att dataskyddsförordningen gäller tas in i registerförfattningarna.

210

SOU 2017:66

Allmänt om befintliga bestämmelser

Hänvisningen till dataskyddsförordningen ska vara dynamisk och gälla oavsett lydelse. Lagrådet har uttalat att en konsekvensanalys bör göras vid valet av hänvisningsteknik och redovisas för var och en av de hänvisningar som görs.1 Eftersom dataskyddsförordningen är direkt tillämplig och syftet med hänvisningen i det här fallet endast är att upplysa om att dataskyddsförordningen gäller, fram- står det som lämpligast att tillämpa en dynamisk hänvisning.

Den föreslagna dataskyddslagen är tänkt att, på samma sätt som personuppgiftslagen, vara subsidiär i förhållande till annan lagstift- ning om behandling av personuppgifter2. Registerförfattningarna är normalt inte subsidiära i förhållande till annan lagstiftning. På Socialdepartementets verksamhetsområde finns det ingen register- författning som gäller i stället för personuppgiftslagen, utan författ- ningarna gäller så att säga utöver den lagen och innehåller bara de särbestämmelser som ansetts nödvändiga på det aktuella området. Den regleringstekniken – att registerförfattningen gäller utöver den generella nationella regleringen av behandling av personuppgifter – kan och bör behållas. Eftersom dataskyddslagen som nämnts är tänkt att vara subsidiär, liksom personuppgiftslagen är i dag, behövs ingen materiell bestämmelse för att uppnå detta. Registerförfatt- ningarna innehåller dock, som också nämnts, ändå ofta en bestäm- melse om förhållandet till personuppgiftslagen, normalt en upplys- ning om att personuppgiftslagen gäller om inte annat följer av registerförfattningen eller föreskrifter som har meddelats med stöd av författningen. I linje med de bedömningar som gjorts när sådana bestämmelser införts, anser utredningen att det är nyttigt att ut- tryckligen upplysa om inte bara att registerförfattningen kompletterar dataskyddsförordningen utan också att det kan finnas tillämpliga bestämmelser om behandling av personuppgifter i dataskyddslagen. Registerförfattningarna bör därför innehålla en sådan upplysning.

När dataskyddslagen är tillämplig, är också bestämmelser som regeringen meddelat i anslutning till dataskyddslagen tillämpliga. Det innebär att eventuella förordningsbestämmelser om undantag från dataskyddslagens tillämplighet gäller.

1 Prop. 2015/16:156 s. 34.

2 SOU 2017:39 s. 83–85.

211

Allmänt om befintliga bestämmelser

SOU 2017:66

En bestämmelse om förhållandet till dataskyddsförordningen och dataskyddslagen kan lämpligen utformas enligt följande mönster.

Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).

Lagen (2018:xx) med kompletterande bestämmelser till EU:s data- skyddsförordning gäller vid behandling av personuppgifter enligt denna lag, om inte annat följer av denna lag eller föreskrifter som har med- delats med stöd av lagen.

Bestämmelser om förhållandet till personuppgiftslagen finns även i vissa författningar som i huvudsak innehåller reglering av en viss verksamhet men som i anslutning till den regleringen också anger vad som gäller i fråga om viss behandling av personuppgifter. Även sådana bestämmelser bör ändras i enlighet med vad som anges ovan. En upplysningsbestämmelse om förhållandet till dataskydds- förordningen och dataskyddslagen bör utformas på det sätt som anges ovan. Eftersom den typen av författningar även reglerar annat än behandling av personuppgifter, bör det dock läggas till att lagen i dessa fall kompletterar dataskyddsförordningen endast vid behandling av personuppgifter.

Vid behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, gäller som nämnts (avsnitt 9.5) inte dataskyddsförord- ningen utan det nya dataskyddsdirektivet. Utredningen om 2016 års dataskyddsdirektiv har föreslagit en brottsdatalag för att genom- föra det nya dataskyddsdirektivet.3 Brottsdatalagen ska dock enligt den föreslagna 1 kap. 5 § inte gälla om det finns avvikande bestäm- melser i annan lag eller förordning. En registerförfattning som gäller för behandling som omfattas av det nya dataskyddsdirektivet kommer alltså att kompletteras av brottsdatalagen i stället för data- skyddsförordningen och dataskyddslagen. Detta bör det också upp- lysas om i registerförfattningen. Det är inom Socialdepartementets

3 SOU 2017:29.

212

SOU 2017:66

Allmänt om befintliga bestämmelser

verksamhetsområde aktuellt bara i fråga om patientdatalagen, se avsnitt 10.1.3.

Det förekommer vidare behandling av personuppgifter som inte omfattas av vare sig dataskyddsförordningen eller det nya data- skyddsdirektivet. Ett exempel är behandling av personuppgifter inom hälso- och sjukvård i vissa delar av Försvarsmaktens verk- samhet. Dataskyddsutredningen har emellertid föreslagit att sådan behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och som därmed enligt arti- kel 2.2 a i dataskyddsförordningen inte heller omfattas av data- skyddsförordningen ändå ska regleras av dataskyddsförordningen och dataskyddslagen, om det inte finns avvikande bestämmelser i annan författning.4 Om en registerförfattning reglerar behandling av personuppgifter som inte omfattas av vare sig dataskyddsför- ordningen eller det nya dataskyddsdirektivet, kommer registerför- fattningen således att kompletteras av dataskyddsförordningen, på grund av bestämmelsen i dataskyddslagen, och dataskyddslagen.

9.7 Personuppgiftsansvar

Utredningens bedömning: Bestämmelser i registerförfattningar om vem som är personuppgiftsansvarig kan och bör behållas. Även bestämmelser om personuppgiftsansvar som i praktiken utesluter vissa från möjligheten att behandla personuppgifter kan och bör behållas, om behandlingen enligt artikel 6.1 e data- skyddsförordningen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvari- ges myndighetsutövning.

Av definitionen i artikel 4 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsam- mans med andra bestämmer ändamålen och medlen för behand- lingen av personuppgifter. Om ändamålen och medlen för behand- lingen bestäms av unionsrätten eller medlemsstaternas nationella

4 SOU 2017:39 s. 89.

213

Allmänt om befintliga bestämmelser

SOU 2017:66

rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlems- staternas nationella rätt. Motsvarande gäller enligt artikel 2 d i data- skyddsdirektivet.

Det är således lika tillåtet enligt dataskyddsförordningen att i nationell lagstiftning peka ut vem som är personuppgiftsansvarig som enligt dataskyddsdirektivet. Om den personuppgiftsansvarige finns angiven i befintlig lagstiftning, får det förutsättas att även ändamål och medel för behandlingen av personuppgifter har be- stämts i nationell rätt.

Enligt skäl 45 till dataskyddsförordningen bör medlemsstaternas nationella rätt reglera frågan huruvida en personuppgiftsansvarig som utför en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig lagstiftning eller, om detta motiveras av allmänintresset, vilket in- begriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, av civilrätts- lig lagstiftning, exempelvis en yrkesorganisation. Med stöd av arti- kel 6.2 och 6.3 i dataskyddsförordningen och det skälet bör enligt utredningens bedömning även bestämmelser, som i praktiken för- bjuder andra än den eller de som utpekats som personuppgifts- ansvarig att utföra viss behandling av personuppgifter, behållas. Det gäller när behandlingen är nödvändig för att utföra en arbets- uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning (artikel 6.1 e), men inte när be- handlingen är nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c).

Utredningens slutsats är att bestämmelser i registerförfattningar om vem som är personuppgiftsansvarig kan och bör behållas. Inne- bär bestämmelsen i praktiken att vissa utesluts från möjligheten att behandla personuppgifter, måste det dock undersökas om behand- lingen grundas på artikel 6.1 e i dataskyddsförordningen, i vilket fall bestämmelsen är tillåten och bör behållas.

214

SOU 2017:66

Allmänt om befintliga bestämmelser

9.8 Begreppet allmänt intresse

9.8.1 Bestämmelser om allmänt intresse

i dataskyddsförordningen och dataskyddsdirektivet

Begreppet allmänt intresse återkommer på flera ställen i dataskydds- förordningen. Personuppgifter får enligt artikel 6.1 e i dataskydds- förordningen behandlas om behandlingen är nödvändig för att ut- föra en arbetsuppgift av allmänt intresse. Ett viktigt allmänt intresse motiverar enligt artikel 9.2 g i dataskyddsförordningen också undantag från förbudet att behandla känsliga personuppgifter. Vidare kan det enligt artikel 23.1 e i dataskyddsförordningen vara tillåtet att införa begränsningar av vissa skyldigheter och rättigheter enligt dataskyddsförordningen, om det sker för viktiga mål av generellt allmänt intresse. Viktiga skäl som rör allmänintresset kan enligt artikel 49.1 d i dataskyddsförordningen även motivera en överföring av personuppgifter till tredjeland.

I dataskyddsdirektivet används begreppet allmänt intresse på i huvudsak samma sätt som enligt dataskyddsförordningen (artikel 7 e, artikel 8.4 och artikel 26.1 d).

Vad som är ett allmänt intresse är dock inte definierat i vare sig dataskyddsdirektivet eller dataskyddsförordningen. Innebörden av begreppet allmänt intresse har ännu inte heller närmare utvecklats av EU-domstolen i mål om behandling av personuppgifter, men EU-domstolen har ansett att bestämmelserna i dataskyddsdirektivet om rättslig förpliktelse, allmänt intresse och myndighetsutövning är tillräckligt precisa för att ha s.k. direkt effekt.5

I dataskyddsdirektivets skäl 34 anges folkhälsa och socialskydd

– inklusive sjukförsäkringssystemet, vetenskaplig forskning och offentlig statistik – som viktiga allmänna intressen som motiverar undantag från förbudet att behandla känsliga personuppgifter:

När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av uppgifter på sådana områden som exempelvis folkhälsa och socialskydd, särskilt för att säkerställa kvalitet och lönsamhet när det gäller förfaranden som används i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Dock

5 EU-domstolens dom av den 20 maj 2003, Österreichischer Rundfunk m.fl. C-465/00, C-138/01 och C-139/01, EU:C:2003:294.

215

Allmänt om befintliga bestämmelser

SOU 2017:66

åligger det medlemsstaterna att sörja för att det finns lämpliga och konkreta garantier för att skydda enskilda personers grundläggande rättigheter och privatliv.

Motsvarande skrivning finns inte i dataskyddsförordningen. Där- emot framgår av skäl 45 till dataskyddsförordningen att hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvalt- ning av hälso- och sjukvårdstjänster inbegrips i allmänintresset.

Datalagskommittén har som exempel på arbetsuppgifter som kan vara av allmänt intresse nämnt arkivering, forskning, fram- ställning av statistik, etablerade idrottsorganisationers registrering av vilka personer som har vunnit svenska mästerskap eller innehar svenskt rekord i erkända sportgrenar och registrering som sker av personer som har fått allmänt erkända utmärkelser, t.ex. Nobel- pris.6 Datainspektionen har bl.a. ansett att förbättrande av kvali- teten inom hälso- och sjukvården innebär en verksamhet av allmänt intresse.7

I andra lagförarbeten har det ansetts vara ett viktigt allmänt in- tresse t.ex. att Rättsmedicinalverket kan upprätthålla och förbättra kvaliteten och enhetligheten i sitt arbete med uppföljning, utvärde- ring och kvalitetssäkring8, att socialtjänsten ska kunna utföra sina arbetsuppgifter på ett tillfredsställande sätt9 och att Inspektionen för socialförsäkringen får behandla känsliga personuppgifter vid sin tillsyn och granskning10.

Dataskyddsutredningen har bedömt att det med hänsyn till svensk förvaltningstradition är rimligt att anta att alla arbetsupp- gifter som utförs av statliga myndigheter i syfte att uppfylla ett ut- tryckligt uppdrag av riksdag eller regering är av allmänt intresse. Även obligatoriska arbetsuppgifter som utförs av kommuner och landsting, till följd av deras åligganden enligt lag eller förordning, bedöms av Dataskyddsutredningen vara av allmänt intresse i data- skyddsförordningens mening.11

Ett viktigt allmänt intresse motiverar som nämnts undantag från förbudet att behandla känsliga personuppgifter. I artikel 9.2 g i

6 SOU 1997:39 s. 361.

7 Nationella kvalitetsregister, Datainspektionens rapport 2002:1 s. 9.

8 Prop. 1998/99:72 s. 38.

9 Prop. 2000/01:80 s. 144.

10 SOU 2014:67 s. 112.

11 SOU 2017:39 s. 124.

216

SOU 2017:66

Allmänt om befintliga bestämmelser

dataskyddsförordningen anges att känsliga personuppgifter får behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till data- skydd och innehålla bestämmelser om lämpliga och särskilda åtgär- der för att säkerställa den registrerades grundläggande rättigheter och intressen.

Motsvarande undantag från förbudet att behandla känsliga person- uppgifter finns i artikel 8.4 i dataskyddsdirektivet, varav framgår att undantag får göras i nationell rätt av hänsyn till ett viktigt allmänt intresse, förutsatt att sådana undantag förses med lämpliga skydds- åtgärder. Med stöd av undantaget har det i 19 § personuppgifts- lagen införts en möjlighet att behandla känsliga personuppgifter för forsknings- och statistikändamål. I 20 § personuppgiftslagen har regeringen eller den myndighet som regeringen bestämmer fått be- myndigande att föreskriva ytterligare undantag om det behövs med hänsyn till ett viktigt allmänt intresse. Bemyndigandet har bl.a. utnyttjats genom att det har införts en bestämmelse i 8 § person- uppgiftsförordningen om att känsliga personuppgifter får behand- las av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I övrigt har möjligheten till undantag utnyttjats i olika registerförfattningar, som medger behandling av känsliga personuppgifter.

Informationshanteringsutredningen ansåg i sitt betänkande med förslag till myndighetsdatalag att bestämmelsen i 8 § personupp- giftsförordningen kunde utsträckas till att omfatta även annan myndighetsverksamhet än ärendehandläggning, så länge det rör sig om behandling av känsliga personuppgifter i löpande text. Sådan behandling ansågs alltså vara ett viktigt allmänt intresse. Det ansågs däremot inte möjligt att motivera att det med hänsyn till ett viktigt allmänt intresse finns ett behov hos alla myndigheter att i verksam- het som inte utgör handläggning av ärenden bygga upp datorise- rade uppgiftssamlingar, exempelvis i form av regelrätta register eller databaser, där känsliga personuppgifter får registreras i strukture- rad form.12

12 SOU 2015:39 s. 307.

217

Allmänt om befintliga bestämmelser

SOU 2017:66

Dataskyddsutredningen har mot bakgrund av den remisskritik som uttalats mot Informationshanteringsutredningens förslag haft som utgångspunkt att någon större utvidgning av myndigheternas möjligheter att behandla känsliga personuppgifter inte bör införas genom den föreslagna dataskyddslagen.13 Enligt 3 kap. 3 § förslaget till dataskyddslag får känsliga personuppgifter med stöd av arti- kel 9.2 g i dataskyddsförordningen behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nöd- vändiga för handläggningen av ett ärende, om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, eller i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet.14

Enligt artikel 23.1 e i dataskyddsförordningen kan det vara tillå- tet att i EU-rätten eller nationell rätt införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för vissa skyldigheter och rättigheter enligt dataskyddsförordningen, om det sker för ”viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, där- ibland penning-, budget- eller skattefrågor, folkhälsa och social trygghet”. Frågan är om den omständigheten att det i artikel 23.1 e talas om ett generellt allmänt intresse innebär något annat än be- greppet allmänt intresse som anges i artikel 6.1 e i dataskyddsför- ordningen. Sannolikt är avsikten att tillägget generellt innebär att det krävs ett något mindre specifikt allmänt intresse än enligt arti- kel 6.1 e i dataskyddsförordningen. I avsaknad av ytterligare tolk- ningsdata går det dock inte att dra några säkra slutsatser om vad som avses.

I fråga om överföring av personuppgifter till tredjeland, kan vik- tiga skäl som rör allmänintresset enligt artikel 49.1 d i dataskydds- förordningen motivera en överföring även om det inte finns beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder. I skäl 112 till dataskyddsförordningen tas internationella utbyten av uppgifter mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finans- tillsynsmyndigheter, socialförsäkringsmyndigheter eller hälsovårds-

13 SOU 2017:39 s. 175.

14 SOU 2017:39.

218

SOU 2017:66

Allmänt om befintliga bestämmelser

myndigheter upp som uppgiftsöverföringar som krävs och är nöd- vändiga med hänsyn till viktiga allmänintressen.

9.8.2 Att bedriva verksamhet som ska finnas

i enlighet med internationella rättighetsstadgor är ett viktigt allmänt intresse

Utredningens bedömning: Att bedriva verksamhet som ska finnas i enlighet med internationella rättighetsstadgor – bl.a. hälso- och sjukvård, socialförsäkring och pensioner samt sociala förmåner som tillhandahålls inom socialtjänsten – är sådana allmänna in- tressen som avses i artikel 6.1 e, 9.2 g, 23.1 e och 49.1 d i data- skyddsförordningen.

I Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02), rättighetsstadgan, anges rättigheter, friheter och principer som medlemsstaterna ska respektera, iaktta och främja vid tillämpning av EU-rätten. Enligt artikel 33 ska skyddet av familjen på det rättsliga, ekonomiska och sociala planet säkerställas. Enligt artikel 34.1 erkänner och respekterar unionen rätten till till- gång till social trygghet och sociala förmåner som garanterar skydd i sådana fall som moderskap, sjukdom, olyckor i arbetet, omsorgs- behov eller ålderdom samt vid arbetslöshet i enlighet med närmare bestämmelser i unionsrätten samt nationell lagstiftning och praxis. Vidare har var och en enligt artikel 35 rätt till tillgång till före- byggande hälsovård och till medicinsk vård på de villkor som fast- ställs i nationell lagstiftning och praxis. En hög nivå av skydd för människors hälsa ska säkerställas vid utformning och genomför- ande av all unionspolitik och alla unionsåtgärder.

Även i Europarådets sociala stadga anges mål som de stater som ratificerat stadgan, däribland samtliga medlemsstater i EU, har åtagit sig att med alla lämpliga medel försöka förverkliga. Det gäller bl.a. att var och en har rätt till respekt för sitt familjeliv (artikel 7) och att rätten att bilda familj ska garanteras i nationell rätt (artikel 9). Var och en har också rätt att komma i åtnjutande av alla åtgärder som kan bidra till att ge honom eller henne bästa möjliga hälso- tillstånd, vilket inkluderar att så långt som möjligt undanröja orsak- erna till ohälsa, att lämna råd och upplysningar för befrämjande av

219

Allmänt om befintliga bestämmelser

SOU 2017:66

god hälsa och uppmuntran till personligt ansvarstagande i hälso- frågor samt att så långt som möjligt förebygga uppkomsten av epidemier, folksjukdomar och andra sjukdomar samt olycksfall (artikel 11). Ett annat mål är att alla arbetstagare och deras anhöriga ska ha rätt till social trygghet, vilket ska uppnås genom ett socialt trygghetssystem (artikel 12). Den som saknar tillräckliga resurser och som inte heller kan få medel för sin försörjning från ett social- försäkringssystem har rätt till nödvändig social hjälp och vid sjukdom den vård deras tillstånd kräver (artikel 13). Var och en har rätt att få tillgång till sociala tjänster och för detta syfte ska sär- skilda organ inrättas (artikel 14). Varje äldre person har rätt till socialt skydd (artikel 23) och var och en har rätt till skydd mot fattigdom och social utslagning (artikel 30).

De rättigheter, friheter, principer och mål som anges i rättig- hetsstadgan och i Europarådets sociala stadga har tagits med på grund av deras grundläggande och allmängiltiga karaktär. Samtliga medlemsstater i EU har åtagit sig att respektera, iaktta och främja dessa rättigheter, friheter, principer och mål, som mot bakgrund av detta måste anses vara av viktigt allmänt intresse respektive av generellt allmänt intresse. Såväl hälso- och sjukvård som social- försäkringen och det sociala trygghetssystemet med bl.a. försörj- ningsstöd och stöd till funktionshindrade bör därmed anses utgöra allmänna intressen.

Det krävs en omfattande administration för att vidta åtgärder i syfte att tillhandahålla de rättigheter som föreskrivs i de internatio- nella rättighetsstadgorna. Att de ansvariga institutionerna kan administrera sin verksamhet på ett ändamålsenligt sätt är en förut- sättning bl.a. för att det ska gå att tillhandahålla en säker och trygg hälso- och sjukvård och för att de sociala trygghetssystemen ska kunna fungera. Även den administration som krävs för att till- handahålla förmåner, vård och andra rättigheter, får därmed anses ligga inom ramen för vad som är ett allmänt intresse och viktigt allmänt intresse.

Med stöd av regleringen i internationella rättighetsstadgor, som omfattar alla medlemsstater i EU, anser utredningen således att bedrivandet av verksamhet med hälso- och sjukvård, socialförsäk- ring och pensioner samt sociala förmåner som tillhandahålls inom socialtjänsten, inklusive den administration dessa verksamheter kräver, är sådana allmänna intressen som avses i artikel 6.1 e, som

220

SOU 2017:66

Allmänt om befintliga bestämmelser

gör behandlingen tillåten, artikel 9.2 g, som gör behandling av även känsliga personuppgifter tillåten, artikel 23.1 g, som kan motivera en begränsning av de registrerades rättigheter, och artikel 49.1 d, som kan motivera en överföring av personuppgifter till tredjeland.

9.8.3 Redan gjorda bedömningar av allmänt intresse har alltjämt giltighet

Utredningens bedömning: Behandling av personuppgifter som har tillåtits i en registerförfattning på den grunden att den an- setts nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskyddsdirektivet, får också anses nöd- vändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Bestämmelser om detta kan och bör behållas.

Registerförfattningar som tillåter behandling av känsliga per- sonuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet reg- lerar behandling som är nödvändig för att utföra en arbets- uppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen och nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel 9.2 g i dataskyddsförordningen. Bestäm- melser om detta kan och bör behållas.

Det finns inget som tyder på att begreppet allmänt intresse ska uppfattas mer restriktivt enligt dataskyddsförordningen än enligt dataskyddsdirektivet. Dataskyddsutredningen har tvärtom ansett att mycket talar för att begreppet allmänt intresse måste anses ha fått en vidare unionsrättslig betydelse genom dataskyddsförord- ningen än det hittills har haft.15

Utredningens förslag och analys bör som redan nämnts (av- snitt 6.1) bygga på de bedömningar och avvägningar som redan gjorts i samband med att registerförfattningarna införts. Det gäller även om bedömningarna inte alltid framgår uttryckligen av för- arbetena. Det som enligt dataskyddsdirektivet har ansetts utgöra ett allmänt intresse respektive viktigt allmänt intresse, får därför också anses utgöra ett allmänt intresse respektive viktigt allmänt

15 SOU 2017:39 s. 123.

221

Allmänt om befintliga bestämmelser

SOU 2017:66

intresse enligt dataskyddsförordningen. Detta innebär att när be- handling av personuppgifter har tillåtits i en registerförfattning med stöd av artikel 7 e i dataskyddsdirektivet på den grunden att den ansetts nödvändig för att utföra en arbetsuppgift av allmänt intresse, får behandlingen också anses nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen. Om behandling av känsliga personuppgifter har tillå- tits i en registerförfattning med stöd av artikel 8.4 i dataskydds- direktivet, har det redan bedömts att behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och behandlingen är därmed också nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskyddsdirektivet. Det innebär att behandling av känsliga personuppgifter som har stöd i artikel 8.4 i dataskydds- direktivet också, under förutsättning av proportionalitet och be- stämmelser om skyddsåtgärder (se avsnitt 9.11.3), har stöd i både artikel 9.2 g och 6.1 e i dataskyddsförordningen.

Även om det inte anges något uttryckligt om det rättsliga stödet i förarbetena till en registerförfattning, är det ofta tydligt att den aktuella behandlingen inte kan stödja sig på annat än artikel 7 e respektive 8.4 i dataskyddsdirektivet.

9.9 Principer för behandling av personuppgifter

Utredningens bedömning: Artikel 5 i dataskyddsförordningen, som slår fast grundläggande principer för behandling av person- uppgifter, är tvingande och gäller t.ex. även när det av en register- författning framgår att personuppgifter får behandlas för ett visst ändamål. Detta innebär ingen skillnad i förhållande till vad som gäller enligt personuppgiftslagen.

I artikel 5 i dataskyddsförordningen finns ett antal principer som gäller för all behandling av personuppgifter. Det rör sig om principen om laglighet, korrekthet och öppenhet (a), principen om ändamåls- begränsning (b), principen om uppgiftsminimering (c), principen om korrekthet (d), principen om lagringsminimering (e) och princi- pen om integritet och konfidentialitet (f). En närmare redogörelse av principernas innebörd finns i avsnitt 4.3.3. Principerna motsvarar i stort sett de principer som framgår av artikel 6 i dataskyddsdirektivet

222

SOU 2017:66

Allmänt om befintliga bestämmelser

och de grundläggande krav på behandling av personuppgifter som gäller enligt 9 § personuppgiftslagen.

Dataskyddsförordningen är direkt tillämplig och tvingande i de delar den inte tillåter nationell reglering. Enligt artikel 23 i data- skyddsförordningen är det under vissa förutsättningar möjligt att införa en nationell lagstiftningsåtgärd som begränsar tillämpnings- området för artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. Om någon begränsning inte har införts i den nationella lagstiftningen, ska dock artikel 5 tillämpas även när en registerförfattning är tillämplig.

Att artikel 5 i dataskyddsförordningen gäller vid sidan av regler- ingen i en registerförfattning innebär ingen förändring i förhållande till vad som gäller i dag. Även om personuppgiftslagen är subsidiär i förhållande till registerförfattningarna, har utgångspunkten för de allra flesta registerförfattningar varit att 9 § personuppgiftslagen huvudsakligen ska tillämpas.16 Att det av en registerförfattning framgår att personuppgifter får behandlas för ett visst ändamål, innebär således inte att t.ex. irrelevanta eller onödigt många person- uppgifter får behandlas för ändamålet. Oavsett om ändamålet för behandling av personuppgifter har fastställts i författning eller inte är det alltid den personuppgiftsansvarige som enligt artikel 5.2 i dataskyddsförordningen ansvarar för och ska kunna visa att princi- perna i artikel 5 efterlevs.

I fråga om finalitetsprincipen (9 § första stycket d och andra stycket personuppgiftslagen) finns i registerförfattningar ofta en uttrycklig hänvisning till personuppgiftslagen. Denna hänvisning bör dock, i enlighet med vad som framgår av avsnitt 9.10.3, ses som ett förtydligande och inte som en materiell regel.

16 Se t.ex. prop. 2002/03:135 s. 131, prop. 2007/08:126 s. 63 och prop. 2008/09:145 s. 343.

223

Allmänt om befintliga bestämmelser

SOU 2017:66

9.10 Rättslig grund för behandling av personuppgifter

9.10.1 Laglig behandling av personuppgifter vid rättslig förpliktelse, allmänt intresse och myndighetsutövning

Utredningens bedömning: Ändamålsbestämmelser i register- författningar som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning har stöd i dataskyddsförordningen. Någon ytterligare analys av vilket stöd redan befintliga ändamål har krävs inte för att konstatera att behandlingen är laglig och har nödvändigt författningsstöd. Ändamålsbestämmelser i registerförfattningar som tillåter behandling av personuppgifter kan och bör behållas.

Ändamål och grund för behandling av personuppgifter

Behandling av personuppgifter är laglig enligt dataskyddsförord- ningen endast om och i den mån åtminstone ett av villkoren i arti- kel 6.1. i dataskyddsförordningen är uppfyllt. Det första alternativa villkoret är att den registrerade har lämnat sitt samtycke till be- handlingen (a). Behandling av personuppgifter kan också ske om den är nödvändig för att fullgöra ett avtal (b) eller en rättslig för- pliktelse (c), för att skydda intressen som är av grundläggande be- tydelse för en fysisk person (d) eller för att utföra en (arbets)uppgift av allmänt intresse eller som ett led i myndighetsutövning (e). Personuppgifter kan slutligen behandlas med stöd av en intresse- avvägning (f).

Motsvarande krav på att behandlingen ska vara nödvändig finns i artikel 7 i dataskyddsdirektivet. EU-domstolen har uttalat att be- greppet nödvändigt i dataskyddsdirektivet har en unionsrättslig innebörd. Kravet på nödvändighet enligt dataskyddsdirektivet har inte ansetts innebära att det ska vara omöjligt att utföra en uppgift om inte personuppgifter behandlas. Trots att en uppgift skulle kunna utföras utan att personuppgifter behandlas på visst sätt kan behandlingen anses nödvändig om den innebär effektivitetsvinster.17

17 Dom av den 16 december 2008, Huber C-524/06, EU:C:2008:724, och SOU 2017:39 s. 105–106.

224

SOU 2017:66

Allmänt om befintliga bestämmelser

Villkoren i artikel 6.1 i dataskyddsförordningen är i huvudsak desamma som anges i artikel 7 i dataskyddsdirektivet och 10 § per- sonuppgiftslagen. En skillnad är dock att myndigheter enligt data- skyddsförordningen inte får behandla personuppgifter med stöd av en intresseavvägning när de fullgör sina uppgifter.

I registerförfattningar anges ofta ändamål för vilka personuppgif- ter får behandlas. Behandling av personuppgifter för dessa ändamål måste vara förenlig med den grundläggande dataskyddslagstiftningen och det får därför förutsättas att man under författningsarbetet har funnit stöd för behandling av personuppgifter enligt ändamålen i artikel 7 i dataskyddsdirektivet. Bortsett från eventuella ändamål som stödjer sig på intresseavvägningar i myndigheters verksamhet, har ändamålen nu motsvarande stöd i dataskyddsförordningen. De ändamål som anges i registerförfattningarna har ofta stöd i någon av grunderna rättslig förpliktelse, allmänt intresse eller myndig- hetsutövning. Grunderna är ibland överlappande på så sätt att ett ändamål kan ha stöd i mer än en grund. Exempelvis kan en rättslig förpliktelse att föra ett visst register även anses utgöra en arbets- uppgift av allmänt intresse. Någon ytterligare analys av vilket stöd redan befintliga ändamål, som grundar sig på en rättslig förplik- telse, allmänt intresse eller myndighetsutövning (artikel 7 c och e i dataskyddsdirektivet), har i dataskyddsförordningen, krävs därför inte för att konstatera att behandlingen är laglig enligt dataskydds- förordningen. Det gör att sådana ändamålsbestämmelser kan och bör behållas.

Eftersom befintliga ändamålsbestämmelser i registerförfattningar som tillåter behandling av personuppgifter således inte behöver ändras, blir det inte aktuellt att göra en analys i förhållande till be- stämmelserna i 2 kap. 6 § andra stycket och 20 och 21 §§ regerings- formen om möjligheterna att med stöd av lag göra betydande intrång i den personliga integriteten.

Grunden för behandlingen ska fastställas rättsligt

Den grund för behandling av personuppgifter som avses i arti- kel 6.1 c (rättslig förpliktelse) och e (allmänt intresse och myndig- hetsutövning) i dataskyddsförordningen ska enligt artikel 6.3 fast- ställas i enlighet med EU-rätten eller den nationella rätt som den

225

Allmänt om befintliga bestämmelser

SOU 2017:66

personuppgiftsansvarige omfattas av. Dataskyddsutredningen har konstaterat att detta innebär ett krav på att rättsliga förpliktelser och arbetsuppgifter av allmänt intresse och som ett led i myn- dighetsutövning ska vara rättsligt förankrade i unionsrätten eller i medlemsstatens nationella rätt för att de ska kunna åberopas som rättsliga grunder för behandling av personuppgifter. Någon särskild reglering med anledning av att dataskyddsförordningen ska börja tillämpas bedöms dock inte krävas. Inte heller behöver den rättsliga grunden vara fastställd i eller i enlighet med en av riksdagen beslu- tad lag. Grunden måste dock vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt.18 Av skäl 41 till dataskyddsförord- ningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europadomstolen.

Myndighetsutövning mot enskild måste alltid ha stöd i författning (8 kap. 2 § 2 och 3 § regeringsformen). Grunden för behandling av personuppgifter som är nödvändig för att utföra en arbetsuppgift som ett led i den personuppgiftsansvariges myndighetsutövning mot enskild är således redan fastställd i nationell rätt. Rättsliga förpliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. I vissa fall kan den rättsliga förpliktelsen framgå av registerförfattningen, t.ex. bestäm- melser om att ett visst register ska föras, att personuppgifter ska gallras, att uppgifter ska lämnas ut eller att patientjournaler ska föras. När behandling som tillåts enligt registerförfattning grundas på en rättslig förpliktelse eller myndighetsutövning får det förut- sättas att författningsstödet för förpliktelsen respektive myndig- hetsutövningen identifierats när behandlingen tilläts. Det gör att utredningen kan utgå från att nödvändiga författningsbestämmelser finns när behandling har tillåtits i en registerförfattning med stöd av artikel 7 c eller, såvitt gäller myndighetsutövning, artikel 7 e i data- skyddsdirektivet.

Ändamålsbestämmelser i registerförfattningar inom Socialdeparte- mentets verksamhetsområde grundar sig ofta på arbetsuppgifter av allmänt intresse (artikel 7 e i dataskyddsdirektivet). Arbetsuppgif- terna härrör mestadels från uppdrag och åligganden som framgår av olika verksamhetsorienterade författningar, t.ex. hälso- och sjuk-

18 SOU 2017:39 s. 108–113.

226

SOU 2017:66

Allmänt om befintliga bestämmelser

vårdslagen (2017:30), läkemedelslagen (2015:315), socialtjänstlagen (2001:453), socialförsäkringsbalken och myndigheters instruktio- ner. Arbetsuppgifterna kan också anges i regeringsbeslut såsom regleringsbrev och andra regeringsuppdrag. Den rättsliga grunden för behandling av personuppgifter för arbetsuppgifter av allmänt intresse är således i de allra flesta fall fastställd genom någon annan rättsakt än registerförfattningen. Skulle så inte vara fallet, är den rättsliga grunden i vart fall fastställd genom registerförfattningens ändamålsbestämmelse. Något ytterligare rättsligt fastställande be- hövs inte enligt artikel 6.3 i dataskyddsförordningen.

Syftet med behandlingen vid rättslig förpliktelse ska vara fastställt

I fråga om rättsliga förpliktelser enligt artikel 6.1 c i dataskydds- förordningen krävs enligt artikel 6.3 i dataskyddsförordningen att syftet med behandlingen är fastställt i den rättsliga grunden. Det framgår inte av dataskyddsförordningen att syftet ska vara fastställt i en registerförfattning som reglerar behandling av personuppgifter utan syftet kan enligt utredningens bedömning även finnas i exem- pelvis den författning som reglerar själva verksamheten. Den rätts- liga förpliktelsen och syftet med behandlingen behöver inte heller framgå av samma författning. Oavsett hur detta har reglerats, får enligt utredningens bedömning det som krävs enligt artikel 6.3 i dataskyddsförordningen anses uppfyllt.

Syftet med behandlingen ska vara nödvändigt

för att utföra en arbetsuppgift av allmänt intresse eller

som ett led i den personuppgiftsansvariges myndighetsutövning

För behandling av personuppgifter för att utföra arbetsuppgifter av allmänt intresse eller som ett led i myndighetsutövning enligt arti- kel 6.1 e i dataskyddsförordningen finns det inget krav på att syftet med behandlingen av personuppgifter ska framgå av den rättsliga grunden; i stället ska syftet enligt artikel 6.3 vara nödvändigt för att utföra arbetsuppgiften av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

227

Allmänt om befintliga bestämmelser

SOU 2017:66

Som konstaterats tidigare i detta avsnitt bör tidigare gjorda be- dömningar av att en behandling av personuppgifter har lagligt stöd i artikel 7 i dataskyddsdirektivet godtas. Det får förutsättas att be- dömningarna även innefattat ett ställningstagande till att syftet med behandling av personuppgifter för ändamålet är nödvändigt för att utföra den arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning som utgör grund för behandlingen. Efter- som ett sådant ställningstagande behövs för att det ur ett integri- tetsperspektiv ska kunna bedömas vara motiverat att över huvud taget behandla personuppgifterna, är det rimligt att förutsätta att ett sådant ställningstagande redan finns. Några nya bedömningar av syftet med behandlingen krävs därför inte.

Det sagda gäller också sådana bestämmelser i registerförfatt- ningar om s.k. sekundära ändamål som tillåter utlämnande generellt till andra aktörer med stöd av bestämmelser i andra författningar om att uppgifter får lämnas ut, t.ex. bestämmelser om att uppgifter får lämnas ut utan hinder av sekretess eller att uppgifter får lämnas ut elektroniskt. Införandet av dessa bestämmelser har föregåtts av avvägningar mellan effektivitet och integritet och syftet med sådana utlämnanden får därför förutsättas vara nödvändigt för att utföra arbetsuppgifter av allmänt intresse eller som ett led i myndighets- utövning.

Proportionalitet och mål av allmänt intresse

Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter enligt artikel 6.1 c och e i dataskydds- förordningen måste enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen också uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

Det får förutsättas att de ändamål som fastställts i befintliga registerförfattningar med stöd av artikel 7 c och e i dataskydds- direktivet i samband med tidigare författningsarbeten har bedömts relevanta och proportionerliga i förhållande till det integritets- intrång de kan innebära och att det finns mål av allmänt intresse. Kraven på bestämmelserna enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen får därmed anses redan vara uppfyllda.

228

SOU 2017:66

Allmänt om befintliga bestämmelser

9.10.2 Samtycke som rättslig grund

Utredningens bedömning: Bestämmelser i registerförfattningar som tilldelar den registrerades samtycke betydelse kan och bör behållas.

Om bestämmelsen omfattar enskildas behandling av person- uppgifter som inte grundar sig på artikel 6.1 c eller e i dataskydds- förordningen, krävs dock särskilda överväganden.

Samtycke utgör enligt både dataskyddsdirektivet och dataskydds- förordningen en rättslig grund för behandling av personuppgifter. Av artikel 6.1 a i dataskyddsförordningen och artikel 7 a i data- skyddsdirektivet följer att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål. Samtycke definieras i artikel 4.11 i dataskyddsförordningen som varje slag av frivillig, specifik, infor- merad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Definitionen motsvarar i allt väsentligt den som finns i artikel 2 h i dataskyddsdirektivet.

I artikel 7 och 8 i dataskyddsförordningen finns vissa ytterligare bestämmelser om samtycke som rättslig grund för behandling av personuppgifter, som inte har någon uttrycklig motsvarighet i data- skyddsdirektivet och personuppgiftslagen. Av skäl 43 till data- skyddsförordningen framgår att samtycke inte bör utgöra giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Någon motsvarande skrivning fanns inte i skälen till dataskyddsdirektivet. Det kan alltså inte uteslutas att kraven på samtycke i vissa situationer när samtycke utgör den rättsliga grunden för behandling av person- uppgifter har skärpts något i förhållande till vad som anses gälla i dag, jämför skäl 171 till dataskyddsförordningen som innehåller skrivningar som verkar förutsätta att ett samtycke enligt dataskydds- direktivet inte alltid uppfyller villkoren i dataskyddsförordningen.

229

Allmänt om befintliga bestämmelser

SOU 2017:66

Artikel 29-gruppen har dock i ett yttrande gjort vissa uttalanden avseende dataskyddsdirektivets krav på att samtycke ska ha lämnats frivilligt. I yttrandet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personupp- gifter. Detta gäller framför allt registeransvariga inom den offent- liga sektorn, där behandlingen av personuppgifter normalt är knu- ten till fullgörandet av en rättslig förpliktelse eller utförandet av en arbetsuppgift av allmänt intresse. Att använda samtycke som rätts- lig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter som har officiella maktbefogenheter, t.ex. rättsvårdande myndig- heter som agerar inom ramen för sina uppdrag i samband med poli- siära och rättsliga aktiviteter. I samma yttrande anges att ett sam- tycke som i en vårdsituation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt. 19

Även enligt Datainspektionen kan det starkt ifrågasättas om kravet på att samtycket lämnats frivilligt är uppfyllt om myndig- heter skulle kräva samtycke till behandling av personuppgifter som en förutsättning för att tillhandahålla samhälleliga tjänster. I de fall där den enskilde inte har någon verklig valmöjlighet måste den personuppgiftsansvarige stödja behandlingen av personuppgifter på någon annan grund.20 Samtycke kan dock enligt ovan nämnda ytt- rande från Artikel 29-gruppen i undantagsfall vara en giltig grund för stater när de behandlar personuppgifter, men en noggrann kon- troll bör göras för att se om samtycket faktiskt är tillräckligt frivilligt.

Avvägningar angående huruvida det är lämpligt för en myndig- het eller någon annan aktör att grunda en behandling av person- uppgifter i ett särskilt fall på ett giltigt samtycke bör således redan ha gjorts av lagstiftaren i de fall det finns bestämmelser om samtycke i registerförfattningar. Mot bakgrund av att kravet på frivillighet gäller även enligt dataskyddsdirektivet och de ovan redovisade ut- talandena från Artikel 29-gruppen är det utredningens bedömning att någon ytterligare analys av lämpligheten av att grunda en be- handling på ett giltigt samtycke inte behöver göras i de fall sådana bestämmelser finns i registerförfattningarna.

19 Yttrande 15/2011 om definitionen av begreppet ”samtycke” s. 13–14 och 16–17.

20 Samtycke enligt personuppgiftslagen – Datainspektionen informerar s. 6.

230

SOU 2017:66

Allmänt om befintliga bestämmelser

Bestämmelsen i artikel 6.1 a i dataskyddsförordningen om att behandling är laglig om den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål är direkt tillämplig och inte försedd med någon möjlighet till nationell begränsning. Det är därför inte tillåtet att förbjuda enskilda att behandla personuppgifter med stöd av ett giltigt sam- tycke från den registrerade annat än när det gäller känsliga person- uppgifter (artikel 9.2 a) och personuppgifter om lagöverträdelser (artikel 10). Detta motsvarar vad som gäller i dag.

Däremot kan myndigheter trots dataskyddsförordningen för- bjudas att använda möjligheten att behandla personuppgifter med stöd av samtycke (se avsnitt 9.2). Så har ofta skett genom en register- författning med ändamålsbestämmelser. Ändamålsbestämmelserna ersätter nämligen normalt de rättsliga grunderna enligt 10 § person- uppgiftslagen; personuppgifter får inom registerförfattningens tillämpningsområde behandlas bara för de angivna ändamålen (och ibland även sådana ändamål som inte är oförenliga med de angivna ändamålen, se avsnitt 9.10.3 om finalitetsprincipen) oberoende av den registrerades samtycke. Den ordningen kan alltså behållas.

I vissa registerförfattningar förekommer det att myndigheter och enskilda uttryckligen tillåts att med stöd av samtycke behandla personuppgifter för andra ändamål eller i andra fall än de i författ- ningen angivna. Även sådana bestämmelser kan behållas, eftersom de har stöd i artikel 6.1 a och 9.2 a i dataskyddsförordningen och skäl 8 till dataskyddsförordningen om att det är tillåtet att införliva delar av dataskyddsförordningen i nationell rätt. Eftersom det anses att den registrerades samtycke inte ger rätt att behandla personupp- gifter i strid mot de grundläggande kraven på behandling (i artikel 5 i dataskyddsförordningen), gäller dock att bestämmelsen inte kan ge stöd för att t.ex. behandla sådana personuppgifter som inte är korrekta i förhållande till de ändamål som anges i författningen eller som samtycket avser (artikel 5.1 d).

Det förekommer även bestämmelser i registerförfattningar om att en behandling för vissa ändamål bara får utföras med den regi- strerades samtycke trots att den behandling som författningen reglerar stödjer sig på en annan rättslig grund än samtycke, t.ex. en arbetsuppgift av allmänt intresse. En sådan begränsning är tillåten för myndigheter, se avsnitt 9.2. Om de angivna ändamålen för den behandling av personuppgifter som regleras i registerförfattningen

231

Allmänt om befintliga bestämmelser

SOU 2017:66

är sådana som avses i artikel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning), får bestämmelserna anses tillåtna såsom preciseringar även för enskilda enligt artikel 6.2 och 6.3 i dataskyddsförordningen (se avsnitt 9.3).

Om det däremot i någon registerförfattning finns bestämmelser som omfattar enskildas behandling av personuppgifter och den grundläggande behandlingen av personuppgifterna inte grundar sig på artikel 6.1 c eller e i dataskyddsförordningen kan en sådan be- stämmelse inte anses tillåten med hänvisning till de ovan angivna skälen. För det fall det finns sådana bestämmelser krävs det i stället särskilda överväganden för att bedöma om dessa kan behållas.

Bestämmelser som innebär krav på samtycke för en viss åtgärd, t.ex. direktåtkomst, när den behandling som författningen reglerar stödjer sig på en annan rättslig grund kan enligt utredningens be- dömning i vissa fall utgöra en integritetshöjande åtgärd, dvs. en slags skyddsåtgärd. Utredningen berör den typen av bestämmelser i avsnitt 9.16.2.

9.10.3 Finalitetsprincipen

Utredningens bedömning: Bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i för- fattningen uttryckligen angivna ändamål, får behandlas också för andra ändamål när det inte strider mot finalitetsprincipen kan och bör behållas i sak.

I registerförfattningar förekommer hänvisningar till 9 § första stycket d personuppgiftslagen, den s.k. finalitetsprincipen – att per- sonuppgifter inte får behandlas för något ändamål som är oför- enligt med det ändamål för vilket de samlades in. Den uttryckliga hänvisningen till finalitetsprincipen tillkom första gången efter att Lagrådet anfört att uppbyggnaden och utformningen av ändamåls- bestämmelserna i förslaget till lag om behandling av personuppgif- ter inom socialförsäkringens administration gav intryck av att de angivna ändamålen var uttömmande. Att det fanns en avsikt att även andra efterkommande behandlingar skulle få företas förutsatt att det inte kunde anses oförenligt med de ursprungliga ändamålen

232

SOU 2017:66

Allmänt om befintliga bestämmelser

ansågs inte framgå av den föreslagna lagtexten. Regeringen föreslog då ett förtydligande – en hänvisning till 9 § första stycket d och andra stycket personuppgiftslagen. Mot bakgrund av att motsva- rande förtydligande vid den tiden saknades i andra registerförfatt- ningar, betonade regeringen att det inte var fråga om en materiell regel, utan endast ett förtydligande.21

Finalitetsprincipen finns uttryckt i artikel 5.1 b och 6.4 i data- skyddsförordningen. Av artikel 5.1 b i dataskyddsförordningen framgår att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, samt att ytter- ligare behandling för arkivändamål av allmänt intresse, vetenskap- liga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ur- sprungliga ändamålen. I enlighet med den bedömning utredningen gör i avsnitt 9.16.1 utgör artikel 89.1 i dataskyddsförordningen en precisering av principen om uppgiftsminimering i artikel 5.1 och de allmänna bestämmelserna om säkerhetsåtgärder i dataskyddsförord- ningen, vilka är direkt tillämpliga. Skyldigheten för den person- uppgiftsansvarige att iaktta principen om uppgiftsminimering och vidta säkerhetsåtgärder regleras även i dataskyddsdirektivet. Det är därför utredningens bedömning att regleringen i artikel 5.1 b i data- skyddsförordningen motsvarar den som finns i artikel 6.1 b i data- skyddsdirektivet (för bedömning avseende ändrad formulering av ändamålen se avsnitt 9.17.2).

I artikel 6.4 i dataskyddsförordningen anges vilken bedömning den personuppgiftsansvarige ska göra för att fastställa om en vidare- behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. I artikeln anges vad den personuppgiftsansvarige ska beakta om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1 i dataskyddsförordningen. Den person- uppgiftsansvarige ska beakta kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personupp-

21 Prop. 2002/03:135 s. 56.

233

Allmänt om befintliga bestämmelser

SOU 2017:66

gifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige, personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 i dataskyddsförordningen eller huruvida personuppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10 i dataskyddsförordningen, eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen samt före- komsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.

Av skäl 50 till dataskyddsförordningen framgår att vid behand- ling som inte hindras av finalitetsprincipen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Detta är en nyhet i förhållande till dataskyddsdirektivet.

Finalitetsprincipen kommer således att finnas kvar även med dataskyddsförordningen. Eftersom utredningen avser att i den mån det är möjligt behålla de möjligheter att behandla personuppgifter som myndigheter och vissa enskilda aktörer har i dagsläget, krävs att det är tydligt att de uppräknade ändamålen, när så har gällt tidi- gare, inte är uttömmande. Bestämmelser i registerförfattningar med innebörden att personuppgifter, som behandlas för i författningen uttryckligen angivna ändamål, får behandlas också för andra ända- mål när det inte strider mot finalitetsprincipen kan och bör därför behållas. Det bör dock noteras att artikel 13.3 och 14.4 i data- skyddsförordningen i regel innebär att de registrerade på förhand måste informeras om tilltänkt återanvändning av deras personupp- gifter.

En bestämmelse som klargör att de i registerförfattningen an- givna ändamålen inte är uttömmande utan att också sådan behand- ling som inte strider mot finalitetsprincipen är tillåten kan lämpligen utformas enligt följande.

Att personuppgifter som behandlas för ändamål som anges i XX § även får behandlas för andra ändamål framgår av artikel 5.1 b i Europa- parlamentets och rådets förordning (EU) 2016/679.

Mot bakgrund av den bedömning utredningen har gjort ovan sak- nas det skäl att i bestämmelsen hänvisa till artikel 89.1 i data- skyddsförordningen. Den personuppgiftsansvarige måste dock natur- ligtvis beakta såväl den bestämmelsen som de övriga bestämmel-

234

SOU 2017:66

Allmänt om befintliga bestämmelser

serna om uppgiftsminimering och säkerhet som utredningen berört ovan när denne utför behandling av personuppgifter.

9.11 Känsliga personuppgifter

9.11.1 Förbud mot att behandla känsliga personuppgifter och möjligheterna till undantag

Utredningens bedömning: Det är möjligt att bara delvis tillåta behandling av känsliga personuppgifter som omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen som kräver stöd i nationell rätt.

Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som särskilda kategorier av uppgifter. Data- skyddsutredningen konstaterar dock att begreppet känsliga person- uppgifter, som används i personuppgiftslagen, är tydligare och dessutom inarbetat på såväl nationell nivå som EU-nivå.22 Eftersom Dataskyddsutredningen använder sig av begreppet känsliga person- uppgifter i den generella regleringen, kommer även utredningen att använda sig av begreppet.

Motsvarande förbud att behandla känsliga personuppgifter finns i artikel 8.1 i dataskyddsdirektivet, som dock innehåller något färre kategorier av personuppgifter – genetiska uppgifter, biometriska uppgifter för att entydligt identifiera en fysisk person samt uppgifter om sexuell läggning har tillkommit som nya kategorier i dataskyddsförordningen. Dataskyddsdirektivets förbud har kom- mit till uttryck i 13 § personuppgiftslagen, som innehåller en upp- räkning av samma kategorier som i dataskyddsdirektivet.

22 SOU 2017:39 s. 162.

235

Allmänt om befintliga bestämmelser

SOU 2017:66

Förbudet att behandla känsliga personuppgifter bottnar i arti- kel 6 i Europarådets dataskyddskonvention (nr 108), som förbjuder automatiserad behandling av uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott, om inte den nationella lagen ger ett ändamålsenligt skydd.

Huvudregeln är alltså enligt artikel 9.1 i dataskyddsförord- ningen att behandling av känsliga personuppgifter är förbjuden. Huvudregeln kompletteras med ett antal undantag i artikel 9.2, som anger när behandling av känsliga personuppgifter trots allt kan tillåtas. Vissa av undantagen är direkt tillämpliga medan andra krä- ver viss reglering i den nationella lagstiftningen för att behandling av känsliga personuppgifter ska få ske, se avsnitt 9.11.4 och 9.11.5.

Känsliga personuppgifter kan behandlas med stöd av samtycke (a) och för att skyldigheter och rättigheter ska kunna tillvaratas inom arbetsrätten och på områdena social trygghet och socialt skydd i den omfattning detta är tillåtet enligt unionsrätten, nationell rätt eller kollektivavtal (b). Det är också tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig för att skydda en fysisk persons grundläggande intressen när den registrerade är för- hindrad att ge sitt samtycke (c). Ideella verksamheter med poli- tiskt, filosofiskt, religiöst eller fackligt syfte får behandla känsliga personuppgifter om sina medlemmar och vissa andra personer (d). Vidare får känsliga personuppgifter behandlas om behandlingen rör uppgifter som på ett tydligt sätt har offentliggjorts av den registre- rade (e). Ytterligare ett undantag avser behandling som är nöd- vändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller är en del av domstolarnas dömande verksamhet (f). Behand- ling av känsliga personuppgifter får ske av hänsyn till ett, på grund- val av EU-rätten eller nationell rätt, viktigt allmänt intresse (g). Behandling av känsliga personuppgifter får också ske i anslutning till hälso- och sjukvård, yrkesmedicin och social omsorg, på grundval av EU-rätten eller medlemsstaternas nationella rätt under förutsättning att uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt (h och artikel 9.3). Även ett allmänt intresse på folkhälsoområdet, på grundval av EU- rätten eller nationell rätt, ger rätt att behandla känsliga person- uppgifter (i). Slutligen får känsliga personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål (j). Medlemsstaterna får be-

236

SOU 2017:66

Allmänt om befintliga bestämmelser

hålla eller införa ytterligare villkor, även begränsningar, för behand- lingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa (9.4).

En fråga är om möjligheterna att i nationell rätt göra undantag från förbudet att behandla känsliga personuppgifter måste utnyttjas fullt ut i den nationella rätten för att kunna användas. I artikel 9.4 anges att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, men endast för behandling av vissa kategorier av känsliga personuppgifter, nämligen genetiska eller biometriska uppgifter eller uppgifter om hälsa. Detta skulle kunna tyda på att det inte är tillåtet att behålla ytterligare villkor för övriga kategorier av känsliga personuppgifter. En sådan tolkning synes dock inte rimlig. Dataskyddsförordningens huvudregel om förbud mot be- handling av känsliga personuppgifter har tillkommit eftersom dessa uppgifter anses vara särskilt skyddsvärda. Att det då endast ska vara möjligt att ha en nationell reglering som antingen helt förbjuder behandling av sådana uppgifter eller tillåter all behandling som kan tillåtas enligt någon av de möjligheter till nationellt grundade undantag som finns i artikel 9.2 a–j synes inte förenligt med intresset av att skydda den personliga integriteten. När det gäller behandling som sker med stöd av någon av de rättsliga grunderna fullgörande av rättslig förpliktelse och utförande av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning framgår det dess- utom av artikel 6.2 och 6.3 att medlemsstaterna får ha särskilda bestämmelser om bl.a. vilken typ av uppgifter som ska behandlas (se avsnitt 9.3). Det är därför utredningens bedömning att det är möjligt att bara delvis tillåta behandling av känsliga personuppgifter som omfattas av något av undantagen som kräver nationell lagstift- ning. Det innebär att det är möjligt att behålla sökbegränsningar och andra skyddsåtgärder som avser känsliga personuppgifter och att tillåta behandling av bara vissa kategorier av känsliga person- uppgifter.

Möjligheterna att göra undantag från förbudet mot behandling av känsliga personuppgifter motsvarar i stora delar regleringen i dataskyddsdirektivet. Vissa skillnader finns dock. Att undantaget i artikel 9.2 b i dataskyddsförordningen som gäller arbetsrätt även omfattar rättigheter på områdena social trygghet och socialt skydd är en nyhet i förhållande till artikel 8.2 b i dataskyddsdirektivet. Undantaget för behandling som är nödvändig av hänsyn till ett

237

Allmänt om befintliga bestämmelser

SOU 2017:66

viktigt allmänt intresse i artikel 8.4 i dataskyddsdirektivet har i arti- kel 9.2 g i dataskyddsförordningen försetts med ytterligare krav som måste vara uppfyllda för att behandlingen ska vara tillåten. Tillämpningsområdet för hälso- och sjukvårdsundantaget i arti- kel 8.3 i dataskyddsdirektivet har i artikel 9.2 h i dataskyddsförord- ningen utökats något samtidigt som ett krav på att uppgifterna behandlas av eller under ansvar av någon som omfattas av tystnads- plikt har införts. Undantaget i artikel 9.2 i i dataskyddsförordningen som tar sikte på folkhälsoområdet är nytt. Vad dessa skillnader innebär återkommer utredningen till nedan. Ytterligare en nyhet är undantaget för arkivändamål, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i artikel 9.2 j i dataskydds- förordningen.

9.11.2 Undantag vid fullgörande av skyldigheter och rättigheter inom arbetsrätten

och på områdena social trygghet och socialt skydd

I artikel 9.2 b i dataskyddsförordningen anges att känsliga person- uppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbets- rätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstater- nas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intres- sen fastställs. Områdena social trygghet respektive socialt skydd är nya i förhållande till dataskyddsdirektivet, och det framgår inte av artikeln eller av skälen till dataskyddsförordningen vad områdena är avsedda att omfatta. Begreppet social trygghet antyder att social- försäkringen är tänkt att vara en del av området. Dataskyddsutred- ningen gör dock bedömningen att avsikten sannolikt är att reglera behandling som är nödvändig för att arbetsgivare och arbetsgivar- eller arbetstagarorganisationer ska kunna erbjuda eller förmedla pensioner och försäkringar med anknytning till den registrerades anställning eller yrkesliv, såsom tjänstepensioner och olika typer av gruppförsäkringar. Denna bedömning görs mot bakgrund av det sammanhang där begreppen social trygghet och socialt skydd före-

238

SOU 2017:66

Allmänt om befintliga bestämmelser

kommer – att artikeln i övrigt avser skyldigheter och rättigheter inom arbetsrätten.23 Utredningen har inte anledning att göra en annan bedömning än den Dataskyddsutredningen gjort.

9.11.3 Undantag för viktiga allmänna intressen

Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet är förenliga med artikel 9.2 g i dataskyddsförordningen och kan och bör behållas.

I artikel 9.2 g i dataskyddsförordningen anges att känsliga person- uppgifter får behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundlägg- ande rättigheter och intressen.

Motsvarande bestämmelse finns i artikel 8.4 i dataskyddsdirektivet, varav framgår att medlemsstaterna får besluta om undantag från förbudet att behandla känsliga personuppgifter under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt in- tresse.

En reglering av ett undantag med stöd av artikel 9.2 g i data- skyddsförordningen kan ske i registerförfattningar, vilket ger möjlighet att göra lämpliga avvägningar på varje område. Data- skyddsutredningen har dessutom bedömt att det utöver detaljerad reglering i registerförfattningar är möjligt att införa en generell reglering som ger myndigheter möjlighet att behandla känsliga personuppgifter även när det inte finns särskilt stöd i en register- lagstiftning. Enligt 3 kap. 3 § förslaget till dataskyddslag ska käns- liga personuppgifter få behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, om uppgifterna har lämnats till myn-

23 SOU 2017:39 s. 169–171.

239

Allmänt om befintliga bestämmelser

SOU 2017:66

digheten och behandlingen krävs enligt lag, eller i enstaka fall om det är absolut nödvändigt för ändamålet med behandlingen och inte innebär ett otillbörligt intrång i den registrerades personliga inte- gritet. I syfte att begränsa de integritetsrisker som den generella bestämmelsen kommer att medföra, föreslår Dataskyddsutred- ningen i 3 kap. 4 § samma lagförslag också ett förbud för myndig- heter att använda sökbegrepp som avslöjar känsliga personuppgif- ter vid behandling som sker enbart med stöd av 3 kap. 3 §.24

Viktigt allmänt intresse

Det finns i enlighet med vad som konstaterats i avsnitt 9.8.3 inget som tyder på att begreppet allmänt intresse ska uppfattas mer restriktivt enligt dataskyddsförordningen än enligt dataskydds- direktivet. Detta innebär att när behandling av känsliga person- uppgifter tillåtits i en registerförfattning med stöd av artikel 8.4 i dataskyddsdirektivet – och inte med stöd av artikel 8.2 eller 8.3 i dataskyddsdirektivet – har det redan, även om övervägandena inte alltid framgår uttryckligen av förarbetena, bedömts att behand- lingen är nödvändig av hänsyn till ett viktigt allmänt intresse och därmed också nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 7 e i dataskyddsdirektivet. Därför bör det utan vidare prövning av utredningen anses att den i registerförfattningen reglerade behandlingen kan stödjas på artikel 6.1 e i dataskydds- förordningen och, under förutsättning av proportionalitet och be- stämmelser om skyddsåtgärder (se nedan), i enlighet med artikel 9.2 g innefatta känsliga personuppgifter i samma utsträckning som i dag.

Proportionerlig i förhållande till syftet

Den behandling av känsliga personuppgifter som kan tillåtas av hänsyn till ett viktigt allmänt intresse måste enligt artikel 9.2 g i dataskyddsförordningen stå i proportion till det eftersträvade syftet. Något uttryckligt krav på proportionalitet finns inte i data- skyddsdirektivet. Det framgår inte av dataskyddsförordningen hur proportionalitetsbedömningen ska gå till.

24 SOU 2017:39.

240

SOU 2017:66

Allmänt om befintliga bestämmelser

Det får förutsättas att det har gjorts en proportionalitetsbedöm- ning när undantag från förbudet att behandla känsliga personuppgif- ter har gjorts i särskilda registerförfattningar med stöd av artikel 8.4 i dataskyddsdirektivet. Det är därför utredningens bedömning att bestämmelser i registerförfattningar som tillåter behandling av käns- liga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet utan vidare prövning uppfyller det proportionalitetskrav som gäller enligt dataskyddsförordningen.

Förenlig med det väsentliga innehållet i rätten till dataskydd

Den behandling av känsliga personuppgifter som kan tillåtas av hänsyn till ett viktigt allmänt intresse måste enligt artikel 9.2 g i dataskyddsförordningen vara förenlig med det väsentliga innehållet i rätten till dataskydd. Något uttryckligt motsvarande krav finns inte i dataskyddsdirektivet. Det framgår inte av dataskyddsförord- ningen vad kravet närmare innebär.

Utgångspunkten vid införandet av registerförfattningar har generellt varit att i författningarna bara göra de undantag i förhåll- ande den generella dataskyddsregleringen i personuppgiftslagen, och därmed också dataskyddsdirektivet, som ansetts nödvändiga på det aktuella området. Vid införandet av registerförfattningar har också åtagandena enligt Europarådets dataskyddskonvention be- hövt iakttas. Det är därför utredningens bedömning att register- författningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet utan vidare prövning uppfyller det nya uttryckliga kravet på att vara förenliga med det väsentliga innehållet i rätten till dataskydd.

Lämpliga skyddsåtgärder

Ett undantag med stöd av artikel 9.2 g i dataskyddsförordningen förutsätter en reglering i nationell rätt. Regleringen ska omfatta be- stämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Någon exemplifiering av utformningen av sådana åtgärder, som säkerställer den registrerades grundläggande rättigheter och intressen, finns

241

Allmänt om befintliga bestämmelser

SOU 2017:66

inte i dataskyddsförordningen. Vad lämpliga och särskilda skydds- åtgärder kan bestå i framgår av avsnitt 9.16.2.

Enligt artikel 8.4 i dataskyddsdirektivet krävs ”lämpliga skydds- åtgärder” för att göra undantag från förbudet att behandla känsliga personuppgifter.

Det finns inget som tyder på att kravet i dataskyddsförord- ningen på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen skulle inne- bära något annat än kravet på lämpliga skyddsåtgärder i dataskydds- direktivet. En nyhet i dataskyddsförordningen är dock att det krävs att det finns bestämmelser om sådana åtgärder i medlemsstatens nationella rätt.

Registerförfattningar som tillåter behandling av känsliga person- uppgifter med stöd av artikel 8.4 i dataskyddsdirektivet innehåller regelmässigt olika uttryckliga bestämmelser om det som bedömts vara lämpliga skyddsåtgärder enligt dataskyddsdirektivet. Det kan vara fråga om bestämmelser om sökbegränsningar, restriktioner för elektronisk åtkomst, behörighetstilldelning och loggkontroll, restrik- tioner för vad som får vara mer allmänt tillgängligt i den aktuella organisationen osv.

Det är mot den bakgrunden utredningens bedömning att register- författningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet utan vidare prövning uppfyller kravet i dataskyddsförordningen på lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Bestämmelser som tillåter behandling av känsliga personupp- gifter av hänsyn till ett viktigt allmänt intresse finns också i författ- ningar som i huvudsak innehåller reglering av en viss verksamhet men som i anlutning till den regleringen också anger vad som gäller i fråga om viss behandling av personuppgifter. När det gäller sådana författningar är det inte lika självklart att det regelmässigt finns uttryckliga bestämmelser om skyddsåtgärder. En bedömning av om sådana bestämmelser finns måste därför göras i dessa fall.

242

SOU 2017:66

Allmänt om befintliga bestämmelser

9.11.4 Undantag för hälso- och sjukvård samt social omsorg

Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter inom hälso- och sjukvård samt inom social omsorg är förenliga med data- skyddsförordningen och kan och bör behållas.

Dessa registerförfattningar bör kompletteras med en bestäm- melse som påminner om kravet enligt artikel 9.3 i dataskydds- förordningen på att känsliga personuppgifter endast får behand- las av eller under ansvar av den som omfattas av tystnadsplikt.

Behandling av känsliga personuppgifter får enligt artikel 9.2 h i dataskyddsförordningen ske om den är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagno- ser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller den nationella rätten eller enligt avtal med yrkesverksamma på hälso- området.

Motsvarande bestämmelse finns i artikel 8.3 i dataskyddsdirektivet. Där anges att känsliga personuppgifter får behandlas när behand- lingen är nödvändig med hänsyn till förebyggande hälso- och sjuk- vård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård.

De verksamheter som avses

Några ytterligare verksamhetstyper – förebyggande yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, social omsorg och förvaltning av social omsorg och av deras system – har alltså lagts till i undantaget för hälso- och sjukvård m.m. i dataskydds- förordningen, i jämförelse med regleringen i dataskyddsdirektivet. Detta är en utvidgning jämfört med dataskyddsdirektivet.

En nyhet är alltså att social omsorg lagts till. Vad som avses med social omsorg framgår inte av dataskyddsförordningen. Dataskydds- utredningen anger att det sannolikt är uppgifter som utförs av

243

Allmänt om befintliga bestämmelser

SOU 2017:66

socialtjänsten som omfattas av begreppet.25 Utredningen instäm- mer i den bedömningen och anser att social omsorg innefattar så- dan verksamhet som avses i 2 § lagen (2001:454) om behandling av personuppgifter inom socialtjänsten.

Begreppet vård eller behandling har ersatts med begreppet till- handahållande av hälso- och sjukvård. Skälen till dataskyddsförord- ningen ger inte någon ledning i frågan om någon ändring i sak är avsedd. Enligt utredningens bedömning får begreppet tillhanda- hållande av hälso- och sjukvård anses innefatta det som avses med vård eller behandling enligt dataskyddsdirektivet.

Begreppet administration av hälso- och sjukvård har ersatts med förvaltning av hälso- och sjukvårdstjänster och deras system. I skäl 53 till dataskyddsförordningen finns det en uppräkning av vad som ska anses innefattas i detta begrepp:

[…] behandling som utförs av förvaltningen och centrala nationella hälsovårdsmyndigheter av sådana uppgifter för syften som hör sam- man med kvalitetskontroll, information om förvaltningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg samt gränsöverskridande hälso- och sjukvård eller hälsosäkerhet, syften som hör samman med över- vakning samt varningssyften eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ända- mål som baseras på unionsrätten eller på medlemsstaternas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genomförs av allmänt intresse på folkhälsoområdet.

Mot bakgrund av den ganska omfattande uppräkningen synes i vart fall det som innefattades i begreppet administration av hälso- och sjukvård omfattas.

Eftersom uppräkningen av verksamheter inte har inskränkts utan utökats i förhållande till dataskyddsdirektivets reglering, är tidigare bedömningar av vilka verksamheter det är tillåtet att göra undantag för fortfarande relevanta. I förarbeten angående läke- medelslagstiftningen har det ansetts rimligt att inte ge bestämmelsen i 18 § första stycket personuppgiftslagen, som innehåller samma uppräkning som i dataskyddsdirektivet, en alltför snäv räckvidd varvid det har angetts att även aktiviteter med bäring på hälso- och

25 SOU 2017:39 s. 184.

244

SOU 2017:66

Allmänt om befintliga bestämmelser

sjukvård utanför det primära vårdområdet måste kunna inbegripas.26 Det har vidare i litteraturen ansetts att uppräkningen av syften i 18 § första stycket personuppgiftslagen i praktiken torde täcka nästan all behandling av personuppgifter som förekommer inom hälso- och sjukvårdsområdet.27 I förarbetena till lagen om receptregister, som förs bl.a. för ändamålet att registrera underlag för tillämp- ningen av bestämmelserna om läkemedelsförmåner, har det dock ansetts osäkert om 18 § personuppgiftslagen ger tillräckligt stöd för den behandling som avses i den lagen.28

Formuleringen i dataskyddsdirektivet om att behandlingen ska vara nödvändig med hänsyn till de i artikeln uppräknade verksam- heterna har i dataskyddsförordningen ersatts med att behandlingen ska vara nödvändig av skäl som hör samman med dessa verksam- heter. Av skäl 53 till dataskyddsförordningen framgår att avsikten är att harmonisera villkoren för behandling av uppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behandlingen utförs för vissa hälsorelaterade syften. Den ändrade formuleringen tydliggör att behandlingen måste ske för ändamål som hör samman med någon av dessa verksamheter.

Stöd i lagstiftningen

Artikel 9.2 h i dataskyddsförordningen verkar enligt ordalagen inte förutsätta någon nationell reglering förutom själva grundvalen för den aktuella verksamheten, vilket förefaller naturligt eftersom det i alla medlemsstater ju, i enlighet med bl.a. rättighetsstadgan (se av- snitt 9.8.2), bedrivs hälso- och sjukvård och social omsorg och då sådan verksamhet till sin natur gör det nödvändigt att behandla känsliga personuppgifter på ett sätt som omfattas av dataskydds- förordningen. Ordalydelsen i artikel 9.2 h i dataskyddsförordningen förefaller alltså inte kräva att undantaget i sig måste föreskrivas i nationell rätt. I Sverige finns det redan författningar som reglerar hälso- och sjukvårdsverksamhet, bl.a. hälso- och sjukvårdslagen (2017:30) och patientsäkerhetslagen (2010:659). Verksamhet inom

26 Prop. 2005/06:70 s. 144.

27 Öman & Lindblom, Personuppgiftslagen (15 september 2016, Zeteo), kommentaren till

18 § under rubriken Behandling för hälso- och sjukvårdsändamål – första stycket.

28 Prop. 2008/09:145 s. 305.

245

Allmänt om befintliga bestämmelser

SOU 2017:66

området social omsorg regleras bl.a. av socialtjänstlagen (2001:453). Den reglering som redan finns av hälso- och sjukvårdsverksamhet och verksamhet inom social omsorg synes uppfylla kraven enligt ordalagen i artikel 9.2 h i dataskyddsförordningen på att själva sak- verksamheten – hälso- och sjukvården och den sociala omsorgen – ska ha sin grundval i nationell rätt. Även om det skulle anses att artikel 9.2 h kräver att det finns nationella bestämmelser som tillå- ter själva behandlingen av känsliga personuppgifter inom hälso- och sjukvården och den sociala omsorgen29, är också det kravet redan uppfyllt genom befintlig reglering. Registerförfattningarna på de berörda områdena innehåller nämligen uttryckliga bestämmel- ser om att känsliga personuppgifter, eller alla slags personuppgifter inklusive känsliga, får behandlas under vissa förutsättningar.

Bedrivandet av hälso- och sjukvård och social omsorg får utan vidare anses vara en arbetsuppgift av allmänt intresse (se av- snitt 9.8.2), som i vissa fall också är förknippad med rättsliga för- pliktelser. De bestämmelser i registerförfattningar som tillåter be- handling av känsliga personuppgifter inom hälso- och sjukvården och inom social omsorg får enligt utredningens bedömning därför anses, om inte nödvändiga så ändå, tillåtna som nationella preciser- ingar med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de enbart avser en myndighets behandling av person- uppgifter (se avsnitt 9.2 och 9.3).

Tystnadsplikt krävs

En ytterligare förutsättning för att behandling av känsliga person- uppgifter på hälso- och sjukvårdsområdet samt inom social omsorg ska vara tillåten är att uppgifterna enligt artikel 9.3 i dataskydds- förordningen behandlas av eller under ansvar av en yrkesutövare eller annan person som omfattas av tystnadsplikt. Detta är, i vart fall i förhållande till den svenska versionen av dataskyddsdirektivet, en inskränkning jämfört med vad som gäller i dag.30 Dataskydds-

29 Jämför SOU 2017:39 s. 162–165 och skäl 52 till dataskyddsförordningen.

30 Det har dock framförts synpunkter på att den svenska versionen av direktivet är fel- översatt, se SOU 2006:82 s. 175 och Elisabeth Rynning i Förvaltningsrättslig tidskrift 2003 s. 112. Av den engelska versionen framgår att kravet på tystnadsplikt gäller utöver att behandlingen ska ske för de angivna syftena.

246

SOU 2017:66

Allmänt om befintliga bestämmelser

direktivet anger i stället den omständigheten att uppgifterna be- handlas av någon som omfattas av tystnadsplikt som en självständig grund för behandling av känsliga personuppgifter.

Syftet med artikel 9.3 i dataskyddsförordningen får antas vara att de personer i bl.a. hälso- och sjukvårdsverksamhet som tar del av – dvs. behandlar – känsliga personuppgifter ska ha tystnadsplikt enligt t.ex. nationell rätt, eller i vart fall arbeta under någon som har sådan tystnadsplikt. Den fysiska personen behöver inte själv vara personuppgiftsansvarig. Däremot måste den personuppgiftsansva- rige se till att en person som omfattas av tystnadsplikt är den som antingen själv behandlar uppgifterna eller åtminstone ansvarar för behandlingen.

Bestämmelser om tystnadsplikt för personer verksamma inom hälso- och sjukvården finns redan i t.ex. 25 kap. offentlighets- och sekretesslagen (2009:400) och patientsäkerhetslagen (2010:659). Tyst- nadsplikten enligt patientsäkerhetslagen omfattar hela hälso- och sjukvårdspersonalen enligt den vida definitionen i 1 kap. 4 § patient- säkerhetslagen. För författningsreglerad social omsorg i offentlig och privat regi gäller sekretess enligt 26 kap. offentlighets- och sekretesslagen, 15 kap. socialtjänstlagen (2001:453) och 29 § lagen (1993:387) om stöd och service till vissa funktionshindrade. Det finns således redan tystnadsplikt enligt författning. Det kan inte anses ankomma på utredningen att föreslå nya bestämmelser om tystnadsplikt.

Kravet i artikel 9.3 i dataskyddsförordningen på tystnadsplikt enligt bl.a. nationell rätt är direkt tillämpligt. Någon ytterligare författningsbestämmelse behövs därför inte med anledning av data- skyddsförordningen. Utredningen anser emellertid att den natio- nella regleringen blir tydligare om kravet framgår också av berörda registerförfattningar. Bestämmelser som påminner om det kravet bör därför tas in i registerförfattningar för hälso- och sjukvårds- området och socialtjänsten som tillåter behandling av känsliga person- uppgifter med stöd av undantaget i artikel 9.2 h i dataskyddsförord- ningen. Hänvisningen till artikel 9.3 i dataskyddsförordningen bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom det rör sig om en ren upplysning om att en annan, direkt tillämplig, bestämmelse gäller.

247

Allmänt om befintliga bestämmelser

SOU 2017:66

9.11.5 Undantag för folkhälsoområdet

Enligt artikel 9.2 i i dataskyddsförordningen får personuppgifter behandlas om behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet. Det ska då ske på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt.

Dataskyddsdirektivet innehåller inte någon bestämmelse som sär- skilt tar sikte på folkhälsoområdet. Behandling av känsliga person- uppgifter på folkhälsoområdet sker i dag med stöd av bestämmelser som har sin grund i artikel 8.4 (allmänt intresse) eller artikel 8.3 (hälso- och sjukvård) i dataskyddsdirektivet.

I artikel 9.2 i i dataskyddsförordningen ges exempel på behandling som är nödvändig av skäl av allmänt intresse på folkhälsoområdet. Det kan enligt artikeln röra sig om behov av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller att säkerställa höga kvalitets- och säkerhetsnormer för vård och läke- medel eller medicintekniska produkter. Av skäl 54 till dataskydds- förordningen framgår att begreppet folkhälsa bör tolkas enligt definitionen i Europaparlamentets och rådets förordning (EG) nr 1338/2008, nämligen så att det avser alla aspekter som rör hälso- situationen, dvs. allmänhetens hälsotillstånd, inbegripet sjuklighet och funktionshinder, hälsans bestämningsfaktorer, hälso- och sjuk- vårdsbehov, resurser inom hälso- och sjukvården, tillhandahållande av och allmän tillgång till hälso- och sjukvård, utgifter för och finansiering av hälso- och sjukvården samt dödsorsaker.

Artikel 9.2 i i dataskyddsförordningen innehåller ett krav på att behandlingen av personuppgifter ska ske på grundval av unions- rätten eller medlemsstaternas nationella rätt. Ordalydelsen i arti- kel 9.2 i i dataskyddsförordningen förefaller, i likhet med vad ut- redningen anfört i avsnitt 9.11.4 angående hälso- och sjukvårds- undantaget, inte kräva att undantaget i sig föreskrivs i nationell rätt. Enligt utredningens bedömning synes kravet på att behandlingen av personuppgifter ska ske på grundval av unionsrätten eller medlems- staternas nationella rätt vara uppfyllt om själva sakverksamheten – den verksamhet som motiverar behandling av personuppgifter – regleras i nationell rätt. I vart fall måste, enligt utredningens be- dömning, en reglering i registerförfattning av när själva behand-

248

SOU 2017:66

Allmänt om befintliga bestämmelser

lingen av känsliga personuppgifter får ske på folkhälsoområdet uppfylla kravet på grundval i nationell rätt. Därutöver ska det i den nationella rätten ha fastställts lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter, särskilt tyst- nadsplikt. Vad lämpliga och specifika skyddsåtgärder kan bestå i framgår av avsnitt 9.16.2. Oavsett hur kravet på att behandlingen ska ske på grundval av nationell rätt ska tolkas bedömer utredningen att det inte är oförenligt med dataskyddsförordningen att reglera ett undantag som grundar sig på artikel 9.2 i i dataskyddsförord- ningen i nationell lagstiftning.31 Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av folkhälsoundantaget får enligt utredningens bedömning nämligen anses, om inte nödvändiga så ändå, tillåtna som nationella preci- seringar enligt artikel 6.2 och 6.3 i dataskyddsförordningen, under förutsättning att den behandling av personuppgifter som regleras i registerförfattningen sker med stöd av artikel 6.1 c eller e i data- skyddsförordningen, eller därför att de enbart avser en myndighets behandling av personuppgifter (se avsnitt 9.2 och 9.3).

9.11.6 Fler uppgifter blir känsliga personuppgifter

Utredningens bedömning: Bestämmelser i särskilda register- författningar som tillåter att alla kategorier av känsliga person- uppgifter enligt nuvarande definition får behandlas bör avse alla kategorier av känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestämmelser som endast tillåter behandling av någon eller några av kategorierna av käns- liga personuppgifter enligt nuvarande definition bör däremot som utgångspunkt inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter. Bara om det är nöd- vändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten, bör någon eller några av de nya kate- gorierna få behandlas.

Bestämmelser i särskilda registerförfattningar om s.k. skydds- åtgärder med restriktioner för behandling av känsliga person-

31 Jämför SOU 2017:39 s. 162–165 och 188 samt skäl 52 till dataskyddsförordningen.

249

Allmänt om befintliga bestämmelser

SOU 2017:66

uppgifter enligt nuvarande definition bör som utgångspunkt utvidgas till att avse också de nya kategorierna av känsliga personuppgifter. Bara om det är nödvändigt för en ändamåls- enlig behandling av personuppgifter i den aktuella verksamheten att skyddsåtgärderna inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas.

Dataskyddsförordningen innebär att fler kategorier av uppgifter än enligt dataskyddsdirektivet blir att betrakta som känsliga person- uppgifter, som det enligt huvudregeln är förbjudet att behandla. Genetiska uppgifter, biometriska uppgifter för att entydigt identi- fiera en fysisk person samt uppgifter om sexuell läggning har till- kommit som nya kategorier i dataskyddsförordningen. Som anges i avsnitt 7.5 är det dock utredningens bedömning att flera av de uppgifter som ryms inom de nya kategorierna redan i dag är att betrakta som känsliga personuppgifter, eftersom de ryms inom någon av de nuvarande kategorierna. Kategorierna av känsliga person- uppgifter kommer därmed i viss mån att överlappa varandra. Tillägget av nya kategorier medför dock en begränsning av möjlig- heterna att behandla personuppgifter i jämförelse med vad som gäller enligt dataskyddsdirektivet för sådana uppgifter som inte redan omfattas av någon av de befintliga kategorierna av känsliga personuppgifter. De personuppgifter som ryms inom de nya kate- gorierna kommer, liksom övriga kategorier av känsliga personupp- gifter, endast att få behandlas under de förutsättningar som gäller enligt artikel 9.2 och 9.3 i dataskyddsförordningen.

Bestämmelser som tillåter behandling av känsliga personuppgifter

Är enligt registerförfattningen behandling av samtliga kategorier av känsliga personuppgifter, enligt nuvarande definition, tillåten, bör enligt utredningens mening behandling också av de nya kategori- erna tillåtas utan vidare utredning om behovet. Har det vid infö- randet av registerförfattningen gjorts bedömningen att alla slags personuppgifter (utom möjligen uppgifter om lagöverträdelser) får behandlas om det är nödvändigt med hänsyn till ändamålen, bör nämligen den bedömningen godtas.

250

SOU 2017:66

Allmänt om befintliga bestämmelser

I de fall en registerförfattning tillåter behandling endast av någon eller några av kategorierna av känsliga personuppgifter, bör däremot utgångspunkten vara att behandling av de nya kategori- erna inte ska tillåtas. Om det är nödvändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten, bör dock även någon eller några av de nya kategorierna av uppgifter få behandlas. En bedömning av om det är nödvändigt att behandla de nya kategorierna av känsliga personuppgifter behöver alltså göras i förhållande till den verksamhet som är aktuell. I några av de för- fattningar som ingår i utredningens översyn finns det bestämmelser som innebär att, i fråga om känsliga personuppgifter, endast upp- gifter som rör hälsa får behandlas. Som anges ovan kan de nya kate- gorierna av känsliga personuppgifter i vissa fall även utgöra upp- gifter om hälsa. Om utredningen kommer fram till att det i en verksamhet är nödvändigt att behandla de nytillkomna kategori- erna, behöver därför en bedömning också göras av om det är till- räckligt att i bestämmelsen förtydliga att även sådana nya katego- rier som samtidigt utgör en uppgift om hälsa får behandlas.

Bestämmelser om skyddsåtgärder för känsliga personuppgifter

De skyddsåtgärder som förekommer i registerförfattningarna är ibland begränsade till att avse behandling av känsliga personupp- gifter eller vissa av de nuvarande kategorierna av känsliga person- uppgifter, t.ex. i fråga om sökbegränsningar. Enligt utredningens bedömning bör utgångspunkten vara att även de nya kategorierna av känsliga personuppgifter ska omfattas av dessa skyddsåtgärder. Bara om det är nödvändigt för en ändamålsenlig behandling av per- sonuppgifter i den aktuella verksamheten att befintliga skydds- åtgärder inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas. En bedömning av om det är nödvän- digt behöver alltså göras i förhållande den verksamhet som är aktu- ell. Om utredningen kommer fram till att det i en verksamhet är nödvändigt att befintliga skyddsåtgärder inte omfattar några av de nytillkomna kategorierna, behöver en bedömning också göras av om det är tillräckligt att i bestämmelsen, på samma sätt som beskri- vits ovan, förtydliga att bara sådana nya kategorier som samtidigt utgör en uppgift om hälsa omfattas.

251

Allmänt om befintliga bestämmelser

SOU 2017:66

Hänvisa till definitionen i dataskyddsförordningen

För att definiera vilka kategorier av personuppgifter som är att anse som känsliga personuppgifter, bör en hänvisning göras till arti- kel 9.1 i dataskyddsförordningen. En sådan hänvisning bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestäm- melsen, eftersom terminologin som används i den nationella regler- ing som kompletterar dataskyddsförordningen lämpligen bör följa den begreppsutveckling som sker inom unionen, även vid en even- tuell ändring av uttryckliga definitioner i dataskyddsförordningen.

9.12 Uppgifter om lagöverträdelser

Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter enskilda att behandla uppgifter om lagöverträdelser kan och bör behållas. Myndigheters möjligheter att behandla så- dana uppgifter påverkas inte av dataskyddsförordningen.

Bestämmelser i registerförfattningar som begränsar möjlig- heten att behandla uppgifter om lagöverträdelser enligt nuva- rande definition kan och bör behållas. Omfattar bestämmelsen enskildas behandling, måste det dock först konstateras att be- handlingen grundar sig på artikel 6.1 c eller e i dataskyddsför- ordningen. I annat fall är det endast tillåtet att begränsa behand- ling av sådana uppgifter om lagöverträdelser som omfattas av den nya definitionen i artikel 10 i dataskyddsförordningen.

Av artikel 10 i dataskyddsförordningen framgår att behandling av personuppgifter som rör fällande domar i brottmål och överträdel- ser eller därmed sammanhängande säkerhetsåtgärder enligt arti- kel 6.1 endast får utföras under kontroll av myndighet eller då be- handling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Det framgår också att ett fullstän- digt register över brottmålsdomar endast får föras under kontroll av en myndighet.

Bestämmelsen i dataskyddsförordningen skiljer sig något från artikel 8.5 i dataskyddsdirektivet. Enligt dataskyddsdirektivet får behandling av uppgifter om lagöverträdelser, brottmålsdomar eller

252

SOU 2017:66

Allmänt om befintliga bestämmelser

säkerhetsåtgärder utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i nationell lag – med för- behåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Dataskyddsdirektivets reglering omfattar således även uppgifter om friande brottmålsdomar. I fråga om register över fällande domar i brottmål är regleringen densamma. Därutöver anges i dataskyddsdirektivet att medlemsstaterna får föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tviste- mål också ska behandlas under kontroll av en myndighet. I data- skyddsförordningen saknas denna skrivning.

Bestämmelsen i dataskyddsdirektivet har kommit till uttryck i 21 § personuppgiftslagen. Där anges att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden.

Ändringen från brottmålsdomar till fällande domar i brottmål innebär en begränsning av bestämmelsens tillämpningsområde till att omfatta enbart fällande brottmålsdomar. Det utökar möjlig- heterna för andra än myndigheter att behandla uppgifter om brott- målsdomar, men påverkar inte myndigheternas möjligheter.

Vad gäller ändringen från lagöverträdelser till överträdelser gör Dataskyddsutredningen bedömningen att någon förändring i sak inte har varit avsedd genom det justerade ordvalet.32 Utredningen gör samma bedömning. Dataskyddsförordningens bestämmelse med- för således inte någon förändring av möjligheterna att behandla personuppgifter om lagöverträdelser i förhållande till vad som gällt enligt dataskyddsdirektivet.

Dataskyddsutredningen har föreslagit en ny bestämmelse i 3 kap. 10 § förslaget till dataskyddslag som innebär att den myndig- het som regeringen bestämmer i enskilda fall får besluta att person- uppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott eller straffprocessuella tvångsmedel får behandlas av andra än myndigheter. Regeringen eller den myndighet som reger- ingen bestämmer föreslås också enligt 3 kap. 12 § förslaget till data- skyddslag få meddela föreskrifter om i vilka fall andra än myndig- heter får behandla sådana personuppgifter. Sådana föreskrifter finns

32 SOU 2017:39 s. 193.

253

Allmänt om befintliga bestämmelser

SOU 2017:66

i förslaget till den anknytande förordningen, där också Data- inspektionen föreslås vara den myndighet som såväl i enskilda fall som genom generella föreskrifter får besluta om vilka andra än myndigheter som får behandla de aktuella personuppgifterna.33 De personuppgifter som omfattas av bestämmelserna skiljer sig något från vad som omfattas av personuppgiftslagens reglering på grund av den ändrade regleringen i dataskyddsförordningen. Använd- ningen av begreppet fällande domar i brottmål innebär att friande brottmålsdomar inte omfattas av förbudet. Regleringen innebär också att det inte kommer att finnas något förbud mot behandling av personuppgifter om administrativa frihetsberövanden motsva- rande det som i dag finns i 21 § personuppgiftslagen. Dataskydds- utredningen har konstaterat att det inte är helt klart i vilken ut- sträckning uppgifter som rör misstankar om brott omfattas av arti- kel 10 i dataskyddsförordningen.34

Personuppgifter om lagöverträdelser får således behandlas av en myndighet under förutsättning att det finns lagligt stöd för be- handlingen enligt artikel 6.1 i dataskyddsförordningen. Det krävs inga särskilda ställningstaganden för myndigheters behandling av sådana personuppgifter utöver de ställningstaganden som har gjorts i avsnitt 9.10 om rättslig grund för behandling av personuppgifter. Några särskilda analyser av myndigheters behandling av uppgifter om lagöverträdelser i förhållande till dataskyddsförordningen är således inte nödvändig.

Behandling av personuppgifter som rör fällande domar i brott- mål och överträdelser eller därmed sammanhängande säkerhets- åtgärder utan kontroll av en myndighet kan enligt artikel 10 i data- skyddsförordningen tillåtas i den nationella rätten om lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fast- ställs. Ett krav på lämpliga och specifika skyddsåtgärder finns också i artikel 8.5 i dataskyddsdirektivet. Kraven på skyddsåtgärder får enligt utredningens bedömning anses innebära detsamma i data- skyddsförordningen och dataskyddsdirektivet. För att andra person- uppgiftsansvariga än myndigheter fortsättningsvis ska få behandla sådana uppgifter som anges i artikel 10 gäller således samma förut- sättningar som i dag. Någon ny analys av tillämpliga skyddsåtgärder

33 SOU 2017:39.

34 SOU 2017:39 s. 193.

254

SOU 2017:66

Allmänt om befintliga bestämmelser

krävs därför inte. Bestämmelser som tillåter enskilda att behandla uppgifter om lagöverträdelser kan och bör därför behållas.

Registerförfattningar innehåller inte så sällan, såsom lämpliga och specifika skyddsåtgärder i de fall enskildas behandling om- fattas, bestämmelser som begränsar möjligheterna att behandla sådana uppgifter om lagöverträdelser som avses i 21 § personupp- giftslagen. Det kan t.ex. röra sig om sökbegränsningar. Dessa be- gränsningar omfattar alltså även uppgifter om friande domar i brott- mål och administrativa frihetsberövanden. Trots att det för myndig- heters behandling inte finns något motsvarande krav på skyddsåtgär- der omfattas även dessa av begränsningarna i de fall registerförfatt- ningen tillämpas på såväl myndigheters som enskildas behandling.

Det är enligt utredningens mening svårt att se varför myndig- heter och enskilda skulle få behandla sådana kategorier av person- uppgifter som de hittills inte har bedömts ha behov av att behandla bara därför att dataskyddsförordningen gör det möjligt. Dataskydds- förordningen hindrar inte heller att medlemsstaterna i nationell rätt har mer restriktiva bestämmelser än enligt dataskyddsförordningen för sina egna myndigheters behandling av personuppgifter (se av- snitt 9.2). Även behandling som utförs av privata subjekt kan regleras i mer specifika bestämmelser så länge behandlingen stödjer sig på någon av de rättsliga grunderna fullgörande av rättslig för- pliktelse eller utförande av arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (se avsnitt 9.3). Det är därför under dessa förutsättningar tillåtet att behålla begränsningarna för de personuppgifter som avses i 21 § personuppgiftslagen men som inte omfattas av artikel 10 i dataskyddsförordningen. Av samma skäl kan även bestämmelser om skyddsåtgärder behållas. Begräns- ningar av enskildas behandling av personuppgifter, som omfattas av artikel 10 i dataskyddsförordningen, är dessutom tillåtna i form av skyddsåtgärder enligt samma artikel.

Bestämmelser i registerförfattningar som begränsar möjligheten att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och admi- nistrativa frihetsberövanden kan och bör därför behållas, trots att definitionen av uppgifter om lagöverträdelser i registerförfattning- arna inte blir enhetlig med den som finns i dataskyddsförordningen och den föreslagna dataskyddslagen. Omfattar bestämmelsen en- skildas behandling, måste det dock först konstateras att behand-

255

Allmänt om befintliga bestämmelser

SOU 2017:66

lingen har en sådan rättslig grund att det är tillåtet med mer speci- fika bestämmelser. Om så inte är fallet, får begränsningarna inte gälla för uppgifter om friande domar i brottmål eller administrativa frihetsberövanden, eftersom sådana uppgifter inte omfattas av data- skyddsförordningens krav på begränsningar.

9.13 Personnummer

Utredningens bedömning: Bestämmelser om personnummer och samordningsnummer i registerförfattningar kan och bör behållas.

Av artikel 8.7 i dataskyddsdirektivet framgår att medlemsstaterna ska bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. I Sverige gäller enligt 22 § personuppgiftslagen att uppgifter om personnummer eller samordningsnummer får behandlas utan sam- tycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl.

Dataskyddsförordningen ställer inget krav på att medlems- staterna ska bestämma under vilka förutsättningar nationella identi- fikationsnummer (personnummer) får behandlas. I stället anges i artikel 87 i dataskyddsförordningen att medlemsstaterna får när- mare bestämma på vilka särskilda villkor ett nationellt identifika- tionsnummer eller något annat vedertaget sätt för identifiering får behandlas. I ett tillägg anges, till skillnad från vad som gäller enligt dataskyddsdirektivet, att sådana uppgifter i sådana fall endast ska användas med iakttagande av lämpliga skyddsåtgärder för de regi- strerades rättigheter och friheter enligt dataskyddsförordningen.

Dataskyddsutredningen har i sitt förslag till dataskyddslag före- slagit en bestämmelse med samma innehåll som 22 § personupp- giftslagen. Dataskyddsutredningen har dessutom föreslagit att regeringen ska få meddela ytterligare föreskrifter om i vilka fall behandling av person- och samordningsnummer är tillåten. Sådana föreskrifter kan meddelas i sektorsspecifika författningar.35

35 SOU 2017:39 s. 199–200.

256

SOU 2017:66

Allmänt om befintliga bestämmelser

Registerförfattningar innehåller normalt inte några särskilda vill- kor om när personnummer får eller inte får behandlas. Ibland kan det av en registerförfattning dock uttryckligen framgå att person- nummer får registreras, t.ex. i en databas, eller att (bara) person- nummer får användas som sökbegrepp vid vissa sökningar. Dessa typer av bestämmelser kan enligt utredningens mening inte i sig anses ställa upp några särskilda villkor om behandlingen av person- nummer. I sådant fall behöver det inte iakttas några lämpliga skydds- åtgärder enligt artikel 87 i dataskyddsförordningen. Skulle sådana bestämmelser trots allt anses ställa upp särskilda villkor och skulle artikel 87 i dataskyddsförordningen då innebära krav på nationell rätt om iakttagande av lämpliga skyddsåtgärder, är de bestämmelser som redan finns i den aktuella registerförfattningen att anse som lämpliga skyddsåtgärder (se avsnitt 9.16.2).

9.14 Överföring till tredjeland

Utredningens bedömning: Bestämmelser i registerförfattningar som tillåter överföring av personuppgifter till tredjeland behö- ver inte ändras, om det finns stöd för överföringen i dataskydds- förordningen.

Som allmän princip gäller enligt artikel 44 i dataskyddsförord- ningen att överföring av personuppgifter till ett tredjeland eller en internationell organisation bara får ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i dataskyddsförordningen, uppfyller vill- koren i artikel 45–49.

Av artikel 25.1 i dataskyddsdirektivet, som är utformad som en huvudregel, framgår att medlemsstaterna ska föreskriva att över- föringen av personuppgifter till tredjeland endast får ske om ifråga- varande tredjeland säkerställer en adekvat skyddsnivå. Någon mot- svarande generell bestämmelse som tillåter överföring till tredjeland vid adekvat skyddsnivå i det landet finns inte i dataskyddsförord- ningen. Kravet på adekvat skyddsnivå har kommit till uttryck i 33 § personuppgiftslagen. Enligt den paragrafen är det förbjudet att till tredjeland föra över personuppgifter, om landet inte har en adekvat nivå för skyddet av personuppgifterna.

257

Allmänt om befintliga bestämmelser

SOU 2017:66

Av artikel 45 i dataskyddsförordningen framgår att personupp- gifter får överföras till ett tredjeland eller en internationell organi- sation om kommissionen har beslutat att tredjelandet, ett territo- rium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå. Artikeln förutsätter alltså ett beslut från kommissionen. Motsvarande bestämmelse finns i artikel 25.6 i dataskyddsdirektivet.

I avsaknad av ett beslut från kommissionen får en personupp- giftsansvarig eller ett personuppgiftsbiträde enligt artikel 46 i data- skyddsförordningen endast överföra personuppgifter till ett tredje- land eller en internationell organisation efter att ha vidtagit lämp- liga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgäng- liga. Lämpliga skyddsåtgärder får bl.a. ta formen av bindande före- tagsbestämmelser, för vilka förutsättningarna anges i artikel 47 i dataskyddsförordningen. Motsvarande undantag finns i artikel 26.2 i dataskyddsdirektivet.

Artikel 48 i dataskyddsförordningen slår fast att domstolsbeslut eller beslut från myndigheter i tredjeland om krav på att lämna ut personuppgifter får erkännas eller genomföras endast om det grun- dar sig på en internationell överenskommelse, som gäller mellan det begärande tredjelandet och unionen eller en medlemsstat. Någon motsvarande bestämmelse finns inte i dataskyddsdirektivet.

Om det inte finns något beslut om adekvat skyddsnivå enligt artikel 45 eller vidtagna lämpliga skyddsåtgärder enligt artikel 46, får personuppgifter överföras till ett tredjeland eller en internatio- nell organisation endast om minst ett av flera – i artikel 49 i data- skyddsförordningen angivna – villkor är uppfyllt. Personuppgifter får överföras om överföringen sker med stöd av samtycke från den registrerade (a), om överföringen är nödvändig för att fullgöra ett avtal mellan den personuppgiftsansvarige och den registrerade eller en annan fysisk eller juridisk person som agerar i den registrerades intresse (b och c), om överföringen är nödvändig av viktiga skäl som rör allmänintresset (d), om överföringen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk (e), om över- föringen är nödvändig för att skydda den registrerades eller andra personers grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke (f), eller om över- föringen görs från ett register som enligt unionsrätten eller med-

258

SOU 2017:66

Allmänt om befintliga bestämmelser

lemsstaternas nationella rätt är avsett att ge allmänheten informa- tion (g). Motsvarande villkor anges i artikel 26.1 i dataskydds- direktivet, och i 34 § personuppgiftslagen finns några av villkoren uppräknade som undantag till huvudregeln i 33 § att personuppgifter inte får överföras till tredjeland utan adekvat skyddsnivå.

Bestämmelsen i 34 § personuppgiftslagen omfattar inte undan- tag som motiveras av viktiga allmänna intressen. Av artikel 26.1 d i dataskyddsdirektivet följer dock att om överföringen är nödvändig eller bindande enligt författning kan skäl som rör viktiga allmänna intressen utgöra grund för överföring av personuppgifter till tredje- land. Undantag som grundar sig på viktiga allmänna intressen – eller i övrigt i andra fall än som avses i 34 § personuppgiftslagen – måste alltså framgå av annan författning än personuppgiftslagen, eftersom förbudet mot överföring i 33 § personuppgiftslagen annars gäller. Av detta skäl finns det ibland bestämmelser i register- författningar som tillåter överföring av personuppgifter till tredje- land. I 35 § andra stycket personuppgiftslagen bemyndigas också regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från förbudet i 33 §, om det be- hövs med hänsyn till ett viktigt allmänt intresse.

Av artikel 49.3 i dataskyddsförordningen framgår att åtgärder som vidtas av offentliga myndigheter som ett led i myndighets- utövning inte får vidtas med stöd av samtycke eller för att överfö- ringen är nödvändig för att fullgöra ett avtal mellan den person- uppgiftsansvarige och den registrerade eller en annan fysisk eller juridisk person som agerar i den registrerades intresse. Detta är nytt i förhållande till dataskyddsdirektivet. Nytt är också kravet på att allmänintresset, om överföringen sker för att den är nödvändig av viktiga skäl som rör allmänintresset, enligt artikel 49.4 i data- skyddsförordningen ska vara erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av.

I artikel 49.5 i dataskyddsförordningen ges möjlighet att i unions- rätten eller medlemsstaternas nationella rätt med hänsyn till viktiga allmänintressen uttryckligen fastställa gränser för överföringen av specifika kategorier av personuppgifter till ett tredjeland eller en internationell organisation, om beslut om adekvat skyddsnivå saknas.

Om en överföring inte har stöd i artikel 45 eller 46 och inget av undantagen i artikel 49.1 första stycket i dataskyddsförordningen är tillämpligt, får en överföring till ett tredjeland eller en interna-

259

Allmänt om befintliga bestämmelser

SOU 2017:66

tionell organisation enligt artikel 49.1 andra stycket äga rum endast om överföringen inte är repetitiv, endast gäller ett begränsat antal registrerade, är nödvändig för ändamål som rör den personuppgifts- ansvariges tvingande berättigade intressen och den registrerades intressen eller rättigheter och friheter inte väger tyngre, och den personuppgiftsansvarige har bedömt samtliga omständigheter kring överföringen av uppgifter och på grundval av denna bedömning vidtagit lämpliga skyddsåtgärder för att skydda personuppgifter.

Dataskyddsförordningens bestämmelser om överföring till tredje- land är direkt tillämpliga och medför inte något behov av nationella bestämmelser som tillåter överföring av personuppgifter till tredje- land. En bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten har dock en klargörande verkan och får anses vara en sådan mer specifik, eller särskild, be- stämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt arti- kel 6.1 c och e i dataskyddsförordningen. Bestämmelser i register- författningar som anger när överföring av personuppgifter till tredje- land är tillåten behöver därför inte ändras under förutsättning att de i sak inte strider mot dataskyddsförordningen.

Enligt artikel 96 i dataskyddsförordningen ska de internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före den 24 maj 2016 och som är förenliga med unionsrätten i dess lydelse innan detta datum, fortsätta att gälla tills de ändras, ersätts eller återkallas. Det innebär att det inte med anledning av data- skyddsförordningen krävs någon anpassning av författningar om tillämpning av konventioner om t.ex. social trygghet, även om för- fattningarna reglerar överföring av personuppgifter till tredjeland.

260

SOU 2017:66

Allmänt om befintliga bestämmelser

9.15 Den registrerades rättigheter

9.15.1 Utökade rättigheter för registrerade

Utredningens bedömning: Bestämmelser i registerförfattningar om att den information som ska lämnas till registrerade ska inne- hålla fler upplysningar än vad som följer av dataskyddsförord- ningen kan och bör behållas om skyldigheten avser myndigheter eller den ursprungliga behandlingen grundas på att den är nöd- vändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Krav på infor- mation till registrerade som motsvarar krav som finns i data- skyddsförordningen bör tas bort. Bestämmelserna bör kom- pletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen.

Bestämmelser i registerförfattningar som hänvisar till person- uppgiftslagens bestämmelser om rättelse bör upphävas.

Information som ska lämnas självmant

Regleringen i dataskyddsförordningen

Av artikel 13.1 i dataskyddsförordningen följer att om personupp- gifter samlas in från den registrerade, ska den personuppgiftsansva- rige, när personuppgifterna erhålls, till den registrerade lämna viss information om den personuppgiftsansvarige, dataskyddsombudet, ändamål och rättslig grund för behandlingen, de intressen som en eventuell behandling som sker med stöd av en intresseavvägning enligt artikel 6.1 f baseras på, mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna samt uppgifter om överföring till tredjeland eller en internationell organisation. Vidare följer av artikel 13.2 i dataskyddsförordningen att information ska lämnas om lagringstid, uppgift om den registrerades rätt till till- gång, rättelse, radering, begränsning av behandling, invändning mot behandling och dataportabilitet, rätten att – om behandlingen grundar sig på samtycke enligt artikel 6.1 a eller artikel 9.2 a – åter- kalla samtycket utan att detta påverkar lagligheten av behandling som skett innan samtycket återkallades, rätten att inge klagomål till

261

Allmänt om befintliga bestämmelser

SOU 2017:66

en tillsynsmyndighet, uppgift om huruvida den registrerade är skyl- dig att tillhandahålla personuppgifterna och följderna av att uppgif- terna inte lämnas samt uppgift om automatiserat beslutsfattande, inbegripet profilering. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de samlades in, ska den personuppgiftsansvarige enligt artikel 13.3 i dataskyddsförordningen före den behandlingen ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2. Punkterna 1, 2 och 3 ska enligt artikel 13.4 i dataskyddsförordningen inte tillämpas om den regi- strerade redan förfogar över informationen.

Artikel 14 i dataskyddsförordningen reglerar den information som ska tillhandahållas om personuppgifterna har erhållits från någon annan än den registrerade. Utöver den information som anges i artikel 13 ska även information om de kategorier av person- uppgifter som behandlingen gäller lämnas. I stället för information om skyldigheten att tillhandahålla personuppgifterna gäller att infor- mation ska lämnas om varifrån uppgifterna kommer. När det gäller den tidpunkt inom vilken informationen ska lämnas anges i arti- kel 14.3 i dataskyddsförordningen att den personuppgiftsansvarige ska lämna informationen inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personupp- gifterna behandlas. Det finns också möjlighet att lämna informa- tion först vid tidpunkten för den första kommunikationen med den registrerade eller först när personuppgifterna lämnas ut för första gången. Information behöver inte lämnas om den registrerade redan har tillgång till informationen. Information behöver inte heller lämnas om det visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål, eller i den mån informations- skyldigheten sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen. I sådana fall ska den personuppgiftsansvarige vidta lämpliga skyddsåtgärder. Om erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, behöver information inte heller lämnas.

262

SOU 2017:66

Allmänt om befintliga bestämmelser

Information ska inte heller lämnas om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser.

Av artikel 12.1 i dataskyddsförordningen följer att den person- uppgiftsansvarige ska tillhandahålla informationen i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det, får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt.

Regleringen i den föreslagna dataskyddslagen

Dataskyddsutredningen har föreslagit att ett undantag från skyldig- heten att lämna information enligt artikel 13 och 14 i dataskydds- förordningen ska införas i 5 kap. 1 § dataskyddslagen. Undantaget innebär att skyldigheten att lämna information inte gäller uppgifter som inte får lämnas ut till den registrerade enligt lag, författning eller beslut som meddelats med stöd av författning. En person- uppgiftsansvarig som inte är en myndighet ska i motsvarande fall som avses i offentlighets- och sekretesslagen få vägra att lämna ut uppgifter. Bestämmelsen motsvarar det undantag som i dag finns i 27 § personuppgiftslagen. Sekretess och tystnadsplikt föreslås alltså precis som i dag gå före informationsplikten.36

Skillnader i förhållande till regleringen i dataskyddsdirektivet och personuppgiftslagen

Dataskyddsförordningens bestämmelser om information är mer utförliga än de som finns i artikel 10 och 11 i dataskyddsdirektivet. Den registrerade har således en rätt att få mer information än vad som gäller enligt dataskyddsdirektivet. Kontaktuppgifter till data- skyddsombudet, uppgift om tredjelandsöverföring, lagringstid,

36 SOU 2017:39 s. 204–206.

263

Allmänt om befintliga bestämmelser

SOU 2017:66

rätten att återkalla ett samtycke och rätten att inge klagomål är exempel på information som tillkommit. En annan nyhet är att den personuppgiftsansvarige är skyldig att informera innan denne ytter- ligare behandlar personuppgifterna för ett annat syfte än det för vilket de samlades in.

Regleringen av vid vilken tidpunkt information ska lämnas om behandling av uppgifter som har samlats in från någon annan än den registrerade har också ändrats. Huvudregeln enligt dataskydds- direktivet är att informationen ska lämnas vid tiden för registrer- ingen, medan dataskyddsförordningen föreskriver att det ska ske inom en rimlig tid från erhållandet av uppgifterna. Enligt data- skyddsförordningen finns det också möjlighet att informera först i samband med den första kommunikationen med den registrerade.

Bestämmelsen i artikel 12.1 i dataskyddsförordningen om i vilken form information ska lämnas saknar motsvarighet i dataskydds- direktivet. Bestämmelsen innebär att den registrerades rättigheter utökas.

Bestämmelser i registerförfattningar om att information utöver vad som följer av dataskyddsförordningen ska lämnas självmant

Det förekommer att det i registerförfattningar finns bestämmelser som preciserar personuppgiftslagens reglering av vilken informa- tion den personuppgiftsansvarige självmant på ett eller annat sätt ska lämna till den registrerade. Bestämmelserna har införts för att det ska bli tydligare vilken information som ska lämnas.37

Sådana bestämmelser i registerförfattningar som innebär att den information som ska lämnas till registrerade ska innehålla fler upp- lysningar än vad som följer av dataskyddsförordningen kan behållas om skyldigheten avser myndigheter (se avsnitt 9.2) eller den ur- sprungliga behandlingen grundas på att den är nödvändig för att fullgöra en rättslig förpliktelse eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se avsnitt 9.3). Utredningen anser därför att sådana bestämmelser bör behållas. Om bestämmelserna kräver att informationen ska innehålla sådana upplysningar som ska lämnas

37 Se t.ex. prop. 2008/09:145 s. 363 och prop. 2007/08:126 s. 208.

264

SOU 2017:66

Allmänt om befintliga bestämmelser

enligt dataskyddsförordningens bestämmelser om information, bör dock dessa krav tas bort. Att bestämmelserna rensas på informa- tionskrav innebär inte någon skillnad i sak, eftersom samma krav gäller enligt dataskyddsförordningen. För att bestämmelserna om information i registerförfattningarna inte ska leda till den felaktiga slutsatsen att de reglerar all den information som behöver lämnas självmant, bör bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen. Hänvisningen till dataskyddsförordningens bestämmelser om in- formation bör vara av dynamisk karaktär, dvs. avse vid var tid gäll- ande lydelse av bestämmelserna, eftersom det bara gäller en upplys- ning och dataskyddsförordningen är direkt tillämplig.

Information som ska lämnas på begäran (registerutdrag)

Regleringen i dataskyddsförordningen

Den registrerades rätt till tillgång regleras i artikel 15 i dataskydds- förordningen. Den registrerade har rätt att av den personuppgifts- ansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till person- uppgifterna. Den registrerade har också rätt till viss information om ändamålen med behandlingen, de kategorier av personuppgifter som behandlingen gäller, mottagarna eller de kategorier av mot- tagare till vilka personuppgifterna lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer, lagringstid, rätten till rättelse, radering, begränsning av behandling och invändning mot behandling, rätten att inge klagomål till en tillsynsmyndighet, varifrån uppgifterna kommer samt automatiserat beslutsfattande, inbegripet profilering.

Den personuppgiftsansvarige ska enligt artikel 15.3 i dataskydds- förordningen förse den registrerade med en kopia av de person- uppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift. Om den registrerade gör begäran i elektronisk form, ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat. Av skäl 63 till dataskyddsförordningen framgår att den registrerade bör kunna utöva sin rätt att få tillgång med rimliga intervall.

265

Allmänt om befintliga bestämmelser

SOU 2017:66

Enligt artikel 12.1 i dataskyddsförordningen ska informationen tillhandahållas i en koncis, klar och tydlig, begriplig och lätt till- gänglig form, med användning av klart och tydligt språk, i synner- het för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det, får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt. I artikel 12 i data- skyddsförordningen finns även vissa andra krav som den person- uppgiftsansvarige har att iaktta, bl.a. avseende den tid inom vilken information ska lämnas till den registrerade. Där finns också en bestämmelse om att den personuppgiftsansvarige har möjlighet att ta ut en avgift eller vägra att tillmötesgå en begäran enligt artikel 15 i dataskyddsförordningen, om denna är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva art.

Regleringen i den föreslagna dataskyddslagen

Dataskyddsutredningens förslag till undantag för uppgifter som på grund av sekretess och tystnadsplikt inte får lämnas ut till den regi- strerade föreslås omfatta även information som ska lämnas på begä- ran enligt artikel 15 i dataskyddsförordningen. Regleringen kom- mer alltså, om förlaget genomförs, att motsvara vad som gäller enligt 27 § personuppgiftslagen. 38

Dataskyddsutredningen har även föreslagit att rätten till tillgång i artikel 15 i dataskyddsförordningen inte ska gälla personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Undan- taget ska inte gälla om uppgifterna har lämnats ut till tredje part eller om de behandlas enbart för arkivändamål av allmänt intresse eller statistiska ändamål. Undantaget ska inte heller gälla person- uppgifter i löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under längre tid än ett år.39 Varken Dataskyddsutredningen eller Forskningsdatautredningen har före- slagit något undantag avseende uppgifter som behandlas enbart för

38 SOU 2017:39 s. 204–206.

39 SOU 2017:39 s. 206–207.

266

SOU 2017:66

Allmänt om befintliga bestämmelser

forskningsändamål.40 Bestämmelsen motsvarar i övrigt 26 § tredje stycket personuppgiftslagen.

Skillnader i förhållande till regleringen i dataskyddsdirektivet och personuppgiftslagen

Den registrerades rätt till tillgång till personuppgifter om sig själv regleras i artikel 12 i dataskyddsdirektivet som har genomförts genom 26 § personuppgiftslagen. Dessa bestämmelser innehåller inte lika omfattande krav som dataskyddsförordningen. I förhållande till dataskyddsdirektivet och personuppgiftslagen innebär data- skyddsförordningens reglering en utökad rätt till information om lagringstid, rätten till rättelse, radering, begränsning av behandling och invändning mot behandling, rätten att inge klagomål till en till- synsmyndighet samt vissa uppgifter vid överföring till tredjeland.

Bestämmelserna om när uppgifterna ska lämnas skiljer sig också något åt. I dataskyddsförordningen anges den maximala tidsperiod som kan accepteras innan det krävs en åtgärd av den personupp- giftsansvarige, medan det av dataskyddsdirektivet endast framgår att informationen ska ges utan större tidsutdräkt. I personuppgifts- lagen anges att information ska ges inom en månad från det att an- sökan gjordes eller senast inom fyra månader, om det finns särskilda skäl.

Hur ofta informationen ska lämnas anges på samma sätt i såväl dataskyddsdirektivet som i dataskyddsförordningen, dvs. med rim- liga intervall. I personuppgiftslagen har dock införts en skyldighet att lämna information gratis bara en gång per kalenderår. Lagstiftaren har alltså ansett att en gång per kalenderår utgör ett rimligt intervall enligt dataskyddsdirektivet. Eftersom personuppgiftslagens bestäm- melse kommer att upphöra att gälla i samband med att dataskydds- förordningen börjar tillämpas, är det dataskyddsförordningens be- stämmelse om rimliga intervall som ska tillämpas i fortsättningen.

Bestämmelserna i dataskyddsförordningen om i vilken form informationen ska lämnas samt vilka åtgärder som kan vidtas vid en begäran som är ogrundad eller orimlig är nya. Personuppgiftslagen innehåller å sin sida vissa formkrav på ansökan om registerutdrag

40 Jämför SOU 2017:39 s. 207 och SOU 2017:50 s. 222-224.

267

Allmänt om befintliga bestämmelser

SOU 2017:66

som inte finns i dataskyddsdirektivet eller dataskyddsförordningen

– att ansökan ska göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. I dataskyddsförord- ningen finns däremot en ny möjlighet att begära ytterligare informa- tion som är nödvändig för att bekräfta den registrerades identitet.

Rätten till rättelse, radering och begränsning av behandling

Den registrerade har enligt artikel 16–19 i dataskyddsförordningen rätt till rättelse, radering och begränsning av behandling.

Enligt artikel 16 i dataskyddsförordningen har den registrerade rätt att få felaktiga personuppgifter som rör honom eller henne rättade. Det finns också en möjlighet att få ofullständiga person- uppgifter kompletterade, bl.a. genom att tillhandahålla ett kom- pletterande yttrande. Rätten till komplettering är ny i förhållande till dataskyddsdirektivet.

Rätten till radering, också kallad rätten att bli bortglömd, följer av artikel 17 i dataskyddsförordningen. Det finns inte någon defini- tion av begreppet radering i dataskyddsförordningen. Det finns inte heller något skrivet i skälen till dataskyddsförordningen om vad som avses med begreppet. Begreppet får enligt vanligt språk- bruk anses innebära samma sak som begreppet utplåning som an- vänds i dataskyddsdirektivet. Rätten till radering är dock betydligt mer detaljerat reglerad än rätten till utplåning enligt dataskydds- direktivet. Rättigheten är inte obegränsad. Enligt artikel 17.3 b i dataskyddsförordningen gäller den t.ex. inte när behandling av personuppgifter är nödvändig för att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlems- stats nationella rätt, eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning.

Enligt artikel 18 i dataskyddsförordningen har den registrerade rätt att under vissa förutsättningar kräva att behandlingen av person- uppgifter begränsas, vilket har ersatt den åtgärd som enligt data- skyddsdirektivet benämns som blockering. Den registrerade har rätt att kräva att behandlingen begränsas om han eller hon bestrider personuppgifternas korrekthet, under en tid som ger den person- uppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta (artikel 18.1 a). Begränsning kan också krävas om be-

268

SOU 2017:66

Allmänt om befintliga bestämmelser

handlingen är olaglig och den registrerade motsätter sig att person- uppgifterna raderas och i stället begär en begränsning av deras användning (artikel 18.1 b). Om den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behand- lingen, kan den registrerade kräva att behandlingen begränsas om han eller hon behöver uppgifterna för att kunna fastställa, göra gällande eller försvara rättsliga anspråk (artikel 18.1 c). Slutligen kan begränsning krävas om den registrerade har invänt mot be- handling i enlighet med artikel 21.1 i dataskyddsförordningen i väntan på kontroll av huruvida den personuppgiftsansvariges be- rättigade skäl väger tyngre än den registrerades berättigade skäl (artikel 18.1 d). Av artikel 18.2 i dataskyddsförordningen följer att om behandlingen har begränsats i enlighet med artikel 18.1 i data- skyddsförordningen får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat. Vidare anges i artikel 18.3 i dataskyddsförordningen att en registrerad som har fått behandling begränsad ska underrättas av den personuppgiftsansvarige innan begränsningen av behand- lingen upphör. Bestämmelserna innebär i förhållande till dataskydds- direktivet bl.a. en ny skyldighet att på begäran bevara person- uppgifter och en skyldighet att begränsa behandlingen medan det utreds om det är korrekt att behandla uppgifterna.

Slutligen, enligt artikel 19 i dataskyddsförordningen, ska den personuppgiftsansvarige underrätta varje mottagare till vilken person- uppgifterna har lämnats ut om eventuell rättelse eller radering av personuppgifter eller begränsning av behandling som skett i enlig- het med artikel 16, 17.1 och 18 i dataskyddsförordningen, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträng- ning. Det motsvarar i huvudsak vad som gäller enligt dataskydds- direktivet. Den personuppgiftsansvarige ska på den registrerades begäran dessutom informera den registrerade om dessa mottagare. Detta är en nyhet i förhållande till dataskyddsdirektivet.

I artikel 12 i dataskyddsförordningen finns det bestämmelser om bl.a. tidsfrister för att informera den registrerade om vad som hänt med anledning av en begäran om en åtgärd.

269

Allmänt om befintliga bestämmelser

SOU 2017:66

Dataskyddsdirektivets reglering av dessa rättigheter är inte alls lika omfattande. I artikel 12 b i dataskyddsdirektivet anges endast att medlemsstaterna ska säkerställa att varje registrerad har rätt att i förekommande fall få sådana uppgifter som inte behandlats i enlighet med bestämmelserna i direktivet rättade, utplånade eller blockerade, särskilt om dessa är ofullständiga eller felaktiga. Enligt artikel 12 c i dataskyddsdirektivet ska varje registrerad vidare ha rätt att få genomfört att en tredje man till vilken sådana uppgifter utlämnats underrättas om varje rättelse, utplåning eller blockering som ut- förts i enlighet med punkt b, om inte detta visar sig vara omöjligt eller innebär en oproportionerligt stor ansträngning.

Dataskyddsdirektivets bestämmelser har kommit till uttryck i 28 § personuppgiftslagen som anger att personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen, på begäran av den registrerade snarast ska rättas, blockeras eller utplånas.

Registerförfattningar, utom sådana som reglerar registrering som medför rättsverkningar, innehåller sällan några särskilt utfor- made bestämmelser om rättelse utan hänvisar i stället till person- uppgiftslagens bestämmelser. När registerförfattningarna hänvisar till personuppgiftslagens bestämmelser om rättelse avses även åt- gärderna blockering och utplåning. Skälet till att det i registerför- fattningar ofta finns en hänvisning till personuppgiftslagens be- stämmelser om rättelse är att bestämmelserna annars inte skulle vara tillämpliga. Detta eftersom 28 § personuppgiftslagen enligt sin ordalydelse endast gäller personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfär- dats med stöd av personuppgiftslagen. För att bestämmelserna ska vara tillämpliga även när personuppgifter behandlats i strid med registerförfattningar, krävs därför att de anges gälla på motsvarande sätt vid behandling av personuppgifter enligt den aktuella författ- ningen.

Bestämmelser i registerförfattningar med hänvisningar till person- uppgiftslagens bestämmelser om rättelse kan inte behållas när personuppgiftslagen upphävs. Eftersom dataskyddsförordningens bestämmelser om rättelse, radering och begränsning av behandling är direkt tillämpliga och inte specifikt begränsade till behandling i strid med dataskyddsförordningen, behövs det ingen hänvisning till dessa bestämmelser. Bestämmelser i registerförfattningar med hän-

270

SOU 2017:66

Allmänt om befintliga bestämmelser

visningar till personuppgiftslagens bestämmelser om rättelse bör således upphävas och inte ersättas av hänvisningar till dataskydds- förordningen.

Rätten att göra invändningar

Den registrerade ska, enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av person- uppgifter avseende honom eller henne som grundar sig på arti- kel 6.1 e (allmänt intresse respektive myndighetsutövning) eller f (intresseavvägning). Den personuppgiftsansvarige får då inte längre behandla personuppgifterna om denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registre- rades intressen, rättigheter eller friheter eller om det sker för fast- ställande, utövande eller försvar av rättsliga anspråk.

I dataskyddsdirektivet regleras rätten att göra invändningar i artikel 14 a. Av bestämmelsen framgår att medlemsstaterna ska tillförsäkra den registrerade en rätt att, i de fall behandlingen sker med stöd av grunderna allmänt intresse, myndighetsutövning eller intresseavvägning när som helst av avgörande och berättigade skäl som rör den registrerades personliga situation, motsätta sig behand- ling av personuppgifter som rör honom eller henne. Regleringen i dataskyddsförordningen skiljer sig alltså från den i dataskydds- direktivet på så sätt att det inte längre är den registrerade som ska ha berättigade skäl, utan i stället den personuppgiftsansvarige som ska kunna redogöra för varför behandlingen ska få äga rum.

En annan betydande skillnad mellan dataskyddsförordningen och dataskyddsdirektivet är möjligheten att i nationell rätt reglera undantag från rätten att motsätta sig behandlingen. Enligt data- skyddsdirektivet gäller rätten att motsätta sig behandling utom när den nationella lagstiftningen föreskriver något annat. Några sär- skilda villkor för att införa sådana begränsningar i nationell rätt ställs inte upp. Medlemsstaterna har, såsom vi tolkat dataskydds- direktivet i Sverige, därför enkelt kunnat reglera bort rättigheten i nationell rätt. Datalagskommittén såg inte tillräckliga skäl för att föreslå en generell rätt att motsätta sig behandling av personupp- gifter; i stället har i personuppgiftslagen införts en mycket begrän-

271

Allmänt om befintliga bestämmelser

SOU 2017:66

sad möjlighet för den registrerade att göra invändningar. Av 12 § andra stycket personuppgiftslagen följer att en registrerad bara kan motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen om behandlingen avser ändamål som rör direkt marknadsföring eller om behandlingen sker med stöd av samtycke. Om behandlingen sker med stöd av samtycke, är det dessutom enbart behandling av ytterligare personuppgifter efter att samtycket tagits tillbaka, som den registrerade slipper. Även en del registerförfattningar innehåller bestämmelser om att den registre- rade inte har möjlighet att motsätta sig sådan behandling som är tillåten enligt författningen.

Dataskyddsförordningen möjliggör i likhet med dataskydds- direktivet nationella undantag från rätten att invända mot behand- ling, men endast under de förutsättningar som anges i artikel 23.1 (se avsnitt 9.15.2). Medlemsstaterna kan således inte längre genom generella bestämmelser begränsa rätten att invända mot behandling. Eventuella nationella begränsningar måste i stället utgå från avväg- ningar i fråga om nödvändighet och proportionalitet samt grunda sig på något av de mål som anges i artikel 23.1 i dataskyddsförord- ningen.

Automatiserat och individuellt beslutsfattande

I artikel 22 i dataskyddsförordningen finns det bestämmelser om automatiserat beslutsfattande. Huvudregeln enligt artikel 22.1 i dataskyddsförordningen är att den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Enligt skäl 71 till dataskyddsförordningen kan det röra sig om t.ex. ”ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt”. Profilering defi- nieras i artikel 4.4 i dataskyddsförordningen som ”varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation,

272

SOU 2017:66

Allmänt om befintliga bestämmelser

hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelse- ort eller förflyttningar”.

I dataskyddsdirektivet finns motsvarande bestämmelser om automatiserade beslut; där kallade databehandlade beslut. Av arti- kel 15.1 i dataskyddsdirektivet framgår att medlemsstaterna ska ge varje person rätten att inte bli föremål för ett beslut som har rätts- liga följder för honom eller som märkbart påverkar honom och som enbart grundas på automatisk behandling av uppgifter som är avsedda att bedöma vissa personliga egenskaper hos honom, exem- pelvis hans arbetsprestationer, kreditvärdighet, pålitlighet och upp- trädande.

Det framgår inte tydligt om det finns en skillnad i tillämpnings- området mellan artikel 22.1 i dataskyddsförordningen och arti- kel 15.1 i dataskyddsdirektivet. Artikel 15.1 i dataskyddsdirektivet omfattar enbart beslut som grundas på profilering medan formuler- ingen ”beslut som enbart grundas på automatiserad behandling, inbegripet profilering,” i artikel 22.1 i dataskyddsförordningen kan tolkas som att artikeln omfattar även andra beslut än sådana som grundas enbart på profilering. Även skäl 71 till dataskyddsförord- ningen är otydligt i fråga om vad som avses. I den uppräkning av rättigheter som kan begränsas enligt artikel 23 i dataskyddsförord- ningen som finns i skäl 73 nämns däremot endast profileringsbase- rade beslut. Detta tyder på att det bara är beslut grundade enbart på profilering som avses i artikel 22.1 i dataskyddsförordningen. Även kommissionens förslag till dataskyddsförordning (artikel 20) gällde endast åtgärder på grundval av profilering och frågans hantering därefter antyder inte att någon förändring i förhållande till data- skyddsdirektivet är avsedd. Utredningen utgår därför från att arti- kel 22.1 i dataskyddsförordningen omfattar bara sådana beslut som grundas enbart på automatiserad behandling som inkluderar profi- lering.

Från huvudregeln att den registrerade ska ha rätt att inte bli föremål för automatiserat beslutsfattande finns enligt artikel 22.2 i dataskyddsförordningen flera undantag. Artikel 22.1 i dataskydds- förordningen ska inte tillämpas om beslutet är nödvändigt för ingå- ende eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige, om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansva- rige omfattas av och som fastställer lämpliga åtgärder till skydd för

273

Allmänt om befintliga bestämmelser

SOU 2017:66

den registrerades rättigheter, friheter och berättigade intressen, eller om beslutet grundar sig på den registrerades uttryckliga sam- tycke. I de fall det är tillåtet att fatta automatiserade beslut med anledning av ett avtal eller med stöd av samtycke, ska den person- uppgiftsansvarige enligt artikel 22.3 i dataskyddsförordningen genom- föra lämpliga åtgärder för att säkerställa den registrerades rättig- heter, friheter och rättsliga intressen, åtminstone rätten till per- sonlig kontakt med den personuppgiftsansvarige för att kunna ut- trycka sin åsikt och bestrida beslutet. Beslut får enligt artikel 22.4 i dataskyddsförordningen grunda sig på känsliga personuppgifter endast om behandlingen sker med stöd av artikel 9.2 a (samtycke) eller g (viktigt allmänt intresse) och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits.

Lämpliga skyddsåtgärder bör enligt skäl 71 till dataskyddsför- ordningen inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att er- hålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. Vidare anges i skäl 71 ytterligare åtgär- der för att skydda den registrerade:

I syfte att sörja för rättvis och transparent behandling med avseende på den registrerade, med beaktande av omständigheterna och det sam- manhang i vilket personuppgifterna behandlas, bör den personupp- giftsansvarige använda adekvata matematiska eller statistiska förfaran- den för profilering, genomföra tekniska och organisatoriska åtgärder som framför allt säkerställer att faktorer som kan medföra felaktig- heter i personuppgifter korrigeras och att risken för fel minimeras samt säkra personuppgifterna på sådant sätt att man beaktar potentiella risker för den registrerades intressen och rättigheter och förhindrar bland annat diskriminerande effekter för fysiska personer, på grund av ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse, medlemskap i fackföreningar, genetisk status eller hälsostatus eller sexuell läggning, eller som leder till åtgärder som får sådana effekter.

Även i dataskyddsdirektivet finns undantag från huvudregeln. En person får enligt artikel 15.2 i dataskyddsdirektivet trots allt bli föremål för ett sådant beslut som avses i artikel 15.1 om beslutet fattas som ett led i ingåendet eller fullgörandet av ett avtal eller tillåts i lagstiftning som innehåller bestämmelser till skydd för den registrerades berättigade intressen. I fråga om avtal krävs också att den registrerades begäran om ingående eller fullgörande av avtalet har bifallits eller att det vidtas lämpliga åtgärder för att skydda hans

274

SOU 2017:66

Allmänt om befintliga bestämmelser

berättigade intressen, exempelvis möjligheten för honom att göra sin uppfattning gällande.

Att ett beslut enligt dataskyddsförordningen kan fattas auto- matiserat med stöd av samtycke från den registrerade är således en nyhet i förhållande till dataskyddsdirektivet. Begränsningen i fråga om känsliga personuppgifter är också ny i förhållande till data- skyddsdirektivet.

Dataskyddsdirektivets bestämmelser har kommit till uttryck i 29 § personuppgiftslagen, där det anges att om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automati- serad behandling av sådana personuppgifter som är avsedda att be- döma egenskaper hos personen, ska den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut har enligt paragrafens andra stycke rätt att på ansökan få information från den person- uppgiftsansvarige om vad som har styrt den automatiserade be- handling som lett fram till beslutet.

I den mån det inom Socialdepartementets verksamhetsområde förekommer beslut som grundas enbart på automatiserad behand- ling och inkluderar profilering, krävs det att något av de undantag som anges i artikel 22.2 i dataskyddsförordningen är tillämpligt. Vanligare är dock att beslut fattas genom automatiserad behandling utan att det inkluderar profilering. Sådana beslut omfattas enligt utredningens tolkning inte av artikel 22 i dataskyddsförordningen och dataskyddsförordningen ställer inte heller i övrigt några krav på att sådant beslutsfattande regleras särskilt. Då krävs endast att behandlingen av personuppgifter som sådan är tillåten enligt gäll- ande dataskyddslagstiftning.

275

Allmänt om befintliga bestämmelser

SOU 2017:66

9.15.2 Begränsningar av rättigheter

Utredningens bedömning: En begränsning av de nya rättighet- erna för registrerade bör övervägas bara om en ny rättighet kan anses alldeles särskilt betungande för en specifik verksamhet.

Bestämmelser i registerförfattningar om begränsningar av andra rättigheter för registrerade än rätten att göra invändningar kan och bör behållas.

Bestämmelser i registerförfattningar om begränsningar av den registrerades rätt att göra invändningar enligt artikel 21 i dataskyddsförordningen kan och bör behållas om de efter en prövning i varje enskilt fall bedöms tillåtna enligt artikel 23.1.

Möjlighet till undantag

Enligt artikel 23.1 i dataskyddsförordningen ska det vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt införa en lag- stiftningsåtgärd som begränsar tillämpningsområdet för de skyl- digheter och rättigheter som föreskrivs i artikel 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artikel 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättighet- erna och friheterna och utgör en nödvändig och proportionell åt- gärd i ett demokratiskt samhälle i syfte att säkerställa olika uppräk- nade intressen.

De uppräknade intressena i artikel 23.1 i dataskyddsförord- ningen innefattar bl.a.

• unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (e),

• förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken (g),

• en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i artikel 23.1 a–e och g (h), och

276

SOU 2017:66

Allmänt om befintliga bestämmelser

• skydd av den registrerade eller andras rättigheter och friheter (i).

En begränsning enligt artikel 23.1 i dataskyddsförordningen måste dock uppfylla vissa krav. Enligt artikel 23.2 i dataskyddsförord- ningen ska en lagstiftningsåtgärd som begränsar rättigheter och skyldigheter som följer av dataskyddsförordningen innehålla speci- fika bestämmelser åtminstone, när så är relevant, avseende ända- målen med behandlingen eller kategorierna av behandling, katego- rierna av personuppgifter, omfattningen av de införda begränsning- arna, skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, riskerna för de registrerades rättigheter och friheter, och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Det framstår som något oklart vad de sista två kraven egentligen avser. När är det relevant med specifika bestämmelser om riskerna för de registrerades rättigheter och friheter och ska de innehålla en uppräkning av dessa risker eller något annat? Kravet på bestämmelser om information om begräns- ningen lär knappast ha någon relevans när själva begränsningen innebär att den registrerade inte automatiskt får information när behandlingen inleds.

En liknande bestämmelse om möjlighet till begränsning av om- fattningen av skyldigheter och rättigheter finns i artikel 13 i data- skyddsdirektivet. I den bestämmelsen anges i och för sig inte något om att begränsningen ska ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna eller att åtgärden ska vara proportionell i ett demokratiskt samhälle. Det får dock förut- sättas att begränsningar av den personuppgiftsansvariges skyldig- heter inte heller enligt dataskyddsdirektivet får göras i strid mot grundläggande rättigheter och friheter eller vara oproportionella. Europakonventionen nämns också i skäl 1 till dataskyddsdirektivet. Av Europarådets dataskyddskonvention följer vidare att lagstadgade begränsningar måste vara en nödvändig åtgärd i ett demokratiskt samhälle.

277

Allmänt om befintliga bestämmelser

SOU 2017:66

En större skillnad mellan dataskyddsförordningen och data- skyddsdirektivet är att uppräkningen av de intressen som en be- gränsning måste syfta till att säkerställa har utökats i dataskydds- förordningen. Dessutom har vissa av de befintliga intressena for- mulerats om. Artikel 13.1 e i dataskyddsdirektivet omfattar endast viktiga ekonomiska eller finansiella intressen, medan artikel 23.1 e i dataskyddsförordningen även tar upp andra viktiga mål av generellt allmänt intresse. Uppräkningen i den punkten är inte heller längre uttömmande utan även andra mål kan omfattas. Samtidigt har orda- lydelsen i punkten e ändrats från att en begränsning ska vara nöd- vändig med hänsyn till ett viktigt (ekonomiskt eller finansiellt) intresse till ett viktigt mål av generellt allmänt intresse. I avsaknad av ytterligare tolkningsdata går det, som anges i avsnitt 9.8.1, inte att dra några säkra slutsatser om detta innebär att det krävs något annat än vad som följer av begreppet allmänt intresse som används i t.ex. artikel 6.1 e i dataskyddsförordningen. Utredningen bedömer att utrymmet för begränsningar enligt artikel 23.1 e i dataskydds- förordningen i vart fall är större än enligt motsvarande reglering i dataskyddsdirektivet, eftersom bestämmelsen inte längre enbart omfattar ekonomiska och finansiella intressen.

I artikel 23.1 g i dataskyddsförordningen har, i förhållande till dataskyddsdirektivet när det gäller överträdelser av etiska regler, förhindrande och utredning av överträdelser lagts till medan under- sökning tagits bort. Det är utredningens bedömning att begreppen utredning och undersökning har samma innebörd. Tillägget av förhindrande av överträdelser innebär en utökning i förhållande till dataskyddsdirektivet.

När det gäller tillsyns-, inspektions- eller regleringsfunktioner som nämns i artikel 23.1 h i dataskyddsförordningen har data- skyddsdirektivets formulering att bestämmelsen gäller även om funktionen är av övergående karaktär bytts ut mot formuleringen även i enstaka fall. Utredningen bedömer, i avsaknad av klargö- rande skäl, att någon ändring i sak inte är avsedd.

Formuleringen i artikel 23.1 i i dataskyddsförordningen är den- samma som i dataskyddsdirektivet.

Möjligheterna att begränsa den registrerades rättigheter, när det gäller de intressen som är aktuella inom Socialdepartementets verk- samhetsområde, är alltså desamma för vissa av punkterna medan de

278

SOU 2017:66

Allmänt om befintliga bestämmelser

för andra punkter är något utökade jämfört med vad som gäller enligt dataskyddsdirektivet.

Kravet i dataskyddsförordningen på att lagstiftningsåtgärder med begränsningar ska, när det är relevant, innehålla specifika be- stämmelser i vissa uppräknade avseenden saknar motsvarighet i dataskyddsdirektivet.

Dataskyddsutredningen har, som framgått av avsnitt 9.15.1, före- slagit vissa generella undantag avseende rätten till information och rätten till tillgång till personuppgifter. Regeringen ska dessutom enligt förslaget till 5 kap. 3 § dataskyddslagen få meddela närmare föreskrifter om ytterligare begränsningar av vissa rättigheter och skyldigheter enligt artikel 23 i dataskyddsförordningen.41

Allmänna utgångspunkter för undantag

Som framgått får den registrerade vissa nya rättigheter med data- skyddsförordningen. De nya rättigheterna för registrerade förhind- rar inte den behandling som får ske enligt registerförfattningarna. Däremot uppställs nya administrativa krav på de personuppgifts- ansvariga. Det är utredningens övergripande bedömning att dessa nya krav normalt sett inte kan anses så betungande att det med fog kan sägas vara nödvändigt och proportionerligt att begränsa dem ens vid behandling av personuppgifter som rör viktiga mål av gene- rellt allmänt intresse. Utredningens utgångspunkt är därför att det inte bör finnas begränsningar i registerförfattningarna som innebär att de registrerade inte får mera rättigheter än i dag trots att nya rättigheter följer av dataskyddsförordningen. När det gäller data- skyddsförordningens reglering av information, tillgång, rättelse, radering och begränsning av behandling har det inte framkommit att det skulle innebära några beaktansvärda svårigheter för person- uppgiftsansvariga att uppfylla de fåtaliga nyheter som dataskydds- förordningen innebär. Dataskyddsförordningens reglering bör därför som utgångspunkt gälla. Om däremot ett nytt krav kan anses alldeles särskilt betungande för en specifik verksamhet, bör en begränsning av de nya rättigheterna övervägas.

41 SOU 2017:39.

279

Allmänt om befintliga bestämmelser

SOU 2017:66

Det förekommer bestämmelser i registerförfattningar som be- gränsar de rättigheter som registrerade har i dag enligt dataskydds- direktivet och personuppgiftslagen. Det kan gälla t.ex. en begräns- ning av rätten till registerutdrag eller en bestämmelse om att be- handling som är tillåten enligt författningen får utföras även om den registrerade motsätter sig den, dvs. en begränsning av rätten att göra invändningar. Utredningen börjar med att bedöma andra be- fintliga begränsningar än sådana som begränsar rätten att göra in- vändningar.

De krav på själva begränsningen – syftet med begränsningen, nödvändig och proportionell åtgärd och respekt för andemeningen i de grundläggande rättigheterna – som gäller enligt dataskydds- förordningen är som framgått i vart fall inte snävare än enligt data- skyddsdirektivet. De bedömningar som gjorts när begränsningarna infördes bör godtas. Det är därför utredningens bedömning att de bestämmelser i registerförfattningar som begränsar registrerades rättigheter i förhållande till de som finns enligt dataskyddsförord- ningen, utom såvitt avser rätten till invändningar, i och för sig är tillåtna.

När det gäller begränsningar i registerförfattningar av rätten att göra invändningar gör utredningen följande överväganden. Det har ansetts att en begränsning av rätten att göra invändningar enligt dataskyddsdirektivet bara förutsätter att det finns en författnings- bestämmelse om det. Bestämmelser i registerförfattningar om en sådan begränsning har därför normalt inte föregåtts av en sådan prövning som den som måste göras enligt artikel 23.1 i dataskydds- förordningen. Det innebär att utredningen i fråga om sådana be- stämmelser bör göra en sådan prövning. Det behöver förstås bara göras i de fall det enligt artikel 21 i dataskyddsförordningen finns en rätt till invändningar, dvs. när den reglerade behandlingen grun- dar sig på att den är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller klarar en intresseavvägning.

Det kan tilläggas att det är utredningens uppfattning att register- författningar, som innehåller en begränsning av den registrerades rätt att göra invändningar, normalt reglerar behandling av person- uppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen.

280

SOU 2017:66

Allmänt om befintliga bestämmelser

Ett nytt krav för begränsningar enligt dataskyddsförordningen (artikel 23.2) är att lagstiftningsåtgärden, när det är relevant, också ska innehålla specifika bestämmelser i vissa uppräknade avseenden, nämligen ändamålen med behandlingen eller kategorierna av be- handling, kategorierna av personuppgifter, omfattningen av de in- förda begränsningarna, skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den person- uppgiftsansvarige eller kategorierna av personuppgiftsansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av be- handlingens art, omfattning och ändamål eller kategorierna av be- handling, riskerna för de registrerades rättigheter och friheter, och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.

Registerförfattningar med begränsningar innehåller regelmässigt också bestämmelser i de allra flesta avseenden som räknas upp i artikel 23.2 i dataskyddsförordningen. Sådana registerförfattningar har införts efter noggranna överväganden av vilka bestämmelser, utöver de som finns i personuppgiftslagen, som är relevanta i sam- manhanget. Det är därför utredningens bedömning att det nya kravet på specifika bestämmelser utan vidare analys från utredningens sida kan anses uppfyllt i fråga om befintliga begränsningar.

9.16 Säkerhetsåtgärder

9.16.1 Den generella regleringen

om säkerhetsåtgärder/skyddsåtgärder

Av artikel 6.1 c i dataskyddsdirektivet framgår att behandlade person- uppgifter ska vara adekvata och relevanta och att de inte får omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas. Artikeln har kommit till uttryck i 9 § e och f personuppgiftslagen. Samma princip finns i artikel 5.1 c i dataskyddsförordningen (principen om upp- giftsminimering). Där anges att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

En annan grundläggande princip enligt dataskyddsförordningen är att den personuppgiftsansvarige enligt artikel 5.1 f ska vidta åt- gärder som säkerställer lämplig säkerhet för personuppgifterna,

281

Allmänt om befintliga bestämmelser

SOU 2017:66

inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet).

En allmän bestämmelse om den personuppgiftsansvariges ansvar finns i artikel 24 i dataskyddsförordningen. Av den följer att den personuppgiftsansvarige, med beaktande av behandlingens art, om- fattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åt- gärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. Vidare anges att om det står i proportion till behandlingen, ska åtgärderna omfatta den personuppgiftsansva- riges genomförande av lämpliga strategier för dataskydd.

En precisering av det nämnda ansvaret finns i artikel 25 i data- skyddsförordningen som handlar om inbyggt dataskydd och data- skydd som standard. Enligt den artikeln ska den personuppgifts- ansvarige, med beaktande av den senaste utvecklingen, genomför- andekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, genomföra lämpliga tekniska och organisatoriska åtgärder, såsom pseudonymi- sering. Åtgärderna ska vara utformade för ett effektivt genomför- ande av dataskyddsprinciper, såsom uppgiftsminimering, och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i dataskyddsförordningen uppfylls och den registrerades rättigheter skyddas. Åtgärderna ska vidtas både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen.

Enligt artikel 29 i dataskyddsförordningen gäller att personupp- giftsbiträdet och personer som utför arbete under den personupp- giftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på in- struktion från den personuppgiftsansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt.

Vidare finns i artikel 32 i dataskyddsförordningen en bestäm- melse som preciserar de säkerhetsåtgärder som bör vidtas enligt artikel 25 i dataskyddsförordningen. De åtgärder som ska vidtas ska, när det är lämpligt, inbegripa pseudonymisering och krypter-

282

SOU 2017:66

Allmänt om befintliga bestämmelser

ing av personuppgifter, förmågan att fortlöpande säkerställa konfi- dentialitet, integritet, tillgänglighet och motståndskraft hos behand- lingssystemen och -tjänsterna, förmågan att återställa tillgänglig- heten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, under- söka och utvärdera effektiviteten hos de tekniska och organisato- riska åtgärder som ska säkerställa behandlingens säkerhet. Vid be- dömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Anslutning till en godkänd uppförandekod som avses i artikel 40 i dataskyddsförordningen eller en godkänd certifieringsmekanism som avses i artikel 42 i dataskyddsförordningen får användas för att visa att kraven följs. Åtgärder ska vidare vidtas för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller person- uppgiftsbiträdets överinseende, och som får tillgång till personupp- gifter, endast behandlar dessa på instruktion från den personupp- giftsansvarige, om inte unionsrätten eller medlemsstaternas natio- nella rätt ålägger honom eller henne att göra det. Skyldigheterna enligt artikel 32 i dataskyddsförordningen gäller inte bara den per- sonuppgiftsansvarige utan även personuppgiftsbiträdet.

Även enligt dataskyddsdirektivet gäller att den personuppgifts- ansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter. Enligt artikel 17 i dataskyddsdirek- tivet ska sådana åtgärder vidtas för att skydda personuppgifter mot bl.a. otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk. Av artikel 16 i dataskyddsdirektivet framgår att den som får tillgång till personuppgifter med anledning av sitt arbete, får behandla uppgifterna endast enligt instruktion från den register- ansvarige, om han inte är skyldig att göra det enligt lag. Bestämmel- serna har kommit till uttryck i 30 och 31 §§ personuppgiftslagen.

Att integritet och konfidentialitet finns med bland de allmänna principerna i artikel 5 i dataskyddsförordningen är en nyhet i för- hållande till dataskyddsdirektivet. Bestämmelserna om säkerhet i dataskyddsdirektivet har liknande innehåll som de i dataskydds- förordningen men är mer allmänt hållna. Exempelvis räknas de

283

Allmänt om befintliga bestämmelser

SOU 2017:66

säkerhetsåtgärder som bör övervägas inte upp i dataskyddsdirektivet. En annan nyhet i dataskyddsförordningen är att även personupp- giftsbiträden har ett uttryckligt ansvar för att säkerhetsåtgärder vidtas.

Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämp- liga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgifts- minimering iakttas. Åtgärderna får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av upp- gifter som inte medger eller inte längre medger identifiering av de registrerade ska ändamålen uppfyllas på det sättet. Artikel 89.1 i dataskyddsförordningen kan alltså sägas precisera de mer allmänna bestämmelserna om skyddsåtgärder som nämnts ovan, bl.a. genom att ange att den personuppgiftsansvarige i första hand ska överväga om det är möjligt att behandla sådana uppgifter som inte medger identifiering av de registrerade. Enligt utredningens bedömning får detta dock anses följa redan av den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen samt de allmänna bestämmelserna om säkerhet.

I dataskyddsdirektivet är formuleringen angående skyddsåtgärder för historiska, statistiska eller vetenskapliga ändamål något annor- lunda. I artikel 6.1 b i dataskyddsdirektivet anges att senare behand- ling för historiska, statistiska eller vetenskapliga ändamål förutsätter att medlemsstaterna beslutar om lämpliga skyddsåtgärder. Skyldig- heten för den personuppgiftsansvarige att iaktta principen om uppgiftsminimering och vidta säkerhetsåtgärder följer dock av de allmänna bestämmelserna i dataskyddsdirektivet. Det är därför utredningens bedömning att regleringen i dataskyddsförordningen motsvarar den som finns i dataskyddsdirektivet (för bedömning avseende ändrad formulering av ändamålen se avsnitt 9.17.2).

Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör, kan mer specifika krav fast- ställas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen (se avsnitt 9.3). Myndigheter kan vidare

284

SOU 2017:66

Allmänt om befintliga bestämmelser

utan hinder av dataskyddsförordningen åläggas krav på säkerhets- åtgärder (se avsnitt 9.2).

För behandling av känsliga personuppgifter med stöd av arti- kel 9.1 g, i eller j i dataskyddsförordningen gäller att nationell lag- stiftning ska innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Motsvarande krav gäller enligt artikel 10 i data- skyddsförordningen för nationell lagstiftning som tillåter behand- ling av uppgifter om lagöverträdelser utan kontroll av en myndig- het (se avsnitt 9.12). Även i artikel 87 i dataskyddsförordningen talas det om lämpliga skyddsåtgärder i fråga om behandling av ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering (se avsnitt 9.13). Nationell lagstiftning om skydds- åtgärder kan vidare vara nödvändig för att en begränsning av den registrerades rättigheter ska få göras (se avsnitt 9.15.2). Olika skydds- åtgärder är således inte bara något som kan framgå av nationell rätt, utan även något som i vissa fall måste fastställas i nationell rätt.

9.16.2 Bestämmelser om säkerhetsåtgärder i registerförfattningar

Utredningens bedömning: Bestämmelser i registerförfattningar om säkerhetsåtgärder behöver inte ändras. I fråga om enskildas behandling gäller det under förutsättning att den ursprungliga behandlingen grundar sig på artikel 6.1 c eller e i dataskyddsför- ordningen eller om behandlingen av uppgifterna grundar sig på artikel 9.2 g, i eller j eller artikel 10 i dataskyddsförordningen.

I registerförfattningar finns det ofta bestämmelser om vad som kan betecknas som säkerhetsåtgärder (eller skyddsåtgärder).

Här kan följande nämnas som exempel:

• Bestämmelser om en databas som reglerar vilka personuppgifter som får göras mera allmänt tillgängliga i den aktuella verksam- heten.

• Bestämmelser om tilldelning och begränsning av behörighet samt loggkontroll.

285

Allmänt om befintliga bestämmelser

SOU 2017:66

• Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske.

• Bestämmelser om sökbegränsningar.

• Bestämmelser om kryptering och pseudonymisering.

• Bestämmelser om samtycke som krav för en viss åtgärd.

En databas som används gemensamt i verksamheten

För vissa verksamheter har man valt att i registerförfattning knyta särskilda regler till viss behandling av personuppgifter som anses särskilt integritetskänslig. Exempelvis bedöms sådan behandling av personuppgifter, som innebär att fler än ett fåtal personer har såväl tillgång till som möjlighet att bearbeta eller förfoga över uppgif- terna på annat sätt, typiskt sett mer integritetskänslig än vad som är fallet när endast någon enstaka person förfogar över uppgifterna.42 För att avgränsa vilka personuppgifter som berörs, används ofta ett databasbegrepp. Begreppet används i juridisk mening och ansluter inte nödvändigtvis till tekniska avgränsningar eller behörighetstill- delningar.

En avgränsning av vilka personuppgifter som får behandlas i en viss databas är ett förtydligande och en tillämpning av vad som gäller enligt den grundläggande principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen. Samma princip, uttryckt på i sak samma sätt, finns i artikel 6.1 b i dataskyddsdirektivet.

Behörighetsbegränsningar och loggkontroll

Bestämmelser i registerförfattningar om begränsningar av använ- dares åtkomst till personuppgifter samt om uppföljning av åtkoms- ten är tänkta att innebära en konkretisering av personuppgifts- lagens bestämmelser om säkerhet. Genom att användare endast får tillgång till sådana personuppgifter som han eller hon exempelvis har behov av i sitt arbete, kan risken för otillåten behandling av per- sonuppgifter förbyggas eller åtminstone minskas. Loggkontroller

42 Prop. 2002/03:135 s. 47 ff.

286

SOU 2017:66

Allmänt om befintliga bestämmelser

medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då personuppgifter behand- lats på ett otillåtet sätt.

Styrning av tilldelning och begränsning av behörigheter är sådana tekniska och organisatoriska åtgärder som den personuppgifts- ansvarige ska vidta på eget initiativ enligt dataskyddsförordningen. Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör, kan mer specifika krav även fastställas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen.

Logguppföljning medför i sig vissa särskilda integritetsrisker som bör beaktas. Om uppföljning sker av anställdas åtgärder i ett ärendehanteringssystem, kan exempelvis personuppgifter avseende såväl enskilda, vars uppgifter finns i ett ärende, som de anställda komma att behandlas. Det får förutsättas att en bedömning av dessa integritetsrisker i förhållande till eventuella integritetsvinster har gjorts innan befintliga bestämmelser om logguppföljning har införts i registerförfattningar.

Direktåtkomst och utlämnande på medium för automatiserad behandling

Utlämnande genom direktåtkomst och utlämnande på medium för automatiserad behandling utgör olika former av behandling av per- sonuppgifter och regleras ofta i registerförfattningar. I dataskydds- förordningen, dataskyddsdirektivet och personuppgiftslagen finns det inga särskilda bestämmelser som direkt rör dessa former av behandling/utlämnande43 utan det krävs – i likhet med vad som gäller för all behandling av personuppgifter – att behandlingen upp- fyller tillämpliga grundläggande krav i artikel 5 i dataskyddsförord- ningen och har lagligt stöd enligt artikel 6 i dataskyddsförord- ningen. Det krävs också att säkerhetsåtgärder enligt artikel 24.1 och 32 i dataskyddsförordningen är vidtagna. Om utlämnandet avser känsliga personuppgifter eller uppgifter om lagöverträdelser,

43 I skäl 31 till dataskyddsförordningen finns det dock vissa uttalanden om offentliga myndig- heters begäranden om att uppgifter ska lämnas ut och om att register kopplas samman, som inte verkar ha direkt stöd i artiklarna i dataskyddsförordningen. Jämför eSam, Elektroniskt informationsutbyte – en vägledning för utlämnande i elektroniskt form, s. 22 f.

287

Allmänt om befintliga bestämmelser

SOU 2017:66

krävs i tillämpliga fall stöd enligt artikel 9 respektive artikel 10 i dataskyddsförordningen. Motsvarande gäller enligt dataskyddsdirek- tivet.

Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen, får det således ske på vilket sätt som helst så länge föreskrivna säkerhetsåtgärder vidtas. Artikel 24.1 och 32 i dataskyddsförord- ningen om säkerhetsåtgärder, som har sin motsvarighet i artikel 16 och 17 i dataskyddsdirektivet, kommer att vara direkt tillämpliga.

Sökbegränsningar

Varken dataskyddsförordningen, dataskyddsdirektivet eller person- uppgiftslagen innehåller några bestämmelser som särskilt tar sikte på sökning. Sökning och sammanställning av personuppgifter är dock en form av behandling av personuppgifter som omfattas av dataskyddsregleringen. Det innebär bl.a. att en sökning måste vara förenlig med angivna ändamål för att vara tillåten.

I många registerförfattningar finns sökbegränsningar som fram- för allt tar sikte på användningen av känsliga personuppgifter och uppgifter om lagöverträdelser som sökbegrepp. Anledningen är att användningen av dessa uppgifter som sökbegrepp kan leda till att det går att skapa mycket integritetskänsliga sammanställningar med personer som har vissa egenskaper. Sökbegränsningarna inskränker också allmänhetens möjligheter att ta del av sammanställningen (2 kap. 3 § tredje stycket tryckfrihetsförordningen). Att förbjuda användning av t.ex. känsliga personuppgifter och uppgifter om lag- överträdelser som sökbegrepp utgör en säkerhetsåtgärd/skydds- åtgärd i dataskyddsförordningens mening.

Kryptering och pseudonymisering

Kryptering och pseudonymisering är åtgärder som tillgodoser prin- cipen om uppgiftsminimering i artikel 5.1 c i dataskyddsförord- ningen eftersom sådana åtgärder innebär att den personuppgifts- ansvarige inte behandlar fler direkt identifierande personuppgifter än vad som är nödvändigt för ändamålet med behandlingen. Krav på kryptering och pseudonymisering uppfyller också villkoren i principen om integritet och konfidentialitet i artikel 5.1 f i data-

288

SOU 2017:66

Allmänt om befintliga bestämmelser

skyddsförordningen som anger att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna med an- vändning av lämpliga tekniska och organisatoriska åtgärder. Kryp- tering och pseudonymisering utgör sådana säkerhetsåtgärder som nämns i artikel 32 i dataskyddsförordningen och som ska vidtas i den mån det är lämpligt.

Samtycke

Det förekommer bestämmelser i registerförfattningar om att en viss åtgärd, t.ex. direktåtkomst eller utlämnande på medium för automatiserad behandling, med personuppgifter som behandlas med stöd av annan rättslig grund än samtycke bara får utföras med den registrerades samtycke. En sådan bestämmelse kan enligt ut- redningen anses utgöra en integritetshöjande åtgärd, dvs. en slags skyddsåtgärd.44 Eftersom registerförfattningarna inom Socialdepar- tementets verksamhetsområde gäller utöver personuppgiftslagen, måste samtycket uppfylla det som anges i definitionen av samtycke i 3 § personuppgiftslagen, som genomför definitionen av samtycke i artikel 2 h i dataskyddsdirektivet.

Enligt definitionen i artikel 4.11 i dataskyddsförordningen ska samtycket vara frivilligt, specifikt, informerat och utgöra en otve- tydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar den aktuella behandlingen av personuppgifter som rör honom eller henne. Definitionen av samtycke i artikel 4.11 i dataskyddsförord- ningen motsvarar i allt väsentligt den som finns i artikel 2 h i data- skyddsdirektivet. Eftersom själva definitionen av vad som utgör ett giltigt samtycke inte har ändrats i sak i dataskyddsförordningen, bedömer utredningen att någon ytterligare analys av lämpligheten av att uppställa ett krav på samtycke för att en viss åtgärd, såsom direktåtkomst eller annat elektroniskt utlämnande, ska få utföras inte behöver göras i de fall sådana bestämmelser finns i befintliga registerförfattningar. Dataskyddsförordningens definition av sam- tycke föranleder således inte i sig att denna typ av integritetshöjande åtgärder behöver ändras.

44 Jämför Ds 2016:44 s. 224 ff.

289

Allmänt om befintliga bestämmelser

SOU 2017:66

I artikel 7 och artikel 8 i dataskyddsförordningen, om barns samtycke avseende informationssamhällets tjänster, finns vissa kompletterande bestämmelser om samtycke, som inte har någon uttrycklig motsvarighet i dataskyddsdirektivet och personuppgifts- lagen. Dessutom har frågan om samtycke utvecklats i skäl 43 till dataskyddsförordningen på ett sätt som saknar motsvarighet i data- skyddsdirektivet. Det kan alltså inte uteslutas att kraven på sam- tycke i vissa situationer har skärpts något i förhållande till vad som anses gälla i dag. När registerförfattningarna, sedan dataskydds- förordningen börjat tillämpas, kommer att komplettera dataskydds- förordningen i stället för att gälla utöver personuppgiftslagen, kommer regleringen av samtycke som finns i dataskyddsförord- ningen att gälla även för de samtycken i registerförfattningarna som utgör integritetshöjande åtgärder.

Det finns dock inte något krav enligt dataskyddsförordningen på att sådana samtycken som i registerförfattningar har föreskrivits såsom en integritetshöjande åtgärd och inte som en rättslig grund för att över huvud taget få behandla personuppgifter ska omfattas av de eventuellt skärpta kraven på samtycke. Utredningen har där- för övervägt att använda ett annat begrepp, exempelvis godkän- nande, för ett sådant samtycke som utgör en form av skyddsåtgärd. På så sätt skulle inte de eventuellt skärpta kraven i dataskyddsför- ordningen gälla för samtycken som utgör integritetshöjande åtgärder. Utredningen ser dock flera nackdelar med att införa ett nytt be- grepp. Samtycke är ett inarbetat begrepp och används för att ut- trycka integritetshöjande åtgärder i flera andra registerförfattningar än de som utredningen har sett över.45 Om samtycke ersätts med något annat begrepp, blir det otydligt om bestämmelsen om åter- kallelse av samtycke i artikel 7.3 i dataskyddsförordningen gäller. I lagen om biobanker i hälso- och sjukvården m.m. finns hänvis- ningar till andra bestämmelser om samtycke, varför en ändring av samtyckesbegreppet inte bedöms vara lämplig i den författningen. Sammantaget gör utredningen därför bedömningen att det, i vart fall inte inom ramen för den översyn som nu görs, är lämpligt att ersätta begreppet samtycke, när det avser en integritetshöjande

45 Bestämmelser om samtycke som krav för en viss åtgärd finns bl.a. i 10 § studiestöds- datalagen (2009:287), 9 § förordningen (1998:1234) om det statliga personadressregistret och 6 § lagen (2006:24) om nationella toppdomäner för Sverige på Internet.

290

SOU 2017:66

Allmänt om befintliga bestämmelser

åtgärd, med något annat begrepp. Det innebär att de eventuellt skärpta kraven på samtycke enligt dataskyddsförordningen gäller även när samtycket används som en integritetshöjande åtgärd. Det bedöms dock inte hindra sådana åtgärder som behöver utföras, eftersom åtgärderna redan i dag är beroende av den registrerades inställning till dem. Därför bör det inte heller komma i fråga att ta bort bestämmelser om samtycke såsom en integritetshöjande åtgärd.

Överväganden

De bestämmelser om de nämnda säkerhetsåtgärderna/skyddsåtgär- derna som finns i registerförfattningar är enligt utredningens be- dömning sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i data- skyddsförordningen (se avsnitt 9.3). Myndigheter kan vidare genom nationell lag åläggas säkerhetsåtgärder utan hinder av dataskydds- förordningen (se avsnitt 9.2). Vid behandling av känsliga person- uppgifter som grundar sig på artikel 9.2 g (viktigt allmänt intresse), i (allmänt intresse på folkhälsoområdet) och j (arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål) i dataskyddsförordningen krävs det skydds- åtgärder enligt nationell rätt. Så är fallet även vid behandling av uppgifter om lagöverträdelser som inte utförs under kontroll av en myndighet. Bestämmelserna om sökbegränsningar eller andra säker- hetsåtgärder i registerförfattningar kan således vara inte bara tillåtna utan också nödvändiga såsom skyddsåtgärder vid behandling av känsliga personuppgifter och uppgifter om lagöverträdelser eller vid begränsning av den registrerades rättigheter enligt artikel 23 i data- skyddsförordningen.

Det är således utredningens slutsats att bestämmelser i register- författningar om de nämnda säkerhetsåtgärderna/skyddsåtgärderna inte behöver ändras med anledning av dataskyddsförordningen. I fråga om enskildas behandling gäller det under förutsättning att den ursprungliga behandlingen grundar sig på artikel 6.1 c och e (se

291

Allmänt om befintliga bestämmelser

SOU 2017:66

avsnitt 9.3) eller om behandlingen av uppgifterna grundar sig på artikel 9 g, i eller j eller artikel 10 i dataskyddsförordningen.

9.17 Gallring och bevarande

9.17.1 Den generella regleringen om gallring och bevarande

Principen om lagringsminimering i artikel 5.1 e i dataskyddsförord- ningen innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får dock lagras under längre perioder i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsför- ordningen, under förutsättning att de lämpliga tekniska och organi- satoriska åtgärder som krävs enligt dataskyddsförordningen genom- förs för att säkerställa den registrerades rättigheter och friheter.

För känsliga personuppgifter gäller specifikt enligt artikel 9.2 j i dataskyddsförordningen att sådana uppgifter får behandlas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Av artikel 89.1 i dataskyddsförordningen framgår att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämp- liga skyddsåtgärder i enlighet med dataskyddsförordningen för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säker- ställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dessa åt- gärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger

292

SOU 2017:66

Allmänt om befintliga bestämmelser

eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet.

Om personuppgifter behandlas för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller sta- tistiska ändamål, får det enligt artikel 89.2 och 3 i dataskyddsför- ordningen föreskrivas om undantag från vissa av den registrerades rättigheter. Det rör sig om rätten till registerutdrag, rättelse, be- gränsning av behandling och invändning mot behandling. Undan- tag får göras om det krävs för att uppnå ändamålet med behand- lingen. Om personuppgifter behandlas för arkivändamål av allmänt intresse, får undantag även göras från kravet på dataportabilitet och kravet på att den personuppgiftsansvarige ska underrätta mottagare av personuppgifter om eventuella rättelser, raderingar eller begräns- ningar av behandling som skett.

Regleringen i dataskyddsförordningen av vad som gäller för gall- ring och bevarande skiljer sig något från den som framgår av data- skyddsdirektivet. Dataskyddsdirektivets reglering är inte lika ut- förlig och innehåller inget särskilt undantag för behandling av käns- liga personuppgifter. Formuleringarna i dataskyddsförordningen och dataskyddsdirektivet är inte heller desamma. Enligt artikel 6.1 e i dataskyddsdirektivet ska medlemsstaterna föreskriva att person- uppgifter förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Medlemsstaterna ska enligt artikeln också vidta lämp- liga skyddsåtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål.

Dataskyddsdirektivets bestämmelse har kommit till uttryck i 9 § första stycket i samt tredje och fjärde styckena personuppgifts- lagen. Där framgår att den personuppgiftsansvarige ska se till att personuppgifter inte bevaras under en längre tid än vad som är nöd- vändigt med hänsyn till ändamålen med behandlingen. Person- uppgifter får dock bevaras för historiska, statistiska eller vetenskap- liga ändamål under längre tid, men inte längre än vad som behövs för dessa ändamål. För att uppfylla dataskyddsdirektivets krav på skyddsåtgärder anges att personuppgifter som behandlas för dessa ändamål bara får användas för att vidta åtgärder i fråga om den regi-

293

Allmänt om befintliga bestämmelser

SOU 2017:66

strerade om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.46

Enligt 8 § andra stycket personuppgiftslagen hindrar bestäm- melserna i personuppgiftslagen inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Det inkluderar även eventuella känsliga person- uppgifter. Bestämmelserna i 9 § första stycket i samt tredje och fjärde stycket personuppgiftslagen gäller därför inte vid en myndig- hets arkivering av allmänna handlingar utan har främst betydelse för enskilda arkiv. Gallring av allmänna handlingar styrs i stället av bestämmelser i arkivlagen (1990:782) samt i registerförfattningar, vars bestämmelser gäller före arkivlagen och arkivförordningen (1991:446). Detta framgår av 10 § arkivlagen och 14 § arkivförord- ningen. Regleringen kompletteras av myndighetsföreskrifter och myndighetsbeslut om gallring eller bevarande.

Dataskyddsutredningen har konstaterat att vidarebehandling av personuppgifter för arkivändamål av allmänt intresse är tillåten enligt artikel 5.1 b i dataskyddsförordningen. För att även känsliga personuppgifter ska få behandlas för arkivändamål har Dataskydds- utredningen föreslagit en undantagsbestämmelse som grundar sig på artikel 9.2 j i dataskyddsförordningen. Enligt 3 kap. 6 § förslaget till dataskyddslag ska känsliga personuppgifter få behandlas för arkivändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om be- varande och vård av arkiv. Eftersom det följer av direkt tillämpliga bestämmelser i dataskyddsförordningen att sådan behandling som inte avser känsliga personuppgifter är tillåten, innebär den före- slagna bestämmelsen enligt Dataskyddsutredningen att dataskydds- förordningen och dataskyddslagen inte hindrar att allmänna hand- lingar arkiveras och bevaras eller att arkivmaterial tas om hand av en arkivmyndighet. Det blir därmed inte någon saklig skillnad för myndigheter i förhållande till vad som gäller enligt 8 § person- uppgiftslagen.47

Enligt 4 kap. 1 § förslaget till dataskyddslag ska personuppgifter som behandlas enbart för arkivändamål av allmänt intresse inte få användas för att vidta åtgärder i fråga om den registrerade, annat än

46 Prop. 1997/98:44 s. 63.

47 SOU 2017:39 s. 215–216 och 220–222.

294

SOU 2017:66

Allmänt om befintliga bestämmelser

om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.48 Liksom enligt motsvarande bestämmelse i personupp- giftslagen ska begränsningen inte gälla för en myndighets använd- ning av personuppgifter i allmänna handlingar.

9.17.2 Överväganden

Utredningens bedömning: Bestämmelser i registerförfattningar om gallring och bevarande och bemyndiganden att meddela föreskrifter om bevarande behöver inte ändras i sak. Detta gäller under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen eller därför att bestämmelserna endast avser myndigheters behandling av personuppgifter.

Formuleringar i registerförfattningarna om bevarande av per- sonuppgifter för historiska, statistiska eller vetenskapliga ända- mål bör ändras till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Huvudregeln enligt artikel 5.1 e i dataskyddsförordningen är att personuppgifter inte får lagras i en form som möjliggör identifier- ing av den registrerade under längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Samma prin- cip gäller enligt artikel 6.1 e dataskyddsdirektivet. Huvudregeln har således inte ändrats.

Bestämmelser i registerförfattningar som innebär att person- uppgifter ska eller får bevaras under viss tid alternativt gallras efter en viss tid eller när de inte längre är nödvändiga för de ändamål för vilka de behandlas, är enligt utredningens bedömning sådana natio- nella bestämmelser om lagringstid som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i

48 SOU 2017:39.

295

Allmänt om befintliga bestämmelser

SOU 2017:66

dataskyddsförordningen. Tidigare bedömningar av vilka tidsperioder som är nödvändiga för ändamålet behöver inte göras om med an- ledning av dataskyddsförordningen.

Om registerförfattningar innehåller bemyndiganden som ger regeringen eller den myndighet som regeringen bestämmer rätt att meddela föreskrifter om att uppgifter får bevaras för en viss tid och för ett visst ändamål, berörs inte dessa av dataskyddsförordningen, eftersom de inte i sig föreskriver bevarande. Däremot kan bemyn- digandet förstås bara användas på ett sådant sätt som är tillåtet en- ligt dataskyddsförordningen.

Särskilda regler gäller enligt artikel 5.1 e i dataskyddsförord- ningen om personuppgifter enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Den nuvarande formuleringen i data- skyddsdirektivet och personuppgiftslagen om historiska, statistiska eller vetenskapliga ändamål har i dataskyddsförordningen ändrats till att avse arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt utred- ningens bedömning innebär omformuleringen inte någon ändring i sak.

Om personuppgifter behandlas enbart för ovan angivna ända- mål, får de lagras under längre perioder under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registre- rades rättigheter och friheter. I artikel 89.1 i dataskyddsförord- ningen anges att skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt princi- pen om uppgiftsminimering iakttas (att personuppgifterna är ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas). Vidare framgår av samma artikel att personuppgifter ska avidentifieras i den mån det är möjligt. Även enligt dataskyddsdirektivet ska medlemsstaterna vidta lämpliga skydds- åtgärder för de personuppgifter som lagras under längre perioder för historiska, statistiska eller vetenskapliga ändamål. Kravet på skyddsåtgärder är således inte nytt och principerna om uppgifts- minimering respektive avidentifiering finns även i dataskyddsdirek- tivet. Om registerförfattningar innehåller bestämmelser rörande behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål, får det mot bakgrund av detta förutsättas att

296

SOU 2017:66

Allmänt om befintliga bestämmelser

tillräckliga skyddsåtgärder redan framgår av registerförfattningarna eller de föreskrifter som medger bevarandet.

Av artikel 9.2 j i dataskyddsförordningen framgår att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestäm- melsen är ny i förhållande till dataskyddsdirektivet och innebär att behandling av känsliga personuppgifter för nämnda ändamål förut- sätter stöd i nationell rätt och bestämmelser om skyddsåtgärder. Som anges i avsnitt 9.17.1 har Dataskyddsutredningen med stöd av den bestämmelsen föreslagit att ett undantag avseende arkiverade personuppgifter ska införas i dataskyddslagen.

I registerförfattningar finns det ibland bemyndiganden att med- dela föreskrifter om bevarande av känsliga personuppgifter för dessa ändamål. Dessa bemyndiganden brukar avse att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att personuppgifter får bevaras för historiska, statistiska eller veten- skapliga ändamål. Oavsett vad kravet på grundval i lagstiftningen i artikel 9.2 j i dataskyddsförordningen innebär kan sådana bemyndi- ganden kvarstå oförändrade. När föreskrifter om bevarande med- delas med stöd av bemyndigandena, måste det givetvis ses till att föreskrifterna, i enlighet med artikel 9.2 j i dataskyddsförord- ningen, står i proportion till det eftersträvade syftet och är fören- liga med det väsentliga innehållet i rätten till dataskydd samt, om så krävs, innehåller bestämmelser om skyddsåtgärder utöver de som kan vara tillämpliga enligt registerförfattningen.

Bestämmelser i registerförfattningar om gallring och bemyndi- ganden att meddela föreskrifter om bevarande för historiska, sta- tistiska eller vetenskapliga ändamål behöver alltså inte ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen.

297

Allmänt om befintliga bestämmelser

SOU 2017:66

Mot bakgrund av tolkningen att den ändrade formuleringen av historiska, statistiska eller vetenskapliga ändamål inte medför någon ändring i sak samt behovet av att fortsätta att anknyta till formu- leringen i den generella dataskyddsregleringen, är det bäst att anpassa formuleringarna i registerförfattningarna till den som används i data- skyddsförordningen.

9.18 Tillsyn

Utredningens bedömning: Det finns inget behov av bestäm- melser om tillsyn i registerförfattningar.

I artikel 28 i dataskyddsdirektivet finns det bestämmelser om till- synsmyndighet för att övervaka tillämpningen av de bestämmelser som medlemsstaterna antagit till följd av dataskyddsdirektivet. Datainspektionen är enligt 2 a § förordningen (2007:975) med in- struktion för Datainspektionen tillsynsmyndighet enligt artikel 28 i dataskyddsdirektivet. Av 43 § personuppgiftslagen framgår att till- synsmyndigheten har rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och doku- mentation av behandlingen av personuppgifter och säkerheten vid denna, och tillträde till sådana lokaler som har anknytning till be- handlingen av personuppgifter. Enligt 44–46 §§ personuppgifts- lagen får tillsynsmyndigheten under vissa förutsättningar använda sig av vite i anslutning till tillsyn. Enligt 2 § personuppgiftsförord- ningen är Datainspektionen tillsynsmyndighet enligt personupp- giftslagen. Registerförfattningarna inom Socialdepartementets verk- samhetsområde innehåller inte bestämmelser om tillsyn.

Dataskyddsförordningen innehåller mer detaljerat reglerade be- fogenheter för tillsynsmyndigheten än dataskyddsdirektivet och personuppgiftslagen. Tillsynsmyndighetens utredningsbefogenheter anges i artikel 58.1 i dataskyddsförordningen och motsvarar de befogenheter som föreskrivs i personuppgiftslagen. De s.k. korri- gerande befogenheterna, som framgår av artikel 58.2 i dataskydds- förordningen, har dock utökats i förhållande till vad som gäller enligt personuppgiftslagen. Bestämmelsen innebär att tillsynsmyndig- heten bl.a. kan utfärda varningar, reprimander och olika förelägg-

298

SOU 2017:66

Allmänt om befintliga bestämmelser

anden. Tillsynsmyndigheten kan också påföra administrativa sank- tionsavgifter, se avsnitt 9.19.2.

Dataskyddsutredningen har utrett konsekvenserna av dataskydds- förordningens bestämmelser om tillsyn och föreslagit komplette- rande bestämmelser. Av 6 kap. 1 § förslaget till dataskyddslag följer att tillsynsmyndighetens befogenheter enligt dataskyddsförord- ningen ska gälla även vid tillsyn över efterlevnaden av bestämmel- serna i dataskyddslagen och andra författningar som kompletterar dataskyddsförordningen.49 Därför behöver bestämmelsernas konse- kvenser inom Socialdepartementets verksamhetsområde inte analy- seras. Det behövs inte heller särskilda bestämmelser om tillsyn i de registerförfattningar som omfattas av översynen.

9.19 Sanktioner

9.19.1 Skadestånd

Utredningens bedömning: Bestämmelser i registerförfattningar som hänvisar till personuppgiftslagens bestämmelser om skade- stånd bör upphävas.

I stället för särskilt utformade bestämmelser om skadestånd inne- håller registerförfattningar ofta hänvisningar till personuppgifts- lagens bestämmelser om skadestånd.

Av 48 § personuppgiftslagen framgår att den personuppgifts- ansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personupp- giftsansvarige visar att felet inte berodde på honom eller henne. Bestämmelsen är utformad i enlighet med artikel 23 i dataskydds- direktivet.

I dataskyddsförordningen finns bestämmelser om ansvar och rätt till ersättning i artikel 82. Enligt artikel 82.1 i dataskyddsför- ordningen ska varje person som lidit materiell eller immateriell skada till följd av en överträdelse av dataskyddsförordningen ha rätt

49 SOU 2017:39 s. 310–319.

299

Allmänt om befintliga bestämmelser

SOU 2017:66

till ersättning från den personuppgiftsansvarige eller personupp- giftsbiträdet för den uppkomna skadan. En nyhet är alltså att även ett personuppgiftsbiträde kan bli skadeståndsskyldigt gentemot den registrerade. Varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot dataskyddsförordningen. Ett personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar.

Begreppet skada bör enligt skäl 146 till dataskyddsförordningen tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar dataskyddsförordningens mål. Vidare anges i samma skäl att behandling som strider mot dataskyddsförord- ningen omfattar även behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med dataskydds- förordningen och medlemsstaternas nationella rätt med närmare specifikation av dataskyddsförordningens bestämmelser. Dataskydds- utredningen förtydligar detta genom att i 8 kap. 1 § förslaget till dataskyddslag ange att rätten till ersättning enligt artikel 82 i data- skyddsförordningen även gäller vid överträdelser av bestämmelser i dataskyddslagen och andra författningar som kompletterar data- skyddsförordningen.50

Den personuppgiftsansvarige eller personuppgiftsbiträdet ska enligt artikel 82.3 i dataskyddsförordningen undgå ansvar om de visar att de inte på något sätt är ansvariga för den händelse som orsakade skadan. Det finns i artikel 82.4 och 5 i dataskyddsförord- ningen bestämmelser om att skadeståndsansvaret är solidariskt om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde har medverkat vid samma behandling samt i artikel 82.6 i dataskydds- förordningen en bestämmelse om vilken domstol som är behörig att pröva en tvist om rätten till ersättning.

Skälet till att det i registerförfattningar som regel finns en hän- visning till personuppgiftslagens bestämmelser om skadestånd är att bestämmelserna annars inte skulle vara tillämpliga. Enligt 48 § personuppgiftslagen är skadeståndsskyldigheten kopplad till en behandling av personuppgifter i strid med denna lag, dvs. person-

50 SOU 2017:39.

300

SOU 2017:66

Allmänt om befintliga bestämmelser

uppgiftslagen. För att bestämmelsen ska vara tillämplig även vid behandling i strid med registerförfattningar, krävs att den anges gälla på motsvarande sätt vid behandling av personuppgifter enligt den aktuella författningen. Till skillnad från vad som gäller enligt personuppgiftslagen är dataskyddsförordningen, inom sitt tillämp- ningsområde, direkt tillämplig även på sådan behandling av person- uppgifter som omfattas av en registerförfattnings tillämpnings- område och det behövs av den anledningen ingen hänvisning till dess bestämmelser. Dessutom föreslås som nämnts att det i data- skyddslagen ska finnas en hänvisning till dataskyddsförordningens skadeståndsbestämmelse, som omfattar alla författningar som kompletterar dataskyddsförordningen. Den hänvisningen/upplys- ningen kan inte anses avse annat än skada som uppkommer vid sådan behandling av personuppgifter som omfattas av dataskydds- förordningen. I den utsträckning en författning har bestämmelser om både sådan behandling och annat, blir således inte överträdelser av dessa andra bestämmelser förknippade med skadeståndsskyldig- het enligt dataskyddsregleringen.

Några registerförfattningar inom Socialdepartementets verksam- hetsområde – patientdatalagen och 114 kap. socialförsäkringsbalken samt förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen – omfattar i tillämpliga delar behandling av uppgifter om avlidna personer, som inte omfattas av dataskyddsförordningen (se skäl 27 till dataskydds- förordningen) eller den föreslagna dataskyddslagen. Bestämmelserna om skadestånd i dessa författningar är dock inte tillämpliga vid behandling av uppgifter om avlidna personer, och dataskydds- regleringens skadeståndsbestämmelser kommer som framgått inte heller att gälla vid sådan behandling när dataskyddsförordningen börjar tillämpas.

Dataskyddsutredningen föreslår i 1 kap. 2 § förslaget till data- skyddslag att dataskyddsförordningen i tillämpliga delar ska gälla även vid sådan behandling av personuppgifter som inte omfattas av dataskyddsförordningen, dvs. verksamhet som inte omfattas av unionsrätten och verksamhet som utförs inom ramen för den gemensamma utrikes- och säkerhetspolitiken.51 Den bestämmelsen, jämte hänvisningen till bestämmelsen om skadestånd i dataskydds-

51 SOU 2017:39.

301

Allmänt om befintliga bestämmelser

SOU 2017:66

förordningen, får anses innebära att även brott mot bestämmelser i en registerförfattning om sådan behandling av personuppgifter som faller utanför dataskyddsförordningens tillämpningsområde men som genom den föreslagna bestämmelsen i dataskyddslagen ändå ska omfattas av dataskyddsförordningen, kan föranleda skadestånd.

Överträdelser av bestämmelser som avser sådan behandling som i och för sig omfattas av dataskyddsförordningen, men där rättig- heterna går utöver vad som krävs enligt dataskyddsförordningen, kan också föranleda rätt till skadestånd enligt artikel 82 i data- skyddsförordningen. Det handlar t.ex. om överträdelser av bestäm- melser om information, där kraven på den information som ska lämnas går utöver vad som krävs enligt dataskyddsförordningen.

Det saknas sammantaget skäl att i registerförfattningar särskilt reglera vad som gäller i fråga om skadestånd vid behandling av person- uppgifter. Bestämmelser i registerförfattningar med hänvisningar till personuppgiftslagens bestämmelser om skadestånd bör därför upphävas.

Av avsnitt 10.1.1 framgår att det krävs ytterligare överväganden om tillämpliga bestämmelser vid behandling av personuppgifter inom rättspsykiatrisk vård, som inte omfattas av dataskyddsförord- ningen men som föreslås i viss utsträckning regleras av patient- datalagen.

9.19.2 Administrativa sanktionsavgifter

Utredningens bedömning: Dataskyddsförordningen föranleder inget behov av nya bestämmelser om administrativa sanktions- avgifter i registerförfattningar.

Tillsynsmyndigheten kan som en av sina befogenheter enligt arti- kel 58.1–3 i dataskyddsförordningen påföra personuppgiftsansva- riga och personuppgiftsbiträden administrativa sanktionsavgifter i enlighet med artikel 83 vid överträdelser av olika bestämmelser i dataskyddsförordningen. Detta är en ny möjlighet som införs i och med att dataskyddsförordningen ska börja tillämpas.

I 6 kap. 1 § förslaget till dataskyddslag föreslår Dataskydds- utredningen att de befogenheter som tillsynsmyndigheten har en- ligt artikel 58.1–3 i dataskyddsförordningen även ska gälla vid tillsyn

302

SOU 2017:66

Allmänt om befintliga bestämmelser

över efterlevnaden av bestämmelserna i den föreslagna lagen och andra författningar som kompletterar dataskyddsförordningen.52 Tillsynsmyndigheten kommer alltså att på det sätt som krävs enligt dataskyddsförordningen kunna utfärda administrativa sanktions- avgifter vid överträdelser av dataskyddsförordningen även inom registerförfattningarnas tillämpningsområden utan att det behövs särskilda bestämmelser om det i dessa författningar.

Enligt artikel 83.2 i dataskyddsförordningen ska administrativa sanktionsavgifter, beroende av omständigheterna i det enskilda fallet, påföras utöver eller i stället för sådana åtgärder som tillsyns- myndigheten i övrigt kan vidta i form av varningar, reprimander, förlägganden, förbud etc. Olika faktorer, däribland överträdelsens karaktär, svårighetsgrad, varaktighet, omfattning och syfte, ska be- aktas både vid beslut om huruvida administrativa sanktionsavgifter ska påföras och när avgifternas belopp ska fastställas.

Överträdelser av bestämmelser i dataskyddsförordningen som kan föranleda administrativa sanktionsavgifter är kategoriserade utifrån olika svårighetsgrad. För vissa mindre allvarliga överträdelser gäller ett maxbelopp på 10 000 000 euro eller 2 procent av den globala årsomsättningen om det gäller ett företag. För allvarligare över- trädelser föreskrivs i stället ett maxbelopp på 20 000 000 euro eller 4 procent av den globala årsomsättningen.

Det lägre maxbeloppet gäller i enlighet med artikel 83.4 i data- skyddsförordningen för överträdelser av följande bestämmelser:

• Personuppgiftsansvarigas och personuppgiftsbiträdens skyldig- heter enligt artiklarna 8, 11, 25–39, 42 och 43.

• Certifieringsorganets skyldigheter enligt artiklarna 42 och 43.

• Övervakningsorganets skyldigheter enligt artikel 41.4.

Det högre maxbeloppet gäller i enlighet med artikel 84.5 för över- trädelser av följande bestämmelser:

• De grundläggande principerna för behandling, inklusive villko- ren för samtycke, enligt artiklarna 5, 6, 7 och 9.

• Registrerades rättigheter enligt artiklarna 12–22.

52 SOU 2017:39.

303

Allmänt om befintliga bestämmelser

SOU 2017:66

• Överföring av personuppgifter till en mottagare i ett tredjeland eller en internationell organisation enligt artiklarna 44–49.

• Alla skyldigheter som följer av medlemsstaternas lagstiftning som antagits på grundval av kapitel IX.

• Underlåtenhet att rätta sig efter ett föreläggande eller en till- fällig eller permanent begränsning av behandling av uppgifter eller ett beslut om att avbryta uppgiftsflödena som meddelats av tillsynsmyndigheten i enlighet med artikel 58.2 eller underlåtelse att ge tillgång till uppgifter i strid med artikel 58.1.

Uppräkningen i artikel 83 i dataskyddsförordningen är uttöm- mande. Eftersom endast överträdelser av nationell lagstiftning som antagits på grundval av kapitel IX omnämns i artikeln, kan sank- tionsavgifter enligt samma artikel, i enlighet med vad Dataskydds- utredningen konstaterat, påföras endast vid överträdelser av sådana nationella bestämmelser.53 En överträdelse av en bestämmelse i natio- nell lagstiftning som samtidigt innebär en överträdelse av data- skyddsförordningens bestämmelser bör dock enligt utredningens bedömning omfattas av möjligheten att påföra administrativa sank- tionsavgifter i enlighet med artikel 83 i dataskyddsförordningen.

Vid överträdelse av flera olika bestämmelser får den administra- tiva sanktionsavgiftens totala belopp enligt artikel 83.3 i data- skyddsförordningen inte överstiga det belopp som fastställs för den allvarligaste överträdelsen.

Medlemsstaterna har i artikel 83.7 i dataskyddsförordningen getts möjlighet att själva avgöra om och i vilken utsträckning admi- nistrativa sanktionsavgifter ska kunna påföras offentliga myndig- heter och organ som är inrättade i medlemsstaten. Dataskydds- utredningen har mot bakgrund av detta föreslagit att ett beslut om sanktionsavgifter ska få riktas även mot statliga och kommunala myndigheter.54 Utredningen godtar, på Socialdepartementets verk- samhetsområde, Dataskyddsutredningens bedömning att även myn- digheter bör kunna utsättas för administrativa sanktionsavgifter.

Medlemsstaterna ska dessutom enligt artikel 84 i dataskydds- förordningen fastställa regler om andra sanktioner för överträdelser

53 SOU 2017:39 s. 377.

54 SOU 2017:39 s. 287.

304

SOU 2017:66

Allmänt om befintliga bestämmelser

av dataskyddsförordningen, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83. Data- skyddsutredningen gör tolkningen att detta innebär att det åligger medlemsstaterna att täppa till eventuella luckor om sanktioner saknas enligt förordningen.55 Eftersom artikel 10, som avser möjlig- heterna att behandla uppgifter om lagöverträdelser, inte omnämns i artikel 83 i dataskyddsförordningen, har Dataskyddsutredningen med stöd av artikel 84 föreslagit att tillsynsmyndigheten ska kunna påföra administrativa sanktionsavgifter enligt artikel 83 även vid överträdelser av artikel 10. Avgiftens storlek ska enligt förslaget bestämmas inom ramen för det högre maxbelopp som gäller för överträdelser av bl.a. bestämmelserna om känsliga personuppgifter.56

Skyldigheten att fastställa regler om sanktioner för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt arti- kel 83 i dataskyddsförordningen medför att det kan finnas ett be- hov av att fastställa sanktionsbestämmelser även i registerförfatt- ningar. Skyldigheten omfattar dock endast överträdelser av data- skyddsförordningen. Om en registerförfattning reglerar en skyldig- het att exempelvis lämna mer information än vad som krävs enligt dataskyddsförordningen, medför artikel 84 i dataskyddsförordningen ingen skyldighet att fastställa regler om sanktioner för överträdelser av den utökade informationsskyldigheten. Vid överträdelser av be- stämmelser i de registerförfattningar som omfattas av utredningens översyn, som samtidigt innebär en överträdelse av dataskydds- förordningens bestämmelser, är det dock som nämnts utredningens bedömning att det är möjligt att påföra administrativa sanktions- avgifter i enlighet med artikel 83 i dataskyddsförordningen.

Dataskyddsförordningen föranleder sammantaget inget behov av nya bestämmelser om administrativa sanktionsavgifter i register- författningar.

55 SOU 2017 :39 s. 292.

56 SOU 2017:39 s. 294–295.

305

Allmänt om befintliga bestämmelser

SOU 2017:66

9.19.3 Straff och vite

Utredningens bedömning: Det finns inget behov av nya be- stämmelser i registerförfattningar med anledning av att person- uppgiftslagens bestämmelser om straff och vite upphävs.

Personuppgiftslagens bestämmelser om straff (49 §) och vite (44–46 §§) upphör att gälla i och med att personuppgiftslagen upphävs när dataskyddsförordningen ska börja tillämpas. Några särskilda bestämmelser om straff och vite finns inte i register- författningar. Dataskyddsutredningen har gjort bedömningen att något straff inte ska ådömas den som bryter mot dataskydds- förordningen samt att någon möjlighet för tillsynsmyndigheten att förena sina förelägganden med vite inte behöver införas.57 Utred- ningen bedömer att Dataskyddsutredningens ställningstaganden är giltiga även för Socialdepartementets verksamhetsområde och god- tar således dem. Det finns därmed inget behov av nya bestämmelser i registerförfattningar med anledning av att personuppgiftslagens bestämmelser om straff och vite upphävs.

9.20 Överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig

Utredningens bedömning: Bestämmelser om överklagande i registerförfattningar som enbart avser beslut om behandling av personuppgifter bör upphävas. Överklagandebestämmelser som utöver beslut om behandling av personuppgifter även avser andra beslut, bör ändras på så sätt att bestämmelser om över- klagande av beslut om behandling av personuppgifter ersätts med en upplysning om att det finns bestämmelser om över- klagande i den föreslagna dataskyddslagen.

Bestämmelser om överklagande av vissa beslut som har fattats av en myndighet i egenskap av personuppgiftsansvarig finns i 52 § person- uppgiftslagen. Där anges att en myndighets beslut om information

57 SOU 2017:39 s. 295–297.

306

SOU 2017:66

Allmänt om befintliga bestämmelser

enligt 26 §, om rättelse och underrättelse till tredje man enligt 28 §, om information som ska lämnas med anledning av ett automatise- rat beslut enligt 29 § andra stycket och om upplysningar enligt 42 § får överklagas hos allmän förvaltningsdomstol. Andra beslut fattade av den personuppgiftsansvarige får enligt 53 § personuppgiftslagen inte överklagas. Prövningstillstånd krävs vid överklagande till kam- marrätten.

Bestämmelsen i 52 § personuppgiftslagen har inte sin grund i dataskyddsdirektivet utan i allmänna förvaltningsrättsliga principer om att beslut som direkt berör en enskild person ska kunna över- klagas.58 Eftersom registerförfattningarna gäller utöver person- uppgiftslagen, är personuppgiftslagens överklagandebestämmelser tillämpliga om det inte finns avvikande bestämmelser i register- författningarna.

Överklagandebestämmelsen i personuppgiftslagen trädde i kraft den 1 januari 2007. Registerförfattningar som tillkommit före denna tidpunkt innehåller ofta egna överklagandebestämmelser. De över- klagandebestämmelser som finns i de författningar utredningen sett över anger att beslut om rättelse och avslag på ansökan om information enligt 26 § personuppgiftslagen får överklagas till all- män förvaltningsdomstol. I förarbetena till överklagandebestäm- melsen i personuppgiftslagen konstaterades att det genom införan- det av en bestämmelse om överklagande i personuppgiftslagen inte längre är nödvändigt att ta in överklagandebestämmelser i särskilda registerförfattningar som hänvisar till personuppgiftslagen. Det framhölls också att det vid en översyn av registerförfattningar kan finnas anledning att uppmärksamma frågan om överklagande.59 Så länge sådana särskilda bestämmelser inte upphävts gäller de dock i första hand eftersom särbestämmelser i annan författning gäller framför personuppgiftslagen enligt 2 § personuppgiftslagen.

De flesta författningar som tillkommit efter att överklagande- bestämmelserna infördes i personuppgiftslagen innehåller inte några bestämmelser om överklagande, eftersom det inte ansetts nödvän-

58 Prop. 2005/06:173 s. 50–53. En uttrycklig bestämmelse om att förvaltningsbeslut får över- klagas om beslutet kan antas påverka någons situation på ett inte obetydligt sätt föreslås införas i den nya förvaltningslag som förväntas träda i kraft den 1 juli 2018. Den föreslagna bestämmelsen avser att ge uttryck för de principer som kommit till uttryck i praxis om att det är ett besluts faktiska verkningar som avgör om ett beslut kan överklagas, se prop. 2016/17:180 s. 252–255.

59 Prop. 2005/06:173 s. 53.

307

Allmänt om befintliga bestämmelser

SOU 2017:66

digt. Det förekommer dock hänvisningar till personuppgiftslagens bestämmelser om överklagande. Sådana bestämmelser har införts av tydlighetsskäl när författningen även innehåller bestämmelser om överklagande av andra beslut än sådana som berör behandling av personuppgifter.

En registrerad ska enligt artikel 79 i dataskyddsförordningen ha rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde som den registrerade anser har åsidosatt hans eller hennes rättigheter som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med dataskyddsförordningen. Enligt Dataskyddsutredningens be- dömning, som överensstämmer med den bedömning som gjordes vid genomförandet av motsvarande bestämmelse i dataskyddsdirek- tivet, tillgodoses denna rättighet genom möjligheten att vid allmän domstol föra talan om skadestånd.60 I likhet med dataskyddsdirek- tivet innehåller dataskyddsförordningen inte någon särskild reglering om överklagande av beslut som fattats av en myndighet i egenskap av personuppgiftsansvarig. Dataskyddsutredningen har, mot bak- grund av de allmänna förvaltningsrättsliga principer som motiverade införandet av överklagandebestämmelserna i personuppgiftslagen, föreslagit att dataskyddslagen ska innehålla en bestämmelse om överklagande. Av 8 kap. 2 § förslaget till dataskyddslag framgår att beslut enligt artiklarna 12.5, 15–19 eller 21 i dataskyddsförord- ningen som har meddelats av en myndighet i egenskap av person- uppgiftsansvarig får överklagas till allmän förvaltningsdomstol. Det rör sig om beslut om den registrerades rätt till information, registerutdrag m.m., rättelse, radering, begränsning, invändningar och underrättelse till tredje man om rättelse, radering eller begräns- ning. Prövningstillstånd föreslås på samma sätt som i dag krävas vid överklagande till kammarrätten. Andra beslut av den personuppgifts- ansvarige får enligt 8 kap. 6 § förslaget till dataskyddslag inte över- klagas.61

Dataskyddslagen kommer att gälla om inte annat följer av register- författningarna eller föreskrifter som har meddelats med stöd av registerförfattningarna, se avsnitt 9.6. Det innebär att under förut- sättning att det inte finns avvikande bestämmelser i register-

60 SOU 2017:39 s. 304.

61 SOU 2017:39 s. 303.

308

SOU 2017:66

Allmänt om befintliga bestämmelser

författningarna, kommer bestämmelserna i dataskyddslagen om över- klagande av personuppgiftsansvariga myndigheters beslut att vara tillämpliga även inom registerförfattningarnas tillämpningsområde, på samma sätt som personuppgiftslagens bestämmelser är i dag.

Något skäl att reglera överklagandemöjligheten på annat sätt än vad Dataskyddsutredningen föreslagit har inte framkommit. Det finns därför inte behov av särskilda bestämmelser om överklagande i registerförfattningarna. Befintliga bestämmelser om att beslut om rättelse och information enligt 26 § personuppgiftslagen kan över- klagas bör därför upphävas. Vissa författningar innehåller dock, som angetts ovan, även bestämmelser om överklagande av andra beslut än beslut om behandling av personuppgifter. Av tydlighets- skäl bör dessa författningar förses med en bestämmelse som upp- lyser om att det finns bestämmelser om överklagande av beslut om behandling av personuppgifter i den föreslagna dataskyddslagen.

9.21 Uppgiftsskyldigheter

Utredningens bedömning: Befintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsförordningen som enligt dataskydds- direktivet och bör inte ändras. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

Rutinmässiga informationsöverföringar mellan myndigheter bör i regel vara författningsreglerade som uppgiftsskyldigheter, eftersom det annars krävs en sekretessprövning (10 kap. 28 § offentlighets- och sekretesslagen). En uppgiftsskyldighet – en skyldighet enligt lag eller förordning att lämna uppgifter till en viss mottagare – innebär att utlämnandet av uppgifter kan ske utan hinder av sekretess när det görs till en myndighet. I stället räcker det med en prövning av vilka uppgifter som kan lämnas ut med stöd av uppgiftsskyldigheten.

Uppgiftsskyldigheter är som regel utformade så att de endast anger skyldigheten att lämna ut uppgifter och inte på vilket sätt uppgifterna ska lämnas eller varifrån uppgifterna ska hämtas. Ett helt manuellt utlämnande av personuppgifter som aldrig behandlats på ett sätt som omfattas av dataskyddsförordningens tillämpnings- område berörs förstås inte av dataskyddsförordningen. Ett utläm-

309

Allmänt om befintliga bestämmelser

SOU 2017:66

nande av personuppgifter från ett elektroniskt system medför där- emot en automatiserad behandling av personuppgifter i och med att personuppgifterna tas ut ur systemet, oavsett om överföringen av personuppgifter till mottagaren är automatiserad eller manuell, inklusive muntligt uppgiftslämnande. I de fall där skyldigheten att lämna uppgifter gäller personuppgifter som hos den som skyldig- heten riktar sig till redan behandlas på ett sätt som omfattas av dataskyddsförordningen, måste därför dataskyddsförordningens bestämmelser följas vid uppgiftslämnandet. Detsamma gäller om den som ska fullgöra skyldigheten i andra fall väljer att göra det genom att behandla personuppgifter på ett sätt som omfattas av dataskyddsförordningen, t.ex. genom att först skanna in och sedan mejla uppgifterna.

Redan i dag gäller att personuppgiftslagen eller tillämplig register- författning måste följas vid utlämnande av personuppgifter. För ett utlämnande av behandlade personuppgifter gäller enligt utredning- ens bedömning i princip samma förutsättningar enligt dataskydds- förordningen och dataskyddsdirektivet. Utlämnandet måste ske med stöd av ett primärt eller sekundärt ändamål eller vara förenligt med finalitetsprincipen, eller omfattas av ett tillåtet undantag från den principen.

I vissa fall kan en skyldighet att lämna ut uppgifter uppfattas stå i strid med de ursprungliga ändamålen. Det finns dock enligt både dataskyddsdirektivet och dataskyddsförordningen vissa möjligheter till undantag från finalitetsprincipen. I enlighet med vad som anges i avsnitt 9.15.2 bedömer utredningen att de situationer där undan- tag kan göras enligt dataskyddsdirektivet omfattas av möjligheten till undantag enligt dataskyddsförordningen. En nyhet i dataskydds- förordningen är att en lagstiftningsåtgärd med undantag, när så är relevant, ska innehålla specifika bestämmelser i vissa avseenden, bl.a. om skyddsåtgärder (artikel 23.2). Det får förutsättas att det i samband med att den aktuella uppgiftsskyldigheten infördes över- vägdes vilka bestämmelser om bl.a. skyddsåtgärder som är relevanta. Det är därför utredningens bedömning att befintliga uppgiftsskyldig- heter, även sådana som är till synes svåra att förena med finalitets- principen, är lika förenliga med dataskyddsförordningen som de är med dataskyddsdirektivet. De behöver alltså inte ändras med anled- ning av dataskyddsförordningen.

310

SOU 2017:66

Allmänt om befintliga bestämmelser

Vid utlämnande av känsliga personuppgifter krävs, förutom att det sker med stöd av ett primärt eller sekundärt ändamål eller är förenligt med finalitetsprincipen, om inte ett undantag har före- skrivits, att det finns särskilt stöd för behandlingen. Det är utred- ningens bedömning att de situationer där behandling av känsliga personuppgifter kan tillåtas enligt dataskyddsdirektivet inte är färre än enligt dataskyddsförordningen (se avsnitt 9.11). I den mån data- skyddsförordningen medför nya krav för behandling av känsliga personuppgifter – t.ex. i form av skyddsåtgärder – framgår av utred- ningens överväganden rörande respektive lagstiftning att kraven är uppfyllda genom regleringen i registerförfattningarna. I övrigt måste den personuppgiftsansvarige – liksom i dag – beakta tillämplig reg- lering om dataskydd när uppgiftsskyldigheten fullgörs.

Det är med stöd av det sagda utredningens samlade slutsats att de bestämmelser om uppgiftsskyldighet som finns inom Social- departementets verksamhetsområde är lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Någon ändring av dem med anledning av dataskyddsförordningen behövs därför inte. När uppgiftsskyldigheten fullgörs måste dock den personuppgifts- ansvarige beakta den reglering om dataskydd som finns i bl.a. data- skyddsförordningen.

9.22 Barns personuppgifter

Utredningens bedömning: Utredningens förslag innebär inte att barns rättigheter enligt barnkonventionen inte tillgodoses. Det krävs inte heller några nya bestämmelser för att uppfylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter.

I utredningsdirektiven anges att utredaren mot bakgrund av åtagan- den i FN:s konvention om barnets rättigheter (barnkonventionen) i möjligaste mån och där det är relevant bör uppmärksamma barns rättigheter inom ramarna för utredningsuppdraget. Detta eftersom barns personuppgifter hanteras i stor utsträckning i många av verk- samheterna inom Socialdepartementets verksamhetsområde. Barns personuppgifter nämns också särskilt i skäl 38 till dataskyddsför- ordningen där det anges att dessa förtjänar särskilt skydd, eftersom

311

Allmänt om befintliga bestämmelser

SOU 2017:66

barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter.

Sverige har förbundit sig att leva upp till de krav som barn- konventionen ställer. Barnkonventionen omfattar såväl medborger- liga och politiska rättigheter som sociala, ekonomiska och kultu- rella rättigheter. Grundprinciperna i barnkonventionen är principen om icke-diskriminering, principen om barnets bästa, barnets rätt till liv, överlevnad och utveckling samt barnets rätt att fritt uttrycka sina åsikter i alla frågor som rör barnet. Barnkonventionen inne- håller utöver detta ett antal artiklar som reglerar barns rättigheter inom olika områden. Bland annat anges i artikel 16.1 i barnkonven- tionen att barn inte får utsättas för godtyckliga eller olagliga ingrip- anden i sitt privat- och familjeliv, sitt hem eller sin korrespondens och inte heller för olagliga angrepp på sin heder och sitt anseende.

I flera av de verksamheter som omfattas av utredningens upp- drag behandlas barns personuppgifter. Behandling av barns person- uppgifter är i dessa verksamheter lika nödvändig som behandling av uppgifter om vuxna personer. De bestämmelser om säkerhetsåtgär- der som finns och som syftar till att skydda den personliga integri- teten gäller på motsvarande sätt för barns personuppgifter. Barnets rättigheter kan dock utövas av barnets vårdnadshavare. Sverige hade ratificerat barnkonventionen innan den nuvarande regleringen av behandling av personuppgifter kom till och det får förutsättas att barnkonventionen har beaktats vid utformningen av regler- ingen. Utredningens huvudsakliga uppdrag har varit att analysera vilka konsekvenser dataskyddsförordningen medför i fråga om be- handling av personuppgifter inom Socialdepartementets verksam- hetsområde och föreslå de anpassningar av författningar inom verk- samhetsområdet som behövs till följd av den. Vid analysen har barnkonventionen beaktats, och utredningen bedömer att inget av utredningens förslag innebär att barns rättigheter enligt barnkonven- tionen inte tillgodoses.

I skäl 38 till dataskyddsförordningen anges som nämnts ovan att barns personuppgifter förtjänar särskilt skydd. Där anges också att det särskilda skyddet för barns personuppgifter i synnerhet bör gälla användningen av barns personuppgifter i marknadsförings- syfte eller för att skapa personlighets- eller användarprofiler samt insamling av personuppgifter med avseende på barn när tjänster

312

SOU 2017:66

Allmänt om befintliga bestämmelser

som erbjuds direkt till barn utnyttjas. Någon sådan behandling av barns personuppgifter är, såvitt utredningen känner till, inte aktuell inom Socialdepartementets verksamhetsområde. Utredningen be- dömer att de befintliga bestämmelserna är tillräckliga för att upp- fylla det som krävs enligt dataskyddsförordningen i fråga om skyddet av barns personuppgifter.

313

SÄRSKILDA ÖVERVÄGANDEN OCH FÖRSLAG

10 Författningar som reglerar en verksamhet

10.1 Patientdatalagen (2008:355)

10.1.1 Lagens tillämpningsområde

Utredningens förslag: Patientdatalagen kompletteras med en bestämmelse som innebär att vissa bestämmelser i lagen inte ska tillämpas vid behandling av personuppgifter inom rättspsykia- trisk vård. Utredningen lämnar dock inte något förslag till vilka bestämmelser som inte ska tillämpas, utan förslaget ska ses som en markering av att det i det fortsatta lagstiftningsarbetet bör övervägas vilken anpassning av patientdatalagen som krävs med anledning av det nya dataskyddsdirektivet.

Utredningens bedömning: Någon ändring av patientdatalagens tillämpningsområde föranleds inte av dataskyddsförordningen.

Patientdatalagen ska enligt 1 kap. 1 § första stycket tillämpas vid vård- givares behandling av personuppgifter inom hälso- och sjukvården. Lagen är enligt 1 kap. 3 § tillämplig hos såväl offentliga vårdgivare, dvs. statliga myndigheter, landsting och kommuner, som privata vårdgivare, dvs. andra juridiska personer eller enskilda näringsidkare som bedriver hälso- och sjukvård.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser i registerförfattningar om vilka typer av behandlingar och vilka uppgif- ter författningen ska tillämpas på inte i sig påverkas av dataskydds- förordningen. Patientdatalagen kan därför även fortsättningsvis tillämpas på samma typer av behandlingar och uppgifter som i dag.

317

Författningar som reglerar en verksamhet

SOU 2017:66

Dataskyddsförordningen föranleder alltså inte någon ändring av patientdatalagens tillämpningsområde.

Rättspsykiatrisk vård

Patientdatalagen är till följd av definitionen av hälso- och sjukvård i 1 kap. 3 § tillämplig bl.a. på behandling av personuppgifter som sker i samband med rättspsykiatrisk vård. Lagen (1991:1129) om rättspsykiatrisk vård gäller enligt 1 § andra stycket den som efter beslut av domstol ska ges rättspsykiatrisk vård, är anhållen, häktad eller intagen på en enhet för rättspsykiatrisk undersökning, är in- tagen i eller ska förpassas till kriminalvårdsanstalt eller är intagen i eller ska förpassas till ett särskilt ungdomshem för att verkställa en dom på sluten ungdomsvård. Utredningen om 2016 års dataskydds- direktiv har gjort bedömningen att all den vård som bedrivs enligt lagen om rättspsykiatrisk vård är hänförlig till något av områdena brottsbekämpning, lagföring eller verkställighet av straff och därför omfattas av tillämpningsområdet för det nya dataskyddsdirektivet (se avsnitt 9.5).1 Utredningen har inte anledning att göra någon annan bedömning. Det innebär att dataskyddsförordningen inte är tillämplig vid behandling av personuppgifter inom rättspsykiatrisk vård, se artikel 2.2 d i dataskyddsförordningen.

Att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt ingår i det uppdrag regeringen gett Utredningen om 2016 års dataskyddsdirektiv2, som för detta ändamål har föreslagit en ny brottsdatalag.3 Brottsdatalagen ska enligt den föreslagna 1 kap. 2 § gälla för behandling av personuppgifter som utförs av be- höriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder. Behandling av personuppgifter som sker i sam- band med verkställighet av rättspsykiatrisk vård omfattas alltså av den föreslagna brottsdatalagens tillämpningsområde.4 Brottsdata- lagen ska dock enligt den föreslagna 1 kap. 5 § inte gälla om det finns avvikande bestämmelser i annan lag eller förordning. I dag

1 SOU 2017:29 s. 224–225.

2 Dir. 2016:21.

3 SOU 2017:29.

4 SOU 2017:29 s. 172 och 224 f.

318

SOU 2017:66

Författningar som reglerar en verksamhet

kompletteras patientdatalagen av personuppgiftslagen. När person- uppgiftslagen upphävts, dataskyddsförordningen börjat tillämpas och brottsdatalagen trätt i kraft kommer patientdatalagen vid behand- ling av personuppgifter inom rättspsykiatrisk vård att kompletteras av bestämmelserna i brottsdatalagen (se avsnitt 10.1.3) och inte av bestämmelserna i dataskyddsförordningen och dataskyddslagen.

Utredningen anser att patientdatalagen, på samma sätt som vid annan hälso- och sjukvård, bör fortsätta att gälla vid behandling av personuppgifter inom rättspsykiatrisk vård. Utredningen har sam- rått med Utredningen om 2016 års dataskyddsdirektiv om den be- dömningen. Det ingår dock inte i utredningens uppdrag att föreslå anpassningar av registerförfattningar inom Socialdepartementets verksamhetsområde för att regleringen ska leva upp till det nya data- skyddsdirektivet. Den omständigheten att inte dataskyddsförord- ningen utan brottsdatalagen kommer att vara tillämplig när det gäller rättspsykiatrisk vård innebär att det för den verksamheten bör övervägas om det behöver göras undantag från exempelvis de bestäm- melser i patientdatalagen som föreslås innehålla hänvisningar till dataskyddsförordningen. I vilken utsträckning det behöver göras undantag eller anpassningar för att regleringen i patientdatalagen, när det gäller rättspsykiatrisk vård, ska uppfylla kraven i det nya dataskyddsdirektivet och inte komma i konflikt med den föreslagna brottsdatalagen behöver också bedömas i det fortsatta lagstiftnings- arbetet.

För att det i det fortsatta lagstiftningsarbetet ska uppmärksam- mas att det krävs anpassningar av patientdatalagen på grund av det nya dataskyddsdirektivet vid behandling av personuppgifter inom rättspsykiatrisk vård har utredningen i författningsförslaget tagit in en markering om detta. I avsnitt 10.1.3 föreslås också en upplysnings- bestämmelse om att patientdatalagen vid behandling av personuppgif- ter inom rättspsykiatrisk vård kompletteras av brottsdatalagen.

Hälso- och sjukvård i samband med verkställighet av fängelsestraff m.m.

När Kriminalvården verkställer ett fängelsestraff kan det förekomma viss hälso- och sjukvård, som Kriminalvården tillhandahåller, efter- som den intagne inte kan utnyttja den allmänna hälso- och sjukvår- den. Motsvarande kan förekomma hos Statens institutionsstyrelse

319

Författningar som reglerar en verksamhet

SOU 2017:66

vid verkställighet av missbrukarvård eller sluten ungdomsvård som påföljd. Sådan hälso- och sjukvård anses, enligt den bedömning Utredningen om 2016 års dataskyddsdirektiv gjort, separerad från den verksamhet som utgör verkställigheten av straffet. Det innebär att det även fortsättningsvis är patientdatalagen, kompletterad av dataskyddsförordningen och den förslagna dataskyddslagen, och inte den föreslagna brottsdatalagen som gäller för den behandling av personuppgifter som utförs inom Kriminalvårdens och Statens institutionsstyrelses hälso- och sjukvårdsverksamhet, såvida det inte rör sig om sådan kontroll eller provtagning som den intagne i vissa fall är skyldig att underkasta sig som ett led i verkställigheten av straffet.5 Patientdatalagen kan alltså i dessa fall fortsätta att gälla vid behandling av personuppgifter inom hälso- och sjukvård hos straffverkställande myndigheter.

Hälso- och sjukvård i verksamheter som inte omfattas av EU-rätten

Hälso- och sjukvård kan utgöra led i verksamheter som inte om- fattas av EU-rätten, t.ex. när Försvarsmakten tar hand om soldater som skadats vid en övning eller insats i Sverige. Behandlingen av personuppgifter i verksamheten omfattas i dessa fall inte av data- skyddsförordningen (artikel 2.2 a), men enligt 1 kap. 2 § i den före- slagna dataskyddslagen ska bestämmelserna i dataskyddsförord- ningen och den lagen ändå gälla. Patientdatalagen, kompletterad av dataskyddsförordningen och dataskyddslagen, kan alltså fortsätta att gälla i dessa fall.

10.1.2 Lagens syfte

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om patientdatalagens syfte i 1 kap. 2 §.

5 Prop. 2007/08:126 s. 50 och SOU 2017:29 s. 218.

320

SOU 2017:66

Författningar som reglerar en verksamhet

Som utredningen konstaterat i avsnitt 9.4 påverkas inte bestäm- melser om syftet med lagstiftningen av dataskyddsförordningen. Bestämmelsen i 1 kap. 2 § patientdatalagen kan därmed behållas.

10.1.3 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 1 kap. 4 § patientdata- lagen ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av patientdatalagen eller föreskrifter som med- delats med stöd av den lagen.

Inom den rättspsykiatriska vården ska i stället den föreslagna brottsdatalagen gälla, om inte annat följer av patientdatalagen eller föreskrifter som meddelats med stöd av den lagen.

Enligt 1 kap. 4 § patientdatalagen gäller personuppgiftslagen vid sådan behandling av personuppgifter inom hälso- och sjukvården som är helt eller delvis automatiserad eller där uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt sär- skilda kriterier, om inte annat följer av patientdatalagen eller före- skrifter som meddelats med stöd av den lagen.

Som anges i avsnitt 9.6 bör registerförfattningarna alltjämt gälla utöver den nationella generella regleringen. I patientdatalagen ska förhållandet till dataskyddslagen liksom i dag endast regleras för automatiserad behandling eller sådan manuell behandling där upp- gifterna ingår i eller är avsedda att ingå i ett register.

Som anges i avsnitt 9.6 bör även en upplysningsbestämmelse om att patientdatalagen kompletterar dataskyddsförordningen tas in i lagen.

Behandling av personuppgifter som sker i samband med verk- ställighet av rättspsykiatrisk vård omfattas, som framgår av av- snitt 10.1.1, inte av dataskyddsförordningens tillämpningsområde utan av tillämpningsområdet för det nya dataskyddsdirektivet. Utredningen om 2016 års dataskyddsdirektiv har föreslagit en brotts- datalag som ska genomföra det nya dataskyddsdirektivet. Brotts-

321

Författningar som reglerar en verksamhet

SOU 2017:66

datalagen ska dock enligt den föreslagna 1 kap. 5 § inte gälla om det finns avvikande bestämmelser i annan lag eller förordning.

Utredningen anser, som framgår av avsnitt 10.1.1, att patient- datalagen, på samma sätt som vid annan hälso- och sjukvård, bör fortsätta att gälla vid behandling av personuppgifter inom rätts- psykiatrisk vård. Utredningen har samrått med Utredningen om 2016 års dataskyddsdirektiv om den bedömningen. Patientdata- lagen bör vid behandling av personuppgifter inom den rättspsykia- triska vården gälla utöver den föreslagna brottsdatalagen på samma sätt som andra registerförfattningar inom den lagens tillämpnings- område.6 Det innebär att det är brottsdatalagens bestämmelser som ska tillämpas inom den rättspsykiatriska vården om inte patient- datalagen innehåller bestämmelser som avviker från den lagen. En ny upplyningsbestämmelse med denna innebörd bör därför införas i patientdatalagen. Dataskyddsförordningen och den föreslagna data- skyddslagen ska alltså inte tillämpas vid behandling av personuppgif- ter inom rättspsykiatrisk vård.

10.1.4 Tillämpningsområdet för kapitlet med grundläggande bestämmelser om behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 2 kap. 1 § patient- datalagen som innebär att de grundläggande bestämmelserna i 2 kap. ska gälla sådan behandling som avses i 1 kap. 4 § patient- datalagen kan behållas.

I patientdatalagens andra kapitel finns grundläggande bestämmelser om behandling av personuppgifter. Dessa bestämmelser gäller en- ligt 2 kap. 1 § endast sådan behandling som avses i 1 kap. 4 §, dvs. behandling av personuppgifter som är helt eller delvis automatise- rad eller där uppgifterna ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 2 kap. gäller alltså inte för manuell behandling av personuppgifter som inte ingår eller är avsedda att ingå i ett register. Utredningen har ovan föreslagit att 1 kap. 4 § ändras på så sätt att bestämmelsen

6 Jämför SOU 2017:29 s. 141.

322

SOU 2017:66

Författningar som reglerar en verksamhet

ska ange lagens förhållande till dataskyddsförordningen och data- skyddslagen i stället för förhållandet till personuppgiftslagen. Någon ändring beträffande vilken typ av behandling som avses föreslås inte. Hänvisningen i 2 kap. 1 § kan därför behållas.

10.1.5 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 2 kap. 2 § patient- datalagen som anger att behandling av personuppgifter får utföras även om den registrerade motsätter sig den kan och bör behållas.

Behandling av personuppgifter som är tillåten enligt patientdata- lagen får enligt lagens 2 kap. 2 § som huvudregel utföras även om den enskilde motsätter sig den.

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller om behand- lingen sker med stöd av en intresseavvägning (se vidare avsnitt 9.15.1). Utredningen har nedan i avsnitt 10.1.7 gjort bedömningen att stora delar av den behandling av personuppgifter som utförs enligt patient- datalagen sker för att fullgöra en rättslig förpliktelse. Vid behandling som sker med stöd av en sådan rättslig grund har den registrerade enligt dataskyddsförordningen inte någon rätt att göra invändningar. I förhållande till sådan behandling utgör bestämmelsen i 2 kap. 2 § patientdatalagen således inte en begränsning av den registrerades rätt enligt dataskyddsförordningen.

En del av den behandling av personuppgifter som regleras i patient- datalagen grundar sig emellertid på artikel 6.1 e (allmänt intresse och myndighetsutövning). Sådan behandling har den registrerade med stöd av artikel 21.1 i dataskyddsförordningen möjlighet att in- vända mot. Som framgår av avsnitt 9.15.2 är det dock möjligt att göra nationella undantag från rätten att invända mot behandling om de förutsättningar som anges i artikel 23 i dataskyddsförord- ningen är uppfyllda.

Begränsningen av rätten att göra invändningar måste för det första ha till syfte att säkerställa något av de i punkterna a–j upp-

323

Författningar som reglerar en verksamhet

SOU 2017:66

räknande intressena. Det intresse som ligger närmast till hands för den behandling som sker enligt patientdatalagen är det som anges i punkten e angående andra av unionens eller en medlemsstats vik- tiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, där- ibland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. I avsnitt 9.8.2 har utredningen konstaterat att bedrivande av verksamhet inom bl.a. hälso- och sjukvård inklusive den admi- nistration sådan verksamhet kräver, är ett sådant viktigt mål av all- mänt intresse som avses i artikel 23.1 e i dataskyddsförordningen.

För det andra måste åtgärden att begränsa rätten att göra in- vändningar ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och pro- portionell åtgärd i ett demokratiskt samhälle. Utredningen kon- staterar att det inom hälso- och sjukvården måste vara möjligt att sköta journalföring och annan dokumentation på ett rättssäkert och effektivt sätt. Att begränsa rätten att göra invändningar mot behandling av personuppgifter inom hälso- och sjukvården är nöd- vändigt med hänsyn till såväl patientsäkerheten som kvaliteten på vården. En möjlighet för den registrerade att motsätta sig att per- sonuppgifter om bl.a. dennes hälsa behandlas skulle kunna få stora konsekvenser för vården av den personen. Utredningen gör därför också bedömningen att en begränsning av rätten att göra invänd- ningar är proportionerlig i förhållande till sitt syfte. Begränsningen strider inte heller mot andemeningen i de grundläggande rättighet- erna och friheterna.

En begränsning av rätten att göra invändningar måste vidare uppfylla kraven i artikel 23.2 på bestämmelser som den lagstiftning som begränsar den registrerades rättigheter ska innehålla. Utred- ningens bedömning är att bestämmelser med det innehåll som krävs finns i patientdatalagen.

Det är sammantaget enligt utredningens bedömning tillåtet att begränsa möjligheten att göra invändningar mot behandling av per- sonuppgifter på det sätt som regleras i 2 kap. 2 § patientdatalagen.

324

SOU 2017:66

Författningar som reglerar en verksamhet

10.1.6 Samtycke som grund för behandlingen

Utredningens bedömning: Bestämmelsen i 2 kap. 3 § patient- datalagen om att den registrerades samtycke kan utgöra grund för behandling av personuppgifter kan behållas.

Behandling av personuppgifter som inte är tillåten enligt patient- datalagen får enligt lagens 2 kap. 3 § ändå ske om den enskilde har lämnat ett uttryckligt samtycke till behandlingen. Undantag finns såväl i patientdatalagen som i annan lagstiftning och regeringen får meddela föreskrifter om ytterligare undantag.

Enligt den bedömning utredningen har gjort i avsnitt 9.10.2 be- höver någon ny avvägning angående huruvida det är lämpligt att grunda en behandling av personuppgifter på samtycke inte göras. Bestämmelsen om behandling av personuppgifter med stöd av den enskildes samtycke i 2 kap. 3 § första stycket patientdatalagen kan därför behållas.

Även möjligheten enligt 2 kap. 3 § andra stycket patientdata- lagen för regeringen att föreskriva att en behandling inte får utföras trots den enskildes samtycke kan enligt utredningens mening vara kvar. Regeringen får i vart fall, i enlighet med vad utredningen kon- staterat i avsnitt 9.10.2, reglera vad myndigheter inte ska göra, även om enskilda kan åberopa en rätt enligt dataskyddsförordningen att få behandla personuppgifter med stöd av ett giltigt samtycke. Möjlig- heten att med stöd av samtycke behandla känsliga personuppgifter kan vidare för såväl myndigheter som enskilda inskränkas genom nationell lagstiftning enligt artikel 9.2 a i dataskyddsförordningen. Regeringen får förstås inte utöva föreskriftsrätten i strid med data- skyddsförordningen.

325

Författningar som reglerar en verksamhet

SOU 2017:66

10.1.7 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagen i 2 kap. 5 § andra meningen patientdatalagen tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger ut- tryck för finalitetsprincipen.

Utredningens bedömning: Bestämmelserna i 2 kap. 4 § och 5 § första meningen patientdatalagen om för vilka ändamål person- uppgifter får behandlas är förenliga med dataskyddsförordningen och kan och bör därmed behållas.

Den behandling av personuppgifter som sker enligt patientdata- lagen avser huvudsakligen insamling av personuppgifter för doku- mentering i en patientjournal.7 Av ändamålsbestämmelsen i 2 kap. 4 § första stycket 1 patientdatalagen framgår bl.a. att personupp- gifter får behandlas inom hälso- och sjukvården om det behövs för att fullgöra den skyldighet att föra patientjournal som anges i 3 kap. patientdatalagen. Den behandling av personuppgifter som sker i syfte att föra patientjournal är således enligt utredningens bedömning nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige i enlighet med artikel 6.1 c i dataskyddsförordningen.8 Utöver skyldigheten att föra patientjour- nal i patientdatalagen finns det andra författningar som föreskriver att vårdgivare inom hälso- och sjukvården ska dokumentera och lämna ut uppgifter till olika myndigheter. Det anges därför i 2 kap. 4 § första stycket 3 patientdatalagen att personuppgifter får be- handlas om det behövs för att upprätta annan dokumentation som följer av lag, förordning eller annan författning. Även behandling som sker för detta ändamål är nödvändig för att fullgöra rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen. Detsamma gäller behandling av personuppgifter för att fullgöra uppgiftsläm- nande som sker i överensstämmelse med lag eller förordning enligt 2 kap. 5 § patientdatalagen om det sker på grund av en uppgifts- skyldighet. I den mån uppgiftslämnandet inte grundar sig på en skyldighet utan på en möjlighet att lämna uppgifter, får uppgifts-

7 Prop. 2007/08:126 s. 34.

8 Samma bedömning gjordes i prop. 2007/08:126 s. 65.

326

SOU 2017:66

Författningar som reglerar en verksamhet

lämnandet anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

De andra ändamål som räknas upp i 2 kap. 4 § första stycket är upprättande av annan dokumentation som behövs i och för vården av patienter, administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i en- skilda fall, systematisk och fortlöpande utveckling och kvalitetssäk- ring i verksamheten, administration, planering, uppföljning, utvär- dering och tillsyn av verksamheten samt framställning av statistik om hälso- och sjukvården. Bedrivandet av en god hälso- och sjuk- vård är i vissa fall, särskilt för det allmänna, en rättslig förpliktelse, t.ex. enligt hälso- och sjukvårdslagen (2017:30). I 5 kap. 1 § hälso- och sjukvårdslagen finns det en generell rättslig förpliktelse för den som bedriver hälso- och sjukvård, dvs. de vårdgivare som omfattas av patientdatalagen, att bedriva denna så att den uppfyller kraven på en god vård. Detta får också anses vara det yttersta syftet med den behandling av personuppgifter som tillåts enligt patientdatalagen – att uppnå en god vård. Större delen av den behandling av person- uppgifter som sker för de ändamål som anges i patientdatalagen har således stöd i artikel 6.1 c i dataskyddsförordningen.

Behandling enligt patientdatalagen, som inte är nödvändig för att uppfylla en rättslig förpliktelse, får anses nödvändig för att ut- föra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen, i enlighet med vad som anges i avsnitt 9.8.2. Redan det förhållandet att det enligt författning är en rättslig skyl- dighet för det allmänna att bedriva hälso- och sjukvård visar att be- drivandet av hälso- och sjukvård är en arbetsuppgift av allmänt intresse i den mening som avses i artikel 6.1 e i dataskyddsförord- ningen. Det allmänna intresset av att vårdgivare ger en god vård är som framgått lagfäst.

I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. De krav på den rättsliga grunden för be- handlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i samma avsnitt an- ses uppfyllda utan vidare analys när det gäller ändamål som är reglerade sedan tidigare. Behandling för de ändamål som anges i 2 kap. 4 och 5 §§ patientdatalagen är alltså laglig enligt dataskydds-

327

Författningar som reglerar en verksamhet

SOU 2017:66

förordningen och de befintliga ändamålen kan och bör därmed be- hållas.

Finalitetsprincipen

I 2 kap. 5 § patientdatalagen hänvisas till 9 § första stycket d och andra stycket personuppgiftslagen, vilket innebär att den s.k. finali- tetsprincipen gäller vid behandling enligt patientdatalagen. Hänvis- ningen syftar till att klargöra att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än dem för vilka de har samlats in under förutsättning att de nya ändamålen inte är oför- enliga med de ändamål för vilka uppgifterna samlades in. Hänvis- ningen innebär vidare att behandling av personuppgifter för histo- riska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Eftersom personuppgiftslagen kommer att upphävas, måste hän- visningen till bestämmelsen om finalitetsprincipen i den lagen ändras. Det bör ske i enlighet med vad som redovisas i avsnitt 9.10.3.

10.1.8 Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelserna om personuppgiftsansvar i 2 kap. 6 § patientdatalagen.

Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelserna i 2 kap. 6 § patientdatalagen kan och bör därför behållas.

328

SOU 2017:66

Författningar som reglerar en verksamhet

10.1.9 Personuppgifter som får behandlas

Utredningens förslag: Hänvisningen till personuppgiftslagen i 2 kap. 7 § patientdatalagen tas bort. I stället ska det uttryckligen anges vilka uppgifter om lagöverträdelser som får behandlas.

Utredningens bedömning: Bestämmelsen i 2 kap. 7 § patient- datalagen om vilka personuppgifter som får behandlas kan och bör i övrigt behållas.

En vårdgivare får enligt 2 kap. 7 § patientdatalagen endast behandla sådana personuppgifter som behövs för de ändamål som anges i 4 §. Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen, dvs. uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden, får endast behandlas om det är absolut nöd- vändigt för ett sådant ändamål. Det gäller även för vårdgivare som inte är statliga myndigheter, landsting eller kommuner.

Begränsning av vilka personuppgifter som får behandlas

Att behandling endast får ske av sådana personuppgifter som behövs för de ändamål de behandlas för är en grundläggande princip enligt både dataskyddsförordningen och dataskyddsdirektivet. Principen om uppgiftsminimering följer av artikel 5.1 c i dataskyddsförord- ningen, som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de be- handlas. Bestämmelsen om att endast personuppgifter som behövs för de ändamål som anges i patientdatalagen får behandlas stämmer därför väl överens med dataskyddsförordningen. En sådan preciser- ing är tillåten för myndigheter. Preciseringen är tillåten även för en- skilda eftersom behandlingen stödjer sig på de rättsliga grunderna fullgörande av rättslig förpliktelse eller utförande av arbetsuppgift av allmänt intresse. Bestämmelsen kan och bör därför behållas.

329

Författningar som reglerar en verksamhet

SOU 2017:66

Uppgifter om lagöverträdelser

I enlighet med den bedömning utredningen har gjort i avsnitt 9.12 kan och bör bestämmelser i registerförfattningar som tillåter en- skilda och myndigheter att behandla uppgifter om lagöverträdelser behållas. Som också framgår av det avsnittet kan begränsningar av möjligheten att behandla uppgifter om friande brottmålsdomar och administrativa frihetsberövanden behållas för myndigheter. Det- samma gäller enskilda eftersom behandlingen inom patientdata- lagens tillämpningsområde grundar sig på artikel 6.1 c och e (rätts- lig förpliktelse och allmänt intresse) i dataskyddsförordningen. Bestämmelsen i patientdatalagen bör därför omfatta samma upp- gifter som i dag, dvs. personuppgifter om lagöverträdelser som inne- fattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Eftersom personuppgiftslagen kommer att upphöra, måste det dock anges direkt i bestämmelsen vilka uppgifter det rör sig om.

10.1.10 Känsliga personuppgifter

Utredningens förslag: Patientdatalagen kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i data- skyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnads- plikt.

Utredningens bedömning: Behandling av känsliga personupp- gifter inom patientdatalagens tillämpningsområde kan alltjämt ske med stöd av ändamålsbestämmelserna i patientdatalagen.

Behandling av känsliga personuppgifter får ske med stöd av 2 kap. 4, 5 och 7 §§ patientdatalagen som anger att en vårdgivare endast får behandla sådana personuppgifter som behövs för vissa uppräk- nade ändamål. Den regleringen ersätter bestämmelsen om behand- ling av känsliga personuppgifter i 18 § personuppgiftslagen.9

9 Prop. 2007/08:126 s. 56 och 230 f.

330

SOU 2017:66

Författningar som reglerar en verksamhet

I avsnitt 9.11.4 redogör utredningen för vad som omfattas av undantaget för hälso- och sjukvård i artikel 9.2 h i dataskydds- förordningen. Utredningen gör mot bakgrund av vad som anges där bedömningen att den behandling som sker enligt patientdata- lagen ryms inom de syften som nämns i artikel 9.2 h i dataskydds- förordningen. Patientdatalagens reglering bedöms således vara för- enlig med dataskyddsförordningen och känsliga personuppgifter kan även fortsättningsvis ske med stöd av ändamålsbestämmelserna.

Som också anges i avsnitt 9.11.4 bör en bestämmelse som på- minner om kravet på tystnadsplikt enligt artikel 9.3 i dataskydds- förordningen tas in i patientdatalagen.

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter får behandlas under samma förutsätt- ningar som andra personuppgifter inom patientdatalagens tillämp- ningsområde, påverkar det inte patientdatalagens reglering, utom såvitt avser sökbegrepp och innehållet i kvalitetsregister, att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen.

10.1.11 Sökbegränsningar

Utredningens förslag: Möjligheten enligt 2 kap. 8 § andra stycket patientdatalagen att använda uppgifter om hälsa som sökbegrepp ska även avse sådana genetiska och biometriska uppgifter och uppgifter om sexuell läggning som samtidigt kan anses utgöra uppgifter om hälsa. Hänvisningarna till personuppgiftslagen i 2 kap. 8 § patientdatalagen ersätts med hänvisningar till 2 kap. 7 § respektive den föreslagna 7 a § patientdatalagen.

Utredningens bedömning: I övrigt kan och bör bestämmelserna om sökbegrepp i 2 kap. 8 § patientdatalagen behållas.

I 2 kap. 8 § patientdatalagen finns det ett förbud mot att använda känsliga personuppgifter eller uppgifter om lagöverträdelser som sökbegrepp. Som sökbegrepp får inte heller uppgifter om att någon

331

Författningar som reglerar en verksamhet

SOU 2017:66

fått bistånd eller varit föremål för andra insatser inom socialtjäns- ten eller enligt utlänningslagen (2005:716) användas. Vissa undan- tag från förbudet anges i bestämmelsen, bl.a. får uppgifter om hälsa användas som sökbegrepp, och regeringen får meddela föreskrifter om vissa ytterligare undantag.

Som anges i avsnitt 9.16.2 utgör sökbegränsningar säkerhets- åtgärder enligt dataskyddsförordningen. Sådana bestämmelser är tillåtna om de avser en myndighets behandling av personuppgifter. Bestämmelser om säkerhetsåtgärder är också tillåtna enligt arti- kel 6.2 och 6.3 i dataskyddsförordningen när det gäller behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c eller e i dataskyddsförord- ningen. Sökbegränsningarna behöver därmed, i enlighet med vad som anges i det avsnittet, inte ändras med anledning av dataskydds- förordningen.

Utredningen anser att sökbegränsningarna, i enlighet med be- dömningen i avsnitt 9.12, bör avse samma uppgifter om lagöverträ- delser som i dag.

När det gäller sökbegränsningar avseende känsliga personupp- gifter är det, som anges i avsnitt 9.11.6, utredningens utgångspunkt att dessa även bör omfatta de nytillkomna kategorierna av känsliga personuppgifter, dvs. genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexu- ell läggning. Bara om det är nödvändigt för en ändamålsenlig be- handling av personuppgifter i den aktuella verksamheten att befint- liga skyddsåtgärder inte omfattar någon av de nya kategorierna av uppgifter, bör den kategorin undantas. Som anges i avsnitt 7.5 kan kategorierna av känsliga personuppgifter i viss mån överlappa var- andra. Genetiska uppgifter kan t.ex. avslöja en persons hälsotillstånd. Detsamma kan i någon mån antas gälla för de andra nytillkomna kategorierna av känsliga personuppgifter. Sådana uppgifter utgör i dag uppgifter om hälsa och är således tillåtna som sökbegrepp enligt regleringen i 2 kap. 8 § patientdatalagen. Vid kontakt med Sveriges Kommuner och Landsting10 har det framkommit att det även fortsättningsvis finns behov av att söka på sådana uppgifter inom hälso- och sjukvården. Utredningen gör därför bedömningen

10 Sveriges Kommuner och Landsting är en arbetsgivar- och intresseorganisation för alla kommuner, landsting och regioner.

332

SOU 2017:66

Författningar som reglerar en verksamhet

att det är nödvändigt för en ändamålsenlig behandling av person- uppgifter inom hälso- och sjukvården att sådana genetiska och bio- metriska uppgifter och uppgifter om sexuell läggning som samtidigt kan anses utgöra uppgifter om hälsa, kan fortsätta att användas som sökbegrepp. Att dessa uppgifter får användas som sökbegrepp bör tydliggöras genom att det anges i 2 kap. 8 § att uppgifter om hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning, får användas. Någon skillnad i sak är således inte avsedd utan förslaget syftar endast till att tydliggöra att samma sökningar som får göras i dag även får göras fortsättningsvis. Gene- tiska och biometriska uppgifter samt uppgifter om sexuell läggning som inte samtidigt utgör uppgifter om hälsa får däremot inte an- vändas som sökbegrepp.

Eftersom hänvisningarna till personuppgiftslagen inte kan vara kvar när den lagen upphör, bör de ersättas med hänvisningar till definitionerna av uppgifter om lagöverträdelser och känsliga person- uppgifter i 2 kap. 7 § respektive den föreslagna 7 a § patientdata- lagen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom detta område och inte heller att föreskriftsrätten delegeras. Möjligheten för regeringen att meddela föreskrifter kan därför be- hållas.

10.1.12 Skyldigheten att föra patientjournal

Utredningens bedömning: Bestämmelserna i 3 kap. patientdata- lagen om skyldigheten att föra patientjournal kan och bör be- hållas.

Bestämmelser som inte gäller behandling av personuppgifter

I 3 kap. patientdatalagen regleras skyldigheten att föra patientjournal. Bestämmelserna i kapitlet är tillämpliga oavsett om patientjour- nalen förs automatiserat eller manuellt. Till den del bestämmelserna tillämpas på helt eller delvis automatiserad behandling eller manuell behandling av personuppgifter som ingår i eller kommer att ingå i ett register omfattas behandlingen av dataskyddsförordningens regler-

333

Författningar som reglerar en verksamhet

SOU 2017:66

ing. Flera bestämmelser i kapitlet utgör inte några egentliga data- skyddsbestämmelser utan avser i stället att reglera förfarandet vid journalföring. Detta gäller bestämmelserna i 1–4, 13 och 16 §§. Någon prövning mot dataskyddsförordningen bedöms inte behöva göras när det gäller dessa bestämmelser. Detsamma gäller den bestämmelse i 3 kap. 19 § angående patientjournaler i krig m.m. som endast innehåller en föreskriftsrätt för regeringen. Kapitlet innehåller emellertid också bestämmelser som reglerar behandling av personuppgifter i patientjournaler. För dessa bestämmelser görs nedan en analys av om de behöver anpassas till dataskyddsförord- ningen.

En patientjournals innehåll

En patientjournal får enligt 3 kap. 5 § patientdatalagen innehålla endast de uppgifter som behövs för de ändamål som anges i 2 kap. 4 § första stycket 1 och 2, dvs. om det behövs för att fullgöra skyl- digheten att föra patientjournal och upprätta annan dokumentation som behövs i och för vården av patienter eller administration som rör patienter och som syftar till att ge vård i enskilda fall eller som annars föranleds av vård i enskilda fall. Att endast personuppgifter som behövs för de ändamål för vilka journalföring är tillåten får behandlas följer av den grundläggande principen om uppgiftsmini- mering enligt artikel 5.1 c i dataskyddsförordningen, som också finns i artikel 6.1 c i dataskyddsdirektivet. I den artikeln anges att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Bestämmelsen stämmer därför väl överens med dataskyddsförordningen.

I 3 kap. patientdatalagen finns också ett antal bestämmelser som preciserar vad en patientjournal ska innehålla. En patientjournal ska t.ex. enligt 3 kap. 6 § innehålla de uppgifter som behövs för en god och säker vård av patienten. I bestämmelsen räknas vidare upp vilka uppgifter en patientjournal alltid ska innehålla. Av 3 kap. 7 § fram- går att en patientjournal även får innehålla de uppgifter som enligt lag eller annan författning ska antecknas i en patientjournal. I 3 kap. 10 § finns ett krav på signering av journalanteckningar. Om en journalhandling har lämnats ut till någon, ska detta enligt 3 kap. 11 § dokumenteras i patientjournalen. De uppräknade bestämmel-

334

SOU 2017:66

Författningar som reglerar en verksamhet

serna specificerar vilka uppgifter som får behandlas i en patient- journal. Att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas följer som nämnts redan av principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen. De nu berörda bestämmelserna i patientdatalagen kan sägas utgöra ett utflöde av denna princip.

Medlemsstaterna tillåts som redan nämnts att införa mer speci- fika bestämmelser i den nationella lagstiftningen antingen eftersom behandlingen stödjer sig på de rättsliga grunderna enligt 6.1 c eller e i dataskyddsförordningen eller därför att den endast avser myndig- heter. Överväganden kring vilka uppgifter som behöver antecknas i en patientjournal har gjorts vid tidigare lagstiftningsarbeten och utredningen har att utgå från att de uppgifter som anges i dessa bestämmelser behövs för de ändamål för vilka uppgifterna i patient- journalen behandlas. Bestämmelserna kan och bör därför behållas.

Om patienten anser att en uppgift i patientjournalen är oriktig eller missvisande, ska det enligt 3 kap. 8 § antecknas i journalen. Bestämmelsen är ett komplement till bestämmelserna om rättelse och journalförstöring i 8 kap. 3 och 4 §§. Av förarbetena framgår att det behövdes ett komplement till de bestämmelserna eftersom det för rättelse av en journaluppgift på patientens begäran krävs att den som ansvarar för uppgiften är överens med patienten om fel- aktigheten och journaluppgifter kan förstöras endast i undantags- fall.11 Enligt artikel 16 i dataskyddsförordningen införs en ny rätt för registrerade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga person- uppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Bestämmelsen i 3 kap. 8 § patientdatalagen utgör möjligen en ut- vidgning av den registrerades rättigheter i förhållande till dataskydds- förordningens bestämmelser. Medlemsstaterna tillåts emellertid som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen. Att på detta sätt möjligen utvidga den regi- strerades rätt att få sina synpunkter på behandlingen antecknade får anses förenligt med dataskyddsförordningen.

Uppgifter som ska antecknas enligt 3 kap. 6–8 §§ ska enligt 3 kap. 9 § föras in i journalen så snart som möjligt. Bestämmelsen överensstämmer med principen om korrekthet i artikel 5.1 d i data-

11 Prop. 2007/08:126 s. 93.

335

Författningar som reglerar en verksamhet

SOU 2017:66

skyddsförordningen som anger att uppgifterna ska vara korrekta och om nödvändigt uppdaterade. Av de skäl som anges ovan bedöms även den bestämmelsen förenlig med dataskyddsförordningen.

Regeringen har enligt 3 kap. 12 § möjlighet att meddela undan- tag från vissa av bestämmelserna i 3 kap. samt föreskrifter om en journalhandlings innehåll och utformning. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom detta område eller att föreskriftsrätten delegeras.

Sammanfattningsvis gör alltså utredningen bedömningen att de nu berörda bestämmelserna om patientjournalers innehåll kan och bör behållas.

Hantering av journalhandlingar

I 3 kap. 14 § första stycket anges att uppgifter i en journalhandling inte får utplånas eller göras oläsliga i andra fall än som avses i 8 kap. 4 §, som handlar om förstörande av patientjournal. Bestämmelsen innehåller endast en upplysning om att bestämmelsen om förstö- rande av patientjournal gäller. Den bestämmelsen berörs i av- snitt 10.1.17. Av 3 kap. 14 § andra stycket framgår att vid rättelse av en felaktighet ska det anges när rättelsen skett och vem som har gjort den. Bestämmelsen i andra stycket gäller inte rättelsen i sig, den framgår av 8 kap. 3 § patientdatalagen som också den berörs i avsnitt 10.1.17. I stället handlar bestämmelsen om ytterligare upp- gifter som ska finnas i en patientjournal, nämligen uppgift om när en rättelse skett och vem som gjort den. Som anförts ovan har över- väganden kring vilka uppgifter som behöver antecknas i en patient- journal gjorts vid tidigare lagstiftningsarbeten. Utredningen utgår därför från att de uppgifter som enligt regleringen i patientdata- lagen ska finnas i patientjournalen behövs för de ändamål för vilka uppgifterna i patientjournalen behandlas. Utredningen bedömer där- för på samma skäl som anges ovan att även denna bestämmelse är förenlig med dataskyddsförordningen.

Regeringen eller den myndighet som regeringen bestämmer får enligt 3 kap. 15 § meddela föreskrifter om hur journalhandlingar ska hanteras och förvaras. Dataskyddsförordningen hindrar inte en sådan föreskriftsrätt. Bestämmelsen behöver därför inte ändras.

336

SOU 2017:66

Författningar som reglerar en verksamhet

Bevarande av journalhandlingar

Bestämmelsen i 3 kap. 17 § patientdatalagen reglerar bevarande av journalhandlingar. I 3 kap. 18 § anges att för journalhandlingar som utgör allmänna handlingar gäller, med de undantag som följer av 17 §, arkivlagen (1990:782) samt de bestämmelser som meddelas med stöd av arkivlagen.

Bestämmelser om bevarande behöver, i enlighet med vad som anges i avsnitt 9.17.2, inte ändras under förutsättning att den ur- sprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Bestäm- melserna om bevarande i patientdatalagen kan således behållas.

I 3 kap. 17 § patientdatalagen ges även regeringen rätt att med- dela vissa föreskrifter om bevarande. Dataskyddsförordningen hindrar inte en sådan föreskriftsrätt. Bestämmelsen kan därför behållas.

Bestämmelserna i 3 kap. 17 § andra stycket och 18 § är endast upplysningsbestämmelser varför det saknas skäl att göra någon prövning av dessa.

10.1.13 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna om säkerhetsåtgär- der i form av begränsningar av åtkomst till personuppgifter och utlämnande av uppgifter i 4 och 5 kap. patientdatalagen kan be- hållas.

Åtkomst till personuppgifter

I 4 kap. 1–3 §§ patientdatalagen finns ett antal bestämmelser som på olika sätt reglerar den interna tillgången till personuppgifter inom hälso- och sjukvården. Bestämmelserna innebär bl.a. att en medarbetare får ta del av uppgifter om patienter endast om han eller hon deltar i vården av patienten eller av annat skäl behöver uppgifterna för sitt arbete. En vårdgivare ska också begränsa behö- righeten till uppgifter till vad som behövs för att en medarbetare ska kunna fullgöra sina arbetsuppgifter samt se till att åtkomst

337

Författningar som reglerar en verksamhet

SOU 2017:66

dokumenteras och kontrolleras. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter.

Som anges i avsnitt 9.16.2 är styrning av tilldelning och begräns- ning av behörigheter samt loggkontroll säkerhetsåtgärder enligt dataskyddsförordningen. I enlighet med vad som anges i det av- snittet behöver den typ av bestämmelser det nu är fråga om inte ändras med anledning av dataskyddsförordningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämmelsen behöver därför inte ändras.

Patientens möjlighet att begränsa elektronisk åtkomst för vårdsyfte

Patienten har enligt 4 kap. 4 § patientdatalagen en möjlighet att motsätta sig elektronisk åtkomst till uppgifter i patientjournalen för den som arbetar vid en annan vårdenhet eller inom en annan vårdprocess hos samma vårdgivare. Av 4 kap. 5 § följer att en spärr får hävas om patienten samtycker till det, eller patientens samtycke inte kan inhämtas och informationen kan antas ha betydelse för den vård som patienten oundgängligen behöver.

Som redan angetts har den registrerade enligt artikel 21.1 i data- skyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, en rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f (arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning och intresseavvägning).

Behandling för de ändamål som avses i 4 kap. 4 § patientdata- lagen, att fullgöra skyldigheten att föra patientjournal och upprätta annan dokumentation som behövs i och för vården av patienter samt upprätta annan dokumentation som följer av författning, sker enligt utredningens bedömning för att den är nödvändig för att fullgöra rättsliga förpliktelser. Vid behandling som sker med stöd av en rättslig förpliktelse har den registrerade enligt dataskyddsför- ordningen inte någon rätt att göra invändningar. Patientens möjlig- het att motsätta sig att personuppgifter görs tillgängliga genom elektronisk åtkomst innebär således en utvidgning av rätten att göra invändningar enligt dataskyddsförordningen. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den

338

SOU 2017:66

Författningar som reglerar en verksamhet

nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen eller därför att de endast avser en myndighets behandling av personuppgifter. Att på detta sätt utvidga den registrerades rätt att göra invändningar och få sina personuppgifter spärrade kan därför inte anses strida mot dataskyddsförordningen. Eftersom rätten att motsätta sig behandling enligt 4 kap. 4 § innebär en utvidgning av den registrerades rätt enligt dataskyddsförordningen, ser utred- ningen inte heller några problem med att behålla bestämmelsen i 4 kap. 5 § om att spärren får hävas om patienten själv tar tillbaka sin invändning eller om det inte är möjligt att inhämta samtycke.

Skydd för identitet i vissa fall

Bestämmelsen i 4 kap. 6 § första stycket patientdatalagen upplyser om att det i 14 § lagen (1996:1156) om receptregister finns be- stämmelser om att E-hälsomyndigheten ska lämna ut vissa uppgif- ter till landstingen om förskrivning av läkemedel och andra varor och att uppgifter om patientens identitet ska vara krypterade vid utlämnandet. Sådana uppgifter om patientens identitet får enligt 4 kap. 6 § andra stycket patientdatalagen inte behandlas i syfte att röja en patients identitet utan att patienten samtycker till det. Av tredje stycket framgår att uppgifter om en patients identitet som har dokumenterats inom hälso- och sjukvården och som landstingen ska sambearbeta med sådana uppgifter om patientens identitet som har lämnats ut från E-hälsomyndigheten, ska vara krypterade så att patientens identitet skyddas vid behandlingen.

Syftet med att E-hälsomyndigheten lämnar ut uppgifter till landstingen är att landstingen i sin verksamhet för medicinsk upp- följning ska kunna använda uppgifter om enskilda patienters uttag av förskrivna läkemedel och andra varor tillsammans med uppgifter som finns i landstingens vårddokumentation.12 Förbudet i andra stycket mot att behandla de uppgifter om patientens identitet som lämnats ut från E-hälsomyndigheten i syfte att röja en patients identitet har införts för att säkerställa att krypteringen består hos landstingen. Med kryptering avses s.k. envägskryptering vilket inne- bär att man genom användning av en algoritm krypterar identitets-

12 Prop. 2009/10:138 s. 22 ff.

339

Författningar som reglerar en verksamhet

SOU 2017:66

uppgifter så att de inte längre är läsbara på normalt sätt. Vid kryp- teringen får varje personnummer en unik kod. När samma krypter- ingsmetod används av landstingen är det möjligt att koppla ihop uppgifter som kommer från E-hälsomyndigheten med uppgifter om samma person som redan finns hos landstingen. På så sätt kan uppgifterna sambearbetas i landstingens uppföljning. Krypteringen innebär alltså inte en total avidentifiering utan det är fortfarande fråga om personuppgifter. Bestämmelsen i andra stycket medger att ett landsting med patientens samtycke genom s.k. bakvägsidentifie- ring kan söka efter uppgifter om denne genom att använda den kod som erhållits vid krypteringen. På så sätt kan landstingen även upp- rätta ett registerutdrag enligt 26 § personuppgiftslagen.13

Som utredningen konstaterat i avsnitt 9.16.2 utgör kryptering en sådan säkerhetsåtgärd som nämns i artikel 32 i dataskyddsförord- ningen. Bestämmelserna om kryptering i 4 kap. 6 § patientdatalagen kan i enlighet med vad som anges i avsnittet behållas.

När det gäller bestämmelsen i 4 kap. 6 § andra stycket om att uppgifter om patientens identitet får röjas om denne samtycker till det bör bestämmelserna i artikel 11 i dataskyddsförordningen näm- nas. Artikel 11.1 i dataskyddsförordningen innebär att om de ända- mål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare informa- tion för att identifiera den registrerade endast i syfte att följa data- skyddsförordningen. Av artikel 11.2 i dataskyddsförordningen följer vidare att om den personuppgiftsansvarige, i de fall som avses i artikel 11.1, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig. Av skäl 57 i dataskyddsförordningen framgår att om de personuppgifter som behandlas av en person- uppgiftsansvarig inte gör det möjligt för denne att identifiera en fysisk person, bör den personuppgiftsansvarige inte vara tvungen att skaffa ytterligare information för att kunna identifiera den regi-

13 Prop. 2009/10:138 s. 32 ff.

340

SOU 2017:66

Författningar som reglerar en verksamhet

strerade, om ändamålet endast är att följa någon av bestämmelserna i förordningen. Bestämmelsen i artikel 11 innebär alltså bl.a. att den personuppgiftsansvarige inte behöver behandla ytterligare informa- tion för att identifiera den registrerade endast i syfte att lämna ut ett registerutdrag enligt artikel 15. Den personuppgiftsansvarige bör dock inte enligt dataskyddsförordningen vara förhindrad att behandla sådana ytterligare uppgifter om den registrerade sam- tycker till det. Utredningen gör därför den bedömningen att någon ändring i bestämmelsen i 4 kap. 6 § andra stycket, som bara gäller landsting, inte behöver göras med anledning av artikel 11 i data- skyddsförordningen eller annars.

Bestämmelsen om att patienten kan samtycka till att dennes identitet röjs har införts för att möjliggöra för landstingen att full- göra skyldigheten att lämna ut registerutdrag enligt 26 § person- uppgiftslagen. Motsvarande skyldighet följer av artikel 15 i data- skyddsförordningen. Någon annan anledning att röja patientens identitet torde knappast komma i fråga. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen kan mot bakgrund av vad som anförts ovan inte anses strida mot dataskyddsförordningen.

Utlämnande genom direktåtkomst och på medium för automatiserad behandling

I 5 kap. 4 § första stycket patientdatalagen slås fast att utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. Enligt bestämmel- sens andra stycke och 5 kap. 5 § medges viss direktåtkomst inom landsting eller kommuner som bedriver hälso- och sjukvård genom flera myndigheter och direktåtkomst för enskilda. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid en enskilds direkt- åtkomst.

Av 5 kap. 6 § patientdatalagen framgår att om en personuppgift får lämnas ut, kan det ske på medium för automatiserad behandling.

Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske utgör, som angetts i avsnitt 9.16.2, en form av säkerhetsåtgärder enligt data-

341

Författningar som reglerar en verksamhet

SOU 2017:66

skyddsförordningen. Bestämmelserna om direktåtkomst och ut- lämnande på medium för automatiserad behandling behöver i enlig- het med vad som anges i det avsnittet inte ändras med anledning av dataskyddsförordningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämmelsen behöver därför inte ändras.

10.1.14 Upplysningsbestämmelser och allmän bestämmelse om utlämnande

Utredningens bedömning: Bestämmelserna i 5 kap. 1 och 2 §§ patientdatalagen påverkas inte av dataskyddsförordningen.

Bestämmelserna i 5 kap. 1 och 2 §§ patientdatalagen upplyser om att det finns bestämmelser om utlämnande av uppgifter i tryck- frihetsförordningen, offentlighets- och sekretesslagen (2009:400) och patientsäkerhetslagen (2010:659). Då dessa bestämmelser endast upplyser om annan lagstiftning behöver någon bedömning mot dataskyddsförordningens bestämmelser inte göras.

Enligt 5 kap. 3 § har en myndighet, som enligt 9 kap. har hand om en patientjournal upprättad inom enskild hälso- och sjukvård, samma skyldighet som den som ansvarat för journalen före över- lämnandet att lämna ut en uppgift ur journalen som begärs för sär- skilt fall. Bestämmelsen är inte en dataskyddsbestämmelse och den talar inte heller om på vilket sätt uppgifterna ska lämnas ut, dvs. om det ska ske manuellt eller elektroniskt. Någon prövning mot data- skyddsförordningen bedöms därför inte heller behöva göras när det gäller denna bestämmelse.

342

SOU 2017:66

Författningar som reglerar en verksamhet

10.1.15 Sammanhållen journalföring

Utredningens bedömning: Bestämmelserna om sammanhållen journalföring i 6 kap. patientdatalagen kan behållas.

Direktåtkomst till uppgifter hos en annan vårdgivare

En vårdgivare får enligt 6 kap. 1 § patientdatalagen, under de förut- sättningar som anges i 6 kap. 2 §, ha direktåtkomst till vissa person- uppgifter som behandlas av andra vårdgivare. Begreppet samman- hållen journalföring används i patientdatalagen som benämning för ett elektroniskt system som på detta sätt möjliggör att vårddoku- mentation görs åtkomlig för andra vårdgivare genom direktåtkomst.

Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske utgör som angetts i avsnitt 9.16.2 en form av säkerhetsåtgärder enligt data- skyddsförordningen. Utredningen har i det avsnittet gjort bedöm- ningen att bestämmelser om direktåtkomst inte behöver ändras med anledning av dataskyddsförordningen.

Skede 1 – patientens inflytande när uppgifterna görs tillgängliga

Patienten har enligt 6 kap. 2 § första stycket en rätt att motsätta sig att uppgifter görs tillgängliga för andra vårdgivare genom samman- hållen journalföring. Om patienten motsätter sig, får enligt andra stycket endast uppgift om att det finns spärrade uppgifter samt upp- gift om vilken vårdgivare som har spärrat uppgifterna göras tillgäng- liga för andra vårdgivare.

En förutsättning för att uppgifter om en patient ska få göras tillgängliga för andra vårdgivare är enligt tredje stycket att patien- ten i förväg har informerats om vad den sammanhållna journal- föringen innebär och om att patienten kan motsätta sig att andra uppgifter än dem som anges i andra stycket görs tillgängliga för andra vårdgivare.

Om en patient motsätter sig att uppgifter görs tillgängliga för andra vårdgivare, ska uppgifterna enligt fjärde stycket spärras. Vård- nadshavaren till ett barn kan dock inte spärra uppgifter om barnet.

343

Författningar som reglerar en verksamhet

SOU 2017:66

En patient kan när som helst begära att den vårdgivare som har spärrat uppgifterna häver spärren.

Ospärrade uppgifter om patienten ska enligt femte stycket göras tillgängliga för de vårdgivare som är anslutna till systemet med sammanhållen journalföring. Det ska vidare införas en uppgift i systemet om att det finns ospärrade uppgifter om patienten. Andra vårdgivare ska kunna ta del av uppgiften om att det finns ospärrade uppgifter utan att ta del av uppgift om vilken vårdgivare som har gjort uppgiften tillgänglig och övriga uppgifters innehåll.

Bestämmelsen i 6 kap. 2 § patientdatalagen kompletteras av en sekretessbrytande bestämmelse i 25 kap. 11 § offentlighets- och sekretesslagen (2009:400) som innebär att hälso- och sjukvårds- sekretessen enligt 25 kap. 1 § inte hindrar att uppgift lämnas till en myndighet som bedriver verksamhet inom hälso- och sjukvården eller till en enskild vårdgivare enligt vad som föreskrivs om samman- hållen journalföring i patientdatalagen. I 25 kap. 2 § första stycket offentlighets- och sekretesslagen finns vidare en bestämmelse som innebär att det råder absolut sekretess för uppgift om en enskilds personliga förhållanden som gjorts tillgänglig av en annan vårdgivare enligt bestämmelserna om sammanhållen journalföring i patientdata- lagen, om det saknas förutsättningar enligt 6 kap. 3, 3 a eller 4 § samma lag för att myndigheten ska få behandla uppgiften.

I 6 kap. 2 a § patientdatalagen finns det ett undantag till bestäm- melsen i 6 kap. 2 §. En vårdgivare får göra uppgifter om en patient som inte endast tillfälligt saknar förmåga att ta ställning enligt 2 § tillgängliga för de vårdgivare som är anslutna till systemet med sam- manhållen journalföring, om patientens inställning till sådan behand- ling av personuppgifter så långt som möjligt klarlagts och det inte finns anledning att anta att patienten skulle ha motsatt sig behand- lingen av personuppgifter.

En första förutsättning för att uppgifter om patienten ska få göras tillgängliga genom sammanhållen journalföring är alltså att patienten har fått viss information. Vilken information den person- uppgiftsansvarige enligt dataskyddsförordningen är skyldig att lämna i olika situationer framgår av artiklarna 13 och 14, vilka utred- ningen har redogjort för i avsnitt 9.15.1. Här konstateras endast att den information som ska lämnas enligt 6 kap. 2 § tredje stycket patientdatalagen kan sägas omfattas av den personuppgiftsansvari- ges informationsplikt enligt dataskyddsförordningen. Vilken ytter-

344

SOU 2017:66

Författningar som reglerar en verksamhet

ligare information som kan komma att behöva lämnas återkommer utredningen till i avsnitt 10.1.17 nedan. Att på detta sätt uppställa ett krav på att patienten blir informerad för att personuppgifterna ska få behandlas på visst sätt kan enligt utredningens bedömning inte anses strida mot dataskyddsförordningen. Enligt artikel 6.2 och 6.3 i dataskyddsförordningen är det nämligen tillåtet med så- dana särskilda bestämmelser när det gäller personuppgifter som be- handlas med stöd av de rättsliga grunder som är aktuella eller vid behandling som utförs av en myndighet.

Patienten har vidare en rätt enligt patientdatalagen att motsätta sig att dennes uppgifter görs tillgängliga för andra vårdgivare genom sammanhållen journalföring. Som framgår av avsnitt 9.15.1 har den registrerade enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e, dvs. behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Den be- handling av personuppgifter som utförs vid utlämnande genom sammanhållen journalföring grundar sig på ändamålet att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Eftersom vårdgivare inte är skyldiga att lämna ut person- uppgifter genom sammanhållen journalföring, utgör utlämnandet en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen, se avsnitt 10.1.7. Patientens rätt att motsätta sig att uppgifter om denne görs tillgängliga genom sammanhållen journalföring stämmer enligt utredningens bedömning till viss del överens med rätten att göra invändningar enligt artikel 21.1 i data- skyddsförordningen. Det finns dock vissa skillnader. Den person- uppgiftsansvarige får, till skillnad från vad som gäller enligt data- skyddsförordningen, inte lov att göra uppgifterna tillgängliga genom sammanhållen journalföring även om denne skulle kunna påvisa sådana tvingande berättigade skäl som avses i artikel 21.1 i data- skyddsförordningen. Vidare har patienten möjlighet att på förhand motsätta sig behandling, något som inte dataskyddsförordningen ger rätt till. Det finns inte heller någon reglering i dataskydds- förordningen som avser registrerade som inte har förmåga att ta ställning till om deras uppgifter ska få behandlas.

345

Författningar som reglerar en verksamhet

SOU 2017:66

Bestämmelserna innebär, i jämförelse med artikel 21.1 i data- skyddsförordningen en viss utvidgning av den registrerades rättig- heter. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser enligt artikel 6.2 och 6.3 i dataskydds- förordningen. Bestämmelserna kan därför behållas.

Bestämmelsen om att uppgift om att det finns spärrade uppgif- ter om en patient och uppgift om vilken vårdgivare som har spärrat dessa görs tillgängliga oavsett vilken inställning patienten har till detta innebär dock en viss begränsning av rätten att göra invänd- ningar enligt artikel 21.1 i dataskyddsförordningen. En sådan be- gränsning är, som anges i avsnitt 9.15.2, bara tillåten om den upp- fyller kraven i artikel 23 i dataskyddsförordningen. Utredningen har i avsnitt 10.1.5 bedömt att det är möjligt att begränsa patientens invändningsrätt inom patientdatalagens tillämpningsområde. Det saknas anledning att göra någon annan bedömning när det gäller den nu aktuella begränsningen. Bestämmelsen kan därmed behållas. Av samma skäl kan bestämmelsen om att en vårdnadshavare inte får spärra uppgifter om sitt barn behållas.

Dataskyddsförordningen hindrar inte heller att patientens möj- lighet att häva spärren genom att ta tillbaka sin invändning och möjligheten i 6 kap. 2 a § att under vissa förutsättningar göra upp- gifter om en patient som saknar förmåga att ta ställning tillgängliga behålls.

Bestämmelsen i 6 kap. 2 § femte stycket patientdatalagen om att andra vårdgivare ska kunna ta del av en uppgift om att det finns ospärrade uppgifter om patienten utan att ta del av övriga uppgifter har införts för att vårdgivare inte ska behöva ta del av ospärrade uppgifter när förutsättningar för detta saknas enligt bestämmel- serna i 6 kap. patientdatalagen.14 Bestämmelsen gör det möjligt för en vårdgivare att pröva om en begäran om att få del av en allmän handling kan avslås redan på den grunden att det inte förvaras någon sådan handling hos vårdgivaren utan att denne behöver ta del av ospärrade uppgifter. Vårdgivaren behöver inte heller, när förut- sättningar för att behandla uppgifterna saknas, ta del av ospärrade uppgifter för att avslå en begäran om allmän handling på grund av bestämmelsen om absolut sekretess i 25 kap. 2 § offentlighets- och sekretesslagen. Bestämmelsen i 6 kap. 2 § femte stycket möjliggör

14 Prop. 2007/08:126 s. 130–131.

346

SOU 2017:66

Författningar som reglerar en verksamhet

alltså för vårdgivaren att endast ta del av uppgifter som denne behö- ver, vilket överensstämmer med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen, och bestämmelsen kan därför behållas såsom en precisering enligt artikel 6.2 och 6.3 i dataskyddsförordningen.

Skede 2 – patientens inflytande när en annan vårdgivare ska ta del av de uppgifter som gjorts tillgängliga

En vårdgivare får behandla uppgifter som en annan vårdgivare gjort tillgängliga i systemet med sammanhållen journalföring antingen i vårdsyfte eller om det behövs för att utfärda intyg om vården. För att få behandla uppgifterna krävs dock att de förutsättningar som anges i 6 kap. 3 § patientdatalagen är uppfyllda. Vårdgivaren får enligt första stycket i den bestämmelsen behandla uppgifter som en annan vårdgivare gjort tillgängliga om uppgifterna rör en patient som det finns en aktuell patientrelation med, uppgifterna kan antas ha betydelse för att förebygga, utreda eller behandla sjukdomar och skador hos patienten inom hälso- och sjukvården och patienten samtycker till det. Vårdgivaren får enligt andra stycket även be- handla sådana uppgifter om de rör en patient som det finns eller har funnits en patientrelation med, uppgifterna kan antas ha bety- delse för att utfärda sådant intyg om vården som avses i 3 kap. 16 § och patienten samtycker till det. För att en vårdgivare ska få be- handla sådana uppgifter om barn som en vårdnadshavare inte har rätt att spärra enligt 6 kap. 2 § fjärde stycket andra meningen krävs inte något samtycke. I 6 kap. 3 a § finns ytterligare undantag från kravet på samtycke för patienter som saknar förmåga att ta ställ- ning. I 6 kap. 4 § första stycket regleras möjligheten att häva spärren när det föreligger fara för patientens liv eller hälsa och de spärrade uppgifterna kan antas ha betydelse för den vård som patienten be- höver. I andra stycket finns det ett undantag från kravet på sam- tycke gällande ospärrade uppgifter när det föreligger fara för patien- tens liv eller hälsa.

En vårdgivare får enligt 6 kap. 5 § patientdatalagen inte behandla en annan vårdgivares uppgifter om en patient i systemet med sam- manhållen journalföring under andra förutsättningar än de som anges i 6 kap. 3–4 §§, även om patienten uttryckligen samtycker till det. Detta är ett undantag i förhållande till den allmänna bestämmel-

347

Författningar som reglerar en verksamhet

SOU 2017:66

sen i 2 kap. 3 § första stycket som anger att behandling av person- uppgifter som inte är tillåten enligt patientdatalagen ändå får ske om den enskilde lämnat ett uttryckligt samtycke till behandlingen.

För att en vårdgivare ska få ta del av de uppgifter som gjorts till- gängliga i systemet med sammanhållen journalföring krävs alltså som huvudregel samtycke från patienten. Kravet på samtycke utgör en skyddsåtgärd och kan enligt den bedömning utredningen gjort i avsnitt 9.16.2 behållas för myndigheter. Även för enskilda är sådana restriktioner tillåtna, eftersom behandlingen enligt patientdatalagen sker med stöd av artikel 6.1 c eller e (rättslig förpliktelse och arbets- uppgift av allmänt intresse) i dataskyddsförordningen.

Utredningen gör således bedömningen att bestämmelserna om krav på samtycke i 6 kap. 3 och 3 a § patientdatalagen är förenliga med dataskyddsförordningens reglering och därmed kan behållas. Även de övriga villkor som enligt dessa bestämmelser måste vara uppfyllda för att vårdgivaren ska få ta del av uppgifter som gjorts tillgängliga i systemet för sammanhållen journalföring utgör tillåtna preciseringar. Eftersom kravet på samtycke utgör en inskränkning i förhållande till dataskyddsförordningen, bedömer utredningen att det inte finns något hinder mot att ha kvar de undantag från kravet på samtycke som finns i 6 kap. 3 och 3 a §§.

Bestämmelsen i 6 kap. 4 § första stycket som anger att en vård- givare under vissa förutsättningar kan ta del av spärrade uppgifter innebär en viss inskränkning av rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. En sådan begränsning är, som anges i avsnitt 9.15.2, bara tillåten om den uppfyller kraven i arti- kel 23 i dataskyddsförordningen. Utredningen har i avsnitt 10.1.5 bedömt att det är möjligt att begränsa patientens invändningsrätt inom patientdatalagens tillämpningsområde. Det saknas anledning att göra någon annan bedömning när det gäller den nu aktuella be- gränsningen. Bestämmelsen kan därmed behållas. Även möjligheten att enligt andra stycket ta del av ospärrade uppgifter utan samtycke kan behållas. Detta eftersom kravet på samtycke som angetts ovan utgör en inskränkning i förhållande till dataskyddsförordningen.

Det är som framgår av avsnitt 9.10.2 inte möjligt att förbjuda enskilda att behandla personuppgifter med stöd av ett giltigt sam- tycke från den registrerade annat än när det gäller känsliga person- uppgifter (artikel 9.2 a) och personuppgifter om lagöverträdelser (artikel 10), vilket motsvarar vad som gäller i dag. De personupp-

348

SOU 2017:66

Författningar som reglerar en verksamhet

gifter som behandlas i patientjournaler utgör uppgifter om hälsa. Bestämmelsen i 6 kap. 5 § om att en vårdgivare inte får behandla en annan vårdgivares uppgifter om inte förutsättningarna i 6 kap. 3–4 §§ är uppfyllda även om patienten samtycker till det har alltså alltjämt stöd i dataskyddsförordningen och kan behållas.

Personuppgiftsansvar vid sammanhållen journalföring

Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten dele- geras. Bestämmelsen i 6 kap. 6 § patientdatalagen om att det är möjligt att meddela föreskrifter om vem som ska ha personuppgifts- ansvar för övergripande frågor om tekniska och organisatoriska säkerhetsåtgärder vid sammanhållen journalföring kan och bör där- för behållas.

Behörighetstilldelning och åtkomstkontroll

I 6 kap. 7 § patientdatalagen anges att bestämmelserna i 4 kap. 2 och 3 §§ gäller även för behörighetstilldelning och åtkomstkontroll vid sammanhållen journalföring. Som framgått av avsnitt 10.1.13 kan dessa bestämmelser behållas. Därmed kan även bestämmelsen i 6 kap. 7 § patientdatalagen vara kvar.

Bevarande och gallring

När patientjournaler är tillgängliga för flera vårdgivare genom sam- manhållen journalföring gäller enligt 6 kap. 8 § patientdatalagen skyldigheten enligt 3 kap. 17 § att bevara en journalhandling bara den vårdgivare som ansvarar för handlingen. Om en journalhandling eller annan handling är tillgänglig för en myndighet bara genom sammanhållen journalföring och myndigheten inte ansvarar för den, får myndigheten gallra handlingen från sitt arkiv.

Bestämmelsen om bevarande i 3 kap. 17 § patientdatalagen har i avsnitt 10.1.12 bedömts förenlig med dataskyddsförordningen.

349

Författningar som reglerar en verksamhet

SOU 2017:66

Bestämmelsen i 6 kap. 8 § patientdatalagen innebär att uppgifter inte lagras på fler ställen än vad som behövs, eftersom den vårdgivare som endast har tillgång till uppgifterna genom den sammanhållna journalföringen inte lagrar dessa uppgifter. Bestämmelsen kan därmed sägas vara ett utslag av principen om uppgiftsminimering i artikel 5.1 c dataskyddsförordningen och en tillåten precisering enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen är därmed förenlig med dataskyddsförordningen och kan behållas.

10.1.16 Nationella och regionala kvalitetsregister

Inledande bestämmelse

Utredningens bedömning: Dataskyddsförordningen påverkar inte den inledande bestämmelsen om nationella och regionala kvalitets- register i 7 kap. 1 § patientdatalagen.

I 7 kap. patientdatalagen finns det bestämmelser om nationella och regionala kvalitetsregister. Med kvalitetsregister avses enligt 7 kap. 1 § en automatiserad och strukturerad samling av personuppgifter som inrättats särskilt för ändamålet att systematiskt och fortlöp- ande utveckla och säkra vårdens kvalitet. Kvalitetsregistren ska möjliggöra jämförelse inom hälso- och sjukvården på nationell eller regional nivå. Bestämmelserna i 7 kap. gäller för nationella och regionala kvalitetsregister till vilka personuppgifter samlas in från flera vårdgivare. För lokala kvalitetsregister gäller däremot de all- männa reglerna i patientdatalagen. Definitionen av nationella och regionala kvalitetsregister i 7 kap. 1 § föranleder inte några över- väganden i förhållande till dataskyddsförordningen.

Rätten att invända mot behandling av personuppgifter

ikvalitetsregister

Utredningens bedömning: Bestämmelserna i 7 kap. 2 och 2 a §§ patientdatalagen om den enskildes inställning till behandling i kvalitetsregister kan behållas.

350

SOU 2017:66

Författningar som reglerar en verksamhet

Personuppgifter får enligt 7 kap. 2 § patientdatalagen inte behand- las i ett nationellt eller regionalt kvalitetsregister, om den enskilde motsätter sig det. Om den enskilde motsätter sig behandlingen av personuppgifter sedan den påbörjats, ska uppgifterna utplånas ur registret så snart som möjligt. I 7 kap. 2 a § finns det ett undantag för personer som saknar förmåga att ta ställning.

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller om behand- lingen sker med stöd av en intresseavvägning (se vidare avsnitt 9.15.1). Utredningen har nedan i avsnittet om kvalitetsregisters ändamål gjort bedömningen att behandlingen av personuppgifter i kvalitets- registren i huvudsak grundar sig på artikel 6.1 e (allmänt intresse) i dataskyddsförordningen.

Patientens rätt att motsätta sig att uppgifter om denne behand- las i ett nationellt eller regionalt kvalitetsregister och rätten att få uppgifter utplånade stämmer enligt utredningens bedömning till viss del överens med rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen. Det finns dock vissa skillnader. Den per- sonuppgiftsansvarige får, till skillnad från vad som gäller enligt dataskyddsförordningen, inte lov att fortsätta att behandla person- uppgifterna även om denne skulle kunna påvisa sådana tvingande berättigade skäl som avses i artikel 21 i dataskyddsförordningen. Vidare innebär bestämmelsen i 7 kap. 2 § första stycket att patien- ten har möjlighet att på förhand motsätta sig behandling, något som inte dataskyddsförordningen ger rätt till. Det finns inte heller någon reglering i dataskyddsförordningen som avser registrerade som inte har förmåga att ta ställning till om deras uppgifter ska få behandlas.

Bestämmelsen om patientens ovillkorliga rätt att på förhand motsätta sig behandling i nationella och regionala kvalitetsregister och att få personuppgifter som redan behandlas utplånade har införts mot bakgrund av att det ansågs vara i den då gällande hälso- och sjukvårdslagens15 anda att ge patienten inflytande över om uppgif-

15 Se 2 a § hälso- och sjukvårdslagen (1982:763). Motsvarande bestämmelse finns i 5 kap. 1 § i den nu gällande hälso- och sjukvårdslagen (2017:30).

351

Författningar som reglerar en verksamhet

SOU 2017:66

ter om denne behandlas i sådana register. Detta särskilt mot bak- grund av att vårdgivarens deltagande i registerföringen inte är en direkt författningsreglerad skyldighet.16 Bestämmelsen i 7 kap. 2 a § patientdatalagen, som avser patienter som saknar förmåga att ta ställning till behandlingen av personuppgifter i nationella eller regionala kvalitetsregister, tillkom eftersom lagstiftaren ville skapa förutsättningar för förbättring av vården och patientsäkerheten även för personer med nedsatt beslutsförmåga och för att dessa patienter inte skulle behöva riskera sämre vård än andra patienter. Bestämmelsen har utformats med beaktande av att regleringen måste tillgodose det grundläggande behovet av integritetsskydd även för dessa personer.17

Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelserna är enligt utredningens bedömning förenliga med dataskyddsförordningen och kan därför behållas.

När det gäller behandling av personuppgifter för ändamålet att fullgöra en uppgiftsskyldighet som följer av lag eller förordning i 7 kap. 5 § 4 har utredningen nedan gjort bedömningen att sådan behandling sker för att den är nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Vid be- handling som sker med stöd av den rättsliga grunden har den regi- strerade enligt dataskyddsförordningen inte någon rätt att göra in- vändningar. Patientens möjlighet att motsätta sig att dennes upp- gifter behandlas i nationella och regionala kvalitetsregister, till vilka uppgifter samlas in med stöd av artikel 6.1 e i dataskyddsförord- ningen, gäller dock behandling över huvud taget i sådana register och inte specifikt författningsreglerat utlämnande av uppgifter. En patient som inte motsatt sig behandlingen i registren kan alltså inte motsätta sig att uppgifterna i registren lämnas ut när det finns en skyldighet enligt författning att göra det. Däremot kan patienten i efterhand motsätta sig behandlingen varpå uppgifterna i registren, men inte de redan utlämnade uppgifterna, ska utplånas. När patien- ten väl motsatt sig behandling, finns det således inga uppgifter att lämna ut. Rätten att göra invändningar gäller alltså inte sådan be-

16 Prop. 2007/08:126 s. 188–189.

17 Prop. 2013/14:202 s. 32.

352

SOU 2017:66

Författningar som reglerar en verksamhet

handling som är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse.

Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 7 kap. 3 § patientdatalagen som motsvarar eller begränsar krav på information som finns i dataskyddsförordningen tas bort.

Utredningens bedömning: I övrigt kan och bör bestämmelsen i 7 kap. 3 § patientdatalagen behållas.

Innan personuppgifter behandlas i ett nationellt eller regionalt kva- litetsregister ska den som är personuppgiftsansvarig enligt 7 kap. 3 § patientdatalagen se till att den enskilde, utöver den information som ska lämnas enligt 8 kap. 6 §, får information om rätten att när som helst få uppgifter om sig själv utplånade ur registret, i vilken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal och vilka katego- rier av mottagare som personuppgifter kan komma att lämnas ut till. Om det inte är möjligt att lämna informationen innan behand- lingen av personuppgifter påbörjas, ska den lämnas så snart som möjligt därefter.

Bestämmelsen i 7 kap. 3 § patientdatalagen kompletterar och gäller således utöver 8 kap. 6 § patientdatalagen och – när data- skyddsförordningen börjar tillämpas – artikel 13 och 14 i data- skyddsförordningen. Vilken information den personuppgiftsansva- rige enligt dataskyddsförordningen är skyldig att lämna i olika situa- tioner framgår av avsnitt 9.15.1.

Den information den personuppgiftsansvarige ska lämna till den registrerade enligt 7 kap. 3 § patientdatalagen är i huvudsak sådan information som ska lämnas enligt dataskyddsförordningen. Infor- mationsskyldigheten i 7 kap. 3 § omfattar dock även en upplysning som inte omfattas av dataskyddsförordningens reglering, nämligen information om rätten att när som helst få uppgifter om sig själv utplånade ur registret (se föregående avsnitt om 7 kap. 2 § patient- datalagen). Sådana bestämmelser som föreskriver att mer informa- tion än vad som krävs enligt dataskyddsförordningen ska lämnas,

353

Författningar som reglerar en verksamhet

SOU 2017:66

kan i enlighet med utredningens ställningstagande i avsnitt 9.15.1 behållas, om skyldigheten avser myndigheter eller den ursprungliga behandlingen grundas på artikel 6.1 c eller e i dataskyddsförord- ningen. Behandling av personuppgifter i nationella och regionala kvalitetsregister sker med stöd av artikel 6.1 c och e i dataskydds- förordningen (se nästa avsnitt). Den kompletterande informations- skyldigheten kan därmed behållas.

Eftersom det rör sig om en kompletterande informationsskyl- dighet, kan informationen lämnas vid den tidpunkt som bedöms lämplig i nationell rätt. Bestämmelsen i 7 kap. 3 § andra stycket om när informationen ska lämnas, påverkas därför inte av dataskydds- förordningen.

Enligt 7 kap. 3 § 2 ska den registrerade få information om i vil- ken utsträckning personuppgifter inhämtas från någon annan källa än från den enskilde själv eller dennes patientjournal. Att den regi- strerade har rätt att få information om varifrån personuppgifterna kommer, när de inte lämnats av den enskilde själv, framgår av arti- kel 13 och 14.2 f i dataskyddsförordningen. Uppgifter i en patient- journal kommer dock inte alltid från den enskilde själv. Nuvarande reglering i patientdatalagen medför i förhållande till dataskyddsför- ordningen därför en begränsning av skyldigheten att lämna infor- mation. I avsnitt 10.1.17 under rubriken information som ska läm- nas självmant konstaterar utredningen att det inte framkommit att det skulle innebära några beaktansvärda svårigheter för personupp- giftsansvariga att uppfylla de fåtaliga nyheter som dataskyddsförord- ningen innebär när det gäller den information som ska lämnas till den registrerade. Det finns därför, som anges i avsnitt 9.15.2, inte anledning att överväga en begränsning av de registrerades nya rättig- heter.

Utredningen föreslår därför att nu gällande krav på information till registrerade i 7 kap. 3 § tas bort i den utsträckningen de mot- svarar eller begränsar krav på information som gäller enligt data- skyddsförordningen.

354

SOU 2017:66

Författningar som reglerar en verksamhet

Kvalitetsregisters ändamål

Utredningens bedömning: Bestämmelserna om kvalitetsregis- ters ändamål i 7 kap. 4–6 §§ patientdatalagen är förenliga med dataskyddsförordningen och kan och bör behållas. Även be- gränsningen av tillåtna ändamål kan behållas.

I 7 kap. 4–6 §§ patientdatalagen anges för vilka ändamål person- uppgifter får behandlas i kvalitetsregister. Personuppgifter får en- ligt 7 kap. 4 § patientdatalagen behandlas för ändamålet systematisk och fortlöpande utveckling och kvalitetssäkring av vården. Person- uppgifter som behandlas för sådana ändamål får enligt 7 kap. 5 § även behandlas för ändamålen statistikframställning, forskning samt utlämnande av uppgifter för något av angivna ändamål eller för fullgörande av uppgiftsskyldighet enligt lag eller förordning.

Utredningen har gjort bedömningen att stora delar av den be- handling av personuppgifter som utförs enligt patientdatalagen görs för att fullgöra en rättslig förpliktelse. När det gäller behand- ling i kvalitetsregister är det mer tveksamt om sådan behandling kan anses ske med stöd av grunden fullgörande av en rättslig för- pliktelse, i vart fall när det gäller ändamålen att systematiskt och fortlöpande utveckla och kvalitetssäkra vården enligt 7 kap. 4 § samt framställning av statistik, forskning inom hälso- och sjuk- vården och utlämnande i statistik- och forskningssyfte eller utläm- nande i utvecklings- och kvalitetssäkringssyfte enligt 7 kap. 5 § 1–3. Bestämmelserna i patientdatalagen innebär inte någon skyldighet att föra kvalitetsregister. Kvalitetsregister förs inte heller till följd av annan författning utan har ofta skapats genom frivilliga initiativ av specialistföreningar för att användas som stöd för kvalitets- utveckling i det kliniska arbetet. Inrapportering av uppgifter till kvalitetsregister sker till följd av frivilliga åtaganden från vårdgiv- arna.18 Samtidigt innehåller patientdatalagen tydliga regler för den behandling av personuppgifter som får ske i nationella och regio- nala kvalitetsregister där både arten av och syftet med behandlingen anges.

18 Prop. 2007/08:126 s. 176.

355

Författningar som reglerar en verksamhet

SOU 2017:66

Utredningen gör, mot bakgrund av att bestämmelserna överlåter åt vårdgivaren att avgöra om kvalitetsregister ska föras eller inte och vilka uppgifter som i så fall ska ingå i registret, bedömningen att behandlingen i registren inte kan anses ske med anledning av en rättslig förpliktelse. Däremot kan sådan behandling anses nödvän- dig för att utföra en arbetsuppgift av allmänt intresse enligt arti- kel 6.1 e i dataskyddsförordningen. Även Datainspektionen har bedömt att de nationella och regionala kvalitetsregistren, eftersom de normalt syftar till att förbättra kvaliteten i hälso- och sjukvår- den, kan föras med stöd av den grunden.19

Behandling som sker för att fullgöra en uppgiftsskyldighet en- ligt 7 kap. 5 § 4 får däremot anses nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.

I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. De krav på den rättsliga grunden för be- handlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i ovan nämnda av- snitt anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade sedan tidigare. Behandling för de ändamål som anges i 7 kap. 4 och 5 §§ patientdatalagen är alltså laglig enligt dataskydds- förordningen och de befintliga ändamålen kan och bör därmed behållas.

Finalitetsprincipen är inte tillämplig

Personuppgifter i nationella och regionala kvalitetsregister får en- ligt 7 kap. 6 § inte behandlas för några andra ändamål än de som anges i 7 kap. 4 och 5 §§. Det innebär att det inte är tillåtet att be- handla personuppgifter i nationella och regionala kvalitetsregister för andra ändamål även om dessa inte är oförenliga med det ända- mål för vilket uppgifterna har samlats in. Finalitetsprincipen gäller alltså inte vid behandling av personuppgifter i nationella eller regio- nala kvalitetsregister. Däremot kan personuppgifter behandlas för andra ändamål än de som räknas upp i dessa bestämmelser med

19 Nationella kvalitetsregister, Datainspektionens rapport 2002:1 s. 9.

356

SOU 2017:66

Författningar som reglerar en verksamhet

stöd av patientens samtycke. Detta följer av den allmänna bestäm- melsen i 2 kap. 3 § patientdatalagen.

Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsför- ordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in. Medlemsstaterna får, i enlighet med vad utredningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen behålla eller införa mer specifika bestämmelser för att an- passa tillämpningen av bestämmelserna i dataskyddsförordningen, t.ex. regler om för vilka ändamål personuppgifter får behandlas och ändamålsbegränsningar. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till be- handling och utöka deras skyldigheter. Enligt utredningens bedöm- ning kan därför bestämmelsen i 7 kap. 6 § patientdatalagen behållas.

Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 7 kap. 7 § patientdatalagen kan och bör behållas.

Endast myndigheter inom hälso- och sjukvården får enligt 7 kap. 7 § patientdatalagen vara personuppgiftsansvariga för central be- handling av personuppgifter i ett nationellt eller regionalt kvalitets- register. Regeringen eller den myndighet som regeringen bestäm- mer får besluta om undantag. Bestämmelsen får anses innebära att endast myndigheter inom hälso- och sjukvården får centralt föra nationella eller regionala kvalitetsregister, om inte något undantag beslutats, även om detta inte anges uttryckligen. Av förarbetena till bestämmelsen anges nämligen att regeringen föreslår att endast en eller flera myndigheter inom hälso- och sjukvården ska få driva ett sådant register, dvs. administrera och hantera personuppgifterna på den centrala registernivån.20

I enlighet med vad utredningen angett i avsnitt 9.7 kan och bör bestämmelser i registerförfattningar om vem som är personupp- giftsansvarig behållas. Även den nu aktuella bestämmelsen, som i

20 Prop. 2007/08:126 s. 183.

357

Författningar som reglerar en verksamhet

SOU 2017:66

praktiken utesluter enskilda från möjligheten att behandla person- uppgifter, kan behållas eftersom behandlingen enligt patientdata- lagen sker med stöd av artikel 6.1 e i dataskyddsförordningen (all- mänt intresse).

Personuppgifter som får behandlas

Utredningens förslag: Förbudet i 7 kap. 8 § tredje stycket patient- datalagen mot att behandla andra känsliga personuppgifter än uppgifter som rör hälsa, om inte annat har medgetts av reger- ingen eller den myndighet som regeringen bestämmer i ett enskilt fall, ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Patientdata- lagen kompletteras med en bestämmelse som påminner om kra- vet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt.

Hänvisningen till personuppgiftslagen i 7 kap. 8 § tredje stycket patientdatalagen ersätts med en hänvisning till 2 kap. 7 § patientdatalagen.

Utredningens bedömning: Bestämmelsen i 7 kap. 8 § patient- datalagen om vilka personuppgifter som får behandlas kan och bör i övrigt behållas.

Endast sådana personuppgifter som behövs för ändamål som anges i 7 kap. 4 §, dvs. systematisk och fortlöpande utveckling och kvalitets- säkring av vården, får enligt 7 kap. 8 § första stycket behandlas i ett nationellt eller regionalt kvalitetsregister. En enskilds personnum- mer eller namn får enligt andra stycket behandlas i ett nationellt eller regionalt kvalitetsregister endast om det inte är tillräckligt för de ändamål som anges i 7 kap. 4 § att använda kodade person- uppgifter eller personuppgifter som endast indirekt kan hänföras till den enskilde. Känsliga personuppgifter enligt personuppgifts- lagens definition som inte rör hälsa samt uppgifter om lagöverträ- delser m.m. enligt personuppgiftslagen får enligt tredje stycket behandlas endast om regeringen eller den myndighet som reger- ingen bestämmer i enskilda fall medger det.

358

SOU 2017:66

Författningar som reglerar en verksamhet

Begränsning av vilka personuppgifter som får behandlas

Att behandling endast får ske av sådana personuppgifter som be- hövs för de ändamål de behandlas för stämmer överens med den grundläggande principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Bestämmelsen om att endast person- uppgifter som behövs för de ändamål som anges i 7 kap. 4 § får behandlas är därför förenlig med dataskyddsförordningen. Med- lemsstaterna tillåts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och de kan även införa begränsningar för sina myndigheter.

Personnummer

I enlighet med utredningens bedömning i avsnitt 9.13 kan och bör bestämmelsen om behandling av personnummer i patientdatalagen behållas.

Namn

Bestämmelsen om behandling av personnummer i patientdatalagen omfattar även behandling av namn. Dataskyddsförordningen inne- håller inte några särskilda bestämmelser om behandling av uppgifter om namn. Som redan nämnts har medlemsstaterna enligt artikel 6.2 och 6.3 i dataskyddsförordningen, eller därför att bestämmelserna endast omfattar en myndighets behandling av personuppgifter, möjlighet att ha specifika bestämmelser i den nationella lagstift- ningen om bl.a. vilken typ av uppgifter som ska behandlas. Patient- datalagens reglering av under vilka förutsättningar namn får be- handlas stämmer överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Bestämmelsen kan och bör därmed behållas.

359

Författningar som reglerar en verksamhet

SOU 2017:66

Känsliga personuppgifter

Utredningen har i avsnitt 10.1.10 konstaterat att hälso- och sjuk- vården även fortsättningsvis kan behandla känsliga personuppgifter enligt artikel 9.2 h i dataskyddsförordningen. Bedömningen om- fattar även behandlingen i de nationella kvalitetsregistren. Det är således möjligt att ha kvar bestämmelsen som innebär att uppgifter om hälsa får behandlas i registren. Av samma skäl kan möjligheten för regeringen eller den myndighet regeringen bestämmer att i en- skilda fall tillåta att behandling av andra känsliga personuppgifter än hälsa får ske behållas.

Eftersom 7 kap. patientdatalagen innehåller en egen reglering av behandling av känsliga personuppgifter i nationella och regionala kvalitetsregister, vilket innebär att den generella regleringen i 2 kap. inte är tillämplig, bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in även i 7 kap. 8 § patientdatalagen.

Genom dataskyddsförordningen har, som redan nämnts i av- snitt 9.11.6, några nya kategorier av känsliga personuppgifter till- kommit, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Förbudet att behandla känsliga personuppgifter bör i enlighet med den bedömning som redovisas i det nämnda avsnittet, omfatta också dessa nya kategorier av uppgifter. Skulle det upp- komma ett behov av att behandla sådana uppgifter i ett kvalitets- register, har regeringen, eller den myndighet regeringen bestäm- mer, enligt bestämmelsen möjlighet att medge det. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla så- dana känsliga uppgifter som rör hälsa i kvalitetsregistren, om inte föreskrifter meddelas om att andra kategorier av uppgifter får be- handlas.

Som anges i avsnitt 7.5 förekommer det att de olika kategorierna av känsliga personuppgifter överlappar varandra. Sådana person- uppgifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa kan enligt utredningens bedömning behandlas med stöd av bestämmelsen i 7 kap. 8 § tredje stycket patientdatalagen utan att särskilda föreskrifter har meddelats om det. Utredningen har övervägt om detta behöver förtydligas i be- stämmelsen på så sätt att det anges att personuppgifter som rör

360

SOU 2017:66

Författningar som reglerar en verksamhet

hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning, får behandlas, på samma sätt som anges i av- snitt 10.1.11 och 12.8.4. Eftersom det inte har framkommit något behov av att behandla sådana personuppgifter om hälsa, som sam- tidigt omfattas av någon av de nya kategorierna av känsliga person- uppgifter, saknas det dock enligt utredningens bedömning anled- ning att införa ett sådant förtydligande.

Personuppgifter om lagöverträdelser

I enlighet med den bedömning utredningen har gjort i avsnitt 9.12 kan och bör förbudet mot att behandla personuppgifter om lag- överträdelser i 7 kap. 8 § patientdatalagen även fortsättningsvis om- fatta de uppgifter som avses i 21 § personuppgiftslagen. Detta eftersom bestämmelserna avser behandling som grundar sig på arti- kel 6.1 c och e (rättslig förpliktelse och allmänt intresse) i data- skyddsförordningen eller avser myndigheters behandling. Eftersom personuppgiftslagen kommer att upphöra, måste dock hänvis- ningen till personuppgiftslagen ersättas med en hänvisning till defi- nitionen av vilka uppgifter som avses i 2 kap. 7 § patientdatalagen.

Det finns inte något som hindrar att regeringen eller den myn- dighet regeringen bestämmer i enskilda fall medger behandling av sådana uppgifter.

Utlämnande genom direktåtkomst

Utredningens bedömning: Bestämmelsen om direktåtkomst i 7 kap. 9 § patientdatalagen kan behållas.

Bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske utgör som angetts i avsnitt 9.16.2 en form av säkerhetsåtgärder enligt dataskydds- förordningen. Bestämmelsen om direktåtkomst i 7 kap. 9 § patient- datalagen kan därför i enlighet med vad som anges i det avsnittet behållas.

361

Författningar som reglerar en verksamhet

SOU 2017:66

Bevarande och gallring

Utredningens förslag: Bestämmelsen i 7 kap. 10 § patientdata- lagen om gallring behålls i sak men befintlig formulering av historiska, statistiska eller vetenskapliga ändamål ändras till den som används i dataskyddsförordningen.

Personuppgifter i ett nationellt eller regionalt kvalitetsregister ska enligt 7 kap. 10 § första stycket patientdatalagen gallras när de inte längre behövs för det ändamål de behandlas för. En arkivmyndighet inom ett landsting eller en kommun samt regeringen eller den myndighet regeringen föreskriver får dock enligt andra och tredje stycket föreskriva att personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål.

Utredningen har i avsnitt 9.17.2 kommit till den slutsatsen att bestämmelser i registerförfattningar om gallring och bevarande inte behöver ändras under förutsättning att den ursprungliga behand- lingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt arti- kel 6.1 c och e i dataskyddsförordningen. Detsamma gäller delega- tionsbestämmelser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för en viss tid och för vissa ändamål. Bestäm- melserna i 7 kap. 10 § patientdatalagen kan alltså behållas. Formu- leringarna av ändamålen i andra och tredje stycket bör dock anpassas till dataskyddsförordningens lydelse.

10.1.17 Rättigheter för den enskilde

Rätt att ta del av uppgifter

Utredningens bedömning: Bestämmelserna om rätten att ta del av uppgifter i 8 kap. 1 och 2 §§ patientdatalagen påverkas inte av dataskyddsförordningen.

I 8 kap. 1 § patientdatalagen upplyses om att det framgår av tryck- frihetsförordningen och offentlighets- och sekretesslagen (2009:400) att en myndighet inom allmän hälso- och sjukvård under vissa förutsättningar är skyldig att lämna ut journalhandlingar och andra

362

SOU 2017:66

Författningar som reglerar en verksamhet

handlingar och uppgifter till en patient. Då denna bestämmelse endast upplyser om annan lagstiftning behöver någon bedömning mot dataskyddsförordningens bestämmelser inte göras.

Bestämmelsen i 8 kap. 2 § patientdatalagen om utlämnande av journalhandlingar inom enskild hälso- och sjukvård är inte en be- stämmelse om dataskydd. Bestämmelsen talar inte heller om på vilket sätt uppgifterna ska lämnas ut, dvs. om utlämnande ska ske manuellt eller elektroniskt. Någon prövning mot dataskyddsförord- ningen bedöms därför inte heller behöva göras när det gäller denna bestämmelse.

Rättelse

Utredningens förslag: Bestämmelsen om rättelse i 8 kap. 3 § patientdatalagen upphävs.

Bestämmelsen i 8 kap. 3 § första stycket patientdatalagen, som hänvisar till bestämmelsen om rättelse i 28 § personuppgiftslagen, kan i enlighet med vad som anges i avsnitt 9.15.1 upphävas.

I 8 kap. 3 § andra stycket patientdatalagen upplyses om att upp- gifter i en journalhandling enligt 3 kap. 14 § inte får utplånas eller göras oläsliga i andra fall än som avses i 8 kap. 4 §. Eftersom detta endast är en upplysning om vad som följer av den paragraf som kommer direkt efter, kan även bestämmelsen i 8 kap. 3 § andra stycket upphävas.

Förstörande av patientjournal

Utredningens bedömning: Bestämmelsen om förstörande av patientjournal i 8 kap. 4 § patientdatalagen kan behållas.

I 8 kap. 4 § patientdatalagen finns en specialregel om förstörande av patientjournal. Av den bestämmelsen följer att Inspektionen för vård och omsorg under vissa förutsättningar får besluta att journa- len ska förstöras.

Dataskyddsförordningen innehåller som angetts i avsnitt 9.15.1 en rätt till radering. I det avsnittet gör utredningen bedömningen

363

Författningar som reglerar en verksamhet

SOU 2017:66

att radering får anses innebära detsamma som utplåning. I patient- datalagen används omväxlande begreppen utplåning respektive för- störande utan att någon skillnad i sak synes avsedd. Begreppet ut- plåning används t.ex. i 3 kap. 14 § som hänvisar till bestämmelsen i 8 kap. 4 § där begreppet förstörande används. Utredningen utgår därför från att det är samma åtgärd som avses med dessa begrepp.

Eftersom utredningen har konstaterat att behandling som sker enligt patientdatalagen sker med stöd av de rättsliga grunderna rättslig förpliktelse och allmänt intresse, gäller inte rätten till rader- ing inom patientdatalagens tillämpningsområde. Möjligheten att få en patientjournal förstörd är alltså en utvidgning av den registrera- des rättigheter enligt dataskyddsförordningen. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskydds- förordningen. Att på detta sätt utvidga den registrerades rätt till radering kan därför inte anses strida mot dataskyddsförordningen.

Vid bedömning av en ansökan om förstörande måste förstås rätten till begränsning av behandling (se avsnitt 9.15.1) beaktas, om något sådant har begärts.

Information som ska lämnas på begäran

Utredningens bedömning: Bestämmelsen i 8 kap. 5 § patient- datalagen, som innehåller en skyldighet att lämna ytterligare information på begäran av den registrerade, kan behållas.

En vårdgivare ska enligt 8 kap. 5 § första stycket patientdatalagen på begäran av en patient lämna information om den direktåtkomst och elektroniska åtkomst till uppgifter om patienten som förekom- mit. Regeringen eller den myndighet som regeringen bestämmer får enligt andra stycket meddela närmare föreskrifter.

Skyldigheten enligt 8 kap. 5 § patientdatalagen att lämna infor- mation om den åtkomst till patientens uppgifter som förekommit motsvarar ingen bestämmelse i dataskyddsförordningen utan utgör snarast en utökning av den skyldighet att lämna information som föreskrivs i artikel 15 i dataskyddsförordningen. Bestämmelser som föreskriver att mer information än vad som krävs enligt dataskydds- förordningen ska lämnas kan enligt utredningens bedömning be-

364

SOU 2017:66

Författningar som reglerar en verksamhet

hållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen i 8 kap. 5 § patientdatalagen behöver därmed inte ändras.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämmelsen behöver därför inte ändras.

Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 8 kap. 6 § patientdatalagen som motsvarar krav som finns i data- skyddsförordningen tas bort. Krav som innebär att fler upplys- ningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till patientdatalagens bestämmelse om skadestånd ersätts med en hänvisning till dataskyddsförord- ningen och dataskyddslagen. Bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt data- skyddsförordningen.

Utredningens bedömning: Upplysningsbestämmelsen i 8 kap. 6 § sista stycket patientdatalagen bör vara kvar.

Enligt 8 kap. 6 § patientdatalagen ska den personuppgiftsansvarige se till att den registrerade får viss information om behandlingen av personuppgifter. Bestämmelsen i 8 kap. 6 § utgör en precisering av 25 § personuppgiftslagen, som anger vilken information som ska lämnas till den registrerade. I övrigt gäller bestämmelserna i 23–25 och 27 §§ personuppgiftslagen om information som ska lämnas självmant. Detta eftersom personuppgiftslagens bestämmelser gäl- ler om inget annat sägs i patientdatalagen.21

Utredningen har i avsnitt 9.15.1 redogjort för dataskyddsför- ordningens reglering av den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Regleringen av vilken information den personuppgiftsansvarige ska lämna enligt patient- datalagen sammanfaller till stora delar med den i dataskyddsförord-

21 SOU 2006:82 s. 506.

365

Författningar som reglerar en verksamhet

SOU 2017:66

ningen. Informationsskyldigheten i patientdatalagen innebär dock att ett antal upplysningar som inte omfattas av dataskyddsförord- ningens reglering ska lämnas, nämligen den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestäm- melser som gäller för uppgifterna och behandlingen, rätten enligt 4 kap. 4 § att i vissa fall begära att uppgifter spärras, rätten enligt 8 kap. 5 § att få information om den direktåtkomst och elektro- niska åtkomst som förekommit, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för automatiserad behandling. Det finns också krav på upplysningar som ska lämnas enligt dataskyddsförordningen som inte anges i patientdatalagen.

De bestämmelser i patientdatalagen som föreskriver att mer in- formation än vad som krävs enligt dataskyddsförordningen ska läm- nas kan, i enlighet med utredningens bedömning i avsnitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen.

Det har inte framkommit att det skulle innebära några beak- tansvärda svårigheter för personuppgiftsansvariga att uppfylla de fåtaliga nyheter som dataskyddsförordningen innebär när det gäller den information som ska lämnas till den registrerade. Det finns därför, som anges i avsnitt 9.15.2, inte anledning att överväga en begränsning av de registrerades nya rättigheter.

Slutsatsen är alltså att vårdgivare ska lämna den information som följer av dataskyddsförordningen och den ytterligare information som ska lämnas enligt patientdatalagen. Detta bör regleras genom en bestämmelse i patientdatalagen som kompletterar och hänvisar till dataskyddsförordningens reglering på det sätt som anges i av- snitt 9.15.1. Hänvisningen till patientdatalagens bestämmelse om skadestånd, som utredningen i avsnitt 10.1.19 föreslår ska upphä- vas, måste dock ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hän- visningen till dataskyddsförordningen bör vara av dynamisk karak- tär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav på att infor- mationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör, i enlig- het med utredningens bedömning i samma avsnitt, tas bort. Upp- lysningsbestämmelsen i 8 kap. 6 § sista stycket bör av tydlighetsskäl vara kvar, medan den generella regeln i första stycket om att den

366

SOU 2017:66

Författningar som reglerar en verksamhet

som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, efter- som detta följer av dataskyddsförordningen och formuleringen att den personuppgiftsansvarige ska lämna viss angiven information utöver vad som framgår dataskyddsförordningen.

Om behandling av personuppgifter inom rättspsykiatrisk vård ska omfattas av patientdatalagen (se avsnitt 10.1.1), bör utformningen eller tillämpligheten av bestämmelsen, med hänvisningar till data- skyddsförordningen som inte gäller vid sådan behandling, över- vägas i det fortsatta lagstiftningsarbetet.

Andra rättigheter för den enskilde

Utredningens förslag: Bestämmelsen i 8 kap. 7 § patientdata- lagen kompletteras med en hänvisning till rättigheter enligt data- skyddsförordningen.

Utredningens bedömning: I övrigt kan bestämmelsen i 8 kap. 7 § patientdatalagen som upplyser om andra rättigheter för den enskilde behållas.

I 8 kap. 7 § patientdatalagen upplyses om att det i lagen finns före- skrifter om andra rättigheter för den enskilde i vissa andra bestäm- melser. Eftersom det endast är en upplysningsbestämmelse, behöver någon prövning mot dataskyddsförordningen inte göras. Av tydlig- hetsskäl anser utredningen att bestämmelsen bör kompletteras med en upplysning om att det även finns bestämmelser i dataskydds- förordningen som reglerar den enskildes rättigheter.

367

Författningar som reglerar en verksamhet

SOU 2017:66

10.1.18 Omhändertagande och återlämnande av patientjournaler

Utredningens bedömning: Bestämmelserna i 9 kap. patientdata- lagen om omhändertagande och återlämnande av patientjour- naler kan behållas.

Förfarandet vid omhändertagande och återlämnande av patientjournaler

Bestämmelserna i 9 kap. patientdatalagen är tillämpliga oavsett om patientjournalen förs automatiserat eller manuellt. Till den del be- stämmelserna tillämpas på helt eller delvis automatiserad behand- ling eller manuell behandling av personuppgifter som ingår i eller kommer att ingå i ett register omfattas behandlingen av data- skyddsförordningens reglering. Patientjournaler kan enligt 9 kap. 1 § omhändertas av Inspektionen för vård och omsorg bl.a. om de riskerar att handhas på ett lagstridigt sätt. Patientjournalerna kan under vissa förutsättningar återlämnas enligt 9 kap. 2 §. Omhänder- tagna patientjournaler ska enligt 9 kap. 3 § förvaras avskilda hos arkivmyndigheten. Ett beslut om omhändertagande av patientjour- naler får enligt 9 kap. 5 § verkställas även om det inte vunnit laga kraft, om inte något annat föreskrivits i beslutet. Polismyndigheten kan hjälpa till att verkställa ett beslut om omhändertagande av patient- journaler.

Att personuppgifter ska behandlas på ett lagligt och korrekt sätt följer av principerna om laglighet och korrekthet i artikel 5.1 a i dataskyddsförordningen. Vidare följer av principerna om integritet och konfidentialitet i artikel 5.1 f i dataskyddsförordningen att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organi- satoriska åtgärder. Som angetts ovan i avsnitt 9.16.1 innehåller data- skyddsförordningen även ett antal bestämmelser som preciserar den personuppgiftsansvariges skyldighet att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder.

368

SOU 2017:66

Författningar som reglerar en verksamhet

Några åtgärder som motsvarar de som anges i de nu berörda be- stämmelserna i 9 kap. patientdatalagen finns inte i dataskyddsför- ordningen. Bestämmelserna kan dock sägas utgöra ett utflöde av de ovan nämnda principerna om integritet, konfidentialitet, laglighet och korrekthet. Bestämmelserna är i det närmaste att likna vid säkerhetsåtgärder, eftersom de syftar till att säkerställa att person- uppgifter i patientjournaler behandlas i enlighet med de regler som gäller. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de endast avser myndigheters behandling av personuppgifter. Bestämmelserna kan därmed behållas.

Bevarande av omhändertagna journaler

Utredningen har i avsnitt 9.17.2 kommit till den slutsatsen att be- stämmelser i registerförfattningar om gallring och bevarande inte behöver ändras när den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Bestämmelsen om bevarande av omhänder- tagna journalhandlingar i 9 kap. 4 § patientdatalagen kan således behållas.

10.1.19 Skadestånd

Utredningens förslag: Bestämmelsen i 10 kap. 1 § patientdata- lagen som hänvisar till personuppgiftslagens bestämmelse om skadestånd upphävs.

Bestämmelsen i 10 kap. 1 § patientdatalagen som hänvisar till person- uppgiftslagens bestämmelse om skadestånd bör, i enlighet med vad utredningen kommit fram till i avsnitt 9.19.1, upphävas.

369

Författningar som reglerar en verksamhet

SOU 2017:66

10.1.20 Överklagande

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelser om överklagande i 10 kap. 2 § patientdatalagen er- sätts med en hänvisning till den föreslagna dataskyddslagen.

Utredningens bedömning: Bestämmelsen om överklagande i 10 kap. 2 § patientdatalagen kan i övrigt behållas.

Bestämmelser om överklagande finns i 10 kap. 2 § patientdatalagen. Av första stycket följer att Inspektionen för vård och omsorgs be- slut om att avslå en ansökan om förstöring av en patientjournal enligt 8 kap. 4 § första stycket, samt i fråga om omhändertagande eller återlämnande av patientjournaler enligt 9 kap. 1 och 2 §§, får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Av andra stycket följer att i fråga om överklagande av Inspektionen för vård och omsorgs beslut enligt 8 kap. 2 § andra stycket angående utlämnande av en journalhandling gäller i tillämpliga delar 6 kap. 7–11 §§ offentlighets- och sekretess- lagen (2009:400). I tredje stycket upplyses om att vid sådan be- handling av personuppgifter som avses i 1 kap. 4 §, dvs. behandling som är helt eller delvis automatiserad eller där uppgifterna ingår eller är avsedda att ingå i ett register, finns ytterligare bestämmelser om överklagande i 51–53 §§ personuppgiftslagen. Övriga beslut enligt patientdatalagen får enligt fjärde stycket inte överklagas.

Hänvisningen till personuppgiftslagen i 10 kap. 2 § tredje stycket patientdatalagen bör, i enlighet med utredningens bedömning i avsnitt 9.20, ersättas med en hänvisning till den föreslagna data- skyddslagen. De övriga bestämmelserna om överklagande rör andra beslut än sådana som kan överklagas enligt dataskyddslagen och bör därför behållas.

370

SOU 2017:66

Författningar som reglerar en verksamhet

10.2 Patientdataförordningen (2008:360)

Utredningens bedömning: Delegationsbestämmelserna i patient- dataförordningen kan behållas.

Patientdataförordningen innehåller ett antal bestämmelser som ger Socialstyrelsen, i vissa fall efter samråd med Datainspektionen, eller Datainspektionen, ibland efter hörande av Socialstyrelsen, rätt att meddela ytterligare föreskrifter i frågor som berörs i patientdata- lagen. Innehållet i de bestämmelser i patientdatalagen som före- skriftsrätten utgår från har ovan bedömts förenligt med dataskydds- förordningen. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden eller att föreskriftsrätten delegeras. Bestämmelserna kan därmed behållas.

10.3 Förordningen (1985:796)

med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m.

Utredningens bedömning: De bestämmelser i förordningen med vissa bemyndiganden för Socialstyrelsen att meddela före- skrifter m.m. som innebär att ytterligare föreskrifter får med- delas i frågor som regleras i patientdatalagen kan behållas.

Liksom i patientdataförordningen finns det i förordningen med vissa bemyndiganden för Socialstyrelsen att meddela föreskrifter m.m. delegationsbestämmelser som ger Socialstyrelsen rätt att med- dela föreskrifter angående frågor som regleras i patientdatalagen (2008:355). Bestämmelserna finns i 2 § 4, 3 § 1 och 4 § 5. Innehållet i de bestämmelser i patientdatalagen som föreskriftsrätten utgår från har bedömts antingen förenligt med dataskyddsförordningen eller bedömts inte vara dataskyddsbestämmelser varför dataskydds- förordningen inte påverkar regleringen. Dataskyddsförordningen hindrar inte att föreskriftsrätten delegeras. Delegationsbestämmel- serna kan därmed behållas.

371

Författningar som reglerar en verksamhet

SOU 2017:66

10.4 Förordningen (2008:363) om provtagning för hivinfektion

Utredningens bedömning: Regleringen i förordningen om prov- tagning för hivinfektion kan behållas.

I 3 kap. 6 § patientdatalagen finns det en uppräkning av vilka upp- gifter en patientjournal ska innehålla. Bland annat ska enligt andra stycket 1 uppgift om patientens identitet anges i patientjournalen. Förordningen om provtagning för hivinfektion innehåller endast en bestämmelse som utgör ett undantag till den nämnda dokumenta- tionsskyldigheten. Bestämmelsen, som innebär att identitetsupp- gifter under vissa förutsättningar inte ska anges i en patientjournal, överensstämmer med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Medlemsstaterna får införa mer speci- fika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen för behandling som sker med stöd av de rättsliga grunder som är aktuella vid tillämpning av patient- datalagen. Det är också möjligt att införa specifika bestämmelser som begränsar myndigheters behandling av personuppgifter. Över- väganden kring behovet av att anteckna uppgifter i en patientjournal har gjorts vid tidigare lagstiftningsarbeten. Utredningen utgår från den bedömning som gjorts tidigare. Innehållet i förordningen om provtagning för hivinfektion kan och bör därmed vara kvar.

10.5 Apoteksdatalagen (2009:367)

10.5.1 Lagens tillämpningsområde

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om apoteksdatalagens tillämp- ningsområde i 1 §. Även bestämmelserna i 2 och 3 §§ kan behållas.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. Apoteksdatalagen innehåller i 1 § första stycket en bestämmelse om inom vilken verksamhet och på vilken behandling av personuppgifter lagen ska tillämpas. I 2 och 3 §§

372

SOU 2017:66

Författningar som reglerar en verksamhet

finns definitioner och kompletterande bestämmelser som ytterligare preciserar tillämpningsområdet. Dessa bestämmelser kan alltså be- hållas.

I 1 § andra stycket apoteksdatalagen påminns om ändamåls- bestämmelsen i 8 §. Då detta endast är en upplysningsbestämmelse behöver någon prövning mot dataskyddsförordningen inte göras.

10.5.2 Krav på behandling, hantering och förvaring

Utredningens bedömning: Bestämmelsen om krav på behand- ling, hantering och förvaring i 4 § apoteksdatalagen påverkas inte av dataskyddsförordningen.

Bestämmelsen i 4 § apoteksdatalagen som anger att personuppgif- ter ska behandlas så att den enskildes integritet respekteras samt att personuppgifter ska hanteras så att obehöriga inte får tillgång till dem är ett uttryck för ett slags övergripande mål med regleringen. Bestämmelsen är därför i det närmaste att likna vid en bestämmelse om lagstiftningens syfte. Bestämmelsen påminner om syftesbestäm- melsen i 1 kap. 2 § andra och tredje styckena patientdatalagen. Som framgått i avsnitt 9.4 påverkas inte sådana bestämmelser av data- skyddsförordningen.

10.5.3 Förhållandet till annan dataskyddsreglering

Utredningens förslag: I 5 § apoteksdatalagen införs en upplys- ning om att lagen kompletterar dataskyddsförordningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av apoteksdatalagen eller föreskrifter som meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

373

Författningar som reglerar en verksamhet

SOU 2017:66

10.5.4 Den enskildes inställning till behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 6 § apoteksdatalagen om den enskildes inställning till behandlingen av personupp- gifter kan och bör behållas.

Rätten att invända mot behandling av personuppgifter

Behandling av personuppgifter som är tillåten enligt apoteksdata- lagen får enligt 6 § första stycket apoteksdatalagen utföras även om den enskilde motsätter sig behandlingen.

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning eller om be- handlingen sker med stöd av en intresseavvägning (se vidare av- snitt 9.15.1). Utredningen gör nedan i avsnitt 10.5.6 bedömningen att stora delar av den behandling av personuppgifter som utförs enligt apoteksdatalagen, sker för att fullgöra en rättslig förpliktelse. Eftersom dataskyddsförordningen inte ger den registrerade rätt att invända mot behandling som sker med stöd av den grunden, utgör bestämmelsen i 6 § första stycket apoteksdatalagen inte någon be- gränsning av den registrerades rätt att göra invändningar i förhåll- ande till sådan behandling.

När det däremot gäller behandling som grundar sig på ett allmänt intresse måste, som anges i avsnitt 9.15.2, en bedömning göras av om begränsningen av rätten att göra invändningar uppfyller de krav som anges i artikel 23 i dataskyddsförordningen.

Bestämmelsen måste för det första utgöra en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskydds- förordningen. Ett av dessa mål gäller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet (artikel 23.1 e). I avsnitt 9.8.2 har utred- ningen konstaterat att bedrivande av verksamhet inom bl.a. hälso-

374

SOU 2017:66

Författningar som reglerar en verksamhet

och sjukvård inklusive den administration sådan verksamhet kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskydds- förordningen. Enligt utredningens bedömning får därför även den behandling av personuppgifter som utförs av apoteken enligt apoteks- datalagen anses utgöra ett sådant generellt allmänt intresse.

För det andra måste åtgärden att begränsa rätten att göra in- vändningar ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och pro- portionell åtgärd i ett demokratiskt samhälle. Att göra den behand- ling av personuppgifter som behövs i apotekens verksamhet enligt apoteksdatalagen beroende av den registrerades inställning skulle hindra apoteken från att bedriva arbetet på ett effektivt och patient- säkert sätt. Utredningen gör mot den bakgrunden bedömningen att en begränsning av rätten att invända mot behandling är en nöd- vändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett generellt mål av allmänt intresse. Begränsningen strider inte heller mot andemeningen i de grundläggande rättighet- erna och friheterna.

En begränsning av rätten att göra invändningar måste också uppfylla kraven i artikel 23.2 i dataskyddsförordningen på vilka be- stämmelser som den lagstiftning som begränsar den registrerades rättigheter ska innehålla. Utredningen bedömer att bestämmelser med det innehåll som krävs, i den mån det är relevant, redan finns i apoteksdatalagen.

Det är sammantaget enligt utredningens bedömning möjligt att begränsa möjligheten att göra invändningar mot behandling av per- sonuppgifter på det sätt som regleras i 6 § första stycket apoteks- datalagen.

Samtycke som grund för behandlingen

Behandling av personuppgifter som inte är tillåten enligt apoteks- datalagen får enligt 6 § andra stycket apoteksdatalagen ändå utföras, om den enskilde har lämnat ett uttryckligt samtycke till behand- lingen.

Någon ny avvägning angående lämpligheten i att grunda en be- handling av personuppgifter på samtycke behöver i enlighet med den bedömning som gjorts i avsnitt 9.10.2 inte göras. Bestämmelsen om

375

Författningar som reglerar en verksamhet

SOU 2017:66

behandling av personuppgifter med stöd av den enskildes samtycke kan därför behållas.

10.5.5 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 7 § apoteksdatalagen kan och bör behållas.

Som framgår av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 7 § apoteksdatalagen kan och bör därför behållas.

10.5.6 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen i 9 § apoteksdatalagen till personuppgiftslagens bestämmelse om finalitetsprincipen tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för finalitetsprincipen.

Utredningens bedömning: Ändamålsbestämmelserna i 8 § första stycket apoteksdatalagen uppfyller de krav som gäller enligt dataskyddsförordningen och kan behållas. Även kravet på sam- tycke och förbudet mot att i vissa fall redovisa uppgifter som kan hänföras till en enskild person kan behållas.

I 8 § första stycket apoteksdatalagen anges de ändamål för vilka behandling av personuppgifter får ske inom lagens tillämpnings- område. Personuppgifter får behandlas bl.a. om det är nödvändigt för expediering av förordnade läkemedel m.m. och åtgärder i an- slutning till expedieringen. Expedieringen styrs av regleringen i bl.a. läkemedelslagen (2015:315) och lagen (2002:160) om läkemedels- förmåner m.m., som innebär vissa skyldigheter, samt föreskrifter meddelade med stöd av denna lagstiftning. Behandling som sker för ändamålet att expediera läkemedel kan därför enligt utredningens bedömning till viss del sägas vara nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.

376

SOU 2017:66

Författningar som reglerar en verksamhet

Även behandling av personuppgifter för ändamålen redovisning av uppgifter till E-hälsomyndigheten, hantering av reklamationer och indragningar, administrering av delbetalning av läkemedel och varor som omfattas av lagen om läkemedelsförmåner m.m., redo- visning av uppgifter till Inspektionen för vård och omsorg och Läkemedelsverket för deras tillsyn, rapportering till förskrivare om utbyte av läkemedel enligt 21 § fjärde stycket lagen om läkemedels- förmåner m.m., systematisk och fortlöpande utveckling och säkerställ- ande av öppenvårdsapotekens kvalitet samt administration, planering, uppföljning och utvärdering av öppenvårdsapotekens verksamhet och framställning av statistik får huvudsakligen anses ske på grund av rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen.

Sådan behandling av personuppgifter som sker för de ovan upp- räknade ändamålen men som inte kan hänföras till en rättslig skyl- dighet får, i enlighet med vad utredningen konstaterat i avsnitt 9.8.3, anses nödvändig för att fullgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Samma sak gäller behandling av personuppgifter som är nödvändig för administrer- ing av fullmakter att hämta ut läkemedel, hälsorelaterad kund- service och att kunna lämna recept eller blankett till konsumenten.

I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. De krav på den rättsliga grunden för be- handlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i samma avsnitt an- ses uppfyllda utan vidare analys när det gäller ändamål som är regle- rade sedan tidigare. Behandling för de ändamål som anges i 8 § första stycket apoteksdatalagen är alltså laglig enligt dataskydds- förordningen och de befintliga ändamålen kan och bör därmed behållas.

Krav på samtycke och förbud att redovisa uppgifter

Av 8 § andra stycket apoteksdatalagen följer att behandling av person- uppgifter för vissa av de angivna ändamålen inte får omfatta någon annan än den som har lämnat sitt samtycke till behandlingen.

Eftersom ändamålen med behandlingen grundar sig på arti- kel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse och

377

Författningar som reglerar en verksamhet

SOU 2017:66

arbetsuppgift av allmänt intresse), får bestämmelsen, i enlighet med vad som anges i avsnitt 9.10.2, anses tillåten såsom en precisering enligt artikel 6.3 i dataskyddsförordningen. Kravet på samtycke i 8 § andra stycket apoteksdatalagen är således enligt utredningens bedömning lika förenligt med dataskyddsförordningens reglering som med dataskyddsdirektivets och kan därmed behållas.

I 8 § tredje stycket apoteksdatalagen anges att uppgifter som kan hänföras till en enskild person inte får redovisas när behandling sker för vissa uppräknade ändamål. Bestämmelsen stämmer överens med principen om uppgiftsminimering i artikel 5.1 c i dataskydds- förordningen. Medlemsstaterna tillåts, som framgår av avsnitt 9.3, att införa mer specifika bestämmelser i den nationella lagstift- ningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Över- väganden kring vilka uppgifter som behöver redovisas har gjorts vid tidigare lagstiftningsarbeten och utredningen utgår från dessa be- dömningar. Innehållet i bestämmelserna behöver därmed inte ändras.

Finalitetsprincipen

I 9 § apoteksdatalagen finns en hänvisning till 9 § första stycket d och andra stycket personuppgiftslagen. Hänvisningen innebär att den s.k. finalitetsprincipen, dvs. att personuppgifter inte får be- handlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, gäller. Hänvisningen innebär vidare att behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Som anges i avsnitt 9.10.3 kan registerförfattningar även fort- sättningsvis, i syfte att förtydliga att de uppräknade ändamålen inte är uttömmande, innehålla bestämmelser med innebörden att be- handling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Eftersom personuppgiftslagen kommer att upphöra att gälla, bör bestämmelsen utformas i enlig- het med vad som anges i det avsnittet.

378

SOU 2017:66

Författningar som reglerar en verksamhet

10.5.7 Känsliga personuppgifter och uppgifter om lagöverträdelser

Utredningens förslag: Apoteksdatalagen kompletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i data- skyddsförordningen på att känsliga personuppgifter endast får behandlas av eller under ansvar av den som omfattas av tyst- nadsplikt.

Utredningens bedömning: Behandling av känsliga personupp- gifter och uppgifter om lagöverträdelser inom apoteksdatalagens tillämpningsområde kan alltjämt ske med stöd av ändamåls- bestämmelserna i apoteksdatalagen.

Apoteksdatalagen innehåller inte några särskilda bestämmelser om behandling av känsliga personuppgifter eller uppgifter om lagöver- trädelser utan ändamålsbestämmelserna tillåter nödvändig behand- ling av alla slags personuppgifter för de angivna ändamålen. Behand- ling av känsliga personuppgifter eller uppgifter om lagöverträdelser sker således med stöd av ändamålsbestämmelserna i apoteksdata- lagen.

I avsnitt 9.11.4 redogör utredningen för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Utred- ningen gör, särskilt mot bakgrund av den omfattande uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 till dataskyddsförordningen och det förhållandet att persona- len på apotek omfattas av samma tystnadsplikt som personalen vid vårdinrättningar, bedömningen att den verksamhet som apoteks- datalagen omfattar ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Apoteksdatalagens regler- ing är därmed förenlig med dataskyddsförordningen.

Som anges i avsnitt 9.11.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i apoteksdatalagen. Apotekspersonal har redan tyst- nadsplikt enligt patientsäkerhetslagen (2010:659).22

22 6 kap. 12 § jämförd med 1 kap. 4 § patientsäkerhetslagen.

379

Författningar som reglerar en verksamhet

SOU 2017:66

Eftersom känsliga personuppgifter får behandlas under samma för- utsättningar som andra personuppgifter, påverkar det inte apoteks- datalagens reglering att det, som anges i avsnitt 9.11.6, har till- kommit nya kategorier av känsliga personuppgifter.

Ändamålsbestämmelserna i apoteksdatalagen tillåter enskilda att behandla uppgifter om lagöverträdelser. Bestämmelser som tillåter enskilda att behandla uppgifter om lagöverträdelser är, i enlighet med den bedömning som redovisas i avsnitt 9.12, lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet.

10.5.8 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 10, 11, 12 och 13 §§ apoteksdatalagen om sökbegränsningar, utlämnande på medium för automatiserad behandling, behörighetstilldelning och åtkomstkontroll kan behållas.

Apoteksdatalagen innehåller i 10, 11, 12 och 13 §§ bestämmelser om sökbegränsningar, utlämnande på medium för automatiserad behandling, behörighetstilldelning och åtkomstkontroll. Som anges i avsnitt 9.16.2 utgör sådana bestämmelser säkerhetsåtgärder enligt dataskyddsförordningen. Enligt den bedömning utredningen har gjort är bestämmelser om säkerhetsåtgärder sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i data- skyddsförordningen. Bestämmelserna i 10, 11, 12 och 13 §§ apoteks- datalagen behöver således, i enlighet med vad som anges i av- snitt 9.16.2, inte ändras med anledning av dataskyddsförordningen.

Vissa av de nu berörda bestämmelserna innehåller bemyndigan- den för regeringen, eller den myndighet regeringen bestämmer, att meddela ytterligare föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i bestämm- elserna behöver därför inte ändras.

380

SOU 2017:66

Författningar som reglerar en verksamhet

10.5.9 Gallring

Utredningens bedömning: Bestämmelsen om bevarande i 14 § apoteksdatalagen kan behållas.

Utredningen har i avsnitt 9.17.2 kommit till slutsatsen att bestäm- melser i registerförfattningar om gallring och bevarande inte behö- ver ändras under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Bestämmelsen i 14 § apoteksdatalagen kan därmed behållas.

10.5.10 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 15 § apoteksdatalagen som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Bestämmelsen i 15 § apoteksdatalagen som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd bör, i en- lighet med vad utredningen kommit fram till i avsnitt 9.15.1 och 9.19.1, upphävas.

10.5.11 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 16 § apoteksdatalagen som motsvarar krav som finns i dataskydds- förordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till apoteksdatalagens bestämmelse om skade- stånd ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Bestämmelserna kompletteras med en upplys- ning om att information även ska lämnas enligt dataskydds- förordningen.

381

Författningar som reglerar en verksamhet

SOU 2017:66

Enligt 16 § apoteksdatalagen ska den personuppgiftsansvarige se till att den registrerade får viss information om behandlingen av person- uppgifter. Bestämmelsen är en precisering av personuppgiftslagens informationsbestämmelser. I övrigt gäller alltså bestämmelserna om information i 23–27 §§ personuppgiftslagen.

Utredningen har i avsnitt 9.15.1 redogjort för vilken informa- tion den personuppgiftsansvarige är skyldig att lämna till den regi- strerade enligt dataskyddsförordningen. Flera av de upplysningar som den personuppgiftsansvarige ska ta med i informationen enligt apoteksdatalagen motsvaras av informationsskyldigheten i data- skyddsförordningen. I apoteksdatalagen anges dock ett antal upp- lysningar som inte omfattas av dataskyddsförordningens reglering, nämligen upplysningar om den uppgiftsskyldighet som kan följa av lag eller förordning, de tystnadsplikts- och säkerhetsbestämmelser som gäller för uppgifterna och behandlingen, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp. Informationsskyldig- heten enligt dataskyddsförordningen innebär å sin sida krav på att informationen ska innehålla vissa upplysningar som inte följer av apoteksdatalagens reglering.

De bestämmelser i apoteksdatalagen som föreskriver att mer information ska lämnas än vad som krävs enligt dataskyddsförord- ningen kan, i enlighet med den bedömning utredningen har gjort i avsnitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i data- skyddsförordningen. Att uppfylla de få tillkommande kraven på information till den registrerade som föreskrivs i dataskyddsför- ordningen kan inte anses medföra några särskilda olägenheter för den personuppgiftsansvarige. Det finns därför, som anges i av- snitt 9.15.2, inte anledning att överväga en begränsning av rätten att få denna information.

Den personuppgiftsansvarige bör alltså vara skyldig att lämna såväl den information som följer av dataskyddsförordningen som den ytterligare information som ska lämnas enligt apoteksdata- lagen. Detta bör regleras genom att 16 § apoteksdatalagen kom- pletterar och hänvisar till dataskyddsförordningens reglering på det sätt som anges i avsnitt 9.15.1. Hänvisningen till apoteksdatalagens bestämmelse om skadestånd, som utredningen i avsnitt 10.5.10 föreslår ska upphävas, bör ersättas med en hänvisning till bestäm- melserna om skadestånd i dataskyddsförordningen och dataskydds- lagen. Hänvisningen till dataskyddsförordningen bör vara av dyna-

382

SOU 2017:66

Författningar som reglerar en verksamhet

misk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav i apoteksdatalagen som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestäm- melser om information bör tas bort.

Även den generella regeln i 16 § första stycket apoteksdatalagen om att den som är personuppgiftsansvarig ska se till att den regi- strerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och formu- leringen om att den personuppgiftsansvarige ska lämna viss angiven information utöver vad som framgår av dataskyddsförordningen.

10.6 Apoteksdataförordningen (2009:624)

Utredningens bedömning: Delegationsbestämmelserna i apoteks- dataförordningen kan behållas.

I apoteksdataförordningen finns det bestämmelser som innebär att Datainspektionen får meddela vissa föreskrifter kopplade till apoteks- datalagen. Utredningen har i föregående avsnitt gjort bedömningen att de bestämmelser i apoteksdatalagen som föreskriftsrätten hänför sig till är förenliga med dataskyddsförordningen. Dataskyddsförord- ningen hindrar inte att föreskrifter meddelas inom dessa områden eller att föreskriftsrätten delegeras. Bestämmelserna kan därmed behållas.

10.7 Lagen (2016:526) om behandling

av personuppgifter i ärenden om licens för läkemedel

10.7.1 Lagens tillämpningsområde

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om tillämpningsområdet i 1 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Även bestämmelserna i 2 och 3 §§ kan behållas.

383

Författningar som reglerar en verksamhet

SOU 2017:66

I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. I 1 § lagen om behandling av personupp- gifter i ärenden om licens för läkemedel finns det en bestämmelse om på vilken verksamhet och behandling av personuppgifter lagen ska tillämpas. I 223 och 3 §§ anges vissa definitioner som kompletterar bestämmelsen om lagens tillämpningsområde. Dessa bestämmelser kan alltså behållas.

10.7.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 4 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel ska inne- hålla en upplysning om att lagen kompletterar dataskyddsförord- ningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om behandling av personuppgifter i ärenden om licens för läkemedel eller föreskrifter som med- delats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

10.7.3 Krav på behandling

Utredningens bedömning: Bestämmelsen om krav på behand- ling i 5 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel påverkas inte av dataskyddsförordningen.

I 5 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel anges att personuppgifter ska behandlas så att den enskildes personliga integritet respekteras och att personuppgifter ska hanteras och förvaras så att obehöriga inte får tillgång till dem. Bestämmelsen är ett uttryck för ett slags övergripande mål med

23 I Ds 2017:14 föreslås en ändring av 2 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel träda i kraft den 1 juli 2018.

384

SOU 2017:66

Författningar som reglerar en verksamhet

regleringen och är därför i det närmaste att likna vid en bestäm- melse om lagstiftningens syfte. Bestämmelsen påminner om den bestämmelse som anger syftet i 1 kap. 2 § andra och tredje styckena patientdatalagen (2008:355). Som framgått i avsnitt 9.4 påverkas inte sådana bestämmelser av dataskyddsförordningen.

10.7.4 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 6 § lagen om be- handling av personuppgifter i ärenden om licens för läkemedel, som innebär att behandling av personuppgifter får utföras även om den registrerade motsätter sig det, kan och bör behållas.

Behandling av personuppgifter som är tillåten enligt lagen om be- handling av personuppgifter i ärenden om licens för läkemedel får enligt 6 § utföras även om den enskilde motsätter sig behandlingen.

Bestämmelsen begränsar den registrerades rätt att göra invänd- ningar mot behandling av personuppgifter enligt artikel 21.1 i data- skyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e (allmänt intresse och myndighetsutövning). Utred- ningen gör nedan i avsnitt 10.7.6 bedömningen att stora delar av den behandling av personuppgifter som sker enligt lagen stödjer sig på dessa grunder. Som anges i avsnitt 9.15.2 måste därför en be- dömning göras av om begränsningen av rätten att göra invänd- ningar uppfyller de krav som anges i artikel 23 i dataskyddsförord- ningen.

Ett av kraven är att begränsningen måste utgöra en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskydds- förordningen. Målet i punkten e gäller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet. Som anges i avsnitt 9.15.2 reglerar register- författningar normalt behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. hälso- och sjukvård inklusive den administration dessa verksamheter kräver, är ett så-

385

Författningar som reglerar en verksamhet

SOU 2017:66

dant allmänt intresse som avses i artikel 23.1 e i dataskyddsförord- ningen. Detsamma får anses gälla för den verksamhet som bedrivs med stöd av lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Syftet med införandet av den kommunikations- lösning där sådana uppgifter som lagen ska tillämpas på behandlas var att hanteringen av personuppgifter vid ansökan om licens skulle hanteras på ett säkrare sätt än vad som gällde tidigare.24 För att till- godose en säker hantering av personuppgifterna krävs det alltså att de hanteras elektroniskt. Enligt utredningens bedömning får mot denna bakgrund begränsningen av den registrerades rätt att invända mot behandling av personuppgifter som utförs enligt lagen om be- handling av personuppgifter i ärenden om licens för läkemedel anses utgöra en nödvändig och proportionell åtgärd i ett demokra- tiskt samhälle i syfte att säkerställa ett viktigt mål av generellt all- mänt intresse. Begränsningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna.

En begränsning av rätten att göra invändningar måste uppfylla kraven i artikel 23.2 i dataskyddsförordningen på bestämmelser som den lagstiftning som begränsar den registrerades rättigheter ska innehålla. Utredningen bedömer att bestämmelser med det innehåll som krävs, i den mån det är relevant, redan finns i lagen om behandling av personuppgifter i ärenden om licens för läke- medel.

Det är sammantaget enligt utredningens bedömning möjligt att begränsa möjligheten att göra invändningar mot behandling av per- sonuppgifter på det sätt som regleras i 6 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel.

10.7.5 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 7 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kan och bör behållas.

24 Prop. 2015/16:143 s. 58.

386

SOU 2017:66

Författningar som reglerar en verksamhet

Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 7 § lagen om behandling av person- uppgifter i ärenden om licens för läkemedel kan och bör därför behållas.

10.7.6 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 9 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för finalitetsprincipen.

Utredningens bedömning: Ändamålsbestämmelserna i 8 § lagen om behandling av personuppgifter i ärenden om licens för läke- medel uppfyller de krav som gäller enligt dataskyddsförordningen och kan och bör därmed behållas.

I 8 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel anges för vilka ändamål personuppgifter får behand- las inom lagens tillämpningsområde. Personuppgifter får behandlas om det är nödvändigt för att Läkemedelsverket ska kunna fatta be- slut i ärenden om ansökan om licens och bevara uppgifter i sådana beslut. Personuppgifter får även behandlas om det är nödvändigt för E-hälsomyndighetens hantering av uppgifter i ärenden om ansökan av licens när myndigheten förmedlar uppgifter mellan olika aktörer. Dessa ändamål, som framgår av punkterna 1, 3 och 4, grundar sig på utförandet av en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 e i data- skyddsförordningen. Personuppgifter får utöver detta enligt punkt- erna 2 och 5 behandlas om det är nödvändigt för att Läkemedels- verket och E-hälsomyndigheten ska kunna lämna ut de uppgifter som anges i 12–15 §§. De nämnda paragraferna reglerar skyldig- heter att lämna uppgifter och ändamålen grundar sig därmed på rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen.

Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som framgår av avsnitt 9.10.1. De

387

Författningar som reglerar en verksamhet

SOU 2017:66

krav på den rättsliga grunden för behandlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utred- ningen konstaterat i samma avsnitt anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade sedan tidigare. Behandling för de ändamål som anges i 8 § lagen om behandling av personuppgif- ter i ärenden om licens för läkemedel är alltså laglig enligt data- skyddsförordningen och de befintliga ändamålen kan och bör där- med behållas.

Finalitetsprincipen

I 9 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel finns det en hänvisning till den s.k. finalitetsprinci- pen i 9 § första stycket d och andra stycket personuppgiftslagen. Det innebär att personuppgifter inte får behandlas för något ända- mål som är oförenligt med det för vilket uppgifterna samlades in samt att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Som anges i avsnitt 9.10.3 kan registerförfattningar i förtydli- gande syfte även fortsättningsvis innehålla bestämmelser med inne- börden att behandling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet.

10.7.7 Känsliga personuppgifter

Utredningens förslag: Lagen om behandling av personuppgifter i ärenden om licens för läkemedel kompletteras med en bestäm- melse som påminner om kravet enligt artikel 9.3 i dataskydds- förordningen på att känsliga personuppgifter endast får behand- las av eller under ansvar av den som omfattas av tystnadsplikt.

388

SOU 2017:66

Författningar som reglerar en verksamhet

Utredningens bedömning: Behandling av känsliga personupp- gifter kan alltjämt ske med stöd av ändamålsbestämmelserna i lagen om behandling av personuppgifter i ärenden om licens för läkemedel.

Lagen om behandling av personuppgifter i ärenden om licens för läkemedel innehåller inte bestämmelser som särskilt tar sikte på behandling av känsliga personuppgifter utan ändamålsbestämmel- serna tillåter nödvändig behandling av alla slags personuppgifter för de angivna ändamålen. Eftersom känsliga personuppgifter får be- handlas under samma förutsättningar som andra personuppgifter, påverkas inte regleringen av att det har tillkommit nya kategorier av känsliga personuppgifter.

I avsnitt 9.11.4 redogör utredningen för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Utred- ningen gör, särskilt mot bakgrund av den omfattande uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 till dataskyddsförordningen, bedömningen att den verksam- het som omfattas av lagen om behandling av personuppgifter i ären- den om licens för läkemedel ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Regleringen är så- ledes förenlig med dataskyddsförordningen.

Som anges i avsnitt 9.11.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Personalen vid Läkemedelsverket och E-hälsomyndigheten omfattas av bestämmelser om tystnadsplikt enligt bl.a. 25 kap. 1 § respektive 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400).

389

Författningar som reglerar en verksamhet

SOU 2017:66

10.7.8 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 10, 11, 16, 17 och 18 §§ lagen om behandling av personuppgifter i ärenden om licens för läkemedel om sökbegränsningar, direktåtkomst, behörighets- tilldelning och åtkomstkontroll kan behållas.

I 10, 11, 16, 17 och 18 §§ lagen om behandling av personuppgifter i ärenden om licens för läkemedel finns det bestämmelser om sök- begränsningar, utlämnande på medium för automatiserad behand- ling, direktåtkomst, behörighetstilldelning och åtkomstkontroll. Som framgår av avsnitt 9.16.2 utgör detta olika former av säkerhets- åtgärder enligt dataskyddsförordningen. Krav på säkerhetsåtgärder för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att data- skyddsförordningen börjar tillämpas. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller reglering av behandling som grundar sig på en rättslig för- pliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Bestämmelserna i 10, 11, 16, 17 och 18 §§ lagen om be- handling av personuppgifter i ärenden om licens för läkemedel kan därför behållas.

Några av de nu berörda bestämmelserna innehåller en rätt för regeringen eller den myndighet som regeringen bestämmer att med- dela föreskrifter. Dataskyddsförordningen hindrar inte att före- skrifter meddelas inom dessa områden eller att föreskriftsrätten delegeras. Bemyndigandena i de nu berörda bestämmelserna kan därmed behållas.

10.7.9 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldigheter i 12–15 §§ lagen om behandling av personupp- gifter i ärenden om licens för läkemedel kan behållas.

390

SOU 2017:66

Författningar som reglerar en verksamhet

I 12–15 §§ lagen om behandling av personuppgifter i ärenden om licens för läkemedel finns det bestämmelser om skyldighet för Läkemedelsverket och E-hälsomyndigheten att lämna ut vissa upp- gifter till varandra, apotekspersonal och den som är behörig att för- ordna läkemedel. Som anges i avsnitt 9.21 är det utredningens be- dömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas således inte av data- skyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den personuppgiftsansvarige iaktta den reglering om data- skydd som finns i bl.a. dataskyddsförordningen.

10.7.10 Gallring

Utredningens bedömning: Bestämmelsen om gallring i 19 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kan behållas.

I avsnitt 9.17.2 har utredningen gjort bedömningen att bestämmel- ser i registerförfattningar om gallring och bevarande inte behöver ändras om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Bestämmelsen om gallring i 19 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel kan därmed be- hållas.

10.7.11 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 20 § lagen om behand- ling av personuppgifter i ärenden om licens för läkemedel som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Bestämmelsen i 20 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Sådana bestämmelser

391

Författningar som reglerar en verksamhet

SOU 2017:66

bör, i enlighet med utredningens slutsats i avsnitt 9.15.1 och 9.19.1, upphävas.

10.7.12 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel som motsvarar krav som finns i dataskydds- förordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till bestämmelsen om skadestånd i lagen om behandling av personuppgifter i ärenden om licens för läke- medel ersätts med en hänvisning till dataskyddsförordningen och dataskyddslagen. Bestämmelserna kompletteras med en upp- lysning om att information även ska lämnas enligt dataskydds- förordningen.

I 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel regleras vilken information den personuppgiftsansva- rige ska lämna till den registrerade. Bestämmelsen är en precisering av de bestämmelser om information som finns i personuppgifts- lagen. I övrigt gäller alltså personuppgiftslagens bestämmelser om information i 23–27 §§ vid behandling som sker enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel.

I avsnitt 9.15.1 har utredningen redogjort för dataskyddsförord- ningens reglering av den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Informationsskyldigheten enligt dataskyddsförordningen omfattar flera av de upplysningar som den personuppgiftsansvarige ska ta med i informationen enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelsen i lagen om behandling av personuppgifter i ärenden om licens för läkemedel omfattar dock även upplysningar som inte ingår i informationsskyldigheten enligt dataskyddsförord- ningen, nämligen upplysning om den uppgiftsskyldighet som kan följa av lag eller förordning, de sekretess- och säkerhetsbestämmel- ser som gäller för uppgifterna och behandlingen, rätten till skade- stånd samt vad som gäller i fråga om sökbegränsningar. Enligt data- skyddsförordningen ska informationen vidare omfatta vissa upp-

392

SOU 2017:66

Författningar som reglerar en verksamhet

lysningar som inte framgår av lagen om behandling av personupp- gifter i ärenden om licens för läkemedel.

Bestämmelserna i lagen om behandling av personuppgifter i ärenden om licens för läkemedel som innebär att mer information ska lämnas än vad som krävs enligt dataskyddsförordningens regler- ing kan, i enlighet med den bedömning utredningen har gjort i av- snitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i dataskydds- förordningen. Det kan inte anses innebära några särskilda svårig- heter för den personuppgiftsansvarige att uppfylla de få nya kraven på information till den registrerade som föreskrivs i dataskydds- förordningen. Det saknas därför, som anges i avsnitt 9.15.2, skäl att överväga en begränsning av den registrerades rätt till information.

Den personuppgiftsansvarige bör alltså lämna såväl den infor- mation som följer av dataskyddsförordningen som den information som ska lämnas enligt lagen om behandling av personuppgifter i ärenden om licens för läkemedel. Bestämmelsen i 21 § lagen om behandling av personuppgifter i ärenden om licens för läkemedel bör på sätt som anges i avsnitt 9.15.1 komplettera och hänvisa till dataskyddsförordningens reglering. Hänvisningen till bestämmelsen om skadestånd i lagen om behandling av personuppgifter i ärenden om licens för läkemedel, som utredningen i avsnitt 10.7.11 föreslår ska upphävas, bör ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om informa- tion bör tas bort. Även det som anges i 21 § första stycket om att den som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige också ska lämna viss ytterligare information utöver vad som framgår av dataskydds- förordningen.

393

Författningar som reglerar en verksamhet

SOU 2017:66

10.8 Förordningen (2016:533) om behandling av personuppgifter i ärenden om licens för läkemedel

Utredningens bedömning: Delegationsbestämmelserna i förord- ningen om behandling av personuppgifter i ärenden om licens för läkemedel kan behållas.

I förordningen om behandling av personuppgifter i ärenden om licens för läkemedel finns bestämmelser som ger Datainspektionen viss föreskriftsrätt. De bestämmelser i förordningen om behandling av personuppgifter i ärenden om licens för läkemedel som före- skriftsrätten utgår från har utredningen i avsnittet ovan bedömt förenliga med dataskyddsförordningen. Dataskyddsförordningen utgör inte hinder mot att föreskriftsrätten delegeras. Bestämmel- serna i förordningen om behandling av personuppgifter i ärenden om licens för läkemedel kan därmed behållas.

10.9 Lagen (2001:454) om behandling

av personuppgifter inom socialtjänsten

10.9.1 Lagens tillämpningsområde

Utredningens förslag: Lagen om behandling av personuppgifter inom socialtjänsten kompletteras med en bestämmelse som inne- bär att lagen inte ska tillämpas vid sådan behandling av person- uppgifter som omfattas av den föreslagna brottsdatalagen.

Utredningens bedömning: Det krävs inga förändringar av tillämpningsområdet enligt 1–3 §§ lagen om behandling av per- sonuppgifter inom socialtjänsten med anledning av dataskydds- förordningen.

Lagen om behandling av personuppgifter inom socialtjänsten ska enligt 1 § tillämpas vid behandling av personuppgifter inom social- tjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad

394

SOU 2017:66

Författningar som reglerar en verksamhet

samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt ett eller flera särskilda kriterier. Med social- tjänst avses sådan verksamhet som anges i 2 § oavsett om verksam- heten bedrivs av myndigheter eller enskilda.25 Genom 3 § undantas viss verksamhet från lagens tillämpningsområde.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser i registerförfattningar om vilka typer av behandlingar och vilka upp- gifter författningen ska tillämpas på inte i sig påverkas av dataskydds- förordningen. Lagen om behandling av personuppgifter inom social- tjänsten kan därför även fortsättningsvis tillämpas på samma typer av behandlingar och uppgifter som i dag.

Viss verksamhet som anges i 2 § lagen om behandling av person- uppgifter inom socialtjänsten innebär verkställighet av vårdpåföljder. Som exempel kan nämnas att en domstol överlämnar någon som har dömts för brott till vård enligt lagen (1988:870) om vård av miss- brukare i vissa fall. Även ungdomsvård och ungdomstjänst utgör påföljder som verkställs inom socialtjänsten. Detsamma gäller den verksamhet som bedrivs av Statens institutionsstyrelse i fråga om verkställighet av sluten ungdomsvård. Behandling av personuppgif- ter som sker i syfte att verkställa straffrättsliga påföljder omfattas, i enlighet med vad som framgår av avsnitt 9.5, inte av dataskydds- förordningen, utan av det nya dataskyddsdirektivet.

Att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt ingår i det uppdrag regeringen gett Utredningen om 2016 års dataskyddsdirektiv,26 som för detta ändamål har föreslagit en ny brottsdatalag.27 Behandling av personuppgifter som sker i samband med verkställighet av de vårdpåföljder som nämnts ovan omfattas av den föreslagna brottsdatalagens tillämpningsområde.28 Brottsdatalagen ska dock enligt den föreslagna 1 kap. 5 § inte gälla om det finns avvikande bestämmelser i annan lag eller förordning. Det ingår inte i utredningens uppdrag att göra anpassningar av registerförfattningar inom Socialdepartementets verksamhetsområde för att regleringen ska leva upp till det nya dataskyddsdirektivet. Enligt Utredningen om 2016 års dataskyddsdirektiv, som utredningen samrått med, bör med hänsyn till det nya dataskyddsdirektivet den

25 Prop. 2000/01:80 s. 135–137.

26 Dir. 2016:21.

27 SOU 2017:29.

28 SOU 2017:29 s. 221 och 225.

395

Författningar som reglerar en verksamhet

SOU 2017:66

föreslagna brottsdatalagen och inte lagen om behandling av person- uppgifter inom socialtjänsten vara tillämplig på behandling av person- uppgifter som sker i samband med verkställighet av vårdpåföljder. Utredningen godtar den bedömningen och föreslår en bestämmelse i 3 § lagen om behandling av personuppgifter inom socialtjänsten som undantar sådan behandling av personuppgifter som omfattas av den föreslagna brottsdatalagen från tillämpningsområdet för lagen om behandling av personuppgifter inom socialtjänsten.

Dataskyddsförordningen föranleder inte någon ändring av tillämp- ningsområdet för lagen om behandling av personuppgifter inom socialtjänsten.

10.9.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 4 § lagen om behandling av personuppgifter inom socialtjänsten ska innehålla en upplys- ning om att lagen kompletterar dataskyddsförordningen.

Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om behandling av personuppgifter inom social- tjänsten eller föreskrifter som har meddelats med stöd av den.

Bestämmelsen i 4 § lagen om behandling av personuppgifter inom socialtjänsten, om förhållandet till annan lagstiftning, bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

10.9.3 Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna i 6 § första och andra stycket lagen om behandling av personuppgifter inom socialtjänsten om för vilka ändamål personuppgifter får behandlas är förenliga med dataskyddsförordningen och bör inte ändras.

Bestämmelsen i 6 § första stycket lagen om behandling av person- uppgifter inom socialtjänsten anger att personuppgifter får behand- las om behandlingen är nödvändig för att arbetsuppgifter inom socialtjänsten ska kunna utföras. Arbetsuppgifter inom social- tjänsten är, i enlighet med vad utredningen konstaterat i avsnitt 9.8.2,

396

SOU 2017:66

Författningar som reglerar en verksamhet

arbetsuppgifter av allmänt intresse, vilket innebär att behandlingen har stöd i artikel 6.1 e i dataskyddsförordningen. Arbetsuppgifter inom socialtjänsten kan också grunda sig på rättsliga förpliktelser och har då stöd i artikel 6.1 c i dataskyddsförordningen. Det ovanligt vidsträckta ändamålet i lagen definieras och preciseras i förordningen om behandling av personuppgifter inom socialtjänsten, som utredningen återkommer till nedan.

Av 6 § andra stycket lagen om behandling av personuppgifter inom socialtjänsten framgår att personuppgifter får behandlas för uppgiftsutlämnande som föreskrivs i lag eller förordning. Sådant uppgiftsutlämnande sker till följd av en rättslig förpliktelse och har därmed stöd i artikel 6.1 c i dataskyddsförordningen.

I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen.

De krav på den rättsliga grunden för behandlingen som tillkom- mit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i avsnitt 9.10.1 anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade sedan tidigare. Behand- ling för de ändamål som anges i 6 § lagen om behandling av person- uppgifter inom socialtjänsten är alltså laglig enligt dataskyddsförord- ningen och de befintliga ändamålen kan och bör därmed behållas.

10.9.4 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 6 § tredje stycket lagen om behandling av personuppgifter inom socialtjänsten kan och bör även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

Enligt 6 § tredje stycket lagen om behandling av personuppgifter inom socialtjänsten har en registrerad person inte rätt att motsätta sig sådan behandling av uppgifter som är tillåten enligt samma lag.

Som anges i avsnitt 9.15.1 har den registrerade enligt dataskydds- förordningen rätt att invända mot behandling av personuppgifter; detta under förutsättning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt in-

397

Författningar som reglerar en verksamhet

SOU 2017:66

tresse eller som ett led i den personuppgiftsansvariges myndighets- utövning. Den verksamhet som omfattas av tillämpningsområdet för lagen om behandling av personuppgifter inom socialtjänsten utgör till viss del sådan behandling.

Bestämmelsen i 6 § tredje stycket lagen om behandling av per- sonuppgifter inom socialtjänsten innebär alltså en begränsning av den registrerades rätt enligt dataskyddsförordningen att göra in- vändningar mot behandling av personuppgifter. En sådan bestäm- melse förutsätter, i enlighet med vad som framgår av avsnitt 9.15.2, att de villkor som anges i artikel 23 i dataskyddsförordningen för en begränsning av den registrerades rättigheter är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av villkoren är att be- stämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, där- ibland penning-, budget- eller skattefrågor, folkhälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstaterat att bedriv- ande av verksamhet inom bl.a. sociala förmåner som tillhandahålls inom socialtjänsten, inklusive den administration dessa verksam- heter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen.

En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. Socialtjänsten behandlar stora mängder känsliga person- uppgifter och det finns ett allmänintresse av att verksamheten be- drivs på ett effektivt, rättssäkert och enhetligt sätt. En möjlighet för den registrerade att invända mot den normala hanteringen skulle påtagligt försvåra arbetet för myndigheterna. En delvis manuell hantering skulle minska effektiviteten, öka kostnaderna och riskera en negativ påverkan på objektivitet och likabehandling. Mot bakgrund av det starka intresset av en enhetlig elektronisk ärendehantering, måste ett undantag från rätten att invända mot behandling av person- uppgifter i verksamhet som omfattas av tillämpningsområdet för lagen om behandling av personuppgifter inom socialtjänsten anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt in-

398

SOU 2017:66

Författningar som reglerar en verksamhet

tresse. Begränsningen kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna.

De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns i lagen respektive förordningen om behandling av personuppgifter inom socialtjänsten.

Utredningen bedömer därmed att 6 § tredje stycket lagen om behandling av personuppgifter inom socialtjänsten även fortsätt- ningsvis kan innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

10.9.5 Personnummer, känsliga personuppgifter och uppgifter om lagöverträdelser

Utredningens förslag: Bestämmelsen i 7 § första stycket 2 lagen om behandling av personuppgifter inom socialtjänsten, som tillåter behandling av känsliga personuppgifter, ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskydds- förordningen.

Lagen om behandling av personuppgifter inom socialtjänsten kompletteras med en bestämmelse som påminner om kravet en- ligt artikel 9.3 i dataskyddsförordningen på att känsliga person- uppgifter endast får behandlas av eller under ansvar av den som omfattas av tystnadsplikt.

I 7 a § förtydligas att de känsliga personuppgifter som avses är desamma som i 7 § första stycket 2.

Utredningens bedömning: I övrigt kan och bör bestämmelserna om behandling av person- och samordningsnummer, känsliga personuppgifter och uppgifter om lagöverträdelser i 7–7 b §§ lagen om behandling av personuppgifter inom socialtjänsten be- hållas.

I 7 § första stycket lagen om behandling av personuppgifter inom socialtjänsten anges att person- och samordningsnummer, känsliga personuppgifter samt uppgifter om lagöverträdelser får behandlas inom socialtjänsten. Enligt andra stycket i samma paragraf gäller

399

Författningar som reglerar en verksamhet

SOU 2017:66

detta under förutsättning att uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. I 7 a § samma lag begränsas möjligheterna att behandla känsliga personuppgifter i samman- ställningar i vissa fall. Regeringen eller den myndighet som reger- ingen bestämmer ges i 7 b § bemyndigande att meddela ytterligare föreskrifter om sammanställning av personuppgifter.

Person- och samordningsnummer

Som framgår av avsnitt 9.13 kan och bör bestämmelser som tillåter behandling av person- och samordningsnummer vara kvar.

Känsliga personuppgifter

Som anges i avsnitt 9.11.4 har utredningen gjort bedömningen att undantaget avseende hälso- och sjukvård samt social omsorg i arti- kel 9.2 h i dataskyddsförordningen innefattar sådan verksamhet som avses i 2 § lagen om behandling av personuppgifter inom social- tjänsten. Bestämmelsen som tillåter behandling av känsliga person- uppgifter inom tillämpningsområdet för lagen om behandling av personuppgifter inom socialtjänsten bedöms därmed förenlig med dataskyddsförordningen och kan och bör behållas.

Som också anges i avsnitt 9.11.4 bör en bestämmelse som på- minner om kravet på tystnadsplikt enligt artikel 9.3 i dataskydds- förordningen tas in i lagen om behandling av personuppgifter inom socialtjänsten. Tystnadsplikt gäller redan inom socialtjänsten enligt 26 kap. offentlighets- och sekretesslagen (2009:400), 15 kap. social- tjänstlagen (2001:453) och 29 § lagen om stöd och service till vissa funktionshindrade (1993:387).

Begränsningarna av vilka känsliga personuppgifter som får be- handlas enligt 7 § andra stycket och 7 a § lagen om behandling av personuppgifter inom socialtjänsten får anses utgöra säkerhets- åtgärder enligt dataskyddsförordningen. Sådana bestämmelser är tillåtna om de avser en myndighets behandling av personuppgifter. Bestämmelser om säkerhetsåtgärder kan också riktas till enskilda med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i data-

400

SOU 2017:66

Författningar som reglerar en verksamhet

skyddsförordningen. Sökbegränsningarna behöver därmed, i enlig- het med vad som anges i avsnitt 9.16.2, inte ändras med anledning av dataskyddsförordningen.

Dataskyddsförordningen innehåller några nya kategorier av käns- liga personuppgifter – genetiska uppgifter och biometriska uppgif- ter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Bestämmelsen som tillåter behandling av känsliga personuppgifter i lagen om behandling av personuppgifter inom socialtjänsten bör i enlighet med utredningens bedömning i av- snitt 9.11.6 även omfatta de nya kategorierna av känsliga person- uppgifter. De nytillkomna kategorierna bör också, i enlighet med vad utredningen kommit fram till i samma avsnitt, omfattas av be- gränsningarna av behandling av känsliga personuppgifter i 7 § andra stycket och 7 a §§ lagen om behandling av personuppgifter inom socialtjänsten. I 7 § första stycket 2 lagen om behandling av person- uppgifter inom socialtjänsten bör därför hänvisas till samtliga kate- gorier av uppgifter som anges i artikel 9.1 i dataskyddsförordningen. I 7 a § bör det förtydligas att de känsliga personuppgifter som avses är desamma som i 7 § första stycket 2.

Uppgifter om lagöverträdelser

Bestämmelser i registerförfattningar som tillåter enskilda och myn- digheter att behandla uppgifter om lagöverträdelser kan och bör behållas; detta konstaterar utredningen i avsnitt 9.12. Utredningen gör i samma avsnitt bedömningen att de begränsningar som gäller uppgifter om lagöverträdelser, om möjligt, bör omfatta samtliga personuppgifter som avses i 21 § personuppgiftslagen och inte bara de som omfattas av artikel 10 i dataskyddsförordningen. Eftersom socialtjänstens behandling av personuppgifter sker med stöd av artikel 6.1 e (allmänt intresse) eller 6.1 c (rättslig förpliktelse) i dataskyddsförordningen, kan begränsningar av behandlingen göras i förhållande till såväl myndigheter som enskilda (se avsnitt 9.12). Det är därmed möjligt att även fortsättningsvis låta begränsningen i 7 § andra stycket lagen om behandling av personuppgifter inom socialtjänsten omfatta samma uppgifter som i dag, dvs. personupp- gifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden.

401

Författningar som reglerar en verksamhet

SOU 2017:66

Bemyndigande

Dataskyddsförordningen hindrar inte att föreskrifter meddelas i fråga om sammanställningar och inte heller att föreskriftsrätten delegeras. Bestämmelsen i 7 b § lagen om behandling av person- uppgifter inom socialtjänsten behöver därmed inte ändras.

10.9.6 Upplysningsbestämmelse

Utredningens bedömning: Upplysningsbestämmelsen i 8 § lagen om behandling av personuppgifter inom socialtjänsten påverkas inte av dataskyddsförordningen.

I 8 § lagen om behandling av personuppgifter inom socialtjänsten lämnas en upplysning om att de begränsningar som följer av offent- lighets- och sekretesslagen (2009:400), socialtjänstlagen (2001:453) och lagen (1993:387) om stöd och service till vissa funktionshind- rade gäller vid utlämnande av personuppgifter som finns inom social- tjänsten. Bestämmelsen påverkas inte av dataskyddsförordningens bestämmelser.

10.9.7 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 9 § lagen om behandling av personuppgifter inom socialtjänsten som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd upp- hävs.

Enligt 9 § lagen om behandling av personuppgifter inom social- tjänsten ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt lagen om behandling av personuppgifter inom socialtjänsten. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

402

SOU 2017:66

Författningar som reglerar en verksamhet

10.9.8 Överklagande

Utredningens förslag: Bestämmelsen om överklagande i 10 § lagen om behandling av personuppgifter inom socialtjänsten upp- hävs.

Beslut inom socialtjänsten om rättelse och om avslag på ansökan om information enligt 26 § personuppgiftslagen får enligt 10 § första stycket lagen om behandling av personuppgifter inom social- tjänsten överklagas hos allmän förvaltningsdomstol. Andra beslut enligt lagen om behandling av personuppgifter inom socialtjänsten får däremot inte överklagas. Av 10 § andra stycket framgår att prövningstillstånd krävs vid överklagande till kammarrätten.

Med socialtjänst avses sådan verksamhet som anges i 2 § lagen om behandling av personuppgifter inom socialtjänsten oavsett om verksamheten bedrivs av myndigheter eller enskilda.29 Bestämmelsen om överklagande i 10 § lagen om behandling av personuppgifter inom socialtjänsten omfattar alltså enligt sin ordalydelse även be- slut som fattas av enskilda. Detta är en skillnad i förhållande till regleringen av överklagande i personuppgiftslagen och de övriga registerförfattningar som innehåller egna överklagandebestämmel- ser, eftersom bestämmelserna i de författningarna endast gäller för beslut meddelade av myndigheter. Även bestämmelsen i den före- slagna dataskyddslagen omfattar enbart myndigheters beslut. Att beslut som fattas inom ramen för socialtjänstverksamhet som be- drivs av enskilda ska få överklagas synes dock inte ha varit lagstifta- rens avsikt. I motiven till bestämmelsen i 10 § lagen om behandling av personuppgifter inom socialtjänsten anges nämligen att det är en myndighets beslut om att avslå en ansökan om information och om rättelse som ska kunna överklagas.30

I avsnitt 9.20 har utredningen gjort bedömningen att det inte finns skäl att reglera möjligheten att överklaga i registerförfatt- ningar på annat sätt än i enlighet med vad som följer av den för- slagna dataskyddslagen. Det har inte framkommit några särskilda skäl som motiverar att möjligheten att överklaga beslut inom social- tjänsten ska vara mer omfattande än vad som gäller i övriga verksam-

29 Prop. 2000/01:80 s. 135–137.

30 Prop. 2000/01:80 s. 159.

403

Författningar som reglerar en verksamhet

SOU 2017:66

heter. Utredningen gör därför bedömningen att bestämmelserna om överklagande i den föreslagna dataskyddslagen bör gälla även inom tillämpningsområdet för lagen om behandling av personuppgif- ter inom socialtjänsten. Bestämmelsen i 10 § lagen om behandling av personuppgifter inom socialtjänsten bör därför, i enlighet med utredningens bedömning i avsnitt 9.20, upphävas.

Om det under den fortsatta beredningen av utredningens för- slag skulle framkomma skäl som talar emot att ta bort möjligheten att överklaga beslut som fattats av enskilda, bör det i stället över- vägas att formulera om bestämmelsen på så sätt att den stämmer överens med regleringen i den föreslagna dataskyddslagen.

10.9.9 Bemyndiganden

Utredningens bedömning: De bemyndiganden som ges i 11 § lagen om behandling av personuppgifter inom socialtjänsten be- höver inte ändras.

I 11 § första stycket lagen om behandling av personuppgifter inom socialtjänsten ges regeringen, eller den myndighet som regeringen bestämmer, rätt att meddela föreskrifter om vilka som är person- uppgiftsansvariga och om begränsning av den i 6 § tillåtna behand- lingen av personuppgifter samt om sökbegrepp, direktåtkomst och samkörning av personuppgifter. Enligt 11 § andra stycket får reger- ingen även meddela föreskrifter om när personuppgifter får föras över till tredjeland. Dataskyddsförordningen hindrar inte att före- skrifter meddelas på dessa områden och inte heller att föreskrifts- rätten delegeras. De bemyndiganden som ges i 11 § lagen om be- handling av personuppgifter inom socialtjänsten är således förenliga med dataskyddsförordningen och behöver inte ändras.

404

SOU 2017:66

Författningar som reglerar en verksamhet

10.10 Förordningen (2001:637) om behandling av personuppgifter inom socialtjänsten

10.10.1 Förordningens tillämpningsområde

Utredningens förslag: Förordningen om behandling av person- uppgifter inom socialtjänsten kompletteras med en bestämmelse som innebär att förordningen inte ska tillämpas vid sådan be- handling av personuppgifter som omfattas av den föreslagna brottsdatalagen.

Utredningens bedömning: Det krävs i övrigt inga förändringar av tillämpningsområdet i 1 § förordningen om behandling av personuppgifter inom socialtjänsten.

Förordningen om behandling av personuppgifter inom socialtjänsten reglerar enligt 1 § behandlingen av personuppgifter inom social- tjänsten för Statens institutionsstyrelse, kommunala myndigheter, privat verksamhet, Inspektionen för vård och omsorg och Social- styrelsen enligt lagen om behandling av personuppgifter inom social- tjänsten.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser i registerförfattningar om vilka typer av behandlingar och vilka upp- gifter författningen ska tillämpas på inte i sig påverkas av data- skyddsförordningen. Förordningen om behandling av personupp- gifter inom socialtjänsten kan därför även fortsättningsvis tillämpas på samma typer av behandlingar och uppgifter som i dag.

Även bestämmelser om på vilken verksamhet författningen ska tillämpas kan, enligt den bedömning utredningen gjort i avsnitt 9.5, som regel behållas. Förordningen om behandling av personuppgif- ter inom socialtjänsten omfattar dock, liksom lagen om behandling av personuppgifter inom socialtjänsten (se avsnitt 10.9.1), även viss behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Sådan behandling omfattas, som anges i avsnitt 9.5, inte av dataskyddsförordningens tillämp-

405

Författningar som reglerar en verksamhet

SOU 2017:66

ningsområde utan av det nya dataskyddsdirektivet, som i huvudsak föreslås genomföras genom en ny brottsdatalag.31

Utredningen gör därför, i likhet med vad som anges i av- snitt 10.9.1, bedömningen att även förordningen om behandling av personuppgifter inom socialtjänsten bör förses med en bestäm- melse som innebär att sådan verksamhet som omfattas av den före- slagna brottsdatalagen undantas från förordningens tillämpnings- område. En sådan bestämmelse bör införas i en ny paragraf som placeras direkt efter 1 §.

I övrigt föranleder dataskyddsförordningen inte någon ändring av tillämpningsområdet för förordningen om behandling av person- uppgifter inom socialtjänsten.

10.10.2 Upplysningsbestämmelser

Utredningens förslag: Hänvisningar till personuppgiftslagen och lagen om behandling av personuppgifter inom socialtjänsten i förordningen om behandling av personuppgifter inom social- tjänsten tas bort.

I 2–5 §§ förordningen om behandling av personuppgifter inom socialtjänsten finns olika upplysningsbestämmelser. Upplysningar om författningar som även fortsättningsvis är relevanta behöver inte ändras, medan hänvisningar till personuppgiftslagen bör tas bort eftersom den lagen kommer att upphävas. Hänvisningen till lagen om behandling av personuppgifter inom socialtjänsten i 4 § förordningen om behandling av personuppgifter inom socialtjänsten tas bort, eftersom den inte bedöms vara nödvändig.

31 SOU 2017:29.

406

SOU 2017:66

Författningar som reglerar en verksamhet

10.10.3 Personuppgiftsansvar

Utredningens bedömning: Bestämmelserna om personuppgifts- ansvar i 6, 11, 17 och 22 §§ förordningen om behandling av per- sonuppgifter inom socialtjänsten kan och bör behållas.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas.

10.10.4 Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna i 7 §, 12 § första stycket, 18 och 23 §§ förordningen om behandling av person- uppgifter inom socialtjänsten om för vilka ändamål personupp- gifter får behandlas behöver inte ändras.

Ändamålsbestämmelserna i förordningen om behandling av person- uppgifter inom socialtjänsten begränsar och definierar det ändamål som framgår av 6 § första stycket lagen om behandling av person- uppgifter inom socialtjänsten. Av utredningens överväganden rörande 6 § första stycket lagen om behandling av personuppgifter inom socialtjänsten framgår att det finns stöd för ändamålet i data- skyddsförordningen, se avsnitt 10.9.3. De föreskrivna ändamålen i 7 §, 12 § första stycket, 18 och 23 §§ förordningen om behandling av personuppgifter inom socialtjänsten begränsar det vidsträckta ändamålet genom att koppla möjligheterna att behandla person- uppgifter till sådan verksamhet som ska utföras enligt socialtjänst- lagen (2001:453). Ändamålsbestämmelserna kan därmed, av samma skäl som anges i avsnitt 10.9.3, behållas.

407

Författningar som reglerar en verksamhet

SOU 2017:66

10.10.5 Känsliga personuppgifter

Utredningens förslag: Bestämmelsen om behandling av person- uppgifter som rör hälsa i 12 § andra stycket förordningen om behandling av personuppgifter inom socialtjänsten bör innehålla en hänvisning till definitionen av känsliga personuppgifter i 7 § första stycket 2 lagen (2001:454) om behandling av personupp- gifter inom socialtjänsten.

Utredningens bedömning: I övrigt kan och bör bestämmelsen behållas.

En kommunal myndighet får enligt 12 § andra stycket förordningen om behandling av personuppgifter inom socialtjänsten vid hand- läggning av ärenden om tillstånd till parkering för rörelsehindrade och som följer av bestämmelserna i körkortsförordningen inte be- handla andra känsliga personuppgifter än uppgifter som rör hälsa.

Bestämmelsen utgör en inskränkning i förhållande till den all- männa bestämmelsen om behandling av känsliga personuppgifter i 7 § lagen (2001:454) om behandling av personuppgifter inom social- tjänsten som berörts i avsnitt 10.9.5. Det är, som framgår av utred- ningens bedömning i avsnitt 9.11.1, möjligt att endast tillåta behand- ling av vissa kategorier av känsliga personuppgifter.

Möjligheten att behandla känsliga personuppgifter bör, i enlig- het med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga person- uppgifter, dvs. genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det emellertid att de olika kategori- erna av känsliga personuppgifter överlappar varandra. Sådana upp- gifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa, kan enligt utredningens bedömning behandlas med stöd av bestämmelsen i 12 § andra stycket förord- ningen om behandling av personuppgifter inom socialtjänsten. Utred- ningen har övervägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att uppgifter som rör hälsa, inklusive gene- tiska och biometriska uppgifter och uppgifter om sexuell läggning,

408

SOU 2017:66

Författningar som reglerar en verksamhet

får behandlas, på samma sätt som anges i avsnitt 10.1.11 och 12.8.4. Eftersom det inte framstår som sannolikt att det för ändamålet finns behov av att behandla sådana uppgifter om hälsa, som sam- tidigt omfattas av någon av de nya kategorierna av känsliga person- uppgifter, saknas det dock enligt utredningens bedömning anled- ning att införa ett sådant förtydligande. Bestämmelsen kan och bör därmed behållas. Den bör dock i förtydligande syfte innehålla en hänvisning till definitionen av känsliga personuppgifter i 7 § första stycket 2 lagen om behandling av personuppgifter inom socialtjänsten.

Eftersom möjligheten att behandla känsliga personuppgifter inom socialtjänsten grundar sig på undantaget avseende hälso- och sjukvård och social omsorg i artikel 9.2 h i dataskyddsförordningen, krävs det enligt artikel 9.3 i dataskyddsförordningen också att upp- gifterna behandlas av eller under ansvar av någon som omfattas av tystnadsplikt. Utredningen har i avsnitt 10.9.5 föreslagit att en be- stämmelse som påminner om kravet på tystnadsplikt enligt arti- kel 9.3 i dataskyddsförordningen tas in i lagen om behandling av personuppgifter inom socialtjänsten. Någon sådan bestämmelse be- höver därför inte tas in i förordningen.

10.10.6 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 9, 10, 15, 20, 21, 24 och 25 §§ förordningen om behandling av personuppgifter inom socialtjänsten behöver inte ändras med anledning av data- skyddsförordningen.

Bestämmelser om sökbegrepp, samkörning, och begränsningar i fråga om direktåtkomst är enligt utredningen att anse dels som ut- tryck för dataskyddsförordningens princip om uppgiftsminimering och dels som säkerhetsåtgärder/skyddsåtgärder enligt dataskydds- förordningen. Sådana restriktioner och krav för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att dataskyddsförordningen börjar tillämpas. För enskilda är, som utredningen konstaterat i samma avsnitt, restriktioner och krav tillåtna när den ursprungliga behandlingen grundar sig på artikel 6.1 e i dataskyddsförordningen, vilket är fallet i fråga om socialtjänsten. Nu gällande regler rörande sökbegrepp i

409

Författningar som reglerar en verksamhet

SOU 2017:66

9, 15, 20 och 25 §§, samkörning i 10 och 21 §§ och begränsning i fråga om direktåtkomst i 24 § förordningen om behandling av person- uppgifter inom socialtjänsten behöver därför inte ändras.

10.10.7 Uppgiftsskyldigheter

Utredningens bedömning: Uppgiftsskyldigheterna i 10 a § för- ordningen om behandling av personuppgifter inom socialtjänsten påverkas inte av dataskyddsförordningen och behöver inte ändras.

I 10 a § förordningen om behandling av personuppgifter inom social- tjänsten föreskrivs olika sekretessbrytande uppgiftsskyldigheter. Utredningen har i avsnitt 9.21 konstaterat att befintliga uppgifts- skyldigheter är lika tillåtna enligt dataskyddsförordningen som en- ligt dataskyddsdirektivet. Bestämmelsen behöver därför inte ändras med anledning av dataskyddsförordningen. När uppgiftsskyldig- heten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

10.10.8 Överföring av personuppgifter till tredjeland

Utredningens bedömning: Bestämmelsen i 16 § förordningen om behandling av personuppgifter inom socialtjänsten behöver inte ändras med anledning av dataskyddsförordningen.

Enligt 16 § förordningen om behandling av personuppgifter inom socialtjänsten får en kommunal myndighet föra över uppgifter till tredjeland i ett ärende om fastställande av faderskap och om inter- nationella adoptioner. Vid bestämmelsens tillkomst får det antas ha bedömts finnas stöd för överföring av personuppgifter enligt arti- kel 26.1 d i dataskyddsdirektivet. Motsvarande möjligheter till över- föring av uppgifter till tredjeland med hänsyn till viktiga skäl som rör allmänintresset finns i artikel 49.1 d i dataskyddsförordningen. Utredningen har i avsnitt 9.8.2 bedömt att bedrivande av verksam- het som ska finnas i enlighet med internationella rättighetsstadgor är sådana allmänna intressen som avses i bl.a. artikel 49.1 d i data- skyddsförordningen. Enligt EU:s rättighetsstadga har var och en

410

SOU 2017:66

Författningar som reglerar en verksamhet

rätt till respekt för sitt familjeliv (artikel 7), och rätten att bilda familj ska garanteras i nationell rätt (artikel 9). Överföring av person- uppgifter till tredjeland i ärende om fastställande av faderskap och om internationella adoptioner får därmed anses motiverat med stöd av ett allmänt intresse.

Enligt artikel 49.4 i dataskyddsförordningen ska allmänintresset vara erkänt i unionsrätten eller i nationell rätt. Utöver vad som regleras i EU:s rättighetsstadga finns bestämmelser om fastställande av faderskap och adoption i bl.a. 1, 2 och 4 kap. föräldrabalken. Personuppgifter kan därmed även enligt dataskyddsförordningen föras över till tredjeland i ärenden om fastställande av faderskap och om internationella adoptioner.

En bestämmelse om att överföring av personuppgifter till tredjeland i en viss situation är tillåten behöver, i enlighet med vad utredningen konstaterat i avsnitt 9.14, inte ändras om den i övrigt har stöd i dataskyddsförordningen. Bestämmelsen i 16 § förord- ningen om behandling av personuppgifter inom socialtjänsten kan därmed behållas.

10.10.9 Bemyndiganden

Utredningens bedömning: De bemyndiganden som ges i 26 § förordningen om behandling av personuppgifter inom social- tjänsten behöver inte ändras.

I 26 § förordningen om behandling av personuppgifter inom social- tjänsten ges Socialstyrelsen bemyndigande att meddela föreskrifter om sammanställningar av personuppgifter samt verkställighetsföre- skrifter. Dataskyddsförordningen hindrar inte att föreskrifter med- delas på dessa områden och inte heller att föreskriftsrätten delegeras. De bemyndiganden som ges i 26 § förordningen om behandling av personuppgifter inom socialtjänsten är således förenliga med data- skyddsförordningen och behöver inte ändras.

411

Författningar som reglerar en verksamhet

SOU 2017:66

10.11 Förordningen (2009:1422) om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag

10.11.1 Förordningens tillämpningsområde

Utredningens förslag: Det tydliggörs att lagen om kommunalt vårdnadsbidrag är upphävd.

Utredningens bedömning: Bestämmelsen i 1 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vård- nadsbidrag kan i övrigt behållas.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. Bestämmelsen om tillämpningsområde i 1 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag kan alltså behållas i sak.

Regeringen har utfärdat förordningen om behandling av person- uppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag som en följd av lagen (2008:307) om kommunalt vårdnadsbidrag som upphävdes vid ut- gången av januari 2016, med viss övergångsbestämmelse. Utred- ningen tar inte ställning till det fortsatta behovet av förordningen, men det bör tydliggöras att lagen om kommunalt vårdnadsbidrag, som förordningen hänvisar till, är upphävd.

10.11.2 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 2 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av stati- stik över kommunalt vårdnadsbidrag kan och bör behållas.

412

SOU 2017:66

Författningar som reglerar en verksamhet

Som framgår av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 2 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med fram- ställning av statistik över kommunalt vårdnadsbidrag kan och bör därför behållas.

10.11.3 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 3 § förordningen om be- handling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag ska innehålla en upplysning om att lagen kompletterar dataskydds- förordningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av förordningen om behandling av personupp- gifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag.

Utredningens bedömning: Förhållandet till lagen om den offici- ella statistiken kan anges på samma sätt som tidigare.

Av 3 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag framgår att flera bestämmelser i lagen (2001:99) om den officiella statistiken gäller när Statistiska central- byrån behandlar personuppgifter för att framställa statistik över kommunalt vårdnadsbidrag. Bestämmelserna gäller generellt för statistikansvariga myndigheter och avser vilka personuppgifter som får behandlas och vad som gäller i fråga om gallring. En översyn av hur dessa bestämmelser förhåller sig till dataskyddsförordningen kommer inte att göras av utredningen, eftersom lagen om den officiella statistiken omfattas av Finansdepartementets verksamhets- område. I det fortsätta lagstiftningsarbetet bör dock hänvisningarna stämmas av mot eventuella ändringar i lagen om den officiella stati- stiken.

413

Författningar som reglerar en verksamhet

SOU 2017:66

I fråga om förhållandet till övrig lagstiftning bör bestämmelsen utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

10.11.4 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagen i 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för finalitetsprincipen.

Utredningens bedömning: I övrigt kan och bör ändamålsbestäm- melserna i 4 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av stati- stik över kommunalt vårdnadsbidrag behållas.

Av 4 § första stycket förordningen om behandling av personupp- gifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag framgår att behandling av personuppgifter får ske inom ramen för ett uppdrag från reger- ingen som gäller framställning av statistik över det kommunala vårdnadsbidraget. Eftersom regeringens uppdrag till myndigheter generellt sett har karaktären av ett allmänt intresse, sker behand- lingen av personuppgifter med stöd av artikel 6.1 e i dataskydds- förordningen.

Enligt 4 § andra stycket första meningen förordningen om be- handling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag får personuppgifter som behandlas för det ändamål som anges i första stycket också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Sådant utlämnande som sker till följd av en uppgiftsskyldighet är nödvändigt för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsför- ordningen. I den mån uppgiftslämnandet inte grundar sig på en skyl- dighet utan på en möjlighet att lämna uppgifter, får uppgiftslämnandet

414

SOU 2017:66

Författningar som reglerar en verksamhet

anses utgöra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

Finalitetsprincipen

I 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med fram- ställning av statistik över kommunalt vårdnadsbidrag hänvisas till 9 § första stycket d och andra stycket personuppgiftslagen. Hänvis- ningen innebär att den s.k. finalitetsprincipen, dvs. att personupp- gifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, gäller. Hänvisningen innebär vidare att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Som anges i avsnitt 9.10.3 kan registerförfattningar även fort- sättningsvis, i syfte att förtydliga att de uppräknade ändamålen inte är uttömmande, innehålla bestämmelser med innebörden att be- handling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Eftersom personuppgiftslagen kommer att upphöra att gälla, bör bestämmelsen utformas i enlighet med vad som anges i det avsnittet.

10.11.5 Personuppgifter som får behandlas

Utredningens förslag: Det förtydligas i 5 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verk- samhet med framställning av statistik över kommunalt vårdnads- bidrag att förordningen om skyldighet för kommuner att lämna statistiska uppgifter om kommunalt vårdnadsbidrag är upphävd.

Utredningens bedömning: Bestämmelsen i 5 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vård- nadsbidrag behöver i övrigt inte ändras med anledning av data- skyddsförordningen.

415

Författningar som reglerar en verksamhet

SOU 2017:66

Statistiska centralbyrån får enligt 5 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag behandla personuppgifter i enlighet med vad som följer av 14 § lagen (2001:99) om den officiella statistiken och 2 § förordningen (2009:1421) om skyldighet för kommuner att lämna statistiska uppgifter om kom- munalt vårdnadsbidrag.

Bestämmelsen i 14 § lagen om den officiella statistiken ger sta- tistikansvariga myndigheter en generell rätt att behandla person- uppgifter för ändamålet framställning av statistik. Bestämmelsen omfattas inte av utredningens genomgång av olika författningars förenlighet med dataskyddsförordningen, eftersom lagen om den officiella statistiken ligger inom Finansdepartementets verksam- hetsområde. I den mån hänvisningen medför att behandling av känsliga personuppgifter tillåts får den enligt utredningens bedöm- ning i vart fall anses nödvändig av hänsyn till ett viktigt allmänt intresse. Behandlingen är därmed tillåten med stöd av undantaget i artikel 9.2 g i dataskyddsförordningen, i enlighet med vad som anges i avsnitt 9.11.3.

Förordningen om skyldighet för kommuner att lämna statistiska uppgifter om kommunalt vårdnadsbidrag är sedan den 1 februari 2016 upphävd men i den tidigare gällande 2 § finns en uppräkning av vilka uppgifter den kommunala nämnd som handlade vårdnads- bidrag skulle lämna till Statistiska centralbyrån. Uppräkningen om- fattar bl.a. uppgift om personnummer. Som anges i avsnitt 9.13 kan och bör bestämmelser om behandling av personnummer behållas. Att det i övrigt anges vilka personuppgifter som får behandlas stäm- mer väl överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen – att uppgifterna ska vara adekvata, rele- vanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas.

Överväganden kring vilka uppgifter som behöver behandlas av Statistiska centralbyrån har gjorts vid tidigare lagstiftningsarbeten och utredningen har att utgå från att de angivna uppgifterna behövs för de ändamål för vilka uppgifterna behandlas. Medlemsstaterna tillåts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och de kan in- föra begränsningar för sina myndigheter. Bestämmelsen i 5 § för- ordningen om behandling av personuppgifter i Statistiska central-

416

SOU 2017:66

Författningar som reglerar en verksamhet

byråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag bör därmed inte ändras i sak. Det bör dock framgå av förordningstexten att förordningen om skyldighet för kommu- ner att lämna statistiska uppgifter om kommunalt vårdnadsbidrag är upphävd.

10.11.6 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 6 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verk- samhet med framställning av statistik över kommunalt vård- nadsbidrag som anger att behandling av personuppgifter får ut- föras även om den registrerade motsätter sig den kan och bör behållas.

Av 6 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag framgår att behandling av personuppgifter som är tillåten enligt den förordningen får utföras även om den enskilde motsätter sig behandlingen.

Den registrerade har enligt huvudregeln i artikel 21.1 i dataskydds- förordningen rätt att invända mot behandling av personuppgifter; detta under förutsättning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutöv- ning (se vidare avsnitt 9.15.1). Enligt artikel 21.6 i dataskydds- förordningen gäller som undantag till huvudregeln att om person- uppgifter behandlas för vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av person- uppgifter avseende honom eller henne om inte behandlingen är nöd- vändig för att utföra en arbetsuppgift av allmänt intresse.

Personuppgifter behandlas enligt den aktuella förordningen för ändamålet statistik och behandlingen har i avsnitt 10.11.4 bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse. Rätt att göra invändningar mot behandlingen av personuppgifter finns därmed inte.

417

Författningar som reglerar en verksamhet

SOU 2017:66

Förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag kan således även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

10.11.7 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 7 § förordningen om be- handling av personuppgifter i Statistiska centralbyråns verksam- het med framställning av statistik över kommunalt vårdnads- bidrag upphävs.

Enligt 7 § förordningen om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter en- ligt samma förordning. Bestämmelsen bör, i enlighet med de slut- satser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

10.12 112 kap. socialförsäkringsbalken

10.12.1 Beslut genom automatiserad behandling

Utredningens bedömning: Bestämmelserna i 112 kap. 6 och 7 §§ socialförsäkringsbalken behöver inte ändras med anledning av dataskyddsförordningen.

I 112 kap. 6 § socialförsäkringsbalken anges att Skatteverket får fatta beslut om pensionsgrundande inkomst genom automatiserad behandling när skälen för beslutet får utelämnas enligt 20 § första stycket 1 förvaltningslagen (1986:223). Det automatiserade be- slutsfattande som avses inkluderar inte profilering, som enligt defi- nitionen i artikel 4.4 i dataskyddsförordningen är varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egen- skaper hos en fysisk person, i synnerhet för att analysera eller för-

418

SOU 2017:66

Författningar som reglerar en verksamhet

utsäga denna fysiska persons arbetsprestationer, ekonomiska situa- tion, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Det aktuella förfarandet påverkas därför, i enlighet med vad utredningen angett i avsnitt 9.15.1 om automatiserat och individuellt beslutsfattande, inte av vad som anges i artikel 22 i dataskyddsförordningen. Den behandling av personuppgifter som sker genom beslutsfattandet omfattas av be- stämmelserna i lagen (2001:181) om behandling av uppgifter i Skatte- verkets beskattningsverksamhet.

Det beslutsfattande som avses i 112 kap. 7 § socialförsäkrings- balken – att Pensionsmyndigheten får fatta beslut om allmän ålders- pension genom automatiserad behandling – påverkas av samma skäl inte av artikel 22 i dataskyddsförordningen. Den behandling av personuppgifter som beslutsfattandet ger upphov till omfattas av bestämmelserna i 114 kap. socialförsäkringsbalken.

Flera andra utredningar har tidigare, med beaktande av såväl data- skyddsdirektivets bestämmelser som förvaltningsrättsliga aspekter, bedömt att det saknas behov av att författningsreglera automatiserat beslutsfattande.32 Utredningen uppmärksammar detta, men lämnar inget förslag i frågan.

10.13 114 kap. socialförsäkringsbalken

10.13.1 Kapitlets tillämpningsområde

Utredningens bedömning: Inga förändringar krävs av tillämp- ningsområdet enligt 114 kap. 2 § socialförsäkringsbalken.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser i register- författningar om på vilken verksamhet, vilka typer av behandlingar och vilka uppgifter författningen ska tillämpas inte i sig påverkas av dataskyddsförordningen och därmed inte bör ändras. Sådana bestäm- melser om tillämpningsområdet finns i 114 kap. 2 § socialförsäk- ringsbalken. Dessa bestämmelser bör alltså inte ändras med anled- ning av att dataskyddsförordningen börjar tillämpas.

32 Se t.ex. SOU 2001:47 s. 313 och SOU 2014:75 s. 64.

419

Författningar som reglerar en verksamhet

SOU 2017:66

10.13.2 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 114 kap. 3 § social- försäkringsbalken kan och bör även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behand- ling av personuppgifter som rör honom eller henne.

Enligt 114 kap. 3 § socialförsäkringsbalken får sådan behandling av personuppgifter som är tillåten enligt det kapitlet utföras även om den registrerade motsätter sig behandlingen.

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se vidare av- snitt 9.15.1). Den behandling som omfattas av tillämpningsområdet för 114 kap. socialförsäkringsbalken är till största delen sådan be- handling. Bestämmelsen i 114 kap. 3 § socialförsäkringsbalken utgör alltså en begränsning av rätten att göra invändningar mot behand- ling av personuppgifter i artikel 21 i dataskyddsförordningen.

En sådan bestämmelse förutsätter, i enlighet med vad som framgår av avsnitt 9.15.2, att de villkor som anges i artikel 23 i dataskydds- förordningen för en begränsning av den registrerades rättigheter är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. socialförsäkring och pensioner, inklusive den administration dessa verksamheter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskydds- förordningen.

En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 i dataskyddsförordningen är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. Försäkringskassan och

420

SOU 2017:66

Författningar som reglerar en verksamhet

Pensionsmyndigheten, som administrerar socialförsäkring och pensio- ner, behandlar personuppgifter helt eller delvis automatiserat. Elektroniska ärendehanteringssystem utgör en integrerad del av myndigheternas handläggning av ärenden och systemen har tagits fram i syfte att främja såväl effektivitets- som rättssäkerhetshänsyn samtidigt som integritetsaspekter beaktats. Rätten till förmåner enligt socialförsäkringsbalken är i och för sig inte beroende av myn- digheternas möjlighet att behandla personuppgifter automatiserat, men en möjlighet för den registrerade att invända mot den normala hanteringen skulle påtagligt försvåra arbetet för myndigheterna. En delvis manuell hantering skulle minska effektiviteten, öka kostna- derna och riskera en negativ påverkan på objektivitet och likabehand- ling. Mot bakgrund av det starka intresset av en enhetlig elektronisk ärendehantering, måste ett undantag från rätten att invända mot behandling av personuppgifter i verksamhet som omfattas av tillämp- ningsområdet för 114 kap. socialförsäkringsbalken anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Begränsningen kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna.

De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns redan i 114 kap. socialförsäkringsbalken.

Utredningen bedömer därmed att 114 kap. socialförsäkringsbalken även fortsättningsvis kan innehålla en begränsning av den registre- rades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

421

Författningar som reglerar en verksamhet

SOU 2017:66

10.13.3 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 114 kap. 6 § socialförsäk- ringsbalken ska innehålla en upplysning om att kapitlet kom- pletterar dataskyddsförordningen.

Det ska också anges att dataskyddslagen gäller, om inte annat följer av 114 kap. socialförsäkringsbalken eller föreskrifter som har meddelats med stöd av det kapitlet.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

10.13.4 Personuppgiftsansvar

Utredningens förslag: Personuppgiftsansvaret anges i ny para- graf men ändras inte i sak.

I 114 kap. 6 § andra stycket socialförsäkringsbalken regleras vem som är personuppgiftsansvarig. Utredningen har i avsnitt 9.7 kon- staterat att bestämmelser i registerförfattningar om vem som är personuppgiftsansvarig kan och bör behållas. Bestämmelsen om personuppgiftsansvar bör dock, för att öka överskådligheten, place- ras i en egen paragraf.

10.13.5 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 114 kap. 10 § socialförsäk- ringsbalken tas bort. I stället hänvisas till artikel 5.1 b i data- skyddsförordningen som ger uttryck för finalitetsprincipen.

Utredningens bedömning: Ändamålen i 114 kap. 7–9 §§ social- försäkringsbalken uppfyller de krav som gäller enligt dataskydds- förordningen och bör inte ändras. Även förbudet mot att be- handla personuppgifter som direkt pekar ut den registrerade vid återsökning av vägledande avgöranden kan behållas.

422

SOU 2017:66

Författningar som reglerar en verksamhet

I 114 kap. 7–9 §§ socialförsäkringsbalken anges de ändamål för vilka personuppgifter får behandlas inom kapitlets tillämpningsområde.

Ändamålen i 114 kap. 7 § socialförsäkringsbalken avser den interna verksamheten – återsökning av vägledande avgöranden, hantering av underlag som krävs för att fastställa rättigheter och skyldigheter utanför ärenderamen, information om förmåner och ersättningar, ärendehandläggning, verksamhetsplanering, resultat- styrning, uppföljning, redovisning, utvärdering, tillsyn och intern statistikframställning. Samtliga ändamål grundar sig på utförandet av en arbetsuppgift av allmänt intresse eller som ett led i myndig- hetsutövning enligt artikel 6.1 e i dataskyddsförordningen. Ända- målen i 114 kap. 8 § socialförsäkringsbalken avser behandling i form av utlämnande av sådana personuppgifter som behövs för handlägg- ning och kontroll av olika sociala förmåner hos andra instanser än Försäkringskassan och Pensionsmyndigheten och får anses grunda sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen. Ändamålen i 114 kap. 9 § 1, 3 och 4 social- försäkringsbalken grundar sig på rättsliga förpliktelser (artikel 6.1 c) som det hänvisas till i bestämmelsen. Ändamålen i 114 kap. 9 § 2 socialförsäkringsbalken om utlämnande på grund av medgivande som följer av bestämmelser i lag eller förordning grundar sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen.

I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. I artikel 6.3 i dataskyddsförordningen har tillkommit några nya krav på den rättsliga grunden för behandling av personuppgifter. Kraven är, i enlighet med vad utredningen kon- staterat i det aktuella avsnittet, uppfyllda utan vidare analys i fråga om ändamål som är reglerade sedan tidigare. Behandling av person- uppgifter för de ändamål som anges i 114 kap. 7–9 §§ socialförsäk- ringsbalken är alltså laglig enligt dataskyddsförordningen och de befintliga ändamålen kan och bör därmed behållas.

423

Författningar som reglerar en verksamhet

SOU 2017:66

Förbud att behandla direkt utpekande personuppgifter

Vid behandling av personuppgifter för återsökning av vägledande avgöranden får inte uppgifter som direkt pekar ut den registrerade användas. Bestämmelsen stämmer överens med principen om upp- giftsminimering i artikel 5.1 c i dataskyddsförordningen. Medlems- staterna tillåts, som framgår av avsnitt 9.3, att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Det är också, som utredningen kon- staterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter. Förbudet att behandla personuppgifter som direkt pekar ut den registrerade kan därmed behållas.

Finalitetsprincipen

I 114 kap. 10 § socialförsäkringsbalken finns det en hänvisning till 9 § första stycket d personuppgiftslagen, den s.k. finalitetsprinci- pen – att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. I 114 kap. 10 § socialförsäkringsbalken finns det också en hänvisning till 9 § andra stycket personuppgiftslagen, där det förtydligas att en behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I enlighet med vad utredningen konstaterat i avsnitt 9.10.3, bör det även fortsättningsvis finnas en bestämmelse som klargör att de i 114 kap. socialförsäkringsbalken angivna ända- målen inte är uttömmande. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet.

424

SOU 2017:66

Författningar som reglerar en verksamhet

10.13.6 Känsliga personuppgifter och uppgifter om lagöverträdelser

Utredningens förslag: Bestämmelserna som reglerar behandling av känsliga personuppgifter i 114 kap. 11 § socialförsäkrings- balken ska omfatta alla känsliga personuppgifter enligt den ut- vidgade definitionen i dataskyddsförordningen. Bestämmelserna om behandling av känsliga personuppgifter i socialförsäkrings- databasen i 114 kap. 13 §, 15 § andra stycket och 16 § social- försäkringsbalken bör innehålla en hänvisning till definitionen av känsliga personuppgifter i 114 kap. 11 § första stycket.

Hänvisningen till personuppgiftslagens definition av uppgif- ter om lagöverträdelser tas bort. I stället ska det i 114 kap. 12 § socialförsäkringsbalken uttryckligen anges vilka personuppgifter om lagöverträdelser m.m. som får behandlas medan det i 114 kap. 13 §, 15 § andra stycket och 16 § hänvisas till 114 kap. 12 § första stycket.

Utredningens bedömning: I övrigt kan och bör bestämmel- serna i 114 kap. 11 och 12 §§, 15 § andra stycket och 16 § social- försäkringsbalken behållas i sak.

Det finns bestämmelser om när känsliga personuppgifter får be- handlas i 114 kap. 11 § socialförsäkringsbalken. Känsliga person- uppgifter får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. Det är dessutom tillåtet att behandla känsliga personuppgifter om det är nödvändigt för vissa angivna ändamål. För vissa ändamål gäller att endast uppgifter om hälsa får behandlas. Det finns vidare en begränsning som innebär att behandling av känsliga personuppgifter för vissa ändamål inte får ske annat än om uppgifterna redan har behandlats för vissa andra ändamål. I 114 kap. 15 § andra stycket första och andra meningarna och 114 kap. 16 § finns det vissa begränsningar av be- handling av känsliga personuppgifter i socialförsäkringsdatabasen. I 114 kap. 13 § finns det en upplysning om bestämmelserna i 114 kap. 15 §.

425

Författningar som reglerar en verksamhet

SOU 2017:66

Behandling av känsliga personuppgifter hos myndigheterna inom socialförsäkringens administration är nödvändig med hänsyn till ett viktigt allmänt intresse. Bestämmelserna som tillåter be- handling av känsliga personuppgifter inom tillämpningsområdet för 114 kap. socialförsäkringsbalken är alltså, i enlighet med vad utred- ningen konstaterat i avsnitt 9.11.3, förenliga med artikel 9.2 g i dataskyddsförordningen och kan och bör behållas.

Dataskyddsförordningen innehåller några nya kategorier av käns- liga personuppgifter – genetiska uppgifter och biometriska uppgif- ter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Även de nytillkomna uppgifterna bör omfattas av den särskilda regleringen av behandling av känsliga personuppgifter i 114 kap. socialförsäkringsbalken i enlighet med vad utredningen kommit fram till i avsnitt 9.11.6.

Begränsningarna av under vilka förutsättningar känsliga person- uppgifter får behandlas får anses utgöra sådana lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs vid behandling av känsliga per- sonuppgifter av hänsyn till ett viktigt allmänt intresse enligt arti- kel 9.2 g i dataskyddsförordningen. Begränsningarna kan och bör därför behållas. Detsamma gäller för begränsningen som innebär att endast uppgifter om hälsa får behandlas för vissa ändamål.

Bestämmelsen i 114 kap. 11 § andra stycket bör, i enlighet med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgif- ter, dvs. genetiska uppgifter och biometriska uppgifter för att en- tydigt identifiera en fysisk person samt uppgifter om sexuell lägg- ning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa för de aktuella ändamålen. Som anges i avsnitt 7.5 förekommer det emellertid att de olika kategorierna av känsliga personuppgifter överlappar var- andra. Sådana uppgifter som omfattas av någon av de nya kategori- erna men som även utgör en uppgift om hälsa, kan enligt utred- ningens bedömning behandlas med stöd av bestämmelsen i 114 kap. 11 § andra stycket socialförsäkringsbalken. Utredningen har över- vägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att uppgifter som rör hälsa, inklusive genetiska och bio- metriska uppgifter och uppgifter om sexuell läggning, får behand- las, på samma sätt som anges i avsnitt 10.1.11 och 12.8.4. Då det i

426

SOU 2017:66

Författningar som reglerar en verksamhet

utredningen inte har framkommit något behov av att behandla så- dana uppgifter om hälsa som samtidigt omfattas av någon av de nya kategorierna, saknas det dock enligt utredningens bedömning an- ledning att införa ett sådant förtydligande.

Bestämmelserna i 114 kap. 11 § första och tredje styckena social- försäkringsbalken bör alltså omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestäm- melserna om behandling av känsliga personuppgifter i socialförsäk- ringsdatabasen i 114 kap. 13 §, 15 § andra stycket och 16 § social- försäkringsbalken bör i sin tur i förtydligande syfte innehålla en hänvisning till definitionen av känsliga personuppgifter i 114 kap. 11 §.

I 114 kap. 12 §, 15 § andra stycket och 16 § socialförsäkrings- balken finns det bestämmelser som begränsar möjligheten att be- handla personuppgifter om lagöverträdelser. Myndigheters möjlig- heter att behandla personuppgifter om lagöverträdelser behöver, i enlighet med vad som framgår av avsnitt 9.12, inte ändras med anled- ning av dataskyddsförordningen. Eftersom bestämmelserna inne- håller hänvisningar till personuppgiftslagen som kommer att upp- höra att gälla i samband med att dataskyddsförordningen ska börja tillämpas, måste bestämmelserna dock omarbetas. I 114 kap. 12 § socialförsäkringsbalken bör det uttryckligen anges vilka person- uppgifter om lagöverträdelser m.m. som får behandlas medan det i 114 kap. 13 §, 15 § andra stycket och 16 § hänvisas till 114 kap. 12 § första stycket.

10.13.7 Sökbegränsningar

Utredningens förslag: Bestämmelsen om användning av käns- liga personuppgifter som sökbegrepp i 114 kap. 27 § första stycket socialförsäkringsbalken ska omfatta alla känsliga person- uppgifter enligt den utvidgade definitionen i dataskyddsförord- ningen.

Hänvisningen till personuppgiftslagens definition av uppgifter om lagöverträdelser bör ersättas med en hänvisning till 114 kap. 12 § socialförsäkringsbalken.

427

Författningar som reglerar en verksamhet

SOU 2017:66

Utredningens bedömning: Bestämmelserna om sökbegränsningar i 114 kap. 27 och 28 §§ socialförsäkringsbalken kan och bör i övrigt behållas i sak.

I 114 kap. 27 § socialförsäkringsbalken finns det ett förbud mot att använda känsliga personuppgifter och uppgifter om lagöverträdel- ser som sökbegrepp vid sökning i socialförsäkringsdatabasen. Bestämmelserna innehåller också en begränsning som innebär att endast beteckning på ett ärende eller en handling får användas som sökbegrepp vid sökning som omfattar innehållet i fler än en hand- ling. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om begränsningar i övrigt. Enligt 114 kap. 28 § socialförsäkringsbalken får uppgifter om hälsa användas under vissa förutsättningar om regeringen eller den myndighet regeringen bestämmer meddelat föreskrifter om det.

Förbudet mot att använda känsliga personuppgifter som sök- begrepp i 114 kap. 27 § första stycket får anses utgöra en sådan lämplig och särskild åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs vid behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse enligt artikel 9.2 g i dataskyddsförordningen. Bestämmelsen kan och bör därmed behållas.

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. De nytill- komna kategorierna bör, i enlighet med vad utredningen kommit fram till i det avsnittet, omfattas av sökförbudet i de nu aktuella bestämmelserna.

Sökbegränsningen avseende uppgifter om lagöverträdelser kan, som anges i avsnitt 9.12, behållas, eftersom den avser behandling som sker med stöd av artikel 6.1 c eller e i dataskyddsförordningen eller endast omfattar myndigheters möjligheter att behandla person- uppgifter om lagöverträdelser.

Bestämmelsen som begränsar möjligheten att söka med hjälp av annat än beteckningen på ett ärende eller en handling i 114 kap. 27 § andra stycket utgör, som framgått av avsnitt 9.16.2, en form av säkerhetsåtgärd enligt dataskyddsförordningen. Bestämmelser om säkerhetsåtgärder är tillåtna med stöd av 6.2 och 6.3 i dataskydds-

428

SOU 2017:66

Författningar som reglerar en verksamhet

förordningen när det gäller reglering av behandling som grundar sig på en rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen eller därför att de endast avser en myn- dighets behandling. Bestämmelsen bör därmed inte ändras.

Bestämmelsen i 114 kap. 28 § socialförsäkringsbalken som anger att uppgifter som rör hälsa får användas som sökbegrepp, om före- skrifter har meddelats om det bör, i enlighet med utredningens bedömning i avsnitt 9.11.6, inte utvidgas till att omfatta några av de nya kategorierna av känsliga personuppgifter utan behållas i sin nuvarande utformning. Det kommer alltså även fortsättningsvis endast att vara möjligt att meddela föreskrifter som tillåter behand- ling av sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det emellertid att de olika kategorierna av känsliga personuppgifter överlappar varandra. Sådana personuppgifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa kan enligt utredningens bedömning således om- fattas av föreskrifter som meddelas med stöd av bestämmelsen i 114 kap. 28 § socialförsäkringsbalken. Utredningen har övervägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att föreskrifter får meddelas om användning av uppgifter som rör hälsa, inklusive genetiska och biometriska uppgifter och upp- gifter om sexuell läggning, på samma sätt som anges i avsnitt 10.1.11 och 12.8.4. Då det i utredningen inte har framkommit något behov av att använda sådana uppgifter om hälsa som sam- tidigt omfattas av någon av de nya kategorierna, saknas det dock enligt utredningens bedömning anledning att införa ett sådant för- tydligande. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område eller att föreskriftsrätten delegeras. Bemyndigandena i 114 kap. 27 § tredje stycket och 28 § kan där- med behållas.

429

Författningar som reglerar en verksamhet

SOU 2017:66

10.13.8 Säkerhetsåtgärder

Utredningens bedömning: Någon ändring av begränsningen i 114 kap. 14 § och 15 § första stycket socialförsäkringsbalken av vilka personuppgifter som får behandlas i socialförsäkringsdata- basen behövs inte med anledning av dataskyddsförordningen.

Det krävs inte heller någon förändring av styrningen av behörighetstilldelning enligt 114 kap. 17 §, av möjligheten till direktåtkomst eller utlämnande på medium för automatiserad behandling enligt 114 kap. 18–26 a §§ eller av kravet på kontroll- verksamhet enligt 114 kap. 34 § socialförsäkringsbalken.

Tillämpningsområdet för 114 kap. socialförsäkringsbalken omfattar i princip all automatiserad behandling av personuppgifter, även eventuell behandling av personuppgifter som sker i ordbehandlings- program på en enstaka persondator. Viss behandling av person- uppgifter anses dock mer integritetskänslig än annan. I syfte att ytterligare begränsa sådan mer integritetskänslig behandling av personuppgifter, finns det i 114 kap. 14–28 §§ socialförsäkrings- balken särskild reglering av behandling av personuppgifter i den s.k. socialförsäkringsdatabasen. Den samling av personuppgifter som utgör socialförsäkringsdatabasen används nämligen gemen- samt, dvs. sprids mer allmänt inom organisationen, i verksamhet rörande förmåner enligt socialförsäkringsbalken samt andra förmå- ner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensions- myndigheten, vilket framgår av 114 kap. 5 § socialförsäkringsbalken.

Några av bestämmelserna som avser behandling av personupp- gifter i socialförsäkringsdatabasen har berörts i avsnitt 10.13.6 och 10.13.7. I det här avsnittet konstaterar utredningen att bestämmel- serna i 114 kap. 15 § första stycket, 17–26 a33 och 34 §§ social- försäkringsbalken, som anger särskilda restriktioner och krav för behandlingen av personuppgifter, är att anse dels som uttryck för dataskyddsförordningens princip om uppgiftsminimering och dels

33 Regeringen har remissbehandlat dels ett förslag att upphäva 114 kap. 20 § socialförsäk- ringsbalken vid utgången av 2017, dnr S2004/07368/RS, och dels ett förslag att införa en ny bestämmelse om direktåtkomst i 114 kap. 23 § socialförsäkringsbalken den 1 december 2017 (Ds 2017:3), dnr Ju2017/02026/L7.

430

SOU 2017:66

Författningar som reglerar en verksamhet

som säkerhetsåtgärder/skyddsåtgärder enligt dataskyddsförordningen. Enligt 114 kap. 25 och 26 §§ krävs den registrerades uttryckliga samtycke för att vissa uppgifter ska få lämnas ut på medium för automatiserad behandling. Även kravet på samtycke utgör enligt den bedömning utredningen har gjort i avsnitt 9.16.2 en form av skyddsåtgärd.

Sådana restriktioner och krav som anges i de nu berörda bestäm- melserna är, som anges i avsnitt 9.16.2, tillåtna för myndigheter. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i data- skyddsförordningen är tillåtet att ha i nationell rätt även för enskilda när det gäller behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen.

Flera av bestämmelserna innehåller bemyndiganden för reger- ingen att meddela föreskrifter. Utredningen har bedömt att de be- stämmelser i socialförsäkringsbalken som föreskriftsrätten utgår från är förenliga med dataskyddsförordningen. Dataskyddsförord- ningen hindrar inte i sig att föreskriftsrätten delegeras. Bestämmel- serna om delegation behöver därmed inte ändras.

10.13.9 Överföring av personuppgifter till tredjeland

Utredningens förslag: Bestämmelsen i 114 kap. 29 § socialförsäk- ringsbalken behålls i sak men hänvisningen till 33 § person- uppgiftslagen tas bort.

Enligt 114 kap. 29 § socialförsäkringsbalken får överföring av person- uppgifter till tredjeland på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater ske utan hinder av 33 § personuppgiftslagen.

Enligt artikel 49.1 d i dataskyddsförordningen, som är direkt tillämplig, får en överföring till ett tredjeland göras när den är nöd- vändig av viktiga skäl som rör allmänintresset. Överföring av per- sonuppgifter på grund av avtal om social trygghet bedöms i för-

431

Författningar som reglerar en verksamhet

SOU 2017:66

arbetena till 114 kap. 29 § socialförsäkringsbalken vara ett viktigt allmänt intresse enligt artikel 26 i dataskyddsdirektivet.34 Skälen för detta är giltiga även i förhållande till artikel 49 i dataskyddsförord- ningen. Av skäl 112 till dataskyddsförordningen framgår dessutom att internationella utbyten av uppgifter mellan socialförsäkrings- myndigheter är en uppgiftsöverföring som krävs och är nödvändig med hänsyn till viktiga allmänintressen. Överföring av personupp- gifter på grund av avtal om social trygghet får sammantaget anses vara ett allmänt intresse även i förhållande till dataskyddsförord- ningen.

Kravet enligt artikel 49.4 i dataskyddsförordningen på att all- mänintresset är erkänt i unionsrätten eller i nationell rätt är upp- fyllt bl.a. genom att internationell överföring av personuppgifter mellan socialförsäkringsmyndigheter särskilt omnämns i skälen till dataskyddsförordningen och genom artikel 34.1 i rättighetsstadgan. Personuppgifter kan därmed även enligt dataskyddsförordningen föras över till tredjeland på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater.

En bestämmelse om att överföring av personuppgifter till tredje- land i en viss situation är tillåten behöver, i enlighet med vad utredningen konstaterat i avsnitt 9.14, inte ändras om den i övrigt har stöd i dataskyddsförordningen. Bestämmelsen i 114 kap. 29 § socialförsäkringsbalken kan därmed behållas i sak, men hänvisningen till 33 § personuppgiftslagen bör tas bort.

10.13.10 Information som ska lämnas på begäran

Utredningens förslag: Hänvisningen till personuppgiftslagen i 114 kap. 30 § socialförsäkringsbalken ändras till att avse arti- kel 15 i dataskyddsförordningen.

I 114 kap. 30 § socialförsäkringsbalken finns det en bestämmelse som kompletterar 26 § personuppgiftslagen, som i sin tur anger vilken information den personuppgiftsansvarige ska lämna på begä- ran av den registrerade, dvs. den information som lämnas i ett s.k.

34 Prop. 2002/03:135 s. 112 f.

432

SOU 2017:66

Författningar som reglerar en verksamhet

registerutdrag. Enligt 26 § personuppgiftslagen ska information lämnas om vilka uppgifter om den sökande som behandlas. Enligt 114 kap. 30 § socialförsäkringsbalken gäller denna skyldighet i ett första skede inte personuppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende, om den registrerade tagit del av handlingens innehåll. Eftersom den enskilde ofta i enlighet med 17 § förvaltningslagen (1986:223) har kommunicerats uppgifter som tillförts ett ärende från annan än honom eller henne själv, har den registrerade i de flesta fall tagit del av de personuppgifter som finns i handlingar som kommit in i ett ärende eller upprättats i ett ärende. Då behöver Försäkringskassan eller Pensionsmyndigheten endast lämna information om vilka sådana handlingar som behandlas. Om den registrerade sedan begär att få information om person- uppgifter i en sådan handling och anger vilken handling som avses, ska registerutdraget omfatta även dessa uppgifter, om inte annat följer av bestämmelser om sekretess.

I dataskyddsförordningen framgår skyldigheten att lämna infor- mation på begäran av den registrerade av artikel 15. Bestämmelsen i 114 kap. 30 § socialförsäkringsbalken medför en viss begränsning av rätten enligt artikel 15 i dataskyddsförordningen. Samtlig infor- mation kan inte fås i ett första steg utan det krävs att den registre- rade först tar del av information om vilka handlingar som finns, för att sedan begära att även få del av innehållet i handlingarna. Begräns- ningen är dock inte särskilt ingripande och medför ingen rättsförlust, eftersom rätten att få del av samtliga personuppgifter kvarstår även om den förutsätter en större ansträngning från den registrerades sida.

Begränsningen får förutsättas ha stöd i personuppgiftslagen och dataskyddsdirektivet. Enligt den bedömning utredningen har gjort i avsnitt 9.15.2 kan och bör befintliga begränsningar av den regi- strerades rättigheter behållas.

För den händelse bestämmelsen även skulle innebära en utvidg- ning av skyldigheterna enligt dataskyddsförordningen, drabbar den utvidgningen bara myndigheter, varför dataskyddsförordningen inte hindrar den.

Bestämmelsen behöver dock omarbetas, eftersom personupp- giftslagen upphävs och dataskyddsförordningen ska börja tillämpas. En hänvisning bör göras till artikel 15 i dataskyddsförordningen. Hänvisningen bör vara dynamisk, dvs. avse vid var tid gällande

433

Författningar som reglerar en verksamhet

SOU 2017:66

lydelse av bestämmelsen, eftersom artikel 15 i dataskyddsförord- ningen är direkt tillämplig.

10.13.11 Gallring

Utredningens förslag: Bestämmelsen i 114 kap. 31 § socialför- säkringsbalken om gallring behålls i sak, men formuleringen av historiska, statistiska eller vetenskapliga ändamål ändras till den som används i dataskyddsförordningen.

Utredningen fastslår i avsnitt 9.17.2 att bestämmelser i register- författningar om gallring och bevarande inte behöver ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Detsamma gäller delegationsbestäm- melser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för en viss tid och för vissa ändamål. Bestämmelserna i 114 kap. 31 § socialförsäkringsbalken kan alltså behållas. Formu- leringen av de historiska, statistiska och vetenskapliga ändamålen bör dock anpassas till dataskyddsförordningens lydelse.

10.13.12 Avgifter

Utredningens bedömning: Bestämmelsen i 114 kap. 32 § social- försäkringsbalken behöver inte ändras med anledning av data- skyddsförordningen.

I 114 kap. 32 § första stycket socialförsäkringsbalken anges att av- gifter får tas ut för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen samt att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om uttagandet av avgifter. Av andra stycket framgår att rätten att ta ut avgifter enligt första stycket inte får innebära inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän hand- ling enligt tryckfrihetsförordningen. Av förarbetena framgår att det som avgifterna är tänkta att tas ut för är utlämnanden genom

434

SOU 2017:66

Författningar som reglerar en verksamhet

automatiserad behandling eller direktåtkomst som medför ett visst merarbete och materialkostnader.35

Regeringen har i 8 § 8 förordningen om behandling av person- uppgifter i socialförsäkringens administration gett Försäkrings- kassan bemyndigande att meddela föreskrifter i fråga om fastställ- ande av avgifter för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen, om inte utlämnandet är avgiftsfritt till följd av att det sker till en annan myndighet på grund av att det föreligger en sådan skyldighet i lag eller förordning.

Den registrerades rätt att få tillgång till de personuppgifter som behandlas om honom eller henne är i grunden kostnadsfri. Av arti- kel 12.5 i dataskyddsförordningen framgår att all kommunikation och samtliga åtgärder som vidtas enligt bl.a. artikel 15–22 ska till- handahållas kostnadsfritt. Motsvarande gäller enligt artikel 12 i data- skyddsdirektivet som anger att den registrerade har rätt att från den registeransvarige få registerutdrag utan hinder och med rimliga intervall samt utan större tidsutdräkt eller kostnader. Av 26 § person- uppgiftslagen följer att den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om registerutdrag.

Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den person- uppgiftsansvarige enligt artikel 12.5 i dataskyddsförordningen emellertid ta ut en rimlig avgift som täcker de administrativa kost- naderna för att tillhandahålla den information eller vidta den åtgärd som begärts, alternativt vägra att tillmötesgå begäran. Även enligt artikel 15.3 i dataskyddsförordningen finns det möjlighet att ta ut en avgift. Om den registrerade begär fler än en kopia av de person- uppgifter som är under behandling (registerutdrag), får den person- uppgiftsansvarige ta ut en rimlig avgift på grundval av de administ- rativa kostnaderna.

Bortsett från vad som gäller den registrerade själv reglerar data- skyddsförordningen inga rättigheter eller skyldigheter att få eller lämna personuppgifter. Möjligheterna att lämna ut uppgifter från socialförsäkringsdatabasen till andra än den registrerade styrs där- för främst av regler i nationell rätt, framför allt tryckfrihetsförord- ningen och offentlighets- och sekretesslagen (2009:400). Eventuellt

35 Prop. 2002/03:135 s. 123 f.

435

Författningar som reglerar en verksamhet

SOU 2017:66

uttag av avgift grundas på vad regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om, se t.ex. Riks- försäkringsverkets föreskrifter (RFFS 2004:1) och bestämmelser i avgiftsförordningen (1992:191).

Möjligheterna att ta ut avgift för utlämnande av uppgifter ur socialförsäkringsdatabasen utökas således i viss mån i och med att dataskyddsförordningen träder i kraft. Bestämmelsen i 114 kap. 32 § första stycket första meningen om att avgifter får tas ut behö- ver inte ändras, eftersom den bestämmelsen inte i sig föreskriver att avgifter ska tas ut.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. De be- myndiganden som ges i 114 kap. 32 § första stycket andra meningen behöver därför inte ändras. När bemyndigandet utnyttjas måste dataskyddsförordningen beaktas.

Att rätten att få ta del av allmän handling enligt tryckfrihets- förordningen inte får inskränkas, framgår av artikel 86 i dataskydds- förordningen. Bestämmelsen i 114 kap. 32 § andra stycket påverkas därför inte heller av dataskyddsförordningen.

10.13.13 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 114 kap. 33 § socialförsäk- ringsbalken som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Enligt 114 kap. 33 § socialförsäkringsbalken ska personuppgifts- lagens bestämmelser om rättelse och skadestånd gälla vid behand- ling av personuppgifter enligt 114 kap. eller föreskrifter som med- delats i anslutning till kapitlet. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

436

SOU 2017:66

Författningar som reglerar en verksamhet

10.13.14 Tystnadsplikt

Utredningens bedömning: Bestämmelsen i 114 kap. 35 § social- försäkringsbalken påverkas inte av dataskyddsförordningen och behöver inte ändras.

Av 114 kap. 8 § 2 socialförsäkringsbalken framgår att personupp- gifter får behandlas för tillhandahållande av information som be- hövs för samordning av tjänstepensioner i det för kommunerna och landstingen gemensamma organet för administration av personal- pensioner. Av 114 kap. 20 § framgår att samma organ får ha direkt- åtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för samordning av tjänstepensioner med socialförsäkringsförmåner. Eftersom det för kommunerna och landstingen gemensamma organet för administration av personalpensioner (KPA Pension AB) inte omfattas av offentlighets- och sekretesslagens (2009:400) be- stämmelser, gäller enligt 114 kap. 35 § socialförsäkringsbalken tyst- nadsplikt för den, som genom sin befattning med personuppgifter som inhämtats från socialförsäkringsdatabasen till organet, får känne- dom om uppgifter om enskildas ekonomiska och personliga för- hållanden.

Bestämmelsen påverkas inte av dataskyddsförordningen och be- höver inte ändras.

10.13.15 Överklagande

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelser om överklagande i 114 kap. 36 § socialförsäk- ringsbalken ersätts med en hänvisning till den föreslagna data- skyddslagen.

I 114 kap. 36 § socialförsäkringsbalken upplyses om att i fråga om överklagande av beslut om rättelse eller avslag på ansökan om infor- mation enligt 26 § personuppgiftslagen (registerutdrag) tillämpas bestämmelserna i den lagen. Andra beslut enligt 114 kap. social- försäkringsbalken får inte överklagas.

Eftersom särskilda överklagandebestämmelser gäller för 114 kap. i förhållande till vad som gäller för övriga kapitel i socialförsäk-

437

Författningar som reglerar en verksamhet

SOU 2017:66

ringsbalken, bör hänvisningen till personuppgiftslagen i enlighet med utredningens bedömning i avsnitt 9.20 ersättas med en hän- visning till den föreslagna dataskyddslagen.

10.14 Förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

Utredningens förslag: Bestämmelsen i 3 c § förordningen om behandling av personuppgifter inom socialförsäkringens admi- nistration, som förlorat sin betydelse, upphävs. En övergångs- bestämmelse införs med innebörden att den upphävda bestäm- melsen fortfarande ska tillämpas när kommunalt vårdnadsbidrag har lämnats enligt den upphävda lagen (2008:307) om kommu- nalt vårdnadsbidrag.

Hänvisningen till 114 kap. 6 § andra stycket socialförsäk- ringsbalken i 8 § förordningen om behandling av personuppgif- ter inom socialförsäkringens administration ändras till att avse 114 kap. 6 a § socialförsäkringsbalken.

Utredningens bedömning: Övriga bestämmelser i förordningen behöver inte ändras med anledning av dataskyddsförordningen.

Förordningen om behandling av personuppgifter inom socialför- säkringens administration innehåller i 2–5, 6 och 7 §§ bestämmelser som kompletterar bestämmelserna i 114 kap. socialförsäkrings- balken som utredningen tidigare konstaterat är förenliga med data- skyddsförordningen. Det är utredningens bedömning att de nämnda bestämmelserna i förordningen om behandling av personuppgifter inom socialförsäkringens administration inte behöver ändras.

I 5 a § förordningen om behandling av personuppgifter inom socialförsäkringens administration föreskrivs en sekretessbrytande uppgiftsskyldighet. Uppgiftsskyldigheter är, i enlighet med vad utredningen konstaterat i avsnitt 9.21, lika tillåtna enligt data- skyddsförordningen som enligt dataskyddsdirektivet. Bestämmel-

438

SOU 2017:66

Författningar som reglerar en verksamhet

sen påverkas därför inte av dataskyddsförordningen.36 När upp- giftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskydds- förordningen.

Det kommunala vårdnadsbidraget avskaffades i och med att lagen (2008:307) om kommunalt vårdnadsbidrag upphörde att gälla vid utgången av januari 2016. Med anledning av detta upphävdes 114 kap. 8 § 5 och 23 § socialförsäkringsbalken. Av samma anled- ning bör även 3 c § förordningen om behandling av personuppgifter inom socialförsäkringens administration, som gäller direktåtkomst för kommunala nämnder som handlägger ärenden om vårdnads- bidrag och hänvisar till det nämnda numera upphävda lagrummet, upphävas.

Med anledning av att kommunalt vårdnadsbidrag, till följd av en övergångsbestämmelse, kan betalas ut efter att lagen om kommu- nalt vårdnadsbidrag upphävts, infördes övergångsbestämmelser till ändringarna i socialförsäkringsbalken.37 Enligt övergångsbestäm- melsen gäller äldre föreskrifter fortfarande när kommunalt vård- nadsbidrag har lämnats enligt den upphävda lagen om kommunalt vårdnadsbidrag.38 Motsvarande övergångsbestämmelse bör införas i anslutning till att 3 c § förordningen om behandling av personupp- gifter inom socialförsäkringens administration upphävs.

Utredningen har i avsnitt 10.13.4 föreslagit att personuppgifts- ansvaret inom socialförsäkringens administration inte längre ska framgå av 114 kap. 6 § andra stycket socialförsäkringsbalken. I stället ska personuppgiftsansvaret anges i en ny paragraf, 114 kap. 6 a § socialförsäkringsbalken. Hänvisningen till 114 kap. 6 § andra stycket socialförsäkringsbalken i 8 § förordningen om behandling av personuppgifter inom socialförsäkringens administration bör därmed ändras till att avse 114 kap. 6 a § socialförsäkringsbalken.

36 Regeringen har remissbehandlat ett förslag att införa en sekretessbrytande uppgifts- skyldighet i en ny 5 b § i förordningen om behandling av personuppgifter inom social- försäkringens administration (Ds 2017:3), dnr Ju2017/02026/L7.

37 Prop. 2014/15:147 s. 26.

38 SFS 2015:758.

439

Författningar som reglerar en verksamhet

SOU 2017:66

10.15 Lagen (2010:111) om införande av socialförsäkringsbalken

Utredningens förslag: Bestämmelserna i 9 kap. 22 och 23 §§ lagen om införande av socialförsäkringsbalken om skadestånd behålls i sak, men det förtydligas att 114 kap. 33 § socialförsäk- ringsbalken upphävts och ska tillämpas bara på skadefall som inträffat innan dataskyddsförordningen ska börja tillämpas.

Enligt 9 kap. 22 § lagen om införande av socialförsäkringsbalken ska bestämmelserna i 114 kap. 33 § socialförsäkringsbalken om skadestånd på grund av behandling enligt det kapitlet eller före- skrifter som har meddelats i anslutning till det kapitlet även avse behandling enligt den upphävda lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration eller före- skrifter som har meddelats i anslutning till den lagen. Enligt 9 kap. 23 § lagen om införande av socialförsäkringsbalken gäller detta endast om den omständighet som ett yrkande om skadestånd grundas på har inträffat efter utgången av november 2003. I annat fall tillämpas de dessförinnan gällande bestämmelserna.

Bestämmelsen i 114 kap. 33 § socialförsäkringsbalken är i princip identisk med bestämmelsen om skadestånd i 30 § lagen om behand- ling av personuppgifter inom socialförsäkringens administration. Båda bestämmelserna hänvisar till personuppgiftslagens bestäm- melse om skadestånd.

Dataskyddsutredningen har föreslagit att personuppgiftslagen – och därmed även dess bestämmelse om skadestånd – upphävs.39 Utredningen föreslår i sin tur i avsnitt 10.13.13 att 114 kap. 33 § socialförsäkringsbalken upphävs. Övergångsbestämmelserna i 9 kap. 22 § lagen om införande av socialförsäkringsbalken är dock fort- farande aktuella att tillämpa för behandling av personuppgifter som har skett i strid med lagen om behandling av personuppgifter inom socialförsäkringens administration och bör därför vara kvar. Över- gångsbestämmelserna i 9 kap. 23 § lagen om införande av social- försäkringsbalken bör också vara kvar. Bestämmelserna i 114 kap. 33 § socialförsäkringsbalken bör dock inte tillämpas på skadestånds-

39 SOU 2017:39 s. 78.

440

SOU 2017:66

Författningar som reglerar en verksamhet

yrkanden som grundar sig på omständigheter som inträffat sedan dataskyddsförordningen börjat tillämpas. Utredningen föreslår där- för att bestämmelserna i 9 kap. 22 och 23 §§ lagen om införande av socialförsäkringsbalken behålls i sak, men att det förtydligas att 114 kap. 33 § socialförsäkringsbalken upphävts och ska tillämpas bara på skadefall som inträffat innan dataskyddsförordningen ska börja tillämpas.

10.16 Förordningen (2011:306) om behandling av personuppgifter i Tandvårds-

och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet

10.16.1 Förordningens tillämpningsområde

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om tillämpningsområdet i 1 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser om tillämpningsområdet för registerförfattningarna inte påverkas av dataskyddsförordningen. Bestämmelsen i 1 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet kan alltså behållas.

10.16.2 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 2 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet kan och bör behållas.

441

Författningar som reglerar en verksamhet

SOU 2017:66

Som utredningen angett i avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskyddsförordningen. Bestämmelsen i 2 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet kan och bör därför behållas.

10.16.3 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 3 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet ska innehålla en upplysning om att förordningen kompletterar data- skyddsförordningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av förordningen om behandling av personupp- gifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

10.16.4 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger uttryck för fina- litetsprincipen.

Utredningens bedömning: Ändamålsbestämmelserna i 4 § för- ordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet uppfyller de krav som gäller enligt dataskydds- förordningen och kan behållas.

442

SOU 2017:66

Författningar som reglerar en verksamhet

I 4 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet anges för vilka ändamål personuppgifter får be- handlas inom förordningens tillämpningsområde. Personuppgifter får behandlas om det behövs för att Tandvårds- och läkemedels- förmånsverket ska kunna fatta beslut om utformningen av det stat- liga tandvårdsstödet i fråga om ersättningsberättigande tandvårds- åtgärder, referenspriser för de ersättningsberättigande åtgärderna samt beloppsgränser och ersättningsgrader inom skyddet mot höga kostnader. Personuppgifter får vidare behandlas om det behövs för att genomföra uppföljning av utvecklingen på tandvårdsområdet. De nu berörda ändamålen grundar sig på utförandet av en arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 e i dataskyddsförordningen. Personuppgifter som behandlas för dessa ändamål får dessutom behandlas för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Eftersom uppgiftsskyldigheter framgår av författning, grundar sig det ändamålet företrädesvis på rättsliga förpliktelser enligt artikel 6.1 c i dataskyddsförordningen och – i den mån det inte rör sig om skyldigheter att lämna uppgifter – på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som framgår av avsnitt 9.10.1. De krav på den rättsliga grunden för behandlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utred- ningen konstaterat i samma avsnitt anses uppfyllda utan vidare analys när det gäller ändamål som är reglerade sedan tidigare. Behandling för de ändamål som anges i 4 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verk- samhet i fråga om det statliga tandvårdsstödet är alltså laglig enligt dataskyddsförordningen och de befintliga ändamålen kan och bör därmed behållas.

Finalitetsprincipen

I 4 § andra stycket andra meningen förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verk- samhet i fråga om det statliga tandvårdsstödet finns det en hänvis-

443

Författningar som reglerar en verksamhet

SOU 2017:66

ning till den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen. Det innebär att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in och att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Som anges i avsnitt 9.10.3 kan registerförfattningar även fort- sättningsvis innehålla bestämmelser med innebörden att behandling av personuppgifter för andra ändamål som inte strider mot finalitets- principen är tillåten. Eftersom personuppgiftslagen kommer att upp- höra att gälla, bör bestämmelsen utformas på det sätt som anges i det avsnittet.

10.16.5 Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelsen i 5 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårds- stödet om vilka personuppgifter som får behandlas kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

Tandvårds- och läkemedelsförmånsverket får enligt 5 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårdsstödet endast behandla sådana personuppgifter som anges i 19 a § förord- ningen (2008:193) om statligt tandvårdsstöd. I den bestämmelsen finns det en uppräkning av vilka uppgifter Försäkringskassan ska lämna till Tandvårds- och läkemedelsförmånsverket. De person- nummer, samordningsnummer, organisationsnummer och tand- vårdsmottagningsnummer som lämnas ut av Försäkringskassan ska vara krypterade på ett sådant sätt att identifiering inte är möjlig. Uppgifterna får inte behandlas av Tandvårds- och läkemedels- förmånsverket i syfte att röja en persons identitet.

Som anges i avsnitt 9.13 kan och bör bestämmelser om behand- ling av personnummer behållas. Den specificering som i övrigt görs

444

SOU 2017:66

Författningar som reglerar en verksamhet

i bestämmelsen av vilka personuppgifter som får behandlas stäm- mer väl överens med principen om uppgiftsminimering enligt arti- kel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behöver behandlas av Tandvårds- och läkemedelsförmånsverket har gjorts vid tidigare lagstiftningsarbeten och utredningen har att utgå från att de angivna uppgifterna behövs för de ändamål för vilka uppgifterna behandlas. Medlemsstaterna tillåts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och de kan införa begränsningar för sina myndigheter. Bestämmelserna bör därmed inte ändras.

Känsliga personuppgifter

De uppgifter som Tandvårds- och läkemedelsförmånsverket får be- handla enligt 5 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet omfattar även uppgifter som rör hälsa, dvs. känsliga personuppgifter.

För att behandling av känsliga personuppgifter ska få ske inom den nu aktuella förordningens tillämpningsområde måste alltså verksamheten rymmas inom något av undantagen i artikel 9.2 i dataskyddsförordningen. Utredningen har i avsnitt 9.11.4 redogjort för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Som anges i det avsnittet har det i för- arbetena till lagen (1996:1156) om receptregister ansetts osäkert om 18 § personuppgiftslagen ger tillräckligt stöd för den behand- ling som avses i den lagen.40 Receptregistret förs bl.a. för ändamålet att utgöra underlag för tillämpningen av bestämmelserna om läke- medelsförmåner. Behandlingen av personuppgifter enligt den nu aktuella regleringen sker i det huvudsakliga syftet att utforma det statliga tandvårdsstödet varför det ligger nära till hands att göra samma bedömning som beträffande receptregistret.

40 Prop. 2008/09:145 s. 305.

445

Författningar som reglerar en verksamhet

SOU 2017:66

Behandlingen av känsliga personuppgifter enligt förordningen får enligt utredningens bedömning i vart fall anses nödvändig av hän- syn till ett viktigt allmänt intresse. Behandling av känsliga person- uppgifter är därmed tillåten med stöd av undantaget i artikel 9.2 g i dataskyddsförordningen i enlighet med vad som anges i avsnitt 9.11.3. Regleringen bedöms således vara förenlig med dataskyddsförord- ningen och bör därför behållas.

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Eftersom käns- liga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter inom tillämpningsområdet för förord- ningen om behandling av personuppgifter i Tandvårds- och läke- medelsförmånsverkets verksamhet i fråga om det statliga tandvårds- stödet, påverkar det inte regleringen att nya kategorier av person- uppgifter kommer att vara att bedöma som känsliga enligt data- skyddsförordningen.

10.16.6 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 6 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårds- stödet som anger att behandling av personuppgifter får utföras även om den enskilde motsätter sig den kan och bör behållas.

Behandling av personuppgifter som är tillåten enligt förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårdsstödet får enligt 6 § utföras även om den enskilde motsätter sig det.

Bestämmelsen innebär en begränsning av den rätt som den regi- strerade har att göra invändningar mot behandling av personupp- gifter enligt artikel 21.1 i dataskyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e (allmänt intresse och myndighetsutövning) i dataskyddsförordningen. Större delen av den behandling av personuppgifter som sker enligt den nu aktuella förordningen stödjer sig, som anges i avsnitt 10.16.4, på dessa

446

SOU 2017:66

Författningar som reglerar en verksamhet

grunder. En bedömning måste därför, enligt vad som framgått i avsnitt 9.15.2, göras av om begränsningen av rätten att göra invänd- ningar uppfyller de krav som anges i artikel 23 i dataskyddsförord- ningen.

Det krävs för det första att begränsningen utgör en åtgärd som syftar till att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Målet i punkten e gäller andra av union- ens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skatte- frågor, folkhälsa och social trygghet. Som anges i avsnitt 9.15.2 reglerar registerförfattningar normalt behandling av personuppgifter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. I avsnitt 9.8.2 anges att be- drivande av sådan verksamhet som anges i internationella rättig- hetsstadgor utgör allmänna intressen. Även den verksamhet som bedrivs av Tandvårds- och läkemedelsförmånsverket har samband med sådan verksamhet som anges där och får enligt utredningens bedömning anses utgöra ett sådant generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Begränsningen får också anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett generellt mål av all- mänt intresse. Begränsningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna.

Det är alltså enligt utredningens bedömning möjligt att begränsa den registrerades rätt att göra invändningar mot behandlingen. En sådan begränsning måste dock uppfylla kraven i artikel 23.2 i data- skyddsförordningen på vad lagstiftning som begränsar den registre- rades rättigheter ska innehålla. Utredningen bedömer att bestäm- melser med detta innehåll, i den mån det är relevant, redan finns i förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tand- vårdsstödet.

447

Författningar som reglerar en verksamhet

SOU 2017:66

10.16.7 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelsen om tillgången till per- sonuppgifter i 7 § förordningen om behandling av person- uppgifter i Tandvårds- och läkemedelsförmånsverkets verksam- het i fråga om det statliga tandvårdsstödet kan behållas.

Enligt 7 § förordningen om behandling av personuppgifter i Tand- vårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet ska tillgången till personuppgifter alltid begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Som framgått av avsnitt 9.16.2 utgör bestämmelser som begränsar åtkomsten till personuppgifter säkerhetsåtgärder enligt dataskyddsförordningen. Sådana restriktioner för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i samma avsnitt, ändras med anledning av att dataskyddsförordningen börjar tillämpas. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndig- hetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Bestämmelsen i 7 § förordningen om behandling av personupp- gifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet kan därför behållas.

10.16.8 Information som ska lämnas på begäran

Utredningens bedömning: Bestämmelsen i 8 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedels- förmånsverkets verksamhet i fråga om det statliga tandvårds- stödet som begränsar den registrerades rätt till registerutdrag kan behållas.

I 8 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet anges att bestämmelsen om registerutdrag i 26 §

448

SOU 2017:66

Författningar som reglerar en verksamhet

personuppgiftslagen inte ska gälla för personuppgifter som behand- las för de ändamål som är tillåtna enligt förordningen.

Bestämmelsen begränsar den registrerades rätt till tillgång till de personuppgifter som rör honom eller henne och som behandlas av den personuppgiftsansvarige enligt artikel 15 i dataskyddsförord- ningen. Av artikel 11 i dataskyddsförordningen framgår dock att den personuppgiftsansvarige inte är tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den regi- strerade endast i syfte att följa dataskyddsförordningen, om de ändamål för vilka personuppgifterna behandlas inte kräver eller inte längre kräver att den registrerade identifieras av den personupp- giftsansvarige. Av 19 a § förordningen om statligt tandvårdsstöd följer att de personnummer, samordningsnummer, organisations- nummer och tandvårdsmottagningsnummer som lämnas ut av Försäkringskassan till Tandvårds- och läkemedelsförmånsverket ska vara krypterade på ett sådant sätt att identifiering inte är möjlig. Det innebär, som utredningen förstår det, att Tandvårds- och läke- medelsförmånsverket inte på egen hand kan koppla de uppgifter som verket behandlar till en viss person. Eftersom Tandvårds- och läkemedelsförmånsverket inte har behov av att kunna identifiera individer vid fullgörande av sitt uppdrag, är verket inte heller, enligt artikel 11 i dataskyddsförordningen, skyldigt att inhämta ytterli- gare information för att identifiera den registrerade enbart i syfte att följa dataskyddsförordningens reglering om registerutdrag. Inne- hållet i 8 § förordningen om behandling av personuppgifter i Tand- vårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet är alltså förenligt med dataskyddsförord- ningens reglering.

I enlighet med vad som anges i skäl 8 till dataskyddsförordningen kan medlemsstaterna införliva delar av dataskyddsförordningen i nationell rätt under vissa förutsättningar. Utredningen bedömer med stöd av vad som anges i det skälet att bestämmelsen kan och bör behållas. Det kan dock övervägas om bestämmelsen är nöd- vändig.

449

Författningar som reglerar en verksamhet

SOU 2017:66

10.16.9 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 9 § förordningen om be- handling av personuppgifter i Tandvårds- och läkemedelsförmåns- verkets verksamhet i fråga om det statliga tandvårdsstödet som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Bestämmelsen i 9 § förordningen om behandling av personuppgifter i Tandvårds- och läkemedelsförmånsverkets verksamhet i fråga om det statliga tandvårdsstödet hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd. Sådana bestämmelser bör, i enlighet med utredningens slutsats i avsnitt 9.15.1 och 9.19.1, upphävas.

10.17 Förslag som lämnats i betänkandet Inbyggd integritet inom Inspektionen för socialförsäkringen (SOU 2014:67)

10.17.1 Uppdraget

Enligt utredningsdirektiven bör utredningen överväga vilka anpass- ningar som till följd av dataskyddsförordningen kan behöva göras av det förslag till ny lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen samt av övriga förslag som lämnats i betänkandet SOU 2014:67.

10.17.2 Förslag till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen

Lagens tillämpningsområde

Utredningens bedömning: Tillämpningsområdet i 1 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen behöver inte ändras.

450

SOU 2017:66

Författningar som reglerar en verksamhet

I avsnitt 9.5 har utredningen konstaterat att bestämmelser i register- författningar om på vilken verksamhet, vilka typer av behandlingar och vilka uppgifter författningen ska tillämpas inte i sig påverkas av dataskyddsförordningen. Det tillämpningsområde som föreslås i 1 § förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen behöver därmed inte ändras.

Den enskildes inställning till behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om återkallelse av samtycke i 2 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen bör utgå.

Utredningens bedömning: Bestämmelsen i 2 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen kan innehålla en begränsning av den registrerades rätt att invända mot behandling av person- uppgifter som rör honom eller henne.

Bestämmelsen kan också innehålla en begränsning som inne- bär att viss behandling bara får utföras om den registrerade sam- tyckt till den.

Behandling av personuppgifter som är tillåten enligt förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen föreslås enligt 2 § samma lagförslag få utföras även om den enskilde motsätter sig behandlingen. Detta ska dock inte gälla om personuppgifter samlas in direkt från den enskilde. I sådant fall får personuppgifter behandlas endast om den enskilde har lämnat sitt uttryckliga samtycke till behandlingen.

Rätten att invända mot behandling av personuppgifter

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig

451

Författningar som reglerar en verksamhet

SOU 2017:66

för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se vidare av- snitt 9.15.1). Den behandling som omfattas av tillämpningsområdet för förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen utgör sådan be- handling. Den föreslagna bestämmelsen om att behandling av personuppgifter ska få utföras även om den enskilde motsätter sig den utgör alltså en begränsning av den registrerades rätt att göra invändningar enligt artikel 21 i dataskyddsförordningen.

En sådan bestämmelse förutsätter, i enlighet med vad som fram- går av avsnitt 9.15.2, att de villkor som anges i artikel 23 i data- skyddsförordningen för en begränsning av den registrerades rättig- heter är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. socialförsäkring och pensioner, inklusive den administration dessa verksamheter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e. Även upp- följning och kontroll av sådan verksamhet får anses utgöra ett så- dant allmänt intresse.

En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. Inspektionen för socialförsäkringen, som granskar övrig verksamhet inom socialförsäkringsområdet, har behov av att be- handla personuppgifter helt eller delvis automatiserat för att kunna åstadkomma en effektiv och rättssäker granskning. En delvis manu- ell hantering skulle minska effektiviteten, öka kostnaderna och eventuellt även öka risken för integritetsintrång. Mot bakgrund av det starka intresset av en elektronisk hantering av personuppgif- terna, måste ett undantag från rätten att invända mot behandling av personuppgifter anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Begränsningen kan inte heller anses

452

SOU 2017:66

Författningar som reglerar en verksamhet

strida mot andemeningen i de grundläggande rättigheterna och fri- heterna.

De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen i övrigt.

Utredningen bedömer därmed att förslaget till lag om behand- ling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen kan innehålla en begränsning av den registre- rades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

Samtycke

Om personuppgifter samlas in direkt från den registrerade, får personuppgifter enligt förslaget behandlas endast om den enskilde har lämnat sitt uttryckliga samtycke till behandlingen. Bestämmel- ser i registerförfattningar som innebär att en behandling bara får utföras om den registrerade samtycker utgör, i enlighet med vad utredningen bedömt i avsnitt 9.16.2, en form av skyddsåtgärd och får anses tillåten såsom en begränsning av en myndighets möjlighet att behandla personuppgifter.

I 2 § andra stycket sista meningen i förslaget till lag om behand- ling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen anges att bestämmelserna i 12 § personuppgifts- lagen om återkallelse av lämnat samtycke ska tillämpas på mot- svarande sätt vid behandling av personuppgifter enligt den före- slagna lagen. I artikel 7.3 i dataskyddsförordningen finns det direkt tillämpliga bestämmelser om återkallelse av samtycke. Eftersom personuppgiftslagen ska upphävas och då det finns direkt tillämp- liga bestämmelser om återkallelse av samtycke i dataskyddsförord- ningen, bör bestämmelsen med hänvisning till personuppgiftslagen utgå.

453

Författningar som reglerar en verksamhet

SOU 2017:66

Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 3 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen.

Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om behandling av personuppgifter inom verksam- heten för Inspektionen för socialförsäkringen eller föreskrifter som har meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

Personuppgiftsansvar

Utredningens bedömning: Personuppgiftsansvaret kan anges i enlighet med 4 § förslaget till lag om behandling av personupp- gifter inom verksamheten för Inspektionen för socialförsäk- ringen.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas.

Personuppgiftsombud

Utredningens förslag: Förslaget till lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen ska inte innehålla en bestämmelse med krav på att inspek- tionen ska utse personuppgiftsombud.

Enligt 5 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska inspek- tionen utse ett eller flera personuppgiftsombud. Dataskyddsför- ordningen föreskriver, till skillnad från dataskyddsdirektivet och

454

SOU 2017:66

Författningar som reglerar en verksamhet

personuppgiftslagen, ett krav på utnämning av ett s.k. dataskydds- ombud om behandlingen genomförs av en myndighet. Eftersom dataskyddsförordningen är direkt tillämpning, behöver register- författningar inte innehålla motsvarande bestämmelse om det inte finns ett särskilt behov av förtydligande. Eftersom något sådant särskilt behov inte har framkommit, kan 5 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen utgå.

Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 7 § andra meningen för- slaget till lag om behandling av personuppgifter inom verksam- heten för Inspektionen för socialförsäkringen utgår. I stället hänvisas till artikel 5.1 b i dataskyddsförordningen som ger ut- tryck för finalitetsprincipen.

Utredningens bedömning: Ändamålen i 6 § och 7 § första meningen förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen uppfyller de krav som gäller enligt dataskyddsförordningen och behöver inte ändras.

I 6 § förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen anges de ändamål för vilka det är tänkt att personuppgifter ska få behandlas. Ända- målen avser inspektionens kärnverksamhet – systemgranskning och effektivitetstillsyn inom socialförsäkringsområdet – som i sig är av allmänt intresse. Behandlingen av personuppgifter har därmed stöd i artikel 6.1 e i dataskyddsförordningen.

Enligt 7 § första meningen förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen får personuppgifter behandlas för att fullgöra ett ut- lämnande av uppgifter som sker i överensstämmelse med lag eller förordning. Ett sådant utlämnande är antingen en sådan rättslig för- pliktelse som avses i artikel 6.1 c (uppgiftsskyldighet) eller – i den mån utlämnandet inte grundar sig på en skyldighet att lämna upp-

455

Författningar som reglerar en verksamhet

SOU 2017:66

gifter – av allmänt intresse enligt artikel 6.1 e i dataskyddsförord- ningen.

Det har tillkommit nya krav på den rättsliga grunden för be- handlingen i artikel 6.3 i dataskyddsförordningen. Dessa krav får, i enlighet med vad utredningen konstaterat i avsnitt 9.10.1, anses uppfyllda. Ändamålen i 6 § och 7 § första meningen förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen uppfyller alltså de krav som gäller enligt dataskyddsförordningen och behöver inte ändras.

Finalitetsprincipen

I 7 § andra meningen förslaget till lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen finns det en hänvisning till 9 § första stycket d personupp- giftslagen, den s.k. finalitetsprincipen – att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. Bestämmelsen innehåller också en hänvisning till 9 § andra stycket personuppgiftslagen, där det förtydligas att en behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I enlighet med vad utredningen konstaterat i avsnitt 9.10.3, bör det i registerförfattningar även fortsättningsvis finnas en bestämmelse som klargör att de i författningen angivna ändamålen inte är uttömmande. Förslaget till bestämmelse bör på grund av personuppgiftslagens upphörande ut- formas i enlighet med vad som anges i det avsnittet.

456

SOU 2017:66

Författningar som reglerar en verksamhet

Känsliga personuppgifter och uppgifter om lagöverträdelser

Utredningens förslag: Bestämmelsen i 8 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen som tillåter behandling av känsliga personuppgifter ska omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen.

Hänvisningen till personuppgiftslagens definition av uppgifter om lagöverträdelser utgår. I stället anges det uttryckligen vilka uppgifter som omfattas av regleringen.

Utredningens bedömning: I övrigt föranleder dataskyddsför- ordningen inget behov av ändring av förslaget till bestämmelse om behandling av känsliga personuppgifter och uppgifter om lag- överträdelser.

Enligt 8 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska känsliga personuppgifter och uppgifter om lagöverträdelser få behandlas om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende.

Möjligheten att behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse förändras inte när dataskyddsförordningen börjar tillämpas; detta har utredningen konstaterat i avsnitt 9.8.3. Inspektionen för socialförsäkringen kan alltså tillåtas att behandla känsliga personuppgifter med stöd av ett undantag enligt artikel 9.2 g i dataskyddsförordningen.

Begränsningarna av under vilka förutsättningar känsliga person- uppgifter får behandlas får anses utgöra sådana lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs vid behandling av känsliga person- uppgifter av hänsyn till ett viktigt allmänt intresse enligt artikel 9.2 g i dataskyddsförordningen. Det finns därmed grund för begräns- ningarna.

Dataskyddsförordningen innehåller några nya kategorier av känsliga personuppgifter – genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgif- ter om sexuell läggning. Även de nytillkomna uppgifterna bör om- fattas av den särskilda regleringen av behandling av känsliga person-

457

Författningar som reglerar en verksamhet

SOU 2017:66

uppgifter i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen i enlighet med vad utredningen kommit fram till i avsnitt 9.11.6.

Myndigheters möjligheter att behandla personuppgifter om lag- överträdelser påverkas i enlighet med vad som framgår av av- snitt 9.12 inte av dataskyddsförordningen. Som också framgår av det avsnittet anser utredningen att begränsningar som gäller upp- gifter om lagöverträdelser bör omfatta samtliga personuppgifter som avses i 21 § personuppgiftslagen och inte bara de som omfattas av artikel 10 i dataskyddsförordningen. Sådana begränsningar kan, i enlighet med vad utredningen bedömt i det avsnittet, införas utan hinder av dataskyddsförordningen.

Säkerhetsåtgärder

Utredningens bedömning: Dataskyddsförordningen föranleder inget behov av ändring av de föreslagna bestämmelserna om säkerhetsåtgärder i 9–14 §§ i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen.

I 9 § förslaget till lag om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen anges att det vid inspektionen ska finnas en integritetsskyddsfunktion. Funktionen ska ha till uppgift att lagra de uppgifter som lämnas till eller hämtas in av inspektionen på ett säkert sätt, förse uppgifter som är direkt hänförliga till enskilda med en beteckning innan de görs tillgängliga för berörda befattningshavare i ett tillsyns- eller granskningsärende (projektmedarbetare), så att sådana medarbetare normalt inte får tillgång till personuppgifter som är direkt hänförliga till enskilda, bereda inspektionen direktåtkomst till uppgifter i socialförsäk- ringsdatabasen, administrera behörigheter, bl.a. genom att styra åtkomsten för projektmedarbetare i tillsyns- eller granskningsären- den till uppgifter lagrade på inspektionens servrar och till socialför- säkringsdatabasen, när de befattningshavare hos inspektionen som har till uppgift att sköta integritetsskyddsfunktionen (informations- ansvariga) av administrativa skäl måste delegera en sådan åtkomst

458

SOU 2017:66

Författningar som reglerar en verksamhet

till en projektmedarbetare.41 Funktionen får anses vara en sådan säkerhetsåtgärd som utredningen avser i avsnitt 9.16.2.

Även den föreslagna särskilda beredningsordningen enligt för- slaget till 10 §, villkor för behörighetstilldelning enligt förslaget till 11 §, dokumentation och kontroll av elektronisk åtkomst till per- sonuppgifter enligt förslaget till 12 §, förbud mot sammanföring av uppgifter i syfte att ta reda på en enskilds identitet i förslaget till 13 § och regler för utlämnande av personuppgifter på medium för automatiserad behandling och genom direktåtkomst i förslaget till 14 § får anses utgöra sådana säkerhetsåtgärder som utredningen avser i avsnitt 9.16.2. Sådana säkerhetsåtgärder kan en myndighet utan vidare åläggas i nationell rätt i enlighet med vad utredningen konstaterat i samma avsnitt. Åtgärderna kan också införas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen när grunden för behandlingen är att den bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen. Det finns således inget behov av ändring av de före- slagna bestämmelserna om säkerhetsåtgärder i 9–14 §§ i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen.

I flera av de nu berörda bestämmelserna anges att regeringen kan meddela föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom dessa områden eller att föreskrifts- rätten delegeras. Någon ändring behöver därmed inte göras i dessa bestämmelser.

Information som ska lämnas på begäran

Utredningens förslag: Hänvisningen till personuppgiftslagen i 15 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ändras till att avse artikel 15 i dataskyddsförordningen.

41 SOU 2014:67 s. 128.

459

Författningar som reglerar en verksamhet

SOU 2017:66

Enligt 15 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska ett s.k. registerutdrag inte behöva omfatta uppgifter som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild. Förslaget grundar sig delvis på omständigheten att en del av de upp- gifter som inspektionen behandlar inte kommer att kunna hänföras till en registrerad utan bistånd från andra myndigheter. I andra fall kan det visserligen vara tekniskt möjligt för inspektionen att sam- manställa ett registerutdrag, men för detta måste i så fall de kod- nycklar som förvaras hos en särskild integritetsskyddsfunktion utnyttjas, vilket bedöms utgöra ett integritetsintrång.42

Av artikel 15 i dataskyddsförordningen framgår att den registre- rade ska ha rätt att få tillgång till bl.a. de personuppgifter om den registrerade som den personuppgiftsansvarige behandlar. Förslaget till 15 § i förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen skulle inne- bära en begränsning av den rättigheten. Enligt artikel 11 i data- skyddsförordningen ska emellertid den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare in- formation för att identifiera den registrerade endast i syfte att följa dataskyddsförordningen, om de ändamål för vilka den personupp- giftsansvarige behandlar personuppgifter inte kräver att den regi- strerade identifieras av den personuppgiftsansvarige. Tanken med att förse personuppgifter med en sådan beteckning som avses i förslaget till 15 §, är att granskningen inte förutsätter identifiering av en individ. Inspektionen för socialförsäkringen ska då enligt artikel 11 i dataskyddsförordningen inte heller behöva förvärva eller behandla ytterligare information, dvs. t.ex. kodnyckeln hos inspektionens integritetsskyddsfunktion, för att identifiera den regi- strerade i syfte att kunna ta fram ett registerutdrag. Enligt skäl 8 till dataskyddsförordningen finns det vissa möjligheter att införliva delar av dataskyddsförordningen i nationell rätt. Förslaget till be- stämmelse bedöms därför förenligt med dataskyddsförordningen, men det kan övervägas om bestämmelsen behövs.

Bestämmelsen behöver omarbetas genom att en hänvisning görs till artikel 15 i dataskyddsförordningen, eftersom personuppgifts- lagen upphävs och dataskyddsförordningen ska börja tillämpas. Hän-

42 SOU 2014:67 s. 185.

460

SOU 2017:66

Författningar som reglerar en verksamhet

visningen bör vara dynamisk, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom artikel 15 i dataskyddsförordningen är direkt tillämplig.

Gallring

Utredningens förslag: Bestämmelsen i 16 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen om gallring ändras inte i sak, men formuleringen av historiska, statistiska eller vetenskapliga ända- mål ändras till den formulering som används i dataskydds- förordningen.

Utredningen fastslår i avsnitt 9.17.2 att bestämmelser i register- författningar om gallring och bevarande inte behöver ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Detsamma gäller delegationsbestäm- melser som ger rätt att meddela föreskrifter om att uppgifter får bevaras för en viss tid och för vissa ändamål. Någon förändring i sak av 16 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen är därmed inte nödvändig. Förslaget till formulering av historiska, statistiska och vetenskapliga ändamål bör dock, i enlighet med vad utredningen konstaterar i samma avsnitt, ändras till den formulering som an- vänds i dataskyddsförordningen.

Rättelse och skadestånd

Utredningens förslag: Förslaget till lag om behandling av person- uppgifter inom verksamheten för Inspektionen för socialförsäk- ringen bör inte innehålla hänvisningar till personuppgiftslagens bestämmelser om rättelse och skadestånd.

461

Författningar som reglerar en verksamhet

SOU 2017:66

Förslaget till lag bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, inte innehålla hänvisningar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Den före- slagna 17 § kan därför utgå.

10.17.3 Övriga författningsförslag

Utredningens bedömning: Övriga förslag till författningsänd- ringar i betänkandet SOU 2014:67 behöver inte ändras med an- ledning av dataskyddsförordningen.

Uppgifter från Arbetsförmedlingen

Enligt förslag till ändring i 5 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska Arbetsförmedlingen som ett nytt sekundärt ändamål få behandla personuppgifter för tillhandahållande av information som behövs inom verksamhet vid Inspektionen för socialförsäkringen som avser systemtillsyn och effektivitetsgranskning. Förslaget kompletteras med ett förslag till en ny 7 g § i förordningen (2002:623) om be- handling av personuppgifter i den arbetsmarknadspolitiska verksam- heten, som bryter sekretessen när Inspektionen för socialförsäk- ringen begär uppgifter för sin systemtillsyn och effektivitetsgransk- ning från Arbetsförmedlingen. Enligt ett nytt fjärde stycke i 12 § samma förordning ska utlämnandet av uppgifter få ske på medium för automatiserad behandling.

Utredningen har inte till uppgift att analysera behovet av uppgif- ter eller det eventuella integritetsintrång utlämnandet av uppgifter medför – en sådan analys har genomförts av den utredning som lämnat förslagen. I förhållande till dataskyddsförordningen kan konstateras att utlämnandet sker med stöd av en rättslig förplik- telse enligt artikel 6.1 c i dataskyddsförordningen, i och med att utlämnandet regleras genom en uppgiftsskyldighet. Grunden för den rättsliga förpliktelsen kan härledas till den verksamhet som ska bedrivas av Inspektionen för socialförsäkringen enligt förordningen med instruktion för Inspektionen för socialförsäkringen. De krav som ställs på den rättsliga grunden för behandlingen enligt arti-

462

SOU 2017:66

Författningar som reglerar en verksamhet

kel 6.3 i dataskyddsförordningen får, med hänsyn till detta och i enlighet med vad utredningen konstaterat i avsnitt 9.10.1, anses uppfyllda.

Förutsättningarna för uppgiftsskyldigheter förändras inte i och med att dataskyddsförordningen börjar gälla, se avsnitt 9.21.

Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen, får det, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ske på vilket sätt som helst – t.ex. på medium för automatiserad behandling – så länge tillräckliga säkerhetsåtgärder vidtas. De säker- hetsåtgärder som föreskrivs i lagen respektive förordningen om behandling av personuppgifter i den arbetsmarknadspolitiska verk- samheten får anses tillräckliga.

Uppgifter från Försäkringskassan och Pensionsmyndigheten

I 114 kap. 23 a § socialförsäkringsbalken föreslås en ny bestäm- melse som ger Inspektionen för socialförsäkringen direktåtkomst till personuppgifter i socialförsäkringsdatabasen i den utsträckning det behövs för utlämnande av uppgifter med stöd av en uppgifts- skyldighet.

I enlighet med vad utredningen konstaterat i avsnitt 9.16.2 får utlämnande ske på vilket sätt som helst så länge tillräckliga säker- hetsåtgärder vidtas. De säkerhetsåtgärder som föreskrivs i 114 kap. socialförsäkringsbalken och förslaget till lag om behandling av per- sonuppgifter inom verksamheten för Inspektionen för socialför- säkringen får anses tillräckliga.

Verksamhet hos Inspektionen för socialförsäkringen

Förslaget till två nya paragrafer, 7 a och 7 b §§, i förordningen (2009:602) med instruktion för Inspektionen för socialförsäk- ringen, är kopplat till förslaget om en ny integritetsfunktion och särskild beredningsordning i 9 och 10 §§ förslaget till lag om be- handling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. Utredningen har beträffande dessa förslag gjort sin bedömning i avsnitt 10.17.2.

463

Författningar som reglerar en verksamhet

SOU 2017:66

Förslag till lag om ändring i lagen (2001:99) om den officiella statistiken

Förslaget till ändring av 16 och 17 §§ lagen (2001:99) om den offici- ella statistiken avser att skapa förutsättningar för Inspektionen för socialförsäkringen att bedriva sin verksamhet utan att myndigheten behöver behandla alla personuppgifter i form av uppgifter som direkt kan hänföras till en enskild. Sådana uppgifter som inte kan hänföras till en enskild är att anse som personuppgifter om en nyckel kan koppla uppgifterna till en individ. Förslaget är främst att anse som en säkerhetsåtgärd som, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, är tillåten att införa för en myndighet. Det ligger också i linje med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen.

Sekretess

Förslaget till ändring i 7 § offentlighets- och sekretessförordningen (2009:641) innebär en utökning av statistiksekretessen och påver- kas inte av dataskyddsförordningen.

Redaktionella ändringar

Förslaget till ändringar i 7 b § förordningen (2001:588) om behandling av uppgifter i Skatteverkets beskattningsverksamhet och 5 a § för- ordningen (2003:766) om behandling av personuppgifter inom social- försäkringens administration utgör endast redaktionella ändringar som inte påverkas av dataskyddsförordningen.

464

11 Författningar

som reglerar ett register eller en informationssamling

11.1 Lagen (1996:1156) om receptregister

11.1.1 Inledning

I Ds 2016:44 föreslås en ny lag om nationell läkemedelslista som ska ersätta lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Förslaget syftar till att skapa en samlad bild av en patients läkemedelsbehandling. Lagen föreslås träda i kraft den 1 juli 2018. Tills vidare gäller dock lagen om receptregister. Utred- ningen gör därför en analys av lagens bestämmelser i detta avsnitt.

11.1.2 Förande av receptregistret

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om förande av recept- register i 1 § lagen om receptregister. Även bestämmelsen i 2 § kan behållas.

I 1 § lagen om receptregister finns det en bestämmelse om att E-hälso- myndigheten med hjälp av automatiserad behandling får föra ett register över förskrivningar av läkemedel och andra varor för män- niskor (receptregister). I 2 § lagen om receptregister finns det en förklaring av vad som avses med begreppet landsting.

Dataskyddsförordningen påverkar inte möjligheten att föreskriva att ett visst register får föras. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens

465

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

bestämmelser. Definitionen av begreppet landsting föranleder inte några överväganden i förhållande till dataskyddsförordningen.

11.1.3 Förhållandet till annan dataskyddsreglering

Utredningens förslag: I 3 § lagen om receptregister ska det finnas en upplysning om att lagen kompletterar dataskyddsförordningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om receptregister eller föreskrifter som med- delats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

11.1.4 Den enskildes inställning till behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 4 § lagen om recept- register om den enskildes inställning till behandlingen av person- uppgifter kan och bör behållas.

Rätten att invända mot behandling av personuppgifter

Behandling av personuppgifter som är tillåten enligt lagen om receptregister får enligt 4 § första stycket lagen om receptregister utföras även om den enskilde motsätter sig behandlingen.

Bestämmelsen begränsar den registrerades rätt att göra invänd- ningar mot behandling av personuppgifter enligt artikel 21.1 i data- skyddsförordningen när det gäller behandling som grundar sig på artikel 6.1 e i dataskyddsförordningen (allmänt intresse och myn- dighetsutövning). En stor del av den behandling av personuppgifter som sker enligt lagen om receptregister stödjer sig, som anges nedan i avsnitt 11.1.6, på denna grund. För att bestämmelsen ska kunna behållas måste, enligt vad som angetts i avsnitt 9.15.2, be- gränsningen av den registrerades rätt att göra invändningar uppfylla de krav som anges i artikel 23 i dataskyddsförordningen.

466

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Ett av kraven innebär att begränsningen ska utgöra en åtgärd som syftar till att säkerställa något av de mål som anges i arti- kel 23.1 i dataskyddsförordningen. Målet i punkten e gäller andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga eko- nomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. Som anges i avsnitt 9.15.2 reglerar registerförfattningar normalt behandling av personuppgif- ter som rör sådana viktiga mål av generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. I avsnitt 9.8.2 anges att bedrivande av sådan verksamhet som anges i internationella rättighetsstadgor utgör allmänna intressen. Den verksamhet som bedrivs av E-hälsomyndigheten har samband med sådan verksam- het. Enligt utredningens bedömning är förandet av receptregistret ett sådant generellt allmänt intresse som avses i artikel 23.1 e i dataskyddsförordningen. Begränsningen får också anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett generellt mål av allmänt intresse. Begräns- ningen strider inte heller mot andemeningen i de grundläggande rättigheterna och friheterna.

Det är alltså enligt utredningens bedömning möjligt att begränsa den registrerades rätt att göra invändningar mot behandlingen. Be- gränsningen måste dock uppfylla kraven i artikel 23.2 i dataskydds- förordningen som anger vilket innehåll lagstiftning som begränsar den registrerades rättigheter ska ha. Bestämmelser med detta inne- håll finns redan i lagen om receptregister, i den mån det är relevant.

Samtycke som grund för behandlingen

Behandling av personuppgifter som inte är tillåten enligt lagen om receptregister får, enligt 4 § andra stycket, ändå utföras, om den en- skilde har lämnat ett uttryckligt samtycke till behandlingen. I enlig- het med vad som anges i avsnitt 9.10.2 kan och bör den bestäm- melsen behållas.

467

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.1.5 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 5 § lagen om receptregister kan och bör behållas.

Som framgått av avsnitt 9.7 behöver bestämmelser om vem som är personuppgiftsansvarig inte ändras med anledning av dataskydds- förordningen. Bestämmelsen i 5 § lagen om receptregister kan och bör därför behållas.

11.1.6 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 7 § lagen om receptregister tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförord- ningen som ger uttryck för finalitetsprincipen.

Utredningens bedömning: Ändamålsbestämmelserna i 6 § lagen om receptregister uppfyller de krav som gäller enligt dataskydds- förordningen och kan och bör behållas. Även krav på samtycke och begränsningar i vissa fall av vilka personuppgifter som får behandlas kan behållas.

Personuppgifter får behandlas när det är nödvändigt för de ändamål som anges i 6 § lagen om receptregister. Receptregistrets huvudsak- liga ändamål är registrering och expediering av e-recept, expediering av pappersrecept samt registrering av underlag för tillämpningen av bestämmelserna om läkemedelsförmåner. Registret används vidare för att hantera recept som avser flera uttag. Flera av ändamålen är även kopplade till sådana uppgiftsskyldigheter som regleras i 12–18 a § lagen om receptregister. Ändamålen i lagen om recept- register grundar sig på artikel 6.1 c och e i dataskyddsförordningen (rättslig förpliktelse och arbetsuppgift av allmänt intresse).

Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte i enlighet med vad som anges i av- snitt 9.10.1. De krav på den rättsliga grunden för behandlingen som tillkommit i artikel 6.3 i dataskyddsförordningen får i enlighet med vad utredningen konstaterat i samma avsnitt anses uppfyllda utan

468

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

vidare analys när det gäller ändamål som är reglerade sedan tidigare. Behandling för de ändamål som anges i 6 §1 lagen om receptregister är alltså laglig enligt dataskyddsförordningen och de befintliga ända- målen kan och bör därmed behållas.

Krav på samtycke och begränsningar av vilka personuppgifter som får behandlas

Vid behandling för några av de i 6 § lagen om receptregister angivna ändamålen krävs den registrerades samtycke. En sådan begränsning är tillåten för myndigheter. Eftersom ändamålen grundar sig på arti- kel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse och arbetsuppgift av allmänt intresse), får bestämmelserna, i enlighet med vad som anges i avsnitt 9.10.2, anses tillåtna även för enskilda såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen. Bestämmelserna om krav på samtycke är därmed förenliga med dataskyddsförordningens reglering och kan behållas.

I 6 § andra och tredje styckena lagen om receptregister finns det en bestämmelse som begränsar vilka uppgifter som får behandlas för vissa av de angivna ändamålen. Att på detta sätt begränsa vilka personuppgifter som får behandlas är förenligt med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Över- väganden kring vilka uppgifter som behöver behandlas av E-hälso- myndigheten har gjorts vid tidigare lagstiftningsarbeten och utred- ningen har att utgå från att de angivna uppgifterna behövs för de ändamål för vilka uppgifterna behandlas. Medlemsstaterna tillåts som framgått ovan att införa preciseringar i den nationella lagstift- ningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller då begränsningarna bara avser en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelserna om vilka uppgifter som får behandlas för vilka ändamål behöver därmed inte ändras.

1 I SOU 2017:15 och Ds 2017:14 föreslås vissa ändringar av 6 § lagen om receptregister träda i kraft den 1 juli 2018.

469

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

Finalitetsprincipen

Enligt 7 § lagen om receptregister gäller den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen vid be- handling som sker enligt lagen om receptregister. Det innebär att personuppgifter inte får behandlas för något ändamål som är oför- enligt med det för vilket uppgifterna samlades in samt att behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka upp- gifterna samlades in.

Som anges i avsnitt 9.10.3 kan registerförfattningar i förtydli- gande syfte även fortsättningsvis innehålla bestämmelser som inne- bär att behandling av personuppgifter för andra ändamål som inte strider mot finalitetsprincipen är tillåten. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet.

11.1.7 Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelsen i 8 § lagen om recept- register om vilka personuppgifter receptregistret får innehålla kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

I 8 § lagen om receptregister anges vilka personuppgifter recept- registret får innehålla.

En specificering av vilka personuppgifter som får behandlas är i linje med principen om uppgiftsminimering enligt artikel 5.1 c i data- skyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden kring vilka uppgifter som behöver behandlas som har gjorts vid tidigare lagstiftningsarbeten. Medlemsstaterna tillåts som redan nämnts att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och därför att de bara begränsar en myndighets möjligheter till behandling av person- uppgifter. Bestämmelsen bör därmed inte ändras.

470

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Känsliga personuppgifter

De personuppgifter som E-hälsomyndigheten får behandla enligt 8 § lagen om receptregister omfattar uppgifter som rör hälsa, dvs. känsliga personuppgifter.

För att känsliga personuppgifter ska få behandlas i receptregistret måste behandlingen rymmas inom något av undantagen i artikel 9.2 i dataskyddsförordningen. Utredningen har i avsnitt 9.11.4 redo- gjort för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Som framgår av det ovan nämnda av- snittet har det i förarbetena ansetts osäkert om hälso- och sjuk- vårdsundantaget i 18 § personuppgiftslagen ger tillräckligt stöd för den behandling som avses i lagen om receptregister.2

Förandet av receptregistret får enligt utredningens bedömning i vart fall anses nödvändigt av hänsyn till ett viktigt allmänt intresse. Behandling av känsliga personuppgifter är därmed tillåten med stöd av undantaget i artikel 9.2 g i dataskyddsförordningen i enlighet med vad som anges i avsnitt 9.11.3. Regleringen bedöms således vara förenlig med dataskyddsförordningen och bör behållas.

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen gene- tiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter får behandlas i receptregistret under samma förut- sättningar som andra personuppgifter, påverkar det inte regleringen att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen.

2 Prop. 2008/09:145 s. 305.

471

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.1.8 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 9–11 §§, 14 § tredje stycket, 22 och 23 §§ lagen om receptregister om sökbegräns- ningar, utlämnande på medium för automatiserad behandling, direktåtkomst, krav på kryptering, behörighetstilldelning och åtkomstkontroll kan behållas.

I 9–11 §§, 14 § tredje stycket, 22 och 23 §§ lagen om receptregister finns det bestämmelser om sökbegränsningar, utlämnande på medium för automatiserad behandling, direktåtkomst, krav på kryptering, behörighetstilldelning och åtkomstkontroll. Som framgått av av- snitt 9.16.2 utgör detta säkerhetsåtgärder enligt dataskyddsförord- ningen. Krav på säkerhetsåtgärder för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att dataskyddsförordningen börjar tillämpas. Be- stämmelserna får också anses vara sådana preciseringar som tillåts enligt artikel 6.2 och 6.3 i dataskyddsförordningen när det gäller reglering av behandling som grundar sig på en rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning enligt artikel 6.1 c och e i dataskyddsförordningen. Bestäm- melserna i 9–11 §§, 14 § tredje stycket, 22 och 23 §§ lagen om recept- register kan därför behållas.

Vissa av de nu berörda bestämmelserna ger regeringen eller den myndighet som regeringen bestämmer rätt att meddela föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas inom dessa områden eller att föreskriftsrätten delegeras. Någon ändring behöver därför inte göras när det gäller dessa bemyndiganden.

11.1.9 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i 12–18 a §§ lagen om receptregister kan behållas.

472

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

I 12–18 a §§3 lagen om receptregister finns det bestämmelser om skyldighet för E-hälsomyndigheten att lämna uppgifter till andra aktörer. Som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt data- skyddsförordningen som enligt dataskyddsdirektivet. Bestämmel- serna om uppgiftsskyldighet påverkas således inte av dataskydds- förordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den personuppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

11.1.10 Gallring

Utredningens bedömning: Bestämmelsen om gallring i 19 § lagen om receptregister kan behållas.

I avsnitt 9.17.2 har utredningen gjort bedömningen att bestämmel- ser i registerförfattningar om gallring och bevarande inte behöver ändras om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskydds- förordningen. Bestämmelsen om gallring i 19 § lagen om recept- register kan därmed behållas.

11.1.11 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 20 § lagen om receptregister som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upp- lysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till bestämmelsen om skadestånd i lagen om receptregister ersätts med en hänvisning till dataskydds- förordningen och dataskyddslagen. Bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen.

3 I SOU 2017:15 föreslås vissa ändringar av 18 och 18 a §§ lagen om receptregister träda i kraft den 1 juli 2018.

473

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

I 20 § lagen om receptregister finns det en bestämmelse som anger vilken information den personuppgiftsansvarige ska lämna till den registrerade. Bestämmelsen utgör en precisering av personuppgifts- lagens bestämmelser om information. I övrigt gäller alltså person- uppgiftslagens bestämmelser i 23–27 §§ vid behandling av person- uppgifter som sker enligt lagen om receptregister.

Hur dataskyddsförordningens reglering av den personuppgifts- ansvariges skyldighet att lämna information till den registrerade ser ut framgår av avsnitt 9.15.1. Informationsskyldigheten i dataskydds- förordningen omfattar flera av de upplysningar som informationen enligt lagen om receptregister ska innehålla. I 20 § lagen om recept- register anges dock även vissa upplysningar som inte ingår i informationsskyldigheten enligt dataskyddsförordningen, nämligen upplysning om de tystnadsplikt- och säkerhetsbestämmelser som gäller för registret, rätten till skadestånd samt de begränsningar som gäller i fråga om sökbegrepp. Det finns också vissa upplysningar som omfattas endast av antingen artikel 13, som gäller när upp- gifterna har samlats in från den registrerade, eller artikel 14 i data- skyddsförordningen, som gäller när uppgifterna har samlats in från någon annan än den registrerade, nämligen vilka uppgifter registret får innehålla och att registreringen, med undantag för vissa ända- mål, inte är frivillig. Enligt dataskyddsförordningen ska informa- tionen dessutom omfatta vissa upplysningar som inte framgår av lagen om receptregister.

Bestämmelserna i lagen om receptregister som innebär att mer information än vad som krävs enligt dataskyddsförordningens reglering ska lämnas kan, i enlighet med den bedömning utred- ningen har gjort i avsnitt 9.15.1, behållas med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Det kan inte anses innebära några särskilda svårigheter för den personuppgiftsansvarige att uppfylla de få nya kraven på information till den registrerade som föreskrivs i dataskyddsförordningen. Det finns därför, enligt den bedömningen utredningen gjort i avsnitt 9.15.2, inte skäl att överväga en begräns- ning av den registrerades rätt till information.

Den personuppgiftsansvarige bör alltså lämna såväl den infor- mation som följer av dataskyddsförordningen som den information som ska lämnas enligt lagen om receptregister. Bestämmelsen i 20 § lagen om receptregister bör därför, på det sätt som anges i av- snitt 9.15.1, komplettera och hänvisa till reglerna om information i

474

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

dataskyddsförordningen. Hänvisningen till bestämmelsen om skade- stånd i lagen om receptregister, som utredningen i avsnitt 11.1.13 föreslår ska upphävas, bör ersättas med en hänvisning till bestäm- melserna om skadestånd i dataskyddsförordningen och dataskydds- lagen. Hänvisningen till dataskyddsförordningen bör vara av dynamisk karaktär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om informa- tion bör tas bort. Även det som anges i 20 § första stycket om att den som är personuppgiftsansvarig ska se till att den registrerade får information om behandlingen av personuppgifter kan tas bort, eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige ska lämna viss ytterligare information utöver vad som framgår av dataskydds- förordningen.

11.1.12 Upplysningsbestämmelse

Utredningens bedömning: Bestämmelsen i 21 § lagen om recept- register som upplyser om bestämmelser i offentlighets- och sekretesslagen (2009:400) påverkas inte av dataskyddsförord- ningen.

Bestämmelsen i 21 § lagen om receptregister innehåller en upplys- ning om att det finns bestämmelser om begränsningar i rätten att lämna ut uppgifter i offentlighets- och sekretesslagen (2009:400). Eftersom bestämmelsen endast upplyser om annan lagstiftning, behöver någon bedömning mot dataskyddsförordningens bestäm- melser inte göras.

475

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.1.13 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 24 § lagen om recept- register som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Bestämmelsen i 24 § lagen om receptregister hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Den be- stämmelsen bör, i enlighet med vad utredningen kommit fram till i avsnitt 9.15.1 och 9.19.1, upphävas.

11.1.14 Avgifter

Utredningens bedömning: Bestämmelsen om avgifter i 25 § lagen om receptregister kan och bör behållas.

E-hälsomyndigheten får enligt 25 § lagen om receptregister ta ut avgifter av öppenvårdsapoteken för att täcka kostnaderna för att föra receptregistret. Regeringen, eller den myndighet som reger- ingen bestämmer, får meddela ytterligare föreskrifter om avgift- erna. Dataskyddsförordningen reglerar inte frågan om avgifter för registerföring. Sådana bestämmelser utgör inte dataskyddsbestäm- melser och påverkas därför inte av dataskyddsförordningen. Data- skyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Det bemyn- digande som ges i 25 § lagen om receptregister behöver därför inte ändras.

11.1.15 Bemyndigande

Utredningens bedömning: Bestämmelsen om föreskriftsrätt för regeringen eller den myndighet regeringen bestämmer i 26 § lagen om receptregister kan och bör behållas.

476

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Regeringen, eller den myndighet som regeringen bestämmer, får enligt 26 § lagen om receptregister meddela föreskrifter om koder för förskrivningsorsak enligt 8 §. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bestämmelsen kan därmed behållas.

11.2 Förordningen (2009:625) om receptregister

Utredningens bedömning: Delegationsbestämmelserna i förord- ningen om receptregister kan behållas.

I förordningen om receptregister finns det bestämmelser som ger Datainspektionen, E-hälsomyndigheten och Socialstyrelsen viss före- skriftsrätt. De bestämmelser i lagen om receptregister som före- skriftsrätten utgår från har bedömts vara förenliga med dataskydds- förordningen. Dataskyddsförordningen hindrar inte att föreskrifts- rätten delegeras. Bestämmelserna i förordningen om receptregister kan därmed behållas.

11.3 Lagen (2005:258) om läkemedelsförteckning

11.3.1 Inledning

I Ds 2016:44 föreslås en ny lag om nationell läkemedelslista som ska ersätta lagen (1996:1156) om receptregister och lagen (2005:258) om läkemedelsförteckning. Förslaget syftar till att skapa en samlad bild av en patients läkemedelsbehandling. Lagen föreslås träda i kraft den 1 juli 2018. Tills vidare gäller dock lagen om läkemedelsförteckning. Utredningen gör därför en analys av lagens bestämmelser i detta avsnitt.

477

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.3.2 Skyldighet att föra register

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om förande av läkemedels- förteckning i 1 § första stycket lagen om läkemedelsförteckning.

I 1 § första stycket lagen om läkemedelsförteckning finns det en bestämmelse som anger att E-hälsomyndigheten ska föra ett auto- matiserat register över köp av förskrivna läkemedel (läkemedels- förteckning) Bestämmelsen föreskriver en rättslig förpliktelse. Den innehåller också en förklaring av vad som avses med begreppet köp.

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser. Definitionen av begreppet köp föranleder inte några överväganden i förhållande till dataskyddsförordningen.

11.3.3 Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 1 § andra stycket lagen om läkemedelsförteckning.

Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar inte ändras med anledning av dataskyddsförordningen. Bestämmelsen i 1 § andra stycket lagen om läkemedelsförteckning kan och bör därför behållas.

11.3.4 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 2 § lagen om läkemedels- förteckning ska innehålla en upplysning om att lagen komplette- rar dataskyddsförordningen.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om läkemedelsförteckning eller före- skrifter som meddelats med stöd av den.

478

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

11.3.5 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 2 § andra stycket lagen om läkemedelsförteckning om den enskildes inställning till behandlingen av personuppgifter kan behållas.

I 2 § andra stycket lagen om läkemedelsförteckning anges att en registrerad inte har rätt att motsätta sig sådan behandling av person- uppgifter som är tillåten enligt lagen utom i de fall som avses i 3 § andra stycket, dvs. när behandlingen förutsätter samtycke.

Rätten att göra invändningar enligt artikel 21 i dataskyddsför- ordningen gäller endast behandling som grundar sig på artikel 6.1 e eller f (allmänt intresse, myndighetsutövning eller intresseavväg- ning) i dataskyddsförordningen. Utredningen har nedan i av- snitt 11.3.6 konstaterat att den behandling som sker enligt lagen om läkemedelsförteckning grundar sig på en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Vid sådan behandling ger dataskyddsförordningen inte den registrerade någon rätt att invända. Utredningen bedömer att det är förenligt med skäl 8 till dataskyddsförordningen att behålla bestämmelsen, trots att det följer redan av dataskyddsförordningens reglering att den registrerade inte har någon rätt att invända mot behandlingen. Bestämmelsen bör behållas, eftersom den skapar tydlighet och igenkänning hos tillämparna, se avsnitt 6.2.

Av 3 § andra stycket lagen om läkemedelsförteckning framgår att viss behandling endast får ske med stöd av den registrerades samtycke. Som angetts ovan undantas den behandlingen från 2 § andra stycket lagen om läkemedelsförteckning. Bestämmelsen i 2 § andra stycket lagen om läkemedelsförteckning är således förenlig med dataskyddsförordningen och kan därmed behållas.

479

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.3.6 Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Ändamålsbestämmelserna i 3 § lagen om läkemedelsförteckning uppfyller de krav som gäller enligt dataskyddsförordningen och kan och bör behållas. Även krav på samtycke och begränsningen av tillåtna ändamål kan behållas.

Läkemedelsförteckningen innehåller uppgifter om uthämtade för- skrivna läkemedel och förs i syfte att öka patientsäkerheten. Av 3 § första stycket lagen om läkemedelsförteckning framgår att den som förskriver läkemedel får använda förteckningen för att bl.a. åstad- komma en säker framtida förskrivning av läkemedel för den regi- strerade. Förteckningen får också användas av farmaceut på apotek för att underlätta den kontroll som ska genomföras innan ett läke- medel lämnas ut till den registrerade. Vidare är förteckningen av- sedd att utgöra ett stöd för den enskilde som vill överblicka sin läkemedelssituation. Att det i 1 § lagen om läkemedelsförteckning anges att E-hälsomyndigheten ska föra läkemedelsförteckning för de i 3 § angivna ändamålen innebär att ändamålen grundar sig på en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen.

Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som utredningen konstaterat i av- snitt 9.10.1. Bestämmelserna i lagen om läkemedelsförteckning upp- fyller, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Behandlingen av personuppgifter för de i 3 § lagen om läkemedels- förteckning angivna ändamålen är därmed förenlig med dataskydds- förordningen.

Krav på samtycke

Av 3 § andra stycket lagen om läkemedelsförteckning framgår att förskrivare av läkemedel, legitimerad sjuksköterska och farmaceut endast får ges tillgång till vissa uppgifter i läkemedelsförteckningen med uttryckligt samtycke från den registrerade. Utlämnande är dock under vissa förutsättningar möjligt om den registrerade inte kan lämna sitt samtycke. Krav på samtycke utgör enligt den be- dömning utredningen har gjort i avsnitt 9.16.2 en form av skydds-

480

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

åtgärd. Sådana bestämmelser är tillåtna för myndigheter. Eftersom behandlingen enligt lagen om läkemedelsförteckning sker på grund av en rättslig förpliktelse, får bestämmelsen, i enlighet med vad som anges i det avsnittet, anses tillåten även för enskildas behandling såsom preciseringar enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen. Kravet på samtycke är därmed förenligt med dataskydds- förordningens reglering och kan behållas. Eftersom kravet på sam- tycke utgör en begränsning av dataskyddsförordningens reglering, finns det inte heller något hinder mot att behålla bestämmelsen som innehåller undantag från samtyckeskravet.

Finalitetsprincipen är inte tillämplig

I bestämmelsen anges att läkemedelsförteckningens dokumenta- tion endast får användas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att behandla personuppgifter i läkemedelsförteckningen för andra ändamål än de som anges i bestämmelsen även om dessa andra ändamål inte är oförenliga med det ändamål för vilket uppgifterna har samlats in.

Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsför- ordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i dataskyddsdirektivet. Medlemsstaterna får, i enlighet med vad utredningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen behålla eller införa mer specifika bestämmelser för att an- passa tillämpningen av bestämmelserna i dataskyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas.

481

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.3.7 Personuppgifter som får behandlas

Utredningens förslag: Lagen om läkemedelsförteckning kom- pletteras med en bestämmelse som påminner om kravet enligt artikel 9.3 i dataskyddsförordningen på att känsliga personupp- gifter endast får behandlas av eller under ansvar av den som om- fattas av tystnadsplikt.

Utredningens bedömning: Bestämmelsen i 4 § lagen om läke- medelsförteckning om registrets innehåll kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

I 4 § lagen om läkemedelsförteckning anges vilka uppgifter läke- medelsförteckningen får innehålla.

Att precisera de personuppgifter som får behandlas är i linje med principen om uppgiftsminimering enligt artikel 5.1 c i data- skyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behö- ver behandlas i förteckningen har gjorts vid tidigare lagstiftnings- arbeten och behöver inte göras på nytt. Medlemsstaterna tillåts som redan framgått att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen och därför att de begränsar en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelsen kan och bör alltså behållas.

Känsliga personuppgifter

Bestämmelsen i 4 § lagen om läkemedelsförteckning får anses om- fatta personuppgifter som rör hälsa, dvs. känsliga personuppgifter, eftersom det oftast är sjuka personer som ordineras och förvärvar förskrivna läkemedel.

För att känsliga personuppgifter ska få behandlas i läkemedels- förteckningen krävs det att förandet av förteckningen omfattas av undantaget i artikel 9.2 h i dataskyddsförordningen eller något annat undantag. Vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i arti-

482

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

kel 9.2 h i dataskyddsförordningen framgår av avsnitt 9.11.4. Som anges i det avsnittet har det i förarbetena till lagen (1996:1156) om receptregister ansetts osäkert om 18 § personuppgiftslagen ger till- räckligt stöd för den behandling som avses i den lagen.4 Behandling med stöd av lagen om receptregister sker dock bl.a. för ändamålet att utgöra underlag för tillämpningen av bestämmelserna om läke- medelsförmåner. Behandling för det ändamålet har inte lika stark koppling till bedrivandet av hälso- och sjukvård som behandling som sker med stöd av annan lagstiftning på läkemedelsområdet. Den omständigheten tillsammans med den, i förhållande till data- skyddsdirektivet, utökade uppräkningen av vad som innefattas i förvaltning av hälso- och sjukvårdstjänster i skäl 53 till dataskydds- förordningen, gör att utredningen bedömer att förandet av läke- medelsförteckningen ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Regleringen är således för- enlig med dataskyddsförordningen.

Eftersom känsliga personuppgifter får behandlas inom tillämp- ningsområdet för lagen om läkemedelsförteckning under samma förutsättningar som andra personuppgifter, påverkar det inte regler- ingen i lagen att det, som anges i avsnitt 9.11.6, har tillkommit nya kategorier av känsliga personuppgifter.

Som anges i avsnitt 9.11.4 bör en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i lagen om läkemedelsförteckning. Personalen vid E-hälsomyndigheten omfattas av bestämmelser om tystnadsplikt i bl.a. 25 kap. 17 a § offentlighets- och sekretesslagen (2009:400).

4 Prop. 2008/09:145 s. 305.

483

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.3.8 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna om sökbegrepp, be- hörighetstilldelning och åtkomstkontroll i 5, 6, 7, 12 a och 12 b §§ lagen om läkemedelsförteckning kan behållas.

I 5, 6, 7, 12 a och 12 b §§ lagen om läkemedelsförteckning finns det bestämmelser om sökbegränsningar, utlämnande på medium för automatiserad behandling, utlämnande genom direktåtkomst, behörighetstilldelning och åtkomstkontroll. Sådana bestämmelser utgör, som framgår av avsnitt 9.16.2, säkerhetsåtgärder enligt data- skyddsförordningen. Krav på säkerhetsåtgärder för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i av- snitt 9.16.2, ändras med anledning av dataskyddsförordningen. Be- stämmelserna får också anses vara sådana mer specifika, eller sär- skilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskydds- förordningen är tillåtet att ha i nationell rätt för att reglera be- handling som grundar sig på en rättslig förpliktelse eller arbetsupp- gift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Bestämmelserna i 5, 6, 7, 12 a och 12 b §§ lagen om läkemedelsförteckning kan därmed be- hållas.

Vissa av de nu berörda bestämmelserna innehåller bemyndigan- den för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskrifts- rätten delegeras. Bestämmelsen kan därmed behållas.

11.3.9 Återkallelse av samtycke

Utredningens förslag: Bestämmelsen om återkallelse av samtycke i 8 § lagen om läkemedelsförteckning ska upphävas.

Den registrerade har enligt 8 § lagen om läkemedelsförteckning rätt att när som helst återkalla ett lämnat samtycke. Bestämmelsen överensstämmer med vad som anges i 12 § första stycket person- uppgiftslagen. Skälet till att detta anges uttryckligen i lagen om läke- medelsförteckning är att personuppgiftslagens bestämmelse till sin

484

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

ordalydelse endast gäller behandling av personuppgifter enligt den lagen. För att bestämmelsen ska vara tillämplig även för person- uppgifter som behandlats enligt lagen om läkemedelsförteckning, krävs därför att det anges i den lagen.

Rätten att återkalla ett lämnat samtycke följer av artikel 7.3 i dataskyddsförordningen. Eftersom den bestämmelsen är direkt tillämplig, behöver bestämmelsen inte längre återges i lagen om läkemedelsförteckning för att den ska gälla inom lagens tillämp- ningsområde. Detta gäller enligt utredningens bedömning även fast behandlingen grundar sig på en rättslig förpliktelse och kravet på samtycke bara är en nationellt föreskriven förutsättning för att uppgifter ska få lämnas ut. Det är enligt utredningens mening inte heller av tydlighetsskäl motiverat att ha kvar bestämmelsen eller att hänvisa till dataskyddsförordningens bestämmelse om återkallelse av samtycke. Att endast hänvisa till någon enstaka bestämmelse i dataskyddsförordningen skulle nämligen kunna bli missvisande för tillämparen, eftersom även övriga bestämmelser i förordningen gäller. Bestämmelsen i 8 § lagen om läkemedelsförteckning bör därför upp- hävas och inte ersättas av en hänvisning till dataskyddsförordningen.

11.3.10 Bevarande och gallring

Utredningens bedömning: Bestämmelsen om gallring och be- varande i 9 § lagen om läkemedelsförteckning kan behållas.

Bestämmelser om gallring och bevarande kan, enligt utredningens bedömning i avsnitt 9.17.2, behållas om den ursprungliga behand- lingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Det innebär att även bestämmelsen i 9 § lagen om läkemedelsförteckning kan vara kvar.

485

Författningar som reglerar ett register eller en informationssamling SOU 2017:66

11.3.11 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 10 § lagen om läkemedelsförteckning som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskydds- förordningen behålls. Bestämmelserna kompletteras med en upp- lysning om att information även ska lämnas enligt dataskydds- förordningen.

I 10 § lagen om läkemedelsförteckning finns det en bestämmelse som anger vilken information den personuppgiftsansvarige ska lämna till den registrerade. Bestämmelsen preciserar bestämmel- serna om information i personuppgiftslagen. I övrigt gäller alltså personuppgiftslagens bestämmelser i 23–27 §§ även vid behandling av personuppgifter i läkemedelsförteckningen.

Dataskyddsförordningens bestämmelser om den personupp- giftsansvariges skyldighet att lämna information till den registre- rade har utredningen redogjort för i avsnitt 9.15.1. Informations- skyldigheten enligt dataskyddsförordningen innefattar flera av de upplysningar som anges i 10 § lagen om läkemedelsregister. Bestäm- melsen i lagen om läkemedelsförteckning innebär dock krav på att lämna vissa upplysningar som inte omfattas av skyldigheten i data- skyddsförordningen. Det rör sig om upplysning om de tystnads- plikts- och säkerhetsbestämmelser som gäller för förteckningen, rätten att ta del av uppgifter enligt 11 §, rätten till skadestånd samt vad som gäller i fråga om sökbegrepp, direktåtkomst och utläm- nande av uppgifter på medium för automatiserad behandling. Det finns också vissa upplysningar som bara omfattas av antingen arti- kel 13, som gäller när uppgifterna har samlats in från den registrerade, eller artikel 14 i dataskyddsförordningen, som gäller när uppgif- terna har samlats in från någon annan än den registrerade, nämligen vilken typ av uppgifter som ingår i förteckningen och att registrer- ingen inte är frivillig. Enligt dataskyddsförordningens reglering ska den personuppgiftsansvarige även lämna viss information som inte anges i lagen om läkemedelsförteckning.

De bestämmelser i lagen om läkemedelsförteckning som innebär att den personuppgiftsansvarige ska lämna ytterligare information än vad som anges i dataskyddsförordningen kan, i enlighet med

486

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

utredningens bedömning i avsnitt 9.15.1, behållas. Att uppfylla data- skyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den personuppgiftsansvarige. Det finns därför, enligt den bedömning utredningen gjort i avsnitt 9.15.2, inte skäl att överväga en begränsning av den registrerades rätt till information.

Den personuppgiftsansvarige bör därför lämna både den infor- mation som följer av dataskyddsförordningen och lagen om läke- medelsförteckning. Bestämmelsen i 10 § lagen om läkemedelsför- teckning bör därför, på det sätt som anges i avsnitt 9.15.1, kom- plettera och hänvisa till reglerna om information i dataskyddsför- ordningen. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort. Även det som anges i 10 § om att den personuppgiftsansvarige ska se till att den registre- rade får information om läkemedelsförteckningen kan tas bort eftersom detta följer av dataskyddsförordningen och den föreslagna formuleringen om att den personuppgiftsansvarige ska lämna viss ytterligare information utöver vad som framgår dataskyddsförord- ningen.

11.3.12 Information som ska lämnas på begäran

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om information som ska lämnas på begäran av den registrerade i 11 § lagen om läkemedelsförteckning ska ersättas av en hänvisning till motsvarande bestämmelse i dataskyddsför- ordningen.

Den registrerade har enligt 11 § lagen om läkemedelsförteckning rätt att när som helst och så fort som möjligt få sådan information som avses i 26 § personuppgiftslagen. Bestämmelsen har införts mot bakgrund av att det inte ansågs lämpligt att den registrerade endast skulle ha rätt att få ett registerutdrag per kalenderår som anges i personuppgiftslagen.5

5 Prop. 2004/05:70 s. 36–37.

487

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

Dataskyddsförordningen innehåller inte någon bestämmelse om att registerutdrag endast ska lämnas en gång per år. Däremot anges i skäl 63 till dataskyddsförordningen att den registrerade ska ha rätt till tillgång till personuppgifter som har samlats in om denne med rimliga intervall. Frågan är om dataskyddsförordningens reglering är tillräcklig för att tillgodose det behov av tillgång till uppgifter som den registrerade bedömts ha. Det är i och för sig rimligt att anta att bedömningen av vad som är ett rimligt intervall enligt lagen om läkemedelsförteckning, mot bakgrund av uttalandena i för- arbetena, skulle resultera i att registerutdrag lämnas ut oftare än enligt andra författningar. För att inte riskera att den registrerades rätt till tillgång försämras gör dock utredningen den bedömningen att bestämmelsen i 11 § bör vara kvar.

Bestämmelsen i 11 § innebär alltså en utvidgning av den registre- rades rätt till tillgång enligt dataskyddsförordningen. Medlems- staterna tillåts som redan nämnts att utöka myndigheters skyldig- heter i förhållande till vad som gäller enligt dataskyddsförordningen. Bestämmelsen kan därför inte anses strida mot dataskyddsförord- ningen.

Bestämmelsen behöver dock omarbetas, eftersom personupp- giftslagen kommer att upphöra att gälla. Med undantag för hur ofta registerutdrag ska lämnas bör dataskyddsförordningens reglering av tillgång till information i artikel 15 gälla vid tillämpningen av lagen om läkemedelsförteckning. Detta eftersom det inte heller när det gäller dessa bestämmelser har framkommit några särskilda svårig- heter för den personuppgiftsansvarige att uppfylla de nya kraven som anges där. I stället för att hänvisa till personuppgiftslagens bestämmelse om registerutdrag bör 11 § lagen om läkemedels- förteckning därför hänvisa till artikel 15 i dataskyddsförordningen. Hänvisningen bör vara dynamisk, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom artikel 15 är direkt tillämplig.

11.3.13 Upplysningsbestämmelse

Utredningens bedömning: Bestämmelsen i 12 § lagen om läke- medelsförteckning som upplyser om bestämmelser i offentlig- hets- och sekretesslagen (2009:400) påverkas inte av dataskydds- förordningen.

488

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Bestämmelsen i 12 § lagen om läkemedelsförteckning innehåller en upplysning om att det finns bestämmelser om begränsningar i rätten att lämna ut uppgifter i offentlighets- och sekretesslagen (2009:400). Eftersom bestämmelsen endast upplyser om annan lag- stiftning, behöver någon bedömning mot dataskyddsförordningen inte göras.

11.3.14 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 13 § lagen om läkemedels- förteckning som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

I 13 § lagen om läkemedelsförteckning finns en hänvisning till per- sonuppgiftslagens bestämmelser om rättelse och skadestånd. Den bestämmelsen bör, i enlighet utredningens slutsatser i avsnitt 9.15.1 och 9.19.1, upphävas.

11.3.15 Avgifter

Utredningens bedömning: Bestämmelsen om avgifter i 14 § lagen om läkemedelsförteckning kan behållas.

E-hälsomyndigheten får enligt 14 § lagen om läkemedelsförteck- ning ta ut avgifter av öppenvårdsapoteken för att täcka kostnaderna för att föra läkemedelsförteckningen. Regeringen, eller den myndig- het som regeringen bestämmer, får meddela ytterligare föreskrifter om avgifterna. Dataskyddsförordningen reglerar inte frågan om avgifter för registerföring. Sådana bestämmelser utgör inte data- skyddsbestämmelser och påverkas därför inte av dataskyddsförord- ningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Det bemyndigande som ges i bestämmelsen behöver således inte ändras.

489

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.4 Förordningen (2009:626) om läkemedelsförteckning

Utredningens bedömning: Delegationsbestämmelserna i förord- ningen om läkemedelsförteckning kan behållas.

I förordningen om läkemedelsförteckning finns det bestämmelser som ger Datainspektionen och E-hälsomyndigheten rätt att med- dela föreskrifter i vissa fall. Utredningen har bedömt att de be- stämmelser i lagen om läkemedelsförteckning som föreskriftsrätten ansluter till är förenliga med dataskyddsförordningen. Dataskydds- förordningen hindrar inte att föreskriftsrätten delegeras. Bestämmel- serna i förordningen om läkemedelsförteckning kan därmed behållas.

11.5 Förordningen (2006:196) om register över hälso- och sjukvårdspersonal

11.5.1 Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 1 § förordningen om register över hälso- och sjuk- vårdspersonal kan behållas.

I 1 § förordningen om register över hälso- och sjukvårdspersonal anges att Socialstyrelsen ska – med hjälp av automatiserad behand- ling – föra ett register över hälso- och sjukvårdspersonal för de ändamål som anges i förordningens 4 och 5 §§. Bestämmelsen inne- bär en rättslig förpliktelse. Dataskyddsförordningen hindrar inte att någon åläggs en skyldighet att föra ett visst register. Behand- lingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser.

490

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

11.5.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 2 § förordningen om regis- ter över hälso- och sjukvårdspersonal ska innehålla en upplys- ning om att förordningen kompletterar dataskyddsförordningen.

Det ska också anges att dataskyddslagen gäller, om inte annat följer av förordningen om register över hälso- och sjukvårds- personal.

Bestämmelsen i 2 § förordningen om register över hälso- och sjuk- vårdspersonal om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

11.5.3 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 3 § förordningen om register över hälso- och sjukvårdspersonal är förenlig med dataskyddsförordningens bestämmelser och bör behållas.

Enligt 3 § förordningen om register över hälso- och sjukvårds- personal har en registrerad inte rätt att motsätta sig sådan behand- ling av personuppgifter som är tillåten enligt samma förordning. Enligt dataskyddsförordningen har den registrerade rätt att invända mot behandling av personuppgifter när det rör sig om sådan be- handling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, alternativt sådan behandling som sker med stöd av en intresseavvägning (se vidare avsnitt 9.15.1). Eftersom behandling av personuppgifter i registret över hälso- och sjukvårds- personal sker med stöd av en rättslig förpliktelse (se avsnitt 11.5.5), omfattas behandlingen inte av rätten att göra invändningar. Bestäm- melsen i 3 § förordningen om register över hälso- och sjukvårds- personal är därmed förenlig med dataskyddsförordningens bestäm- melser.

491

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.5.4 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen i 3 a § förordningen om register över hälso- och sjukvårdspersonal kan och bör be- hållas.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas.

11.5.5 Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Ändamålsbestämmelserna i 4 och 5 §§ förordningen om register över hälso- och sjukvårdspersonal är förenliga med dataskyddsförordningen och kan och bör be- hållas.

I 4 och 5 §§ förordningen om register över hälso- och sjukvårds- personal anges de ändamål för vilka personuppgifter i registret får behandlas. Eftersom det enligt 1 § samma förordning finns en skyl- dighet att föra registret för de angivna ändamålen, baseras ända- målen på en rättslig förpliktelse enligt artikel 6.1 c i dataskydds- förordningen.

De krav på den rättsliga grunden för behandlingen som till- kommit i artikel 6.3 i dataskyddsförordningen får, i enlighet med vad utredningen konstaterat i avsnitt 9.10.1, anses uppfyllda utan vidare analys. Behandling för de ändamål som anges i 4 och 5 §§ förordningen om register över hälso- och sjukvårdspersonal är alltså laglig enligt dataskyddsförordningen och de befintliga ändamålen kan och bör därmed behållas.

Finalitetsprincipen är inte tillämplig

Av 5 § förordningen om register över hälso- och sjukvårdspersonal framgår att personuppgifterna i registret endast får behandlas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att behandla personuppgifter i registret för

492

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

andra ändamål än de som anges i bestämmelsen, även om dessa ändamål inte är oförenliga med det ändamål för vilket uppgifterna har samlats in.

Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskyddsför- ordningen. Där framgår bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i dataskyddsdirekti- vet. Medlemsstaterna får, i enlighet med vad utredningen konstate- rat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen behålla eller införa mer specifika bestämmelser för att an- passa tillämpningen av bestämmelserna i dataskyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas.

11.5.6 Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 6 § förordningen om register över hälso- och sjukvårds- personal kan och bör behållas.

I 6 § förordningen om register över hälso- och sjukvårdspersonal anges vilka uppgifter registret får innehålla. Det rör sig inte om några känsliga personuppgifter; däremot ska registret bl.a. innehålla uppgift om personnummer. Som anges i avsnitt 9.13 kan och bör bestämmelser om behandling av personnummer behållas. När det i övrigt gäller den precisering av vilka personuppgifter som får be- handlas i registret stämmer denna väl överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen som inne- bär att uppgifterna ska vara adekvata, relevanta och inte för om- fattande i förhållande till de ändamål för vilka de behandlas. Utred- ningen utgår från de överväganden kring vilka uppgifter som be- höver behandlas i registret som har gjorts vid tidigare lagstiftnings- arbeten. Sådana preciseringar är som redan nämnts tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de be- gränsar en myndighets möjligheter till behandling av personuppgifter.

493

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.5.7 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 7–7 b §§ förord- ningen om register över hälso- och sjukvårdspersonal behöver inte ändras med anledning av dataskyddsförordningen.

I 7–7 b §§ förordningen om register över hälso- och sjukvårds- personal finns det bestämmelser om utlämnande på medium för automatiserad behandling, direktåtkomst och skyldighet att tillse behörighets- och säkerhetsfrågor. Sådana bestämmelser avser säker- hetsåtgärder enligt dataskyddsförordningen. Krav på säkerhetsåtgär- der för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av att dataskydds- förordningen börjar tillämpas. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i natio- nell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Bestämmelserna i 7–7 b §§ förordningen om register över hälso- och sjukvårdspersonal kan därmed behållas.

11.5.8 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna i 7 c–7 e §§ förord- ningen om register över hälso- och sjukvårdspersonal behöver inte ändras med anledning av dataskyddsförordningen.

Enligt 7 c–7 e §§ förordningen om register över hälso- och sjuk- vårdspersonal ska olika myndigheter ha rätt att ta del av uppgifter i registret. I enlighet med vad som anges i avsnitt 9.21 är det utred- ningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirek- tivet. Bestämmelserna i 7 c–7 e §§ förordningen om register över hälso- och sjukvårdspersonal behöver därmed inte ändras med an- ledning av dataskyddsförordningen. När uppgiftsskyldigheten full- görs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

494

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

11.5.9 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 8 § förordningen om register över hälso- och sjukvårdspersonal som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer dataskyddsförordningen behålls. Bestämmelserna kompletteras med en upplysning om att information även ska lämnas enligt dataskyddsförordningen.

Av 8 § förordningen om register över hälso- och sjukvårdspersonal framgår att Socialstyrelsen ska lämna viss information till den regi- strerade om registret. Bestämmelsen preciserar bestämmelserna om information i personuppgiftslagen. I övrigt gäller alltså personupp- giftslagens bestämmelser i 23–27 §§ även vid behandling av person- uppgifter i registret över hälso- och sjukvårdspersonal.

Utredningen har i avsnitt 9.15.1 redogjort för dataskyddsför- ordningens bestämmelser om den personuppgiftsansvariges skyl- dighet att lämna information till den registrerade. Informations- skyldigheten enligt dataskyddsförordningen innefattar flera av de upplysningar som anges i 8 § förordningen om register över hälso- och sjukvårdspersonal. Det finns dock vissa upplysningar som inte omfattas av skyldigheten att lämna information enligt dataskydds- förordningen. Det rör sig om de sekretess- och säkerhetsbestäm- melser som gäller för registret, rätten till skadestånd och vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling. Det finns också vissa upplysningar som bara omfattas av antingen artikel 13, som gäller när uppgifterna har samlats in från den registrerade, eller artikel 14 i dataskyddsförordningen, som gäller när uppgifterna har samlats in från någon annan än den registrerade, nämligen vilken typ av uppgifter som registret får innehålla och om registreringen är frivillig eller inte. Enligt dataskyddsförordningens reglering ska den personuppgiftsansvarige även lämna viss information som inte anges i förordningen om register över hälso- och sjukvårdspersonal.

Utredningen har i avsnitt 9.15.1 konstaterat att bestämmelser i registerförfattningar som anger att information till registrerade ska lämnas utöver vad som följer av dataskyddsförordningen kan och bör behållas.

495

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

Att uppfylla dataskyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den person- uppgiftsansvarige. Det finns därför, enligt den bedömning utred- ningen gjort i avsnitt 9.15.2, inte skäl att överväga en begränsning av den registrerade rätt till information.

Den personuppgiftsansvarige bör följaktligen lämna både den information som följer av dataskyddsförordningen och av förord- ningen om register över hälso- och sjukvårdspersonal. Bestämmelsen i 8 § förordningen om register över hälso- och sjukvårdspersonal bör därför, på det sätt som anges i avsnitt 9.15.1, komplettera och hänvisa till reglerna om information i dataskyddsförordningen. De krav som innebär att informationen ska innehålla sådana upplys- ningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort.

11.5.10 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 9 § förordningen om regis- ter över hälso- och sjukvårdspersonal, som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd, upp- hävs.

Enligt 9 § förordningen om register över hälso- och sjukvårds- personal ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt förord- ningen om register över hälso- och sjukvårdspersonal. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

496

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

11.6 Lagen (1998:543) om hälsodataregister och tillhörande förordningar

11.6.1 Bemyndiganden

Utredningens bedömning: De bemyndiganden som ges i 12 § lagen om hälsodataregister kan och bör behållas.

Regleringen av s.k. hälsodataregister består av en lag och ett antal olika förordningar6. Enligt förarbetena till lagen om hälsodata- register är tanken att de frågor som är gemensamma för alla hälso- dataregister ska regleras i en lag medan närmare föreskrifter om enskilda hälsodataregister ska meddelas av regeringen inom de ramar som lagen drar upp.7 I 12 § lagen om hälsodataregister be- myndigas därför regeringen att meddela föreskrifter som medför begränsningar av sådan behandling av personuppgifter som är tillåten enligt lagen om hälsodataregister.

Regeringens rätt att meddela föreskrifter omfattar vilka myndig- heter som får föra hälsodataregister, begränsningar av i lagen an- givna ändamål, begränsningar av de uppgifter som ett hälsodata- register får innehålla, begränsningar av samkörning, uppgiftsskyl- digheter och begränsningar i rätten att bevara uppgifter. Data- skyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. De bemyn- diganden som ges i 12 § lagen om hälsodataregister är således för- enliga med dataskyddsförordningen och behöver inte ändras.

De föreskrifter regeringen har meddelat inom ramen för bemyn- digandet kommer utredningen att gå igenom nedan. Det hälsodata- register som får föras av Läkemedelsverket enligt 3 kap. 14 § läke- medelsförordningen berörs i avsnitt 12.8.5.

6 Förordningen (2001:707) om patientregister hos Socialstyrelsen, förordningen (2001:708) om medicinskt födelseregister hos Socialstyrelsen, förordningen (2001:709) om cancer- register hos Socialstyrelsen, förordningen (2005:363) om läkemedelsregister hos Social- styrelsen, förordningen (2006:94) om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården, förordningen (2008:194) om tandhälsoregister hos Social- styrelsen och förordningen (2011:116) om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län.

7 Prop. 1997/98:108 s. 44.

497

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.6.2 Förande av hälsodataregister

Utredningens bedömning: Bestämmelsen om förande av hälso- dataregister i 1 § lagen om hälsodataregister behöver inte ändras.

I 1 § första meningen lagen om hälsodataregister anges att centrala förvaltningsmyndigheter inom hälso- och sjukvården får utföra automatiserad behandling av personuppgifter i hälsodataregister. Dataskyddsförordningen påverkar inte möjligheten att föreskriva att ett visst register får föras. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser.

11.6.3 Personuppgiftsansvar

Utredningens bedömning: Bestämmelserna i lagen om hälso- dataregister och de tillhörande förordningarna om vem som är personuppgiftsansvarig kan och bör behållas.

I 1 § andra meningen lagen om hälsodataregister anges att den centrala förvaltningsmyndighet som utför behandlingen av person- uppgifter är personuppgiftsansvarig. I 12 § 1 samma lag bemyndi- gas regeringen att meddela föreskrifter om vilka myndigheter som får föra hälsodataregister, vilket även medför ett fastställande av vilken myndighet som ska vara personuppgiftsansvarig. Bestämmel- ser om personuppgiftsansvar finns i 2 § förordningen om patient- register hos Socialstyrelsen, 2 § förordningen om medicinskt födelse- register hos Socialstyrelsen, 2 § förordningen om cancerregister hos Socialstyrelsen, 2 § förordningen om läkemedelsregister hos Social- styrelsen, 2 § förordningen om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården, 2 § förord- ningen om tandhälsoregister hos Socialstyrelsen och 2 § förord- ningen om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i registerförfattningar om vem som är personuppgiftsansvarig kan och bör behållas. Regleringen innebär att andra än centrala förvalt- ningsmyndigheter inte får föra hälsodataregister. Eftersom be-

498

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

handlingen enligt lagen om hälsodataregister sker med stöd av arti- kel 6.1 e i dataskyddsförordningen, kan regleringen, i enlighet med vad som framgår av det ovan nämnda avsnittet, behållas.

11.6.4 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 2 § lagen om hälsodata- register ska innehålla en upplysning om att författningen kom- pletterar dataskyddsförordningen.

Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om hälsodataregister eller föreskrifter som har meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

11.6.5 Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: De angivna ändamålen i lagen om hälsodataregister och de tillhörande förordningarna är förenliga med dataskyddsförordningen och bör inte ändras.

I 3 § lagen om hälsodataregister anges för vilka ändamål person- uppgifter får behandlas i hälsodataregister. Ändamålen är fram- ställning av statistik, uppföljning, utvärdering och kvalitetssäkring av hälso- och sjukvård samt forskning och epidemiologiska under- sökningar. De utgör ramen för de ändamål regeringen får före- skriva om för de enskilda hälsodataregistren i enlighet med bemyn- digandet i 12 § 2 lagen om hälsoregister.

Regeringen har utnyttjat sitt bemyndigande och utfärdat ända- målsbestämmelser i 3 § förordningen om patientregister hos Social- styrelsen, 3 § förordningen om medicinskt födelseregister hos Socialstyrelsen, 3 § förordningen om cancerregister hos Socialsty- relsen, 3 § förordningen om läkemedelsregister hos Socialstyrelsen, 3 § förordningen om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården, 3 § förordningen om tand- hälsoregister hos Socialstyrelsen och 3 § förordningen om register

499

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län. Samtliga ändamål är inom ramen för de ändamål som anges i 3 § lagen om hälsodataregister. Vanligast är att ändamålen är desamma som i lagen men att behandlingen endast får ske inom ett begränsat verksamhetsområde – inom den slutna hälso- och sjuk- vården och den del av den öppna vården som inte är primärvård, inom cancerområdet, inom hälso- och sjukvård som avses i 12 kap. 1 och 2 §§ och 14 kap. 1 § hälso- och sjukvårdslagen (2017:30), inom tandvårds- och tandhälsoområdet etc.

Ändamålen är till sin karaktär vida och möjliggör en omfattande behandling av personuppgifterna i de olika registren. Å andra sidan innehåller registren endast i förväg preciserade och till antalet be- gränsade kategorier av uppgifter (se avsnitt 11.6.6 nedan) vilket i sig ger en avgränsning av ändamålen. Av artikel 5.1 b i dataskydds- förordningen framgår dessutom att ytterligare behandling för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Samma princip finns i artikel 6.1 b i dataskyddsdirektivet. Regleringen antyder att bevarande av personuppgifter för ändamål som avser bl.a. statistik och forskning anses ha en grundläggande legitimitet. I förarbetena till lagen om hälsodataregister bedöms samtliga ända- mål vara av ett högt samhälleligt intresse.8 Även i efterhand har regering och riksdag bedömt att ändamålsangivelserna avseende forskning är förenliga med dataskyddsdirektivet.9 Det saknas an- ledning att göra en annan bedömning i förhållande till dataskydds- förordningen. Ändamålen får därmed anses ha grund i ett allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

I artikel 6.3 i dataskyddsförordningen har tillkommit krav på den rättsliga grunden för behandling av personuppgifter, som be- skrivs i avsnitt 9.10.1. Kraven får, i enlighet med vad utredningen konstaterat i de aktuella avsnitten, anses vara uppfyllda utan vidare analys.

8 Prop. 1997/98:108 s. 48.

9 Prop. 2012/13:163 s. 26 f.

500

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

11.6.6 Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelser om vilka personupp- gifter som får behandlas i hälsodataregister kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

Ett hälsodataregister får enligt 4 § lagen om hälsodataregister inne- hålla endast de uppgifter som behövs för de ändamål för vilka person- uppgifter får behandlas. I 12 § 3 samma lag bemyndigas regeringen att meddela föreskrifter om begränsningar av de uppgifter som ett hälsodataregister enligt 4 § får innehålla. Bestämmelser om vilka personuppgifter som får behandlas i registren finns i 4 och 5 §§ för- ordningen om patientregister hos Socialstyrelsen, 4 och 5 §§ för- ordningen om medicinskt födelseregister hos Socialstyrelsen, 4 och 5 §§ förordningen om cancerregister hos Socialstyrelsen, 4 § för- ordningen om läkemedelsregister hos Socialstyrelsen, 4 § förord- ningen om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården, 4 § förordningen om tandhälso- register hos Socialstyrelsen och 4 § förordningen om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län. Bestämmelserna utesluter behandling av andra person- uppgifter än de som räknas upp i paragraferna, vilket är i linje med principen om uppgiftsminimering enligt artikel 5.1 c i dataskydds- förordningen. Utredningen utgår från de bedömningar som gjorts i tidigare lagstiftningsarbeten när det gäller vilka uppgifter som be- höver behandlas. Sådana begränsningar är tillåtna för myndigheters behandling av personuppgifter eller därför att de avser behandling som stödjer sig på artikel 6.1 c eller e i dataskyddsförordningen. Bestämmelserna om vilka uppgifter hälsodataregistren ska innehålla kan och bör därmed behållas.

Känsliga personuppgifter

En del av de personuppgifter som får ingå i hälsodataregistren är känsliga personuppgifter om hälsa. För att känsliga personuppgifter ska få behandlas, krävs att ett undantag i artikel 9 i dataskyddsför- ordningen är tillämpligt.

501

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

Syftet med hälsodataregister är bl.a. att följa upp, utvärdera och kvalitetssäkra hälso- och sjukvård. Behandlingen får anses falla under undantaget i artikel 9.2 h i dataskyddsförordningen i den mån behandlingen är nödvändig av skäl som hör samman med till- handahållande av hälso- och sjukvård m.m. Enligt artikel 9.3 i data- skyddsförordningen ska de känsliga personuppgifterna då behandlas av eller under ansvar av den som omfattas av tystnadsplikt. Social- styrelsens verksamhet med hälsodataregistren omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400).

Personuppgifterna i hälsodataregistren är också avsedda att be- handlas för framställning av statistik samt för forskning och epi- demiologiska undersökningar. Av artikel 9.2 j i dataskyddsförord- ningen framgår att känsliga personuppgifter får behandlas för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen. Även detta ska ske på grundval av unions- rätten eller medlemsstaternas nationella rätt, vilken ska stå i pro- portion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Utredningen konstaterar att lagen om hälsodataregister med an- knytande förordningar innehåller flera olika skyddsåtgärder, bl.a. begränsning av vilka personuppgifter som får behandlas, regler om samkörning, sökbegrepp samt reglering av direktåtkomst och ut- lämnande på medium för automatiserad behandling. Uppgifterna omfattas dessutom av absolut sekretess enligt 24 kap. 8 § offentlig- hets- och sekretesslagen. Sekretessen kan visserligen brytas för forskningsändamål, men då krävs i de flesta fall ett godkännande av studien av en etikprövningsnämnd enligt lagen (2003:460) om etik- prövning av forskning som avser människor. Uppgifterna får enligt 21 kap. 7 § offentlighets- och sekretesslagen inte lämnas ut om det kan antas att ett utlämnande skulle medföra att uppgifterna behand- las i strid med dataskyddslagstiftningen (personuppgiftslagen).

Vad gäller kravet på proportionalitet och förenlighet med det väsentliga innehållet i rätten till dataskydd får det, på samma sätt som när det gäller undantag med stöd av artikel 9.2 g i data- skyddsförordningen (viktigt allmänt intresse), förutsättas att reger- ingen gjort en avvägning mellan behovet av olika hälsodataregister

502

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

och intrånget i den personliga integriteten innan beslut fattades om att utfärda förordningar om de olika registren.

De krav på åtgärder för att skydda den registrerades rättigheter och friheter som dataskyddsförordningen ställer får därmed anses uppfyllda.

Eftersom känsliga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter, påverkar det inte reg- leringen av hälsodataregistren att det, som anges i avsnitt 9.11.6, har tillkommit nya kategorier av känsliga personuppgifter.

Sammantaget konstaterar utredningen att bestämmelserna i lagen om hälsodataregister och anknytande förordningar om vilka person- uppgifter som får behandlas i registren inte behöver ändras.

11.6.7 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Möjligheten att invända mot att per- sonuppgifter som behandlas i register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län är förenlig med dataskyddsförordningen. Någon ändring bör därför inte göras i 5 § förordningen om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län.

I 5 § förordningen om register hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län anges att personupp- gifter inte får behandlas i registret om den registrerade motsätter sig det. Om den enskilde motsätter sig behandlingen av person- uppgifter sedan den påbörjats, ska uppgifterna utplånas ur registret så snart som möjligt.

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter när det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse (se vidare avsnitt 9.15.1). Den personuppgifts- ansvarige får då inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och fri- heter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. I det här fallet har regeringen ansett att den regi- strerades intressen väger tyngre än Socialstyrelsens intresse av att

503

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

samla in uppgifter till ett register. Ett sådant ställningstagande är fullt förenligt med dataskyddsförordningen och begränsar bara vad en myndighet får göra. Bestämmelsen i 5 § förordningen om regis- ter hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län behöver därmed inte ändras.

11.6.8 Säkerhetsåtgärder

Utredningens bedömning: Någon ändring av bestämmelserna om begränsningar och krav på behandling av personuppgifter i 5 och 7–9 §§ lagen om hälsodataregister behövs inte med anled- ning av dataskyddsförordningen.

Bestämmelserna i 5 och 7–9 §§ lagen om hälsodataregister, som anger när personuppgifter får hämtas till registret genom samkör- ning, vilka uppgifter som får användas som sökbegrepp och vad som gäller i fråga om direktåtkomst och utlämnande på medium för automatiserad behandling, är att anse som uttryck för dataskydds- förordningens princip om uppgiftsminimering och som säkerhets- åtgärder/skyddsåtgärder enligt dataskyddsförordningen. Sådana be- gränsningar och krav för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i avsnitt 9.16.2, ändras med anledning av dataskyddsförordningen. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i natio- nell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i dataskyddsförordningen.

11.6.9 Uppgiftsskyldighet

Utredningens bedömning: Bestämmelserna om uppgiftsskyldig- heter i lagen om hälsodataregister och de tillhörande förord- ningarna behöver inte ändras med anledning av dataskyddsför- ordningen.

504

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Enligt 6 § lagen om hälsodataregister ska den som bedriver verk- samhet inom hälso- och sjukvården lämna uppgifter till ett hälso- dataregister för de ändamål som anges i 3 § samma lag. I 12 § 5 samma lag bemyndigas regeringen att meddela föreskrifter om uppgiftsskyldighet enligt 6 §. Sådana föreskrifter om uppgiftsskyldig- het finns i 6 § förordningen om patientregister hos Socialstyrelsen, 6 § förordningen om medicinskt födelseregister hos Socialstyrel- sen, 6 § förordningen om cancerregister hos Socialstyrelsen, 5 § förordningen om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjukvården och 5 § förordningen om tandhälsoregister hos Socialstyrelsen. I anslutning till uppgiftsskyl- digheterna bemyndigas också Socialstyrelsen att utfärda föreskrifter om hur uppgiftsskyldigheten ska fullgöras.

Uppgiftsskyldigheter är, i enlighet med vad utredningen kon- staterat i avsnitt 9.21, lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet och bör inte ändras med anledning av dataskyddsförordningen. Det ankommer inte på utredningen att bedöma om viss reglering är förenlig med regeringsformen10. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansva- rige beakta den reglering om dataskydd som finns i bl.a. dataskydds- förordningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bemyndigandena i de nu berörda bestämmelserna kan därmed be- hållas.

11.6.10 Upplysningsbestämmelse

Utredningens bedömning: Upplysningsbestämmelsen i 10 § lagen om hälsodataregister påverkas inte av dataskyddsförordningen.

I 10 § lagen om hälsodataregister lämnas en upplysning om att det i offentlighet- och sekretesslagen (2009:400) finns bestämmelser om begränsningar i rätten att lämna ut personuppgifter. Bestämmelsen påverkas inte av dataskyddsförordningens bestämmelser.

10 Jämför SOU 2014:45 s. 244.

505

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.6.11 Rättelse och skadestånd

Utredningens förslag: Bestämmelserna i 11 § lagen om hälso- dataregister och i 6 § förordningen om register hos Socialstyrel- sen över läkemedel som lämnats ut från apotek i Jämtlands län, som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd, upphävs.

Bestämmelser med hänvisningar till personuppgiftslagens bestäm- melser om rättelse och skadestånd bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

11.6.12 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i för- ordningarna om hälsodataregister som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskydds- förordningen behålls. Bestämmelserna kompletteras med en upp- lysning om att information även ska lämnas enligt dataskydds- förordningen.

I de olika förordningarna om hälsodataregister finns genomgående bestämmelser om vilken information Socialstyrelsen ska lämna till den registrerade och till allmänheten. Det rör sig om 7 § förord- ningen om patientregister hos Socialstyrelsen, 7 § förordningen om medicinskt födelseregister hos Socialstyrelsen, 7 § förordningen om cancerregister hos Socialstyrelsen, 6 § förordningen om läke- medelsregister hos Socialstyrelsen, 6 § förordningen om register hos Socialstyrelsen över insatser inom den kommunala hälso- och sjuk- vården, 6 § förordningen om tandhälsoregister hos Socialstyrelsen och 7 § förordningen om register hos Socialstyrelsen över läke- medel som lämnats ut från apotek i Jämtlands län. Bestämmelserna är preciseringar av 25 § första stycket c personuppgiftslagen.

I avsnitt 9.15.1 finns en redogörelse för dataskyddsförordning- ens reglering av den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Den information Socialstyrelsen ska lämna till den registrerade enligt förordningarna om hälsodata-

506

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

register är i huvudsak densamma som den personuppgiftsansvarige ska lämna enligt dataskyddsförordningen. Informationsskyldigheten i förordningarna om hälsodataregister innebär dock att ett antal upplysningar som inte omfattas av dataskyddsförordningens reg- lering ska lämnas, nämligen innebörden och omfattningen av det sekretess- och säkerhetsskydd som gäller för registret samt infor- mation om vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för automatiserad behandling. Det finns också ett antal krav på upplysningar i dataskyddsförordningen som inte anges i förordningarna om hälsodataregister.

De bestämmelser i förordningarna om hälsodataregister som föreskriver att mer information än vad som krävs enligt data- skyddsförordningen ska lämnas, kan i enlighet med utredningens ställningstagande i avsnitt 9.15.1 behållas, eftersom den person- uppgiftsansvarige, Socialstyrelsen, är en myndighet. Det har inte framkommit att det skulle innebära några beaktansvärda svårig- heter för personuppgiftsansvariga att uppfylla de fåtaliga nyheter som dataskyddsförordningen innebär när det gäller den information som ska lämnas till den registrerade. Det finns därför som anges i avsnitt 9.15.2 inte anledning att överväga en begränsning av de registrerades nya rättigheter.

Slutsatsen blir därför att Socialstyrelsen ska lämna den informa- tion som följer av dataskyddsförordningen och den ytterligare in- formation som ska lämnas enligt förordningarna om hälsodata- register. Detta bör regleras genom en bestämmelse i respektive för- ordning som kompletterar och hänvisar till dataskyddsförordning- ens reglering på det sätt som anges i avsnitt 9.15.1. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om informa- tion bör tas bort.

Bestämmelsen om information som ska lämnas till allmänheten påverkas inte av dataskyddsförordningen.

507

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.7 Lagen (2012:453) om register över nationella vaccinationsprogram

11.7.1 Lagens tillämpningsområde

Utredningens bedömning: Inga förändringar krävs av tillämp- ningsområdet enligt 1 och 2 §§ lagen om register över nationella vaccinationsprogram.

I avsnitt 9.5 har utredningen konstaterat att bestämmelser i register- författningar om på vilken verksamhet, vilka typer av behandlingar och vilka uppgifter författningen ska tillämpas inte i sig påverkas av dataskyddsförordningen och därför inte bör ändras. Bestämmel- serna i 1 och 2 §§ lagen om register över nationella vaccinations- program bör därmed inte ändras med anledning av att dataskydds- förordningen börjar tillämpas.

11.7.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 3 § lagen om register över nationella vaccinationsprogram ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen.

Det ska också anges att dataskyddslagen gäller, om inte annat följer av lagen om register över nationella vaccinationsprogram eller föreskrifter som har meddelats med stöd av den.

Bestämmelsen i 3 § lagen om register över nationella vaccinations- program om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

508

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

11.7.3 Rätten att invända mot behandling av personuppgifter

Utredningens bedömning: Bestämmelsen i 4 § lagen om regis- ter över nationella vaccinationsprogram kan och bör även fort- sättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

Enligt 4 § lagen om register över nationella vaccinationsprogram får behandling av personuppgifter som är tillåten enligt samma lag utföras även om den enskilde motsätter sig behandlingen.

Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se vidare av- snitt 9.15.1). Behandling av personuppgifter för de ändamål som anges i lagen om register över nationella vaccinationsprogram grundar sig huvudsakligen på arbetsuppgifter av allmänt intresse (se av- snitt 11.7.5 nedan). Bestämmelsen i 4 § lagen om register över natio- nella vaccinationsprogram utgör alltså en begränsning av rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen.

En sådan bestämmelse förutsätter, i enlighet med vad som fram- går av avsnitt 9.15.2, att de villkor för en begränsning av den registrerades rättigheter som anges i artikel 23 i dataskyddsförord- ningen är uppfyllda. Vilka villkoren är framgår av det avsnittet. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. hälso- och sjukvård, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskydds- förordningen. Nationella vaccinationsregistret möjliggör bl.a. en hel- täckande och kvalitetssäker nationell övervakning av vaccinations- täckning, skyddseffekt, vaccinsvikt och biverkningar, snabbare åter- koppling och åtgärder i områden med låg vaccinationstäckning och

509

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

högkvalitativ epidemiologisk forskning. Detta får anses vara sådana viktiga mål av generellt allmänt intresse för folkhälsan som avses i artikel 23.1 i dataskyddsförordningen.

En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 i dataskyddsförordningen är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. En möjlighet att invända mot behandling av personuppgifter skulle motverka hela syftet med registret. Begränsningen får därför anses nödvändig och propor- tionell och kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna.

De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns i övrigt i lagen om register över nationella vaccina- tionsprogram.

Utredningen bedömer därmed att 4 § lagen om register över nationella vaccinationsprogram även fortsättningsvis kan innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne.

11.7.4 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 5 § lagen om register över nationella vaccinations- program kan och bör behållas.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas.

510

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

11.7.5 Ändamål och grund för behandling av personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 6 § andra stycket andra meningen lagen om register över nationella vaccinationsprogram tas bort. I stället hänvisas till artikel 5.1 b i dataskyddsförord- ningen som ger uttryck för finalitetsprincipen.

Utredningens bedömning: Ändamålen i 6 § lagen om register över nationella vaccinationsprogram uppfyller de krav som gäller enligt dataskyddsförordningen och bör inte ändras.

Av 6 § första stycket lagen om register över nationella vaccina- tionsprogram framgår att personuppgifter får behandlas för fram- ställning av statistik, uppföljning, utvärdering och kvalitetssäkring av nationella vaccinationsprogram, samt forskning och epidemiolo- giska undersökningar. Behandling av personuppgifter för dessa ändamål grundar sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen.

Personuppgifter som behandlas för de ändamål som anges i 6 § första stycket lagen om register över nationella vaccinationsprogram får enligt andra stycket också behandlas för att fullgöra uppgifts- utlämnande som sker i överensstämmelse med lag eller förordning. Uppgiftsutlämnande utgör huvudsakligen en arbetsuppgift av all- mänt intresse, men skulle även kunna utgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen, om uppgiftsutlämnandet grundar sig på en uppgiftsskyldighet.

Någon ytterligare analys av vilket stöd ändamålen har i data- skyddsförordningen krävs inte, som utredningen konstaterat i av- snitt 9.10.1. Bestämmelserna i lagen om register över nationella vaccinationsprogram uppfyller, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Behandling av personuppgifter för de i 6 § lagen om register över nationella vaccinationsprogram angivna ändamålen är därmed förenlig med dataskyddsförordningen.

511

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

Finalitetsprincipen

I 6 § andra stycket lagen om register över nationella vaccinations- program anges också att 9 § första stycket d och andra stycket person- uppgiftslagen (finalitetsprincipen) gäller. Hänvisningen syftar till att klargöra att personuppgifter som redan finns i verksamheten får behandlas för andra ändamål än dem för vilka de har samlats in under förutsättning att de nya ändamålen inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Hänvisningen innebär vidare att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

Eftersom personuppgiftslagen kommer att upphävas, måste hän- visningen till bestämmelsen om finalitetsprincipen i den lagen ändras. Det bör ske i enlighet med vad som redovisas i avsnitt 9.10.3.

11.7.6 Personuppgifter som får behandlas

Utredningens bedömning: Uppräkningen i 7 § lagen om regis- ter över nationella vaccinationsprogram av vilka personuppgifter som får behandlas i registret kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

I 7 § lagen om register över nationella vaccinationsprogram anges vilka personuppgifter som får behandlas i registret. Bestämmelsen kan sägas utgöra en precisering av principen om uppgiftsminimer- ing enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Överväganden kring vilka uppgifter som behöver behandlas i registret har gjorts vid tidigare lagstiftningsarbeten och behöver inte göras på nytt. Medlemsstaterna tillåts som redan framgått att införa sådana preci- seringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndig- hets möjligheter till behandling av personuppgifter. Bestämmelsen kan och bör därför behållas.

512

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Känsliga personuppgifter

En del av uppgifterna i registret har bedömts vara känsliga person- uppgifter enligt 13 § personuppgiftslagen.11

Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirek- tivet är i enlighet med vad utredningen konstaterat i avsnitt 9.11.3 förenliga med artikel 9.2 g i dataskyddsförordningen och kan och bör behållas. Det är troligt att behandlingen i vaccinationsregistret tillåtits med stöd av artikel 8.4 i dataskyddsdirektivet, eftersom den behövs med hänsyn till ett viktigt allmänt intresse, och inte med stöd av artikel 8.3 i dataskyddsdirektivet om bl.a. förebyggande hälso- och sjukvård. I artikel 9.2 i i dataskyddsförordningen har det dock, som anges i avsnitt 9.11.5, tillkommit ett nytt undantag från förbudet att behandla känsliga personuppgifter som avser folk- hälsoområdet. Som framgår av det avsnittet är behovet av att säker- ställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter exempel på skäl som motiverar behandling av känsliga personuppgifter med stöd av arti- keln. Skälen överensstämmer med de ändamål som framgår av 6 § lagen om register över nationella vaccinationsprogram och undan- taget i artikel 9.2 i i dataskyddsförordningen bedöms därför relevant att tillämpa.

Folkhälsomyndighetens verksamhet med det nationella vaccina- tionsregistret omfattas av sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400). Den regleringen tillsammans med bestämmelserna i lagen om register över nationella vaccinations- program är enligt utredningens bedömning tillräcklig för att till- godose kravet på skyddsåtgärder i artikel 9.2 i i dataskyddsförord- ningen. Registret förs på grundval av nationell lagstiftning vilket också är ett krav enligt den artikeln.

Eftersom känsliga personuppgifter får behandlas under samma förutsättningar som andra personuppgifter, påverkar det inte den nu aktuella regleringen att det, som anges i avsnitt 9.11.6, har till- kommit nya kategorier av känsliga personuppgifter.

11 Prop. 2011/12:123 s. 67.

513

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

Behandlingen av känsliga personuppgifter i registret över natio- nella vaccinationsprogram kan således fortsättningsvis ske i samma omfattning som tidigare.

Personnummer

Registret innehåller även uppgift om personnummer. Som anges i avsnitt 9.13 finns det inga hinder mot att i lagen om register över nationella vaccinationsprogram ange att personnummer ska behandlas i det aktuella registret.

11.7.7 Uppgiftsskyldighet

Utredningens bedömning: Bestämmelsen i 8 § lagen om regis- ter över nationella vaccinationsprogram behöver inte ändras med anledning av dataskyddsförordningen.

Enligt 8 § lagen om register över nationella vaccinationsprogram ska den vårdgivare som har ansvarat för vaccinationen lämna upp- gifter till vaccinationsregistret. I enlighet med vad som anges i av- snitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelsen behöver således inte ändras med anledning av dataskyddsförordningen. När uppgifts- skyldigheten fullgörs måste dock den personuppgiftsansvarige be- akta den reglering om dataskydd som finns i bl.a. dataskyddsförord- ningen.

11.7.8 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 9 och 10 §§ lagen om register över nationella vaccinationsprogram behöver inte ändras med anledning av dataskyddsförordningen.

514

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Bestämmelserna om behörighetstilldelning i 9 § och utlämnande på medium för automatiserad databehandling i 10 § lagen om register över nationella vaccinationsprogram utgör sådana säkerhetsåtgärder som avses i avsnitt 9.16.2. Bestämmelser om krav på säkerhetsåtgär- der för myndigheter behöver inte, i enlighet med vad utredningen konstaterat i det avsnittet, ändras med anledning av dataskydds- förordningen. Bestämmelserna får också anses vara sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c och e i dataskyddsförordningen.

I 9 § andra stycket lagen om register över nationella vaccinations- program bemyndigas regeringen att meddela föreskrifter om till- delning av behörighet för åtkomst till uppgifter i registret. Efter- som det är förenligt med dataskyddsförordningen att meddela före- skrifter om säkerhetsåtgärder och dataskyddsförordningen inte hindrar att föreskriftsrätten delegeras, kan bemyndigandet kvarstå oförändrat.

Bestämmelserna i 9 och 10 §§ lagen om register över nationella vaccinationsprogram behöver således inte ändras med anledning av dataskyddsförordningen.

11.7.9 Upplysningsbestämmelse

Utredningens bedömning: Hänvisningen till offentlighets- och sekretesslagen (2009:400) i 11 § lagen om register över natio- nella vaccinationsprogram påverkas inte av dataskyddsförord- ningen.

I 11 § lagen om register över nationella vaccinationsprogram finns en upplysning om att det finns bestämmelser om begränsningar i rätten att lämna ut personuppgifter i offentlighets- och sekretess- lagen (2009:400). Upplysningen är relevant även när dataskydds- förordningen börjar tillämpas och bestämmelsen behöver därför inte ändras.

515

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.7.10 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 12 § lagen om register över nationella vaccinationsprogram, som hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd, upp- hävs.

Enligt 12 § lagen om register över nationella vaccinationsprogram ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter enligt lagen om register över nationella vaccinationsprogram eller föreskrifter som med- delats i anslutning till lagen. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

11.7.11 Information som ska lämnas självmant

Utredningens förslag: Krav på information till registrerade i 13 § lagen om register över nationella vaccinationsprogram som motsvarar krav som finns i dataskyddsförordningen tas bort. Krav som innebär att fler upplysningar ska lämnas än vad som följer av dataskyddsförordningen behålls. Hänvisningen till be- stämmelsen om skadestånd i lagen om register över nationella vaccinationsprogram ersätts med en hänvisning till dataskydds- förordningen och dataskyddslagen. Bestämmelserna komplette- ras med en upplysning om att information även ska lämnas en- ligt dataskyddsförordningen.

Av 13 § lagen om register över nationella vaccinationsprogram framgår vilken information Folkhälsomyndigheten ska lämna till den enskilde. Bestämmelsen preciserar bestämmelserna om infor- mation i personuppgiftslagen. I övrigt gäller alltså personuppgifts- lagens bestämmelser i 23–27 §§ även vid behandling av personupp- gifter i registret över hälso- och sjukvårdspersonal.

Utredningen har i avsnitt 9.15.1 redogjort för dataskyddsför- ordningens bestämmelser om den personuppgiftsansvariges skyl- dighet att lämna information till den registrerade. Informations- skyldigheten enligt dataskyddsförordningen innefattar flera av de upplysningar som anges i 13 § lagen om register över nationella

516

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

vaccinationsprogram. Det finns dock vissa upplysningar som inte omfattas av skyldigheten att lämna information enligt dataskydds- förordningen. Det rör sig om upplysningar om uppgiftsskyldighet som kan följa av lag eller förordning, de tystnadsplikts- och säker- hetsbestämmelser som gäller för uppgifterna och behandlingen, rätten till skadestånd vid behandling av personuppgifter i strid med denna lag och vad som gäller i fråga om sökbegrepp. Att den regi- strerade ska få upplysning om att registreringen inte är frivillig framgår enbart av artikel 13 i dataskyddsförordningen, dvs. det gäller endast när uppgifterna samlas in från den registrerade. Enligt dataskyddsförordningen ska den personuppgiftsansvarige även lämna viss information som inte anges i lagen om register över nationella vaccinationsprogram.

Utredningen har i avsnitt 9.15.1 konstaterat att bestämmelser i registerförfattningar som anger att information till registrerade ska lämnas utöver vad som följer av dataskyddsförordningen kan och bör behållas.

Att uppfylla dataskyddsförordningens nya krav på information som ska lämnas kan inte anses särskilt betungande för den person- uppgiftsansvarige. Det finns därför, enligt den bedömning utred- ningen gjort i avsnitt 9.15.2, inte skäl att överväga en begränsning av den registrerades rätt till information.

Den personuppgiftsansvarige bör följaktligen lämna både den information som följer av dataskyddsförordningen och av lagen om register över nationella vaccinationsprogram. Bestämmelsen i 13 § lagen om register över nationella vaccinationsprogram bör, på det sätt som anges i avsnitt 9.15.1, komplettera och hänvisa till reglerna om information i dataskyddsförordningen. Hänvisningen till bestäm- melsen om skadestånd, som utredningen i avsnitt 11.7.10 föreslår ska upphävas, bör ersättas med en hänvisning till bestämmelserna om skadestånd i dataskyddsförordningen och dataskyddslagen. Hän- visningen till dataskyddsförordningen bör vara av dynamisk karak- tär, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom dataskyddsförordningen är direkt tillämplig. De krav som innebär att informationen ska innehålla sådana upplysningar som även följer av dataskyddsförordningens bestämmelser om information bör tas bort.

517

Författningar som reglerar ett register eller en informationssamling

SOU 2017:66

11.8 Förordningen (1992:62) om bevarande

av registret rörande vissa alkoholbrott m.m.

Utredningens bedömning: Registret rörande vissa alkoholbrott kan även fortsättningsvis bevaras hos Riksarkivet med hänsyn till forskningens behov.

Av förordningen (1992:62) om bevarande av registret rörande vissa alkoholbrott m.m. framgår att regeringen föreskrivit att registret enligt den upphävda förordningen (1955:513) om register rörande vissa alkoholbrott m.m. med hänsyn till forskningens behov ska bevaras hos riksarkivet.

Utredningen har i avsnitt 9.17.2 konstaterat att bestämmelser om bevarande för historiska, statistiska eller vetenskapliga ändamål inte behöver ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen.

Registret rörande vissa alkoholbrott m.m. har inte tillförts några nya uppgifter sedan innan dataskyddsdirektivet trädde i kraft. Regist- ret har således – sett utifrån europeisk dataskyddslagstiftning – aldrig förts för något annat syfte än ett forskningssyfte. Innan dess fördes registret för behov inom allmän verksamhet.12 Den ur- sprungliga behandlingen av personuppgifter i registret får därmed anses ha grundat sig på en arbetsuppgift av allmänt intresse.

12 Utdrag ur SOU 1974:90 s. 200 f: ”Kontrollstyrelsen (riksskatteverket) har sedan 1923 fört fortlöpande statistik över avdömda fylleriförseelser och sedan 1932 fört ett särskilt register över alla personer som blivit dömda för fylleri. Detta register utgör stommen i det år 1940 inrättade s.k. särskilda straffregistret, som förs av riksskatteverket. Bestämmelser om detta register har upptagits i tre författningar, nämligen kungörelsen 1955:513 om särskilt straff- register rörande fylleri och vissa andra brott, kungörelsen 1955:512 om skyldighet att med- dela vissa uppgifter till riksskatteverket samt kungörelsen 1961:186 om skyldighet att in- hämta utdrag av det hos kontrollstyrelsen (numera riksskatteverket) förda straffregistret. I sammanhanget bör även beaktas kungörelsen 1971:316 om utlämnande för forsknings- ändamål av uppgifter om brott m.m. Såväl domare och åklagare som tjänstemän inom nykterhetsvården har i sin verksamhet ofta anledning att inhämta uppgifter från registret. Det särskilda straffregistret har dessutom betydelse som underlag för bedömningar av nykterhetstillståndets utveckling eller som källa för alkoholforskning och utrednings- verksamhet på det alkoholpolitiska området. Det särskilda straffregistret innehåller såvitt gäller fylleriet uppgifter endast om dem som genom dom eller godkänt straff – eller ordningsföreläggande befunnits skyldiga till fylleri.”

518

SOU 2017:66

Författningar som reglerar ett register eller en informationssamling

Även om det föreskrivna bevarandet hos Riksarkivet skulle inne- bära sådan behandling som avses i dataskyddsförordningen, kan förordningen om bevarande av registret rörande vissa alkoholbrott m.m. således behållas.

519

12 Författningar som bl.a. reglerar behandling av personuppgifter

12.1 Lagen (2002:297) om biobanker i hälso- och sjukvården m.m. och förordningen (2002:746) om biobanker i hälso- och sjukvården m.m.

12.1.1 Inledning

I lagen om biobanker i hälso- och sjukvården m.m. och den tillhör- ande förordningen finns det bestämmelser om hur humanbiologiskt material ska få samlas in, förvaras och användas för vissa ändamål. Med biobank avses enligt definitionen i 1 kap. 2 § lagen om bio- banker i hälso- och sjukvården m.m. biologiskt material från en eller flera människor (vävnadsprov) som samlas och bevaras tills vidare eller för en bestämd tid och vars ursprung kan härledas till den eller de människor från vilka materialet härrör. Personuppgifter som för- varas i patientjournaler eller register i anslutning till vävnadsprov- erna omfattas alltså inte av begreppet biobank. De vävnadsprover som förvaras i biobanken är märkta med ett identifieringsnummer. Identifieringsnumret kan i sin tur kopplas till de personuppgifter som finns i patientjournaler och register i anslutning till biobanken. Definitionen av biobank innebär, enligt den bedömning som gjordes vid lagens tillkomst, att en biobank med material från levande personer är att anse som personuppgifter. Förvaringen av vävnads- proverna i en biobank har däremot inte ansetts utgöra en sådan helt eller delvis automatiserad behandling som omfattas av dataskydds- regleringen även om behandlingen av personuppgifter i journaler och register är automatiserad. Detta eftersom den automatiserade behandlingen endast anses hänförlig till själva registret och inte till biobanken. Vävnadsproverna i en biobank är endast sökbara på ett kriterium, identifieringsnumret. Biobanken anses därför inte heller

521

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

utgöra sådana personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, eftersom det krävs mer än en sökingång för att omfattas av dataskyddsregler- ingen.1 Det innebär att varken personuppgiftslagen eller dataskydds- förordningen är tillämplig på själva biobanken. Såväl personuppgifts- lagen som dataskyddsförordningen är däremot tillämplig på auto- matiserad behandling i patientjournaler eller register som finns i anslutning till biobanken.

Regeringen har uttalat att hanteringen av vävnadsprover i en biobank ändå är så integritetskänslig att den i allt väsentligt bör uppfylla krav på integritetsskydd motsvarande de i dataskydds- direktivet och personuppgiftslagen. Det ingår inte i utredningens uppdrag att se över de bestämmelser som inte berör sådan behand- ling av personuppgifter som omfattas av dataskyddsförordningen. Utredningen om regleringen av biobanker har i uppdrag att göra en översyn av lagen om biobanker i hälso- och sjukvården m.m. i sin helhet.2

Förutom reglering av biobanker innehåller lagen om biobanker i hälso- och sjukvården m.m. och den tillhörande förordningen vissa bestämmelser om behandling av personuppgifter, nämligen bestäm- melser om vissa register som ska föras, patientjournaler, rättelse, skadestånd, uppgiftsskyldighet, tillsynsmyndighet och överklagande. I detta avsnitt analyseras om de bestämmelser som berör behand- ling av personuppgifter behöver ändras med anledning av data- skyddsförordningen.

12.1.2 Register över biobanker

Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 2 kap. 6 § första stycket första meningen lagen om biobanker i hälso- och sjukvården m.m. kan behållas.

1 Prop. 2001/02:44 s. 31–32.

2 S 2016:04, dir. 2016:41, delbetänkande SOU 2017:40.

522

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Inspektionen för vård och omsorg ska enligt 2 kap. 6 § första stycket första meningen lagen om biobanker i hälso- och sjukvår- den m.m. föra ett automatiserat register över biobanker.

Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskyddsförord- ningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelsen om ändamål i 2 kap. 6 § första stycket andra meningen lagen om biobanker i hälso- och sjukvården m.m. kan behållas.

Registret över biobanker ska enligt 2 kap. 6 § första stycket andra meningen lagen om biobanker i hälso- och sjukvården m.m. använ- das för tillsyn, i forskningen och för framställning av statistik.

I avsnitt 9.10.1 har utredningen konstaterat att behandling av personuppgifter för ändamål som anges i registerförfattningar redan i tidigare lagstiftningsarbeten måste bedömts ha stöd i de rättsliga grunder som anges i artikel 7 i dataskyddsdirektivet. Ända- målen har, förutom eventuella ändamål som stödjer sig på intresse- avvägningar vid myndigheters behandling, motsvarande stöd i artikel 6.1 i dataskyddsförordningen. Skyldigheten att föra det aktu- ella registret är en rättslig förpliktelse. Ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförordningen.

Bestämmelserna uppfyller, i enlighet med vad som anges i av- snitt 9.10.1, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen och kan därmed behållas.

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 2 kap. 6 § andra stycket lagen om biobanker i hälso- och sjukvården m.m. och 3 § andra stycket förordningen om bio- banker i hälso- och sjukvården m.m. kan och bör behållas.

523

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

I 2 kap. 6 § andra stycket lagen om biobanker i hälso- och sjukvår- den m.m. anges att registret ska innehålla de uppgifter som en an- mälan om inrättande av en biobank ska innehålla, nämligen ända- målet med biobanken, var biobanken ska förvaras, vem som ska ansvara för biobanken och vilken omfattning biobanken avses få. Registret får inte innehålla uppgifter om enskilda från vilka prov tagits. Av 3 § andra stycket förordningen om biobanker i hälso- och sjukvården framgår att registret även ska innehålla vissa upp- gifter om huvudmannen för biobanken och den som ansvarar för biobanken. Registret ska därutöver innehålla uppgift om vissa beslut av Inspektionen för vård och omsorg och uppgift om när material ur en biobank har lämnats ut.

En precisering av vilka personuppgifter som får behandlas i ett register är förenlig med principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen. Principen innebär att uppgif- terna ska vara adekvata, relevanta och inte för omfattande i för- hållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden kring vilka uppgifter som behöver behandlas i registret som har gjorts vid tidigare lagstiftningsarbeten. Medlems- staterna tillåts som redan framgått att införa preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsför- ordningen eller därför att de begränsar en myndighets möjligheter till behandling av personuppgifter. Bestämmelserna i 2 kap. 6 § andra stycket lagen om biobanker i hälso- och sjukvården m.m. och 3 § andra stycket förordningen om biobanker i hälso- och sjukvår- den m.m. kan alltså behållas.

Eftersom uppgifter om de enskilda från vilka prov har tagits inte får behandlas i registret, ska det inte finnas några känsliga person- uppgifter där. Det finns därför inte någon anledning att ta ställning till om det är tillåtet att behandla känsliga personuppgifter i registret.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 2 kap. 6 § tredje stycket lagen om biobanker i hälso- och sjuk- vården m.m.

524

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Utredningen gör samma bedömning när det gäller bestämmelsen om personuppgiftsansvar i lagen om bio- banker i hälso- och sjukvården m.m. Bestämmelsen i 2 kap. 6 § tredje stycket lagen om biobanker i hälso- och sjukvården m.m. kan och bör därför behållas.

Direktåtkomst

Utredningens bedömning: Bestämmelserna om direktåtkomst i 2 kap. 6 § fjärde stycket lagen om biobanker i hälso- och sjuk- vården m.m. samt 3 a § och 3 b § andra stycket förordningen om biobanker i hälso- och sjukvården m.m. kan behållas.

Regeringen får enligt 2 kap. 6 § fjärde stycket lagen om biobanker i hälso- och sjukvården m.m. meddela föreskrifter om vilken myn- dighet som får ha direktåtkomst till uppgifterna i Inspektionen för vård och omsorgs register. Av 3 a § förordningen om biobanker i hälso- och sjukvården m.m. framgår att Socialstyrelsen får medges direktåtkomst till uppgifterna i registret om uppgifterna behövs hos Socialstyrelsen för kunskapsutveckling, statistikframställning, uppföljning, utvärdering eller epidemiologiska studier. Vidare an- ges i 3 b § andra stycket förordningen om biobanker i hälso- och sjukvården m.m. att Socialstyrelsen har rätt att ta del av uppgifterna i registret genom direktåtkomst.

Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske i dataskyddsförordningen. Bestämmelserna om direktåtkomst kan, i enlighet med vad utred- ningen kommit fram till i det avsnittet, behållas. Dataskyddsför- ordningen hindrar inte heller att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Även bemyn- digandet kan därmed vara kvar.

525

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Uppgiftsskyldighet

Utredningens bedömning: Bestämmelsen om uppgiftsskyldig- het i 3 b § första stycket förordningen om biobanker i hälso- och sjukvården m.m. kan behållas.

I 3 b § första stycket förordningen om biobanker i hälso- och sjuk- vården m.m. finns det en bestämmelse som anger att Inspektionen för vård och omsorg under vissa förutsättningar ska lämna uppgif- ter ur registret till Socialstyrelsen.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

12.1.3 Skyldigheten att dokumentera i patientjournal

Utredningens bedömning: Bestämmelsen om vilka uppgifter som ska dokumenteras i en patientjournal i 3 kap. 7 § lagen om biobanker i hälso- och sjukvården m.m. kan och bör behållas.

I 3 kap. 7 § lagen om biobanker i hälso- och sjukvården m.m. anges att vissa uppgifter ska antecknas i provgivarens patientjournal.

Att på det sättet precisera vilka personuppgifter som ska be- handlas i en patientjournal stämmer överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen som innebär att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Medlemsstaterna tillåts som redan nämnts att införa mer specifika bestämmelser i den nationella lagstiftningen för sina myndigheter. Det är också tillåtet att införa sådana bestämmelser för enskilda under förutsättning att den aktuella behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i data- skyddsförordningen.

526

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Lagen om biobanker i hälso- och sjukvården m.m. är enligt 1 kap. 3 § tillämplig på en biobank som inrättats i Sverige i en vård- givares hälso- och sjukvårdsverksamhet, oavsett var materialet i biobanken förvaras. Med hälso- och sjukvård avses enligt 1 kap. 2 § verksamhet som omfattas av hälso- och sjukvårdslagen (2017:30) eller tandvårdslagen (1985:125). Lagen är också tillämplig på väv- nadsprover från en vårdgivares biobank som har lämnats ut för att förvaras och användas hos en annan vårdgivare, en enhet för forsk- ning eller diagnostik, en offentlig forskningsinstitution, ett läke- medelsbolag eller en annan juridisk person och vilka även efter ut- lämnandet kan härledas till den eller de människor från vilka de här- rör. Lagen gäller i tillämpliga delar även för vävnadsprover som tas och samlas in för transplantationsändamål enligt lagen (1995:831) om transplantation m.m. Patientdatalagen (2008:355) är enligt 1 kap. 1 § den lagen tillämplig vid vårdgivares behandling av per- sonuppgifter inom hälso- och sjukvården. I likhet med vad som gäller enligt lagen om biobanker i hälso- och sjukvården avses med hälso- och sjukvård enligt 1 kap. 3 § patientdatalagen bl.a. verksam- het enligt hälso- och sjukvårdslagen och tandvårdslagen. Patient- datalagen gäller i vårdgivarens kärnverksamhet, dvs. då vårdgivaren tillhandahåller hälso- och sjukvård åt patienter, såsom åtgärder för att förebygga, utreda och behandla sjukdomar och skador hos män- niskor. I kärnverksamheten ingår även annan närliggande patient- verksamhet som insemination, abort, sterilisering, omskärelse, transplantationsingrepp på givare och blodgivning m.m. Behandling av personuppgifter som sker vid forskning omfattas däremot inte av patientdatalagens tillämpningsområde, om det inte är fråga om en vårdgivares s.k. patientnära eller kliniska forskning som inne- fattar patientjournalföring eller annan dokumentation som hör till vården.3 När det gäller den nu aktuella skyldigheten att anteckna uppgifter i patientjournalen torde alltså patientdatalagen vara tillämp- lig på behandlingen av personuppgifter i patientjournalen oavsett i vilket syfte vävnadsproverna hanteras. Att en del av patientens kropp tagits bort för att förvaras i en biobank förefaller i vart fall relevant att för hälso- och sjukvårdsändamål notera i patientens journal, liksom andra kroppsliga ingrepp.

3 Prop. 2007/08:126 s. 222.

527

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Utredningen har i avsnitt 10.1.7 gjort bedömningen att behand- ling av personuppgifter som sker i syfte att fullgöra skyldigheten att föra patientjournal eller annan dokumentation är nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c i dataskydds- förordningen. Samma bedömning görs när det gäller dokumentations- skyldigheten enligt lagen om biobanker i hälso- och sjukvård m.m.

Eftersom behandlingen sker med stöd av den rättsliga grunden i artikel 6.1 c i dataskyddsförordningen, är det alltså tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen att precisera vilka upp- gifter som ska antecknas i journalen även för privata subjekt. Utredningen utgår från de överväganden kring vilka uppgifter som behöver antecknas i en patientjournal som har gjorts vid tidigare lagstiftningsarbeten.

Skyldigheten att anteckna uppgifter i en patientjournal innebär att känsliga personuppgifter som rör hälsa kan komma att behand- las där. Utredningen har i avsnitt 10.1.10 gjort bedömningen att behandling av känsliga personuppgifter i den verksamhet som patient- datalagen omfattar kan ske med stöd av undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Samma bedömning görs beträffande de nu aktuella uppgifterna. Utredningen har i av- snitt 10.1.10 föreslagit att en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i patientdatalagen. Någon sådan bestämmelse behöver därför inte tas in i lagen om biobanker i hälso- och sjukvården m.m. Bestäm- melsen om vad som ska antecknas i patientjournalen kan och bör därmed behållas.

12.1.4 Utlämnande av journalhandling

Utredningens förslag: Hänvisningen i 4 kap. 4 a § lagen om bio- banker i hälso- och sjukvården m.m. till personuppgiftslagen ersätts med en hänvisning till dataskyddsförordningen och den föreslagna forskningsdatalagen.

Utredningens bedömning: Bestämmelsen om utlämnande av journalhandling i 4 kap. 4 a § lagen om biobanker i hälso- och sjukvården m.m. kan behållas i övrigt. Bestämmelsen om pröv- ning av utlämnandefrågan i 4 kap. 6 a § lagen om biobanker i

528

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

hälso- och sjukvården m.m. påverkas inte av dataskyddsförord- ningen.

Skyldighet att lämna ut journalhandlingar

I 4 kap. lagen om biobanker i hälso- och sjukvården m.m. regleras utlämnande av vävnadsprover ur en biobank. Vävnadsproverna ska som huvudregel vara avidentifierade eller kodade när de lämnas ut. I kapitlet regleras också utlämnande av journalhandlingar från en- skilt bedriven vård. En journalhandling inom enskild hälso- och sjukvård som rör en viss patient ska enligt 4 kap. 4 a § lagen om biobanker i hälso- och sjukvården m.m. lämnas ut på begäran av den som fått tillgång till kodat humanbiologiskt material från den patienten, om patienten har lämnat samtycke. I bestämmelsen an- ges det också att i fråga om vissa känsliga personuppgifter finns föreskrifter i personuppgiftslagen. Bestämmelsen innebär alltså en skyldighet att under vissa förutsättningar lämna ut uppgifter.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelser om uppgiftsskyldighet behöver alltså inte ändras med anledning av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den reglering om dataskydd som finns i bl.a. dataskydds- förordningen beaktas.

En förutsättning för att uppgiftsskyldigheten ska inträda är att patienten har lämnat samtycke. Krav på samtycke utgör, enligt den bedömning utredningen har gjort i avsnitt 9.16.2, en form av skyddsåtgärd. Bestämmelser om skyddsåtgärder är tillåtna för myn- digheter. Eftersom behandlingen av personuppgifter i patient- journaler sker på grund av en rättslig förpliktelse, får bestämmel- sen, i enlighet med vad som anges i samma avsnitt, anses tillåten även för enskildas behandling såsom preciseringar enligt artikel 6.3 i dataskyddsförordningen. Kravet på samtycke är därmed förenligt med dataskyddsförordningens reglering och kan behållas.

I 4 kap. 4 a § lagen om biobanker i hälso- och sjukvården m.m. anges också, i en andra mening, att det i fråga om vissa känsliga personuppgifter finns föreskrifter i personuppgiftslagen. Det som avses med hänvisningen är enligt förarbetsuttalanden att om käns-

529

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

liga personuppgifter ska lämnas ut krävs det enligt 15 § personupp- giftslagen att den registrerade har lämnat sitt uttryckliga samtycke eller att behandlingen har godkänts av en forskningsetisk kommitté enligt 19 § första stycket personuppgiftslagen.4 Syftet med hänvis- ningen till personuppgiftslagen verkar alltså vara att det samtycke som avses i paragrafens första mening ska vara ”uttryckligt”, om utlämnandet innebär att personuppgifter behandlas enligt person- uppgiftslagen och det inte finns ett forskningsetiskt godkännande. Detta har tydligen avsetts gälla trots att personuppgiftslagen är subsidiär i förhållande till uppgiftsskyldigheten enligt paragrafen. Dataskyddsförordningen är däremot tvingande. Om ett utläm- nande av känsliga personuppgifter enligt dataskyddsförordningen får ske bara med samtycke, ska det samtycket enligt artikel 9.2 a i dataskyddsförordningen vara uttryckligt.

Eftersom personuppgiftslagen kommer att upphöra att gälla i samband med att dataskyddsförordningen börjar tillämpas, kan inte hänvisningen till den lagen vara kvar. Hänvisningen bör, när det gäller kravet på uttryckligt samtycke, ändras till att avse data- skyddsförordningen. Hänvisningen bör vara dynamisk, dvs. avse vid var tid gällande lydelse av bestämmelsen, eftersom artikel 9.2 a i dataskyddsförordningen är direkt tillämplig.

En bestämmelse liknande den som finns i 19 § första stycket personuppgiftslagen har föreslagits av Forskningsdatautredningen. Av 11 § första stycket i förslaget till forskningsdatalag framgår att känsliga personuppgifter får behandlas med stöd av artikel 9.2 j i dataskyddsförordningen om behandlingen är nödvändig för forsk- ningsändamål och om behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor.5 Bestämmelsen i 4 kap. 4 a § lagen om biobanker i hälso- och sjukvården m.m. bör därför innehålla en hänvisning även till den lagen.

4 Prop. 2001/02:44 s. 51 och 87.

5 SOU 2017:50.

530

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Prövningen av frågan om utlämnande av journalhandlingar

Bestämmelsen om i vilken ordning en fråga om utlämnande av en journalhandling inom enskild hälso- och sjukvård ska prövas i 4 kap. 6 a § lagen om biobanker i hälso- och sjukvården m.m. är inte en bestämmelse om dataskydd. Någon prövning mot dataskydds- förordningen bedöms därför inte behöva göras när det gäller denna bestämmelse.

12.1.5 Uppgiftsskyldighet

Utredningens bedömning: Bestämmelsen om skyldighet att lämna ut uppgifter i 4 kap. 11 § lagen om biobanker i hälso- och sjukvården m.m. kan behållas.

I 4 kap. 11 § lagen om biobanker i hälso- och sjukvården m.m. anges att en vårdgivare ska lämna personuppgifter för införande i ett register som förvaras i anslutning till en biobank hos en annan vårdgivare. Skyldigheten gäller endast om den registrerade, eller annan som enligt lagen kan lämna samtycke i vissa situationer, har informerats om och uttryckligen samtyckt till utlämnandet. Be- stämmelsen innebär alltså en skyldighet att under vissa förutsätt- ningar lämna ut uppgifter.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelser om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

En av förutsättningarna för att uppgiftsskyldigheten ska inträda är att det lämnats ett uttryckligt samtycke. Krav på samtycke utgör, enligt den bedömning utredningen har gjort i avsnitt 9.16.2, en form av skyddsåtgärd. Bestämmelser om skyddsåtgärder är tillåtna för myndigheter. Eftersom bestämmelsen avser behandling av per- sonuppgifter som sker på grund av en rättslig förpliktelse, får bestämmelsen, i enlighet med vad som anges i det avsnittet, anses tillåten även för enskildas behandling såsom en precisering enligt

531

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

artikel 6.3 i dataskyddsförordningen. Kravet på samtycke är där- med förenligt med dataskyddsförordningens reglering och kan behållas. Samtycket ska vara uttryckligt, vilket innebär att även känsliga personuppgifter kan lämnas ut. Att samtycket ska föregås av information om den aktuella behandlingen följer av definitionen av samtycke i artikel 4 i dataskyddsförordningen.

I bestämmelsen anges att personuppgifterna ska införas i ett register som förvaras i anslutning till en biobank hos en annan vård- givare. För det fall ett sådant register förs helt eller delvis automati- serat eller utgör en sådan strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, och alltså omfattas av dataskyddsförordningens tillämpningsområde, måste behandlingen av personuppgifter i registret utföras i enlighet med dataskydds- förordningens bestämmelser. Lagen innehåller inte någon reglering av registret. Någon bedömning av ett sådant registers förenlighet med dataskyddsförordningen görs därför inte av utredningen.

12.1.6PKU-registret

Förande av PKU-registret

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om förande av PKU-registret i 5 kap. 4 § första stycket lagen om biobanker i hälso- och sjuk- vården m.m.

Stockholms läns landsting får, enligt 5 kap. 4 § lagen om biobanker i hälso- och sjukvården m.m. och 2 § förordningen om biobanker i hälso- och sjukvården m.m., med hjälp av automatiserad behandling eller annan behandling av personuppgifter föra ett särskilt register för screening av prover från nyfödda barn för vissa ämnesomsätt- ningsrubbningar (PKU-registret).

Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon får föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskyddsför- ordningens bestämmelser.

532

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 5 kap. 4 § andra stycket lagen om biobanker i hälso- och sjuk- vården m.m.

Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Utredningen gör samma bedömning när det gäller bestämmelsen om personuppgiftsansvar i lagen om bio- banker i hälso- och sjukvården m.m. Bestämmelsen i 5 kap. 4 § andra stycket lagen om biobanker i hälso- och sjukvården m.m. kan och bör därmed behållas.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelsen om ändamål i 5 kap. 5 § lagen om biobanker i hälso- och sjukvården m.m. kan be- hållas.

PKU-registret får enligt 5 kap. 5 § lagen om biobanker i hälso- och sjukvården m.m. användas endast för de ändamål som anges i 5 kap. 2 §. Det som avses är analyser och andra undersökningar för att spåra och diagnostisera ämnesomsättningssjukdomar, retrospektiv diagnostik av andra sjukdomar hos enskilda barn, epidemiologiska undersökningar, uppföljning, utvärdering och kvalitetssäkring av verksamheten samt klinisk forskning och utveckling. Registret får även användas för framställning av statistik.

Behandling av personuppgifter för de ändamål som anges i lagen om biobanker i hälso- och sjukvården m.m. får anses nödvändig för att utföra en arbetsuppgift av allmänt intresse och har därmed stöd i artikel 6.1 e i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte i enlighet med vad som anges i avsnitt 9.10.1. Bestämmelserna upp- fyller, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen och kan därmed behållas.

533

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Finalitetsprincipen är inte tillämplig

I bestämmelsen anges att PKU-registret endast får användas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att behandla personuppgifter i registret för andra ändamål än de som anges i bestämmelsen, även om dessa andra ändamål inte är oförenliga med det ändamål för vilket uppgifterna har samlats in.

Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskydds- förordningen. Där framgår bl.a. att personuppgifter inte får be- handlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i data- skyddsdirektivet. Medlemsstaterna får, i enlighet med vad utred- ningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till be- handling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas.

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 5 kap. 6 § lagen om biobanker i hälso- och sjukvården m.m. kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

I 5 kap. 6 § lagen om biobanker i hälso- och sjukvården m.m. anges vilka uppgifter som får registreras i PKU-registret. Registret får endast innehålla uppgifter om moderns namn, personnummer och hemort, graviditetens längd, barnets födelsetid och kön samt vid flerbörd, ordningstal, den enhet inom sjukvården som tagit provet, diagnos, uppgifter om behandling av diagnostiserade sjukdomar och samtycke från barnets vårdnadshavare.

534

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Som anges i avsnitt 9.13 kan och bör bestämmelser om behand- ling av personnummer behållas. När det i övrigt gäller den preciser- ing av vilka personuppgifter som får behandlas i registret stämmer denna väl överens med principen om uppgiftsminimering i arti- kel 5.1 c i dataskyddsförordningen som innebär att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen utgår från de övervä- ganden kring vilka uppgifter som behöver behandlas i registret som har gjorts vid tidigare lagstiftningsarbeten. Sådana preciseringar är som redan nämnts tillåtna enligt artikel 6.2 och 6.3 i dataskydds- förordningen eller därför att de begränsar en myndighets möjlig- heter till behandling av personuppgifter.

Känsliga personuppgifter

I PKU-registret kan det alltså förekomma känsliga personuppgifter om hälsa. Utredningen har ovan gjort bedömningen att behand- lingen av personuppgifter i registret är tillåten, eftersom den är nöd- vändig för att utföra en arbetsuppgift av allmänt intresse. Behand- lingen av känsliga personuppgifter får också anses vara nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel 9.2 g i data- skyddsförordningen och är alltså, i enlighet med vad som anges i avsnitt 9.11.3, förenlig med dataskyddsförordningen.

För att ett undantag ska vara tillåtet med stöd av artikel 9.2 g i dataskyddsförordningen krävs dock att regleringen omfattar be- stämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Bestäm- melser om tystnadsplikt kan enligt utredningens bedömning utgöra sådana lämpliga skyddsåtgärder.6 De uppgifter som behandlas i PKU-registret omfattas av bestämmelser om tystnadsplikt i 25 kap. offentlighets- och sekretesslagen (2009:400). Den regleringen till- sammans med regleringen av registret i lagen om biobanker i hälso- och sjukvården m.m. är enligt utredningens bedömning tillräcklig för att uppfylla kravet på skyddsåtgärder.

6 Se undantaget för behandling av känsliga personuppgifter på folkhälsoområdet i artikel 9.2 i dataskyddsförordningen som anger tystnadsplikt som ett exempel på en lämplig och specifik åtgärd för att skydda den registrerades rättigheter och friheter.

535

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter får behandlas under samma förutsätt- ningar som andra personuppgifter inom den nu aktuella lagstift- ningens tillämpningsområde, påverkar det inte regleringen att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen.

Sammanfattningsvis gör alltså utredningen bedömningen att bestämmelsen i 5 kap. 6 § lagen om biobanker i hälso- och sjuk- vården m.m. kan och bör behållas.

Uppgiftsskyldighet

Utredningens bedömning: Bestämmelsen om skyldighet att lämna uppgifter i 5 kap. 7 § lagen om biobanker i hälso- och sjuk- vården m.m. kan behållas.

En vårdgivare är enligt 5 kap. 7 § lagen om biobanker i hälso- och sjukvården m.m. skyldig att lämna de uppgifter som anges i 5 kap. 6 § till PKU-registret när vävnadsprov har tagits på ett ny- fött barn. En förutsättning för uppgiftsskyldigheten är att vård- nadshavaren har fått viss information om registreringen och ut- tryckligen samtyckt till utlämnandet.

Bestämmelsen innebär alltså en skyldighet att under vissa förut- sättningar lämna ut uppgifter. Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirek- tivet. Bestämmelser om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den personuppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

En av förutsättningarna för att uppgiftsskyldigheten ska inträda är att ett uttryckligt samtycke har lämnats. Krav på samtycke utgör, enligt den bedömning utredningen har gjort i avsnitt 9.16.2, en form av skyddsåtgärd. Bestämmelser om skyddsåtgärder är tillåtna för myndigheter. Eftersom bestämmelsen avser behandling av person-

536

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

uppgifter som sker på grund av en rättslig förpliktelse, får bestäm- melsen, i enlighet med vad som anges i det avsnittet, anses tillåten även för enskildas behandling såsom en precisering enligt artikel 6.3 i dataskyddsförordningen. Kravet på samtycke är därmed förenligt med dataskyddsförordningens reglering och kan behållas. Sam- tycket ska vara uttryckligt, vilket innebär att även känsliga person- uppgifter kan lämnas ut. Att samtycket ska föregås av information om den aktuella behandlingen följer av definitionen av samtycke i artikel 4 i dataskyddsförordningen.

12.1.7 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 6 kap. 2 § tredje stycket lagen om biobanker i hälso- och sjukvården m.m. som hänvisar till personuppgiftslagens bestämmelser om rättelse och skade- stånd upphävs.

Bestämmelsen i 6 kap. 2 § tredje stycket lagen om biobanker i hälso- och sjukvården m.m. innehåller en hänvisning till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Bestäm- melsen bör, i enlighet med vad utredningen kommit fram till i av- snitt 9.15.1 och 9.19.1, upphävas.

12.1.8 Tillsyn

Utredningens förslag: Hänvisningen till tillsynsmyndigheten enligt personuppgiftslagen i 6 kap. 3 § första stycket lagen om biobanker i hälso- och sjukvården m.m. ersätts med en hänvis- ning till dataskyddslagen.

I 6 kap. 3 § första stycket andra meningen lagen om biobanker i hälso- och sjukvården m.m. anges att den myndighet som är till- synsmyndighet enligt personuppgiftslagen utövar tillsyn över be- handlingen av personuppgifter. Eftersom personuppgiftslagen kommer att upphävas när dataskyddsförordningen börjar tillämpas, behöver hänvisningen tas bort. I stället bör en hänvisning göras till den myndighet som är tillsynsmyndighet enligt dataskyddslagen.

537

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.1.9 Överklagande

Utredningens förslag: Bestämmelsen om överklagande av be- slut om rättelse och avslag på ansökan om information i 6 kap. 7 § tredje stycket lagen om biobanker i hälso- och sjukvården m.m. tas bort. I en ny paragraf, 6 kap. 7 a § hänvisas till den före- slagna dataskyddslagens bestämmelser om överklagande.

Utredningens bedömning: I övrigt kan bestämmelserna om över- klagande behållas.

I 6 kap. 7 § lagen om biobanker i hälso- och sjukvården finns det bestämmelser om överklagande.7 Bestämmelsen i första stycket avser inte beslut som har samband med behandling av personupp- gifter och kommer därför inte att beröras.

Av bestämmelsens andra stycke framgår att beslut av Inspek- tionen för vård och omsorg får överklagas till allmän förvaltnings- domstol. Inspektionen kan komma att fatta beslut som avser be- handling av personuppgifter. En annan myndighets beslut om rätt- else och avslag på ansökan om information enligt 26 § person- uppgiftslagen får enligt tredje stycket också överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs enligt fjärde stycket vid överklagande till kammarrätten. Beslut som Inspektionen för vård och omsorg eller allmän förvaltningsdomstol meddelar enligt lagen om biobanker i hälso- och sjukvården ska enligt femte stycket gälla omedelbart om inte annat anges i beslutet.

Som anges i avsnitt 9.20 bör de föreslagna överklagandebestäm- melserna i dataskyddslagen gälla även inom registerförfattningarnas tillämpningsområde. Dataskyddslagens bestämmelser om över- klagande bör alltså gälla även för de beslut om behandling av per- sonuppgifter som meddelas av Inspektionen för vård och omsorg som i dag omfattas av bestämmelsen i andra stycket. En sådan ord- ning innebär enligt utredningens bedömning inte någon materiell ändring, eftersom även de föreslagna bestämmelserna i dataskydds- lagen innebär att besluten ska överklagas till allmän förvaltnings- domstol och att det krävs prövningstillstånd vid överklagande till

7 I SOU 2017:40 föreslås vissa ändringar av 6 kap. 7 § lagen om biobanker i hälso- och sjuk- vården träda i kraft den 1 juni 2018.

538

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

kammarrätten. Bestämmelsen i tredje stycket bör därför, i enlighet med utredningens bedömning i avsnitt 9.20, tas bort. I stället bör en hänvisning till den föreslagna dataskyddslagen införas. Eftersom dataskyddslagens överklagandebestämmelser alltså bör gälla även för beslut som fattats av Inspektionen för vård och omsorg i frågor om behandling av personuppgifter, måste bestämmelsen formuleras så att alla myndigheters beslut omfattas. Av tydlighetsskäl bör be- stämmelsen införas i en egen paragraf.

Bestämmelsen i femte stycket, som innebär att beslut som Inspektionen för vård och omsorg meddelar enligt biobankslagen ska gälla omedelbart, synes inte omfatta beslut om behandling av personuppgifter. De beslut om behandling av personuppgifter som Inspektionen för vård och omsorg meddelar och som kan överklagas i dag torde vara fattade enligt personuppgiftslagens bestämmelser. Bestämmelsen i femte stycket kan därför vara kvar oförändrad. Övriga bestämmelser om överklagande påverkas inte av dataskydds- förordningen och kan därför behållas.

12.2 Lagen (2006:351) om genetisk integritet m.m.

12.2.1 Inledning

Lagen (2006:351) om genetisk integritet m.m. innehåller bestäm- melser om begränsningar i användningen av viss bioteknik som utvecklats för medicinska ändamål såsom bestämmelser om genetiska undersökningar, genetisk information, genterapi, fosterdiagnostik, insemination och befruktning utanför kroppen. Lagen innehåller även vissa bestämmelser om behandling av personuppgifter, nämli- gen bestämmelser om förhållandet till personuppgiftslagen, skyl- dighet att göra journalanteckningar, bevarande och uppgiftsskyl- dighet. I detta avsnitt analyseras om de bestämmelser som berör behandling av personuppgifter behöver ändras med anledning av dataskyddsförordningen. Den tillhörande förordningen (2006:358) om genetisk integritet m.m. innehåller inte några bestämmelser med anknytning till dataskyddsförordningen och kommer därför inte att beröras.

539

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.2.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 1 kap. 4 § lagen om gene- tisk integritet m.m. ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen när det gäller behandling av personuppgifter.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om genetisk integritet m.m. eller före- skrifter som meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

12.2.3 Skyldigheten att föra journal och bevarande

Utredningens bedömning: Bestämmelserna om journalföring och bevarande i 6 kap. 4 § tredje och fjärde meningarna och 7 kap. 6 § tredje stycket lagen om genetisk integritet m.m. kan och bör behållas.

I 6 kap. 4 § tredje och fjärde meningarna och 7 kap. 6 § tredje stycket anges att uppgifter om en givare av spermier eller ägg vid insemination respektive befruktning utanför kroppen ska anteck- nas i en särskild journal. Journalen ska bevaras i minst 70 år.

Som anges i avsnitt 10.1.12 är bestämmelserna i 3 kap. patient- datalagen (2008:355) om skyldigheten att föra patientjournal tillämp- liga oavsett om patientjournalen förs automatiserat eller manuellt. I den del bestämmelserna tillämpas på helt eller delvis automatiserad behandling eller manuell behandling av personuppgifter som ingår i eller kommer att ingå i ett register omfattas behandlingen av data- skyddsförordningens reglering. Detsamma gäller för de nu berörda bestämmelserna.

Att som i de nu aktuella bestämmelserna i lagen om genetisk integritet m.m. specificera vilka uppgifter som ska behandlas i en patientjournal överensstämmer med principen om uppgiftsmini- mering i artikel 5.1 c i dataskyddsförordningen. Principen innebär att personuppgifter ska vara adekvata, relevanta och inte för om- fattande i förhållande till de ändamål för vilka de behandlas. Med-

540

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

lemsstaterna tillåts som redan nämnts att införa mer specifika be- stämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen under förutsättning att den aktuella be- handlingen grundar sig på en rättslig förpliktelse eller en arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen eller därför att de avser en myndighets möjligheter till behandling av personupp- gifter. Eftersom även privata aktörer kan medges tillstånd att utföra insemination och befruktning utanför kroppen8, måste det undersö- kas om behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighets- utövning enligt artikel 6.1 c och e i dataskyddsförordningen.

Patientdatalagen är enligt 1 kap. 1 § den lagen tillämplig vid vårdgivares behandling av personuppgifter inom hälso- och sjuk- vården. Med hälso- och sjukvård avses enligt definitionen i 1 kap. 3 § patientdatalagen bl.a. verksamhet enligt lagen om genetisk inte- gritet. Patientdatalagen gäller i vårdgivarens kärnverksamhet, dvs. då vårdgivaren tillhandahåller hälso- och sjukvård åt patienter, såsom åtgärder för att förebygga, utreda och behandla sjukdomar och skador hos människor. I kärnverksamheten ingår även annan närliggande patientverksamhet som insemination, abort, steriliser- ing, omskärelse, transplantationsingrepp på givare och blodgivning m.m. Behandling av personuppgifter som sker vid forskning om- fattas däremot inte av patientdatalagens tillämpningsområde, om det inte är fråga om en vårdgivares s.k. patientnära eller kliniska forskning som innefattar patientjournalföring eller annan doku- mentation som hör till vården.9 Insemination och befruktning utanför kroppen utgör sådan närliggande patientverksamhet, vilket innebär att patientdatalagen är tillämplig på behandling av person- uppgifter som sker i samband med den verksamheten. Den behand- ling av personuppgifter som sker vid journalföringen omfattas av de ändamål som anges i 2 kap. 4 § patientdatalagen. Som anges i avsnitt 10.1.7 sker behandlingen av personuppgifter enligt den lagen med stöd av de rättsliga grunderna i artikel 6.1 c eller e (rätts- lig förpliktelse eller arbetsuppgift av allmänt intresse) i dataskydds- förordningen.

8 Se 6 kap. 2 § och 7 kap. 4 § lagen om genetisk integritet m.m.

9 Prop. 2007/08:126 s. 222.

541

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Eftersom behandlingen sker med stöd av de rättsliga grunderna i artikel 6.1 c eller e i dataskyddsförordningen, är det tillåtet enligt artikel 6.2 och 6.3 i dataskyddsförordningen att även för enskildas behandling precisera vilka uppgifter som ska antecknas i journalen. Bestämmelserna utgör särregler i förhållande till patientdatalagen och gäller utöver de grundläggande bestämmelserna om journal- föring i 3 kap. patientdatalagen.10 Överväganden kring vilka upp- gifter som bör antecknas har gjorts vid tidigare lagstiftningsarbeten och utredningen utgår från att de uppgifter som anges i dessa be- stämmelser behövs för de ändamål för vilka uppgifterna i patient- journalen behandlas.

Skyldigheten att anteckna uppgifter om givare innebär att käns- liga personuppgifter som rör hälsa kan komma att behandlas. Ut- redningen har i avsnitt 10.1.10 gjort bedömningen att behandling av känsliga personuppgifter i den verksamhet som patientdatalagen omfattar kan ske med stöd av undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen. Samma bedömning görs beträffande de nu aktuella uppgifterna. Utredningen har i av- snitt 10.1.10 föreslagit att en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i patientdatalagen. Patientdatalagen är som framgått tillämplig även på den nu aktuella verksamheten. Någon sådan bestämmelse behö- ver därför inte tas in i lagen om genetisk integritet m.m. Innehållet i bestämmelserna om journalföring behöver därmed inte ändras.

Bestämmelser om gallring och bevarande kan, enligt den be- dömning utredningen har gjort i avsnitt 9.17.2, behållas i register- författningar om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskydds- förordningen. Det innebär att även bestämmelserna om bevarande av journaler kan vara kvar.

10 Prop. 2007/08:126 s. 54.

542

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.2.4 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i lagen om genetisk integritet m.m. kan behållas.

I 6 kap. 6 § och 7 kap. 8 § lagen om genetisk integritet m.m. finns det bestämmelser om skyldighet att lämna vissa uppgifter till dom- stol, medan 6 kap. 5 § och 7 kap. 7 § reglerar den enskildes rätt att ta del av uppgifter som antecknats i den särskilda journalen.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

12.3 Lagen (2006:496) om blodsäkerhet

och förordningen (2006:497) om blodsäkerhet

12.3.1 Inledning

I lagen om blodsäkerhet och den tillhörande förordningen om blodsäkerhet finns det bestämmelser om blodverksamhet vid blod- centraler. Syftet med lagen är att skydda människors hälsa när blod och blodkomponenter från människor hanteras för att användas vid transfusion eller tillverkning av läkemedel eller medicintekniska produkter. Lagstiftningen innehåller även vissa bestämmelser om behandling av personuppgifter, nämligen bestämmelser om förhåll- andet till personuppgiftslagen, vissa register som ska föras, rättelse, skadestånd och uppgiftsskyldighet. I detta avsnitt analyseras om de bestämmelser som berör behandling av personuppgifter behöver ändras med anledning av dataskyddsförordningen.

543

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.3.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 5 § lagen om blodsäker- het ska innehålla en upplysning om att lagen kompletterar data- skyddsförordningen när det gäller behandling av personuppgifter.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om blodsäkerhet eller föreskrifter som meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

12.3.3 Register som förs av den som har tillstånd att bedriva blodverksamhet

Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 16 § första stycket första och tredje meningarna lagen om blodsäkerhet kan behållas.

I 16 § första stycket lagen om blodsäkerhet anges att den som har tillstånd att bedriva blodverksamhet ska föra ett register med upp- gifter om blodverksamheten, blodgivare, blodmottagare och gjorda kontroller av blod och blodkomponenter. Registret får enligt tredje meningen i samma stycke föras med hjälp av automatiserad be- handling. Skyldigheten att ha ett system för spårbarhet följer av ett EU-direktiv.11

Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskyddsförord- ningens bestämmelser.

11 Se t.ex. artikel 13.1 i Europaparlamentets och rådets direktiv 2002/98/EG av den 27 januari 2003 om fastställande av kvalitets- och säkerhetsnormer för insamling, kontroll, fram- ställning, förvaring och distribution av humanblod och blodkomponenter och om ändring av direktiv 2001/83/EG.

544

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelsen om ändamål i 16 § första stycket andra meningen lagen om blodsäkerhet kan be- hållas.

Registret över blodverksamheten får enligt 16 § första stycket andra meningen lagen om blodsäkerhet endast ha till ändamål att göra det möjligt att spåra blod och blodkomponenter och att för- hindra att smittat blod och blodkomponenter överförs till männi- skor.

Skyldigheten att föra det aktuella registret är en rättslig förplik- telse. Ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförord- ningen. Någon ytterligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestämmelserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen och kan därmed be- hållas.

Finalitetsprincipen är inte tillämplig

I bestämmelsen anges att registret över blodverksamheten endast får användas för vissa angivna ändamål. Det innebär att finalitets- principen inte gäller. Det är alltså inte tillåtet att behandla person- uppgifter i registret för andra ändamål än de som anges i bestäm- melsen även om dessa andra ändamål inte är oförenliga med det ändamål för vilket uppgifterna har samlats in.

Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskydds- förordningen. Där framgår bl.a. att personuppgifter inte får be- handlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i data- skyddsdirektivet. Medlemsstaterna får, i enlighet med vad utred- ningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen. Det är också, som utredningen konstaterat i

545

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till be- handling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas.

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 16 § andra stycket och 20 § lagen om blodsäkerhet, såvitt avser de register som förs av blodverksamheterna, samt 7 a § förordningen om blodsäkerhet kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

I 16 § andra stycket lagen om blodsäkerhet anges de personupp- gifter registret får innehålla. Registret får i fråga om personuppgif- ter endast innehålla uppgifter om blodgivarens identitet, blodgiva- rens uppgivna sjukdomshistoria, resultatet av gjorda kontroller av blodgivarens blod och blodkomponenter, samt blodmottagarens identitet. Regeringen, eller den myndighet regeringen bestämmer, får enligt 20 § lagen om blodsäkerhet meddela närmare föreskrifter om vilka uppgifter registret ska innehålla. Regeringen har enligt 7 a § förordningen om blodsäkerhet delegerat till Inspektionen för vård och omsorg respektive Läkemedelsverket att meddela närmare föreskrifter om registrets innehåll.

En precisering av vilka personuppgifter som får behandlas är förenlig med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Utredningen utgår från de övervägan- den kring vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Medlemsstaterna tillåts som redan framgått att införa preciseringar i den nationella lag- stiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndighets möjligheter till behandling av personuppgifter. Bestämmelserna i 16 § andra stycket och 20 § lagen om blodsäkerhet, när det gäller de register som förs av blod-

546

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

verksamheterna, samt 7 a § förordningen om blodsäkerhet kan alltså behållas.

Känsliga personuppgifter

De personuppgifter som får behandlas i registret omfattar även uppgifter om hälsa. För att känsliga personuppgifter ska få behandlas i registret krävs det att behandlingen ryms inom något av undan- tagen i artikel 9.2 i dataskyddsförordningen. Vad som omfattas av hälso- och sjukvårdsundantaget i artikel 9.2 h i dataskyddsförord- ningen framgår av avsnitt 9.11.4.

Lagen om blodsäkerhet reglerar verksamheten vid blodcentral- erna oavsett om blod och blodkomponenter hanteras för att använ- das vid blodtransfusion eller vid läkemedelstillverkning. Det register som avses i 16 § lagen om blodverksamhet ska föras oberoende av i vilket av dessa syften blodet hanteras. De flesta blodcentraler hanterar blod och blodkomponenter avsedda att användas såväl vid transfusion som vid läkemedelstillverkning.12 När blod hanteras i av- sikt att använda det vid transfusion är verksamheten att betrakta som hälso- och sjukvård enligt hälso- och sjukvårdslagen (2017:30). Hantering av blod som ska användas vid läkemedelstillverkning har däremot inte primärt vård- eller behandlingssyfte och är därför inte att betrakta som hälso- och sjukvård enligt hälso- och sjukvårds- lagen.13

Utredningen bedömer mot den bakgrunden att behandling av känsliga personuppgifter i de register som förs av blodcentralerna får anses omfattas av undantaget för hälso- och sjukvård i arti- kel 9.2 h i dataskyddsförordningen när syftet med hanteringen av blodet är att det ska användas vid blodtransfusion. Enligt artikel 9.3 i dataskyddsförordningen krävs det också att uppgifterna behandlas av eller under ansvar av någon som omfattas av tystnadsplikt. Personalen vid blodverksamheterna omfattas av bestämmelser om tystnadsplikt i offentlighets- och sekretesslagen (2009:400), patient-

12 Prop. 2005/06:141 s. 71.

13 I prop. 2005/06:141 s. 29–30 hänvisas till den tidigare gällande hälso- och sjukvårdslagen (1982:763). Eftersom definitionen av vad som utgör hälso- och sjukvård är densamma i den nu gällande hälso- och sjukvårdslagen är den bedömning som gjorts i förarbetena fortfarande aktuell.

547

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

säkerhetslagen (2010:659) och lagen om blodsäkerhet. I de fall blod- verksamhet är att betrakta som hälso- och sjukvård är även bestäm- melserna i patientdatalagen (2008:355) tillämpliga.14 Utredningen har i avsnitt 10.1.10 föreslagit att en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförord- ningen tas in i patientdatalagen. Någon sådan bestämmelse behöver därför inte tas in i lagen om blodsäkerhet.

Det är inte lika självklart att den behandling av känsliga person- uppgifter som sker i samband med att blod hanteras för att användas vid tillverkning av läkemedel omfattas av hälso- och sjukvårds- undantaget. Behandlingen har troligen tillåtits med stöd av arti- kel 8.4 i dataskyddsdirektivet, eftersom den behövs med hänsyn till ett viktigt allmänt intresse. Bestämmelser i registerförfattningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet är, i enlighet med vad utredningen konstaterat i avsnitt 9.11.3, förenliga med artikel 9.2 g i data- skyddsförordningen och kan och bör behållas. I artikel 9.2 i i data- skyddsförordningen har det dock, som anges i avsnitt 9.11.5, tillkom- mit ett nytt undantag från förbudet att behandla känsliga person- uppgifter som avser folkhälsoområdet. Som framgår av avsnitt 9.11.5 är behovet av att säkerställa ett skydd mot allvarliga gränsöver- skridande hot mot hälsan eller säkerställa höga kvalitets- och säker- hetsnormer för vård och läkemedel eller medicintekniska produkter exempel på skäl som motiverar behandling av känsliga personupp- gifter med stöd av artikeln. Eftersom syftet med det EU-direktiv som genomförts genom lagen om blodsäkerhet är att skydda folk- hälsan och hindra överföring av smittsamma sjukdomar, bedöms undantaget i artikel 9.2 i i dataskyddsförordningen mer relevant att tillämpa när det gäller behandling av känsliga personuppgifter som sker i samband med att blod hanteras för att användas vid tillverk- ning av läkemedel.

Personalen vid blodcentralerna omfattas som anges ovan redan av bestämmelser om tystnadsplikt i offentlighets- och sekretess- lagen, patientsäkerhetslagen och lagen om blodsäkerhet. Den regler- ingen tillsammans med regleringen av registret i lagen om blod-

14 I prop. 2005/06:141 s. 51 anges att det är patientjournallagen och vårdregisterlagen som ska tillämpas parallellt med lagen om blodregister. Eftersom dessa lagar har ersatts av patientdatalagen är det numera den lagen som ska tillämpas.

548

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

säkerhet är enligt utredningens bedömning tillräcklig för att till- godose kravet på skyddsåtgärder i artikel 9.2 i i dataskyddsförord- ningen. Registret förs på grundval av nationell lagstiftning vilket också är ett krav enligt den artikeln.

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter får behandlas under samma förutsätt- ningar som andra personuppgifter inom den nu aktuella lagstift- ningens tillämpningsområde, påverkar det inte regleringen att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen.

Sammanfattningsvis gör alltså utredningen den bedömningen att känsliga personuppgifter alltjämt kan och bör få behandlas i registret.

Bemyndigande

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Även bestämmelserna med bemyndiganden att meddela ytterligare före- skrifter kan därmed behållas.

Gallring och bevarande

Utredningens bedömning: Bestämmelsen om gallring i 16 § tredje stycket lagen om blodsäkerhet kan behållas. Även delega- tionsbestämmelserna i 17 § lagen om blodsäkerhet samt 7 b § förordningen om blodsäkerhet kan behållas.

Bestämmelser om gallring och bevarande kan, enligt den bedöm- ning utredningen har gjort i avsnitt 9.17.2, behållas i registerförfatt- ningar om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Detsamma gäller bemyndiganden att meddela föreskrifter om bevarande. Det innebär att bestämmelsen om gallring i 16 §

549

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

tredje stycket lagen om blodsäkerhet samt delegationsbestämmel- serna i 17 § lagen om blodsäkerhet samt 7 b § förordningen om blodsäkerhet kan vara kvar.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 16 § fjärde stycket lagen om blodsäkerhet.

Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Utredningen gör samma bedömning när den gäller bestämmelsen om personuppgiftsansvar i lagen om blod- säkerhet. Bestämmelsen i 16 § fjärde stycket lagen om blodsäkerhet kan och bör därmed behållas.

12.3.4 Register som förs av Inspektionen för vård och omsorg

Skyldighet att föra register

Utredningens bedömning: Bestämmelserna om skyldighet att föra register i 18 § första stycket första meningen lagen om blodsäkerhet kan behållas.

Inspektionen för vård och omsorg ska, enligt 18 § första stycket första meningen lagen om blodsäkerhet, med hjälp av automati- serad behandling, föra ett register över dem som har tillstånd att bedriva blodverksamhet. Skyldigheten att föra registret härrör från ett EU-direktiv.15

Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person-

15 Se artikel 13.2 i Europaparlamentets och rådets direktiv 2002/98/EG av den 27 januari 2003 om fastställande av kvalitets- och säkerhetsnormer för insamling, kontroll, framställ- ning, förvaring och distribution av humanblod och blodkomponenter och om ändring av direktiv 2001/83/EG.

550

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

uppgifter i registret måste dock vara förenlig med dataskydds- förordningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna om ändamål i 18 § första stycket andra meningen och 18 § andra stycket lagen om blodsäkerhet kan behållas.

Registret som Inspektionen för vård och omsorg ska föra har enligt 18 § första stycket andra meningen lagen om blodsäkerhet till ändamål att ge offentlighet åt vem som har tillstånd, anmälningar om allvarliga avvikande händelser enligt 15 § lagen om blodsäker- het, anmälningar om händelser som har medfört eller hade kunnat medföra allvarliga vårdskador enligt 3 kap. 5 § patientsäkerhets- lagen (2010:659) i samband med blodtransfusion, och tidpunkterna för inspektion och kontroll enligt 12 § lagen om blodsäkerhet. Registret får enligt 18 § andra stycket lagen om blodsäkerhet också användas för tillsyn, forskning och framställning av statistik.

Inspektionen för vård och omsorg är skyldig att föra registret, vilket innebär att förandet av registret är en rättslig förpliktelse. De angivna ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har därmed stöd i artikel 6.1 c i dataskydds- förordningen. Någon ytterligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utredningen konsta- terat i avsnitt 9.10.1. Bestämmelserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grun- den som ställs i artikel 6.3 i dataskyddsförordningen. Bestämmel- serna behöver därmed inte ändras med anledning av dataskydds- förordningen.

551

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 18 § tredje stycket och 20 § lagen om blodsäkerhet, såvitt avser Inspektionen för vård och omsorgs register, samt 7 § för- ordningen om blodsäkerhet kan och bör behållas.

I registret får, enligt 18 § tredje stycket lagen om blodsäkerhet, personuppgifter inte registreras om andra än dem som har tillstånd att bedriva blodverksamhet och om verksamhetschefen. Reger- ingen får enligt 20 § lagen om blodsäkerhet meddela närmare före- skrifter om vilka uppgifter registret ska innehålla. Regeringen har i 7 § förordningen om blodsäkerhet föreskrivit att registret, utöver vad som anges i lagen, ska innehålla uppgifter om blodcentralens namn och adress, verksamhetschefens namn och adress, och ända- målet med verksamheten och dess omfattning.

Att på detta sätt precisera vilka personuppgifter som får be- handlas stämmer överens med principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden om vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Sådana preciser- ingar är, som redan framgått, tillåtna i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndighets möjligheter till behandling av person- uppgifter. Bestämmelserna i 18 § tredje stycket och 20 § lagen om blodsäkerhet, i fråga om det register som förs av Inspektionen för vård och omsorg, kan och bör därmed behållas. Även bestämmel- sen i 7 § förordningen om blodsäkerhet bör vara kvar.

Eftersom det endast är personuppgifter om tillståndsinnehava- ren och verksamhetschefen som får förekomma i registret och inte några uppgifter om de som lämnat eller fått blod, ska det inte finnas några känsliga personuppgifter i registret. Det behöver där- för inte göras någon bedömning av om det är tillåtet att behandla känsliga personuppgifter i registret.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras.

552

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Även bestämmelserna med bemyndiganden att meddela ytterligare föreskrifter kan därmed behållas.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 18 § fjärde stycket lagen om blodsäkerhet.

Bestämmelser om personuppgiftsansvar i registerförfattningar be- höver, som framgått av avsnitt 9.7, inte ändras med anledning av dataskyddsförordningen. Detsamma gäller enligt utredningens be- dömning bestämmelsen om personuppgiftsansvar i lagen om blod- säkerhet. Bestämmelsen i 18 § fjärde stycket lagen om blodsäkerhet kan och bör därmed behållas.

Direktåtkomst

Utredningens bedömning: Bestämmelserna om direktåtkomst i 18 § femte stycket lagen om blodsäkerhet samt 8 a § och 8 b § andra stycket förordningen om blodsäkerhet kan behållas.

Regeringen får enligt 18 § femte stycket lagen om blodsäkerhet meddela föreskrifter om vilken myndighet som får ha direkt- åtkomst till uppgifterna i Inspektionen för vård och omsorgs register. Av 8 a § förordningen om blodsäkerhet framgår att Socialstyrelsen får medges direktåtkomst till uppgifterna i registret om uppgifterna behövs hos Socialstyrelsen för kunskapsutveckling, statistikfram- ställning, uppföljning, utvärdering eller epidemiologiska studier. Vidare anges i 8 b § andra stycket att Socialstyrelsen har rätt att ta del av uppgifterna genom direktåtkomst. Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur och under vilka för- utsättningar elektroniskt utlämnande av behandlade personuppgifter får ske i dataskyddsförordningen. Bestämmelserna om direktåtkomst kan, i enlighet med vad utredningen kommit fram till i det avsnittet, behållas.

553

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Även bemyndigandet kan därmed vara kvar.

12.3.5 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 21 § lagen om blodsäker- het som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Bestämmelsen i 21 § lagen om blodsäkerhet hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Bestäm- melsen bör, i enlighet med vad utredningen kommit fram till i av- snitt 9.15.1 och 9.19.1, upphävas.

12.3.6 Uppgiftsskyldighet

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i lagen och förordningen om blodsäkerhet kan behållas.

Bestämmelser om skyldighet att lämna ut uppgifter finns i 16 a och 18 a §§ lagen om blodsäkerhet. Regeringen får även meddela vissa föreskrifter om uppgiftsskyldighet enligt 19 § lagen om blodsäker- het. Bestämmelser om uppgiftsskyldighet finns vidare i 8 § och 8 b § första stycket förordningen om blodsäkerhet. I lagen och för- ordningen finns det även andra bestämmelser om uppgifter som ska lämnas.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

554

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.4 Lagen (2008:286) om kvalitets-

och säkerhetsnormer vid hantering av mänskliga vävnader och celler och förordningen (2008:414) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler

12.4.1 Inledning

Lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler och den tillhörande förordningen inne- håller bestämmelser om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler avsedda för användning på människor eller för tillverkning av läkemedel avsedda för använd- ning på människor. Lagstiftningen innehåller även vissa bestämmel- ser om behandling av personuppgifter, nämligen bestämmelser om förhållandet till personuppgiftslagen, vissa register som ska föras, rättelse, skadestånd och uppgiftsskyldighet. I detta avsnitt analyse- ras om de bestämmelser som berör behandling av personuppgifter behöver ändras med anledning av dataskyddsförordningen.

12.4.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 8 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler ska innehålla en upplysning om att lagen kompletterar dataskyddsförordningen när det gäller behandling av person- uppgifter.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler eller föreskrifter som meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

555

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.4.3 Register som förs av vävnadsinrättning

Skyldighet att föra register

Utredningens bedömning: Bestämmelserna om skyldighet att föra register i 21 § första stycket och 21 § andra stycket andra meningen lagen om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga vävnader och celler kan behållas.

I 21 § första stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler anges att den som har tillstånd att bedriva en vävnadsinrättning ska föra ett register med uppgifter om sin verksamhet, givare och mottagare av mänskliga vävnader och celler och kontroller som utförts av mänskliga vävnader och celler. Registret får enligt 21 § andra stycket andra meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler föras med hjälp av automatiserad behand- ling. Skyldigheten att föra registret följer av ett EU-direktiv.16

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna om ändamål i 21 § andra stycket första meningen lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler kan behållas.

Registret som ska föras av vävnadsinrättningen får enligt 21 § andra stycket första meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler endast ha till ända-

16 Se artikel 10.1 i Europaparlamentets och rådets direktiv 2004/23/EG av den 31 mars 2004 om fastställande av kvalitets- och säkerhetsnormer för donation, tillvaratagande, kontroll, bearbetning, konservering, förvaring och distribution av mänskliga vävnader och celler.

556

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

mål att säkerställa spårbarhet av mänskliga vävnader och celler för att förhindra överföring av sjukdomar.

Skyldigheten att föra det aktuella registret innebär en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytter- ligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestäm- melserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen och kan därmed behållas.

Finalitetsprincipen är inte tillämplig

I bestämmelsen anges att registret som ska föras av vävnadsinrätt- ningen endast får användas för vissa angivna ändamål. Det innebär att finalitetsprincipen inte gäller. Det är alltså inte tillåtet att be- handla personuppgifter i registret för andra ändamål än de som anges i bestämmelsen även om dessa andra ändamål inte är ofören- liga med det ändamål för vilket uppgifterna har samlats in.

Finalitetsprincipen finns uttryckt i artikel 5.1 b i dataskydds- förordningen. Där framgår bl.a. att personuppgifter inte får be- handlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, vilket motsvarar vad som anges i artikel 6.1 b i data- skyddsdirektivet. Medlemsstaterna får, i enlighet med vad utred- ningen konstaterat i avsnitt 9.3, med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen behålla eller införa mer specifika bestäm- melser för att anpassa tillämpningen av bestämmelserna i data- skyddsförordningen. Det är också, som utredningen konstaterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till be- handling och utöka deras skyldigheter. Begränsningen av tillåtna ändamål är därmed förenlig med dataskyddsförordningen och kan behållas.

557

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 21 § tredje stycket och 25 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler, så- vitt avser vävnadsinrättningarnas register, samt 7 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör behållas.

Begränsning av vilka personuppgifter som får behandlas

I 21 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler anges vilka personupp- gifter registret får innehålla. Registret får endast innehålla uppgifter om givarens identitet, givarens uppgivna sjukdomshistoria, resul- tatet av undersökningar på givaren och av kontroller av de mänsk- liga vävnaderna och cellerna och mottagarens identitet. Regeringen, eller den myndighet regeringen bestämmer, får enligt 25 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler meddela närmare föreskrifter om vilka uppgifter registret ska innehålla. Regeringen har enligt 7 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler bemyndigat Socialstyrelsen respektive Läkemedelsverket att med- dela närmare föreskrifter om registrets innehåll.

En precisering av vilka personuppgifter som får behandlas är förenlig med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Utredningen utgår från de övervägan- den kring vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Medlemsstaterna tillåts som redan framgått att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelsen i 21 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga väv- nader och celler kan och bör därmed behållas. Detsamma gäller be- stämmelsen i 25 § lagen om kvalitets- och säkerhetsnormer vid

558

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

hantering av mänskliga vävnader och celler i fråga om det register som vävnadsinrättningarna ska föra. Även bestämmelsen i 7 § för- ordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör behållas.

Känsliga personuppgifter

De personuppgifter som får behandlas i registret omfattar även uppgifter om hälsa. För att känsliga personuppgifter ska få behand- las i registret krävs det att förandet av registret omfattas av något av undantagen i artikel 9.2 i dataskyddsförordningen. Utredningen har i avsnitt 9.11.4 redogjort för vad som omfattas av undantaget från förbudet att behandla känsliga personuppgifter vid hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen.

Lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler reglerar verksamheten vid vävnads- inrättningar oavsett om hanteringen av vävnader och celler sker för att användas på människor eller vid läkemedelstillverkning. Skyl- digheten att föra register enligt 21 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler gäller oberoende av i vilket av dessa syften vävnader och celler hanteras. Hantering av mänskliga vävnader och celler som är avsedda för användning på människor får anses ha till syfte att medicinskt före- bygga, utreda och behandla sjukdomar och skador och bör därför betraktas som hälso- och sjukvård i hälso- och sjukvårdslagens (2017:30) mening.17 Hantering av vävnader och celler som ska användas vid läkemedelstillverkning är däremot inte, i likhet med vad som anges i avsnitt 12.3.3, att betrakta som hälso- och sjukvård enligt hälso- och sjukvårdslagen.

Utredningen bedömer mot den bakgrunden att behandling av känsliga personuppgifter i registret ryms inom undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen när syftet med hanteringen av vävnaderna och cellerna är att de ska användas på människor. Enligt artikel 9.3 i dataskyddsförordningen

17 I prop. 2007/08:96 s. 42 hänvisas till den tidigare gällande hälso- och sjukvårdslagen (1982:763). Eftersom definitionen av vad som utgör hälso- och sjukvård är densamma i den nu gällande hälso- och sjukvårdslagen är den bedömning som gjorts i förarbetena fortfarande aktuell.

559

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

krävs det att uppgifterna behandlas av eller under ansvar av någon som omfattas av tystnadsplikt. Personalen vid vävnadsinrättning- arna omfattas av tystnadsplikt enligt bestämmelser i offentlighets- och sekretesslagen (2009:400), patientsäkerhetslagen (2010:659) och lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. I de fall verksamheten vid vävnadsinrättningen är att betrakta som hälso- och sjukvård är även bestämmelserna i patientdatalagen (2008:355) tillämpliga.18 Utredningen har i av- snitt 10.1.10 föreslagit att en bestämmelse som påminner om kravet på tystnadsplikt enligt artikel 9.3 i dataskyddsförordningen tas in i patientdatalagen. Någon sådan bestämmelse behöver därför inte tas in i lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler.

När känsliga personuppgifter behandlas i samband med att väv- nader och celler hanteras för att användas vid tillverkning av läke- medel är det inte lika givet att behandlingen omfattas av hälso- och sjukvårdsundantaget. Behandlingen har troligen tillåtits med stöd av artikel 8.4 i dataskyddsdirektivet, eftersom den behövs med hän- syn till ett viktigt allmänt intresse. Bestämmelser i registerförfatt- ningar som tillåter behandling av känsliga personuppgifter med stöd av artikel 8.4 i dataskyddsdirektivet är, i enlighet med vad ut- redningen konstaterat i avsnitt 9.11.3, förenliga med artikel 9.2 g i dataskyddsförordningen och kan och bör behållas. I artikel 9.2 i i dataskyddsförordningen har det dock, som anges i avsnitt 9.11.5, tillkommit ett nytt undantag från förbudet att behandla känsliga personuppgifter som avser folkhälsoområdet. Exempel på skäl som motiverar behandling av känsliga personuppgifter med stöd av arti- keln är behovet av att säkerställa ett skydd mot allvarliga gräns- överskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska pro- dukter. Eftersom syftet med det EU-direktiv som genomförts genom lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler är att skydda folkhälsan och för- hindra att infektionssjukdomar överförs, bedöms undantaget i arti- kel 9.2 i i dataskyddsförordningen mer relevant att tillämpa när det

18 I prop. 2007/08:96 s. 68 anges att det är patientjournallagen och vårdregisterlagen som ska tillämpas parallellt med lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Eftersom dessa lagar har ersatts av patientdatalagen, är det numera den lagen som ska tillämpas.

560

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

gäller behandling av känsliga personuppgifter i samband med att vävnader och celler hanteras för att användas vid tillverkning av läkemedel.

Personalen vid vävnadsinrättningarna omfattas som anges ovan redan av bestämmelser om tystnadsplikt i offentlighets- och sekre- tesslagen, patientsäkerhetslagen och lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler. Den regleringen tillsammans med regleringen av registret i lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler är enligt utredningens bedömning tillräcklig för att till- godose kravet på skyddsåtgärder i artikel 9.2 i i dataskyddsförord- ningen. Registret förs på grundval av nationell lagstiftning vilket också är ett krav enligt den artikeln.

Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. Eftersom känsliga personuppgifter inom den nu aktuella lagens tillämpnings- område får behandlas under samma förutsättningar som andra per- sonuppgifter, påverkar det inte regleringen att nya kategorier av personuppgifter kommer att vara att bedöma som känsliga enligt dataskyddsförordningen.

Sammanfattningsvis gör alltså utredningen den bedömningen att känsliga personuppgifter alltjämt kan och bör få behandlas i registret.

Bemyndigande

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Även bestämmelserna med bemyndiganden att meddela ytterligare före- skrifter kan därmed behållas.

561

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Gallring

Utredningens bedömning: Bestämmelsen om gallring i 21 § fjärde stycket lagen om kvalitets- och säkerhetsnormer vid han- tering av mänskliga vävnader och celler är förenlig med data- skyddsförordningen och kan behållas. Detsamma gäller dele- gationsbestämmelserna i 22 § lagen om kvalitets- och säkerhets- normer vid hantering av mänskliga vävnader och celler samt 8 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler.

Bestämmelser om gallring och bevarande kan, enligt den bedöm- ning utredningen har gjort i avsnitt 9.17.2, behållas i registerförfatt- ningar om den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskydds- förordningen. Detsamma gäller bemyndiganden att meddela före- skrifter om bevarande. Det innebär att bestämmelsen om gallring i 21 § fjärde stycket samt delegationsbestämmelserna i 22 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan behållas. Även delegationsbestämmelserna i 8 § för- ordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan vara kvar.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 21 § femte stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler.

Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Detsamma gäller enligt utredningens bedömning bestämmelsen om personuppgiftsansvar i lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Bestämmelsen i 21 § femte stycket lagen om kvalitets-

562

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör därför behållas.

12.4.4 Register som förs av Inspektionen för vård och omsorg

Skyldighet att föra register

Utredningens bedömning: Bestämmelserna om skyldighet att föra register i 23 § första stycket första meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävna- der och celler kan behållas.

Inspektionen för vård och omsorg ska, enligt 23 § första stycket första meningen lagen om kvalitets- och säkerhetsnormer vid han- tering av mänskliga vävnader och celler, med hjälp av automatiserad behandling föra ett register över dem som har tillstånd att bedriva en vävnadsinrättning. Skyldigheten att föra registret följer av ett EU-direktiv.19

Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskydds- förordningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna om ändamål i 23 § första stycket andra meningen och 23 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga väv- nader och celler kan behållas.

Registret har enligt 23 § första stycket andra meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler till ändamål att ge offentlighet åt vilka vävnadsinrätt-

19 Se artikel 10.2 i Europaparlamentets och rådets direktiv 2004/23/EG av den 31 mars 2004 om fastställande av kvalitets- och säkerhetsnormer för donation, tillvaratagande, kontroll, bearbetning, konservering, förvaring och distribution av mänskliga vävnader och celler.

563

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

ningar som har tillstånd och för vilken verksamhet dessa har be- viljats tillstånd. Registret får enligt 23 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler också användas för tillsyn, forskning och statistik.

Att Inspektionen för vård och omsorg är skyldig att föra regist- ret innebär att det är en rättslig förpliktelse. De angivna ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har därmed stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytter- ligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestäm- melserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Bestämmelserna behöver därmed inte ändras med anledning av dataskyddsförordningen.

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 23 § tredje stycket och 25 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler, så- vitt avser Inspektionen för vård och omsorgs register, samt 9 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör behållas.

Registret får, enligt 23 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler, i fråga om personuppgifter endast innehålla uppgifter om den som har tillstånd att bedriva en vävnadsinrättning och om verksamhets- chefen. Regeringen får enligt 25 § lagen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler meddela närmare föreskrifter om vilka uppgifter registret ska innehålla. I 9 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler föreskrivs att registret ska innehålla uppgifter om vävnadsinrättningens namn och adress, verksamhets- chefens namn och adress, ändamålet med verksamheten och dess omfattning samt den verksamhet eller de verksamheter som vävnads- inrättningen ska innefatta.

564

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Att begränsa vilka personuppgifter som får behandlas är fören- ligt med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden kring vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Sådana preciseringar är, som redan framgått, tillåtna i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndighets möjligheter till behandling av personuppgifter. Bestäm- melserna i 23 § tredje stycket kan och bör därmed behållas. Det- samma gäller bestämmelsen i 9 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler.

Eftersom det endast är personuppgifter om tillståndsinnehava- ren och verksamhetschefen som får förekomma i registret och inte några uppgifter om de som lämnat eller fått vävnader eller celler, synes några känsliga personuppgifter inte behandlas där. Någon bedömning av om det är tillåtet att behandla känsliga personupp- gifter i registret behöver därför inte göras.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Även bestämmelsen med bemyndigande att meddela ytterligare föreskrifter i fråga om det register som förs av Inspektionen för vård och omsorg i 25 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler, kan därmed behållas.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 23 § fjärde stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler.

Bestämmelser om personuppgiftsansvar i registerförfattningar be- höver, som framgått av avsnitt 9.7, inte ändras med anledning av dataskyddsförordningen. Detsamma gäller enligt utredningens be- dömning bestämmelsen i lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Bestämmelsen i

565

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

23 § fjärde stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan och bör därmed behållas.

Direktåtkomst

Utredningens bedömning: Bestämmelserna om direktåtkomst i 24 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler och 10 § andra stycket förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler kan behållas.

Regeringen eller den myndighet regeringen bestämmer får enligt 24 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler meddela föreskrifter om vilka myndigheter som får ha direktåtkomst till uppgifterna i Inspektionen för vård och omsorgs register. I 10 § andra stycket förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler föreskrivs att Läkemedelsverket och Socialstyrelsen får ha direktåtkomst till registret.

Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske i dataskyddsförordningen. Bestämmelserna om direktåtkomst kan, i enlighet med vad utred- ningen kommit fram till i det avsnittet, behållas.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Även bestämmelserna med bemyndiganden att meddela föreskrifter kan därmed behållas.

12.4.5 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 26 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

566

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Bestämmelsen i 26 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler hänvisar till person- uppgiftslagens bestämmelser om rättelse och skadestånd. Bestäm- melsen bör, i enlighet med vad utredningen kommit fram till i av- snitt 9.15.1 och 9.19.1, upphävas.

12.4.6 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i lagen och förordningen om kvalitets- och säker- hetsnormer vid hantering av mänskliga vävnader och celler kan behållas.

Bestämmelser om skyldighet att lämna ut uppgifter finns i 21 a § lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga vävnader och celler. Regeringen får även meddela vissa före- skrifter om uppgiftsskyldighet enligt 24 § första stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. Med stöd av den föreskriftsrätten har regeringen med- delat en bestämmelse om uppgiftsskyldighet i 10 § första stycket och 10 a § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler. I lagen och förord- ningen finns det även andra bestämmelser om uppgifter och infor- mation som ska lämnas.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Även bestämmelserna med bemyndiganden att meddela ytterligare föreskrifter kan därmed behållas.

567

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.5 Lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ och förordningen

(2012:346) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ

12.5.1 Inledning

Lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga organ och den tillhörande förordningen innehåller bestämmel- ser om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ avsedda för transplantation till människokroppen. Lagstift- ningen innehåller även vissa bestämmelser om behandling av per- sonuppgifter, nämligen bestämmelser om förhållandet till person- uppgiftslagen, register som ska föras av Inspektionen för vård och omsorg, rättelse, skadestånd och uppgiftsskyldighet. I detta avsnitt analyseras om de bestämmelser som berör behandling av personupp- gifter behöver ändras med anledning av dataskyddsförordningen.

12.5.2 Förhållandet till annan dataskyddsreglering

Utredningens förslag: Bestämmelsen i 4 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ ska inne- hålla en upplysning om att lagen kompletterar dataskyddsförord- ningen när det gäller behandling av personuppgifter.

Det ska också upplysas om att dataskyddslagen gäller, om inte annat följer av lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ eller föreskrifter som meddelats med stöd av den.

Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6.

568

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.5.3 Register

Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 7 § första stycket första meningen lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ kan be- hållas.

Inspektionen för vård och omsorg ska, enligt 7 § första stycket första meningen lagen om kvalitets- och säkerhetsnormer vid han- tering av mänskliga organ, med hjälp av automatiserad behandling föra ett register över verksamheten hos vårdgivare som tillvaratar eller transplanterar organ. Skyldigheten att föra ett sådant register följer av ett EU-direktiv.20

Dataskyddsförordningen påverkar inte möjligheten att före- skriva att någon ska föra ett visst register. Behandlingen av person- uppgifter i registret måste dock vara förenlig med dataskyddsför- ordningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna om ändamål i 7 § första stycket andra meningen och 7 § andra stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ kan behållas.

Registret som förs av Inspektionen för vård och omsorg har enligt 7 § första stycket andra meningen lagen om kvalitets- och säker- hetsnormer till ändamål att ge offentlighet åt verksamhet som inne- fattar tillvaratagande och transplantation av organ. Registret får enligt 7 § andra stycket också användas för tillsyn, i forskning och för framställning av statistik.

Skyldigheten enligt lagen att föra registret är en rättslig förplik- telse. Ändamålsbestämmelserna grundar sig på den rättsliga för-

20 Se artikel 18.1 a i Europaparlamentets och rådets direktiv 2010/53/EU av den 7 juli 2010 om kvalitets- och säkerhetsnormer för mänskliga organ avsedda för transplantation.

569

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

pliktelsen att föra registret och har därmed stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i dataskyddsförordningen krävs inte, som utred- ningen konstaterat i avsnitt 9.10.1. Bestämmelserna uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rätts- liga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Bestämmelserna behöver därmed inte ändras med anledning av dataskyddsförordningen.

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna om registrets inne- håll i 7 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ och 11 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ kan och bör behållas.

Enligt 7 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ får registret i fråga om person- uppgifter endast innehålla uppgifter om vårdgivaren och verksam- hetschefen. Registret ska enligt 11 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ innehålla upp- gifter om vårdgivarens namn och adress, verksamhetschefens namn och adress, verksamheten och dess omfattning och kontaktuppgif- ter till verksamheten.

Att på detta sätt begränsa vilka personuppgifter som får behand- las stämmer överens med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Utredningen utgår från de överväganden kring vilka uppgifter som behöver behandlas i regist- ren som har gjorts vid tidigare lagstiftningsarbeten. Preciseringar av vilka personuppgifter som får behandlas är, som redan framgått, tillåtna i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndig- hets möjligheter till behandling av personuppgifter. Bestämmel- serna i 7 § tredje stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ och 11 § förordningen om kvali-

570

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

tets- och säkerhetsnormer vid hantering av mänskliga organ kan och bör alltså behållas.

Eftersom det endast är personuppgifter om vårdgivaren och verksamhetschefen som får förekomma i registret och inte några uppgifter om patienter, ska känsliga personuppgifter inte före- komma i registret. Det behöver därför inte göras någon bedömning av om det är tillåtet att behandla känsliga personuppgifter i registret.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 7 § fjärde stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ.

Bestämmelser om personuppgiftsansvar i registerförfattningar be- höver, som framgått av avsnitt 9.7, inte ändras med anledning av dataskyddsförordningen. Utredningen gör samma bedömning när det gäller bestämmelsen i lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ. Bestämmelsen i 7 § fjärde stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänsk- liga organ kan och bör därmed behållas.

Direktåtkomst

Utredningens bedömning: Bestämmelserna om direktåtkomst i 7 § femte stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ och 12 § och 13 § andra stycket förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ kan behållas.

I 7 § femte stycket lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ anges att regeringen får meddela föreskrifter om vilken myndighet som får ha direktåtkomst till uppgifterna i Inspektionen för vård och omsorgs register. Av 12 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ framgår att Socialstyrelsen får ha direktåtkomst

571

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

till registret för vissa ändamål. Socialstyrelsen har vidare enligt 13 § andra stycket förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ rätt att ta del av uppgifterna i regist- ret genom direktåtkomst.

Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av be- handlade personuppgifter får ske i dataskyddsförordningen. Bestäm- melserna om direktåtkomst kan, i enlighet med vad utredningen kommit fram till i det avsnittet, behållas.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bemyn- digandet för regeringen att meddela föreskrifter behöver således inte ändras.

12.5.4 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 8 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ som hän- visar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Bestämmelsen i 8 § lagen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ som hänvisar till personuppgifts- lagens bestämmelser om rättelse och skadestånd bör, i enlighet med vad utredningen kommit fram till i avsnitt 9.15.1 och 9.19.1, upp- hävas.

12.5.5 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i lagen och förordningen om kvalitets- och säker- hetsnormer vid hantering av mänskliga organ kan behållas.

En bestämmelse om uppgiftsskyldighet finns bl.a. i 13 § första stycket förordningen om kvalitets- och säkerhetsnormer vid hanter- ing av mänskliga organ. Av 9 § lagen om kvalitets- och säkerhets- normer vid hantering av mänskliga organ framgår att regeringen

572

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

eller den myndighet regeringen bestämmer får meddela föreskrifter om skyldighet för vårdgivare att lämna uppgifter till Inspektionen för vård och omsorg. Föreskriftsrätten har i 10 § förordningen om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ delegerats till Inspektionen för vård och omsorg.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas således inte av dataskyddsförordningen. När uppgiftsskyldigheten fullgörs måste dock den personuppgifts- ansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bemyndigandet för regeringen att meddela föreskrifter behöver därmed inte ändras.

12.6 Patientsäkerhetslagen (2010:659)

och patientsäkerhetsförordningen (2010:1369)

12.6.1 Inledning

Regleringen i patientsäkerhetslagen och patientsäkerhetsförord- ningen har till syfte att främja patientsäkerheten och innehåller t.ex. bestämmelser om anmälan av verksamhet, skyldighet att be- driva ett systematiskt patientsäkerhetsarbete och skyldigheter för hälso- och sjukvårdspersonal. Lagstiftningen innehåller även vissa bestämmelser om behandling av personuppgifter, nämligen bestäm- melser om register som ska föras av Inspektionen för vård och om- sorg samt uppgiftsskyldighet. I detta avsnitt analyseras om de bestämmelser som berör behandling av personuppgifter behöver ändras med anledning av dataskyddsförordningen.

573

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.6.2 Register

Skyldighet att föra register

Utredningens bedömning: Bestämmelserna om skyldighet att föra register i 2 kap. 4 § första stycket första meningen och 2 kap. 4 § andra stycket första meningen patientsäkerhetslagen kan behållas.

I 2 kap. 4 § första stycket första meningen patientsäkerhetslagen anges att Inspektionen för vård och omsorg ska föra ett automati- serat register över verksamheter som anmälts enligt 2 kap. patient- säkerhetslagen. Det som avses är alltså sådan verksamhet som om- fattas av Inspektionen för vård och omsorgs tillsyn, dvs. hälso- och sjukvården och verksamhet som utförs av den som tar emot vissa uppdrag från hälso- och sjukvården.21 Inspektionen för vård och omsorg ska vidare enligt 2 kap. 4 § andra stycket första meningen föra ett automatiserat register över sjukvårdsinrättningar och en- heter som ger vård enligt lagen (1991:1128) om psykiatrisk tvångs- vård eller lagen (1991:1129) om rättspsykiatrisk vård samt enheter för rättspsykiatrisk undersökning.

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna om ändamål i 2 kap. 4 § första stycket andra meningen och 2 kap. 4 § andra stycket andra meningen patientsäkerhetslagen kan behållas.

Registren som Inspektionen för vård och omsorg ska föra får enligt 2 kap. 4 § första stycket andra meningen och 2 kap. 4 § andra stycket andra meningen användas för tillsyn och forskning samt för fram-

21 Se 7 kap. 1 och 2 §§ patientsäkerhetslagen.

574

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

ställning av statistik. Registret över sjukvårdsinrättningar och en- heter får även användas för placering av patienter.

Utredningen har i avsnitt 10.1.1 konstaterat att dataskyddsför- ordningen inte är tillämplig på viss behandling av personuppgifter som avser patienter som dömts till rättspsykiatrisk vård. Sådan behandling omfattas i stället av det nya dataskyddsdirektivet. När det register som förs av Inspektionen för vård och omsorg används för placering av patienter som har dömts till rättspsykiatrisk vård, sker behandlingen dock inte direkt i syfte att verkställa en straff- rättslig påföljd. Sådan behandling får i stället anses ha ett mer administrativt syfte varför utredningen bedömer att dataskydds- förordningen är tillämplig på all behandling som sker i registret.

Skyldigheten att föra de aktuella registren innebär en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen. Ända- målen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i dataskyddsförord- ningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestämmelserna uppfyller, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grunden som ställs i artikel 6.3 i dataskyddsförordningen. Bestämmelserna kan alltså behållas.

Personuppgiftsansvar

Utredningens bedömning: Dataskyddsförordningen föranleder inte någon ändring av bestämmelsen om personuppgiftsansvar i 2 kap. 4 § tredje stycket patientsäkerhetslagen.

Som framgått av avsnitt 9.7 behöver bestämmelser om personupp- giftsansvar i registerförfattningar inte ändras med anledning av dataskyddsförordningen. Detsamma gäller enligt utredningens be- dömning bestämmelsen i patientsäkerhetslagen. Bestämmelsen 2 kap. 4 § tredje stycket patientsäkerhetslagen kan och bör därför be- hållas.

575

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna i 2 kap. 5 § 1 patient- säkerhetslagen och 2 kap. 3 § patientsäkerhetsförordningen om registrets innehåll kan och bör behållas.

Regeringen får enligt 2 kap. 5 § 1 patientsäkerhetslagen meddela föreskrifter om begränsningar av de uppgifter som registren får innehålla. Av 2 kap. 3 § patientsäkerhetsförordningen följer att registren får innehålla uppgifter om namn eller firma och person- nummer eller organisationsnummer för den som bedriver verksam- heten, var verksamheten bedrivs, verksamhetens inriktning, verk- samhetens omfattning, antalet yrkesutövare och deras yrkestitlar, verksamhetschefens namn, adress och telefonnummer, den patient- försäkring som tecknats för verksamheten, datum för inspektion av verksamheten, datum för Inspektionen för vård och omsorgs beslut i fråga om verksamheten, och datum för anmälan om händelser som har medfört eller skulle kunna medföra en allvarlig vårdskada och annan allvarlig skada till följd av säkerhetsbrister. Registret över sjukvårdsinrättningar och enheter får även innehålla uppgifter om chefsöverläkarens och den säkerhetsansvariges namn, adress och telefonnummer samt säkerhetsanpassning och säkerhetsklassificer- ing. Registren får inte innehålla uppgifter om enskilda patienter.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bemyn- digandet för regeringen att meddela föreskrifter kan därför vara kvar.

Preciseringen av vilka personuppgifter som får behandlas är för- enlig med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Utredningen utgår från de övervägan- den om vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Som anges i avsnitt 9.13 kan och bör bestämmelser om behandling av personnummer behållas. Medlemsstaterna tillåts som redan framgått att införa preciseringar i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen eller för att begränsa en myndighets möj- ligheter till behandling av personuppgifter. Bestämmelserna i 2 kap.

576

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

5 § 1 patientsäkerhetslagen och 2 kap. 3 § patientsäkerhetsförord- ningen kan därmed behållas.

Eftersom uppgifter om enskilda patienter inte får förekomma i registren, synes några känsliga personuppgifter inte behandlas där. Någon bedömning av om det är tillåtet att behandla känsliga person- uppgifter behöver därför inte göras.

Gallring

Utredningens bedömning: Bestämmelserna om gallring i 2 kap. 5 § 2 patientsäkerhetslagen och 2 kap. 4 § patientsäkerhetsförord- ningen kan behållas.

Av 2 kap. 5 § 2 patientsäkerhetslagen framgår att regeringen får meddela föreskrifter om gallring av uppgifter i registren. Gallrings- frister har föreskrivits i 2 kap. 4 § patientsäkerhetsförordningen.

Bestämmelser om gallring och bevarande kan, enligt utredning- ens bedömning i avsnitt 9.17.2, behållas i registerförfattningar om den ursprungliga behandlingen grundar sig på en rättslig förplik- telse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförord- ningen. Detsamma gäller bemyndiganden att meddela föreskrifter om bevarande. Det innebär att även bestämmelserna i 2 kap. 5 § 2 patientsäkerhetslagen och 2 kap. 4 § patientsäkerhetsförordningen kan vara kvar.

Direktåtkomst

Utredningens bedömning: Bestämmelserna om direktåtkomst i 2 kap. 4 § fjärde stycket patientsäkerhetslagen och 8 kap. 7 och 9 §§ patientsäkerhetsförordningen kan behållas.

Enligt 2 kap. 4 § fjärde stycket patientsäkerhetslagen får regeringen meddela föreskrifter om vilken myndighet som får ha direktåtkomst till uppgifterna i registren. Av 8 kap. 7 § patientsäkerhetsförord- ningen framgår att Socialstyrelsen får ha direktåtkomst till registren för vissa ändamål. Socialstyrelsen har vidare enligt 8 kap. 9 § patient-

577

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

säkerhetsförordningen rätt att ta del av uppgifterna i registren genom direktåtkomst.

Bestämmelser om hur och under vilka förutsättningar elektro- niskt utlämnande av behandlade personuppgifter får ske finns, som anges i avsnitt 9.16.2, inte i dataskyddsförordningen. I enlighet med vad utredningen anger i det avsnittet behöver inte bestämmelserna om direktåtkomst ändras med anledning av dataskyddsförordningen.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bemyn- digandet behöver därmed inte heller ändras.

12.6.3 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i patientsäkerhetslagen och patientsäkerhets- förordningen kan behållas.

Bestämmelser om skyldighet att lämna ut uppgifter finns i 6 kap. 15 § patientsäkerhetslagen samt 8 kap. 8 och 10 §§ patientsäker- hetsförordningen. Det finns även andra bestämmelser om under- rättelser och information som ska lämnas.

Som anges i avsnitt 9.21 är det utredningens bedömning att be- stämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas således inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

578

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.7 Lagen (2009:366) om handel med läkemedel och förordningen (2009:659)

om handel med läkemedel

12.7.1 Inledning

Lagen om handel med läkemedel och den tillhörande förordningen om handel med läkemedel innehåller bestämmelser om bl.a. detalj- handel med läkemedel till konsumenter och partihandel med läke- medel. Lagstiftningen innehåller även vissa bestämmelser om behand- ling av personuppgifter, nämligen bestämmelser om elektroniskt system för direktåtkomst, uppgiftsskyldighet, skyldighet att lämna uppgifter elektroniskt och skyldighet att föra register. I detta av- snitt analyseras om de bestämmelser som berör behandling av person- uppgifter behöver ändras med anledning av dataskyddsförordningen.

12.7.2 Elektroniskt system för direktåtkomst

Utredningens bedömning: Bestämmelsen med krav på ett elek- troniskt system som möjliggör direktåtkomst i 2 kap. 6 § 6 lagen om handel med läkemedel kan behållas.

I 2 kap. 6 § lagen om handel med läkemedel anges vilka krav som ställs på en verksamhet som bedriver detaljhandel med läkemedel till konsumenter. Bland annat anges i punkt 6 att den som har till- stånd att bedriva detaljhandel med läkemedel till konsument ska ha ett elektroniskt system som gör det möjligt att få direktåtkomst till uppgifter hos E-hälsomyndigheten. Bestämmelsen hänger samman med bestämmelsen om direktåtkomst i 11 § första stycket lagen (1996:1156) om receptregister.

Apoteksdatalagen (2009:367) är enligt 1 § den lagen tillämplig vid behandling av personuppgifter vid öppenvårdsapotekens detalj- handel med läkemedel. Med öppenvårdsapotek avses enligt 3 § apoteksdatalagen en inrättning för detaljhandel med läkemedel som bedrivs med tillstånd enligt 2 kap. 1 § lagen om handel med läke- medel. Behandlingen av personuppgifter i det elektroniska system som möjliggör direktåtkomst omfattas alltså av apoteksdatalagens tillämpningsområde. Sådan behandling omfattas av de ändamål som

579

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

anges i 8 § apoteksdatalagen. Som anges i avsnitt 10.5.6 sker be- handlingen av personuppgifter i den verksamheten med stöd av de rättsliga grunderna i artikel 6.1 c eller e i dataskyddsförordningen (rättslig förpliktelse eller arbetsuppgift av allmänt intresse).

Det finns, som anges i avsnitt 9.16.2, inte några bestämmelser om hur eller under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske i dataskyddsförordningen. Den nu aktuella bestämmelsen utgör en sådan precisering som är tillåten i nationell rätt enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen om direktåtkomst kan därmed, i enlighet med vad utredningen kommit fram till i det avsnittet, behållas.

Genom direktåtkomsten får öppenvårdsapoteken del av känsliga personuppgifter som rör hälsa och skulle kunna behandla dem vid- are. Utredningen har i avsnitt 10.5.7 gjort bedömningen att behand- ling av känsliga personuppgifter i den verksamhet som apoteks- datalagen omfattar kan ske med stöd av undantaget för hälso- och sjukvård i artikel 9.2 h i dataskyddsförordningen.

12.7.3 Avgifter

Utredningens bedömning: Bestämmelsen om avgifter i 8 kap. 2 a § första stycket 2 lagen om handel med läkemedel kan och bör behållas. Detsamma gäller bestämmelsen i 8 kap. 2 a § andra och tredje styckena, såvitt avser avgift för kontroll av det elektro- niska systemet för direktåtkomst samt 3 a § andra stycket för- ordningen om handel med läkemedel.

E-hälsomyndigheten får 8 kap. 2 a § första stycket 2 lagen om han- del med läkemedel ta ut en avgift för att kontrollera det elektro- niska system för direktåtkomst till uppgifter hos myndigheten som en tillståndshavare ska ha enligt 2 kap. 6 § 6. Avgiften får enligt andra stycket tas ut av tillståndshavaren och regeringen får enligt tredje stycket meddela ytterligare föreskrifter om avgifterna. I 3 a § andra stycket förordningen om handel med läkemedel finns ytterli- gare föreskrifter om avgiften.

Dataskyddsförordningen reglerar inte frågan om avgifter för åt- komst till personuppgifter eller kontroll av system för åtkomst.

580

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Sådana bestämmelser utgör inte dataskyddsbestämmelser och på- verkas därför inte av dataskyddsförordningen.

Dataskyddsförordningen hindrar inte heller att föreskrifter med- delas på detta område eller att föreskriftsrätten delegeras. Det bemyndigande som ges i bestämmelsen behöver därför inte ändras.

12.7.4 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelserna som reglerar upp- giftsskyldighet i lagen och förordningen om handel med läke- medel kan behållas.

Bestämmelser om skyldighet att lämna ut uppgifter finns bl.a. i 2 kap. 6 § 5 och 7, 10 b §22, 3 kap. 3 § 2, 4 kap. 2 § 1 lagen om han- del med läkemedel samt i 11 och 12 §§ förordningen om handel med läkemedel.

Bestämmelser om uppgiftsskyldighet är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskydds- förordningen som enligt dataskyddsdirektivet. Bestämmelserna om uppgiftsskyldighet påverkas alltså inte av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den person- uppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

12.7.5 Skyldighet att lämna ut uppgifter elektroniskt

Utredningens bedömning: Bestämmelsen om elektronisk över- föring av uppgifter i 13 § förordningen om handel med läke- medel kan behållas.

I 11 och 12 §§ förordningen om handel med läkemedel finns det som angetts i föregående avsnitt bestämmelser om skyldighet att lämna vissa uppgifter till E-hälsomyndigheten i syfte att myndig- heten ska kunna föra statistik. Uppgiftsskyldigheten i 11 § gäller

22 I SOU 2017:15 föreslås vissa ändringar av 2 kap. 10 b § lagen om handel med läkemedel och 12 § förordningen om handel med läkemedel träda i kraft den 1 juli 2018.

581

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

för den som har tillstånd att bedriva detaljhandel med läkemedel till konsumenter (öppenvårdsapotek) och verkar inte omfatta person- uppgifter. Uppgiftsskyldigheten i 12 § avser den som har tillstånd att bedriva partihandel med läkemedel och den som har tillstånd att bedriva detaljhandel med läkemedel till hälso- och sjukvården och omfattar bl.a. uppgift om till vilken fysisk person försäljning skett. Detaljhandel med läkemedel till hälso- och sjukvården får bedrivas av både öppenvårdsapotek och den som har partihandelstillstånd. Av 13 § förordningen om handel med läkemedel följer att uppgif- terna ska överföras elektroniskt.

I den mån uppgiftsskyldigheterna även omfattar personuppgif- ter har utredningen i föregående avsnitt konstaterat att bestämmel- serna i 11 och 12 §§ förordningen om handel med läkemedel inte påverkas av dataskyddsförordningen. En bedömning behöver dock göras av om kravet på elektronisk överföring i 13 § är förenligt med dataskyddsförordningen.

Som angetts i avsnitt 9.16.2 innehåller dataskyddsförordningen inte några särskilda bestämmelser om formen för utlämnande av personuppgifter. Utredningen har i det avsnittet därför gjort be- dömningen att bestämmelser om utlämnande på medium för auto- matiserad behandling inte behöver ändras med anledning av data- skyddsförordningen under förutsättning att den aktuella behand- lingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Detsamma gäller enligt utredningens bedömning en sådan skyldighet att föra över uppgifter elektroniskt som föreskrivs i den nu aktuella bestämmel- sen. Behandlingen grundar sig på den rättsliga förpliktelsen enligt 12 § förordningen om handel med läkemedel som enligt vad som framgår av bestämmelsen syftar till att E-hälsomyndigheten ska få uppgifterna för att kunna föra viss statistik. Uppgiftsskyldigheten får enligt utredningens bedömning anses uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas i enlighet med vad som anges i artikel 6.3 andra stycket sista meningen i dataskyddsförordningen. Det innebär att kravet på elektronisk överföring beträffande uppgifterna i 12 § förordningen om handel med läkemedel utgör en tillåten precisering enligt arti- kel 6.2 och 6.3 i dataskyddsförordningen. Bestämmelsen i 13 § för- ordningen om handel med läkemedel kan därmed behållas.

582

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.7.6 Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register enligt 13 a § förordningen om handel med läkemedel kan behållas.

Läkemedelsverket ska enligt 13 a § förordningen om handel med läkemedel föra ett register över förmedlare av humanläkemedel som anmält sin verksamhet. Läkemedelsverket ska avregistrera för- medlare som inte uppfyller vissa krav.

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. För det fall personuppgifter be- handlas i registret och registret förs helt eller delvis automatiserat eller utgör en sådan strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, och alltså omfattas av data- skyddsförordningens tillämpningsområde, måste dock behandlingen av personuppgifter i registret utföras i enlighet med dataskydds- förordningens bestämmelser.

12.8 Läkemedelslagen (2015:315)

och läkemedelsförordningen (2015:458)

12.8.1 Inledning

Läkemedelslagen och läkemedelsförordningen innehåller den grund- läggande regleringen när det gäller läkemedel, såsom bestämmelser om vilka krav som ställs på läkemedel samt krav på godkännande, registrering och tillstånd till försäljning av läkemedel. Lagstift- ningen innehåller även vissa bestämmelser om behandling av person- uppgifter, nämligen bestämmelser om system för säkerhetsöver- vakning, personuppgiftsansvar, behandling av personuppgifter som rör hälsa, förandet av hälsodataregister och uppgiftsskyldighet. I övrigt gäller personuppgiftslagen vid behandling av personupp- gifter i den verksamhet som läkemedelslagen och läkemedelsför- ordningen reglerar. I detta avsnitt analyseras om de bestämmelser som berör behandling av personuppgifter i läkemedelslagen och läkemedelsförordningen behöver ändras med anledning av data- skyddsförordningen.

583

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.8.2 System för säkerhetsövervakning

Läkemedelsverket ska enligt 6 kap. 1 § första stycket läkemedels- lagen ansvara för ett system för säkerhetsövervakning som har till syfte att samla in, registrera, lagra och vetenskapligt utvärdera upp- gifter om misstänkta biverkningar av läkemedel som godkänts för försäljning. Den som har fått ett läkemedel godkänt för försäljning ska enligt 6 kap. 2 § första stycket läkemedelslagen ha ett system för säkerhetsövervakning och följa utvecklingen på läkemedels- området och inom ramen för godkännandet ändra läkemedlet om det behövs. Den som har fått ett läkemedel godkänt ska också, som ett led i säkerhetsövervakningen av läkemedlet, registrera, lagra, utvärdera och rapportera information om misstänkta biverkningar av läkemedlet i enlighet med föreskrifter som regeringen, eller den myndighet som regeringen bestämmer, kan meddela. Av 3 kap. 7 § första stycket läkemedelsförordningen följer vidare att den som innehar ett godkännande eller en registrering för försäljning av ett läkemedel ska föra ett register med uppgifter om misstänkta bi- verkningar av läkemedlet. Eftersom det i anslutning till bestämmel- sen om system för säkerhetsövervakning för innehavare finns en bestämmelse om personuppgiftsansvar, utgår utredningen från att regleringen innebär att systemen för säkerhetsövervakning avses kunna innefatta behandling av personuppgifter på ett sätt som om- fattas av personuppgiftslagen.

12.8.3 Personuppgiftsansvar

Utredningens bedömning: Bestämmelserna om personuppgifts- ansvar i 6 kap. 2 § andra stycket läkemedelslagen och 3 kap. 13 § andra stycket läkemedelsförordningen kan och bör behållas.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. Utredningen gör samma bedömning beträffande bestäm- melserna i 6 kap. 2 § andra stycket läkemedelslagen och 3 kap. 13 § andra stycket läkemedelsförordningen.

584

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.8.4 Känsliga personuppgifter

Utredningens förslag: Bestämmelsen i 3 kap. 13 § första stycket läkemedelsförordningen som tillåter behandling av uppgifter som rör hälsa ska även omfatta sådana genetiska och biomet- riska uppgifter och uppgifter om sexuell läggning som samtidigt kan anses utgöra uppgifter om hälsa. Regleringen i 3 kap. 13 § första stycket läkemedelsförordningen kompletteras med en be- stämmelse som begränsar möjligheten att behandla personupp- gifter som rör hälsa, inklusive genetiska och biometriska upp- gifter och uppgifter om sexuell läggning, för annan än Läkemedels- verket. Sådana uppgifter ska inte utan uttryckligt samtycke från den registrerade få vidarebehandlas för andra ändamål än arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål. Hänvisningen till person- uppgiftslagen tas bort.

Utredningens bedömning: I övrigt kan och bör bestämmelsen i 3 kap. 13 § första stycket läkemedelsförordningen behållas.

I 3 kap. 13 § första stycket läkemedelsförordningen finns det ett undantag från förbudet att behandla känsliga personuppgifter i 13 § personuppgiftslagen. Läkemedelsverket och innehavare av ett god- kännande eller en registrering för försäljning får utföra de behand- lingar av personuppgifter som rör hälsa och som är nödvändiga för att fullgöra de skyldigheter som föreskrivs i läkemedelslagen eller läkemedelsförordningen.

I förarbetena till den tidigare gällande läkemedelslagen uttalades det att undantaget som medger behandling av känsliga personupp- gifter för hälso- och sjukvårdsändamål i 18 § första stycket person- uppgiftslagen torde omfatta även den behandling av personuppgif- ter som utförs av innehavare av godkännanden som ett led i säker- hetsövervakningen. För att det inte skulle råda några oklarheter gjordes dock den bedömningen att ett undantag skulle tas in i läke- medelsförordningen. Som grund angavs att behandlingen behövdes med hänsyn till ett viktigt allmänt intresse.23 Behandling av person-

23 Prop. 2005/06:70 s. 144–145.

585

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

uppgifter som rör hälsa kan därmed, i enlighet med vad som anges i avsnitt 9.11.3, även fortsättningsvis tillåtas med stöd av undantaget avseende viktiga allmänna intressen i artikel 9.2 g i dataskydds- förordningen. För att ett undantag ska vara tillåtet med stöd av artikel 9.2 g i dataskyddsförordningen krävs dock att lagstiftningen innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Läkemedelsverkets hantering av uppgifter om hälsa inom ramen för säkerhetsövervakningen omfattas av sekretess enligt 25 kap. 1 § offentlighets- och sekretesslagen (2009:400).24 Bestämmelser om tystnadsplikt kan utgöra lämpliga skyddsåtgärder.25 Den aktuella sekretessregleringen får enligt utredningens bedömning anses till- räcklig för att uppfylla kravet på lämpliga och särskilda åtgärder när det gäller Läkemedelsverkets behandling av personuppgifter som rör hälsa.

Innehavare av godkännande eller registrering för försäljning omfattas dock inte av någon lagstadgad tystnadsplikt. Eftersom det rör sig om enskilda företag, omfattas de personuppgifter som be- handlas å andra sidan inte heller av tryckfrihetsförordningens be- stämmelser om allmänna handlingar. Någon rätt för enskilda att på begäran få ut uppgifterna finns därför inte. För att uppfylla data- skyddsförordningens krav på skyddsåtgärder bedömer utredningen att den behandling av känsliga personuppgifter som innehavare av godkännande eller registrering för försäljning får utföra måste be- gränsas.

Bestämmelsen i 3 kap. 13 § första stycket läkemedelsförord- ningen anger för vilka ändamål uppgifterna får behandlas. Behand- ling får ske om den är nödvändig för att fullgöra de skyldigheter som föreskrivs i läkemedelslagen eller läkemedelsförordningen. Som bestämmelsen är formulerad i dag synes den dock inte hindra att personuppgifterna vidarebehandlas för andra ändamål som inte är oförenliga med de ursprungliga ändamålen. Finalitetsprincipen uttrycks i artikel 5.1 b i dataskyddsförordningen och innebär att det inte är förbjudet att behandla personuppgifter för andra ända- mål under förutsättning att det sker på ett sätt som inte är oför-

24 Se SOU 2007:48 s. 202 ff. och Ds 2012:33 s. 110.

25 I undantaget för behandling av känsliga personuppgifter på folkhälsoområdet i artikel 9.2 i i dataskyddsförordningen anges tystnadsplikt som ett exempel på en lämplig och specifik åtgärd för att skydda den registrerades rättigheter och friheter.

586

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

enligt med de ändamål för vilka de samlats in. I artikeln anges vid- are att ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål inte anses oförenlig med de ursprungliga ändamålen.

Läkemedelsindustriföreningen26 har uppgett att innehavare av godkännande eller registrering i vissa fall har behov av att vidare- behandla de personuppgifter som behandlas med stöd av 3 kap. 13 § första stycket läkemedelsförordningen för de ändamål som anges i artikel 5.1 b i dataskyddsförordningen, dvs. arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, bl.a. i syfte att kunna göra uppföljnings- studier. Vidarebehandling för de ändamål som räknas upp i arti- kel 5.1 b i dataskyddsförordningen bör därför vara tillåten även fort- sättningsvis. I skäl 50 till dataskyddsförordningen verkar klargöras att det vid vidarebehandling, som inte är förbjuden enligt finalitets- principen, inte krävs någon s.k. rättslig grund för behandlingen för det nya ändamålet utan att det räcker med den som personuppgif- terna samlades in med stöd av. Forskningsdatautredningen har analy- serat vilka anpassningar som behöver göras av lagen (2003:460) om etikprövning av forskning som avser människor, som kriminaliserar sådan forskning som innefattar behandling av känsliga personupp- gifter som inte godkänts vid en etikprövning eller som sker i strid mot ett villkor som har meddelats vid sådan prövning.27

Något beaktansvärt behov för innehavare av godkännande eller registrering för försäljning att vidarebehandla de personuppgifter som rör hälsa som behandlas med stöd av 3 kap. 13 § första stycket läkemedelsförordningen för andra ändamål har inte framkommit. Bestämmelsen bör därför kompletteras med en bestämmelse som innebär att innehavare av godkännande eller registrering för försälj- ning, som behandlar personuppgifter som rör hälsa med stöd av 3 kap. 13 § första stycket läkemedelsförordningen, inte får vidare- behandla personuppgifterna för några andra ändamål än för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål. Det innebär att finalitets- principen inte kommer att gälla vid den behandling av personupp-

26 Läkemedelsindustriföreningen är en branschorganisation för företag som tillverkar läke- medel.

27 SOU 2017:50.

587

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

gifter som rör hälsa som utförs av innehavare av godkännande eller registrering för försäljning med stöd av bestämmelsen. På så sätt förhindras att uppgifterna behandlas för andra syften än de som lagstiftaren har angett. Uppgifterna kan därmed inte heller lämnas ut annat än om det följer av en skyldighet i läkemedelslagen eller läkemedelsförordningen eller görs för arkivändamål av allmänt in- tresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål. Genom en sådan reglering bedömer utredningen att dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen uppfylls. Vidarebehandling med stöd av ett uttryckligt samtycke i enlighet med artikel 9.2 a i dataskyddsförordningen bör dock inte hindras. De föreslagna ändringarna i denna del innebär inte något rättsligt stöd i sig för att behandla personuppgifter. I den mån ett sådant stöd krävs eller den tilltänkta vidarebehandlingen är förbjuden enligt annan lagstiftning innebär förslaget i denna del alltså ingen ändring.

Som anges i avsnitt 9.11.6 har utredningen gjort bedömningen att bestämmelser som endast tillåter behandling av någon eller några av kategorierna av känsliga personuppgifter enligt nuvarande defini- tion som utgångspunkt inte bör utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter, dvs. genetiska upp- gifter, biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Om det är nödvändigt för en ändamålsenlig behandling av personuppgifter i den aktuella verksamheten, bör dock någon eller några av de nya kategorierna få fortsätta att behandlas. De olika kategorierna av känsliga person- uppgifter kan, som anges i avsnitt 7.5, i viss mån överlappa var- andra. Genetiska uppgifter kan t.ex. avslöja en persons hälsotill- stånd. Detsamma kan i någon mån antas gälla för de andra ny- tillkomna kategorierna av känsliga personuppgifter. Sådana upp- gifter utgör i dag uppgifter om hälsa, vilket innebär att behandling av uppgifterna är tillåten enligt 3 kap. 13 § första stycket läkemedels- förordningen.

Läkemedelsverket och Läkemedelsindustriföreningen har till ut- redningen framfört följande behov av att kunna behandla även de nytillkomna kategorierna. En genetisk bedömning eller diagnostik görs inom flera olika områden. En viss genetisk uppsättning inne- bär t.ex. en ökad risk för allvarliga biverkningar av läkemedel mot

588

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

epilepsi. Vidare kan patientens genetiska uppsättning vara avgö- rande för vilken cancerbehandling som väljs. Genetiska uppgifter behöver därför i vissa fall behandlas i samband med biverknings- rapporteringen. I takt med att läkemedelsbehandlingen blivit mer individanpassad tas allt större hänsyn till den enskilda patientens genetiska förutsättningar för att avgöra risken för biverkningar av olika läkemedel, varför behovet av att liksom i dag kunna behandla genetiska uppgifter sannolikt kommer att öka. Läkemedelsverket har angående behovet av att behandla biometriska uppgifter upp- gett att läkemedel kan medföra biverkningar i form av missbild- ningar som kan ses som unika fysiska biometriska uttryck kopplade till en viss individ. Även uppgifter om enskilda individers kropps- liga avvikelser, röntgen- och ultraljudsfynd och laboratoriediagnos- tik har angetts som exempel på vad som kan utgöra biometriska uppgifter som kan förekomma i biverkningsrapporter. Läkemedels- industriföreningen har angett att det i samband med biverknings- rapportering avseende hormonbehandling vid könsbyte kan vara nöd- vändigt att behandla uppgifter om sexuell läggning.

Mot bakgrund av vad som framkommit gör utredningen bedöm- ningen att det i vissa fall är nödvändigt att fortsätta att behandla genetiska och biometriska uppgifter samt uppgifter om sexuell läggning för att uppfylla kraven i läkemedelslagen och läkemedels- förordningen på ett ändamålsenligt sätt. De uppgifter som det är fråga om är av allt att döma sådana uppgifter som även utgör upp- gifter om hälsa (se avsnitt 7.5). Sådana genetiska och biometriska uppgifter och uppgifter om sexuell läggning som samtidigt kan anses utgöra uppgifter om hälsa, bör därför även i fortsättningen få behandlas för de ändamål som anges i 3 kap. 13 § läkemedels- förordningen. Detta bör tydliggöras genom att det anges i be- stämmelsen att uppgifter om hälsa, inklusive genetiska och biomet- riska uppgifter och uppgifter om sexuell läggning, får behandlas. Någon skillnad i sak är således inte avsedd utan förslaget syftar endast till att tydliggöra att samma uppgifter som får behandlas i dag även får behandlas fortsättningsvis. Genetiska och biomet- riska uppgifter samt uppgifter om sexuell läggning som inte sam- tidigt utgör uppgifter om hälsa får däremot inte behandlas. Den ändring som nu föreslås innebär förstås inte ett sådant lagstöd som krävs för att i vissa fall få använda eller efterforska genetisk infor- mation enligt 2 kap. 1 § lagen (2006:351) om genetisk integritet.

589

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Utredningen gör när det gäller de nytillkomna kategorierna av känsliga personuppgifter samma bedömning i fråga om kravet på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter enligt artikel 9.2 g i dataskyddsförord- ningen som redovisats ovan när det gäller uppgifter som rör hälsa. Den bestämmelse som föreslås begränsa vidarebehandling av upp- gifter om hälsa som behandlas av innehavare av godkännande eller registrering för försäljning bör därför omfatta även sådana gene- tiska och biometriska uppgifter och uppgifter om sexuell läggning som samtidigt kan anses utgöra uppgifter om hälsa.

12.8.5 Hälsodataregister

Utredningens bedömning: Bestämmelsen om hälsodataregister i 3 kap. 14 § läkemedelsförordningen kan behållas.

Läkemedelsverket får enligt 3 kap. 14 § läkemedelsförordningen föra ett sådant hälsodataregister som anges i 1 § lagen (1998:543) om hälsodataregister. Registret får föras för att tillgodose behovet av uppgifter för de ändamål som anges i 6 kap. 1 § läkemedelslagen. Det som avses är alltså det ovan nämnda systemet för säkerhets- övervakning som har till syfte att samla in, registrera, lagra och vetenskapligt utvärdera uppgifter om misstänkta biverkningar av läkemedel som godkänts för försäljning. Registret får dessutom föras för framställning av statistik och forskning. Ändamålen ryms inom ramen för de ändamål som anges i 3 § lagen om hälsodata- register.

Som anges i avsnitt 11.6.5 anser utredningen att det inte finns skäl att göra en annan bedömning än den lagstiftaren redan gjort när det gäller preciseringen av ändamålen för de hälsodataregister som berörs där. Det finns visserligen inte några begränsningar av- seende vilka uppgifter som får behandlas i det nu aktuella registret. Däremot bedöms det ändamål som anges i 6 kap. 1 § läkemedels- lagen vara mer preciserat än i många av de andra författningarna om hälsodataregister. Samma bedömning görs därför beträffande den nu aktuella bestämmelsen. I enlighet med vad som anges i det av- snittet får även dessa ändamål anses ha grund i ett allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. De krav på den rätts-

590

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

liga grunden för behandling av personuppgifter som har tillkommit i artikel 6.3 i dataskyddsförordningen får, i enlighet med vad ut- redningen också har konstaterat i det avsnittet, anses vara uppfyllda utan vidare analys.

12.8.6 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelser som reglerar uppgifts- skyldighet i läkemedelslagen och läkemedelsförordningen kan behållas.

I läkemedelslagen och läkemedelsförordningen finns det bestäm- melser om skyldighet att lämna uppgifter. Som exempel kan näm- nas innehavarens skyldighet att rapportera uppgifter om misstänkta biverkningar till Läkemedelsverket enligt 3 kap. 7 § första stycket andra meningen läkemedelsförordningen och bestämmelsen i 7 kap. 3 § läkemedelsförordningen som anger att Läkemedelsverket ska fullgöra de skyldigheter att lämna underrättelser eller att lämna ut uppgifter eller handlingar som följer av två EU-direktiv. Vidare får Läkemedelsverket enligt 9 kap. 6 § läkemedelsförordningen med- dela vissa föreskrifter om skyldighet att lämna uppgifter.

I den mån uppgiftsskyldigheterna även omfattar personuppgif- ter behöver en prövning mot dataskyddsförordningen göras. Som utredningen har konstaterat i avsnitt 9.21 är bestämmelser om upp- giftsskyldighet lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelserna kan därmed behållas. När uppgiftsskyldigheten fullgörs måste dock den personuppgifts- ansvarige beakta den reglering om dataskydd som finns i bl.a. data- skyddsförordningen.

591

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.9 Förordningen (2013:413) om kosmetiska produkter

12.9.1 Inledning

Förordningen om kosmetiska produkter innehåller en bestämmelse som avser att göra det möjligt för Läkemedelsverket att behandla känsliga personuppgifter om hälsa i syfte att fullgöra de skyldig- heter, bl.a. en anmälningsplikt gällande allvarliga oönskade effekter av kosmetiska produkter, som följer av kosmetikaförordningen28. I detta avsnitt analyseras om denna bestämmelse, samt en tillhör- ande bestämmelse om personuppgiftsansvar, behöver ändras med anledning av dataskyddsförordningen.

12.9.2 Känsliga personuppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagen i 1 § 2 förordningen om kosmetiska produkter ändras till att avse 3 kap. 8 § dataskyddslagen. Hänvisningen till personuppgifts- lagen i 5 § första stycket förordningen om kosmetiska produkter tas bort.

Utredningens bedömning: Bestämmelsen i 5 § första stycket förordningen om kosmetiska produkter kan och bör behållas i sak.

Av 5 § första stycket förordningen om kosmetiska produkter fram- går att Läkemedelsverket, trots 13 § andra stycket personuppgifts- lagen, får utföra de behandlingar av personuppgifter som rör hälsa och som är nödvändiga för att fullgöra de skyldigheter som före- skrivs i kosmetikaförordningen samt i övrigt utföra de behandlingar av personuppgifter som rör hälsa i den omfattning behandlingen omfattas av Läkemedelsverkets tillsynsverksamhet.

Det aktuella undantaget från 13 § personuppgiftslagen är enligt 1 § 2 förordningen om kosmetiska produkter meddelat med stöd av 20 § personuppgiftslagen. Det innebär att såväl fullgörandet av de

28 Europaparlamentets och rådets förordning (EG) nr 1223/2009 av den 30 november 2009 om kosmetiska produkter (kosmetikaförordningen).

592

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

skyldigheter som föreskrivs i den aktuella EU-förordningen som den tillsyn som föranleds av regleringen av kosmetiska produkter har ansetts vara viktiga allmänna intressen.29 Undantaget är därmed, i enlighet med vad som anges i avsnitt 9.11.3, även fortsättningsvis tillåtet med stöd av artikel 9.2 g i dataskyddsförordningen.

Artikel 9.2 g i dataskyddsförordningen kräver att regleringen omfattar skyddsåtgärder. I artikel 9.2 i i dataskyddsförordningen anges tystnadsplikt som ett exempel på en skyddsåtgärd. De person- uppgifter som avses i 5 § första stycket förordningen om kosme- tiska produkter omfattas av sekretessbestämmelserna i 30 kap. 23 och 27 §§ offentlighets- och sekretesslagen (2009:400),30 vilket innebär att kravet på skyddsåtgärder får anses vara uppfyllt.

Bestämmelsen bör, i enlighet med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter, dvs. genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk per- son samt uppgifter om sexuell läggning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det att de olika kategorierna av känsliga personuppgifter överlappar varandra. Sådana uppgifter som omfattas av någon av de nya kategorierna men som även utgör en uppgift om hälsa, kan enligt utredningens be- dömning behandlas med stöd av 5 § första stycket förordningen om kosmetiska produkter. Utredningen har övervägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att upp- gifter som rör hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning får behandlas, på samma sätt som föreslås i avsnitt 10.1.11 och 12.8.4. Då det i utredningen inte har framkommit något behov av att behandla sådana uppgifter om hälsa som samtidigt omfattas av någon av de nya kategorierna, sak- nas det dock enligt utredningens bedömning anledning att införa ett sådant förtydligande.

Utredningen gör sammantaget bedömningen att bestämmelsen i 5 § första stycket förordningen om kosmetiska produkter inte be- höver ändras i sak. Hänvisningen till personuppgiftslagen bör dock

29 Se även Ds 2012:33 s. 104.

30 Prop. 2012/13:135 s. 36 ff.

593

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

tas bort, eftersom lagen kommer att upphävas i samband med att dataskyddsförordningen börjar tillämpas.

Även bemyndigandet i 20 § personuppgiftslagen försvinner i och med att personuppgiftslagen upphävs. Förslaget till ny data- skyddslag innehåller dock ett motsvarande bemyndigande som ger stöd för regeringens föreskrift i 5 § förordningen om kosmetiska produkter.31 Hänvisningen till personuppgiftslagen i 1 § 2 förord- ningen om kosmetiska produkter bör därför ändras till att avse 3 kap. 8 § dataskyddslagen.

12.9.3 Personuppgiftsansvar

Utredningens bedömning: Bestämmelsen om personuppgifts- ansvar i 5 § andra stycket förordningen om kosmetiska produk- ter kan och bör behållas.

Utredningen har i avsnitt 9.7 konstaterat att bestämmelser i register- författningar om vem som är personuppgiftsansvarig kan och bör behållas. Utredningen gör samma bedömning beträffande bestäm- melsen i 5 § andra stycket förordningen om kosmetiska produkter.

12.10 Lagen (2006:1570) om skydd

mot internationella hot mot människors hälsa

12.10.1 Inledning

Lagen om skydd mot internationella hot mot människors hälsa innehåller bestämmelser för att genomföra Världshälsoorganisa- tionens internationella hälsoreglemente som antogs i Genève den 23 maj 2005 (hälsoreglementet). Lagen syftar till att skydda mot internationella hot mot människors hälsa. I lagen finns även be- stämmelser om behandling av känsliga personuppgifter och över- föring av personuppgifter till Världshälsoorganisationen och tredje- land. Här följer en analys av de bestämmelsernas förenlighet med dataskyddsförordningen.

31 SOU 2017:39, förslaget till 3 kap. 8 § dataskyddslagen.

594

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.10.2 Upplysningsbestämmelse

Utredningens förslag: Hänvisningen till personuppgiftslagen i 12 § andra stycket första meningen lagen om internationella hot mot människors hälsa ändras till att avse dataskyddsförordningen och dataskyddslagen.

Eftersom personuppgiftslagen kommer att upphävas, bör hänvis- ningar till den lagen tas bort. Eftersom enbart 12 § andra stycket lagen om internationella hot mot människors hälsa handlar om behandling av personuppgifter i en lag som i övrigt reglerar andra förhållanden, är det lämpligt att upplysa om att fler bestämmelser finns i dataskyddsförordningen och dataskyddslagen.

12.10.3 Känsliga personuppgifter

Utredningens bedömning: Bestämmelsen om behandling av per- sonuppgifter som rör hälsa i 12 § andra stycket tredje meningen lagen om skydd mot internationella hot mot människors hälsa kan och bör behållas.

Av 12 § andra stycket tredje meningen lagen om skydd mot inter- nationella hot mot människors hälsa framgår att uppgifter som rör någons hälsa får behandlas helt eller delvis automatiserat, om det är nödvändigt för att en myndighet, en kommun eller ett landsting ska kunna fullgöra sin uppgiftsskyldighet enligt samma lag.

Regeringen gjorde under lagstiftningsarbetet bedömningen att undantaget för hälso- och sjukvård i 18 § personuppgiftslagen i de allra flesta fall borde kunna tillämpas på utlämnande av personupp- gifter i enlighet med åtagandena i det internationella hälsoregle- mentet.32 Bestämmelsen i 18 § personuppgiftslagen har stöd i arti- kel 8.3 i dataskyddsdirektivet, som i sin tur motsvaras av arti- kel 9.2 g i dataskyddsförordningen. I artikel 9.2 i i dataskyddsför- ordningen har det dock, som anges i avsnitt 9.11.5, tillkommit ett nytt undantag från förbudet att behandla känsliga personuppgifter

32 Prop. 2005/06:215 s. 47.

595

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

som avser folkhälsoområdet. Som framgår av det ovan nämnda avsnittet är behovet av att säkerställa ett skydd mot allvarliga gräns- överskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska pro- dukter exempel på skäl som motiverar behandling av känsliga personuppgifter med stöd av artikeln. Eftersom behandlingen av personuppgifter i det här fallet sker i syfte att upprätta skydd mot internationella hot mot människors hälsa, är undantaget i arti- kel 9.2 i i dataskyddsförordningen mer relevant att tillämpa.

För att undantaget i artikel 9.2 i i dataskyddsförordningen ska kunna tillämpas krävs att lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt.

Regler om tystnadsplikt finns i 25 kap. 1 § första stycket offent- lighets- och sekretesslagen (2009:400), där sekretess föreskrivs som huvudregel inom hälso- och sjukvården för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon när- stående till den enskilde lider men. Detsamma gäller i annan medi- cinsk verksamhet, såsom t.ex. åtgärder mot smittsamma sjukdomar. Detta har i doktrin tolkats som att verksamhet enligt bl.a. smitt- skyddslagen (2004:168) omfattas av sekretess i den mån den är individuellt inriktad.33 Regeringen har i förarbetena till lagen om skydd mot internationella hot mot människors hälsa ansett att det inte krävs något kompletterande sekretesskydd utöver det befint- liga.34

Utredningen bedömer att sekretessen enligt 25 kap. 1 § första stycket offentlighets- och sekretesslagen i vart fall täcker person- uppgifter om hälsa som behandlas i syfte att vidta åtgärder mot smittsamma sjukdomar, dvs. de känsliga personuppgifter som avses i bestämmelsen i 12 § lagen om skydd mot internationella hot mot människors hälsa. I artikel 45 i det internationella hälsoreglementet anges att personuppgifter ska omfattas av sekretess och behandlas anonymiserat när det krävs enligt nationell rätt. Personuppgifter får trots detta behandlas när det är nödvändigt för att bedöma och

33 Lenberg m.fl., Offentlighets- och sekretesslagen (1 juli 2016, Zeteo), kommentaren till

25 kap. 1 § under rubriken Sekretessbestämmelsens räckvidd.

34 Prop. 2005/06:215 s. 46.

596

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

hantera risker för folkhälsan, men då ställer reglementet upp krav på behandlingen som i allt väsentligt motsvarar de grundläggande kraven i artikel 5 i dataskyddsförordningen. Sammantaget får kravet på åtgärder för att skydda den registrerades rättigheter och friheter anses uppfyllt.

Den nu aktuella behandlingen av personuppgifter sker på grund- val av nationell lagstiftning vilket också är ett krav enligt artikel 9.2 i i dataskyddsförordningen. Bestämmelsen i 12 § andra stycket tredje meningen lagen om skydd mot internationella hot mot människors hälsa har därmed stöd i artikel 9.2 i i dataskyddsförordningen och kan behållas. Bestämmelsen bör, i enlighet med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgifter, dvs. gene- tiska uppgifter och biometriska uppgifter för att entydigt identi- fiera en fysisk person samt uppgifter om sexuell läggning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att be- handla sådana känsliga uppgifter som rör hälsa. Som anges i avsnitt 7.5 förekommer det att de olika kategorierna av känsliga person- uppgifter överlappar varandra. Sådana uppgifter som omfattas av någon av de nya kategorierna men även utgör en uppgift om hälsa, kan enligt utredningens bedömning behandlas med stöd av 12 § andra stycket tredje meningen lagen om skydd mot internationella hot mot människors hälsa. Utredningen har övervägt om detta be- höver förtydligas i bestämmelsen på så sätt att det anges att upp- gifter som rör hälsa, inklusive genetiska och biometriska uppgifter och uppgifter om sexuell läggning får behandlas, på samma sätt som föreslås i avsnitt 10.1.11 och 12.8.4. Då det i utredningen inte har framkommit något behov av att behandla sådana uppgifter om hälsa som samtidigt omfattas av någon av de nya kategorierna, saknas det dock enligt utredningens bedömning anledning att in- föra ett sådant förtydligande.

597

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.10.4 Överföring till tredjeland

Utredningens förslag: Bestämmelsen i 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot männi- skors hälsa behålls i sak men hänvisningen till 33 § personupp- giftslagen tas bort.

Folkhälsomyndigheten och andra berörda myndigheter, kommuner och landsting får enligt 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot människors hälsa, oavsett bestämmelserna i 33 § personuppgiftslagen, överföra personuppgif- ter till Världshälsoorganisationen och tredjeland för att fullgöra sin uppgiftsskyldighet enligt lagen om skydd mot internationella hot mot människors hälsa.

Enligt artikel 49.1 d dataskyddsförordningen, som är direkt tillämplig, får en överföring till ett tredjeland göras när den är nöd- vändig av viktiga skäl som rör allmänintresset. Internationella ut- byten av uppgifter mellan hälsovårdsmyndigheter, t.ex. vid kontakt- spårning för smittsamma sjukdomar, är enligt skäl 112 till data- skyddsförordningen en uppgiftsöverföring som krävs och är nöd- vändig med hänsyn till viktiga allmänintressen. I förarbetena till 12 § andra stycket andra meningen lagen om skydd mot internatio- nella hot mot människors hälsa har överföringen av personuppgif- ter ansetts motiverad med hänsyn till ett allmänt intresse.35 Det saknas anledning att göra en annan bedömning i förhållande till dataskyddsförordningen.

Kravet enligt artikel 49.4 i dataskyddsförordningen på att all- mänintresset är erkänt i unionsrätten eller i nationell rätt är upp- fyllt bl.a. genom att internationell överföring av personuppgifter mellan hälsovårdsmyndigheter i syfte att arbeta mot smittspridning särskilt omnämns i skälen till dataskyddsförordningen. I Europa- rådets sociala stadga är det dessutom ett mål att så långt som möjligt förebygga uppkomsten av epidemier, folksjukdomar och andra sjukdomar samt olycksfall. Personuppgifter kan därmed även enligt dataskyddsförordningen föras över till Världshälsoorganisationen

35 Prop. 2005/06:215 s. 48.

598

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

och tredjeland för fullgörande av uppgiftsskyldigheten enligt lagen om skydd mot internationella hot mot människors hälsa.

En bestämmelse om att överföring av personuppgifter till tredje- land i en viss situation är tillåten behöver, i enlighet med vad utred- ningen konstaterat i avsnitt 9.14, inte ändras om den i övrigt har stöd i dataskyddsförordningen. Bestämmelsen i 12 § andra stycket andra meningen lagen om skydd mot internationella hot mot män- niskors hälsa kan därmed behållas i sak, men hänvisningen till 33 § personuppgiftslagen bör tas bort.

12.11 Tobakslagen (1993:581)

Utredningens bedömning: Bestämmelsen i 12 e § tobakslagen om utlämnande och användning av personuppgifter i vissa fall kan behållas.

Av 12 e § tobakslagen framgår att en näringsidkare, som via distans- försäljning tillhandahåller tobaksvaror för försäljning till konsu- menter i ett annat land än det land där näringsidkaren har sitt säte eller sin affärsverksamhet, inte får lämna ut personuppgifter om konsumenten till tillverkaren av tobaksvaror eller till företag som ingår i samma koncern eller till andra tredje parter. Personuppgifter får inte heller användas eller överföras för andra ändamål än det aktuella köpet.

Bestämmelsen infördes i tobakslagen i samband med att tobaks- produktdirektivet36 implementerades i svensk lagstiftning. I arti- kel 18.5 i tobaksproduktdirektivet anges i fråga om gränsöverskri- dande distansförsäljning att återförsäljningsställen endast ska be- handla personuppgifter om konsumenten i enlighet med data- skyddsdirektivet och att dessa uppgifter inte får lämnas ut till till- verkaren av tobaksvaror eller till företag som ingår i samma kon- cern eller till andra tredje parter. Personuppgifter får inte heller användas eller överföras för andra ändamål än det aktuella köpet.

36 Europaparlamentets och rådets direktiv 2014/40/EU av den 3 april 2014 om tillnärmning av medlemsstaternas lagar och andra författningar om tillverkning, presentation och försälj- ning av tobaksvaror och relaterade produkter och om upphävande av direktiv 2001/37/EG (tobaksproduktdirektivet).

599

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Detta gäller också om återförsäljningsstället utgör en del av till- verkaren av tobaksvaror. Eftersom begränsningen av återförsäljares möjligheter att behandla personuppgifter inte återspeglas i reglerna i personuppgiftslagen, ansåg regeringen att det var befogat att in- föra en specialbestämmelse i tobakslagen som hanterar tobaks- produktdirektivets krav på personuppgiftshantering vid gränsöver- skridande distansförsäljning av tobaksvaror.37

Begränsningen av tobaksåterförsäljares möjligheter att behandla personuppgifter återspeglas inte heller av bestämmelserna i data- skyddsförordningen. Det är av det skälet befogat att ha kvar special- bestämmelsen i tobakslagen. Eftersom specialbestämmelsen i övrigt överensstämmer med vad som gäller enligt tobaksproduktdirektivet, prövar utredningen inte bestämmelsens förenlighet med dataskydds- förordningen. Det åligger inte medlemsstaterna att pröva tobaks- produktdirektivets förenlighet med dataskyddsförordningen, jämför artikel 98 i dataskyddsförordningen.

12.12 Alkohollagen (2010:1622)

12.12.1 Inledning

Folkhälsomyndigheten har det huvudsakliga ansvaret för tillsynen över efterlevnaden av alkohollagen. För att tillsynen ska kunna utövas effektivt, ska Folkhälsomyndigheten enligt 13 kap. alkohol- lagen föra ett centralt register som inkluderar uppgifter om perso- ner som har tillstånd eller bedriver verksamhet enligt alkohollagen. Det finns i 9 kap. alkohollagen dessutom bestämmelser om att upp- gifter ska lämnas till och från olika myndigheter i syfte att skapa förutsättningar för en effektiv tillsyn. Bestämmelserna i 9 och 13 kap. medför behandling av personuppgifter och nedan följer därför en analys av bestämmelsernas förenlighet med dataskydds- förordningen.

37 Prop. 2015/16:82 s. 54 f.

600

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.12.2 Register

Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 13 kap. 1 § alkohollagen kan behållas.

Av 13 kap. 1 § alkohollagen framgår att Folkhälsomyndigheten med hjälp av automatiserad behandling ska föra ett centralt register för tillsyn, uppföljning och utvärdering av lagens tillämpning samt framställning av statistik.

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock vara förenlig med dataskyddsförordningens bestämmelser.

Ändamål och grund för behandling av personuppgifter

Utredningens bedömning: Bestämmelserna om ändamål i 13 kap. 1 § alkohollagen kan behållas.

Av 13 kap. 1 § alkohollagen framgår att Folkhälsomyndigheten ska föra ett register för ändamålen tillsyn, uppföljning och utvärdering av lagens tillämpning samt framställning av statistik.

Skyldigheten att föra det aktuella registret är en rättslig förplik- telse. Ändamålen grundar sig på den rättsliga förpliktelsen att föra registret och har således stöd i artikel 6.1 c i dataskyddsförordningen. Någon ytterligare analys av vilket stöd ändamålen har i dataskydds- förordningen krävs inte, som utredningen konstaterat i avsnitt 9.10.1. Bestämmelserna i alkohollagen uppfyller också, i enlighet med vad som anges i samma avsnitt, de krav på den rättsliga grun- den som ställs i artikel 6.3 i dataskyddsförordningen. Det finns således stöd i dataskyddsförordningen för behandlingen av person- uppgifter i registret.

601

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Personuppgifter som får behandlas

Utredningens bedömning: Bestämmelserna i 13 kap. 2 § alkohol- lagen om registrets innehåll kan behållas.

I registret får, enligt 13 kap. 2 § alkohollagen, beträffande dem som har tillstånd eller bedriver verksamhet enligt alkohollagen behand- las uppgifter om namn eller firma, person-, samordnings-, registrer- ings- eller organisationsnummer, adress och telefonnummer, och den verksamhet som tillståndet avser och om villkor som har med- delats för denna.

En sådan precisering av vilka personuppgifter som får behandlas är förenlig med principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen som anger att uppgifterna ska vara ade- kvata, relevanta och inte för omfattande i förhållande till de ända- mål för vilka de behandlas. Utredningen utgår från de övervägan- den om vilka uppgifter som behöver behandlas i registren som har gjorts vid tidigare lagstiftningsarbeten. Medlemsstaterna tillåts som redan framgått att införa sådana preciseringar i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen eller därför att de begränsar en myndighets möjligheter till behand- ling av personuppgifter. Bestämmelserna i 13 kap. 2 § alkohollagen kan därmed behållas.

Några känsliga personuppgifter synes inte behandlas i registret. Någon bedömning av om det är tillåtet att behandla känsliga per- sonuppgifter behöver därför inte göras.

Bemyndigande

Utredningens bedömning: Det bemyndigande som ges i 13 kap. 3 § alkohollagen behöver inte ändras.

Regeringen får enligt 13 kap. 3 § alkohollagen föreskriva att upp- gifter till det register som avses i kapitlet får hämtas från register som förs av statlig eller kommunal myndighet.

Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Det

602

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

bemyndigande som ges i 13 kap. 3 § alkohollagen är således för- enligt med dataskyddsförordningen och behöver inte ändras.

Direktåtkomst

Utredningens bedömning: Bestämmelsen om direktåtkomst i 13 kap. 4 § alkohollagen behöver inte ändras.

I 13 kap. 4 § alkohollagen anges att Skatteverket för sin tillsyn en- ligt samma lag får ha direktåtkomst till uppgifter om serverings- tillstånd i registret som avses i kapitlet.

Eftersom utredningen i avsnitt 9.16.2 har kommit fram till att bestämmelser om direktåtkomst är säkerhetsåtgärder som kan åläggas myndigheter utan hinder av dataskyddsförordningen, behö- ver bestämmelsen i 13 kap. 4 § alkohollagen inte ändras.

12.12.3 Rättelse och skadestånd

Utredningens förslag: Bestämmelsen i 13 kap. 5 § alkohollagen som hänvisar till personuppgiftslagens bestämmelser om rättelse och skadestånd upphävs.

Enligt 13 kap. 5 § alkohollagen ska personuppgiftslagens bestäm- melser om rättelse och skadestånd gälla vid behandling av person- uppgifter enligt alkohollagen. Bestämmelsen bör, i enlighet med de slutsatser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas.

12.12.4 Uppgiftsskyldigheter

Utredningens bedömning: Bestämmelser om uppgiftsskyldig- heter behöver inte ändras med anledning av dataskyddsförord- ningen.

603

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

I 9 kap. alkohollagen finns det bestämmelser om olika uppgifts- skyldigheter som i vissa fall kan medföra utlämnande av person- uppgifter.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Bestämmelserna behöver således inte ändras med anledning av data- skyddsförordningen.

12.13 Socialtjänstlagen (2001:453)

och socialtjänstförordningen (2001:937)

12.13.1 Inledning

Socialtjänstlagen och den tillhörande socialtjänstförordningen inne- håller bl.a. bestämmelser om socialtjänstens arbetsuppgifter, ansvars- fördelning och förutsättningar för rätt till bistånd. Utöver detta finns även bestämmelser om dokumentation, säkerhetsåtgärder, information till registrerade, rättelse, gallring av uppgifter och uppgiftsskyldigheter. Vissa av dessa bestämmelser är tillämpliga på såväl personuppgifter som andra uppgifter och oavsett om doku- mentationen sker automatiserat eller manuellt medan andra endast är tillämpliga på helt eller delvis automatiserad behandling av person- uppgifter eller manuell behandling av personuppgifter som ingår eller kommer att ingå i ett register. I den del bestämmelserna tillämpas på helt eller delvis automatiserad behandling av person- uppgifter eller manuell behandling av personuppgifter som ingår eller kommer att ingå i ett register omfattas behandlingen av tillämpningsområdet för dataskyddsförordningen och lagen (2001:454) respektive förordningen (2001:637) om behandling av personupp- gifter inom socialtjänsten. Nedan görs därför en analys av om bestämmelserna behöver anpassas till dataskyddsförordningen.

604

SOU 2017:66 Författningar som bl.a. reglerar behandling av personuppgifter

12.13.2 Behandling av personuppgifter

Utredningens bedömning: Behandling av personuppgifter – inklusive känsliga personuppgifter och uppgifter om lagöverträ- delser – med anledning av åtgärder som krävs enligt socialtjänst- lagen och socialtjänstförordningen har stöd i dataskyddsförord- ningen och lagen respektive förordningen om behandling av personuppgifter inom socialtjänsten.

Socialtjänstlagen och den tillhörande förordningen innehåller flera bestämmelser med krav på åtgärder som medför behandling av per- sonuppgifter. I vissa fall rör det sig om behandling av känsliga person- uppgifter och uppgifter om lagöverträdelser.

I 11 kap. 1 a § och 5 § första stycket samt 14 kap. 6 § social- tjänstlagen finns det krav på dokumentation av bedömningar av behov av skydd, handläggning av ärenden rörande enskilda, genom- förande av beslut om stödinsatser, vård och behandling samt miss- förhållanden eller en påtaglig risk för ett missförhållande. Social- nämnden ska vidare enligt 7 kap. 1 § första stycket socialtjänst- förordningen föra en förteckning över de barn som enligt nämndens beslut vistas i familjehem eller efter nämndens medgivande i något annat enskilt hem. En ansökan om vård enligt lagen (1990:52) med särskilda bestämmelser om vård av unga ska enligt 5 kap. 1 § social- tjänstförordningen innehålla uppgifter om den unge, bl.a. känsliga personuppgifter, och uppgifter om dennes föräldrar. En vårdplan respektive genomförandeplan för den unge ska enligt 5 kap. 1 a och 1 b §§ socialtjänstförordningen innehålla bl.a. uppgifter om vård och åtgärder. Innan socialnämnden fattar beslut om vård av ett barn i ett familjehem eller jourhem ska socialnämnden enligt 5 kap. 1 b § socialtjänstförordningen inhämta uppgifter från belastnings- registret som förs enligt förordningen (1999:1134) om belastnings- register och uppgifter från misstankeregistret som förs enligt förord- ningen (1999:1135) om misstankeregister avseende den eller dem som nämnden avser att anlita för vård av ett barn i ett familjehem eller jourhem.

Stöd för den behandling av personuppgifter ovan beskrivna be- stämmelser medför, finns i ändamålet i 12 § första stycket 4 för- ordningen om behandling av personuppgifter inom socialtjänsten, som i sin tur har stöd i artikel 6.1 e i dataskyddsförordningen. I den

605

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

mån behandlingen avser känsliga personuppgifter, finns stöd i 7 § första stycket 2 och andra stycket lagen om behandling av person- uppgifter inom socialtjänsten, som i sin tur har stöd i artikel 9.2 g i dataskyddsförordningen. Stöd för behandling av uppgifter om lag- överträdelser finns i 7 § första stycket 3 och andra stycket lagen om behandling av personuppgifter inom socialtjänsten och artikel 10 i dataskyddsförordningen. Se mer om lagligt stöd för socialtjänstens behandling av personuppgifter i avsnitt 10.9.5 och 10.10.4.

Utredningen bedömer således att behandling av personuppgifter

– inklusive behandling av känsliga personuppgifter och uppgifter om lagöverträdelser – med anledning av åtgärder som krävs enligt socialtjänstförordningen, har stöd i dataskyddsförordningen och lagen respektive förordningen om behandling av personuppgifter inom socialtjänsten.

12.13.3 Register över verksamheter

Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 4 kap. 3 a § socialtjänstförordningen kan behållas.

Enligt 4 kap. 3 a § socialtjänstförordningen ska Inspektionen för vård och omsorg föra ett register över dem som har tillstånd att bedriva verksamhet enligt 7 kap. 1 § första stycket socialtjänst- lagen, och dem som har anmält verksamhet enligt 7 kap. 1 § andra stycket socialtjänstlagen. Registret ska utgöra underlag för tillsyns- verksamheten.

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock ske med beaktande av dataskyddsförordning- ens bestämmelser. Bestämmelsen kan därmed behållas.

606

SOU 2017:66 Författningar som bl.a. reglerar behandling av personuppgifter

Direktåtkomst

Utredningens bedömning: Bestämmelsen om direktåtkomst i 4 kap. 3 b och 4 kap. 3 c §§ andra stycket socialtjänstförordningen behöver inte ändras med anledning av dataskyddsförordningen.

I 4 kap. 3 b § socialtjänstförordningen finns det en bestämmelse om att Socialstyrelsen får ha direktåtkomst till det register Inspek- tionen för vård och omsorg för med stöd av 4 kap. 3 a § samma förordning. Socialstyrelsen har enligt 4 kap. 3 c § andra stycket socialtjänstförordningen rätt att ta del av uppgifterna i registret genom direktåtkomst.

Utredningen har i avsnitt 9.16.2 konstaterat att bestämmelser om hur och under vilka förutsättningar elektroniskt utlämnande av behandlade personuppgifter får ske är att anse som säkerhetsåtgär- der, som i fråga om myndigheter inte behöver ändras med anled- ning av dataskyddsförordningen.

12.13.4 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 11 kap. 5 § andra stycket och 6 § första meningen socialtjänstlagen behöver inte ändras med anledning av dataskyddsförordningen.

Av 11 kap. 5 § andra stycket socialtjänstlagen framgår att hand- lingar som rör enskildas personliga förhållanden ska förvaras så att obehöriga inte får tillgång till dem. Enligt 11 kap. 6 § första meningen samma lag ska dokumentationen utformas med respekt för den enskildes integritet. I den mån handlingarna och dokumen- tationen i övrigt innehåller personuppgifter får detta anses utgöra sådana säkerhetsåtgärder/skyddsåtgärder som – i enlighet med vad utredningen konstaterat i avsnitt 9.16.2 – i fråga om myndigheter inte behöver ändras med anledning av dataskyddsförordningen.

Enligt 7 kap. 3 § socialtjänstlagen gäller bestämmelserna i 11 kap. 5 och 6 §§ socialtjänstlagen i tillämpliga delar även i enskild verk- samhet som står under Inspektionen för vård och omsorgs tillsyn enligt socialtjänstlagen. Eftersom den ursprungliga behandlingen av personuppgifter grundar sig på en arbetsuppgift av allmänt intresse

607

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

enligt artikel 6.1 e i dataskyddsförordningen, är det möjligt att med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen föreskriva om särskilda säkerhetsåtgärder/skyddsåtgärder även för enskilda (se avsnitt 9.16.2).

Bestämmelserna i 11 kap. 5 och 6 §§ socialtjänstlagen behöver således inte ändras med anledning av dataskyddsförordningen.

12.13.5 Information och rättelse

Utredningens bedömning: Bestämmelserna i 11 kap. 6 § andra och tredje meningarna socialtjänstlagen om information och rättelse kan komplettera bestämmelserna i dataskyddsförord- ningen.

Information

Enligt 11 kap. 6 § andra meningen socialtjänstlagen bör den en- skilde hållas underrättad om de journalanteckningar och andra an- teckningar som förs om honom eller henne. Om anteckningarna förs helt eller delvis automatiserat eller manuellt i ett register eller kommer att ingå i ett register, finns ett mer omfattande krav på information till den registrerade till följd av bestämmelserna i data- skyddsförordningen. Även enligt dataskyddsdirektivet finns dock krav på ytterligare information till den registrerade. I förarbetena till bestämmelsen i 11 kap. 6 § socialtjänstlagen har regeringen inte kommenterat förhållandet till personuppgiftslagen.38 I förarbetena till motsvarande bestämmelse i 21 b § lagen (1993:387) om stöd och service till vissa funktionshindrade har regeringen dock kon- staterat att personuppgiftslagens bestämmelser om information till den registrerade gäller vid behandling av personuppgifter inom socialtjänsten och att det såvitt framkommit inte har medfört några problem i tillämpningen i förhållande till bestämmelser om insyns- rätt m.m. enligt socialtjänstlagen. Regeringen har därför inte sett några hinder för en kompletterande bestämmelse om krav på under-

38 Prop. 1996/97:124 s. 151 ff. och prop. 2000/01:80 s. 169.

608

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

rättelse i lagen om stöd och service till vissa funktionshindrade.39 Samma slutsats får anses vara relevant även i förhållande till 11 kap. 6 § andra meningen socialtjänstlagen (som är en sådan bestämmelse om insynsrätt som regeringen syftar på i förarbetena till lagen om stöd och service för vissa funktionshindrade).

Bestämmelsen i 11 kap. 6 § andra meningen socialtjänstlagen, som i dagsläget kompletterar personuppgiftslagens bestämmelser om information till registrerade, kommer i stället att komplettera motsvarande bestämmelser i dataskyddsförordningen. Regeringens slutsats om att kompletterande bestämmelser inte har medfört några problem i tillämpningen har då motsvarande relevans och bestäm- melsen kan därför kvarstå oförändrad.

Rättelse

I 11 kap. 6 § tredje meningen socialtjänstlagen anges att om den enskilde anser att någon uppgift i dokumentationen är oriktig, ska detta antecknas.

Enligt artikel 16 i dataskyddsförordningen införs en ny rätt för registrerade. Med beaktande av ändamålet med behandlingen, ska den registrerade nämligen ha rätt att komplettera ofullständiga person- uppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåt- ande. Bestämmelsen i 11 kap. 6 § tredje meningen socialtjänstlagen utgör möjligen en utvidgning av den registrerades rättigheter i för- hållande till dataskyddsförordningens bestämmelser. Medlems- staterna tillåts emellertid att införa mer specifika bestämmelser i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i data- skyddsförordningen. Att på detta sätt möjligen utvidga den regi- strerades rätt att få sina synpunkter på behandlingen antecknade får därmed anses förenligt med dataskyddsförordningen. Bestämmel- sen i 11 kap. 6 § tredje meningen socialtjänstlagen behöver därmed inte heller ändras med anledning av dataskyddsförordningen.

39 Prop. 2004/05:39 s. 35 f.

609

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.13.6 Uppgiftsskyldigheter

Utredningens bedömning: Uppgiftsskyldigheter i socialtjänst- lagen och socialtjänstförordningen behöver inte ändras med an- ledning av dataskyddsförordningen.

I 2 kap. 6 § andra stycket, 2 a kap. 12 §, 11 kap. 11–11 c §§40 och 12 kap. 5–10 §§ socialtjänstlagen samt 4 kap. 3 c §, 6 kap. 2 § tredje stycket och 7 kap. 1 § tredje stycket socialtjänstförordningen före- skrivs olika uppgiftsskyldigheter. Regeringen får enligt vissa av be- stämmelserna meddela föreskrifter om vilka uppgifter som ska läm- nas ut.

Utredningen har i fråga om uppgiftsskyldigheter i avsnitt 9.21 konstaterat att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på dessa områden och inte heller att föreskriftsrätten delegeras. Det finns därmed inget behov av att ändra bestämmelserna med anled- ning av dataskyddsförordningen. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

12.13.7 Gallring

Utredningens bedömning: Bestämmelser om bevarande och gall- ring i socialtjänstlagen behöver inte ändras med anledning av dataskyddsförordningen.

I 7 kap. 3–6 §§ och 12 kap. 1 och 2 §§ socialtjänstlagen finns det bestämmelser om bevarande och gallring. I 7 kap. 2 § socialtjänst- förordningen finns det ett förtydligande av vad som gäller enligt 7 kap. 3 a § andra stycket och 12 kap. 2 § tredje stycket socialtjänst- lagen.

Utredningen har i avsnitt 9.17.2 fastslagit att bestämmelser i registerförfattningar om bevarande och gallring inte behöver ändras

40 11 kap. 11 c § socialtjänstlagen upphör att gälla den 1 januari 2018, se SFS 2017:590.

610

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt in- tresse eller som ett led i myndighetsutövning enligt artikel 6.1 c och e i dataskyddsförordningen. Eftersom den verksamhet som bedrivs enligt socialtjänstlagen grundar sig på en arbetsuppgift av allmänt intresse, är någon förändring av bestämmelserna i 7 kap. 3– 6 §§ och 12 kap. 1 och 2 §§ socialtjänstlagen respektive 7 kap. 2 § socialtjänstförordningen inte nödvändig.

12.14 Lagen (1993:387) om stöd och service till vissa funktionshindrade

och förordningen (1993:1090)

om stöd och service till vissa funktionshindrade

12.14.1 Inledning

Lagen om stöd och service till vissa funktionshindrade och den tillhörande förordningen innehåller – utöver bl.a. bestämmelser om insatser till vissa funktionshindrade – bestämmelser om dokumen- tation, säkerhetsåtgärder, information, rättelse, uppgiftsskyldighet, register och gallring av uppgifter. Dessa bestämmelser är tillämpliga på såväl personuppgifter som andra uppgifter och oavsett om dokumentationen sker automatiserat eller manuellt. I den del be- stämmelserna tillämpas på helt eller delvis automatiserad behand- ling av personuppgifter eller manuell behandling av personuppgif- ter som ingår eller kommer att ingå i ett register omfattas behand- lingen av tillämpningsområdet för dataskyddsförordningen och lagen (2001:454) respektive förordningen (2001:637) om behand- ling av personuppgifter inom socialtjänsten. Nedan görs en analys av om dessa bestämmelser behöver anpassas till dataskyddsförord- ningen.

611

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.14.2 Krav på dokumentation

Utredningens bedömning: Bestämmelsen om dokumentation i 21 a § första stycket lagen om stöd och service till vissa funk- tionshindrade kan och bör behållas.

Enligt 21 a § första stycket lagen om stöd och service till vissa funktionshindrade ska handläggning av ärenden som rör enskilda samt genomförande av beslut om insatser enligt samma lag doku- menteras. Dokumentationen ska utvisa beslut och åtgärder som vidtas i ärendet samt faktiska omständigheter och händelser av be- tydelse.

Stöd för den behandling av personuppgifter som dokumenta- tionen innebär finns i ändamålet i 12 § första stycket 4 förord- ningen om behandling av personuppgifter inom socialtjänsten, som i sin tur har stöd i artikel 6.1 e i dataskyddsförordningen. I den mån behandlingen avser känsliga personuppgifter, finns stöd i 7 § första stycket 2 och andra stycket lagen om behandling av personuppgif- ter inom socialtjänsten, som i sin tur har stöd i artikel 9.2 g i data- skyddsförordningen. Stöd för behandling av uppgifter om lagöver- trädelser finns i 7 § första stycket 3 och andra stycket lagen om be- handling av personuppgifter inom socialtjänsten och artikel 10 i dataskyddsförordningen. Se mer om lagligt stöd för socialtjänstens behandling av personuppgifter i avsnitt 10.9.5 och 10.10.4.

Utredningen bedömer således att behandling av personuppgifter

– inklusive behandling av känsliga personuppgifter och uppgifter om lagöverträdelser – för ändamål som anges i lagen om stöd och service till vissa funktionshindrade (dokumentation), har lagligt stöd i dataskyddsförordningen och lagen respektive förordningen om behandling av personuppgifter inom socialtjänsten. Bestämmelsen i 21 a § första stycket lagen om stöd och service till vissa funktions- hindrade kan och bör därmed behållas.

612

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

12.14.3 Säkerhetsåtgärder

Utredningens bedömning: Bestämmelserna i 21 a § andra stycket och 21 b § lagen om stöd och service till vissa funktionshindrade behöver inte ändras med anledning av dataskyddsförordningen.

Av 21 a § andra stycket lagen om stöd och service till vissa funk- tionshindrade framgår att handlingar som rör enskildas personliga förhållanden ska förvaras så att obehöriga inte får tillgång till dem. Enligt 21 b § första meningen samma lag ska dokumentationen utformas med respekt för den enskildes integritet. I den mån hand- lingarna och dokumentationen i övrigt innehåller personuppgifter får detta anses utgöra sådana säkerhetsåtgärder som – i enlighet med vad utredningen konstaterat i avsnitt 9.16.2 – i fråga om myn- digheter inte behöver ändras med anledning av dataskyddsförord- ningen.

Enligt 23 a § första meningen lagen om stöd och service till vissa funktionshindrade gäller bestämmelserna i 21 a och 21 b §§ i tillämp- liga delar även i enskild verksamhet. Eftersom den ursprungliga behandlingen av personuppgifter grundar sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen, är det möjligt att med stöd av artikel 6.2 och 6.3 i dataskyddsförord- ningen föreskriva om särskilda säkerhetsåtgärder/skyddsåtgärder även för enskilda (se avsnitt 9.16.2).

12.14.4 Information och rättelse

Utredningens bedömning: Bestämmelserna i 21 b § andra och tredje meningarna lagen om stöd och service till vissa funktions- hindrade om information och rättelse kan komplettera bestäm- melserna i dataskyddsförordningen.

Information

Enligt 21 b § andra meningen lagen om stöd och service till vissa funktionshindrade bör den enskilde hållas underrättad om de journalanteckningar och andra anteckningar som förs om honom

613

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

eller henne. Om anteckningarna förs helt eller delvis automatiserat eller manuellt i ett register eller kommer att ingå i ett register, finns ett mer omfattande krav på information till den registrerade till följd av bestämmelserna i dataskyddsförordningen. Även enligt dataskyddsdirektivet finns dock krav på ytterligare information till den registrerade. I förarbetena till bestämmelsen i 21 b § lagen om stöd och service till vissa funktionshindrade har regeringen konsta- terat att personuppgiftslagens bestämmelser om information till den registrerade gäller vid behandling av personuppgifter inom socialtjänsten och att det såvitt framkommit inte har medfört några problem i tillämpningen i förhållande till bestämmelser om insyns- rätt m.m. enligt socialtjänstlagen (2001:453). Regeringen har därför inte sett några hinder för en kompletterande bestämmelse om krav på underrättelse i lagen om stöd och service till vissa funktions- hindrade.41

Bestämmelsen i 21 b § andra meningen lagen om stöd och service till vissa funktionshindrade, som i dagsläget kompletterar personuppgiftslagens bestämmelser om information till registre- rade, kommer i stället att komplettera motsvarande bestämmelser i dataskyddsförordningen. Regeringens slutsats om att komplette- rande bestämmelser inte har medfört några problem i tillämpningen har då motsvarande relevans och bestämmelsen kan därför kvarstå oförändrad.

Rättelse

I 21 b § tredje meningen lagen om stöd och service till vissa funk- tionshindrade anges att om den enskilde anser att någon uppgift i dokumentationen är oriktig, ska detta antecknas.

Enligt artikel 16 i dataskyddsförordningen införs en ny rätt för registrerade. Med beaktande av ändamålet med behandlingen, ska den registrerade nämligen ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom att tillhandahålla ett kompletterande utlåtande. Bestämmelsen i 21 b § tredje meningen lagen om stöd och service utgör möjligen en utvidgning av den registrerades rättigheter i förhållande till dataskyddsförordningens bestämmelser. Medlems-

41 Prop. 2004/05:39 s. 35 f.

614

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

staterna tillåts emellertid att införa mer specifika bestämmelser i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i data- skyddsförordningen. Att på detta sätt möjligen utvidga den regi- strerades rätt att få sina synpunkter på behandlingen antecknade får därmed anses förenligt med dataskyddsförordningen. Bestämmelsen i 21 b § tredje meningen lagen om stöd och service till vissa funk- tionshindrade behöver därmed inte heller ändras med anledning av dataskyddsförordningen.

12.14.5 Uppgiftsskyldighet

Utredningens bedömning: Bestämmelsen i 15 a § lagen om stöd och service till vissa funktionshindrade behöver inte ändras med anledning av dataskyddsförordningen.

I 15 a § lagen om stöd och service till vissa funktionshindrade anges att kommunen ska lämna ut vissa personuppgifter beträffande en- skilda till Socialstyrelsen för framställning av officiell statistik. Regeringen meddelar föreskrifter om vilka uppgifter som ska lämnas ut.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Bestäm- melsen behöver således inte ändras med anledning av dataskydds- förordningen. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

12.14.6 Register över verksamheter

Skyldighet att föra register

Utredningens bedömning: Bestämmelsen om skyldighet att föra register i 11 b § förordningen om stöd och service till vissa funktionshindrade kan behållas.

615

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

Enligt 11 b § förordningen om stöd och service till vissa funktions- hindrade ska Inspektionen för vård och omsorg föra ett register över dem som har tillstånd att bedriva enskild verksamhet och dem som har anmält verksamhet enligt 23 § lagen om stöd och service till vissa funktionshindrade.

Dataskyddsförordningen påverkar inte möjligheten att ålägga någon att föra ett visst register. Behandlingen av personuppgifter i registret måste dock utföras med beaktande av dataskyddsförord- ningens bestämmelser. Bestämmelsen kan därmed behållas.

Om registret innehåller uppgifter om personer med vård- och omsorgsbehov (jämför 7 och 8 §§ förordningen om stöd och service till vissa funktionshindrade) finns stöd för behandling av person- uppgifter i 12 § första stycket 4 förordningen om behandling av personuppgifter inom socialtjänsten. För behandling av känsliga personuppgifter finns stöd i 7 § första stycket 2 och andra stycket lagen om behandling av personuppgifter inom socialtjänsten. Se mer om bestämmelserna i lagen respektive förordningen om be- handling av personuppgifter inom socialtjänsten och deras förenlig- het med dataskyddsförordningen i avsnitt 10.9.5 och 10.10.4.

Direktåtkomst

Utredningens bedömning: Bestämmelserna om direktåtkomst i 11 c § och 11 d § andra stycket förordningen om stöd och service till vissa funktionshindrade behöver inte ändras med an- ledning av dataskyddsförordningen.

Av 11 c § förordningen om stöd och service till vissa funktions- hindrade framgår att Inspektionen för vård och omsorg under vissa förutsättningar ska låta Socialstyrelsen ha direktåtkomst till det register som avses i 11 b § förordningen om stöd och service till vissa funktionshindrade. Socialstyrelsen har enligt 11 d § andra stycket rätt att ta del av uppgifterna genom direktåtkomst.

Av avsnitt 9.16.2 framgår att bestämmelser om direktåtkomst är säkerhetsåtgärder som utan hinder av dataskyddsförordningen kan åläggas myndigheter. Bestämmelsen i 11 c § förordningen om stöd och service till vissa funktionshindrade behöver således inte ändras med anledning av dataskyddsförordningen.

616

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

Uppgiftsskyldighet

Utredningens bedömning: Bestämmelsen om skyldighet att lämna ut uppgifter i 11 d § första stycket förordningen om stöd och service till vissa funktionshindrade behöver inte ändras med anledning av dataskyddsförordningen.

Av 11 d § första stycket förordningen om stöd och service till vissa funktionshindrade framgår att Inspektionen för vård och omsorg under vissa förutsättningar ska lämna ut uppgifterna i registret till Socialstyrelsen.

Av avsnitt 9.21 framgår att befintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsförordningen som enligt dataskydds- direktivet. Bestämmelsen i 11 d § första stycket förordningen om stöd och service till vissa funktionshindrade behöver således inte ändras med anledning av dataskyddsförordningen. När uppgifts- skyldigheten fullgörs måste dock den personuppgiftsansvarige be- akta den reglering om dataskydd som finns i bl.a. dataskyddsför- ordningen.

12.14.7 Gallring

Utredningens bedömning: Bestämmelser om bevarande och gall- ring i lagen om stöd och service till vissa funktionshindrade och förordningen om stöd och service till vissa funktionshindrade behöver inte ändras med anledning av dataskyddsförordningen.

I 21 c, 21 d och 23 a–23 e §§ lagen om stöd och service till vissa funktionshindrade finns bestämmelser om bevarande och gallring. I 12 § förordningen om stöd och service till vissa funktionshind- rade finns ett förtydligande av vad som gäller enligt 21 d § andra stycket och 23 b § andra stycket lagen om stöd och service till vissa funktionshindrade.

Utredningen har i avsnitt 9.17.2 fastslagit att bestämmelser i registerförfattningar om bevarande och gallring inte behöver ändras i sak under förutsättning att den ursprungliga behandlingen grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i

617

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

dataskyddsförordningen. Eftersom den verksamhet som bedrivs enligt lagen om stöd och service till vissa funktionshindrade grun- dar sig på en arbetsuppgift av allmänt intresse, är någon förändring av bestämmelserna i 21 c, 21 d och 23 a–23 e §§ lagen om stöd och service till vissa funktionshindrade respektive 12 § förordningen om stöd och service till vissa funktionshindrade inte nödvändig.

12.15 Förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter

Utredningens förslag: Hänvisningen till personuppgiftslagen i 1 § förordningen om skyldighet för socialnämnderna att lämna statistiska uppgifter ändras till att avse dataskyddsförordningen.

Utredningens bedömning: Bestämmelserna om uppgiftsskyldig- het för socialnämnderna och bemyndigande att meddela före- skrifter behöver inte ändras med anledning av dataskyddsför- ordningen.

I 1 § förordningen om skyldighet för socialnämnderna att lämna statistiska uppgifter finns en hänvisning till personuppgiftslagen. Eftersom personuppgiftslagen upphävs när dataskyddsförordningen ska börja tillämpas, bör hänvisningen ändras till att avse dataskydds- förordningen.

De uppgiftsskyldigheter som regleras i 2 och 3 §§ förordningen om skyldighet för socialnämnderna att lämna statistiska uppgifter är, enligt den bedömning utredningen har gjort i avsnitt 9.21, lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirek- tivet. Bestämmelserna om uppgiftsskyldighet behöver alltså inte ändras med anledning av dataskyddsförordningen. Vid fullgörandet av uppgiftsskyldigheten måste dock den personuppgiftsansvarige iaktta den reglering om dataskydd som finns i bl.a. dataskydds- förordningen.

Enligt 4 § förordningen om skyldighet för socialnämnderna att lämna statistiska uppgifter får Socialstyrelsen, efter samråd med Sveriges Kommuner och Landsting, meddela närmare föreskrifter om uppgiftslämnandet enligt förordningen. Dataskyddsförord- ningen hindrar inte att föreskrifter meddelas på detta område och

618

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

inte heller att föreskriftsrätten delegeras. Det finns således inget behov av att ändra bestämmelsen med anledning av dataskydds- förordningen.

12.16 Förordningen (2010:425) om ersättning för kostnader för sjuklön

Utredningens bedömning: Bestämmelsen i 3 § förordningen om ersättning för kostnader för sjuklön behöver inte ändras med anledning av dataskyddsförordningen.

I 3 § förordningen om ersättning för kostnader för sjuklön anges att beslut om ersättning enligt 17 § lagen (1991:1047) om sjuklön får fattas genom automatiserad behandling av Försäkringskassan när skälen för beslutet får utelämnas enligt 20 § första stycket 1 för- valtningslagen (1986:223).

Det automatiserade beslutsfattande som avses i bestämmelsen inkluderar inte profilering, som enligt definitionen i artikel 4.4 i dataskyddsförordningen är varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetspresta- tioner, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Det aktuella förfarandet påverkas därför, i enlighet med vad utredningen angett i avsnitt 9.15.1 om automatiserat och individuellt beslutsfattande, inte av vad som anges i artikel 22 i dataskyddsförordningen. Den behandling av personuppgifter som sker genom beslutsfattandet omfattas av bestämmelserna i 114 kap. socialförsäkringsbalken. Bestämmelsen i 3 § förordningen om ersättning för kostnader för sjuklön behöver därmed inte ändras med anledning av dataskydds- förordningen.

619

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

12.17 Förordningen (1998:562) med vissa bemyndiganden för Försäkringskassan

Utredningens bedömning: Bemyndigandena i 2 § 2 och 8 för- ordningen med vissa bemyndiganden för Försäkringskassan be- höver inte ändras med anledning av dataskyddsförordningen.

I 2 § 2 förordningen med vissa bemyndiganden för Försäkrings- kassan ges Försäkringskassan möjlighet att meddela föreskrifter om att uppgifter om sjukdomsfall enligt 12 § första stycket lagen (1991:1047) om sjuklön får lämnas genom automatiserad behand- ling.

Enligt 12 § första stycket lagen om sjuklön ska arbetsgivaren till Försäkringskassan anmäla sjukdomsfall som har gett arbetstagare hos honom rätt till sjuklön, om sjukperioden och anställningen fortsätter efter sjuklöneperiodens utgång. Anmälan ska innehålla uppgifter om bl.a. arbetstagarens personnummer eller samordnings- nummer och det datum när sjuklöneperioden började. De uppgifter som ska lämnas till Försäkringskassan utgör således delvis uppgif- ter om hälsa, dvs. känsliga personuppgifter.

Om uppgifterna lämnas automatiserat, medför det en behand- ling av personuppgifter som omfattas av dataskyddsförordningens tillämpningsområde. Stöd för behandlingen av personuppgifter finns i artikel 6.1 c i dataskyddsförordningen, eftersom arbetsgiva- ren har en rättslig skyldighet att lämna uppgifterna. Behandlingen av känsliga personuppgifter enligt förordningen med vissa bemyn- diganden för Försäkringskassan får enligt utredningens bedömning i vart fall anses nödvändig av hänsyn till ett viktigt allmänt intresse

– en fungerande administration av socialförsäkringen. Behandling av känsliga personuppgifter är därmed tillåten med stöd av undan- taget i artikel 9.2 g i dataskyddsförordningen.

Det finns således inget hinder mot att meddela föreskrifter om att arbetsgivare får lämna uppgifter till Försäkringskassan genom automatiserad behandling. Detta förutsätter naturligtvis att bl.a. kraven på skyddsåtgärder enligt artikel 9.2 g i dataskyddsförord- ningen iakttas. Dataskyddsförordningen hindrar inte heller att föreskriftsrätten delegeras. Bestämmelsen i 2 § 2 förordningen med

620

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

vissa bemyndiganden för Försäkringskassan behöver därmed inte ändras.

Enligt 2 § 8 förordningen med vissa bemyndiganden för Försäk- ringskassan får Försäkringskassan också meddela föreskrifter om i vilken utsträckning en enskild inom Försäkringskassans verksam- hetsområde får använda självbetjäningstjänster enligt 111 kap. 4 § socialförsäkringsbalken samt om användningen av elektroniska underskrifter, certifikat och andra metoder för identifiering enligt 5 och 6 §§ samma kapitel. Detta bemyndigande avser bestämmelser om säkerhetsåtgärder. Dataskyddsförordningen hindrar inte att föreskrifter meddelas i fråga om säkerhetsåtgärder och inte heller att föreskriftsrätten delegeras. Bestämmelsen i 2 § 8 förordningen med vissa bemyndiganden för Försäkringskassan behöver därmed inte ändras.

12.18 Lagen (1991:1047) om sjuklön

Utredningens bedömning: Bestämmelsen i 17 c § lagen om sjuk- lön behöver inte ändras med anledning av dataskyddsförord- ningen.

Av 17 c § lagen om sjuklön framgår att när Försäkringskassan har beviljat ersättning enligt 17 § ska Försäkringskassan lämna Skatte- verket de uppgifter som behövs för kreditering på arbetsgivarens skattekonto, oavsett om sekretess gäller. Uppgifterna får lämnas på medium för automatiserad behandling.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. När uppgiftsskyldigheten fullgörs automatiserat måste dock be- stämmelser om dataskydd beaktas.

Försäkringskassans utlämnande av personuppgifter omfattas av regleringen i 114 kap. socialförsäkringsbalken. Av 114 kap. 9 § 1 socialförsäkringsbalken framgår att Försäkringskassan får behandla personuppgifter som behandlas för primära ändamål för att auto- matiserat tillhandahålla information utanför den egna myndigheten på grund av uppgiftsskyldigheter. Eventuella känsliga personupp- gifter kan lämnas ut automatiserat med stöd av 114 kap. 11 § första

621

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

stycket socialförsäkringsbalken. Bestämmelserna i 114 kap. 9 § 1 och 11 § första stycket socialförsäkringsbalken har stöd i data- skyddsförordningen (avsnitt 10.13.5 och 10.13.6). En bestämmelse om att personuppgifter får lämnas på medium för automatiserad behandling får anses vara en sådan mer specifik, eller särskild, be- stämmelse som det enligt artikel 6.2 och 6.3 i dataskyddsförord- ningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse enligt artikel 6.1 c eller e i dataskyddsförordningen. Det är således möjligt att föreskriva att Försäkringskassan med anledning av en uppgiftsskyldighet får lämna personuppgifter på medium för automatiserad behandling. Bestämmelsen i 17 c § lagen om sjuklön behöver därmed inte ändras med anledning av data- skyddsförordningen.

12.19 Bostadsbidragsförordningen (1993:739)

Utredningens bedömning: Bestämmelsen i 1 b § första stycket bostadsbidragsförordningen behöver inte ändras med anledning av dataskyddsförordningen.

Av 1 b § första stycket bostadsbidragsförordningen följer att Centrala studiestödsnämnden på begäran ska lämna Försäkringskassan upp- gifter om utbetalda studiemedel i form av studiebidrag, utom när det gäller den del som avser tilläggsbidrag. Uppgifterna ska lämnas på medium för automatiserad behandling.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. När uppgiftsskyldigheten fullgörs automatiserat måste dock be- stämmelser om dataskydd beaktas.

När Centrala studiestödsnämnden lämnar ut personuppgifter på medium för automatiserad behandling, omfattas behandlingen av studiestödsdatalagen (2009:287). Av 4 § andra stycket studiestöds- datalagen framgår att personuppgifter som behandlas för primära ändamål inom Centrala studiestödsnämnden även får behandlas genom att lämnas ut i den utsträckning skyldighet för Centrala studiestödsnämnden att lämna uppgifter följer av lag eller förord-

622

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

ning. Eventuella känsliga personuppgifter kan lämnas ut med stöd av 6 § andra stycket studiestödsdatalagen.42 En bestämmelse om att personuppgifter ska lämnas på medium för automatiserad behand- ling får anses vara en sådan mer specifik, eller särskild, bestämmelse som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen (uppgiftslämnandet grundar sig på en uppgiftsskyldighet, dvs. en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen). Det är således möjligt att föreskriva att Centrala studiestödsnämn- den med stöd av uppgiftsskyldighet ska lämna personuppgifter på medium för automatiserad behandling. Bestämmelsen i 1 b § första stycket bostadsbidragsförordningen behöver därmed inte ändras med anledning av dataskyddsförordningen.

12.20 Förordningen (1996:1036) om underhållsstöd

Utredningens bedömning: Bestämmelsen i 5 § förordningen om underhållsstöd behöver inte ändras med anledning av data- skyddsförordningen.

Av 5 § förordningen om underhållsstöd framgår att Centrala studie- stödsnämnden ska, för fastställande av underhållsstöd och betal- ningsskyldighet, på medium för automatiserad behandling lämna Försäkringskassan uppgift om studiemedel i form av studiebidrag som har betalats ut till någon av föräldrarna. Uppgiften ska inte inne- fatta tilläggsbidrag.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. När uppgiftsskyldigheten fullgörs automatiserat måste dock be- stämmelser om dataskydd beaktas.

När Centrala studiestödsnämnden lämnar ut personuppgifter på medium för automatiserad behandling, omfattas behandlingen av studiestödsdatalagen (2009:287). Av 4 § andra stycket studiestöds- datalagen framgår att personuppgifter som behandlas för primära

42 I SOU 2017:49 har föreslagits ett nytt andra stycke i 6 § studiestödsdatalagen. Nuvarande 6 § andra stycket studiestödslagen blir enligt förslaget i stället 6 § tredje stycket studie- stödsdatalagen.

623

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

ändamål inom Centrala studiestödsnämnden även får behandlas genom att lämnas ut i den utsträckning skyldighet för Centrala studiestödsnämnden att lämna uppgifter följer av lag eller förord- ning. Eventuella känsliga personuppgifter kan lämnas ut med stöd av 6 § andra stycket studiestödsdatalagen.43 En bestämmelse om att personuppgifter ska lämnas på medium för automatiserad behand- ling får anses vara en sådan mer specifik, eller särskild, bestämmelse som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen (uppgiftslämnandet grundar sig på en uppgiftsskyldighet, dvs. en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen). Det är således möjligt att föreskriva att Centrala studiestödsnämn- den med stöd av uppgiftsskyldighet ska lämna personuppgifter på medium för automatiserad behandling. Bestämmelsen i 5 § förord- ningen om underhållsstöd behöver därmed inte ändras med anled- ning av dataskyddsförordningen.

12.21 Förordningen (1998:1340)

om inkomstgrundad ålderspension

Utredningens bedömning: Bestämmelserna i 4 och 5 §§ förord- ningen om inkomstgrundad ålderspension behöver inte ändras med anledning av dataskyddsförordningen.

Av 4 § förordningen om inkomstgrundad ålderspension framgår att Pensionsmyndigheten ska underrätta Skatteverket om anmälan om överföring eller upphörande av överföring av pensionsrätt enligt 61 kap. 11–16 §§ socialförsäkringsbalken. Uppgifterna får lämnas på medium för automatiserad behandling. Enligt 5 § förordningen om inkomstgrundad ålderspension får även uppgifter som Total- försvarets rekryteringsmyndighet ska lämna till Pensionsmyndig- heten enligt 110 kap. 35 § första stycket socialförsäkringsbalken lämnas på medium för automatiserad behandling.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna

43 I SOU 2017:49 har föreslagits ett nytt andra stycke i 6 § studiestödsdatalagen. Nuvarande 6 § andra stycket studiestödslagen blir enligt förslaget i stället 6 § tredje stycket studie- stödsdatalagen.

624

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

enligt dataskyddsförordningen som enligt dataskyddsdirektivet. När uppgiftsskyldigheten fullgörs automatiserat måste dock bestäm- melser om dataskydd beaktas.

Pensionsmyndighetens utlämnande av personuppgifter omfattas av regleringen i 114 kap. socialförsäkringsbalken. Av 114 kap. 9 § 1 socialförsäkringsbalken framgår att Pensionsmyndigheten får be- handla personuppgifter som behandlas för primära ändamål för att automatiserat tillhandahålla information utanför den egna myndig- heten på grund av uppgiftsskyldigheter. Eventuella känsliga person- uppgifter kan lämnas ut automatiserat med stöd av 114 kap. 11 § första stycket socialförsäkringsbalken. Bestämmelserna i 114 kap. 9 § 1 och 11 § första stycket socialförsäkringsbalken har stöd i data- skyddsförordningen (avsnitt 10.13.5 och 10.13.6).

Lagen (1998:938) om behandling av personuppgifter om total- försvarspliktiga, som omfattar utlämnande av personuppgifter från Totalförsvarets rekryteringsmyndighet, anger endast primära ända- mål (5 §). Det är inte angett för vilka ändamål personuppgifter kan lämnas ut och det finns ingen hänvisning till finalitetsprincipen (9 § första stycket d och andra stycket personuppgiftslagen), men det framgår av 4 § att personuppgiftslagen ska tillämpas om inget annat följer av lagen. I lagens förarbeten förs ett resonemang om att ut- lämnande av personuppgifter är en behandling enligt personupp- giftslagen och att den därför inte får ske om det är oförenligt med de ändamål som angavs vid insamlandet.44 Avsikten torde därmed ha varit att finalitetsprincipen ska kunna tillämpas. Det får förut- sättas att det, när 5 § förordningen om inkomstgrundad ålders- pension infördes, bedömdes förenligt med finalitetsprincipen och lagen om behandling av personuppgifter om totalförsvarspliktiga att lämna ut de aktuella uppgifterna automatiserat.45 Utlämnandet avser inte några känsliga personuppgifter (se 110 kap. 35 § första stycket och 60 kap. 17 § socialförsäkringsbalken).

Bestämmelser om att personuppgifter får lämnas ut på medium för automatiserad behandling får anses vara sådana mer specifika, eller särskilda, bestämmelser som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen (uppgiftslämnandet grundar sig på en

44 Prop. 1997/98:80 s. 70.

45 Lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga är föremål för översyn av Utredningen om behandlingen av personuppgifter om totalförsvarspliktiga (Fö 2016:01). Eventuella ändringar i lagen bör beaktas i det fortsatta lagstiftningsarbetet.

625

Författningar som bl.a. reglerar behandling av personuppgifter

SOU 2017:66

uppgiftsskyldighet, dvs. en rättslig förpliktelse enligt artikel 6.1 c i dataskyddsförordningen). Det är således möjligt att föreskriva att de aktuella uppgifterna får lämnas ut på medium för automatiserad behandling. Bestämmelserna i 4 och 5 §§ förordningen om inkomst- grundad ålderspension behöver därmed inte ändras med anledning av dataskyddsförordningen.

12.22 Förordningen (2008:193) om statligt tandvårdsstöd

Utredningens bedömning: Bestämmelserna i 17 och 19 a §§ för- ordningen om statligt tandvårdsstöd behöver inte ändras med anledning av dataskyddsförordningen.

Av 17 § första stycket förordningen om statligt tandvårdsstöd framgår att uppgifter, som vårdgivaren ska lämna enligt uppgifts- skyldigheter i 15 och 16 §§ samt i ansökan om förhandsprövning och ansökan om ersättning enligt lagen (2008:145) om statligt tand- vårdsstöd, ska lämnas på elektronisk väg. Enligt 19 a § förordningen om statligt tandvårdsstöd ska Försäkringskassan lämna uppgifter till Tandvårds- och läkemedelsförmånsverket. Uppgifterna får läm- nas på medium för automatiserad behandling.

I enlighet med vad som anges i avsnitt 9.21 är det utredningens bedömning att bestämmelser om uppgiftsskyldighet är lika tillåtna enligt dataskyddsförordningen som enligt dataskyddsdirektivet. När uppgiftsskyldigheten fullgörs automatiserat måste dock be- stämmelser om dataskydd beaktas.

När en vårdgivare lämnar ut personuppgifter på elektronisk väg, är patientdatalagen (2008:355) tillämplig på behandlingen av person- uppgifter. Enligt 2 kap. 5 § patientdatalagen får personuppgifter som behandlas för primära ändamål även behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller för- ordning. Bestämmelsen ger också stöd för att lämna ut eventuella känsliga personuppgifter. Bestämmelsen i 2 kap. 5 § patientdata- lagen har stöd i dataskyddsförordningen (avsnitt 10.1.7).

Försäkringskassans utlämnande av personuppgifter omfattas av regleringen i 114 kap. socialförsäkringsbalken. Av 114 kap. 9 § 1 socialförsäkringsbalken framgår att Försäkringskassan får behandla

626

SOU 2017:66

Författningar som bl.a. reglerar behandling av personuppgifter

personuppgifter som behandlas för primära ändamål för att auto- matiserat tillhandahålla information utanför den egna myndigheten på grund av uppgiftsskyldigheter. Eventuella känsliga personupp- gifter kan lämnas ut automatiserat med stöd av 114 kap. 11 § första stycket socialförsäkringsbalken. Bestämmelserna i 114 kap. 9 § 1 och 11 § första stycket socialförsäkringsbalken har stöd i data- skyddsförordningen (avsnitt 10.13.5 och 10.13.6).

En bestämmelse om att personuppgifter ska lämnas ut på elektro- nisk väg alternativt medium för automatiserad behandling får anses vara en sådan mer specifik, eller särskild, bestämmelse som är tillåten enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Det är således möjligt att föreskriva att vårdgivare respektive Försäkringskassan med stöd av en uppgiftsskyldighet ska lämna ut personuppgifter på elektronisk väg respektive på medium för automatiserad behand- ling. Bestämmelserna i 17 och 19 a §§ förordningen om statligt tandvårdsstöd behöver därmed inte ändras med anledning av data- skyddsförordningen.

627

13 Författningar

med uppgiftsskyldigheter

Utredningens bedömning: Befintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsförordningen som enligt dataskydds- direktivet och bör inte ändras.

Inom Socialdepartementets verksamhetsområde finns det en stor mängd författningar som reglerar uppgiftsskyldigheter. Det hand- lar om författningar som enbart gäller skyldigheten att lämna upp- gifter, t.ex. förordningen (1980:995) om skyldighet för Försäkrings- kassan och Pensionsmyndigheten att lämna uppgifter till andra myndigheter, förordningen (2004:16) om utlämnande av uppgifter som avser stöd och service till vissa funktionshindrade och förord- ningen (2008:975) om uppgiftsskyldighet i vissa fall enligt social- tjänstlagen (2001:453), men även om författningar som innehåller bl.a. en eller flera bestämmelser om uppgiftsskyldigheter, t.ex. tand- vårdsförordningen (1998:1338), lagen (2007:606) om utredningar avseende vissa dödsfall och lagen (2008:145) om statligt tandvårds- stöd.

Utan att redogöra för varje enskild bestämmelse konstaterar ut- redningen, i enlighet med vad som framgår av avsnitt 9.21, att be- fintliga uppgiftsskyldigheter är lika tillåtna enligt dataskyddsför- ordningen som enligt dataskyddsdirektivet och att de inte bör ändras med anledning av dataskyddsförordningen. När uppgiftsskyldig- heten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskyddsförordningen.

629

14 Obsoleta författningar

14.1 Förordningen (1994:565) om vårdnadsbidragsregister

Utredningens förslag: Förordningen om vårdnadsbidrag bör inte anpassas till dataskyddsförordningen utan i stället upphävas.

Den 1 juli 1994 trädde lagen (1994:553) om vårdnadsbidrag i kraft. Vårdnadsbidrag skulle enligt lagen handläggas av Riksförsäkrings- verket och de allmänna försäkringskassorna. Eftersom lagen (1994:1517) om socialförsäkringsregister krävde att regeringen ut- färdade en förordning för att Riksförsäkringsverket och de allmänna försäkringskassorna skulle få föra ett s.k. personregister som användes för handläggning av förmåner, utfärdade regeringen en ny förord- ning (1994:565) om vårdnadsbidragsregister.

Lagen om vårdnadsbidrag upphävdes den 1 januari 1995 (SFS 1994:1567). Enligt övergångsbestämmelser gäller den upp- hävda lagen dock fortfarande i fråga om ärenden om vårdnadsbidrag som kommit in till Försäkringskassan före den 1 januari 1995 och som avser tid före nämnda datum. Förordningen om vårdnadsbidrags- register upphävdes inte i anslutning till att lagen om vårdnadsbidrag upphävdes och kommenterades inte heller i förarbetena.1

Enligt 9 § förordningen om vårdnadsbidragsregister ska register- information som inte behövs för handläggning av ett ärende om vårdnadsbidrag gallras under tredje kalenderåret efter det att upp- giften registrerades. Kontrolluppgift om utbetalda bidrag ska gallras efter tio år.

1 Prop. 1994/95:61.

631

Obsoleta författningar SOU 2017:66

Den 1 januari 1998 trädde en ändring i förordningen om vård- nadsbidragsregister i kraft. Ändringen innebar att ytterligare upp- gifter – som behövs för att beräkna och redovisa skatteavdrag enligt skattebetalningslagen (1997:483) – får registreras i vårdnadsbidrags- registret. Detta antyder att registret och förordningen, tre år efter att vårdnadsbidraget avskaffats, fortfarande användes. Ändringen kommenterades inte i förarbetena.2

Därefter har inga ytterligare ändringar gjorts i förordningen om vårdnadsbidragsregister. Förordningen uppdaterades t.ex. inte när datalagen (1973:289) upphävdes och personuppgiftslagen trädde i kraft i oktober 1998, när Riksförsäkringsverket och de allmänna försäkringskassorna slogs ihop till en myndighet i januari 2005 eller när skattebetalningslagen upphävdes i januari 2012.

Lagen om socialförsäkringsregister upphävdes den 1 januari 1998 och sedan dess har det inte funnits något krav på en särskild för- ordning för socialförsäkringsregister. Socialförsäkringsregisterlagen gällde 1 januari 1998–1 december 2003 och var tillämplig på person- register för sådan verksamhet i fråga om socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förord- ning eller särskilt beslut av regeringen ankommer på de allmänna försäkringskassorna, Premiepensionsmyndigheten eller Riksförsäk- ringsverket (socialförsäkringsregister). Förordningen om vårdnads- bidragsregister omnämndes inte i förarbetena till socialförsäkrings- registerlagen.3 Lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration gällde 1 december 2003– 1 januari 2011 och var tillämplig på behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra för- måner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensions- myndigheten (socialförsäkringens administration). Förordningen om vårdnadsbidragsregister omnämndes inte heller i förarbetena till denna lag.4 Från och med januari 2011 omfattas motsvarande behandling av personuppgifter av 114 kap. socialförsäkringsbalken.

Den 1 juli 2008 trädde en ny lag om vårdnadsbidrag i kraft – lagen (2008:307) om kommunalt vårdnadsbidrag. Den här gången var det

2 Prop. 1996/97:100.

3 Prop. 1996/97:155.

4 Prop. 2002/03:135.

632

SOU 2017:66

Obsoleta författningar

dock inte Försäkringskassan som ansvarade för handläggningen utan kommunerna. Lagen upphävdes vid utgången av januari 2016.

Sammantaget konstaterar utredningen att förordningen om vård- nadsbidragsregister är obsolet och kan upphävas.

14.2 Förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister

Utredningens förslag: Förordningen med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för social- försäkringsregister bör inte anpassas till dataskyddsförordningen utan i stället upphävas.

Socialförsäkringsregisterlagen (1997:934) trädde i kraft den 1 januari 1998. Av 22 § framgår att regeringen eller den myndighet reger- ingen bestämmer får meddela säkerhetsföreskrifter för socialförsäk- ringsregister. Ett halvår senare utfärdade regeringen förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister.

Socialförsäkringsregisterlagen upphävdes den 1 december 2003 och ersattes av lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, som i sin tur ersattes av 114 kap. socialförsäkringsbalken den 1 januari 2011. Såväl lagen om behandling av personuppgifter inom socialförsäkringens admini- stration som socialförsäkringsbalken innehåller bemyndiganden som motsvarar bemyndigandet i 22 § socialförsäkringsregisterlagen. Regeringen har dock i 8 § förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration be- myndigat Försäkringskassan att meddela föreskrifter rörande olika säkerhetsaspekter. Försäkringskassan har utfärdat sådana föreskrifter i Riksförsäkringsverkets föreskrifter (RFFS 2004:1) om behandling av personuppgifter inom socialförsäkringens administration. Data- inspektionen har å sin sida inga gällande föreskrifter som avser be- handling av personuppgifter hos Försäkringskassan.

633

Obsoleta författningar

SOU 2017:66

Sammantaget anser utredningen att förordningen med bemyn- digande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister är obsolet och kan upphävas.

634

AVSLUTANDE DEL

15 Ikraftträdande

och övergångsbestämmelser

15.1 Ikraftträdande

Utredningens förslag: Författningsändringarna till följd av data- skyddsförordningen ska träda i kraft den 25 maj 2018.

Vid samma tidpunkt ska förordningen om vårdnadsbidrags- register och förordningen med bemyndigande för Datainspek- tionen att meddela säkerhetsföreskrifter för socialförsäkrings- register upphöra att gälla.

Författningsändringarna till följd av den föreslagna brotts- datalagen ska träda i kraft den 1 maj 2018.

Dataskyddsförordningen träder enligt artikel 99.1 i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning, vilket skedde den 4 maj 2016. Enligt artikel 99.2 i dataskyddsförordningen ska den börja tillämpas den 25 maj 2018. De författningsändringar som föranleds av att dataskyddsförord- ningen ska börja tillämpas bör träda i kraft vid samma tidpunkt.

Registerförfattningarna inom Socialdepartementets verksamhets- område gäller i dag utöver personuppgiftslagen. Utredningens för- slag utgår från att den författningstekniken behålls. Registerförfatt- ningarna föreslås således gälla utöver den föreslagna dataskydds- lagen, se bl.a. avsnitt 9.6. Det innebär att bestämmelserna i den föreslagna dataskyddslagen ska tillämpas om inget annat framgår av registerförfattningarna. Den valda författningstekniken bygger på att vissa bestämmelser i den generella nationella regleringen tillämpas vid sidan av registerförfattningarna. Registerförfattningarna inne- håller därför inte alla bestämmelser som är nödvändiga. En förut- sättning för att de författningsändringar utredningen föreslår ska

637

Ikraftträdande och övergångsbestämmelser

SOU 2017:66

kunna träda i kraft den 25 maj 2018 är därmed att även dataskydds- lagen träder i kraft vid den tidpunkten. Dataskyddsutredningen har föreslagit att dataskyddslagen ska träda i kraft den 25 maj 2018.1 Om dataskyddslagen av någon anledning inte kan träda i kraft vid den tidpunkten, bör även ikraftträdandet av de författningsändringar utredningen föreslår till följd av dataskyddsförordningen senareläggas.

Utredningen föreslår att patientdatalagen vid rättspsykiatrisk vård ska gälla utöver den föreslagna brottsdatalagen. Utredningen föreslår också att lagen om behandling av personuppgifter inom socialtjänsten och den tillhörande förordningen inte ska gälla vid sådan behandling av personuppgifter som omfattas av den före- slagna brottsdatalagen. Utredningen om 2016 års dataskyddsdirektiv har föreslagit att brottsdatalagen ska träda i kraft den 1 maj 2018.2 Den föreslagna brottsdatalagen är subsidiär i förhållande till andra författningar och skulle således vika för de nuvarande bestämmel- serna i de nämnda författningarna inom Socialdepartementets verk- samhetsområde. De bestämmelser som utredningen föreslår med koppling till brottsdatalagen bör därför träda i kraft redan den 1 maj 2018. Om brottsdatalagen av någon anledning inte kan träda i kraft vid den föreslagna tidpunkten, bör även ikraftträdandet av de författningsändringar utredningen föreslår i denna del senare- läggas.

Utredningen föreslår i avsnitt 14.1 och 14.2 att förordningen om vårdnadsbidragsregister och förordningen med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för social- försäkringsregister ska upphävas. Dessa förslag lämnas mot bak- grund av att författningarna bedöms vara obsoleta och har inget samband med att dataskyddsförordningen ska börja tillämpas. Det finns därför i och för sig inte något hinder mot att dessa båda för- ordningar upphävs före den 25 maj 2018, men utredningen har ändå funnit det lämpligt att de rensas ut det datumet.

1 SOU 2017:39 s. 340.

2 SOU 2017:29 s. 655.

638

SOU 2017:66

Ikraftträdande och övergångsbestämmelser

15.2 Övergångsbestämmelser

Utredningens förslag: Övergångsbestämmelser med innebörden att äldre föreskrifter fortfarande ska gälla för överklagande av beslut som har meddelats före ikraftträdandet införs till de bestämmelser om överklagande som utredningen föreslår ska upphävas. Även äldre föreskrifter om skadestånd ska fortfarande gälla om den omständighet som yrkandet hänför sig till har in- träffat före ikraftträdandet.

Utredningens bedömning: I övrigt behövs inte några särskilda övergångsbestämmelser utom i ett par fall, vilket framgår av de avsnitt som avser respektive författning.

15.2.1 Regleringen i dataskyddsförordningen

Dataskyddsförordningen ska som anges ovan börja tillämpas först två år efter det att den har trätt i kraft. I övrigt innehåller data- skyddsförordningen inte några övergångsbestämmelser. I skäl 171 till dataskyddsförordningen anges att behandling som redan pågår den dag då dataskyddsförordningen börjar tillämpas bör bringas i överensstämmelse med dataskyddsförordningen inom en period av två år från ikraftträdandetidpunkten. De personuppgiftsansvariga förutsätts alltså ha anpassat sin behandling av personuppgifter till regleringen i dataskyddsförordningen vid den tidpunkt när den ska börja tillämpas. Det innebär t.ex. att en begäran om information i form av ett s.k. registerutdrag som kommit in men inte besvarats före den 25 maj 2018 ska hanteras enligt dataskyddsförordningens bestämmelser, inklusive bestämmelserna om när i förhållande till begäran registerutdraget senast ska lämnas. Enligt utredningens bedömning kan skäl 171 till dataskyddsförordningen dock inte an- ses hindra övergångsbestämmelser avseende behandling av person- uppgifter som utförts före det att dataskyddsförordningen börjar tillämpas.

639

Ikraftträdande och övergångsbestämmelser

SOU 2017:66

15.2.2 Överklagande av myndighetsbeslut

Enligt allmänna förvaltningsrättsliga principer gäller att de före- skrifter som är i kraft när prövningen hos en myndighet eller för- valtningsdomstol sker som huvudregel ska tillämpas, i fråga om både förfarandet och prövningen i sak. Detta gäller även om ett över- klagat beslut har fattats före ikraftträdandet. Principen är inte undan- tagslös och det kan också följa av övergångsbestämmelser eller motiven till lagstiftningen att en annan ordning är avsedd.3 Utred- ningen konstaterar att det är lämpligt att de beslut om behandling av personuppgifter som fattas av en personuppgiftsansvarig myn- dighet överklagas enligt de regler som gällde när beslutet fattades.

I några av de författningar som ingått i utredningens översyn finns bestämmelser om överklagande av beslut om behandling av personuppgifter som fattats av en personuppgiftsansvarig myndig- het. Överklagandebestämmelserna i lagen om behandling av person- uppgifter inom socialtjänsten och lagen om biobanker i hälso- och sjukvården m.m. infördes innan det fanns överklagandebestämmel- ser i personuppgiftslagen och anger därför vilka beslut som får över- klagas. I patientdatalagen och socialförsäkringsbalken finns bestäm- melser som upplyser om att personuppgiftslagens överklagande- bestämmelser ska tillämpas. Upplysningsbestämmelserna kompletteras av bestämmelser som innebär att andra beslut inte får överklagas. Utredningen föreslår i avsnitt 10.1.20, 10.9.8, 10.13.15 och 12.1.9 att överklagandebestämmelserna ska upphävas och att bestämmelser som upplyser om att det finns bestämmelser om överklagande av beslut om behandling av personuppgifter i den föreslagna data- skyddslagen ska införas i vissa fall. För att det ska bli tydligt att de äldre föreskrifterna om överklagande ska tillämpas vid överklag- ande av beslut som meddelats före ikraftträdandet bedömer utred- ningen att övergångsbestämmelser bör införas.

Dataskyddsutredningen har föreslagit en övergångsbestämmelse till dataskyddslagen med innebörden att personuppgiftslagen, person- uppgiftsförordningen och föreskrifter som meddelats med stöd av dessa författningar fortfarande ska gälla för överklagande av beslut som meddelats med stöd av samma författningar.4 Ett smidigt

3 RÅ 1996 ref. 57 och RÅ 1988 ref. 132.

4 SOU 2017:39 s. 340–342.

640

SOU 2017:66

Ikraftträdande och övergångsbestämmelser

alternativ till att införa särskilda övergångsbestämmelser i register- författningar vore förstås att låta den av Dataskyddsutredningen föreslagna övergångsbestämmelsen gälla även all annan lagstiftning som kompletterat personuppgiftslagen, dvs. även bestämmelserna i den lagstiftningen skulle ses som ”äldre föreskrifter”.

15.2.3 Skadestånd

Det anses följa av allmänna rättsgrundsatser att de skadestånds- bestämmelser som gäller vid tidpunkten för skadefallet är tillämp- liga. Detta behöver alltså inte regleras i särskilda övergångsbestäm- melser.5

Bestämmelsen om skadestånd i 48 § personuppgiftslagen har genom särskilda bestämmelser i registerförfattningarna gjorts tillämp- lig även vid behandling av personuppgifter enligt registerförfatt- ningarna. Utredningen föreslår att dessa bestämmelser i register- författningarna ska upphävas i samband med att personuppgifts- lagen upphävs och dataskyddsförordningen ska börja tillämpas (se bl.a. avsnitt 9.19.1). Skadeståndsbestämmelsen i personuppgiftslagen bör dock fortfarande gälla om den omständighet som yrkandet hänför sig till har inträffat före det att bestämmelsen upphävs.

Dataskyddsutredningen har föreslagit en övergångsbestämmelse som innebär att äldre föreskrifter – personuppgiftslagen, person- uppgiftsförordningen och föreskrifter som meddelats med stöd av dessa – om skadestånd fortfarande ska gälla för skada som orsakats före dataskyddsförordningens ikraftträdande. Som skäl för detta har Dataskyddsutredningen anfört att det är lämpligt med en så tydlig reglering som möjligt, bl.a. mot bakgrund av att ett stort antal sektorsspecifika författningar innehåller hänvisningar till skade- ståndsbestämmelsen i personuppgiftslagen.6 Den föreslagna över- gångsbestämmelsen i dataskyddslagen omfattar enligt utredningens bedömning inte bestämmelser i registerförfattningar som innebär att skadeståndsbestämmelsen i personuppgiftslagen ska tillämpas vid brott mot bestämmelser i dessa författningar. Mot bakgrund av den föreslagna övergångsbestämmelsen till dataskyddslagen finns

5 Prop. 1972:5 s. 593.

6 SOU 2017:39 s. 342–343.

641

Ikraftträdande och övergångsbestämmelser

SOU 2017:66

det en risk att det blir otydligt för tillämparen om inte övergångs- bestämmelser införs även i registerförfattningarna. Utredningen föreslår därför att övergångsbestämmelser införs till de bestämmel- ser i registerförfattningarna som innebär att personuppgiftslagens skadeståndsbestämmelse är tillämplig på behandling av person- uppgifter som sker enligt registerförfattningen. Övergångsbestäm- melserna bör ange att det är tidpunkten för den omständighet som yrkandet hänför sig som är avgörande för vilka skadeståndsbestäm- melser som ska tillämpas.

15.2.4 Övriga övergångsbestämmelser

I avsnitt 10.14 föreslår utredningen en övergångsbestämmelse som avser förslaget till ändring i förordningen om behandling av person- uppgifter inom socialförsäkringens administration. Dessutom före- slår utredningen i avsnitt 10.15 en ändring i en befintlig övergångs- bestämmelse i lagen om införande av socialförsäkringsbalken. Över- vägandena framgår av de avsnitt som avser respektive författning.

I övrigt bedömer utredningen att det inte finns något behov av övergångsbestämmelser med anledning av de förslag som lämnas.

642

16 Konsekvenser av att utredningens förslag genomförs

16.1 Inledning

Utredningen ska enligt utredningsdirektiven redovisa förslagens konsekvenser enligt 14–15 a §§ kommittéförordningen (1998:1474). Det innebär att om förslagen i betänkandet påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betän- kandet. Även samhällsekonomiska konsekvenser i övrigt ska redo- visas. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Vidare ska eventuella konsekvenser för den kommunala självstyrelsen, för brottsligheten och det brottsförebyggande arbetet, samt för syssel- sättning och offentlig service i olika delar av landet redovisas. Det- samma gäller små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag, för jämställd- heten mellan kvinnor och män eller för möjligheten att nå de integra- tionspolitiska målen. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning.

Utredningen ska enligt utredningsdirektiven också redovisa för- slagens konsekvenser för den personliga integriteten.

643

Konsekvenser av att utredningens förslag genomförs

SOU 2017:66

16.2 Uppdraget och de ändringar som föreslås

Utredningen har i uppdrag att analysera vilka konsekvenser data- skyddsförordningen medför i fråga om behandling av personupp- gifter inom Socialdepartementets verksamhetsområde samt föreslå behövliga och lämpliga anpassningar av författningar inom verk- samhetsområdet till följd av den nya förordningen. I avsnitt 7 finns det en generell redogörelse för konsekvenserna av att dataskydds- förordningen börjar tillämpas. I detta avsnitt – avsnitt 16 – tar utred- ningen upp konsekvenserna av utredningens förslag, om de genom- förs.

Dataskyddsförordningen innehåller till stor del samma eller i vart fall liknande bestämmelser som dataskyddsdirektivet och person- uppgiftslagen. Dataskyddsförordningen är dock direkt tillämplig och gäller – till skillnad från personuppgiftslagen som är subsidiär – oavsett vad som regleras i en nationell registerförfattning. Bestäm- melser i nationell lagstiftning är därför tillåtna endast om det finns särskilt stöd för sådana bestämmelser i dataskyddsförordningen. En översyn och anpassning av nationell lagstiftning på området är så- ledes nödvändig för att den inte ska strida mot den direkt tillämp- liga EU-förordningen.

Utgångspunkten för översynen har varit att behandling av person- uppgifter som i dag är laglig ska kunna fortsätta även efter att data- skyddsförordningen börjar tillämpas den 25 maj 2018 (se avsnitt 6.1). Det är inte några ofullkomligheter i lagstiftningen, eller ifrågasatta integritetskränkningar, som har föranlett utredningsuppdraget utan enbart den kommande nya EU-regleringen av behandling av person- uppgifter. De förslag till författningsändringar som utredningen lämnar avser därför att så långt det är möjligt bibehålla, dvs. varken inskränka eller utöka, befintliga möjligheter att behandla person- uppgifter.

Utredningen har gått igenom samtliga bestämmelser som inne- håller reglering av behandling av personuppgifter inom Socialdeparte- mentets verksamhetsområde och föreslår ett stort antal författnings- ändringar som har till syfte att anpassa den svenska lagstiftningen till dataskyddsförordningen. Av utredningens överväganden fram- går vilka möjligheter som finns till nationell lagstiftning på området och vilka ändringar som är nödvändiga för att regleringen ska över- ensstämma med dataskyddsförordningen. Utredningen har genom-

644

SOU 2017:66

Konsekvenser av att utredningens förslag genomförs

gående bedömt det vara möjligt att behålla bestämmelser vars syfte är att ge en mer preciserad eller avvikande reglering i förhållande till den generella regleringen. Ett tillägg i form av en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. I övrigt föreslås ändringar av lagteknisk karaktär eller i upplysande syfte. De flesta av förslagen är rena följder av att dataskyddsförordningen ska börja tillämpas och att personuppgiftslagen upphävs. Det gäller t.ex. förslag att upphäva hänvisningar till personuppgiftslagen och bestämmelser avseende sådant som regleras direkt i dataskyddsför- ordningen eller i den föreslagna dataskyddslagen. Dessa förslag, och de förslag som anger författningarnas förhållande till dataskydds- förordningen och dataskyddslagen, bidrar till att minska eventuell dubbelreglering och klargör de olika regleringarnas förhållande till varandra.

Konsekvensanalysen utgår från de förändringar som förslagen medför i relation till vad som gäller enligt nuvarande reglering, dvs. enligt befintliga registerförfattningar, övrig reglering som avser behandling av personuppgifter inom Socialdepartementets verksam- hetsområde och personuppgiftslagen.

Utredningens förslag innebär att den föreslagna brottsdatalagen kommer att tillämpas vid behandling av personuppgifter i samband med verkställighet av vissa vårdpåföljder som i dag omfattas av lagen om behandling av personuppgifter inom socialtjänsten. Brottsdata- lagen ska också tillämpas vid behandling av personuppgifter inom rättspsykiatrisk vård om det inte finns avvikande bestämmelser i patientdatalagen. Konsekvenserna av den föreslagna brottsdata- lagen framgår av det betänkande som Utredningen om 2016 års data- skyddsdirektiv har lämnat och kommer inte att beröras här.1

1 SOU 2017:29 s. 647–653.

645

Konsekvenser av att utredningens förslag genomförs

SOU 2017:66

16.3 Konsekvenser enligt kommittéförordningen

Utredningens bedömning: Utredningens förslag leder inte till att möjligheten att behandla personuppgifter förändras, med det undantaget att en nödvändig s.k. skyddsåtgärd föreslås införas i läkemedelsförordningen. Förslagen medför inte heller några eko- nomiska eller andra konsekvenser.

Såväl statliga myndigheter, kommuner, landsting, företag och andra enskilda berörs av de författningar i vilka utredningen föreslår ändringar. Följden av ändringarna blir emellertid, med endast ett undantag, att möjligheten att behandla personuppgifter blir oför- ändrad, vilket innebär att förslagen inte medför några konsekvenser, vare sig ekonomiska eller andra.

Utredningen lämnar dock ett förslag som påverkar framför allt företag och andra enskilda. För innehavare av godkännande eller registrering för försäljning av läkemedel föreslås en begränsning av möjligheterna att behandla känsliga personuppgifter i syfte att upp- fylla dataskyddsförordningens krav på skyddsåtgärder. Bestämmel- sen i 3 kap. 13 § första stycket läkemedelsförordningen föreslås kompletteras med en bestämmelse som innebär att innehavare av godkännande eller registrering för försäljning, som behandlar person- uppgifter som rör hälsa, inte får vidarebehandla personuppgifterna för några andra ändamål än för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ända- mål. Konsekvensen blir att innehavare av godkännande eller regi- strering för försäljning förhindras att vidarebehandla uppgifterna för andra syften än de som lagstiftaren har angett. Uppgifterna kan därmed t.ex. inte lämnas ut annat än om det följer av en skyldighet i läkemedelslagen eller läkemedelsförordningen. Den föreslagna ändringen av bestämmelsen i 3 kap. 13 § läkemedelsförordningen motsvarar enligt utredningens bedömning de behov som finns hos de aktuella företagen. Företagen får således behandla de uppgifter som de har behov av i dag även efter att dataskyddsförordningen börjar tillämpas. Inte heller detta förslag förväntas därför medföra några ekonomiska konsekvenser.

Utredningens förslag får inte några konsekvenser för den kom- munala självstyrelsen eller för sysselsättning och offentlig service i olika delar av landet. Författningsförslagen är könsneutralt utfor-

646

SOU 2017:66

Konsekvenser av att utredningens förslag genomförs

made och förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män. Förslagen får inte heller i övrigt några så- dana konsekvenser som avses i 14–15 a §§ kommittéförordningen.

16.4 Konsekvenser för den personliga integriteten

Utredningens bedömning: Den skyddsåtgärd som föreslås in- föras i läkemedelsförordningen innebär ett förstärkt skydd av den personliga integriteten. I övrigt medför förslagen inte några konsekvenser för den personliga integriteten.

Eftersom utredningen har eftersträvat att nuvarande ordning ska bestå (se avsnitt 6.1), medför de förslag som lämnas i huvudsak varken utökade eller inskränkta möjligheter att behandla person- uppgifter. Det föreslås ingen ändring i befintliga ändamålsbestäm- melser i registerförfattningar som tillåter behandling av person- uppgifter, vilket innebär att det inte blir aktuellt att göra en analys i förhållande till bestämmelserna i 2 kap. 6 § andra stycket och 20 och 21 §§ regeringsformen om möjligheterna att med stöd av lag göra betydande intrång i den personliga integriteten. Utredningen har i sina bedömningar utgått från tidigare avvägningar mellan integri- tetsskyddet och andra intressen. Förslagen får alltså i huvudsak inte några konsekvenser för den personliga integriteten.

För innehavare av godkännande eller registrering för försäljning av läkemedel föreslås dock som anges ovan en begränsning av möjlig- heterna att behandla känsliga personuppgifter i syfte att uppfylla dataskyddsförordningens krav på skyddsåtgärder. Förslaget moti- veras av dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa att den registrerades grundläggande rättig- heter och intressen uppfylls. Som anges ovan innebär förslaget att personuppgifter inte får vidarebehandlas för några andra ändamål än vad som anges i bestämmelsen. Detta förslag medför därmed ett förstärkt skydd av den personliga integriteten.

647

17 Författningskommentar

I kapitel 10–14 har registerförfattningarna och behovet av ändringar i dem analyserats i separata avsnitt för varje författning. Samtliga bestämmelser i registerförfattningarna gås igenom i huvudsak i den ordning de förekommer i respektive författning. Motiven för och kommentarer till föreslagna författningsändringar, ofta i form av hänvisningar till specifika avsnitt i de för flera författningar gene- rella övervägandena i kapitel 9, framgår där. Eftersom de ändringar utredningen föreslår i huvudsak är av formell karaktär, är det inte motiverat att kommentera dessa utöver vad som framgår i de ovan angivna kapitlen. I detta kapitel – kapitel 17 – finns därför, såsom författningskommentar till respektive föreslagen ändring, endast hänvisningar till avsnittet med kommentarer till ändringen i kapi- tel 10–14.

Kommentarerna till bestämmelserna om ikraftträdande och över- gångsbestämmelserna finns i avsnitt 15.1 respektive 15.2.

17.1 Förslaget till lag om ändring i socialförsäkringsbalken

Bestämmelse	Kommentarerna finns i avsnitt
114 kap.
1 §	Förslaget föranleds dels av förslag till ändring
	i 6 § och dels av redaktionella skäl.
6 §	10.13.3
6 a §	10.13.4
10 §	10.13.5
11 §	10.13.6
12 §	10.13.6

649

Författningskommentar

SOU 2017:66

13 §	10.13.6
15 §	10.13.6
16 §	10.13.6
27 §	10.13.7
29 §	10.13.9
30 §	10.13.10
31 §	10.13.11
33 §	10.13.13
36 §	10.13.15

17.2 Förslaget till ändringar i förslaget

till lag om behandling av personuppgifter inom verksamheten för Inspektionen

för socialförsäkringen

Bestämmelse	Kommentarerna finns i avsnitt
2 §	10.17.2
3 §	10.17.2
5 §	10.17.2
7 §	10.17.2
8 §	10.17.2
15 §	10.17.2
16 §	10.17.2
17 §	10.17.2

17.3 Förslaget till lag om ändring i lagen (1996:1156) om receptregister

Bestämmelse	Kommentarerna finns i avsnitt
3 §	11.1.3
7 §	11.1.6
20 §	11.1.11
24 §	11.1.13

650

SOU 2017:66

Författningskommentar

17.4 Förslaget till lag om ändring i lagen (1998:543) om hälsodataregister

Bestämmelse	Kommentarerna finns i avsnitt
2 §	11.6.4
11 §	11.6.11

17.5 Förslaget till lag om ändring i lagen (2001:454) om behandling av personuppgifter

inom socialtjänsten

Bestämmelse	Kommentarerna finns i avsnitt
1 §	Förslaget föranleds av förslaget till ändring av 3 §.
3 §	10.9.1
4 §	10.9.2
7 §	10.9.5
7 a §	10.9.5
9 §	10.9.7
10 §	10.9.8

17.6 Förslaget till lag om ändring i lagen (2002:297) om biobanker i hälso- och sjukvården m.m.

Bestämmelse	Kommentarerna finns i avsnitt
4 kap.
4 a §	12.1.4
6 kap.
2 §	12.1.7
3 §	12.1.8
7 §	12.1.9
7 a §	12.1.9

651

Författningskommentar

SOU 2017:66

17.7 Förslaget till lag om ändring i lagen (2005:258) om läkemedelsförteckning

Bestämmelse	Kommentarerna finns i avsnitt
2 §	11.3.4
4 a §	11.3.7
8 §	11.3.9
10 §	11.3.11
11 §	11.3.12
13 §	11.3.14

17.8 Förslaget till lag om ändring i lagen (2006:351) om genetisk integritet m.m.

Bestämmelse	Kommentarerna finns i avsnitt
1 kap.
4 §	12.2.2

17.9 Förslaget till lag om ändring i lagen (2006:496) om blodsäkerhet

Bestämmelse	Kommentarerna finns i avsnitt
5 §	12.3.2
21 §	12.3.5

17.10 Förslaget till lag om ändring i lagen (2006:1570) om skydd mot internationella hot mot människors hälsa

Bestämmelse	Kommentarerna finns i avsnitt
12 §	12.10

652

SOU 2017:66

Författningskommentar

17.11 Förslaget till lag om ändring i lagen (2008:286) om kvalitets- och säkerhetsnormer vid hantering av mänskliga vävnader och celler

Bestämmelse	Kommentarerna finns i avsnitt
8 §	12.4.2
26 §	12.4.5

17.12 Förslaget till lag om ändring i patientdatalagen (2008:355)

Bestämmelse	Kommentarerna finns i avsnitt
1 kap.
1 §	10.1.1
4 §	10.1.3
5 §	10.1.3
2 kap.
5 §	10.1.7
7 §	10.1.9
7 a §	10.1.10
8 §	10.1.11
7 kap.
3 §	10.1.16
8 §	10.1.16
10 §	10.1.16
8 kap.
3 §	10.1.17
6 §	10.1.17
7 §	10.1.17
10 kap.
1 §	10.1.19
2 §	10.1.20

653

Författningskommentar

SOU 2017:66

17.13 Förslaget till lag om ändring i apoteksdatalagen (2009:367)

Bestämmelse	Kommentarerna finns i avsnitt
5 §	10.5.3
9 §	10.5.6
9 a §	10.5.7
15 §	10.5.10
16 §	10.5.11

17.14 Förslaget till lag om ändring i lagen (2010:111) om införande av socialförsäkringsbalken

Bestämmelse	Kommentarerna finns i avsnitt
9 kap.
22 §	10.15
23 §	10.15

17.15 Förslaget till lag om ändring i alkohollagen (2010:1622)

Bestämmelse	Kommentarerna finns i avsnitt
13 kap.
5 §	12.12.3

17.16 Förslaget till lag om ändring i lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ

Bestämmelse	Kommentarerna finns i avsnitt
4 §	12.5.2
8 §	12.5.4

654

SOU 2017:66

Författningskommentar

17.17 Förslaget till lag om ändring i lagen (2012:453) om register över nationella vaccinationsprogram

Bestämmelse	Kommentarerna finns i avsnitt
3 §	11.7.2
6 §	11.7.5
12 §	11.7.10
13 §	11.7.11

17.18 Förslaget till lag om ändring i lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel

Bestämmelse	Kommentarerna finns i avsnitt
4 §	10.7.2
9 §	10.7.6
9 a §	10.7.7
20 §	10.7.11
21 §	10.7.12

17.19 Förslaget till förordning om ändring

i förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter

Bestämmelse	Kommentarerna finns i avsnitt
1 §	12.15

655

Författningskommentar

SOU 2017:66

17.20 Förslaget till förordning om ändring

i förordningen (2001:637) om behandling av personuppgifter inom socialtjänsten

Bestämmelse	Kommentarerna finns i avsnitt
1 §	Förslaget föranleds av förslaget till 1 a §.
1 a §	10.10.1
2 §	10.10.2
4 §	10.10.2
12 §	10.10.5

17.21 Förslaget till förordning om ändring

i förordningen (2001:707) om patientregister hos Socialstyrelsen

Bestämmelse	Kommentarerna finns i avsnitt
7 §	11.6.12

17.22 Förslaget till förordning om ändring

i förordningen (2001:708) om medicinskt födelseregister hos Socialstyrelsen

Bestämmelse	Kommentarerna finns i avsnitt
7 §	11.6.12

17.23 Förslaget till förordning om ändring

i förordningen (2001:709) om cancerregister hos Socialstyrelsen

Bestämmelse	Kommentarerna finns i avsnitt
7 §	11.6.12

656

SOU 2017:66

Författningskommentar

17.24 Förslaget till förordning om ändring

i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

Bestämmelse	Kommentarerna finns i avsnitt
3 c §	10.14
8 §	10.14

17.25 Förslaget till förordning om ändring i förordningen (2005:363)

om läkemedelsregister hos Socialstyrelsen

Bestämmelse	Kommentarerna finns i avsnitt
6 §	11.6.12

17.26 Förslaget till förordning om ändring i förordningen (2006:94) om register hos Socialstyrelsen över insatser

inom den kommunala hälso- och sjukvården

Bestämmelse	Kommentarerna finns i avsnitt
6 §	11.6.12

17.27 Förslaget till förordning om ändring

i förordningen (2006:196) om register över hälso- och sjukvårdspersonal

Bestämmelse	Kommentarerna finns i avsnitt
2 §	11.5.2
8 §	11.5.9
9 §	11.5.10

657

Författningskommentar

SOU 2017:66

17.28 Förslaget till förordning om ändring

i förordningen (2008:194) om tandhälsoregister hos Socialstyrelsen

Bestämmelse	Kommentarerna finns i avsnitt
6 §	11.6.12

17.29 Förslaget till förordning om ändring

i förordningen (2009:1422) om behandling av personuppgifter i Statistiska centralbyråns verksamhet med framställning av statistik över kommunalt vårdnadsbidrag

Bestämmelse	Kommentarerna finns i avsnitt
1 §	10.11.1
3 §	10.11.3
4 §	10.11.4
5 §	10.11.5
7 §	10.11.7

17.30 Förslaget till förordning om ändring

i förordningen (2011:116) om register

hos Socialstyrelsen över läkemedel som lämnats ut från apotek i Jämtlands län

Bestämmelse	Kommentarerna finns i avsnitt
6 §	11.6.11

658

SOU 2017:66

Författningskommentar

17.31 Förslaget till förordning om ändring

iförordningen (2011:306) om behandling av personuppgifter i Tandvårds-

och läkemedelsförmånsverkets verksamhet

ifråga om det statliga tandvårdsstödet

Bestämmelse	Kommentarerna finns i avsnitt
3 §	10.16.3
4 §	10.16.4
9 §	10.16.9

17.32 Förslaget till förordning

om ändring i förordningen (2013:413) om kosmetiska produkter

Bestämmelse	Kommentarerna finns i avsnitt
1 §	12.9.2
5 §	12.9.2

17.33 Förslaget till förordning om ändring

i läkemedelsförordningen (2015:458)

Bestämmelse	Kommentarerna finns i avsnitt
3 kap.
13 §	12.8.4

17.34 Förslaget till förordning om upphävande av förordningen (1994:565)

om vårdnadsbidragsregister

Kommentarer till förslaget finns i avsnitt 14.1.

659

Författningskommentar

SOU 2017:66

17.35 Förslaget till förordning om upphävande

av förordningen (1998:156) med bemyndigande för Datainspektionen att meddela säkerhetsföreskrifter för socialförsäkringsregister

Kommentarer till förslaget finns i avsnitt 14.2.

660

Referenser

Offentligt tryck

Utskottsbetänkanden

Konstitutionsutskottets betänkande 1990/91:KU11 Offentlighet, integritet och ADB.

Propositioner

Prop. 1990/91:60 om offentlighet, integritet och ADB.

Prop. 1994/95:61 Vårdnadsbidraget. Garantidagarna. Enskild barn- omsorg.

Prop. 1996/97:100 Ett nytt system för skattebetalningar, m.m. Prop. 1996/97:124 Ändring i socialtjänstlagen.

Prop. 1996/97:155 Enhetlig registerlagstiftning på socialförsäkrings- området, m.m.

Prop. 1997/98:44 Personuppgiftslag.

Prop. 1997/98:80 Lag om behandling av personuppgifter om total- försvarspliktiga.

Prop. 1997/98:108 Hälsodata- och vårdregister. Prop. 1998/99:72 Rättspsykiatriskt forskningsregister. Prop. 2000/01:80 Ny socialtjänstlag m.m.

Prop. 2001/02:44 Biobanker inom hälso- och sjukvården m.m.

Prop. 2002/03:135 Behandling av personuppgifter inom socialförsäk- ringens administration.

661

Referenser

SOU 2017:66

Prop. 2004/05:39 Kvalitet, dokumentation och anmälningsplikt i lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS), m.m.

Prop. 2004/05:70 Ökad patientsäkerhet på läkemedelsområdet. Prop. 2005/06:64 Genetisk integritet m.m.

Prop. 2005/06:70 Ändringar i läkemedelslagstiftningen m.m.

Prop. 2005/06:141 Genomförande av EG-direktivet om kvalitet och säkerhet hos blod och blodkomponenter.

Prop. 2005/06:173 Översyn av personuppgiftslagen.

Prop. 2005/06:215 Skydd mot internationella hot mot människors hälsa.

Prop. 2007/08:96 Genomförande av EG-direktivet om mänskliga vävnader och celler.

Prop. 2007/08:126 Patientdatalag m.m.

Prop. 2008/09:145 Omreglering av apoteksmarknaden. Prop. 2009/10:138 Ökad kvalitet vid läkemedelsförskrivning.

Prop. 2011/12:123 Ny ordning för nationella vaccinationsprogram.

Prop. 2012/13:135 Kompletterande bestämmelser till EU-förordningen om kosmetiska produkter.

Prop. 2012/13:163 Vissa register för forskning om vad arv och miljö betyder för människors hälsa.

Prop. 2013/14:202 Förbättrad informationshantering avseende vissa patienter inom hälso- och sjukvården.

Prop. 2014/15:147 Det kommunala vårdnadsbidraget avskaffas.

Prop. 2015/16:82 Åtgärder för ökad folkhälsa på tobaksområdet – genomförandet av EU:s tobaksproduktdirektiv.

Prop. 2015/16:143 Läkemedel för särskilda behov.

Prop. 2015/16:156 Ändringar i lagen om tillämpning av Europeiska unionens statsstödsregler.

Prop. 2016/17:180 En modern och rättssäker förvaltning – ny förvalt- ningslag.

662

SOU 2017:66

Referenser

Statens offentliga utredningar

SOU 1974:90 Alkoholpolitik del 1.

SOU 1997:39 Integritet ∙ Offentlighet ∙ Informationsteknik.

SOU 2001:47 En handläggningslag – förfarandet hos försäkrings- kassorna.

SOU 2006:82 Patientdatalag.

SOU 2007:48 Patientdata och läkemedel m.m.

SOU 2014:45 Unik kunskap genom registerforskning.

SOU 2014:67 Inbyggd integritet inom Inspektionen för socialförsäk- ringen.

SOU 2014:75 Automatiserade beslut – färre regler ger tydligare reglering. SOU 2015:39 Myndighetsdatalagen.

SOU 2017:15 Kvalitet och säkerhet på apoteksmarknaden. SOU 2017:29 Brottsdatalag.

SOU 2017:39 Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning.

SOU 2017:40 För dig och för alla.

SOU 2017:49 EU:s dataskyddsförordning och utbildningsområdet. SOU 2017:50 Personuppgiftsbehandling för forskningsändamål. SOU 2017:55 En ny kamerabevakningslag.

Departementsserien

Ds 2001:67 Behandling av personuppgifter i den arbetsmarknads- politiska verksamheten.

Ds 2012:33 Ändringar med anledning av förordningen (EG) nr 1223/2009 om kosmetiska produkter.

Ds 2016:44 Nationell läkemedelslista.

Ds 2017:3 Genomförande av ICT-direktivet.

663

Referenser

SOU 2017:66

Promemorior

Socialdepartementets promemoria Upphävande av bestämmelse om direktåtkomst, dnr S2004/07368/RS.

Kommittédirektiv

Dir. 2016:15 Dataskyddsförordningen.

Dir. 2016:21 Genomförande av EU:s direktiv om skydd av person- uppgifter vid brottsbekämpning, brottmålshantering och straffverk- ställighet.

Dir. 2016:41 En ändamålsenlig reglering för biobanker.

Dir. 2016:54 Tilläggsdirektiv till Utredningen om kameraöver- vakning – brottsbekämpning och integritetsskydd (Ju 2015:14).

Dir. 2016:63 Personuppgiftsbehandling inom utbildningsområdet. Dir. 2016:65 Personuppgiftsbehandling för forskningsändamål. Dir. 2016:75 Stärkt integritet i Rättsmedicinalverkets verksamhet.

Dir. 2017:67 Tilläggsdirektiv till Socialdataskyddsutredningen (S 2016:05).

Litteratur

Lenberg, Eva, Geijer, Ulrika och Tansjö, Anna, Offentlighets- och sekretesslagen – En kommentar (1 juli 2016, Zeteo).

Öman, Sören och Lindblom, Hans-Olof, Personuppgiftslagen

– En kommentar (15 september 2016, Zeteo).

Domar

EU-domstolens dom av den 15 juli 1964, Costa 6/64, EU:C:1964:66.

EU-domstolens dom av den 17 december 1970, Internationale Handelsgesellschaft 11/70, EU:C:1970:114.

EU-domstolens dom av den 7 februari 1973, kommissionen mot Italien 39/72, EU:C:1973:13.

664

SOU 2017:66

Referenser

EU-domstolens dom av den 2 februari 1977, Amsterdam Bulb 50/76, EU:C:1977:13.

EU-domstolens dom av den 9 mars 1978, Simmenthal 106/77, EU:C:1978:49.

EU-domstolens dom av den 20 maj 2003, Österreichischer Rundfunk m.fl. C-465/00, C-138/01 och C-139/01, EU:C:2003:294.

EU-domstolens dom av den 16 december 2008, Huber C-524/06, EU:C:2008:724.

Övrigt

Artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet samtycke.

Datainspektionens rapport 2002:1 Nationella kvalitetsregister.

Datainspektionens rapport 2005:3 Övervakning i arbetslivet

– Kontroll av de anställdas Internet- och e-postanvändning m.m. Datainspektionen informerar Samtycke enligt personuppgiftslagen.

eSam, Elektroniskt informationsutbyte – en vägledning för utläm- nande i elektronisk form.

665

Bilaga 1

Kommittédirektiv 2016:52

Dataskyddsförordningen

– behandling av personuppgifter och anpassningar av författningar

inom Socialdepartementets verksamhetsområde

Beslut vid regeringssammanträde den 16 juni 2016

Sammanfattning

EU har beslutat om en förordning som utgör en ny generell regler- ing för personuppgiftsbehandling inom EU.

En särskild utredare ska analysera vilka konsekvenser förord- ning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning), nedan kallad dataskyddsförordningen, medför i fråga om personuppgiftsbehandling inom Socialdepartementets verksamhetsområde samt föreslå behövliga och lämpliga anpass- ningar av författningar inom verksamhetsområdet till följd av den nya förordningen.

Utredaren ska bl.a.

– undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandling inom Socialdepartementets verksamhetsområde,

– undersöka vilka anpassningar som är behövliga eller lämpliga med anledning av den nya förordningen,

– överväga behovet av anpassningar av bestämmelser om undantag från förbudet att behandla särskilda kategorier av personuppgifter,

667

Bilaga 1

SOU 2017:66

– undersöka om det behövs nationella anpassningar avseende skyl- digheter och rättigheter enligt dataskyddsförordningen, t.ex. rätten för den registrerade att göra invändningar mot behandling av personuppgifter,

– undersöka om det behövs kompletterande föreskrifter för vissa myndigheter och verksamheter som i dag saknar särskilda register- författningar.

Om utredaren bedömer att författningar behöver ändras, ska utre- daren lämna förslag till författningsändringar. Uppdraget ska redo- visas senast den 31 augusti 2017.

Den nuvarande och den nya regleringen

Dataskyddsdirektivet – den nuvarande EU-regleringen

Den allmänna regleringen om behandling av personuppgifter inom EU finns i dag i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om behandling av det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, samt att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU.

Dataskyddsdirektivet gäller inte för behandling av personuppgif- ter på områden som faller utanför unionsrätten, t.ex. allmän säkerhet och försvar samt statens verksamhet på straffrättens område.

Dataskyddsförordningen

Den 27 april 2016 antogs Europaparlamentets och rådets förord- ning (EU) 2016/679 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän data- skyddsförordning). Förordningen utgör en ny generell reglering för personuppgiftsbehandling inom EU och ersätter det nuvarande dataskyddsdirektivet när den börjar tillämpas den 25 maj 2018. Det

668

SOU 2017:66

Bilaga 1

huvudsakliga syftet med förordningen är att ytterligare harmoni- sera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter.

Dataskyddsförordningen baseras till stor del på dataskydds- direktivets struktur och innehåll men innebär även en rad nyheter såsom en utökad informationsskyldighet, administrativa sanktions- avgifter och inrättandet av Europeiska dataskyddsstyrelsen. Data- skyddsförordningen är direkt tillämplig i medlemsstaterna men både förutsätter och möjliggör kompletterande nationella bestäm- melser av olika slag.

Av artikel 6.2 framgår exempelvis att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen för sådan personuppgiftsbehand- ling som är nödvändig för att fullgöra en rättslig förpliktelse eller utföra en uppgift av allmänt intresse eller som ett led i den person- uppgiftsansvariges myndighetsutövning. Medlemsstaterna får i fråga om sådan behandling närmare fastställa specifika krav och andra åtgärder för att säkerställa en laglig och rättvis behandling av upp- gifterna. Enligt artikel 6.3 i förordningen ska i dessa fall grunden för behandlingen fastställas i enlighet med unionsrätten eller natio- nell rätt.

Personuppgiftslagen – den nuvarande svenska regleringen

Dataskyddsdirektivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204). Bestämmelserna i person- uppgiftslagen har till syfte att skydda människor mot att deras per- sonliga integritet kränks genom behandling av personuppgifter. Personuppgiftslagen följer i princip dataskyddsdirektivets struktur och innehåller liksom direktivet bestämmelser om bl.a. personupp- giftsansvar, grundläggande krav för behandling av personuppgifter och information till den registrerade.

Personuppgiftslagen är tillämplig även utanför EU-rättens om- råde och gäller både för myndigheter och enskilda som behandlar personuppgifter. Personuppgiftslagen är samtidigt subsidiär vilken innebär att lagens bestämmelser inte ska tillämpas om det finns avvikande bestämmelser i en annan lag eller förordning. Det finns

669

Bilaga 1

SOU 2017:66

en stor mängd sådana bestämmelser i s.k. särskilda registerförfatt- ningar som främst reglerar hur olika myndigheter får behandla person- uppgifter.

Regeringsformen och kravet på lagreglering för viss personuppgiftsbehandling

I 2 kap. 6 § andra stycket regeringsformen anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhåll- anden. Begränsningar av denna fri- och rättighet får enligt 2 kap. 20 § regeringsformen under vissa förutsättningar göras genom lag. Regleringen i regeringsformen innebär att viss personuppgifts- behandling måste regleras i lag.

Särskilda registerförfattningar inom Socialdepartementets verksamhetsområde

Inom Socialdepartementets verksamhetsområde finns ett stort antal författningar som innehåller bestämmelser om personuppgifts- behandling av olika slag. Exempelvis kan följande författningar nämnas: lagen (1996:1156) om receptregister, lagen (1998:543) om hälsodataregister med flera tillhörande s.k. hälsodataförordningar, lagen (2001:454) om behandling av personuppgifter inom social- tjänsten, lagen (2002:297) om biobanker i hälso- och sjukvården m.m., lagen (2005:258) om läkemedelsförteckning, lagen (2006:496) om blodsäkerhet, lagen (2006:1570) om internationella hot mot människors hälsa, lagen (2008:286) om kvalitets- och säkerhet- normer vid hantering av mänskliga vävnader och celler, patientdata- lagen (2008:355), apoteksdatalagen (2009:367), socialförsäkrings- balken, lagen (2012:263) om kvalitets- och säkerhetsnormer vid hantering av mänskliga organ, lagen (2012:453) om register över nationella vaccinationsprogram samt läkemedelslagen (2015:315).

Regeringen har vidare föreslagit en ny lag om behandling av per- sonuppgifter i ärenden om licens för läkemedel, se prop. 2015/16:143.

I författningar tillhörande Socialdepartementets verksamhets- område finns dessutom hänvisningar till personuppgiftslagen exem- pelvis i lagen (2006:351) om genetisk integritet m.m. och alkohol- lagen (2010:1622).

670

SOU 2017:66

Bilaga 1

Uppdraget

Allmänna riktlinjer för uppdraget

Dataskyddsförordningen kommer att utgöra grunden för generell personuppgiftsbehandling inom EU. I egenskap av förordning har den allmän giltighet och är bindande och direkt tillämplig i med- lemsstaterna. Utgångspunkten är att en EU-förordning inte ska genomföras nationellt, men förordningen kan innebära behov av att anpassa nationella författningar och t.ex. upphäva nationella be- stämmelser som står i strid med förordningen. Den nya dataskydds- förordningen medför bl.a. att personuppgiftslagen och person- uppgiftsförordningen samt Datainspektionens föreskrifter i anslut- ning till denna reglering måste upphävas.

Regeringen har bedömt att det finns ett behov av att ta fram en nationell reglering som på ett generellt plan kompletterar förord- ningen och har därför tillsatt en utredning som ska lämna sådana förslag (Ju 2016:04). Utredningen ska bl.a. undersöka vilka kom- pletterande nationella föreskrifter, exempelvis processuella bestäm- melser, som förordningen kräver och överväga vilka komplette- rande bestämmelser om t.ex. behandling av känsliga personuppgifter och personnummer som bör införas i den svenska generella regler- ingen. Det nämnda uppdraget omfattar däremot inte att se över eller lämna förslag till förändringar av sådan sektorsspecifik regler- ing om behandling av personuppgifter som bl.a. finns i de särskilda registerförfattningarna.

Inom Socialdepartementets verksamhetsområde finns som redo- visats tidigare flera särskilda registerförfattningar och andra författ- ningar som reglerar departementets myndigheters personuppgifts- behandling eller personuppgiftsbehandling i övrigt inom departe- mentets verksamhetsområden.

Regeringen anser att det finns behov av att samlat undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om per- sonuppgiftsbehandling inom Socialdepartementets verksamhets- område samt analysera vilka anpassningar av författningar som krävs eller bör göras med anledning av den nya EU-regleringen och personuppgiftslagens upphävande. Inom ramen för en sådan under- sökning behöver bl.a. förutsättningarna för att behålla eller införa nationell reglering i enlighet med artikel 6.2 i dataskyddsförord- ningen analyseras. Om utredaren bedömer att författningar måste

671

Bilaga 1

SOU 2017:66

eller bör ändras, ska utredaren lämna förslag till författningsänd- ringar.

Utifrån den utredningstid som finns tillgänglig för att hinna ut- reda och ta fram förslag till ändringar i författningar som är behöv- liga för att det ska finns rättsligt stöd för befintlig personuppgifts- behandling och anpassa de befintliga registerförfattningarna till dataskyddsförordningen så bedöms det att utredningens arbete be- höver inrikta sig på sådana ändringar. Möjligheter att utreda och föreslå andra materiella ändringar, dvs. mer allmänna översyner, är därmed begränsad.

Det är viktigt att den nationella regleringen är så enhetlig som möjligt i sin utformning, vilket t.ex. innebär att termer, uttryck och struktur samt hänvisningar till dataskyddsförordningen är enhet- liga. Detta ska utredaren beakta i sitt uppdrag.

Vid utförandet av uppdraget är det också viktigt att – i den mån utrymme finns på nationell nivå – hitta lämpliga avvägningar mellan skyddet för den personliga integriteten och myndigheters, företags och enskildas behov av att kunna behandla personuppgifter eller att använda informations- och kommunikationsteknik inom olika om- råden.

Den enskilde har exempelvis intresse av att få sina ärenden hos myndigheter handlagda effektivt och att få tillgång till olika sam- hälleliga verksamheter, t.ex. inom hälso- och sjukvården, på ett för denne lämpligt sätt. För näringslivet finns det intresse av att und- vika onödiga hinder som försvårar sådan personuppgiftsbehandling som behövs för att kunna erbjuda befintliga och utveckla nya inno- vativa tjänster och produkter av god kvalitet genom att använda informations- och kommunikationsteknik.

I många av verksamheterna inom Socialdepartementets verk- samhetsområde hanteras barns personuppgifter i stor utsträckning. Mot bakgrund av åtaganden i FN:s konvention om barnets rättig- heter bör utredaren i möjligaste mån och där det är relevant också uppmärksamma barns rättigheter inom ramarna för utrednings- uppdraget.

Utredaren får inte avvika från generellt och direkt tillämplig unionsrätt eller på annat sätt lämna förslag som medför en konflikt med unionsrätten, dvs. utredarens förslag ska överensstämma med unionsrätten.

672

SOU 2017:66

Bilaga 1

Utredaren ska

– undersöka vilka konsekvenser dataskyddsförordningen medför i fråga om personuppgiftsbehandling inom Socialdepartementets verksamhetsområde,

– undersöka vilka anpassningar av de författningar som hör till Socialdepartementets verksamhetsområde som krävs eller bör göras med anledning av dataskyddsförordningen, och

– lämna behövliga och lämpliga författningsförslag.

Behov av anpassningar av författningar som reglerar behandling av särskilda kategorier av personuppgifter

Dataskyddsförordningen innehåller i likhet med dataskyddsdirek- tivet och personuppgiftslagen ett principiellt förbud mot att be- handla vissa särskilda kategorier av personuppgifter. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening och behandling av genetiska uppgifter, biometriska upp- gifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden (artikel 9.1). I dataskyddsförordningen finns också definitioner av vad som exempelvis avses med genetiska uppgifter, biometriska uppgifter och uppgifter om hälsa (artikel 4). Av dessa kategorier är genetiska uppgifter, biometriska uppgifter och uppgifter om en persons sexuella läggning nya i förhållande till dataskyddsdirektivet.

Från förbudet finns ett antal viktiga undantag (artikel 9.2). För att vissa av undantagen ska vara tillämpliga krävs att grunden för sådana behandlingar på olika sätt kommer till uttryck i unions- rätten eller i nationell rätt.

I dag finns vissa undantagsbestämmelser i 15–19 §§ personupp- giftslagen och det ingår i uppdraget för den utredning som ska ta fram en kompletterande generell nationell reglering till förordningen att överväga vilka kompletterande bestämmelser om undantag från förbudet som också bör finnas i en sådan reglering, se dir. 2016:15 s. 16 och 17.

673

Bilaga 1

SOU 2017:66

Inom Socialdepartementets verksamhetsområde förekommer omfattande personuppgiftsbehandling som förutsätter att myndig- heter eller privata utförare får behandla särskilda kategorier av per- sonuppgifter. Det gäller exempelvis inom hälso- och sjukvården och socialtjänsten. Behandlingen av sådana personuppgifter behövs t.ex. i ärendehantering och för att faktiskt tillhandahålla hälso- och sjukvård eller insatser inom socialtjänsten. Vidare finns olika for- mer av register som innehåller särskilda kategorier av personupp- gifter för att en eller flera myndigheter ska kunna bedriva sin verk- samhet eller för att andra aktörer ska kunna få del av uppgifterna för t.ex. forskning eller epidemiologiska undersökningar. I uppdra- get som rör Socialdepartementets verksamhetsområde är det därför särskilt viktigt att överväga behov av anpassningar av bestämmelser om undantag från förbudet att behandla vissa särskilda kategorier av personuppgifter, t.ex. med anledning av de nytillförda kategori- erna.

En utgångspunkt för uppdraget i denna del är att de befintliga förutsättningarna för ändamålsenlig behandling av personuppgifter inom Socialdepartementets verksamhetsområde inte försämras.

Utredaren ska

– överväga behov av anpassningar av bestämmelser om undantag från förbudet att behandla särskilda kategorier av personupp- gifter i de författningar som hör till Socialdepartementets verk- samhetsområde, och

– lämna behövliga och lämpliga författningsförslag.

Nationella begränsningar av vissa skyldigheter och rättigheter

Den registrerade har enligt artikel 21 i dataskyddsförordningen i vissa fall rätt att göra invändningar mot behandling av personupp- gifter som grundar sig på t.ex. artikel 6.1 e behandling som är nöd- vändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

Den personuppgiftsansvarige får i dessa fall inte längre behandla personuppgifter såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det som sker för fastställande, ut- övande eller försvar av rättsliga anspråk. Senast vid den första kom-

674

SOU 2017:66

Bilaga 1

munikationen med den registrerade ska den rätt till invändning uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information. Om personuppgifter behandlas för vetenskapliga och historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, ska den registrerade på motsvarande sätt ha rätt att göra invändningar mot behandling avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse.

I vissa författningar inom Socialdepartementets verksamhets- områden finns bestämmelser som innebär att den enskilde har rätt att motsätta sig behandling av personuppgifter (opt-out), se exem- pelvis 6 kap. 2 § och 7 kap. 2 § patientdatalagen. Men det förekom- mer också bestämmelser som innebär att personuppgiftsbehandling är tillåten även om den enskilde motsätter sig det, se exempelvis 2 kap. 2 § patientdatalagen. Förutsättningarna för att behålla eller införa sådana bestämmelser regleras av bl.a. artikel 23 i dataskydds- förordningen och det behöver analyseras om detta föranleder behov av att anpassa lagstiftningen på det aktuella området.

Den registrerade ska vidare enligt artikel 22 dataskyddsförord- ningen ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i bety- dande grad påverkar honom eller henne. Detta ska dock inte tilläm- pas t.ex. om beslutet tillåts enligt unionsrätten eller en medlems- stats nationella rätt som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen eller grundar sig på den registrerades uttryckliga samtycke.

I 112 kap. 7 § socialförsäkringsbalken (SFB) föreskrivs att be- slut om allmän ålderspension får fattas genom automatiserad be- handling av Pensionsmyndigheten när skälen för beslutet får ute- lämnas enligt 20 § förvaltningslagen (1986:223). Detsamma gäller i tillämpliga delar för Pensionsmyndighetens beslut om efterlevande- pension och efterlevandestöd.

Skatteverkets beslut om pensionsgrundande inkomst får fattas genom automatiserad behandling när skälen för beslutet får ute- lämnas enligt 20 § förvaltningslagen (112 kap. 6 § SFB). Mot bak- grund av förekomsten av automatiserat beslutsfattande i verksam- heter som omfattas av Socialdepartementets verksamhetsområde

675

Bilaga 1

SOU 2017:66

behöver det analyseras om bestämmelserna i dataskyddsförord- ningen innebär behov av att anpassa eller införa nationell reglering.

Genom artikel 23.1 i dataskyddsförordningen ges medlemsstaterna möjlighet att under vissa förhållanden begränsa omfattningen av vissa av de andra skyldigheter och rättigheter som förordningen föreskriver. Utöver de rättigheter som berörts ovan gäller detta bl.a. rätten till information och tillgång till personuppgifter (artikel 12–15) samt rättelse, radering och begränsning av behandling (arti- kel 16–19).

I det nuvarande dataskyddsdirektivet finns motsvarande regler- ing om undantag i artikel 13. Undantag med stöd av den bestäm- melsen tas ofta in i sektorsspecifik lagstiftning, Dataskyddsförord- ningens bestämmelser är dock mer omfattande än direktivets bl.a. när det gäller tillämpningsområden för de skyldigheter och rättig- heter som kan begränsas.

Utredaren ska

– undersöka om det behövs anpassningar i nuvarande författningar avseende de rättigheter som dataskyddsförordningen ger den registrerade vad gäller dennes rätt att göra invändningar mot behandling av personuppgifter och att inte bli föremål för auto- matiserat individuellt beslutsfattande,

– analysera om det finns behov av att anpassa eller införa natio- nella begränsningar av vissa andra skyldigheter och rättigheter, och

– lämna behövliga och lämpliga författningsförslag.

Behov av kompletterande regler om behandling av personuppgifter hos vissa myndigheter och verksamheter som saknar särskilda registerförfattningar?

För några av de myndigheter och verksamheter som hör till Social- departementet saknas i dag särskilda registerförfattningar med be- stämmelser för den personuppgiftsbehandling som dessa utför. Detta gäller exempelvis Myndigheten för vård- och omsorgsanalys, Inspektionen för socialförsäkringen (ISF), Myndigheten för familje- rätt och föräldraskapsstöd och Folkhälsomyndigheten som därmed tillämpar personuppgiftslagen vid sin personuppgiftsbehandling.

676

SOU 2017:66

Bilaga 1

I fråga om ISF:s personuppgiftsbehandling har Utredningen om personuppgiftsbehandling vid ISF i betänkandet Inbyggd integritet inom Inspektionen för socialförsäkringen (SOU 2014:67) bl.a. lämnat ett förslag till ny lag om behandling av personuppgifter inom ISF:s verksamhet. Betänkandet bereds inom Regeringskansliet. Ut- redaren bör överväga vilka anpassningar som till följd av data- skyddsförordningen kan behöva göras av de förslag som lämnats i betänkandet SOU 2014:67.

Utredaren ska

– undersöka om det till följd av personuppgiftslagens upphävande och regleringen i dataskyddsförordningen behövs komplette- rande föreskrifter för vissa myndigheter och verksamheter som i dag saknar särskilda registerförfattningar, och

– lämna behövliga och lämpliga författningsförslag.

Övriga frågor

Utredaren är oförhindrad att inom de ramar som anges i de all- männa riktlinjerna belysa även andra frågeställningar och lämna för- slag som är relevanta för uppdraget.

Om utredaren kommer fram till att det krävs eller är lämpligt med kompletterande bestämmelser i andra delar än de som ska ut- redas särskilt, får sådana föreslås.

Konsekvensbeskrivningar

Ekonomiska och andra konsekvenser för enskilda personer, för företag och för det allmänna av de förslag som lämnas ska redovi- sas. Förslagens konsekvenser ska redovisas enligt 14–15 a §§ kom- mittéförordningen (1998:1474). Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Utredaren ska också redovisa förslagens kon- sekvenser för den personliga integriteten.

677

Bilaga 1

SOU 2017:66

Samråd och redovisning av uppdraget

Vid anpassningen av svensk rätt till den nya EU-regleringen bör en enhetlig tolkning eftersträvas. Utredaren ska därför hålla sig infor- merad om och beakta relevant arbete som bedrivs inom Regerings- kansliet, utredningsväsendet och inom EU. Detta innebär bl.a. att utredaren ska följa och i lämplig omfattning samråda med övriga utredningar som har i uppdrag att anpassa svensk rätt till reformen av EU:s dataskyddsregelverk.

Under genomförandet av uppdraget ska utredaren, i den utsträck- ning som bedöms lämplig, också inhämta synpunkter och upplys- ningar från de myndigheter och andra organisationer som kan vara berörda av aktuella frågor.

Uppdraget ska redovisas senast den 31 augusti 2017.

(Socialdepartementet)

678

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/1

I

(Lagstiftningsakter)

FÖRORDNINGAR

EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016

om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning)

(Text av betydelse för EES)

EUROPAPARLAMENTET OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 16, med beaktande av Europeiska kommissionens förslag,

efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), med beaktande av Regionkommitténs yttrande (2),

i enlighet med det ordinarie lagstiftningsförfarandet (3), och av följande skäl:

(1) Skyddet för fysiska personer vid behandling av personuppgifter är en grundläggande rättighet. Artikel 8.1 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) och artikel 16.1 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget) föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne.

(2) Principerna och reglerna för skyddet för fysiska personer vid behandling av deras personuppgifter bör, oavsett deras medborgarskap eller hemvist, respektera deras grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter. Avsikten med denna förordning är att bidra till att skapa ett område med frihet, säkerhet och rättvisa och en ekonomisk union, till ekonomiska och sociala framsteg, till förstärkning och konvergens av ekonomierna inom den inre marknaden samt till fysiska personers välbefinnande.

(3) Europaparlamentets och rådets direktiv 95/46/EG (4) syftar till att harmonisera skyddet av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter och att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna.

(1) EUT C 229, 31.7.2012, s. 90. (2) EUT C 391, 18.12.2012, s. 127.

(3) Europaparlamentets ståndpunkt av den 12 mars 2014 (ännu ej offentliggjord i EUT) och rådets ståndpunkt vid första behandlingen av

den 8 april 2016 (ännu ej offentliggjord i EUT). Europaparlamentets ståndpunkt av den 14 april 2016.

(4) Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).

679

Bilaga 2

SOU 2017:66

L 119/2

SV

Europeiska unionens officiella tidning

4.5.2016

(4) Behandlingen av personuppgifter bör utformas så att den tjänar människor. Rätten till skydd av personuppgifter är inte en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Denna förordning respekterar alla grundläggande rättigheter och iakttar de friheter och principer som erkänns i stadgan, såsom de fastställts i fördragen, särskilt skydd för privat- och familjeliv, bostad och kommunikationer, skydd av personuppgifter, tankefrihet, samvetsfrihet och religionsfrihet, yttrande- och informationsfrihet, näringsfrihet, rätten till ett effektivt rättsmedel och en opartisk domstol samt kulturell, religiös och språklig mångfald.

(5) Den ekonomiska och sociala integration som uppstått tack vare den inre marknaden har lett till en betydande ökning av de gränsöverskridande flödena av personuppgifter. Utbytet av personuppgifter mellan offentliga och privata aktörer, inbegripet fysiska personer, sammanslutningar och företag, över hela unionen har ökat. Nationella myndigheter i medlemsstaterna uppmanas i unionsrätten att samarbeta och utbyta personuppgifter för att vara i stånd att fullgöra sina uppdrag eller utföra arbetsuppgifter för en myndighet som finns i en annan medlemsstat.

(6) Den snabba tekniska utvecklingen och globaliseringen har skapat nya utmaningar vad gäller skyddet av personuppgifter. Omfattningen av insamling och delning av personuppgifter har ökat avsevärt. Tekniken gör det möjligt för både privata företag och offentliga myndigheter att i sitt arbete använda sig av personuppgifter i en helt ny omfattning. Allt fler fysiska personer gör sina personliga uppgifter allmänt tillgängliga, världen över. Tekniken har omvandlat både ekonomin och det sociala livet, och bör ytterligare underlätta det fria flödet av personuppgifter inom unionen samt överföringar till tredjeländer och internationella organisationer, samtidigt som en hög skyddsnivå säkerställs för personuppgifter.

(7) Dessa förändringar kräver en stark och mer sammanhängande ram för dataskyddet inom unionen, uppbackad av kraftfullt tillsynsarbete, eftersom det är viktigt att skapa den tillit som behövs för att utveckla den digitala ekonomin över hela den inre marknaden. Fysiska personer bör ha kontroll över sina egna personuppgifter. Den rättsliga säkerheten och smidigheten för fysiska personer, ekonomiska operatörer och myndigheter bör stärkas.

(8) Om denna förordning föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av denna förordning i nationell rätt.

(9) Målen och principerna för direktiv 95/46/EG är fortfarande giltiga, men det har inte kunnat förhindra bristande enhetlighet i genomförandet av dataskyddet i olika delar av unionen, rättsosäkerhet eller allmänt spridda uppfattningar om att betydande risker kvarstår för fysiska personer, särskilt med avseende på användning av internet. Skillnader i nivån på skyddet av fysiska personers rättigheter och friheter, särskilt rätten till skydd av personuppgifter, vid behandling av personuppgifter i olika medlemsstater kan förhindra det fria flödet av personuppgifter över hela unionen. Dessa skillnader kan därför utgöra ett hinder för att bedriva ekonomisk verksamhet på unionsnivå, de kan snedvrida konkurrensen och hindra myndigheterna att fullgöra sina skyldigheter enligt unionsrätten. De varierande skyddsnivåerna beror på skillnader i genomförandet och tillämpningen av direktiv 95/46/EG.

(10) För att säkra en enhetlig och hög skyddsnivå för fysiska personer och för att undanröja hindren för flödena av personuppgifter inom unionen bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna om skydd av fysiska personers grundläggande rättigheter och friheter vid behandling av personuppgifter bör säkerställas i hela unionen. Vad gäller behandlingen av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgift sansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i denna förordning ska tillämpas. Jämte den allmänna och övergripande lagstiftning om dataskydd varigenom direktiv 95/46/EG genomförs har medlemsstaterna flera sektorsspecifika lagar på områden som kräver mer specifika bestämmelser. Denna förordning ger dessutom medlemsstaterna handlingsutrymme att specificera sina bestämmelser, även för behandlingen av särskilda kategorier av personuppgifter (nedan kallade känsliga uppgifter). Denna förordning utesluter inte att det i medlemsstaternas nationella rätt fastställs närmare omständigheter för specifika situationer där uppgifter behandlas, inbegripet mer exakta villkor för laglig behandling av personuppgifter.

680

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/3

(11) Ett effektivt skydd av personuppgifter över hela unionen förutsätter att de registrerades rättigheter förstärks och specificeras och att de personuppgiftsansvarigas och personuppgiftsbiträdenas skyldigheter vid behandling av personuppgifter klargörs, samt att det finns likvärdiga befogenheter för övervakning och att det säkerställs att reglerna för skyddet av personuppgifter efterlevs och att sanktionerna för överträdelser är likvärdiga i medlemsstaterna.

(12) I artikel 16.2 i EUF-fördraget bemyndigas Europaparlamentet och rådet att fastställa bestämmelser om skydd för fysiska personer när det gäller behandling av personuppgifter och bestämmelser om den fria rörligheten för personuppgifter.

(13) För att säkerställa en enhetlig nivå för skyddet av fysiska personer över hela unionen och undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden behövs en förordning som skapar rättslig säkerhet och öppenhet för ekonomiska aktörer, däribland mikroföretag samt små och medelstora företag, och som ger fysiska personer i alla medlemsstater samma rättsligt verkställbara rättigheter och skyldigheter samt ålägger personuppgiftsansvariga och personuppgiftsbiträden samma ansvar, så att övervakningen av behandling av personuppgifter blir enhetlig, sanktionerna i alla medlemsstater likvärdiga och samarbetet mellan tillsynsmyn digheterna i olika medlemsstater effektivt. För att den inre marknaden ska fungera väl krävs att det fria flödet av personuppgifter inom unionen inte begränsas eller förbjuds av skäl som har anknytning till skydd för fysiska personer med avseende på behandling av personuppgifter. För att ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda situation innehåller denna förordning ett undantag för organisationer som sysselsätter färre än 250 personer med avseende på registerföring. Dessutom uppmanas unionens institutioner och organ samt medlemsstaterna och deras tillsynsmyndigheter att vid tillämpningen av denna förordning ta hänsyn till mikroföretagens samt de små och medelstora företagens särskilda behov. Begreppen mikroföretag samt små och medelstora företag bör bygga på artikel 2 i bilagan till kommissionens rekommendation 2003/361/EG (1).

(14) Det skydd som ska tillhandahållas enligt denna förordning bör tillämpas på fysiska personer, oavsett medborgarskap eller hemvist, med avseende på behandling av deras personuppgifter. Denna förordning omfattar inte behandling av personuppgifter rörande juridiska personer, särskilt företag som bildats som juridiska personer, exempelvis uppgifter om namn på och typ av juridisk person samt kontaktuppgifter.

(15) För att förhindra att det uppstår en allvarlig risk för att reglerna kringgås bör skyddet för fysiska personer vara teknikneutralt och inte vara beroende av den teknik som används. Skyddet för fysiska personer bör vara tillämpligt på både automatiserad och manuell behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Akter eller grupper av akter samt omslag till dessa, som inte är ordnade enligt särskilda kriterier, bör inte omfattas av denna förordning.

(16) Denna förordning är inte tillämplig på frågor som rör skyddet av grundläggande rättigheter och friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet. Denna förordning är inte tillämplig på medlemsstaternas behandling av personuppgifter när de agerar inom ramen för unionens gemensamma utrikes- och säkerhetspolitik.

(17) Europaparlamentets och rådets förordning (EG) nr 45/2001 (2) är tillämplig på den behandling av personuppgifter som sker i unionens institutioner, organ och byråer. Förordning (EG) nr 45/2001 och de av unionens övriga rättsakter som är tillämpliga på sådan behandling av personuppgifter bör anpassas till principerna och bestämmelserna i den här förordningen och tillämpas mot bakgrund av den här förordningen. För att tillhandahålla en stark och sammanhängande ram för dataskyddet inom unionen bör nödvändiga anpassningar av förordning (EG) nr 45/2001 göras när den här förordningen har antagits, så att de båda förordningarna kan tillämpas samtidigt.

(18) Denna förordning är inte tillämplig på fysiska personers behandling av personuppgifter som ett led i verksamhet som är helt och hållet privat eller har samband med personens hushåll och därmed saknar koppling till yrkes- eller affärsmässig verksamhet. Privat verksamhet eller verksamhet som har samband med hushållet kan omfatta

(1) Kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag (K(2003) 1422)

(EUT L 124, 20.5.2003, s. 36).

(2) Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitu tionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (EGT L 8, 12.1.2001, s. 1).

681

Bilaga 2

SOU 2017:66

L 119/4

SV

Europeiska unionens officiella tidning

4.5.2016

korrespondens och innehav av adresser, aktivitet i sociala nätverk och internetverksamhet i samband med sådan verksamhet. Denna förordning är dock tillämplig på personuppgiftsansvariga eller personuppgiftsbiträden som tillhandahåller utrustning för behandling av personuppgifter för sådan privat verksamhet eller hushålls verksamhet.

(19) Skyddet för fysiska personer när det gäller behöriga myndigheters behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten och det fria flödet av sådana uppgifter, säkerställs på unionsnivå av en särskild unionsrättsakt. Därför bör denna förordning inte vara tillämplig på behandling av personuppgifter för dessa ändamål. Personuppgifter som myndigheter behandlar enligt denna förordning och som används för de ändamålen bör emellertid regleras genom en mer specifik unionsrättsakt, nämligen Europaparlamentets och rådets direktiv (EU) 2016/680 (1). Medlemsstaterna får anförtro behöriga myndigheter i den mening som avses i direktiv (EU) 2016/680 uppgifter som inte nödvändigtvis utförs för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, inklusive att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten, så att behandlingen av personuppgifter för dessa andra ändamål, i den mån den omfattas av unionsrätten, omfattas av tillämpningsområdet för denna förordning.

Vad gäller dessa behöriga myndigheters behandling av personuppgifter för ändamål som omfattas av tillämpningsområdet för denna förordning, bör medlemsstaterna kunna bibehålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning. I sådana bestämmelser får det fastställas mer specifika krav för dessa behöriga myndigheters behandling av personuppgifter för dessa andra ändamål, med beaktande av respektive medlemsstats konstitutionella, organisatoriska och administrativa struktur. När privata organs behandling av personuppgifter omfattas av tillämpningsområdet för denna förordning, bör denna förordning ge medlemsstaterna möjlighet att, under särskilda villkor, i lag begränsa vissa skyldigheter och rättigheter, om en sådan begränsning utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda särskilda viktiga intressen, däribland allmän säkerhet samt förebyggande, förhindrande, utredning, avslöjande och lagföring av brott eller verkställande av straffrättsliga påföljder eller skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten. Detta är exempelvis relevant i samband med bekämpning av penningtvätt eller verksamhet vid kriminaltekniska laboratorier.

(20) Eftersom denna förordning bland annat gäller för verksamhet inom domstolar och andra rättsliga myndigheter, skulle det i unionsrätt eller medlemsstaternas nationella rätt kunna anges vilken behandling och vilka förfaranden för behandling som berörs när det gäller domstolars och andra rättsliga myndigheters behandling av personuppgifter. Tillsynsmyndigheternas behörighet bör inte omfatta domstolars behandling av personuppgifter när detta sker inom ramen för domstolarnas dömande verksamhet, i syfte att säkerställa domstolsväsendets oberoende när det utför sin rättsskipande verksamhet, inbegripet när det fattar beslut. Det bör vara möjligt att anförtro tillsynen över sådan behandling av uppgifter till särskilda organ inom medlemsstaternas rättsväsen, vilka framför allt bör säkerställa efterlevnaden av bestämmelserna i denna förordning, främja domstolsväsendets medvetenhet om sina skyldigheter enligt denna förordning och hantera klagomål relaterade till sådan behandling av uppgifter.

(21) Denna förordning påverkar inte tillämpningen av Europaparlamentets och rådets direktiv 2000/31/EG (2), särskilt bestämmelserna om tjänstelevererande mellanhänders ansvar i artiklarna 12–15 i det direktivet. Syftet med det direktivet är att bidra till att den inre marknaden fungerar väl genom att säkerställa fri rörlighet för informations samhällets tjänster mellan medlemsstaterna.

(22) All behandling av personuppgifter som sker inom ramen för arbetet på personuppgiftsansvarigas eller personupp giftsbiträdens verksamhetsställen inom unionen bör ske i överensstämmelse med denna förordning, oavsett om behandlingen i sig äger rum inom unionen. Verksamhetsställe innebär det faktiska och reella utförandet av verksamhet med hjälp av en stabil struktur. Den rättsliga formen för en sådan struktur, oavsett om det är en filial eller ett dotterföretag med status som juridisk person, bör inte vara den avgörande faktorn i detta avseende.

(1) Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (se sidan 89 i detta nummer av

EUT).

(2) Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (”Direktiv om elektronisk handel”) (EGT L 178, 17.7.2000, s. 1).

682

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/5

(23) För att fysiska personer inte ska fråntas det skydd som denna förordning ger dem bör sådan behandling av personuppgifter om registrerade personer som befinner sig i unionen vilken utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad inom unionen omfattas av denna förordning, om behandlingen avser utbjudande av varor eller tjänster inom unionen till de registrerade, oavsett om detta är kopplat till en betalning. I syfte att avgöra om en personuppgiftsansvarig eller ett personuppgiftsbiträde erbjuder varor eller tjänster till registrerade som befinner sig i unionen bör man fastställa om det är uppenbart att den personuppgiftsansvarige eller personuppgiftsbiträdet avser att erbjuda tjänster till registrerade i en eller flera av unionens medlemsstater. Medan enbart åtkomlighet till den personuppgiftsansvariges, personuppgiftsbiträdets eller en mellanhands webbplats i unionen, till en e-postadress eller andra kontaktuppgifter eller användning av ett språk som allmänt används i det tredjeland där den personuppgiftsansvarige är etablerad inte är tillräckligt för att fastställa en sådan avsikt, kan faktorer som användning av ett språk eller en valuta som allmänt används i en eller flera medlemsstater med möjlighet att beställa varor och tjänster på detta andra språk, eller omnämnande av kunder eller användare som befinner sig i unionen, göra det uppenbart att den personuppgiftsansvarige avser att erbjuda varor eller tjänster till registrerade inom unionen.

(24) Den behandling av personuppgifter som avser registrerade som befinner sig i unionen som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen bör också omfattas av denna förordning, om den hör samman med övervakningen av de registrerade personernas beteende när de befinner sig i unionen. För att avgöra huruvida en viss behandling kan anses övervaka beteendet hos registrerade, bör det fastställas om fysiska personer spåras på internet, och om personuppgifterna därefter behandlas med hjälp av teknik som profilerar fysiska personer, i synnerhet för att fatta beslut rörande honom eller henne eller för att analysera eller förutsäga hans eller hennes personliga preferenser, beteende och attityder.

(25) Om medlemsstaternas nationella rätt är tillämplig i kraft av folkrätten, bör denna förordning också vara tillämplig på personuppgiftsansvariga som inte är etablerade inom unionen, exempelvis i en medlemsstats diplomatiska beskickning eller konsulat.

(26) Principerna för dataskyddet bör gälla all information som rör en identifierad eller identifierbar fysisk person. Personuppgifter som har pseudonymiserats och som skulle kunna tillskrivas en fysisk person genom att kompletterande uppgifter används bör anses som uppgifter om en identifierbar fysisk person. För att avgöra om en fysisk person är identifierbar bör man beakta alla hjälpmedel, som t.ex. utgallring, som, antingen av den personuppgiftsansvarige eller av en annan person, rimligen kan komma att användas för att direkt eller indirekt identifiera den fysiska personen. För att fastställa om hjälpmedel med rimlig sannolikhet kan komma att användas för att identifiera den fysiska personen bör man beakta samtliga objektiva faktorer, såsom kostnader och tidsåtgång för identifiering, med beaktande av såväl tillgänglig teknik vid tidpunkten för behandlingen som den tekniska utvecklingen. Principerna för dataskyddet bör därför inte gälla för anonym information, nämligen information som inte hänför sig till en identifierad eller identifierbar fysisk person, eller för personuppgifter som anonymiserats på ett sådant sätt att den registrerade inte eller inte längre är identifierbar. Denna förordning berör därför inte behandling av sådan anonym information, vilket inbegriper information för statistiska ändamål eller forskningsändamål.

(27) Denna förordning gäller inte behandling av personuppgifter rörande avlidna personer. Medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter rörande avlidna personer.

(28) Tillämpningen av pseudonymisering av personuppgifter kan minska riskerna för de registrerade som berörs och hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd. Ett uttryckligt införande av pseudonymisering i denna förordning är inte avsett att utesluta andra åtgärder för dataskydd.

(29) För att skapa incitament för tillämpning av pseudonymisering vid behandling av personuppgifter bör åtgärder för pseudonymisering som samtidigt medger en allmän analys vara möjliga inom samma personuppgiftsansvarigs verksamhet, när den personuppgiftsansvarige har vidtagit de tekniska och organisatoriska åtgärder som är nödvändiga för att se till att denna förordning genomförs för berörd uppgiftsbehandling och att kompletterande uppgifter för tillskrivning av personuppgifterna till en specifik registrerad person förvaras separat. Den personuppgiftsansvarige som behandlar personuppgifterna bör ange behöriga personer inom samma personupp giftsansvarigs verksamhet.

683

Bilaga 2

SOU 2017:66

L 119/6

SV

Europeiska unionens officiella tidning

4.5.2016

(30) Fysiska personer kan knytas till nätidentifierare som lämnas av deras utrustning, applikationer, verktyg och protokoll, t.ex. ip-adresser, kakor eller andra identifierare, som radiofrekvensetiketter. Detta kan efterlämna spår som, särskilt i kombination med unika identifierare och andra uppgifter som tas emot av servrarna, kan användas för att skapa profiler för fysiska personer och identifiera dem.

(31) Offentliga myndigheter som för sin myndighetsutövning mottar personuppgifter i enlighet med en rättslig förpliktelse, t.ex. skatte- och tullmyndigheter, finansutredningsgrupper, oberoende administrativa myndigheter eller finansmarknadsmyndigheter med ansvar för reglering och övervakning av värdepappersmarknader, bör inte betraktas som mottagare om de tar emot personuppgifter som är nödvändiga för utförandet av en särskild utredning av allmänt intresse, i enlighet med unionsrätten eller medlemstaternas nationella rätt. Offentliga myndigheters begäranden om att uppgifter ska lämnas ut ska alltid vara skriftliga och motiverade, läggas fram i enskilda fall och inte gälla hela register eller leda till att register kopplas samman. Dessa offentliga myndigheters behandling av personuppgifter bör ske i överensstämmelse med de bestämmelser för dataskydd som är tillämpliga på behandlingens ändamål.

(32) Samtycke bör lämnas genom en entydig bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerades sida om att denne godkänner behandling av personuppgifter rörande honom eller henne, som t.ex. genom en skriftlig, inklusive elektronisk, eller muntlig förklaring. Detta kan inbegripa att en ruta kryssas i vid besök på en internetsida, genom val av inställningsalternativ för tjänster på informationssamhällets område eller genom någon annan förklaring eller något annat beteende som i sammanhanget tydligt visar att den registrerade godtar den avsedda behandlingen av sina personuppgifter. Tystnad, på förhand ikryssade rutor eller inaktivitet bör därför inte utgöra samtycke. Samtycket bör gälla all behandling som utförs för samma ändamål. Om behandlingen tjänar flera olika syften, bör samtycke ges för samtliga syften. Om den registrerade ska lämna sitt samtycke efter en elektronisk begäran, måste denna vara tydlig och koncis och får inte onödigtvis störa användningen av den tjänst som den avser.

(33) Det är ofta inte möjligt att fullt ut identifiera syftet med en behandling av personuppgifter för vetenskapliga forskningsändamål i samband med insamlingen av uppgifter. Därför bör registrerade kunna ge sitt samtycke till vissa områden för vetenskaplig forskning, när vedertagna etiska standarder för vetenskaplig forskning iakttas. Registrerade bör ha möjlighet att endast lämna sitt samtycke till vissa forskningsområden eller delar av forskningsprojekt i den utsträckning det avsedda syftet medger detta.

(34) Genetiska uppgifter bör definieras som personuppgifter som rör en fysisk persons nedärvda eller förvärvade genetiska kännetecken, vilka framgår av en analys av ett biologiskt prov från den fysiska personen i fråga, framför allt kromosom-, DNA- eller RNA-analys eller av en annan form av analys som gör det möjligt att inhämta motsvarande information.

(35) Personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd. Detta inbegriper uppgifter om den fysiska personen som insamlats i samband med registrering för eller tillhanda hållande av hälso- och sjukvårdstjänster till den fysiska personen enligt Europaparlamentets och rådets direktiv 2011/24/EU (1), ett nummer, en symbol eller ett kännetecken som den fysiska personen tilldelats för att identifiera denne för hälso- och sjukvårdsändamål, uppgifter som härrör från tester eller undersökning av en kroppsdel eller kroppssubstans, däribland genetiska uppgifter och biologiska prov, och andra uppgifter om exempelvis sjukdom, funktionshinder, sjukdomsrisk, sjukdomshistoria, klinisk behandling eller den registrerades fysiologiska eller biomedicinska tillstånd, oberoende av källan, exempelvis från en läkare eller från annan sjukvårdspersonal, ett sjukhus, en medicinteknisk produkt eller ett diagnostiskt in vitro-test.

(36) Den personuppgiftsansvariges huvudsakliga verksamhetsställe i unionen bör vara den plats i unionen där den personuppgiftsansvarige har sin centrala förvaltning, såvida inte beslut om ändamålen och medlen för behandling av personuppgifter fattas vid ett annat av den personuppgiftsansvariges verksamhetsställen i unionen; i sådant fall

(1) Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (EUT L 88, 4.4.2011, s. 45).

684

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/7

bör det andra verksamhetsstället anses vara det huvudsakliga verksamhetsstället. En personuppgiftsansvarigs huvudsakliga verksamhetsställe inom unionen bör avgöras med beaktande av objektiva kriterier och bör inbegripa den faktiska och reella ledning som fattar de huvudsakliga besluten vad avser ändamål och medel för behandlingen med hjälp av en stabil struktur. Detta kriterium bör inte vara avhängigt av om behandlingen av personuppgifter utförs på detta ställe. Att tekniska medel och teknik för behandling av personuppgifter eller behandlingsverksamhet finns och används visar i sig inte att det rör sig om ett huvudsakligt verksamhetsställe och utgör därför inte avgörande kriterier för ett huvudsakligt verksamhetsställe. Personuppgiftsbiträdets huvudsakliga verksamhetsställe bör vara den plats i unionen där denne har sin centrala förvaltning eller, om denne inte har någon central förvaltning inom unionen, den plats inom unionen där den huvudsakliga behandlingen sker. I fall som omfattar både en personuppgiftsansvarig och ett personuppgiftsbiträde bör den behöriga ansvariga tillsynsmyndigheten fortfarande vara tillsynsmyndigheten i den medlemsstat där den personuppgiftsansvarige har sitt huvudsakliga verksamhetsställe, men den tillsynsmyndighet som gäller för personuppgiftsbiträdet bör betraktas som en berörd tillsynsmyndighet och den tillsynsmyndigheten bör delta i det samarbetsförfarande som föreskrivs i denna förordning. Om utkastet till beslut endast gäller den personuppgift sansvarige, bör tillsynsmyndigheterna i den eller de medlemsstater där personuppgiftsbiträdet har ett eller flera verksamhetsställen inte under några omständigheter betraktas som berörda tillsynsmyndigheter. Om behandlingen utförs av en koncern bör det kontrollerande företagets huvudsakliga verksamhetsställe betraktas som koncernens huvudsakliga verksamhetsställe, utom då behandlingens ändamål och de medel med vilka den utförs fastställs av ett annat företag.

(37) En koncern bör innefatta ett kontrollerande företag och de företag som detta företag kontrollerar (kontrollerade företag), varvid det kontrollerande företaget bör vara det företag som kan utöva ett dominerande inflytande på de övriga företagen i kraft av exempelvis ägarskap, finansiellt deltagande eller de bestämmelser som det regleras av eller befogenheten att införa regler som rör personuppgiftsskyddet. Ett företag med kontroll över behandlingen av personuppgifter vid företag som är underställda detta företag bör, tillsammans med dessa företag, anses utgöra en koncern.

(38) Barns personuppgifter förtjänar särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Sådant särskilt skydd bör i synnerhet gälla användningen av barns personuppgifter i marknadsföringssyfte eller för att skapa personlighets- eller användarprofiler samt insamling av personuppgifter med avseende på barn när tjänster som erbjuds direkt till barn utnyttjas. Samtycke från den person som har föräldraansvar över ett barn bör inte krävas för förebyggande eller rådgivande tjänster som erbjuds direkt till barn.

(39) Varje behandling av personuppgifter måste vara laglig och rättvis. Det bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas. Öppenhetsprincipen kräver att all information och kommunikation i samband med behandlingen av dessa personuppgifter är lättillgänglig och lättbegriplig samt att ett klart och tydligt språk används. Den principen gäller framför allt informationen till registrerade om den personuppgiftsansvariges identitet och syftet med behandlingen samt ytterligare information för att sörja för en rättvis och öppen behandling för berörda fysiska personer och deras rätt att erhålla bekräftelse på och meddelande om vilka personuppgifter rörande dem som behandlas. Fysiska personer bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen. De specifika ändamål som personuppgifterna behandlas för bör vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in. Personuppgifterna bör vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål som de behandlas för. Detta kräver i synnerhet att det tillses att den period under vilken personuppgifterna lagras är begränsad till ett strikt minimum. Personuppgifter bör endast behandlas om syftet med behandlingen inte rimligen kan uppnås genom andra medel. För att säkerställa att personuppgifter inte sparas längre än nödvändigt bör den personuppgiftsansvarige införa tidsfrister för radering eller för regelbunden kontroll. Alla rimliga åtgärder bör vidtas för att rätta eller radera felaktiga uppgifter. Personuppgifter bör behandlas på ett sätt som säkerställer lämplig säkerhet och konfidentialitet för personuppgifterna samt förhindrar obehörigt tillträde till och obehörig användning av personuppgifter och den utrustning som används för behandlingen.

(40) För att behandling ska vara laglig bör personuppgifterna behandlas efter samtycke från den berörda registrerade eller på någon annan legitim grund som fastställts i lag, antingen i denna förordning eller i annan unionsrätt eller

685

Bilaga 2

SOU 2017:66

L 119/8

SV

Europeiska unionens officiella tidning

4.5.2016

medlemsstaternas nationella rätt enligt denna förordning, vilket inbegriper att de rättsliga skyldigheter som åligger den personuppgiftsansvarige måste fullgöras eller att ett avtal i vilket den registrerade är part måste genomföras eller att åtgärder på begäran av den registrerade måste vidtas innan avtalet ingås.

(41) När det i denna förordning hänvisas till en rättslig grund eller lagstiftningsåtgärd, innebär detta inte nödvändigtvis en lagstiftningsakt antagen av ett parlament, utan att detta påverkar krav som uppställs i den konstitutionella ordningen i den berörda medlemsstaten. En sådan rättslig grund eller lagstiftningsåtgärd bör dock vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol (nedan kallad domstolen) och Europeiska domstolen för de mänskliga rättigheterna.

(42) När behandling sker efter samtycke från registrerade, bör personuppgiftsansvariga kunna visa att de registrerade har lämnat sitt samtycke till behandlingen. I synnerhet vid skriftliga förklaringar som rör andra frågor bör det finnas skyddsåtgärder som säkerställer att de registrerade är medvetna om att samtycke ges och om hur långt samtycket sträcker sig. I enlighet med rådets direktiv 93/13/EEG (1) bör en förklaring om samtycke som den personuppgiftsansvarige i förväg formulerat tillhandahållas i en begriplig och lätt tillgänglig form, med användning av ett klart och tydligt språk och utan oskäliga villkor. För att samtycket ska vara informerat bör den registrerade känna till åtminstone den personuppgiftsansvariges identitet och syftet med den behandling för vilken personuppgifterna är avsedda. Samtycke bör inte betraktas som frivilligt om den registrerade inte har någon genuin eller fri valmöjlighet eller inte utan problem kan vägra eller ta tillbaka sitt samtycke.

(43) För att säkerställa att samtycket lämnas frivilligt bör det inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personupp giftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Samtycke antas inte vara frivilligt om det inte medger att separata samtycken lämnas för olika behandlingar av personuppgifter, trots att detta är lämpligt i det enskilda fallet, eller om genomförandet av ett avtal – inbegripet tillhandahållandet av en tjänst – är avhängigt av samtycket, trots att samtycket inte är nödvändigt för ett sådant genomförande.

(44) Behandling bör vara laglig när den är nödvändig i samband med avtal eller när det finns en avsikt att ingå ett avtal.

(45) Behandling som grundar sig på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller behandling som krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning, bör ha en grund i unionsrätten eller i en medlemsstats nationella rätt. Denna förordning medför inte något krav på en särskild lag för varje enskild behandling. Det kan räcka med en lag som grund för flera behandlingar som bygger på en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen krävs för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Behandlingens syfte bör också fastställas i unionsrätten eller i medlemsstaternas nationella rätt. Därtill skulle man genom denna grund kunna ange denna förordnings allmänna villkor för laglig personuppgiftsbehandling och precisera kraven för att fastställa vem den personupp giftsansvarige är, vilken typ av personuppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut, ändamålsbegränsningar, lagringstid samt andra åtgärder för att tillförsäkra en laglig och rättvis behandling. Unionsrätten eller medlemsstaternas nationella rätt bör också reglera frågan huruvida en personuppgiftsansvarig som utför en uppgift av allmänt intresse eller som ett led i myndighets utövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentlig rättslig lagstiftning eller, om detta motiveras av allmänintresset, vilket inbegriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, av civilrättslig lagstiftning, exempelvis en yrkesorganisation.

(46) Behandling av personuppgifter bör även anses laglig när den är nödvändig för att skydda ett intresse som är av avgörande betydelse för den registrerades eller en annan fysisk persons liv. Behandling av personuppgifter på

(1) Rådets direktiv 93/13/EEG av den 5 april 1993 om oskäliga villkor i konsumentavtal (EGT L 95, 21.4.1993, s. 29).

686

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/9

grundval av en annan fysisk persons grundläggande intressen bör i princip endast äga rum om behandlingen inte uppenbart kan ha en annan rättslig grund. Vissa typer av behandling kan tjäna både viktiga allmänintressen och intressen som är av grundläggande betydelse för den registrerade, till exempel när behandlingen är nödvändig av humanitära skäl, bland annat för att övervaka epidemier och deras spridning eller i humanitära nödsituationer, särskilt vid naturkatastrofer eller katastrofer orsakade av människan.

(47) En personuppgiftsansvarigs berättigade intressen, inklusive intressena för en personuppgiftsansvarig till vilken personuppgifter får lämnas ut, eller för en tredje part, kan utgöra rättslig grund för behandling, på villkor att de registrerades intressen eller grundläggande rättigheter och friheter inte väger tyngre, med beaktande av de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige. Ett sådant berättigat intresse kan till exempel finnas när det föreligger ett relevant och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige i sådana situationer som att den registrerade är kund hos eller arbetar för den personuppgiftsansvarige. Ett berättigat intresse kräver under alla omständigheter en noggrann bedömning, som inbegriper huruvida den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Den registrerades intressen och grundläggande rättigheter skulle i synnerhet kunna väga tyngre än den personuppgiftsansvariges intressen, om personuppgifter behandlas under omständigheter där den registrerade inte rimligen kan förvänta sig någon ytterligare behandling. Med tanke på att det är lagstiftarens sak att genom lagstiftning tillhandahålla den rättsliga grunden för de offentliga myndigheternas behandling av personuppgifter, bör den rättsliga grunden inte gälla den behandling de utför som ett led i fullgörandet av sina uppgifter. Sådan behandling av personuppgifter som är absolut nödvändig för att förhindra bedrägerier utgör också ett berättigat intresse för berörd personupp giftsansvarig. Behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse.

(48) Personuppgiftsansvariga som ingår i en koncern eller institutioner som är underställda ett centralt organ kan ha ett berättigat intresse att överföra personuppgifter inom koncernen för interna administrativa ändamål, bland annat för behandling av kunders eller anställdas personuppgifter. De allmänna principerna för överföring av personuppgifter, inom en koncern, till företag i tredjeland påverkas inte.

(49) Behandling av personuppgifter utgör ett berättigat intresse för berörd personuppgiftsansvarig i den mån den är absolut nödvändig och proportionell för att säkerställa nät- och informationssäkerhet, dvs. förmågan hos ett nät eller ett informationssystem att vid en viss tillförlitlighetsnivå tåla olyckshändelser, olagliga handlingar eller illvilligt uppträdande som äventyrar tillgängligheten, autenticiteten, integriteten och konfidentialiteten hos lagrade eller överförda personuppgifter och säkerheten hos besläktade tjänster som tillhandahålls av – eller är tillgängliga via – dessa nät och system, av myndigheter, incidenthanteringsorganisationer (Cert), enheter för hantering av datasäkerhetsincidenter, tillhandahållare av elektroniska kommunikationsnät och kommunikationstjänster och tillhandahållare av säkerhetsteknik och säkerhetstjänster. Detta skulle t.ex. kunna innefatta att förhindra obehörigt tillträde till elektroniska kommunikationsnät och felaktig kodfördelning och att sätta stopp för överbelastnings attacker och skador på datasystem och elektroniska kommunikationssystem.

(50) Behandling av personuppgifter för andra ändamål än de för vilka de ursprungligen samlades in bör endast vara tillåten, när detta är förenligt med de ändamål för vilka personuppgifterna ursprungligen samlades in. I dessa fall krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Om behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra, kan unionsrätten eller medlemsstaternas nationella rätt fastställa och närmare ange för vilka uppgifter och syften ytterligare behandling bör betraktas som förenlig och laglig. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör betraktas som förenlig och laglig behandling av uppgifter. Den rättsliga grund för behandling av personuppgifter som återfinns i unionsrätten eller i medlemsstaternas nationella rätt kan också utgöra en rättslig grund för ytterligare behandling. För att fastställa om ett ändamål med den ytterligare behandlingen är förenligt med det ändamål för vilket personuppgifterna ursprungligen insamlades bör den personuppgiftsansvarige, efter att ha uppfyllt alla krav vad beträffar den ursprungliga behandlingens lagenlighet, bland annat beakta alla kopplingar mellan dessa ändamål och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personuppgifterna insamlats, särskilt de registrerades rimliga förväntningar till följd av förhållandet till den personuppgiftsansvarige i fråga om den

687

Bilaga 2

SOU 2017:66

L 119/10

SV

Europeiska unionens officiella tidning

4.5.2016

art, den planerade ytterligare behandlingens konsekvenser för de registrerade samt förekomsten av lämpliga skyddsåtgärder för både den ursprungliga och den planerade ytterligare behandlingen.

Om den registrerade har gett sitt medgivande eller behandlingen grundar sig på unionsrätten eller på medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa i synnerhet viktiga mål av allmänt intresse, bör den personuppgiftsansvarige tillåtas att behandla personuppgifterna ytterligare, oavsett om detta är förenligt med ändamålen eller inte. Under alla omständigheter bör tillämpningen av principerna i denna förordning, särskilt informationen till den registrerade om dessa andra ändamål och om dennes rättigheter, inbegripet rätten att göra invändningar, säkerställas. Om den personuppgiftsansvarige anmäler möjliga brott eller hot mot den allmänna säkerheten och i enskilda fall eller i flera fall som rör samma brott eller hot mot den allmänna säkerheten överför dessa personuppgifter till en behörig myndighet, ska detta betraktas som att den personuppgiftsansvarige agerar i ett berättigat intresse. Sådan överföring i den personuppgiftsansvariges berättigade intresse eller ytterligare behandling av personuppgifter bör emellertid vara förbjuden, om behandlingen inte är förenlig med lagstadgad eller yrkesmässig tystnadsplikt eller annan bindande tystnadsplikt.

(51) Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheterna och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. Dessa personuppgifter bör även inbegripa personuppgifter som avslöjar ras eller etniskt ursprung, varvid användningen av termen ras i denna förordning inte innebär att unionen godtar teorier som söker fastställa förekomsten av skilda människoraser. Behandling av foton bör inte systematiskt anses utgöra behandling av särskilda kategorier av personuppgifter, eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. Sådana personuppgifter bör inte behandlas, såvida inte behandling medges i särskilda fall som fastställs i denna förordning, med beaktande av att det i medlemsstaternas lagstiftning får införas särskilda bestämmelser om dataskydd för att anpassa tillämpningen av bestämmelserna i denna förordning i syfte att fullgöra en rättslig skyldighet eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra. Utöver de särskilda kraven för sådan behandling, bör de allmänna principerna och andra bestämmelser i denna förordning tillämpas, särskilt när det gäller villkoren för laglig behandling. Undantag från det allmänna förbudet att behandla sådana särskilda kategorier av personuppgifter bör uttryckligen fastställas, bland annat om den registrerade lämnar sitt uttryckliga samtycke eller för att tillgodose specifika behov, i synnerhet när behandlingen utförs inom ramen för legitima verksamheter som bedrivs av vissa sammanslutningar eller stiftelser i syfte att göra det möjligt att utöva grundläggande friheter.

(52) Undantag från förbudet att behandla särskilda kategorier av personuppgifter bör även tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och underkastas lämpliga skyddsåtgärder för att skydda personuppgifter och övriga grundläggande rättigheter, när allmänintresset motiverar detta, i synnerhet i fråga om behandling av personuppgifter inom ramen för arbetsrätt och sociallagstiftning, däribland pensioner, och för hälsosäkerhetsändamål, övervaknings- och varningssyften, förebyggande eller kontroll av smittsamma sjukdomar och andra allvarliga hot mot hälsan. Detta undantag får göras för hälsoändamål, inbegripet folkhälsa och förvaltningen av hälso- och sjukvårdstjänster, särskilt för att säkerställa kvalitet och kostnadseffektivitet i de förfaranden som används vid prövningen av ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Genom undantag bör man även tillåta behandling av sådana personuppgifter där så krävs för fastställande, utövande eller försvar av rättsliga anspråk, oavsett om detta sker inom ett domstolsförfarande eller inom ett administrativt eller ett utomrättsligt förfarande.

(53) Särskilda kategorier av personuppgifter som förtjänar ett mer omfattande skydd bör endast behandlas i hälsorelaterade syften om detta krävs för att uppnå dessa syften och gagnar fysiska personer och samhället i stort, särskilt inom ramen för förvaltningen av tjänster för hälso- och sjukvård och social omsorg och deras system, inbegripet behandling som utförs av förvaltningen och centrala nationella hälsovårdsmyndigheter av sådana uppgifter för syften som hör samman med kvalitetskontroll, information om förvaltningen samt allmän nationell och lokal tillsyn över hälso- och sjukvårdssystemet och systemet för social omsorg och säkerställande av kontinuitet inom hälso- och sjukvård och social omsorg samt gränsöverskridande hälso- och sjukvård eller hälsosäkerhet, syften som hör samman med övervakning samt varningssyften eller för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål som baseras på unionsrätten eller på medlemsstaternas nationella rätt, vilka måste ha ett syfte av allmänt intresse, samt studier som genomförs av allmänt intresse på folkhälsoområdet. Denna förordning bör därför innehålla harmoniserade villkor för behandling av särskilda kategorier av personuppgifter om hälsa, vad gäller särskilda behov, i synnerhet när behandlingen av uppgifterna utförs för vissa hälsorelaterade syften av personer som enligt lag är underkastade

688

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/11

yrkesmässig tystnadsplikt. Unionsrätten eller medlemsstaternas nationella rätt bör föreskriva särskilda och lämpliga åtgärder som skyddar fysiska personers grundläggande rättigheter och personuppgifter. Medlemsstaterna bör få behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. Detta bör emellertid inte hindra det fria flödet av personuppgifter inom unionen, när villkoren tillämpas på gränsöverskridande behandling av sådana uppgifter.

(54) På folkhälsoområdet kan det bli nödvändigt att med hänsyn till ett allmänt intresse behandla särskilda kategorier av personuppgifter utan att den registrerades samtycke inhämtas. Sådan behandling bör förutsätta lämpliga och särskilda åtgärder för att skydda fysiska personers rättigheter och friheter. I detta sammanhang bör folkhälsa tolkas enligt definitionen i Europaparlamentets och rådets förordning (EG) nr 1338/2008 (1), nämligen alla aspekter som rör hälsosituationen, dvs. allmänhetens hälsotillstånd, inbegripet sjuklighet och funktionshinder, hälsans bestämningsfaktorer, hälso- och sjukvårdsbehov, resurser inom hälso- och sjukvården, tillhandahållande av och allmän tillgång till hälso- och sjukvård, utgifter för och finansiering av hälso- och sjukvården samt dödsorsaker. Sådan behandling av uppgifter om hälsa av allmänt intresse bör inte innebära att personuppgifter behandlas för andra ändamål av tredje part, exempelvis arbetsgivare eller försäkrings- och bankföretag.

(55) Myndigheters behandling av personuppgifter på officiellt erkända religiösa sammanslutningars vägnar i syften som fastställs i grundlag eller i folkrätten anses också grunda sig på ett allmänt intresse.

(56) Om det för att det demokratiska systemet ska fungera i samband med allmänna val är nödvändigt att politiska partier i vissa medlemsstater samlar in personuppgifter om fysiska personers politiska uppfattningar, får behandling av sådana uppgifter tillåtas med hänsyn till ett allmänt intresse, på villkor att lämpliga skyddsåtgärder fastställs.

(57) Om de personuppgifter som behandlas av en personuppgiftsansvarig inte gör det möjligt för denne att identifiera en fysisk person, bör den personuppgiftsansvarige inte vara tvungen att skaffa ytterligare information för att kunna identifiera den registrerade, om ändamålet endast är att följa någon av bestämmelserna i denna förordning. Den personuppgiftsansvarige bör dock inte vägra att ta emot kompletterande uppgifter som den registrerade lämnat som stöd för utövandet av sina rättigheter. Identifiering bör omfatta digital identifiering av en registrerad, till exempel genom en autentiseringsmekanism, exempelvis samma identifieringsinformation som används av den registrerade för att logga in på den nättjänst som tillhandahålls av den personuppgiftsansvarige.

(58) Öppenhetsprincipen kräver att all information som riktar sig till allmänheten eller till registrerade är kortfattad, lättåtkomlig och lättbegriplig samt utformad på ett tydligt och enkelt språk samt att man vid behov använder visualisering. Denna information kan ges elektroniskt, exempelvis på en webbplats, när den riktas till allmänheten. Detta är särskilt relevant i situationer där mängden olika aktörer och den tekniska komplexiteten gör det svårt för den registrerade att veta och förstå om personuppgifter som rör honom eller henne samlas in, vem som gör det och för vilket syfte, exempelvis i fråga om reklam på nätet. Eftersom barn förtjänar särskilt skydd, bör all information och kommunikation som riktar sig till barn utformas på ett tydligt och enkelt språk som barnet lätt kan förstå.

(59) Förfaranden bör fastställas som gör det lättare för registrerade att utöva sina rättigheter enligt denna förordning, inklusive mekanismer för att begära och i förekommande fall kostnadsfritt få tillgång till och erhålla rättelse eller radering av personuppgifter samt för att utöva rätten att göra invändningar. Den personuppgiftsansvarige bör också tillhandahålla hjälpmedel för elektroniskt ingivna framställningar, särskilt i fall då personuppgifter behandlas elektroniskt. Personuppgiftsansvariga bör utan onödigt dröjsmål och senast inom en månad vara skyldiga att besvara registrerades önskemål och lämna en motivering, om de inte avser att uppfylla sådana önskemål.

(1) Europaparlamentets och rådets förordning (EG) nr 1338/2008 av den 16 december 2008 om gemenskapsstatistik om folkhälsa och hälsa och säkerhet i arbetet (EUT L 354, 31.12.2008, s. 70).

689

Bilaga 2

SOU 2017:66

L 119/12

SV

Europeiska unionens officiella tidning

4.5.2016

(60) Principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang. Dessutom bör den registrerade informeras om förekomsten av profilering samt om konsekvenserna av sådan profilering. Om personuppgifterna samlas in från den registrerade, bör denne även informeras om huruvida han eller hon är skyldig att tillhandahålla personuppgifterna och om konsekvenserna om han eller hon inte lämnar dem. Denna information får tillhandahållas kombinerad med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen. Om sådana symboler visas elektroniskt bör de vara maskinläsbara.

(61) Information om behandling av personuppgifter som rör den registrerade bör lämnas till honom eller henne vid den tidpunkt då personuppgifterna samlas in från den registrerade eller, om personuppgifterna erhålls direkt från en annan källa, inom en rimlig period, beroende på omständigheterna i fallet. Om personuppgifter legitimt kan lämnas ut till en annan mottagare, bör de registrerade informeras första gången personuppgifterna lämnas ut till denna mottagare. Om den personuppgiftsansvarige avser att behandla personuppgifter för ett annat ändamål än det för vilket uppgifterna insamlades, bör denne före ytterligare behandling informera den registrerade om detta andra syfte och lämna annan nödvändig information. Om personuppgifternas ursprung inte kan meddelas den registrerade på grund av att olika källor har använts, bör allmän information ges.

(62) Det är dock inte nödvändigt att införa någon skyldighet att tillhandahålla information, om den registrerade redan innehar denna information, om registreringen eller utlämnandet av personuppgifterna uttryckligen föreskrivs i lag eller om det visar sig vara omöjligt eller skulle medföra orimliga ansträngningar att tillhandahålla den registrerade informationen. Det sistnämnda skulle särskilt kunna vara fallet om behandlingen sker för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. I detta avseende bör antalet registrerade, uppgifternas ålder och lämpliga skyddsåtgärder beaktas.

(63) Den registrerade bör ha rätt att få tillgång till personuppgifter som insamlats om denne samt på enkelt sätt och med rimliga intervall kunna utöva denna rätt, för att vara medveten om att behandling sker och kunna kontrollera att den är laglig. Detta innefattar rätten för registrerade att få tillgång till uppgifter om sin hälsa, exempelvis uppgifter i läkarjournaler med t.ex. diagnoser, undersökningsresultat, bedömningar av behandlande läkare och eventuella vårdbehandlingar eller interventioner. Alla registrerade bör därför ha rätt att få kännedom och underrättelse om framför allt orsaken till att personuppgifterna behandlas, om möjligt vilken tidsperiod behandlingen pågår, vilka som mottar personuppgifterna, bakomliggande logik i samband med automatisk behandling av personuppgifter och, åtminstone när behandlingen bygger på profilering, konsekvenserna av sådan behandling. Om möjligt bör den personuppgiftsansvarige kunna ge fjärråtkomst till ett säkert system genom vilket den registrerade kan få direkt åtkomst till sina personuppgifter. Denna rätt bör inte inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran. Resultatet av dessa överväganden bör dock inte bli att den registrerade förvägras all information. Om den personuppgiftsansvarige behandlar en stor mängd uppgifter om den registrerade, bör den personuppgiftsansvarige kunna begära att den registrerade lämnar uppgift om vilken information eller vilken behandling en framställan avser, innan informationen lämnas ut.

(64) Personuppgiftsansvariga bör vidta alla rimliga åtgärder för att kontrollera identiteten på en registrerad som begär tillgång, särskilt inom ramen för nättjänster och i fråga om nätidentifierare. Personuppgiftsansvariga bör inte behålla personuppgifter enbart för att kunna agera vid en potentiell begäran.

(65) Den registrerade bör ha rätt att få sina personuppgifter rättade och en rätt att bli bortglömd, om lagringen av uppgifterna strider mot denna förordning eller unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av. En registrerad bör särskilt ha rätt att få sina personuppgifter raderade och kunna begära att dessa personuppgifter inte behandlas, om de inte längre behövs med tanke på de ändamål för vilka de samlats in eller på annat sätt behandlats, om en registrerad har återtagit sitt samtycke till behandling eller invänder mot behandling av personuppgifter som rör honom eller henne, eller om behandlingen av hans eller

690

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/13

hennes personuppgifter på annat sätt inte överensstämmer med denna förordning. Denna rättighet är särskilt relevant när den registrerade har gett sitt samtycke som barn, utan att vara fullständigt medveten om riskerna med behandlingen, och senare vill ta bort dessa personuppgifter, särskilt på internet. Den registrerade bör kunna utöva denna rätt även när han eller hon inte längre är barn. Ytterligare lagring av personuppgifterna bör dock vara laglig, om detta krävs för att utöva yttrandefrihet och informationsfrihet, för att uppfylla en rättslig förpliktelse, för att utföra en uppgift i av allmänt intresse eller som ett led i myndighetsutövning som anförtrotts den personuppgiftsansvarige, med anledning av ett allmänt intresse inom folkhälsoområdet, för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål eller för fastställande, utövande eller försvar av rättsliga anspråk.

(66) För att stärka ”rätten att bli bortglömd” i nätmiljön bör rätten till radering utvidgas genom att personuppgift sansvariga som offentliggjort personuppgifter är förpliktigade att vidta rimliga åtgärder, däribland tekniska åtgärder, för att informera de personuppgiftsansvariga som behandlar dessa personuppgifter om att den registrerade har begärt radering av alla länkar till och kopior eller reproduktioner av dessa personuppgifter. I samband med detta bör den personuppgiftsansvarige vidta rimliga åtgärder, med beaktande av tillgänglig teknik och de hjälpmedel som står den personuppgiftsansvarige till buds, däribland tekniska åtgärder, för att informera de personuppgiftsansvariga som behandlar personuppgifterna om den registrerades begäran.

(67) Sätten att begränsa behandlingen av personuppgifter kan bland annat inbegripa att man tillfälligt flyttar de valda personuppgifterna till ett annat databehandlingssystem, gör de valda uppgifterna otillgängliga för användare eller tillfälligt avlägsnar offentliggjorda uppgifter från en webbplats. I automatiserade register bör begränsningen av behandlingen i princip ske med tekniska medel på ett sådant sätt att personuppgifterna inte blir föremål för ytterligare behandling och inte kan ändras. Det förhållandet att behandlingen av personuppgifter är begränsad bör klart anges inom systemet.

(68) För att ytterligare förbättra kontrollen över sina egna uppgifter bör den registrerade, om personuppgifterna behandlas automatiskt, också tillåtas att motta de personuppgifter som rör honom eller henne, som han eller hon har tillhandahållit den personuppgiftsansvarige, i ett strukturerat, allmänt använt, maskinläsbart och kompatibelt format och överföra dessa till en annan personuppgiftsansvarig. Personuppgiftsansvariga bör uppmuntras att utveckla kompatibla format som möjliggör dataportabilitet. Denna rättighet bör vara tillämplig om den registrerade har tillhandahållit uppgifterna efter att ha lämnat sitt samtycke eller om behandlingen är nödvändig för att ett avtal ska kunna genomföras. Den bör inte vara tillämplig om behandlingen utgår från en annan rättslig grund än samtycke eller avtal. På grund av sin art bör denna rättighet inte utövas mot personuppgiftsansvariga som behandlar personuppgifter som ett led i myndighetsutövning. Därför bör den inte vara tillämplig när behandlingen av personuppgifterna är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personupp giftsansvarige eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige. Den registrerades rätt att överföra eller motta personuppgifter som rör honom eller henne innebär inte någon skyldighet för de personuppgiftsansvariga att införa eller upprätthålla behandlingssystem som är tekniskt kompatibla. Om mer än en registrerad berörs inom en viss uppsättning personuppgifter, bör rätten att motta personuppgifterna inte inverka på andra registrerades rättigheter och friheter enligt denna förordning. Denna rättighet bör inte heller påverka den registrerades rätt att få till stånd radering av personuppgifter och de inskränkningar av denna rättighet vilka anges i denna förordning och bör i synnerhet inte medföra radering av personuppgifter om den registrerade som denne har lämnat för genomförande av ett avtal, i den utsträckning och så länge som personuppgifterna krävs för genomförande av avtalet. Om det är tekniskt möjligt, bör den registrerade ha rätt till direkt överföring av personuppgifterna från en personuppgiftsansvarig till en annan.

(69) När personuppgifter lagligen får behandlas, eftersom behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i en myndighetsutövning som utförs av den personuppgiftsansvarige, eller på grund av en personuppgiftsansvarigs eller en tredje parts berättigade intressen, bör alla registrerade ändå ha rätt att göra invändningar mot behandling av personuppgifter som rör de registrerades särskilda situation. Det bör ankomma på den personuppgiftsansvarige att visa att dennes tvingande berättigade intressen väger tyngre än den registrerades intressen eller grundläggande rättigheter och friheter.

(70) Om personuppgifter behandlas för direktmarknadsföring, bör den registrerade, oavsett om det handlar om inledande eller ytterligare behandling, ha rätt att när som helst kostnadsfritt invända mot sådan behandling, inbegripet profilering, i den mån denna är kopplad till direktmarknadsföring. Denna rättighet bör uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från annan information.

691

Bilaga 2

SOU 2017:66

L 119/14

SV

Europeiska unionens officiella tidning

4.5.2016

(71) Den registrerade bör ha rätt att inte bli föremål för ett beslut, vilket kan inbegripa en åtgärd, med bedömning av personliga aspekter rörande honom eller henne, vilket enbart grundas på automatiserad behandling och medför rättsverkan för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, såsom ett automatiserat avslag på en kreditansökan online eller e-rekrytering utan personlig kontakt. Sådan behandling omfattar ”profilering” i form av automatisk behandling av personuppgifter med bedömning av personliga aspekter rörande en fysisk person, särskilt för att analysera eller förutse aspekter avseende den registrerades arbetsprestation, ekonomiska situation, hälsa, personliga preferenser eller intressen, pålitlighet eller beteende, vistelseort eller förflyttningar, i den mån dessa har rättsverkan rörande honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Beslutsfattande grundat på sådan behandling, inbegripet profilering, bör dock tillåtas när det uttryckligen beviljas genom unionsrätten eller medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av, inbegripet för sådan övervakning och sådant förebyggande av bedrägerier och skatteundandragande som genomförs i enlighet med unionsinstitutionernas eller de nationella tillsynsorganens bestämmelser, standarder och rekommendationer samt för att sörja för tillförlitlighet hos en tjänst som tillhandahålls av den personuppgiftsansvarige, eller när det krävs för ingående eller genomförande av ett avtal mellan den registrerade och en personuppgiftsansvarig eller den registrerade har gett sitt uttryckliga samtycke. Denna form av uppgiftsbehandling bör under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. Sådana åtgärder bör inte gälla barn.

I syfte att sörja för rättvis och transparent behandling med avseende på den registrerade, med beaktande av omständigheterna och det sammanhang i vilket personuppgifterna behandlas, bör den personuppgiftsansvarige använda adekvata matematiska eller statistiska förfaranden för profilering, genomföra tekniska och organisatoriska åtgärder som framför allt säkerställer att faktorer som kan medföra felaktigheter i personuppgifter korrigeras och att risken för fel minimeras samt säkra personuppgifterna på sådant sätt att man beaktar potentiella risker för den registrerades intressen och rättigheter och förhindrar bland annat diskriminerande effekter för fysiska personer, på grund av ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse, medlemskap i fackföreningar, genetisk status eller hälsostatus eller sexuell läggning, eller som leder till åtgärder som får sådana effekter. Automatiserat beslutsfattande och profilering baserat på särskilda kategorier av personuppgifter bör endast tillåtas på särskilda villkor.

(72) Profilering omfattas av denna förordnings bestämmelser om behandling av personuppgifter, såsom de rättsliga grunderna för behandlingen och principer för dataskydd. Europeiska dataskyddsstyrelsen som inrättas genom denna förordning (nedan kallad styrelsen) bör kunna utfärda riktlinjer i detta avseende.

(73) Begränsningar med avseende på specifika principer och rätten till information, tillgång till och rättelse eller radering av personuppgifter, rätten till dataportabilitet, rätten att göra invändningar, profileringsbaserade beslut samt information till den registrerade om personuppgiftsincidenter och vissa av den personuppgiftsansvariges relaterade skyldigheter kan införas genom unionsrätten eller medlemsstaternas nationella rätt, i den mån de är nödvändiga och proportionella i ett demokratiskt samhälle för att upprätthålla den allmänna säkerheten, exempelvis för att skydda människoliv, särskilt vid naturkatastrofer eller katastrofer framkallade av människan, vid förebyggande, förhindrande, utredning och lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten eller överträdelser av etiska principer för reglerade yrken, vad gäller unionens eller en medlemsstats övriga viktiga mål av allmänt intresse, särskilt om de är av stort ekonomiskt eller finansiellt intresse för unionen eller en medlemsstat, förande av offentliga register som förs av hänsyn till ett allmänt intresse, ytterligare behandling av arkiverade personuppgifter för att tillhandahålla specifik information om politiskt beteende under tidigare totalitära regimer eller skydd av den registrerade eller andras rättigheter och friheter, inklusive socialt skydd, folkhälsa och humanitära skäl. Dessa begränsningar bör överensstämma med kraven i stadgan och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna.

(74) Personuppgiftsansvariga bör åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Personuppgiftsansvariga bör särskilt vara skyldiga att vidta lämpliga och effektiva åtgärder och kunna visa att behandlingen är förenlig med denna förordning, även vad gäller åtgärdernas effektivitet. Man bör inom dessa åtgärder beakta behandlingens art, omfattning, sammanhang och ändamål samt risken för fysiska personers rättigheter och friheter.

692

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/15

(75) Risken för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador, i synnerhet om behandlingen kan leda till diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, skadat anseende, förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt, obehörigt hävande av pseudonymisering eller annan betydande ekonomisk eller social nackdel, om registrerade kan berövas sina rättigheter och friheter eller hindras att utöva kontroll över sina personuppgifter, om personuppgifter behandlas som avslöjar ras eller etniskt ursprung, politiska åsikter, religion eller övertygelse eller medlemskap i fackförening, om genetiska uppgifter, uppgifter om hälsa eller sexualliv eller fällande domar i brottmål samt överträdelser eller därmed sammanhängande säkerhetsåtgärder behandlas, om personliga aspekter bedöms, framför allt analyser eller förutsägelser beträffande sådant som rör arbetsprestationer, ekonomisk ställning, hälsa, personliga preferenser eller intressen, tillförlitlighet eller beteende, vistelseort eller förflyttningar, i syfte att skapa eller använda personliga profiler, om det sker behandling av personuppgifter rörande sårbara fysiska personer, framför allt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

(76) Hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller en hög risk.

(77) Vägledning för den personuppgiftsansvariges eller personuppgiftsbiträdets genomförande av lämpliga åtgärder och för påvisande av att behandlingen är förenlig med denna förordning, särskilt när det gäller att kartlägga den risk som är förknippad med behandlingen och bedöma dess ursprung, art, sannolikhetsgrad och allvar samt fastställa bästa praxis för att minska risken, kan framför allt ges genom godkända uppförandekoder, godkänd certifiering, riktlinjer från styrelsen eller genom anvisningar från ett dataskyddsombud. Styrelsen kan också utfärda riktlinjer för uppgiftsbehandling som inte bedöms medföra någon hög risk för fysiska personers rättigheter och friheter samt ange vilka åtgärder som i sådana fall kan vara tillräckliga för att bemöta en sådan risk.

(78) Skyddet av fysiska personers rättigheter och friheter i samband med behandling av personuppgifter förutsätter att lämpliga tekniska och organisatoriska åtgärder vidtas, så att kraven i denna förordning uppfylls. För att kunna visa att denna förordning följs bör den personuppgiftsansvarige anta interna strategier och vidta åtgärder, särskilt för att uppfylla principerna om inbyggt dataskydd och dataskydd som standard. Sådana åtgärder kan bland annat bestå av att uppgiftsbehandlingen minimeras, att personuppgifter snarast möjligt pseudonymiseras, att öppenhet om personuppgifternas syfte och behandling iakttas, att den registrerade får möjlighet att övervaka uppgiftsbe handlingen och att den personuppgiftsansvarige får möjlighet att skapa och förbättra säkerhetsanordningar. Vid utveckling, utformning, urval och användning av applikationer, tjänster och produkter som är baserade på behandling av personuppgifter eller behandlar personuppgifter för att uppfylla sitt syfte bör producenterna av dessa produkter, tjänster och applikationer uppmanas att beakta rätten till dataskydd när sådana produkter, tjänster och applikationer utvecklas och utformas och att, med tillbörlig hänsyn till den tekniska utvecklingen, säkerställa att personuppgiftsansvariga och personuppgiftsbiträden kan fullgöra sina skyldigheter avseende dataskydd. Principerna om inbyggt dataskydd och dataskydd som standard bör också beaktas vid offentliga upphandlingar.

(79) Skyddet av de registrerades rättigheter och friheter samt de personuppgiftsansvarigas och personuppgiftsbi trädenas ansvar, även i förhållande till tillsynsmyndigheternas övervakning och åtgärder, kräver ett tydligt fastställande av vem som bär ansvaret enligt denna förordning, bl.a. när personuppgiftsansvariga gemensamt fastställer ändamål och medel för en behandling tillsammans med andra personuppgiftsansvariga eller när en behandling utförs på en personuppgiftsansvarigs vägnar.

(80) När personuppgiftsansvariga eller personuppgiftsbiträden som inte är etablerade inom unionen behandlar personuppgifter om registrerade som befinner sig inom unionen och det bakomliggande syftet med uppgiftsbe handlingen är att erbjuda de registrerade personerna i unionen varor eller tjänster, oberoende av om de registrerade personerna måste betala för dem, eller att övervaka deras beteende i den mån beteendet äger rum i unionen, bör de personuppgiftsansvariga eller personuppgiftsbiträdena utnämna en företrädare, såvida inte behandlingen endast är tillfällig, inte omfattar behandling i stor omfattning av särskilda kategorier av personuppgifter eller behandling av personuppgifter om fällande domar i brottmål samt överträdelser och det är

693

Bilaga 2

SOU 2017:66

L 119/16

SV

Europeiska unionens officiella tidning

4.5.2016

osannolikt att den inbegriper en risk för fysiska personers rättigheter och friheter, med beaktande av behandlingens art, sammanhang, omfattning och ändamål eller om den personuppgiftsansvarige är en myndighet eller ett organ. Företrädaren bör agera på den personuppgiftsansvariges eller på personuppgiftsbiträdets vägnar och kan kontaktas av samtliga tillsynsmyndigheter. Företrädaren bör uttryckligen utses genom en skriftlig fullmakt från den personuppgiftsansvarige eller från personuppgiftsbiträdet att agera på dennes vägnar med avseende på dennes skyldigheter enligt denna förordning. Utnämningen av företrädaren inverkar inte på den personuppgiftsansvariges eller på personuppgiftsbiträdets ansvar enligt denna förordning. Företrädaren bör utföra sina uppgifter i enlighet med erhållen fullmakt från den personuppgiftsansvarige eller från personuppgiftsbiträdet, vilket inbegriper samarbete med de behöriga tillsynsmyndigheterna i fråga om alla åtgärder som vidtas för att sörja för efterlevnad av denna förordning. Den utsedda företrädaren bör underkastas verkställighetsförfaranden i händelse den personuppgiftsansvarige eller personuppgiftsbiträdet inte uppfyller sina skyldigheter.

(81) För att se till att kraven i denna förordning uppfylls vad gäller behandling som av ett personuppgiftsbiträde ska utföras på en personuppgiftsansvarigs vägnar ska den personuppgiftsansvarige, när denne anförtror behandling åt ett personuppgiftsbiträde, endast använda personuppgiftsbiträden som ger tillräckliga garantier, i synnerhet i fråga om sakkunskap, tillförlitlighet och resurser, för att genomföra tekniska och organisatoriska åtgärder som uppfyller kraven i denna förordning, bl.a. vad gäller säkerhet i samband med behandlingen av uppgifter. Personuppgifts biträdets anslutning till en godkänd uppförandekod eller en godkänd certifieringsmekanism kan användas som ett sätt att påvisa att den personuppgiftsansvarige fullgör sina skyldigheter. När uppgifter behandlas av ett personuppgiftsbiträde, bör hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller medlemsstaternas nationella rätt mellan personuppgiftsbiträdet och den personuppgiftsansvarige, där föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade anges, med beaktande av personuppgiftsbiträdets specifika arbets- och ansvarsuppgifter inom ramen för den behandling som ska utföras och risken med avseende på den registrerades rättigheter och friheter. Den personuppgiftsansvarige och personuppgiftsbiträdet får välja att använda sig av ett enskilt avtal eller standardav talsklausuler som antingen antas direkt av kommissionen eller av en tillsynsmyndighet i enlighet med mekanismen för enhetlighet och därefter antas av kommissionen. Efter det att behandlingen på den personupp giftsansvariges vägnar har avslutats, bör personuppgiftsbiträdet återlämna eller radera personuppgifterna, beroende på vad den personuppgiftsansvarige väljer, såvida inte lagring av personuppgifterna krävs enligt den unionsrätt eller medlemsstaternas nationella rätt som personuppgiftsbiträdet omfattas av.

(82) För att påvisa att denna förordning följs bör de personuppgiftsansvariga eller personuppgiftsbiträdena föra register över behandling som sker under deras ansvar. Alla personuppgiftsansvariga och personuppgiftsbiträden bör vara skyldiga att samarbeta med tillsynsmyndigheten och på dennas begäran göra detta register tillgängligt, så att det kan tjäna som grund för övervakningen av behandlingen.

(83) För att upprätthålla säkerheten och förhindra behandling som bryter mot denna förordning bör personuppgift sansvariga eller personuppgiftsbiträden utvärdera riskerna med behandlingen och vidta åtgärder, såsom kryptering, för att minska dem. Åtgärderna bör säkerställa en lämplig säkerhetsnivå, inbegripet konfidentialitet, med beaktande av den senaste utvecklingen och genomförandekostnader i förhållande till riskerna och vilken typ av personuppgifter som ska skyddas. Vid bedömningen av datasäkerhetsrisken bör man även beakta de risker som personuppgiftsbehandling medför, såsom förstöring, förlust eller ändringar genom olyckshändelse eller otillåtna handlingar eller obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats, framför allt när denna kan medföra fysisk, materiell eller immateriell skada.

(84) I syfte att sörja för bättre efterlevnad av denna förordning när behandlingen sannolikt kan innebära en hög risk för fysiska personers rättigheter och friheter, bör den personuppgiftsansvarige vara ansvarig för att en konsekvens bedömning utförs avseende datasskydd för att bedöma framför allt riskens ursprung, art, särdrag och allvar. Resultatet av denna bedömning bör beaktas vid fastställandet av de lämpliga åtgärder som ska vidtas för att visa att behandlingen av personuppgifter är förenlig med denna förordning. I de fall en konsekvensbedömning avseende dataskydd ger vid handen att uppgiftsbehandlingen medför en hög risk, som den personuppgift sansvarige inte kan begränsa genom lämpliga åtgärder med avseende på tillgänglig teknik och genomförande kostnader, bör ett samråd med tillsynsmyndigheten ske före behandlingen.

(85) En personuppgiftsincident som inte snabbt åtgärdas på lämpligt sätt kan för fysiska personer leda till fysisk, materiell eller immateriell skada, såsom förlust av kontrollen över de egna personuppgifterna eller till begränsning av deras rättigheter, diskriminering, identitetsstöld eller bedrägeri, ekonomisk förlust, obehörigt hävande av pseudonymisering, skadat anseende, förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt, eller till annan ekonomisk eller social nackdel för den berörda fysiska personen. Så

694

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/17

snart en personuppgiftsansvarig blir medveten om att en personuppgiftsincident har inträffat, bör den personupp giftsansvarige därför anmäla personuppgiftsincidenten till tillsynsmyndigheten utan onödigt dröjsmål och, om så är möjligt, inom 72 timmar efter att ha blivit medveten om denna, om inte den personuppgiftsansvarige, i enlighet med ansvarsprincipen, kan påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra en risk för fysiska personers rättigheter och friheter. Om en sådan anmälan inte kan ske inom 72 timmar, bör skälen till fördröjningen åtfölja anmälan och information får lämnas i omgångar utan otillbörligt vidare dröjsmål.

(86) Den personuppgiftsansvarige bör utan onödigt dröjsmål underrätta den registrerade om en personuppgift sincident, om personuppgiftsincidenten sannolikt kommer att medföra en hög risk för den fysiska personens

rättigheter och friheter, så att denne kan vidta nödvändiga försiktighetsåtgärder. Denna underrättelse bör beskriva personuppgiftsincidentens art samt innehålla rekommendationer för den berörda fysiska personen om hur de potentiella negativa effekterna kan mildras. De registrerade bör underrättas så snart detta rimligtvis är möjligt, i nära samarbete med tillsynsmyndigheten och i enlighet med den vägledning som lämnats av den eller andra relevanta myndigheter, exempelvis brottsbekämpande myndigheter. Till exempel kräver behovet av att mildra en omedelbar skaderisk att de registrerade underrättas omedelbart, medan behovet av att vidta lämpliga åtgärder vid fortlöpande eller likartade personuppgiftsincidenter däremot kan motivera längre tid för underrättelsen.

(87) Det bör undersökas huruvida alla lämpliga tekniska skyddsåtgärder och alla lämpliga organisatoriska åtgärder har vidtagits för att omedelbart fastställa om en personuppgiftsincident har ägt rum och skyndsamt informera tillsynsmyndigheten och den registrerade. Att en anmälan gjordes utan onödigt dröjsmål bör fastställas med hänsyn tagen bl.a. till personuppgiftsincidentens art och svårighetsgrad och dess följder och negativa effekter för den registrerade. En sådan anmälan kan leda till ett ingripande från tillsynsmyndighetens sida i enlighet med dess uppgifter och befogenheter enligt denna förordning.

(88) När ingående regler fastställs för format och förfaranden för anmälan av personuppgiftsincidenter, bör vederbörlig hänsyn tas till omständigheterna kring incidenten, däribland om personuppgifterna var skyddade av lämpliga tekniska skyddsåtgärder, som betydligt begränsar sannolikheten för identitetsbedrägeri eller andra former av missbruk. Dessutom bör sådana regler och förfaranden beakta brottsbekämpande myndigheters berättigade intressen, där en för tidig redovisning kan riskera att i onödan hämma utredning av omständigheterna kring en personuppgiftsincident.

(89) Direktiv 95/46/EG föreskrev en allmän skyldighet att anmäla behandling av personuppgifter till tillsynsmyndighe terna. Denna skyldighet medförde administrativa och ekonomiska bördor, men förbättrade inte alltid personupp giftsskyddet. Sådana övergripande och allmänna anmälningsskyldigheter bör därför avskaffas och ersättas av effektiva förfaranden och mekanismer som i stället inriktas på de typer av behandlingar som sannolikt innebär en hög risk för fysiska personers rättigheter och friheter, i kraft av deras art, omfattning, sammanhang och ändamål. Dessa behandlingar kan vara sådana som särskilt inbegriper användning av ny teknik eller är av en ny typ, för vilken konsekvensbedömning avseende uppgiftsskydd inte tidigare har genomförts av den personuppgift sansvarige, eller som blir nödvändiga på grund av den tid som har förflutit sedan den ursprungliga behandlingen.

(90) I sådana fall bör den personuppgiftsansvarige före behandlingen, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt upphovet till risken, göra en konsekvensbedömning avseende dataskydd i syfte att bedöma den höga riskens specifika sannolikhetsgrad och allvar samt dess ursprung. Konsekvensbedömningen bör främst innefatta de planerade åtgärder, skyddsåtgärder och mekanismer som ska minska denna risk, säkerställa personuppgiftskyddet och visa att denna förordning efterlevs.

(91) Detta bör särskilt vara tillämpligt på storskalig uppgiftsbehandling med syftet att behandla betydande mängder personuppgifter på regional, nationell eller övernationell nivå, vilket skulle kunna påverka ett stort antal registrerade och sannolikt kommer att innebära en hög risk, exempelvis till följd av uppgifternas känsliga natur, där i enlighet med den uppnådda nivån av teknisk kunskap en ny teknik används storskaligt, samt på annan behandling som innebär en hög risk för registrerades rättigheter och friheter, framför allt när denna behandling gör det svårare för de registrerade att utöva sina rättigheter. En konsekvensbedömning avseende dataskydd bör

695

Bilaga 2

SOU 2017:66

L 119/18

SV

Europeiska unionens officiella tidning

4.5.2016

också göras, där personuppgifter behandlas i syfte att fatta beslut om specifika fysiska personer efter en systematisk och omfattande bedömning av fysiska personers personliga aspekter på grundval av profilering av dessa uppgifter eller efter behandling av särskilda kategorier av personuppgifter, biometriska uppgifter eller uppgifter om fällande domar i brottmål samt överträdelser eller därmed sammanhängande säkerhetsåtgärder. Likaså krävs en konsekvensbedömning avseende dataskydd för övervakning av allmän plats i stor omfattning, särskilt vid användning av optisk-elektroniska anordningar, eller för all annan behandling där den behöriga tillsynsmyndigheten anser att behandlingen sannolikt kommer att innebära en hög risk för de registrerades rättigheter och friheter, framför allt på grund av att den hindrar de registrerade från att utöva en rättighet eller använda en tjänst eller ett avtal eller på grund av att den systematiskt genomförs i stor omfattning. Behandling av personuppgifter bör inte anses vara storskalig, om det är fråga om personuppgifter från patienter eller klienter som behandlas av enskilda läkare, andra yrkesverksamma på hälsoområdet eller juridiska ombud. I dessa fall bör en konsekvensbedömning avseende dataskydd inte vara obligatorisk.

(92) Ibland kan det vara förnuftigt och ekonomiskt att en konsekvensbedömning avseende dataskydd inriktar sig på ett vidare område än ett enda projekt, exempelvis när myndigheter eller organ avser att skapa en gemensam tillämpnings- eller behandlingsplattform eller när flera personuppgiftsansvariga planerar att införa en gemensam tillämpnings- eller behandlingsmiljö för en hel bransch eller ett helt segment eller för en allmänt utnyttjad horisontell verksamhet.

(93) Medlemsstaterna kan anse det nödvändigt att genomföra en sådan bedömning före behandlingen i samband med antagandet av medlemsstaters nationella rätt som ligger till grund för utförandet av myndighetens eller det offentliga organets uppgifter och reglerar den aktuella specifika behandlingsåtgärden eller serien av åtgärder.

(94) Om det av en konsekvensbedömning avseende dataskydd framgår att behandlingen utan skyddsåtgärder, säkerhetsåtgärder och mekanismer för att minska risken kommer att innebära en hög risk för fysiska personers rättigheter och friheter, och den personuppgiftsansvarige anser att risken inte kan begränsas genom åtgärder som är rimliga med avseende på tillgänglig teknik och genomförandekostnader, bör samråd hållas med tillsynsmyndig heten innan behandlingen inleds. En sådan hög risk kommer sannolikt att orsakas av vissa typer av behandling samt av en viss omfattning och frekvens för behandlingen, vilket även kan leda till skador för eller kränkningar av fysiska personers rättigheter och friheter. Tillsynsmyndigheten bör inom en fastställd tid svara på en begäran om samråd. Ett uteblivet svar från tillsynsmyndigheten inom denna tid bör dock inte hindra ett eventuellt ingripande från tillsynsmyndighetens sida i enlighet med dess uppgifter och befogenheter enligt denna förordning, inbegripet befogenheten att förbjuda behandling. Som en del av denna samrådsprocess får resultatet av en konsekvens bedömning avseende dataskydd som utförs med avseende på behandlingen i fråga överlämnas till tillsynsmyndig heten, framför allt de åtgärder som planeras för att minska risken för fysiska personers rättigheter och friheter.

(95) Personuppgiftsbiträdet bör vid behov och på begäran bistå den personuppgiftsansvarige med fullgörande av de skyldigheter som härrör från utförandet av konsekvensbedömningar avseende dataskydd och förhandssamråd med tillsynsmyndigheten.

(96) Ett samråd med tillsynsmyndigheten bör även ske som ett led i det förberedande arbetet med en lagstift ningsåtgärd som stadgar om behandling av personuppgifter i syfte att säkerställa att den avsedda behandlingen överensstämmer med denna förordning och framför allt för att minska den risk den medför för den registrerade.

(97) När en behandling utförs av en myndighet, med undantag av domstolar eller oberoende rättsliga myndigheter som en del av deras dömande verksamhet, eller när en behandling utförs i den privata sektorn av en personupp giftsansvarig vars kärnverksamhet består av behandlingsverksamhet som kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning, eller när den personuppgiftsansvariges eller personuppgifts biträdets kärnverksamhet består av behandling i stor omfattning av särskilda kategorier av personuppgifter och uppgifter som rör fällande domar i brottmål och överträdelser, bör en person med sakkunskap i fråga om dataskyddslagstiftning och -förfaranden bistå den personuppgiftsansvarige eller personuppgiftsbiträdet för att övervaka den interna efterlevnaden av denna förordning. I den privata sektorn avser personuppgiftsansvarigas kärnverksamhet deras primära verksamhet och inte behandling av personuppgifter som kompletterande verksamhet. Den nödvändiga nivån på sakkunskapen bör fastställas särskilt i enlighet med den uppgiftsbehandling

696

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/19

som utförs och det skydd som krävs för de personuppgifter som behandlas av den personuppgiftsansvarige eller personuppgiftsbiträdet. Denna typ av dataskyddsombud bör, oavsett om de är anställda av den personuppgift sansvarige eller ej, kunna fullgöra sitt uppdrag och utföra sina uppgifter på ett oberoende sätt.

(98) Sammanslutningar eller andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgifts biträden bör uppmuntras att utarbeta uppförandekoder inom gränserna för denna förordning, så att tillämpningen av denna förordning effektiviseras, med beaktande av särdragen hos den behandling som sker inom vissa sektorer och de särskilda behov som finns inom mikroföretag samt inom små och medelstora företag. I synnerhet skulle man genom sådana uppförandekoder kunna anpassa personuppgiftsansvarigas och personupp giftsbiträdens skyldigheter, med beaktande av den risk som behandlingen sannolikt innebär för fysiska personers rättigheter och friheter.

(99) Vid utformningen av en uppförandekod eller vid ändring eller utvidgning av en befintlig sådan kod bör sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgifts biträden samråda med berörda intressenter, i möjligaste mån inbegripet registrerade, och beakta de inlagor som mottas och de åsikter som framförs som svar på samråden.

(100) För att förbättra öppenheten och efterlevnaden av denna förordning bör införandet av certifieringsmekanismer och dataskyddsförsegling och dataskyddsmärkning uppmuntras, så att registrerade snabbt kan bedöma nivån på relevanta produkters och tjänsters dataskydd.

(101) Flöden av personuppgifter till och från länder utanför unionen och till och från internationella organisationer är nödvändiga för utvecklingen av internationell handel och internationellt samarbete. Ökningen av dessa flöden har medfört nya utmaningar och nya farhågor när det gäller skyddet av personuppgifter. Det är viktigt att den skyddsnivå som fysiska personer säkerställs inom unionen genom denna förordning inte undergrävs när personuppgifter överförs från unionen till personuppgiftsansvariga, personuppgiftsbiträden eller andra mottagare i tredjeland eller till internationella organisationer, vilket inbegriper vidarebefordran av personuppgifter från tredjelandet eller den internationella organisationen till personuppgiftsansvariga, personuppgiftsbiträden i samma eller ett annat tredjeland eller en annan internationell organisation. Överföringar till tredjeländer och internationella organisationer får under alla omständigheter endast utföras i full överensstämmelse med denna förordning. En överföring kan endast ske, om de villkor som fastställs i bestämmelserna i denna förordning om överföring av personuppgifter till tredjeländer eller internationella organisationer har uppfyllts av den personupp giftsansvarige eller personuppgiftsbiträdet, med förbehåll för de övriga bestämmelserna i denna förordning.

(102) Denna förordning påverkar inte internationella avtal mellan unionen och tredjeländer som reglerar överföring av personuppgifter, däribland lämpliga skyddsåtgärder för de registrerade. Medlemsstaterna får ingå internationella avtal som innefattar överföring av personuppgifter till tredjeländer eller internationella organisationer i den mån sådana avtal inte påverkar denna förordning eller andra bestämmelser i unionsrätten och innehåller en skälig nivå av skydd för de registrerades grundläggande rättigheter.

(103) Kommissionen kan med verkan för hela unionen fastställa att ett tredjeland, ett territorium eller en specificerad sektor i ett tredjeland eller en internationell organisation erbjuder en adekvat dataskyddsnivå och på så sätt skapa rättslig säkerhet och enhetlighet i hela unionen vad gäller tredjelandet eller den internationella organisationen som anses tillhandahålla en sådan skyddsnivå. I dessa fall får överföringar av personuppgifter till det tredjelandet eller den internationella organisationen ske utan ytterligare tillstånd. Kommissionen kan också, efter att ha underrättat tredjelandet eller den internationella organisationen och lämnat en fullständig motivering, besluta att ett sådant beslut ska återkallas.

(104) I enlighet med de grundläggande värderingar som unionen bygger på, bl.a. skyddet av mänskliga rättigheter, bör kommissionen i sin bedömning av tredjelandet eller ett territorium eller en specificerad sektor i ett tredjeland beakta hur ett visst tredjeland respekterar rättsstatsprincipen, tillgången till rättslig prövning samt internationella människorättsnormer och -standarder samt landets allmänna lagstiftning och sektorslagstiftning, inklusive lagstiftning om allmän säkerhet, försvar och nationell säkerhet samt allmän ordning och straffrätt. Vid antagandet av ett beslut om adekvat skyddsnivå avseende ett territorium eller en specificerad sektor i ett tredjeland bör hänsyn tas till tydliga och objektiva kriterier, t.ex. specifik behandling och tillämpningsområdet för tillämpliga rättsliga standarder och gällande lagstiftning i tredjelandet. Tredjelandet bör erbjuda garantier som säkerställer en

697

Bilaga 2

SOU 2017:66

L 119/20

SV

Europeiska unionens officiella tidning

4.5.2016

tillfredsställande skyddsnivå som i huvudsak motsvarar den som säkerställs i unionen, i synnerhet när personuppgifter behandlas inom en eller flera specifika sektorer. Tredjelandet bör framför allt säkerställa en effektiv oberoende dataskyddsövervakning och sörja för samarbetsmekanismer med medlemsstaternas dataskydds myndigheter, och de registrerade bör tillförsäkras effektiva och lagstadgade rättigheter samt effektiv administrativ och rättslig prövning.

(105) Utöver de internationella åtaganden som tredjelandet eller den internationella organisationen har gjort bör kommissionen beakta de skyldigheter som följer av tredjelandets eller den internationella organisationens deltagande i multilaterala eller regionala system, särskilt rörande skydd av personuppgifter och genomförandet av dessa skyldigheter. Framför allt bör tredjelandets anslutning till Europarådets konvention av den 28 januari 1981 om skydd för enskilda vid automatisk behandling av personuppgifter och dess tilläggsprotokoll beaktas. Kommissionen bör samråda med styrelsen vid bedömningen av skyddsnivån i tredjeländer eller internationella organisationer.

(106) Kommissionen bör övervaka hur beslut om skyddsnivå i ett tredjeland, ett territorium eller en specificerad sektor i ett tredjeland eller en internationell organisation fungerar, och övervaka hur beslut som antas på grundval av artikel 25.6 eller 26.4 i direktiv 95/46/EG fungerar. Kommissionen bör i sina beslut om adekvat skyddsnivå

föreskriva en mekanism för periodisk översyn av hur de fungerar. Denna periodiska översyn bör genomföras i samråd med det berörda tredjelandet eller den berörda internationella organisationen, med beaktande av all relevant utveckling i tredjelandet eller den internationella organisationen. Vid övervakningen och genomförandet av den periodiska översynen bör kommissionen ta hänsyn till synpunkter och resultat från Europaparlamentet och rådet samt andra relevanta organ och källor. Kommissionen bör inom rimlig tid utvärdera hur de sistnämnda besluten fungerar och rapportera alla relevanta resultat till den kommitté, i den mening som avses i Europapar lamentets och rådets förordning (EU) nr 182/2011 (1), som inrättats enligt denna förordning och till Europapar lamentet och rådet.

(107) Kommissionen kan konstatera att ett tredjeland, ett territorium eller en viss specificerad sektor i ett tredjeland eller en internationell organisation inte längre säkerställer en adekvat dataskyddsnivå. Överföring av personuppgifter till detta tredjeland eller till denna internationella organisation bör då förbjudas, såvida inte kraven i denna förordning avseende överföring med stöd av lämpliga skyddsåtgärder, inbegripet bindande företagsbestämmelser och undantag för särskilda situationer, är uppfyllda. I så fall bör det finnas möjlighet till samråd mellan kommissionen och dessa tredjeländer eller internationella organisationer. Kommissionen bör i god tid informera tredjelandet eller den internationella organisationen om skälen och inleda samråd med tredjelandet eller organisationen för att avhjälpa situationen.

(108) Saknas beslut om adekvat skyddsnivå bör den personuppgiftsansvarige eller personuppgiftsbiträdet vidta åtgärder för att kompensera för det bristande dataskyddet i ett tredjeland med hjälp av lämpliga skyddsåtgärder för den registrerade. Sådana lämpliga skyddsåtgärder kan bestå i tillämpning av bindande företagsbestämmelser, standard bestämmelser om dataskydd som antagits av kommissionen, standardbestämmelser om dataskydd som antagits av en tillsynsmyndighet eller avtalsbestämmelser som godkänts av en tillsynsmyndighet. Dessa skyddsåtgärder bör säkerställa iakttagande av de krav i fråga om dataskydd och registrerades rättigheter som är lämpliga för behandling inom unionen, inbegripet huruvida bindande rättigheter för de registrerade och effektiva rättsmedel är tillgängliga, inbegripet en faktisk rätt att föra talan på administrativ väg eller inför domstol och att kräva kompensation i unionen eller i ett tredjeland. De bör särskilt gälla överensstämmelse med allmänna principer för behandling av personuppgifter samt principerna om inbyggt dataskydd och dataskydd som standard. Överföring av uppgifter kan också utföras av offentliga myndigheter eller organ till offentliga myndigheter eller organ i tredjeländer eller internationella organisationer med motsvarande skyldigheter eller uppgifter, inbegripet på grundval av bestämmelser som ska införas i administrativa överenskommelser, t.ex. samförståndsavtal, som föreskriver verkställbara och faktiska rättigheter för de registrerade. Tillstånd från den behöriga tillsynsmyndighe ten bör erhållas när skyddsåtgärder föreskrivs i icke rättsligt bindande administrativa arrangemang.

(109) Personuppgiftsansvarigas eller personuppgiftsbiträdens möjlighet att använda standardiserade dataskyddsbe

stämmelser som antagits av kommissionen eller av en tillsynsmyndighet bör inte hindra att de infogar

(1) Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13).

698

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/21

standardiserade dataskyddsbestämmelser i ett vidare avtal, såsom ett avtal mellan personuppgiftsbiträdet och ett annat personuppgiftsbiträde, eller lägger till andra bestämmelser eller ytterligare skyddsåtgärder, under förutsättning att de inte direkt eller indirekt står i strid med standardavtalsklausuler som antagits av kommissionen eller av en tillsynsmyndighet eller påverkar de registrerades grundläggande rättigheter eller friheter. Personuppgiftsansvariga och personuppgiftsbiträden bör uppmuntras att tillhandahålla ytterligare skyddsåtgärder via avtalsmässiga åtaganden som kompletterar de standardiserade skyddsbestämmelserna.

(110) En koncern eller en grupp av företag som deltar i en gemensam ekonomisk verksamhet bör kunna använda sig av godkända bindande företagsbestämmelser för sina internationella överföringar från unionen till organisationer inom samma koncern eller grupp av företag som deltar i en gemensam ekonomisk verksamhet, under förutsättning att företagsbestämmelserna inbegriper alla nödvändiga principer och bindande rättigheter som säkerställer lämpliga skyddsåtgärder för överföringar eller kategorier av överföringar av personuppgifter.

(111) Det bör införas bestämmelser som ger möjlighet att under vissa omständigheter göra överföringar, om den registrerade har lämnat sitt uttryckliga samtycke, när överföringen är tillfällig och nödvändig med hänsyn till ett avtal eller ett rättsligt anspråk, oavsett om detta sker inom ett rättsligt förfarande eller i ett administrativt eller utomrättsligt förfarande, inbegripet förfaranden inför tillsynsorgan. Det bör också införas bestämmelser som ger möjlighet till överföringar om viktiga allmänintressen fastställda genom unionsrätten eller medlemsstaternas nationella rätt så kräver eller när överföringen görs från ett register som inrättats genom lag och är avsett att konsulteras av allmänheten eller av personer med ett berättigat intresse. I sistnämnda fall bör en sådan överföring inte omfatta alla personuppgifter eller hela kategorier av uppgifter i registret, och överföringen bör endast göras när registret är avsett att vara tillgängligt för personer med ett berättigat intresse, på begäran av dessa personer eller om de själva är mottagarna, med full hänsyn till de registrerades intressen och grundläggande rättigheter.

(112) Dessa undantag bör främst vara tillämpliga på uppgiftsöverföringar som krävs och är nödvändiga med hänsyn till viktiga allmänintressen, exempelvis vid internationella utbyten av uppgifter mellan konkurrensmyndigheter, skatte- eller tullmyndigheter, finanstillsynsmyndigheter, socialförsäkringsmyndigheter eller hälsovårdsmyndigheter, till exempel vid kontaktspårning för smittsamma sjukdomar eller för att minska och/eller undanröja dopning inom idrott. En överföring av personuppgifter bör också betraktas som laglig, om den är nödvändig för att skydda ett intresse som är väsentligt för den registrerades eller en annan persons vitala intressen, inklusive dennes fysiska integritet och liv, om den registrerade är oförmögen att ge sitt samtycke. Saknas beslut om adekvat skyddsnivå får unionsrätten eller medlemsstaternas nationella rätt med hänsyn till viktiga allmänintressen uttryckligen fastställa gränser för överföringen av särskilda kategorier av uppgifter till ett tredjeland eller en internationell organisation. Medlemsstaterna bör underrätta kommissionen om sådana bestämmelser. Varje överföring till en internationell humanitär organisation av personuppgifter rörande en registrerad som är fysiskt eller rättsligt förhindrad att ge sitt samtycke, i syfte att utföra en uppgift inom ramen för Genèvekonventionerna eller vara förenlig med internationell humanitär rätt, vilken är tillämplig vid väpnade konflikter, skulle kunna anses vara nödvändig för ett betydande allmänintresse eller för att den är av vitalt intresse för den registrerade.

(113) Överföringar som kan anses vara icke återkommande och endast gäller ett begränsat antal registrerade kan också vara möjliga när personuppgiftsansvarigas tvingande berättigade intressen motiverar detta, om inte den registrerades intressen eller rättigheter och friheter väger tyngre än dessa intressen, och den personuppgift sansvarige har bedömt alla omständigheter kring uppgiftsöverföringen. Den personuppgiftsansvarige bör ta särskild hänsyn till personuppgifternas art, den eller de avsedda behandlingarnas ändamål och varaktighet samt situationen i ursprungslandet, tredjelandet och det slutliga bestämmelselandet och bör tillhandahålla lämpliga åtgärder för att skydda fysiska personers grundläggande rättigheter och friheter vid behandlingen av deras personuppgifter. Sådana överföringar bör endast vara möjliga i vissa fall där inget av de andra skälen till överföring är tillämpligt. För vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör hänsyn tas till samhällets legitima förväntningar i fråga om ökad kunskap. Den personuppgiftsansvarige bör informera tillsynsmyndigheten och den registrerade om överföringen.

(114) Om kommissionen inte har fattat beslut om adekvat dataskyddsnivå i ett tredjeland, bör den personuppgift sansvarige eller personuppgiftsbiträdet i alla fall använda sig av lösningar som ger de registrerade verkställbara och effektiva rättigheter vad gäller behandlingen av deras personuppgifter inom unionen när dessa uppgifter väl har överförts, så att de fortsatt kan utöva sina grundläggande rättigheter och att skyddsåtgärder fortsatt gäller i förhållande till dem.

699

Bilaga 2

SOU 2017:66

L 119/22

SV

Europeiska unionens officiella tidning

4.5.2016

(115) Vissa tredjeländer antar lagar och andra författningar som syftar till att direkt reglera behandling som genomförs av fysiska och juridiska personer under medlemsstaternas jurisdiktion. Detta kan inkludera rättsliga avgöranden eller beslut av administrativa myndigheter i tredjeländer med krav på att personuppgiftsansvariga eller personupp giftsbiträden överför eller överlämnar personuppgifter, vilka inte grundar sig på något gällande internationellt avtal, såsom ett fördrag om ömsesidig rättshjälp, mellan det begärande tredjelandet och unionen eller en medlemsstat. Extraterritoriell tillämpning av dessa lagar och andra författningar kan strida mot internationell rätt och inverka menligt på det skydd av fysiska personer som säkerställs inom unionen genom denna förordning.

Överföringar bör endast tillåtas om villkoren i denna förordning för en överföring till tredjeländer är uppfyllda. Detta kan vara fallet bl.a. när utlämnande är nödvändigt på grund av ett viktigt allmänintresse som erkänns i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av.

(116) När personuppgifter förs över gränser utanför unionen kan detta öka risken för att fysiska personer inte kan utöva sina dataskyddsrättigheter, i synnerhet för att skydda sig från otillåten användning eller otillåtet utlämnande av denna information. Samtidigt kan tillsynsmyndigheter finna att de inte är i stånd att handlägga klagomål eller göra utredningar som gäller verksamheter utanför gränserna för deras land. Deras strävan att arbeta tillsammans över gränserna kan också hindras av otillräckliga preventiva eller korrigerande befogenheter, oenhetliga rättsliga regelverk och praktiska hinder, som exempelvis bristande resurser. Närmare samarbete mellan dataskyddstillsyn smyndigheter bör därför främjas för att hjälpa dem att utbyta information och utföra utredningar med sina internationella motparter. I syfte att bygga upp internationella samarbetsmekanismer för att underlätta och tillhandahålla ömsesidig internationell hjälp med att kontrollera efterlevnaden av lagstiftningen till skydd för personuppgifter, bör kommissionen och tillsynsmyndigheterna utbyta information och samarbeta, inom verksamhet som rör utövandet av deras befogenheter, med behöriga myndigheter i tredjeländer, på grundval av ömsesidighet och i överensstämmelse med denna förordning.

(117) Ett väsentligt inslag i skyddet av fysiska personer vid behandlingen av personuppgifter är att medlemsstaterna inrättar tillsynsmyndigheter med behörighet att utföra sina uppgifter och utöva sina befogenheter under fullständigt oberoende. Medlemsstaterna bör kunna inrätta fler än en tillsynsmyndighet om det behövs för att ta hänsyn till den egna konstitutionella, organisatoriska och administrativa strukturen.

(118) Tillsynsmyndigheternas oberoende bör dock inte innebära att deras utgifter inte kan underkastas kontroll- eller övervakningsmekanismer eller bli föremål för domstolsprövning.

(119) Om en medlemsstat inrättar flera tillsynsmyndigheter, bör den genom lagstiftning säkerställa att dessa tillsynsmyndigheter effektivt deltar i mekanismen för enhetlighet. Medlemsstaten bör i synnerhet utnämna en tillsynsmyndighet som fungerar som samlande kontaktpunkt för dessa myndigheters effektiva deltagande i mekanismen för att säkra ett snabbt och smidigt samarbete med övriga tillsynsmyndigheter, styrelsen och kommissionen.

(120) Varje tillsynsmyndighet bör tilldelas de ekonomiska och personella resurser och lokalutrymmen samt den infrastruktur som är nödvändig för att den effektivt ska kunna utföra sina uppgifter, däribland de uppgifter som är knutna till ömsesidigt bistånd och samarbete med övriga tillsynsmyndigheter i hela unionen. Varje tillsynsmyndighet bör ha en separat offentlig årlig budget, som kan ingå i den övergripande statsbudgeten eller nationella budgeten.

(121) De allmänna villkoren för tillsynsmyndighetens ledamot eller ledamöter bör fastställas genom varje medlemsstats lagstiftning och där bör i synnerhet föreskrivas att ledamöterna ska utnämnas genom ett öppet förfarande antingen av medlemsstatens parlament, regering eller statschef, på grundval av ett förslag från regeringen, en ledamot av regeringen, parlamentet eller en av parlamentets kammare eller av ett oberoende organ som enligt medlemsstaternas nationella rätt har anförtrotts utnämningen. I syfte att säkerställa tillsynsmyndighetens oberoende bör ledamoten eller ledamöterna handla med integritet, avstå från alla handlingar som står i strid med deras tjänsteutövning och under sin mandattid avstå från all annan avlönad eller oavlönad yrkesverksamhet som står i strid med deras uppdrag. Tillsynsmyndigheten bör ha egen personal, som valts ut av tillsynsmyndigheten eller ett oberoende organ som fastställs i medlemsstaternas nationella rätt, vilken uteslutande bör vara underställd tillsynsmyndighetens ledamot eller ledamöter.

(122) Varje tillsynsmyndighet bör ha behörighet att inom sin medlemsstats territorium utöva de befogenheter och utföra de uppgifter som den tilldelats i enlighet med denna förordning. Detta bör framför allt omfatta behandling

700

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/23

inom ramen för verksamhet vid den personuppgiftsansvariges eller personuppgiftsbiträdets verksamhetsställen inom den egna medlemsstatens territorium, behandling av personuppgifter som utförs av myndigheter eller privata organ som agerar i ett allmänt intresse, behandling som påverkar registrerade på dess territorium eller behandling som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen när den rör registrerade som är bosatta på dess territorium. Detta bör inbegripa att hantera klagomål som lämnas in av en registrerad, genomföra undersökningar om tillämpningen av denna förordning samt främja allmänhetens medvetenhet om risker, bestämmelser, skyddsåtgärder och rättigheter när det gäller behandlingen av personuppgifter.

(123) Tillsynsmyndigheterna bör övervaka tillämpningen av bestämmelserna i denna förordning och bidra till att tillämpningen blir enhetlig över hela unionen, för att skydda fysiska personer vid behandling av deras personuppgifter och för att underlätta det fria flödet av personuppgifter inom den inre marknaden. För detta ändamål bör tillsynsmyndigheterna samarbeta såväl sinsemellan som med kommissionen, utan att det behövs något avtal mellan medlemsstaterna om tillhandahållande av ömsesidigt bistånd eller om sådant samarbete.

(124) Om behandlingen av personuppgifter sker inom ramen för verksamhet vid en personuppgiftsansvarigs eller ett personuppgiftsbiträdes verksamhetsställe i unionen och den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, eller om behandling som sker inom ramen för verksamhet vid ett enda verksamhetsställe tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka registrerade i mer än en medlemsstat, bör tillsyns myndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller för detta enda verksamhetsställe tillhörande den personuppgiftsansvarige eller personuppgiftsbiträdet agera som ansvarig myndighet. Denna bör samarbeta med de övriga myndigheter som berörs, eftersom den personuppgift sansvarige eller personuppgiftsbiträdet har ett verksamhetsställe inom deras medlemsstats territorium, eftersom registrerade som är bosatta på deras territorium i väsentlig grad påverkas eller eftersom ett klagomål har lämnats in till dem. Även när en registrerad som inte är bosatt i medlemsstaten har lämnat in ett klagomål, bör den tillsynsmyndighet som klagomålet har lämnats in till också vara en berörd tillsynsmyndighet. Styrelsen bör inom ramen för sina uppgifter kunna utfärda riktlinjer för alla frågor som rör tillämpningen av denna förordning, framför allt för vilka kriterier som ska beaktas för att konstatera om behandlingen i fråga i väsentlig grad påverkar registrerade i mer än en medlemsstat och för vad som utgör en relevant och motiverad invändning.

(125) Den ansvariga myndigheten bör ha behörighet att anta bindande beslut om åtgärder inom ramen för de befogenheter som den tilldelats i enlighet med denna förordning. I egenskap av ansvarig myndighet bör tillsyns myndigheten nära involvera och samordna de berörda tillsynsmyndigheterna i beslutsfattandet. Om man beslutar att helt eller delvis avslå den registrerades klagomål, bör detta beslut antas av den tillsynsmyndighet som klagomålet har lämnats in till.

(126) Den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna bör gemensamt enas om beslutet, som bör rikta sig till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe och vara bindande för den personuppgiftsansvarige och personuppgiftsbiträdet. Den personupp giftsansvarige eller personuppgiftsbiträdet bör vidta de åtgärder som krävs för att säkerställa efterlevnad av denna förordning och genomförande av det beslut som den ansvariga tillsynsmyndigheten har anmält till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe vad gäller behandling i unionen.

(127) Varje tillsynsmyndighet som inte agerar som ansvarig tillsynsmyndighet bör vara behörig att behandla lokala fall, om den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat men ärendet för den specifika behandlingen endast avser behandling som utförs i en enda medlemsstat och endast omfattar registrerade i denna enda medlemsstat, till exempel om ärendet avser behandling av anställdas personuppgifter inom ramen för en medlemsstats specifika anställningsförhållanden. I sådana fall bör tillsynsmyndigheten utan dröjsmål underrätta den ansvariga tillsynsmyndigheten om detta ärende. Efter att ha underrättats bör den ansvariga tillsynsmyndigheten besluta huruvida den kommer att hantera ärendet i enlighet med bestämmelsen om samarbete mellan den ansvariga tillsynsmyndigheten och andra berörda tillsynsmyndigheter (nedan kallad mekanismen för en enda kontaktpunkt), eller om den tillsynsmyndighet som underrättade den bör behandla ärendet på lokal nivå. När den ansvariga tillsynsmyndigheten beslutar huruvida den kommer att behandla ärendet, bör den ta hänsyn till om den personuppgiftsansvarige eller personuppgiftsbiträdet har ett verksamhetsställe i den medlemsstat där den tillsynsmyndighet som underrättade den ansvariga myndigheten är belägen för att säkerställa ett effektivt genomförande av ett beslut gentemot den personuppgiftsansvarige eller personuppgiftsbiträdet. När den ansvariga tillsynsmyndigheten beslutar att behandla ärendet, bör den tillsynsmyndighet som underrättade den

701

Bilaga 2

SOU 2017:66

L 119/24

SV

Europeiska unionens officiella tidning

4.5.2016

ha möjlighet att lämna in ett förslag till beslut, som den ansvariga tillsynsmyndigheten bör ta största möjliga hänsyn till när den utarbetar utkastet till beslut inom ramen för mekanismen för en enda kontaktpunkt.

(128) Bestämmelserna om den ansvariga tillsynsmyndigheten och mekanismen för en enda kontaktpunkt bör inte tillämpas om behandlingen utförs av myndigheter eller privata organ i ett allmänt intresse. I sådana fall bör den enda tillsynsmyndighet som är behörig att utöva de befogenheter som den tilldelas i enlighet med denna förordning vara tillsynsmyndigheten i den medlemsstat där myndigheten eller det privata organet är etablerat.

(129) För att denna förordning ska övervakas och verkställas på ett enhetligt sätt i hela unionen bör tillsynsmyndighe terna i alla medlemsstater ha samma uppgifter och effektiva befogenheter, bl.a. undersökningsbefogenheter, korrigerande befogenheter och befogenheter att ålägga sanktioner samt befogenheter att utfärda tillstånd och ge råd, särskilt vid klagomål från fysiska personer och, utan att det påverkar åklagarmyndigheternas befogenheter enligt medlemsstaternas nationella rätt, att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och delta i rättsliga förfaranden. Dessa befogenheter bör även omfatta en befogenhet att införa en tillfällig eller definitiv begränsning av, inklusive förbud mot, behandling. Medlemsstaterna får fastställa andra uppgifter med anknytning till skyddet av personuppgifter enligt denna förordning. Tillsynsmyndigheternas befogenheter bör utövas opartiskt, rättvist och inom rimlig tid i överensstämmelse med lämpliga rättssäkerhets garantier i unionsrätten och i medlemsstaternas nationella rätt. Framför allt bör varje åtgärd vara lämplig, nödvändig och proportionell för att säkerställa efterlevnad av denna förordning, med beaktande av omständigheterna i varje enskilt fall, samt respektera varje persons rätt att bli hörd innan några enskilda åtgärder som påverkar honom eller henne negativt vidtas och vara utformad så att onödiga kostnader och alltför stora olägenheter för de berörda personerna undviks. Undersökningsbefogenheten när det gäller tillträde till lokaler bör utövas i enlighet med särskilda krav i medlemsstaternas nationella processrätt, såsom kravet på att inhämta förhandstillstånd från rättsliga myndigheter. Varje rättsligt bindande åtgärd som vidtas av tillsynsmyndigheten bör vara skriftlig, klar och entydig, innehålla information om vilken tillsynsmyndighet som har utfärdat åtgärden och datum för utfärdandet, vara undertecknad av tillsynsmyndighetens chef eller en av dess ledamöter efter dennes bemyndigande samt innehålla en motivering till åtgärden och en hänvisning till rätten till ett effektivt rättsmedel. Detta bör inte utesluta ytterligare krav enligt medlemsstaternas nationella processrätt. Antagande av ett rättsligt bindande beslut innebär att det kan bli föremål för domstolsprövning i den medlemsstat till vilken den tillsynsmyndighet som antog beslutet hör.

(130) Om den tillsynsmyndighet till vilken klagomålet har ingetts inte är den ansvariga tillsynsmyndigheten, bör den ansvariga tillsynsmyndigheten nära samarbeta med den tillsynsmyndighet till vilken klagomålet har ingetts i enlighet med de bestämmelser om samarbete och enhetlighet som fastställs i denna förordning. I sådana fall bör den ansvariga tillsynsmyndigheten när den vidtar åtgärder avsedda att ha rättsverkan, inbegripet utdömandet av administrativa sanktionsavgifter, ta största hänsyn till synpunkter från den tillsynsmyndighet till vilken klagomålet har ingetts, vilken bör kvarstå som behörig för genomförande av utredningar på den egna medlemsstatens territorium i samverkan med den behöriga tillsynsmyndigheten.

(131) Om en annan tillsynsmyndighet bör agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets behandling men den sakfråga som klagomålet gäller eller den möjliga överträdelsen endast rör den personuppgiftsansvariges eller personuppgiftsbiträdets behandling i den medlemsstat där klagomålet har ingetts eller den eventuella överträdelsen har upptäckts, och frågan inte i väsentlig grad påverkar eller inte sannolikt i väsentlig grad kommer att påverka registrerade i andra medlemsstater, bör den tillsynsmyndighet som mottar ett klagomål eller upptäcker eller på annat sätt informeras om situationer som innebär eventuella överträdelser av denna förordning försöka få till stånd en uppgörelse i godo med den personuppgiftsansvarige och, om detta inte lyckas, utöva sina befogenheter fullt ut. Detta bör omfatta särskild behandling som utförs inom tillsynsmyndighetens medlemsstats territorium eller med avseende på registrerade inom denna medlemsstats territorium, behandling som utförs inom ramen för ett erbjudande om varor eller tjänster som särskilt riktar sig till registrerade inom tillsynsmyndighetens medlemsstats territorium eller behandling som måste bedömas med beaktande av relevanta rättsliga skyldigheter enligt medlemsstaternas nationella rätt.

(132) Medvetandehöjande kampanjer från tillsynsmyndigheters sida riktade till allmänheten bör innefatta särskilda åtgärder riktade dels till personuppgiftsansvariga och personuppgiftsbiträden, inbegripet mikroföretag samt små och medelstora företag, dels till fysiska personer, särskilt i utbildningssammanhang.

702

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/25

(133) Tillsynsmyndigheterna bör hjälpa varandra att utföra sina uppgifter och ge ömsesidigt bistånd så att denna förordning tillämpas och verkställs enhetligt på den inre marknaden. En tillsynsmyndighet som begärt ömsesidigt bistånd får anta en provisorisk åtgärd, om den inte har fått något svar på en begäran om ömsesidigt bistånd inom en månad från det att begäran mottogs av den andra tillsynsmyndigheten.

(134) Alla tillsynsmyndigheter bör om lämpligt delta i gemensamma insatser med andra tillsynsmyndigheter. Den anmodade tillsynsmyndigheten bör vara skyldig att besvara en begäran inom en fastställd tidsperiod.

(135) För att denna förordning ska tillämpas enhetligt i hela unionen bör en mekanism för enhetlighet när det gäller samarbete mellan tillsynsmyndigheterna skapas. Denna mekanism bör främst tillämpas när en tillsynsmyndighet avser att anta en åtgärd som är avsedd att ha rättsverkan gällande behandlingar som i väsentlig grad påverkar ett betydande antal registrerade i flera medlemsstater. Den bör också tillämpas när en berörd tillsynsmyndighet eller kommissionen begär att ett sådant ärende ska hanteras inom ramen för mekanismen för enhetlighet. Mekanismen bör inte påverka åtgärder som kommissionen kan komma att vidta när den utövar sina befogenheter enligt fördragen.

(136) Vid tillämpningen av mekanismen för enhetlighet bör styrelsen inom en fastställd tidsperiod avge ett yttrande, om en majoritet av dess ledamöter så beslutar eller om någon berörd tillsynsmyndighet eller kommissionen begär detta. Styrelsen bör också ges befogenhet att anta rättsligt bindande beslut vid tvister mellan tillsynsmyndigheter. För detta ändamål bör den, normalt med två tredjedelars majoritet av sina ledamöter, utfärda rättsligt bindande beslut i tydligt fastställda fall då tillsynsmyndigheter har olika uppfattningar, framför allt när det gäller mekanismen för samarbete mellan den ansvariga tillsynsmyndigheten och berörda tillsynsmyndigheter om sakförhållandena, i synnerhet om huruvida denna förordning har överträtts.

(137) Det kan uppstå brådskande behov att agera för att skydda registrerades rättigheter och friheter, särskilt när fara föreligger att säkerställandet av en registrerad persons rättighet kan komma att försvåras avsevärt. En tillsynsmyndighet bör därför kunna vidta vederbörligen motiverade provisoriska åtgärder inom sitt territorium med en viss giltighetsperiod, som inte bör överskrida tre månader.

(138) Tillämpningen av en sådan mekanism bör vara ett villkor för lagligheten av en åtgärd som är avsedd att ha rättsverkan och som vidtas av tillsynsmyndigheten i de fall där denna tillämpning är obligatorisk. I andra ärenden som inbegriper flera länder bör samarbetsmekanismen mellan den ansvariga tillsynsmyndigheten och berörda tillsynsmyndigheter tillämpas, och ömsesidigt bistånd och gemensamma insatser kan utföras mellan de berörda tillsynsmyndigheterna på bilateral eller multilateral basis utan att mekanismen för enhetlighet utlöses.

(139) I syfte att främja en enhetlig tillämpning av denna förordning bör styrelsen inrättas som ett oberoende unionsorgan. För att styrelsen ska kunna uppfylla sina mål bör den vara en juridisk person. Styrelsen bör företrädas av sin ordförande. Den bör ersätta arbetsgruppen för skydd av fysiska personer med avseende på behandlingen av personuppgifter, som inrättades genom direktiv 95/46/EG. Den bör bestå av chefen för en tillsynsmyndighet i varje medlemsstat och Europeiska datatillsynsmannen eller deras respektive företrädare. Kommissionen bör delta i styrelsens verksamhet utan att ha rösträtt, och Europeiska datatillsynsmannen bör ha specifik rösträtt. Styrelsen bör bidra till denna förordnings enhetliga tillämpning i hela unionen, bl.a. genom att lämna råd till kommissionen, särskilt vad gäller skyddsnivån i tredjeländer eller internationella organisationer, och främja samarbetet mellan tillsynsmyndigheterna i hela unionen. Styrelsen bör agera oberoende när den utför sina uppgifter.

(140) Styrelsen bör biträdas av ett sekretariat som tillhandahålls av Europeiska datatillsynsmannen. Den personal vid Europeiska datatillsynsmannen som medverkar i utförandet av de uppgifter som enligt denna förordning anförtros styrelsen bör för sina uppgifter uteslutande ta emot instruktioner från styrelsens ordförande och rapportera till denne.

(141) Alla registrerade bör ha rätt att lämna in ett klagomål till en enda tillsynsmyndighet, särskilt i den medlemsstat där den registrerade har sin hemvist, och ha rätt till ett effektivt rättsmedel i enlighet med artikel 47 i stadgan,

703

Bilaga 2

SOU 2017:66

L 119/26

SV

Europeiska unionens officiella tidning

4.5.2016

om den registrerade anser att hans eller hennes rättigheter enligt denna förordning har kränkts eller om tillsyns myndigheten inte reagerar på ett klagomål, helt eller delvis avslår eller avvisar ett klagomål eller inte agerar när så är nödvändigt för att skydda den registrerades rättigheter. Utredningen av ett klagomål bör, med förbehåll för eventuell domstolsprövning, ske i den utsträckning som är lämplig i det enskilda fallet. Tillsynsmyndigheten bör inom rimlig tid informera den registrerade om hur arbetet med klagomålet fortskrider och vad resultatet blir. Om ärendet fordrar ytterligare utredning eller samordning med en annan tillsynsmyndighet, bör den registrerade underrättas även om detta. För att förenkla inlämningen av klagomål bör varje tillsynsmyndighet vidta åtgärder, såsom att tillhandahålla ett formulär för inlämnande av klagomål som även kan fyllas i elektroniskt, utan att andra kommunikationsformer utesluts.

(142) Om en registrerad anser att hans eller hennes rättigheter enligt denna förordning har kränkts, bör han eller hon ha rätt att ge mandat till ett organ, en organisation eller en sammanslutning som drivs utan vinstsyfte och som har inrättats i enlighet med en medlemsstats nationella rätt, som har stadgeenliga mål av allmänt intresse och bedriver verksamhet på området skydd av personuppgifter, att på hans eller hennes vägnar lämna in ett klagomål till en tillsynsmyndighet, om detta föreskrivs i medlemsstatens nationella rätt, att på den registrerades vägnar utöva rätten till domstolsprövning eller att på den registrerades vägnar utöva rätten att ta emot ersättning. En medlemsstat får föreskriva att ett sådant organ, en sådan organisation eller en sådan sammanslutning ska ha rätt att lämna in ett klagomål i den medlemsstaten, oberoende av en registrerad persons mandat, och ha rätt till ett effektivt rättsmedel, om det eller den har skäl att anse att en registrerad persons rättigheter har kränkts till följd av behandling av personuppgifter som strider mot denna förordning. Detta organ, denna organisation eller denna sammanslutning får inte ges rätt att kräva ersättning på en registrerad persons vägnar oberoende av den registrerades mandat.

(143) Varje fysisk eller juridisk person har rätt att väcka ogiltighetstalan mot styrelsens beslut vid domstolen enligt de villkor som föreskrivs i artikel 263 i EUF-fördraget. I sin egenskap av adressater för sådana beslut måste, i enlighet med artikel 263 i EUF-fördraget, de berörda tillsynsmyndigheter som önskar överklaga dessa väcka talan inom två månader efter det att beslutet meddelats dem. Om styrelsens beslut direkt och personligen berör en personuppgiftsansvarig, ett personuppgiftsbiträde eller en enskild, kan den enskilde väcka ogiltighetstalan mot besluten inom två månader efter det att de har offentliggjorts på styrelsens webbplats, i enlighet med artikel 263 i EUF-fördraget. Utan att det påverkar denna rätt inom ramen för artikel 263 i EUF-fördraget bör varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel vid den behöriga nationella domstolen mot ett beslut av en tillsynsmyndighet som har rättsliga följder för denna person. Sådana beslut avser särskilt tillsynsmyndighetens utövande av utrednings-, korrigerings- och godkännandebefogenheter eller avvisande av eller avslag på klagomål. Rätten till ett effektivt rättsmedel inbegriper dock inte åtgärder som vidtagits av tillsynsmyndigheter när dessa inte är rättsligt bindande, såsom yttranden som avgivits eller rådgivning som tillhandahållits av tillsynsmyndigheten. Talan mot beslut som har fattats av en tillsynsmyndighet bör väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt säte och bör genomföras i enlighet med den medlemsstatens nationella processrätt. Dessa domstolar bör ha fullständig behörighet, vilket bör omfatta behörighet att pröva alla fakta och rättsliga frågor som rör den tvist som anhängiggjorts vid dem.

Om talan avslås eller avvisas av en tillsynsmyndighet, kan den enskilde väcka talan vid domstolarna i samma medlemsstat. I samband med rättsmedel som avser tillämpningen av denna förordning kan eller, i det fall som anges i artikel 267 i EUF-fördraget, måste nationella domstolar som anser att ett beslut om ett förhandsavgörande är nödvändigt för att de ska kunna döma begära att domstolen meddelar ett förhandsavgörande om tolkningen av unionsrätten, inbegripet denna förordning. Om dessutom ett beslut av en tillsynsmyndighet om genomförande av ett beslut av styrelsen överklagas till en nationell domstol och giltigheten av styrelsens beslut ifrågasätts, har inte den nationella domstolen befogenhet att förklara styrelsens beslut ogiltigt utan måste hänskjuta frågan om giltighet till domstolen i enlighet med artikel 267 i EUF-fördraget såsom den tolkats av domstolen, närhelst den anser att beslutet är ogiltigt. En nationell domstol får dock inte hänskjuta en fråga om giltigheten av styrelsens beslut på begäran av en fysisk eller juridisk person som haft tillfälle att väcka ogiltighetstalan mot beslutet, i synnerhet inte om denna person direkt och personligen berördes av beslutet men inte gjorde detta inom den frist som anges i artikel 263 i EUF-fördraget.

(144) Om en domstol där ett förfarande inletts mot beslut som har fattats av en tillsynsmyndighet har skäl att tro att ett förfarande rörande samma behandling, såsom samma sakfråga vad gäller behandling av samma personuppgift sansvarige eller samma personuppgiftsbiträde, eller samma händelseförlopp, har inletts vid en annan behörig domstol i en annan medlemsstat, bör den kontakta denna domstol i syfte att bekräfta förekomsten av sådana relaterade förfaranden. Om relaterade förfaranden pågår vid en domstol i en annan medlemsstat får alla andra

704

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/27

domstolar än den domstol där förfarandet först inleddes låta förfarandena vila eller på en av parternas begäran förklara sig obehöriga till förmån för den domstol där förfarandet först inleddes, om den domstolen har behörighet i förfarandet i fråga och dess lagstiftning tillåter förening av sådana relaterade förfaranden. Förfarandena anses vara relaterade, om de är så nära förenade att en gemensam handläggning och dom är påkallad för att undvika att oförenliga domar meddelas som en följd av att förfarandena prövas i olika rättegångar.

(145) När det gäller ett rättsligt förfarande mot en personuppgiftsansvarig eller ett personuppgiftsbiträde bör käranden kunna välja att väcka talan antingen vid domstolarna i de medlemsstater där den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad eller där den registrerade är bosatt, såvida inte den personuppgiftsansvarige är en myndighet i en medlemsstat som agerar inom ramen för sin myndighetsutövning.

(146) Den personuppgiftsansvarige eller personuppgiftsbiträdet bör ersätta all skada som en person kan komma att lida till följd av behandling som strider mot denna förordning. Den personuppgiftsansvarige eller personuppgifts biträdet bör dock befrias från skadeståndsskyldighet om den kan visa att den inte på något sätt är ansvarig för skadan. Begreppet skada bör tolkas brett mot bakgrund av domstolens rättspraxis på ett sätt som fullt ut återspeglar denna förordnings mål. Detta påverkar inte skadeståndsanspråk till följd av överträdelser av andra bestämmelser i unionsrätten eller i medlemsstaternas nationella rätt. Behandling som strider mot denna förordning omfattar även behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med denna förordning och medlemsstaternas nationella rätt med närmare specifikation av denna förordnings bestämmelser. Registrerade bör få full och effektiv ersättning för den skada de lidit. Om personupp giftsansvariga eller personuppgiftsbiträden medverkat vid samma behandling, bör varje personuppgiftsansvarig eller personuppgiftsbiträde hållas ansvarig för hela skadan. Om de är förenade i samma rättsliga förfarande i enlighet med medlemsstaternas nationella rätt, kan ersättningen dock fördelas i enlighet med varje personuppgift sansvarigs eller personuppgiftsbiträdes ansvar för den genom behandlingen uppkomna skadan, förutsatt att den registrerade som lidit skada tillförsäkras full och effektiv ersättning. Varje personuppgiftsansvarig eller personupp giftsbiträde som har betalat full ersättning får därefter inleda förfaranden för återkrav mot andra personuppgift sansvariga eller personuppgiftsbiträden som medverkat vid samma behandling.

(147) Om särskilda bestämmelser om behörighet fastställs i denna förordning, framför allt vad gäller förfaranden för att begära rättslig prövning som inbegriper ersättning mot en personuppgiftsansvarig eller ett personuppgiftsbiträde, bör inte allmänna bestämmelser om behörighet, såsom bestämmelserna i Europaparlamentets och rådets förordning (EU) nr 1215/2012 (1), påverka tillämpningen av sådana särskilda bestämmelser.

(148) För att stärka verkställigheten av denna förordning bör det utdömas sanktioner, inbegripet administrativa sanktionsavgifter, för överträdelser av denna förordning utöver eller i stället för de lämpliga åtgärder som tillsyns myndigheten vidtar i enlighet med denna förordning. Vid en mindre överträdelse eller om den sanktionsavgift som sannolikt skulle utdömas skulle innebära en oproportionell börda för en fysisk person får en reprimand utfärdas i stället för sanktionsavgifter. Vederbörlig hänsyn bör dock tas till överträdelsens karaktär, svårighetsgrad och varaktighet och huruvida den har skett uppsåtligen, vilka åtgärder som vidtagits för att lindra skadan, graden av ansvar eller eventuella tidigare överträdelser av relevans, det sätt på vilket överträdelsen kom till tillsynsmyn dighetens kännedom, efterlevnad av åtgärder som förordnats mot den personuppgiftsansvarige eller personupp giftsbiträdet, tillämpning av en uppförandekod och eventuella andra försvårande eller förmildrande faktorer. Utdömandet av sanktioner, inbegripet administrativa sanktionsavgifter, bör underkastas adekvata rättssäkerhets garantier i överensstämmelse med allmänna principer inom unionsrätten och stadgan, vilket inbegriper ett effektivt rättsligt skydd och korrekt rättsligt förfarande.

(149) Medlemsstaterna bör kunna fastställa bestämmelser om straffrättsliga påföljder för överträdelser av denna förordning, inbegripet för överträdelser av nationella bestämmelser som antagits i enlighet med och inom ramen för denna förordning. Dessa straffrättsliga påföljder kan även inbegripa en möjlighet att förverka den vinning som gjorts genom överträdelser av denna förordning. Utdömandet av straffrättsliga påföljder för överträdelser av sådana nationella bestämmelser och administrativa sanktioner bör dock inte medföra ett åsidosättande av principen ne bis in idem enligt domstolens tolkning.

(150) För att förstärka och harmonisera de administrativa sanktionerna för överträdelser av denna förordning bör

samtliga tillsynsmyndigheter ha befogenhet att utfärda administrativa sanktionsavgifter. Det bör i denna

(1) Europaparlamentets och rådets förordning (EU) nr 1215/2012 av den 12 december 2012 om domstols behörighet och om erkännande och verkställighet av domar på privaträttens område (EUT L 351, 20.12.2012, s. 1).

705

Bilaga 2

SOU 2017:66

L 119/28

SV

Europeiska unionens officiella tidning

4.5.2016

förordning anges vilka överträdelserna är, den övre gränsen för och kriterierna för fastställande av de administrativa sanktionsavgifterna, som i varje enskilt fall bör bestämmas av den behöriga tillsynsmyndigheten med beaktande av alla relevanta omständigheter i det särskilda fallet, med vederbörlig hänsyn bl.a. till överträdelsens karaktär, svårighetsgrad och varaktighet samt till dess följder och till de åtgärder som vidtas för att sörja för fullgörandet av skyldigheterna enligt denna förordning och för att förebygga eller lindra konsekvenserna av överträdelsen. Om de administrativa sanktionsavgifterna åläggs ett företag, bör ett företag i detta syfte anses vara ett företag i den mening som avses i artiklarna 101 och 102 i EUF-fördraget. Om de administrativa sanktionsavgifterna åläggs personer som inte är ett företag, bör tillsynsmyndigheten ta hänsyn till den allmänna inkomstnivån i medlemsstaten och personens ekonomiska situation, när den överväger lämplig sanktionsavgift. Mekanismen för enhetlighet kan också tillämpas för att främja en enhetlig tillämpning av administrativa sanktionsavgifter. Medlemsstaterna bör fastställa om och i vilken utsträckning myndigheter ska omfattas av administrativa sanktionsavgifter. Utfärdande av administrativa sanktionsavgifter eller utdelning av en varning påverkar inte tillämpningen av tillsynsmyndigheternas övriga befogenheter eller av andra sanktioner enligt denna förordning.

(151) Danmarks och Estlands rättssystem tillåter inte administrativa sanktionsavgifter i enlighet med denna förordning. Bestämmelserna om administrativa sanktionsavgifter kan tillämpas så att sanktionsavgiften i Danmark utdöms som en straffrättslig påföljd av en behörig nationell domstol och att den i Estland utdöms av tillsynsmyndigheten inom ramen för ett förseelseförfarande, under förutsättning att en sådan tillämpning av bestämmelserna i dessa medlemsstater har en effekt som är likvärdig med administrativa sanktionsavgifter som utdöms av tillsynsmyn digheter. De behöriga nationella domstolarna bör därför beakta rekommendationen från den tillsynsmyndighet som initierar sanktionsavgiften. De sanktionsavgifter som utdöms bör i alla händelser vara effektiva, proportionella och avskräckande.

(152) Om denna förordning inte harmoniserar administrativa sanktioner eller om nödvändigt i andra fall, till exempel vid fall av allvarliga överträdelser av denna förordning, bör medlemsstaterna genomföra ett system med effektiva, proportionella och avskräckande sanktioner. Dessa sanktioners art, straffrättsliga eller administrativa, bör fastställas i medlemsstaternas nationella rätt.

(153) Medlemsstaterna bör i sin lagstiftning sammanjämka bestämmelserna om yttrandefrihet och informationsfrihet, vilket inbegriper journalistiska, akademiska, konstnärliga och/eller litterära uttrycksformer, med rätten till skydd av personuppgifter i enlighet med denna förordning. Behandling av personuppgifter enbart för journalistiska, akademiska, konstnärliga eller litterära ändamål bör undantas från vissa av kraven i denna förordning, så att rätten till skydd av personuppgifter vid behov kan förenas med rätten till yttrandefrihet och informationsfrihet, som följer av artikel 11 i stadgan. Detta bör särskilt gälla vid behandling av personuppgifter inom det audiovisuella området och i nyhetsarkiv och pressbibliotek. Medlemsstaterna bör därför anta lagstiftningsåtgärder som fastställer de olika undantag som behövs för att skapa en balans mellan dessa grundläggande rättigheter. Medlemsstaterna bör fastställa sådana undantag med avseende på allmänna principer, de registrerades rättigheter, personuppgiftsansvariga och personuppgiftsbiträden, överföring av uppgifter till tredjeländer eller internationella organisationer, de oberoende tillsynsmyndigheterna, samarbete och enhetlighet samt specifika situationer där personuppgifter behandlas. Om sådana undantag varierar från en medlemsstat till en annan, ska den nationella rätten i den medlemsstat vars lag den personuppgiftsansvarige omfattas av tillämpas. För att beakta vikten av rätten till yttrandefrihet i varje demokratiskt samhälle måste det göras en bred tolkning av vad som innefattas i denna frihet, som till exempel journalistik.

(154) Denna förordning gör det möjligt att vid tillämpningen av den ta hänsyn till principen om allmänhetens rätt att få tillgång till allmänna handlingar. Allmänhetens rätt att få tillgång till allmänna handlingar kan betraktas som

ett allmänt intresse. Personuppgifter i handlingar som innehas av en myndighet eller ett offentligt organ bör kunna lämnas ut offentligt av denna myndighet eller detta organ, om utlämning stadgas i unionsrätten eller i medlemsstatens nationella rätt som är tillämplig på myndigheten eller det offentliga organet. Denna rätt bör sammanjämka allmänhetens rätt att få tillgång till allmänna handlingar och vidareutnyttjande av information från den offentliga sektorn med rätten till skydd av personuppgifter och får därför innehålla föreskrifter om den nödvändiga sammanjämkningen med rätten till skydd av personuppgifter enligt denna förordning. Hänvisningen till offentliga myndigheter och organ bör i detta sammanhang omfatta samtliga myndigheter eller andra organ som omfattas av medlemsstaternas nationella rätt om allmänhetens tillgång till handlingar. Europaparlamentets och rådets direktiv 2003/98/EG (1) ska inte på något sätt påverka skyddsnivån för fysiska personer med avseende

(1) Europaparlamentets och rådets direktiv 2003/98/EG av den 17 november 2003 om vidareutnyttjande av information från den offentliga sektorn (EUT L 345, 31.12.2003, s. 90).

706

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/29

på behandling av personuppgifter enligt bestämmelserna i unionsrätten och i medlemsstaternas nationella rätt och i synnerhet ändras inte de skyldigheter och rättigheter som anges i denna förordning genom det direktivet. I synnerhet ska direktivet inte vara tillämpligt på handlingar till vilka, med hänsyn till skyddet av personuppgifter, tillgång enligt tillgångsbestämmelserna är utesluten eller begränsad eller på delar av handlingar som är tillgängliga enligt dessa bestämmelser men som innehåller personuppgifter vilkas vidareutnyttjande i lag har fastställts som oförenligt med lagstiftningen om skydd för fysiska personer vid behandling av personuppgifter.

(155) En medlemsstatsnationella rätt eller kollektivavtal, inbegripet ”verksamhetsöverenskommelser”, får föreskriva särskilda bestämmelser om behandling av anställdas personuppgifter i anställningsförhållanden, särskilt när det gäller villkoren för hur personuppgifter i anställningsförhållanden får behandlas på grundval av samtycke från den anställde, rekrytering, genomförande av anställningsavtalet, inklusive befrielse från i lag eller kollektivavtal stadgade skyldigheter, ledning, planering och organisering av arbetet samt hälsa och säkerhet på arbetsplatsen, men också när det gäller att såväl kollektivt som individuellt utöva och komma i åtnjutande av rättigheter och förmåner som är knutna till anställningen samt att avsluta anställningsförhållandet.

(156) Behandlingen av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör omfattas av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning. Skyddsåtgärderna bör säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Ytterligare behandling av personuppgifter för arkivändamål av allmänintresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål bör genomföras, när den personuppgiftsansvarige har bedömt möjligheten att uppnå dessa ändamål genom behandling av personuppgifter som inte medger eller inte längre medger identifiering av de registrerade, förutsatt att det finns lämpliga skyddsåtgärder (t. ex. pseudonymisering av personuppgifter). Medlemsstaterna bör införa lämpliga skyddsåtgärder för behandlingen av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Medlemsstaterna bör på särskilda villkor med förbehåll för lämpliga skyddsåtgärder för de registrerade ha rätt att specificera och göra undantag från kraven på information, rätten till rättelse eller radering av personuppgifter, rätten att bli bortglömd, rätten till begränsning av behandlingen, rätten till dataportabilitet och rätten att göra invändning i samband med behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Villkoren och säkerhetsåtgärderna i fråga kan medföra att de registrerade måste följa särskilda förfaranden för att utöva dessa rättigheter, om det är lämpligt med hänsyn till den särskilda behandlingens syfte tillsammans med tekniska och organisatoriska åtgärder som syftar till att minimera behandlingen av personuppgifter i enlighet med principerna om proportionalitet och nödvändighet. Behandling av personuppgifter för vetenskapliga ändamål bör även vara förenlig med annan relevant lagstiftning, exempelvis om kliniska prövningar.

(157) Genom att koppla samman information från olika register kan forskare erhålla ny kunskap av stort värde med avseende på medicinska tillstånd som exempelvis hjärt-kärlsjukdomar, cancer och depression. På grundval av registren kan forskningsresultaten förbättras, eftersom de bygger på en större befolkningsgrupp. Forskning inom samhällsvetenskap som bedrivs på grundval av register gör det möjligt för forskare att få grundläggande kunskaper om sambandet på lång sikt mellan ett antal sociala villkor, exempelvis arbetslöshet och utbildning, och andra livsförhållanden. Forskningsresultat som erhållits på grundval av register utgör en stabil, högkvalitativ kunskap, som kan ligga till grund för utformningen och genomförandet av kunskapsbaserad politik, förbättra livskvaliteten för ett antal personer och förbättra de sociala tjänsternas effektivitet. För att underlätta vetenskaplig forskning får personuppgifter behandlas för vetenskapliga forskningsändamål, med förbehåll för lämpliga villkor och skyddsåtgärder i unionsrätten eller i medlemsstaternas nationella rätt.

(158) Om personuppgifter behandlas för arkivändamål, bör denna förordning också gälla denna behandling, med beaktande av att denna förordning inte bör gälla för avlidna personer. Offentliga myndigheter eller offentliga eller privata organ som innehar uppgifter av allmänt intresse bör vara tillhandahållare som, i enlighet med unionsrätten eller medlemsstaternas nationella rätt, har en rättslig skyldighet att förvärva, bevara, bedöma, organisera, beskriva, kommunicera, främja, sprida och ge tillgång till uppgifter av bestående värde för allmänintresset. Medlemsstaterna bör också ha rätt att föreskriva att personuppgifter får vidarebehandlas för arkivering, exempelvis i syfte att tillhandahålla specifik information om politiskt beteende under tidigare totalitära regimer, folkmord, brott mot mänskligheten, särskilt Förintelsen, eller krigsförbrytelser.

707

Bilaga 2

SOU 2017:66

L 119/30

SV

Europeiska unionens officiella tidning

4.5.2016

(159) Om personuppgifter behandlas för vetenskapliga forskningsändamål, bör denna förordning också gälla denna behandling. Behandling av personuppgifter för vetenskapliga forskningsändamål bör i denna förordning ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Behandlingen av personuppgifter bör dessutom ta hänsyn till unionens mål enligt artikel 179.1 i EUF-fördraget angående åstadkommandet av ett europeiskt forskningsområde. Vetenskapliga forskningsändamål bör också omfatta studier som utförs av ett allmänt intresse inom folkhälsoområdet. För att tillgodose de särskilda kraven i samband med behandling av personuppgifter för vetenskapliga forskningsändamål bör särskilda villkor gälla, särskilt vad avser offentliggörande eller annat utlämnande av personuppgifter inom ramen för vetenskapliga forskningsändamål. Om resultatet av vetenskaplig forskning, särskilt för hälso- och sjukvårdsändamål, ger anledning till ytterligare åtgärder i den registrerades intresse, bör de allmänna reglerna i denna förordning tillämpas på dessa åtgärder.

(160) Om personuppgifter behandlas för historiska forskningsändamål, bör denna förordning också gälla denna behandling. Detta bör även omfatta forskning för historiska och genealogiska ändamål, med beaktande av att denna förordning inte bör gälla för avlidna personer.

(161) När det gäller samtycke till deltagande i vetenskaplig forskning inom ramen för kliniska prövningar, bör de relevanta bestämmelserna i Europaparlamentets och rådets förordning (EU) nr 536/2014 (1) tillämpas.

(162) Om personuppgifter behandlas för statistiska ändamål, bör denna förordning gälla denna behandling. Unionsrätten eller medlemsstaternas nationella rätt bör, inom ramen för denna förordning, fastställa statistiskt innehåll, kontroll av tillgång, specifikationer för behandling av personuppgifter för statistiska ändamål och lämpliga åtgärder till skydd för den registrerades rättigheter och friheter och för att säkerställa insynsskydd för statistiska uppgifter. Med statistiska ändamål avses varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Dessa statistiska resultat kan vidare användas för olika ändamål, inbegripet vetenskapliga forskningsändamål. Ett statistiskt ändamål innebär att resultatet av behandlingen för statistiska ändamål inte består av personuppgifter, utan av aggregerade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild fysiskperson.

(163) De konfidentiella uppgifter som unionens myndigheter och nationella statistikansvariga myndigheter samlar in för att framställa officiell europeisk och officiell nationell statistik bör skyddas. Europeisk statistik bör utvecklas, framställas och spridas i enlighet med de statistiska principerna i artikel 338.2 i EUF-fördraget, medan hanteringen av nationell statistik även bör överensstämma med medlemsstaternas nationella rätt. Europapar lamentets och rådets förordning (EG) nr 223/2009 (2) innehåller ytterligare preciseringar om statistisk konfiden tialitet för europeisk statistik.

(164) Vad beträffar tillsynsmyndigheternas befogenheter att från personuppgiftsansvariga eller personuppgiftsbiträden få tillgång till personuppgifter och tillträde till lokaler, får medlemsstaterna, inom gränserna för denna förordning, genom lagstiftning anta särskilda regler för att skydda yrkesmässig eller annan motsvarande tystnadsplikt, i den mån detta är nödvändigt för att jämka samman rätten till skydd av personuppgifter med tystnadsplikten. Detta påverkar inte tillämpningen av medlemsstaternas befintliga skyldigheter att anta bestämmelser om tystnadsplikt, där detta krävs enligt unionsrätten.

(165) Denna förordning är förenlig med kravet på att respektera och inte påverka den ställning som kyrkor och

religiösa sammanslutningar eller samfund har i medlemsstaterna enligt gällande grundlag i enlighet med artikel 17 i EUF-fördraget.

(166) I syfte att uppnå målen för denna förordning, nämligen att skydda fysiska personers grundläggande rättigheter och friheter och i synnerhet deras rätt till skydd av personuppgifter och för att säkra det fria flödet av

(1) Europaparlamentets och rådets förordning (EU) nr 536/2014 av den 16 april 2014 om kliniska prövningar av humanläkemedel och om

upphävande av direktiv 2001/20/EG (EUT L 158, 27.5.2014, s. 1).

(2) Europaparlamentets och rådets förordning (EG) nr 223/2009 av den 11 mars 2009 om europeisk statistik och om upphävande av Europaparlamentets och rådets förordning (EG, Euratom) nr 1101/2008 om utlämnande av insynsskyddade statistiska uppgifter till Europeiska gemenskapernas statistikkontor, rådets förordning (EG) nr 322/97 om gemenskapsstatistik och rådets beslut 89/382/EEG, Euratom om inrättande av en kommitté för Europeiska gemenskapernas statistiska program (EUT L 87, 31.3.2009, s. 164).

708

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/31

personuppgifter inom unionen, bör befogenheten att anta akter i enlighet med artikel 290 i EUF-fördraget delegeras till kommissionen. Delegerade akter bör framför allt antas när det gäller kriterier och krav vad gäller certifieringsmekanismer, information som ska ges med användning av standardiserade symboler och förfaranden för att tillhandahålla sådana symboler. Det är särskilt viktigt att kommissionen genomför lämpliga samråd under sitt förberedande arbete, inklusive på expertnivå. När kommissionen förbereder och utarbetar delegerade akter bör den se till att relevanta handlingar översänds samtidigt till Europaparlamentet och rådet och att detta sker så snabbt som möjligt och på lämpligt sätt.

(167) För att säkerställa enhetliga villkor för tillämpningen av denna förordning bör kommissionen ges genomförande befogenheter i enlighet med denna förordning. Dessa befogenheter bör utövas i enlighet med förordning (EU) nr 182/2011. Kommissionen bör därvid överväga särskilda åtgärder för mikroföretag och små och medelstora företag.

(168) Granskningsförfarandet bör användas vid antagande av genomförandeakter om standardavtalsklausuler mellan personuppgiftsansvariga och personuppgiftsbiträden och mellan personuppgiftsbiträden, uppförandekoder, tekniska standarder och mekanismer för certifiering, adekvat nivå på det skydd som lämnas av ett tredjeland, ett territorium eller av en specificerad sektor inom det tredjelandet eller en internationell organisation, standardiserade skyddsbestämmelser, format och förfaranden för elektroniskt utbyte av information mellan personuppgiftsansvariga, personuppgiftsbiträden och tillsynsmyndigheter för bindande företagsbestämmelser, ömsesidigt bistånd och tillvägagångssätt för elektroniskt utbyte av information mellan tillsynsmyndigheter samt mellan tillsynsmyndigheter och styrelsen.

(169) Kommissionen bör när det föreligger tvingande skäl till skyndsamhet anta omedelbart tillämpliga genomförandeakter, när tillgängliga bevis visar att ett tredjeland, ett territorium eller en specificerad sektor inom det tredjelandet eller en internationell organisation inte upprätthåller en adekvat skyddsnivå.

(170) Eftersom målet för denna förordning, nämligen att säkerställa en likvärdig nivå för skyddet av fysiska personer och det fria flödet av personuppgifter inom hela unionen, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av åtgärdens omfattning eller verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i fördraget om Europeiska unionen (EU-fördraget). I enlighet med proportionalitetsprincipen i samma artikel går denna förordning inte utöver vad som är nödvändigt för att uppnå detta mål.

(171) Direktiv 95/46/EG bör upphävas genom denna förordning. Behandling som redan pågår den dag då denna förordning börjar tillämpas bör bringas i överensstämmelse med denna förordning inom en period av två år från det att denna förordning träder i kraft. Om behandlingen grundar sig på samtycke enligt direktiv 95/46/EG, är det inte nödvändigt att den registrerade på nytt ger sitt samtycke för att den personuppgiftsansvarige ska kunna fortsätta med behandlingen i fråga efter det att denna förordning börjar tillämpas, om det sätt på vilket samtycket gavs överensstämmer med villkoren i denna förordning. Beslut av kommissionen som antagits och tillstånd från tillsynsmyndigheterna som utfärdats på grundval av direktiv 95/46/EG ska fortsatt vara giltiga tills de ändras, ersätts eller upphävs.

(172) Europeiska datatillsynsmannen har hörts i enlighet med artikel 28.2 i förordning (EG) nr 45/2001 och avgav ett yttrande den 7 mars 2012 (1).

(173) Denna förordning bör vara tillämplig på alla frågor som gäller skyddet av grundläggande rättigheter och friheter i förhållande till behandlingen av personuppgifter, vilka inte omfattas av särskilda skyldigheter med samma mål som anges i Europaparlamentets och rådets direktiv 2002/58/EG (2), däribland den personuppgiftsansvariges skyldigheter och fysiska personers rättigheter. För att klargöra förhållandet mellan denna förordning och direktiv 2002/58/EG bör det direktivet ändras. När denna förordning har antagits, bör direktiv 2002/58/EG ses över, framför allt för att säkerställa konsekvens med denna förordning.

(1) EUT C 192, 30.6.2012, s. 7.

(2) Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37).

709

Bilaga 2

SOU 2017:66

L 119/32

SV

Europeiska unionens officiella tidning

4.5.2016

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

KAPITEL I

Allmänna bestämmelser

Artikel 1

Syfte

1. I denna förordning fastställs bestämmelser om skydd för fysiska personer med avseende på behandlingen av personuppgifter och om det fria flödet av personuppgifter.

2. Denna förordning skyddar fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter.

3. Det fria flödet av personuppgifter inom unionen får varken begränsas eller förbjudas av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter.

Artikel 2

Materiellt tillämpningsområde

1. Denna förordning ska tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register.

2. Denna förordning ska inte tillämpas på behandling av personuppgifter som

a) utgör ett led i en verksamhet som inte omfattas av unionsrätten,

b) medlemsstaterna utför när de bedriver verksamhet som omfattas av avdelning V kapitel 2 i EU-fördraget,

c) en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll,

d) behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten.

3. Förordning (EG) nr 45/2001 är tillämplig på den behandling av personuppgifter som sker i EU:s institutioner, organ och byråer. Förordning (EG) nr 45/2001 och de av unionens övriga rättsakter som är tillämpliga på sådan behandling av personuppgifter ska anpassas till principerna och bestämmelserna i denna förordning i enlighet med artikel 98.

4. Denna förordning påverkar inte tillämpningen av direktiv 2000/31/EG, särskilt bestämmelserna om tjänstele vererande mellanhänders ansvar i artiklarna 12–15 i det direktivet.

Artikel 3

Territoriellt tillämpningsområde

1. Denna förordning ska tillämpas på behandlingen av personuppgifter inom ramen för den verksamhet som bedrivs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad i unionen, oavsett om behandlingen utförs i unionen eller inte.

710

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/33

2. Denna förordning ska tillämpas på behandling av personuppgifter som avser registrerade som befinner sig i unionen och som utförs av en personuppgiftsansvarig eller ett personuppgiftsbiträde som inte är etablerad i unionen, om behandlingen har anknytning till

a) utbjudande av varor eller tjänster till sådana registrerade i unionen, oavsett om dessa varor eller tjänster erbjuds kostnadsfritt eller inte, eller

b) övervakning av deras beteende så länge beteendet sker inom unionen.

3. Denna förordning ska tillämpas på behandling av personuppgifter som utförs av en personuppgiftsansvarig som inte är etablerad i unionen, men på en plats där en medlemsstats nationella rätt gäller enligt folkrätten.

Artikel 4

Definitioner

I denna förordning avses med

1. personuppgifter: varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbarfysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidenti fikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet,

2. behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

3. begränsning av behandling: markering av lagrade personuppgifter med syftet att begränsa behandlingen av dessa i framtiden,

4. profilering: varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar,

5. pseudonymisering: behandling av personuppgifter på ett sätt som innebär att personuppgifterna inte längre kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person,

6. register: en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden,

7. personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,

8. personuppgiftsbiträde: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning,

9. mottagare: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ till vilket personupp gifterna utlämnas, vare sig det är en tredje part eller inte; offentliga myndigheter som kan komma att motta

711

Bilaga 2

SOU 2017:66

L 119/34

SV

Europeiska unionens officiella tidning

4.5.2016

personuppgifter inom ramen för ett särskilt uppdrag i enlighet med unionsrätten eller medlemsstaternas nationella rätt ska dock inte betraktas som mottagare; offentliga myndigheters behandling av dessa uppgifter ska vara förenlig med tillämpliga bestämmelser för dataskydd beroende på behandlingens syfte,

10. tredje part: en fysisk eller juridisk person, offentlig myndighet, institution eller organ som inte är den registrerade, den personuppgiftsansvarige, personuppgiftsbiträdet eller de personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar är behöriga att behandla personuppgifterna,

11. samtycke av den registrerade: varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne,

12. personuppgiftsincident: en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats,

13. genetiska uppgifter: alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga,

14. biometriska uppgifter: personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter,

15. uppgifter om hälsa: personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhanda hållande av hälso- och sjukvårdstjänster, vilka ger information om dennes hälsostatus,

16. huvudsakligt verksamhetsställe:

a) när det gäller en personuppgiftsansvarig med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning, om inte besluten om ändamålen och medlen för behandlingen av personuppgifter fattas vid ett annat av den personuppgiftsansvariges verksamhetsställen i unionen och det sistnämnda verksamhetsstället har befogenhet att få sådana beslut genomförda, i vilket fall det verksamhetsställe som har fattat sådana beslut ska betraktas som det huvudsakliga verksamhetsstället,

b) när det gäller ett personuppgiftsbiträde med verksamhetsställen i mer än en medlemsstat, den plats i unionen där vederbörande har sin centrala förvaltning eller, om personuppgiftsbiträdet inte har någon central förvaltning i unionen, det av personuppgiftsbiträdets verksamhetsställen i unionen där den huvudsakliga behandlingen inom ramen för verksamheten vid ett av personuppgiftsbiträdets verksamhetsställen sker, i den utsträckning som personuppgiftsbiträdet omfattas av särskilda skyldigheter enligt denna förordning,

17. företrädare: en i unionen etablerad fysisk eller juridisk person som skriftligen har utsetts av den personuppgift sansvarige eller personuppgiftsbiträdet i enlighet med artikel 27 och företräder denne i frågor som gäller dennes skyldigheter enligt denna förordning,

18. företag: en fysisk eller juridisk person som bedriver ekonomisk verksamhet, oavsett dess juridiska form, vilket inbegriper partnerskap eller föreningar som regelbundet bedriver ekonomisk verksamhet,

19. koncern: ett kontrollerande företag och dess kontrollerade företag,

20. bindande företagsbestämmelser: strategier för skydd av personuppgifter som en personuppgiftsansvarig eller ett personuppgiftsbiträde som är etablerad på en medlemsstats territorium använder sig av vid överföringar eller en uppsättning av överföringar av personuppgifter till en personuppgiftsansvarig eller ett personuppgiftsbiträde i ett eller flera tredjeländer inom en koncern eller en grupp av företag som deltar i gemensam ekonomisk verksamhet,

21. tillsynsmyndighet: en oberoende offentlig myndighet som är utsedd av en medlemsstat i enlighet med artikel 51,

712

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/35

22. berörd tillsynsmyndighet: en tillsynsmyndighet som berörs av behandlingen av personuppgifter på grund av att

a) den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad på tillsynsmyndighetens medlemsstats territorium,

b) registrerade som är bosatta i den tillsynsmyndighetens medlemsstat i väsentlig grad påverkas eller sannolikt i väsentlig grad kommer att påverkas av behandlingen, eller

c) ett klagomål har lämnats in till denna tillsynsmyndighet,

23. gränsöverskridande behandling:

a) behandling av personuppgifter som äger rum inom ramen för verksamhet vid verksamhetsställen i mer än en medlemsstat tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen, när den personupp giftsansvarige eller personuppgiftsbiträdet är etablerad i mer än en medlemsstat, eller

b) behandling av personuppgifter som äger rum inom ramen för verksamhet vid ett enda verksamhetsställe tillhörande en personuppgiftsansvarig eller ett personuppgiftsbiträde i unionen men som i väsentlig grad påverkar eller sannolikt i väsentlig grad kommer att påverka registrerade i mer än en medlemsstat,

24. relevant och motiverad invändning: en invändning mot ett förslag till beslut avseende frågan huruvida det föreligger en överträdelse av denna förordning eller huruvida den planerade åtgärden i förhållande till den personuppgift sansvarige eller personuppgiftsbiträdet är förenlig med denna förordning, av vilken invändning det tydligt framgår hur stora risker utkastet till beslut medför när det gäller registrerades grundläggande rättigheter och friheter samt

itillämpliga fall det fria flödet av personuppgifter inom unionen,

25. informationssamhällets tjänster: alla tjänster enligt definitionen i artikel 1.1 b i Europaparlamentets och rådets direktiv (EU) 2015/1535 (1),

26. internationell organisation: en organisation och dess underställda organ som lyder under folkrätten, eller ett annat organ som inrättats genom eller på grundval av en överenskommelse mellan två eller flera länder.

KAPITEL II

Principer

Artikel 5

Principer för behandling av personuppgifter

1. Vid behandling av personuppgifter ska följande gälla:

a) Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).

b) De ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen (ändamålsbegränsning).

c) De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgifts minimering).

d) De ska vara korrekta och om nödvändigt uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål (korrekthet).

(1) Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster (EUT L 241, 17.9.2015, s. 1).

713

Bilaga 2

SOU 2017:66

L 119/36

SV

Europeiska unionens officiella tidning

4.5.2016

e) De får inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering).

f) De ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder (integritet och konfidentialitet).

2. Den personuppgiftsansvarige ska ansvara för och kunna visa att punkt 1 efterlevs (ansvarsskyldighet).

Artikel 6

Laglig behandling av personuppgifter

1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsan svariges myndighetsutövning.

f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.

2. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.

3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a) unionsrätten, eller

b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets utövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda

714

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/37

situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

4. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgift sansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personupp gifterna ursprungligen samlades in bland annat beakta följande:

a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.

b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.

c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10.

d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.

e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.

Artikel 7

Villkor för samtycke

1. Om behandlingen grundar sig på samtycke, ska den personuppgiftsansvarige kunna visa att den registrerade har samtyckt till behandling av sina personuppgifter.

2. Om den registrerades samtycke lämnas i en skriftlig förklaring som också rör andra frågor, ska begäran om samtycke läggas fram på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Om en del av förklaringen innebär en överträdelse av denna förordning, ska denna del inte vara bindande.

3. De registrerade ska ha rätt att när som helst återkalla sitt samtycke. Återkallandet av samtycket ska inte påverka lagligheten av behandling som grundar sig på samtycke, innan detta återkallas. Innan samtycke lämnas ska den registrerade informeras om detta. Det ska vara lika lätt att återkalla som att ge sitt samtycke.

4. Vid bedömning av huruvida samtycke är frivilligt ska största hänsyn bland annat tas till huruvida genomförandet av ett avtal, inbegripet tillhandahållandet av en tjänst, har gjorts beroende av samtycke till sådan behandling av personuppgifter som inte är nödvändig för genomförandet av det avtalet.

Artikel 8

Villkor som gäller barns samtycke avseende informationssamhällets tjänster

1. Vid erbjudande av informationssamhällets tjänster direkt till ett barn, ska vid tillämpningen av artikel 6.1 a behandling av personuppgifter som rör ett barn vara tillåten om barnet är minst 16 år. Om barnet är under 16 år ska sådan behandling vara tillåten endast om och i den mån samtycke ges eller godkänns av den person som har föräldraansvar för barnet.

Medlemsstaterna får i sin nationella rätt föreskriva en lägre ålder i detta syfte, under förutsättning att denna lägre ålder inte är under 13 år.

715

Bilaga 2

SOU 2017:66

L 119/38

SV

Europeiska unionens officiella tidning

4.5.2016

2. Den personuppgiftsansvarige ska göra rimliga ansträngningar för att i sådana fall kontrollera att samtycke ges eller godkänns av den person som har föräldraansvar för barnet, med hänsyn tagen till tillgänglig teknik.

3. Punkt 1 ska inte påverka tillämpningen av allmän avtalsrätt i medlemsstaterna, såsom bestämmelser om giltigheten, upprättandet eller effekten av ett avtal som gäller ett barn.

Artikel 9

Behandling av särskilda kategorier av personuppgifter

1. Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.

2. Punkt 1 ska inte tillämpas om något av följande gäller:

a) Den registrerade har uttryckligen lämnat sitt samtycke till behandlingen av dessa personuppgifter för ett eller flera specifika ändamål, utom då unionsrätten eller medlemsstaternas nationella rätt föreskriver att förbudet i punkt 1 inte kan upphävas av den registrerade.

b) Behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt unionsrätten eller medlemsstaternas nationella rätt eller ett kollektivavtal som antagits med stöd av medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs.

c) Behandlingen är nödvändig för att skydda den registrerades eller någon annan fysisk persons grundläggande intressen när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke.

d) Behandlingen utförs inom ramen för berättigad verksamhet med lämpliga skyddsåtgärder hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen enbart rör sådana organs medlemmar eller tidigare medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och personuppgifterna inte lämnas ut utanför det organet utan den registrerades samtycke.

e) Behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade.

f) Behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk eller som en del av domstolarnas dömande verksamhet.

g) Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

h) Behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård och yrkesmedicin, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av unionsrätten eller medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda.

i) Behandlingen är nödvändig av skäl av allmänt intresse på folkhälsoområdet, såsom behovet av att säkerställa ett skydd mot allvarliga gränsöverskridande hot mot hälsan eller säkerställa höga kvalitets- och säkerhetsnormer för vård och läkemedel eller medicintekniska produkter, på grundval av unionsrätten eller medlemsstaternas nationella rätt, där lämpliga och specifika åtgärder för att skydda den registrerades rättigheter och friheter fastställs, särskilt tystnadsplikt.

716

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/39

j) Behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

3. Personuppgifter som avses i punkt 1 får behandlas för de ändamål som avses i punkt 2 h, när uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ.

4. Medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa.

Artikel 10

Behandling av personuppgifter som rör fällande domar i brottmål samt överträdelser

Behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 får endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.

Artikel 11

Behandling som inte kräver identifiering

1. Om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver eller inte längre kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa denna förordning.

2. Om den personuppgiftsansvarige, i de fall som avses i punkt 1 i denna artikel, kan visa att denne inte är i stånd att identifiera den registrerade, ska den personuppgiftsansvarige om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig.

KAPITEL III

Den registrerades rättigheter

Avsnitt 1

Insyn och villkor

Artikel 12

Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter

1. Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, i synnerhet för information som är särskilt riktad till barn. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. Om den registrerade begär det får informationen tillhandahållas muntligt, förutsatt att den registrerades identitet bevisats på andra sätt.

717

Bilaga 2

SOU 2017:66

L 119/40		SV	Europeiska unionens officiella tidning	4.5.2016
2.	Den personuppgiftsansvarige ska		underlätta utövandet av den registrerades rättigheter	i enlighet med

artiklarna 15–22. I de fall som avses i artikel 11.2 får den personuppgiftsansvarige inte vägra att tillmötesgå den registrerades begäran om att utöva sina rättigheter enligt artiklarna 15–22, om inte den personuppgiftsansvarige visar att han eller hon inte är i stånd att identifiera den registrerade.

3. Den personuppgiftsansvarige ska på begäran utan onödigt dröjsmål och under alla omständigheter senast en månad efter att ha mottagit begäran tillhandahålla den registrerade information om de åtgärder som vidtagits enligt artiklarna 15–22. Denna period får vid behov förlängas med ytterligare två månader, med beaktande av hur komplicerad begäran är och antalet inkomna begäranden. Den personuppgiftsansvarige ska underrätta den registrerade om en sådan förlängning inom en månad från det att begäran mottagits samt ange orsakerna till förseningen. Om den registrerade lämnar begäran i elektronisk form, ska informationen om möjligt tillhandahållas i elektronisk form, om den registrerade inte begär något annat.

4. Om den personuppgiftsansvarige inte vidtar åtgärder på den registrerades begäran, ska den personuppgiftsansvarige utan dröjsmål och senast en månad efter att ha mottagit begäran informera den registrerade om orsaken till att åtgärder inte vidtagits och om möjligheten att lämna in ett klagomål till en tillsynsmyndighet och begära rättslig prövning.

5. Information som tillhandahållits enligt artiklarna 13 och 14, all kommunikation och samtliga åtgärder som vidtas enligt artiklarna 15–22 och 34 ska tillhandahållas kostnadsfritt. Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige antingen

a) ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, eller

b) vägra att tillmötesgå begäran.

Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.

6. Utan att det påverkar tillämpningen av artikel 11 får den personuppgiftsansvarige, om denne har rimliga skäl att betvivla identiteten hos den fysiska person som lämnar in en begäran enligt artiklarna 15–21, begära att ytterligare information som är nödvändig för att bekräfta den registrerades identitet tillhandahålls.

7. Den information som ska tillhandahållas de registrerade i enlighet med artiklarna 13 och 14 får tillhandahållas kombinerad med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen. Om sådana symboler visas elektroniskt ska de vara maskinläsbara.

8. Kommissionen ska ges befogenhet att anta delegerade akter i enlighet med artikel 92 för att fastställa vilken information som ska visas med hjälp av symboler och förfaranden för att tillhandahålla sådana symboler.

Avsnitt 2

Information och tillgång till personuppgif ter

Artikel 13

Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade

1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgift sansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.

b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.

c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

718

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/41

d) Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.

2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personupp gifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och transparent behandling:

a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

b) Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten till dataportabilitet.

c) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, att det föreligger en rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.

d) Rätten att inge klagomål till en tillsynsmyndighet.

e) Huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas.

f) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

3. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.

4. Punkterna 1, 2 och 3 ska inte tillämpas om och i den mån den registrerade redan förfogar över informationen.

Artikel 14

Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade

1. Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:

a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.

b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.

c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

d) De kategorier av personuppgifter som behandlingen gäller.

e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

719

Bilaga 2

SOU 2017:66

L 119/42

SV

Europeiska unionens officiella tidning

4.5.2016

f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till en mottagare i ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artiklarna 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.

2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och transparent behandling när det gäller den registrerade:

a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

b) Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

c) Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet.

d) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.

e) Rätten att inge klagomål till en tillsynsmyndighet.

f) Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor.

g) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

3. Den personuppgiftsansvarige ska lämna den information som anges i punkterna 1 och 2

a) inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas,

b) om personuppgifterna ska användas för kommunikation med den registrerade, senast vid tidpunkten för den första kommunikationen med den registrerade, eller

c) om ett utlämnande till en annan mottagare förutses, senast när personuppgifterna lämnas ut för första gången.

4. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.

5. Punkterna 1–4 ska inte tillämpas i följande fall och i den mån

a) den registrerade redan förfogar över informationen,

b) tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, eller i den mån den skyldighet som avses i punkt 1 i den här artikeln sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen; i sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten,

c) erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, eller

d) personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser.

720

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/43

Artikel 15

Den registrerades rätt till tillgång

1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

a) Ändamålen med behandlingen.

b) De kategorier av personuppgifter som behandlingen gäller.

c) De mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer.

d) Om möjligt, den förutsedda period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

e) Förekomsten av rätten att av den personuppgiftsansvarige begära rättelse eller radering av personuppgifterna eller begränsningar av behandling av personuppgifter som rör den registrerade eller att invända mot sådan behandling.

f) Rätten att inge klagomål till en tillsynsmyndighet.

g) Om personuppgifterna inte samlas in från den registrerade, all tillgänglig information om varifrån dessa uppgifter kommer.

h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

2. Om personuppgifterna överförs till ett tredjeland eller till en internationell organisation, ska den registrerade ha rätt till information om de lämpliga skyddsåtgärder som i enlighet med artikel 46 har vidtagits vid överföringen.

3. Den personuppgiftsansvarige ska förse den registrerade med en kopia av de personuppgifter som är under behandling. För eventuella ytterligare kopior som den registrerade begär får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Om den registrerade gör begäran i elektronisk form ska informationen tillhandahållas i ett elektroniskt format som är allmänt använt, om den registrerade inte begär något annat.

4. Den rätt till en kopia som avses i punkt 3 ska inte inverka menligt på andras rättigheter och friheter.

Avsnitt 3

R ättelse och rader ing

Artikel 16

Rätt till rättelse

Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla ett kompletterande utlåtande.

Artikel 17

Rätt till radering (”rätten att bli bortglömd”)

1. Den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter om något av följande gäller:

a) Personuppgifterna är inte längre nödvändiga för de ändamål för vilka de samlats in eller på annat sätt behandlats.

721

Bilaga 2

SOU 2017:66

L 119/44

SV

Europeiska unionens officiella tidning

4.5.2016

b) Den registrerade återkallar det samtycke på vilket behandlingen grundar sig enligt artikel 6.1 a eller artikel 9.2 a och det finns inte någon annan rättslig grund för behandlingen.

c) Den registrerade invänder mot behandlingen i enlighet med artikel 21.1 och det saknas berättigade skäl för behandlingen som väger tyngre, eller den registrerade invänder mot behandlingen i enlighet med artikel 21.2.

d) Personuppgifterna har behandlats på olagligt sätt.

e) Personuppgifterna måste raderas för att uppfylla en rättslig förpliktelse i unionsrätten eller i medlemsstaternas nationella rätt som den personuppgiftsansvarige omfattas av.

f) Personuppgifterna har samlats in i samband med erbjudande av informationssamhällets tjänster, i de fall som avses i artikel 8.1.

2. Om den personuppgiftsansvarige har offentliggjort personuppgifterna och enligt punkt 1 är skyldig att radera personuppgifterna, ska den personuppgiftsansvarige med beaktande av tillgänglig teknik och kostnaden för genomförandet vidta rimliga åtgärder, inbegripet tekniska åtgärder, för att underrätta personuppgiftsansvariga som behandlar personuppgifterna om att den registrerade har begärt att de ska radera eventuella länkar till, eller kopior eller reproduktioner av dessa personuppgifter.

3. Punkterna 1 och 2 ska inte gälla i den utsträckning som behandlingen är nödvändig av följande skäl:

a) För att utöva rätten till yttrande- och informationsfrihet.

b) För att uppfylla en rättslig förpliktelse som kräver behandling enligt unionsrätten eller enligt en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av eller för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.

c) För skäl som rör ett viktigt allmänt intresse på folkhälsoområdet enligt artikel 9.2 h och i samt artikel 9.3.

d) För arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål enligt artikel 89.1, i den utsträckning som den rätt som avses i punkt 1 sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen.

e) För att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

Artikel 18

Rätt till begränsning av behandling

1. Den registrerade ska ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om något av följande alternativ är tillämpligt:

a) Den registrerade bestrider personuppgifternas korrekthet, under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta.

b) Behandlingen är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning.

c) Den personuppgiftsansvarige behöver inte längre personuppgifterna för ändamålen med behandlingen men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

d) Den registrerade har invänt mot behandling i enlighet med artikel 21.1 i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades berättigade skäl.

2. Om behandlingen har begränsats i enlighet med punkt 1 får sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat.

722

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/45

3. En registrerad som har fått behandling begränsad i enlighet med punkt 1 ska underrättas av den personuppgift sansvarige innan begränsningen av behandlingen upphör.

Artikel 19

Anmälningsskyldighet avseende rättelse eller radering av personuppgifter och begränsning av behandling

Den personuppgiftsansvarige ska underrätta varje mottagare till vilken personuppgifterna har lämnats ut om eventuella rättelser eller radering av personuppgifter eller begränsningar av behandling som skett i enlighet med artiklarna 16, 17.1 och 18, om inte detta visar sig vara omöjligt eller medföra en oproportionell ansträngning. Den personuppgiftsansvarige ska informera den registrerade om dessa mottagare på den registrerades begäran.

Artikel 20

Rätt till dataportabilitet

1. Den registrerade ska ha rätt att få ut de personuppgifter som rör honom eller henne och som han eller hon har tillhandahållit den personuppgiftsansvarige i ett strukturerat, allmänt använt och maskinläsbart format och ha rätt att överföra dessa uppgifter till en annan personuppgiftsansvarig utan att den personuppgiftsansvarige som tillhandahållits personuppgifterna hindrar detta, om

a) behandlingen grundar sig på samtycke enligt artikel 6.1 a eller artikel 9.2 a eller på ett avtal enligt artikel 6.1 b, och

b) behandlingen sker automatiserat.

2 Vid utövandet av sin rätt till dataportabilitet i enlighet med punkt 1 ska den registrerade ha rätt till överföring av personuppgifterna direkt från en personuppgiftsansvarig till en annan, när detta är tekniskt möjligt.

3. Utövandet av den rätt som avses i punkt 1 i den här artikeln ska inte påverka tillämpningen av artikel 17. Den rätten ska inte gälla i fråga om en behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den personuppgiftsansvarige.

4. Den rätt som avses i punkt 1 får inte påverka andras rättigheter och friheter på ett ogynnsamt sätt.

Avsnitt 4

Rätt att göra invändningar och automatiserat individuellt beslutsfatt ande

Artikel 21

Rätt att göra invändningar

1. Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.

2. Om personuppgifterna behandlas för direkt marknadsföring ska den registrerade ha rätt att när som helst invända mot behandling av personuppgifter som avser honom eller henne för sådan marknadsföring, vilket inkluderar profilering

iden utsträckning som denna har ett samband med sådan direkt marknadsföring.

3. Om den registrerade invänder mot behandling för direkt marknadsföring ska personuppgifterna inte längre behandlas för sådana ändamål.

723

Bilaga 2

SOU 2017:66

L 119/46

SV

Europeiska unionens officiella tidning

4.5.2016

4. Senast vid den första kommunikationen med den registrerade ska den rätt som avses i punkterna 1 och 2 uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information.

5. När det gäller användningen av informationssamhällets tjänster, och trots vad som sägs i direktiv 2002/58/EG, får den registrerade utöva sin rätt att göra invändningar på automatiserat sätt med användning av tekniska specifikationer.

6. Om personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse.

Artikel 22

Automatiserat individuellt beslutsfattande, inbegripet profilering

1. Den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne.

2. Punkt 1 ska inte tillämpas om beslutet

a) är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige,

b) tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen, eller

c) grundar sig på den registrerades uttryckliga samtycke.

3. I fall som avses i punkt 2 a och c ska den personuppgiftsansvarige genomföra lämpliga åtgärder för att säkerställa den registrerades rättigheter, friheter och rättsliga intressen, åtminstone rätten till personlig kontakt med den personupp giftsansvarige för att kunna utrycka sin åsikt och bestrida beslutet.

4. Beslut enligt punkt 2 får inte grunda sig på de särskilda kategorier av personuppgifter som avses i artikel 9.1, såvida inte artikel 9.2 a eller g gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits.

Avsnitt 5

Beg ränsningar

Artikel 23

Begränsningar

1. Det ska vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige eller personuppgiftsbiträdet omfattas av införa en lagstiftningsåtgärd som begränsar tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artiklarna 12–22 och 34, samt artikel 5 i den mån dess bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa

a) den nationella säkerheten,

b) försvaret,

c) den allmänna säkerheten,

724

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/47

d) förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott eller verkställande av straffrättsliga sanktioner, inbegripet skydd mot samt förebyggande och förhindrande av hot mot den allmänna säkerheten,

e) andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet,

f) skydd av rättsväsendets oberoende och rättsliga åtgärder,

g) förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken,

h) en tillsyns-, inspektions- eller regleringsfunktion som, även i enstaka fall, har samband med myndighetsutövning i fall som nämns i a–e och g,

i) skydd av den registrerade eller andras rättigheter och friheter,

j) verkställighet av civilrättsliga krav.

2. Framför allt ska alla lagstiftningsåtgärder som avses i punkt 1 innehålla specifika bestämmelser åtminstone, när så är relevant, avseende

a) ändamålen med behandlingen eller kategorierna av behandling,

b) kategorierna av personuppgifter,

c) omfattningen av de införda begränsningarna,

d) skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring,

e) specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga,

f) lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling,

g) riskerna för de registrerades rättigheter och friheter, och

h) de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen.

KAPITEL IV

Personuppgiftsansvarig och personuppgiftsbiträde

Avsnitt 1

Allmänna skyldigheter

Artikel 24

Den personuppgiftsansvariges ansvar

1. Med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolik hetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Dessa åtgärder ska ses över och uppdateras vid behov.

2. Om det står i proportion till behandlingen, ska de åtgärder som avses i punkt 1 omfatta den personuppgiftsan svariges genomförande av lämpliga strategier för dataskydd.

3. Tillämpningen av godkända uppförandekoder som avses i artikel 40 eller godkända certifieringsmekanismer som avses i artikel 42 får användas för att visa att den personuppgiftsansvarige fullgör sina skyldigheter.

725

Bilaga 2

SOU 2017:66

L 119/48

SV

Europeiska unionens officiella tidning

4.5.2016

Artikel 25

Inbyggt dataskydd och dataskydd som standard

1. Med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige, både vid fastställandet av vilka medel behandlingen utförs med och vid själva behandlingen, genomföra lämpliga tekniska och organisatoriska åtgärder – såsom pseudonymisering – vilka är utformade för ett effektivt genomförande av dataskyddsprinciper – såsom uppgiftsminimering – och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i denna förordning uppfylls och den registrerades rättigheter skyddas.

2. Den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för deras lagring och deras tillgänglighet. Framför allt ska dessa åtgärder säkerställa att personuppgifter i standardfallet inte utan den enskildes medverkan görs tillgängliga för ett obegränsat antal fysiska personer.

3. En godkänd certifieringsmekanism i enlighet med artikel 42 får användas för att visa att kraven i punkterna 1 och 2 i den här artikeln följs.

Artikel 26

Gemensamt personuppgiftsansvariga

1. Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de vara gemensamt personuppgiftsansvariga. Gemensamt personuppgiftsansvariga ska under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de personuppgiftsansvariga utses.

2. Det arrangemang som avses i punkt 1 ska på lämpligt sätt återspegla de gemensamt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade. Det väsentliga innehållet i arrangemanget ska göras tillgängligt för den registrerade.

3. Oavsett formerna för det arrangemang som avses i punkt 1 får den registrerade utöva sina rättigheter enligt denna förordning med avseende på och emot var och en av de personuppgiftsansvariga.

Artikel 27

Företrädare för personuppgiftsansvariga eller personuppgiftsbiträden som inte är etablerade i unionen

1. Om artikel 3.2 tillämpas ska den personuppgiftsansvarige eller personuppgiftsbiträdet skriftligen utse en företrädare i unionen.

2. Skyldigheten enligt punkt 1 i denna artikel ska inte gälla

a) tillfällig behandling som inte omfattar behandling i stor omfattning av särskilda kategorier av uppgifter, som avses i artikel 9.1, eller behandling av personuppgifter avseende fällande domar i brottmål samt överträdelser, som avses i artikel 10, och som sannolikt inte kommer att medföra en risk för fysiska personers rättigheter och friheter, med hänsyn till behandlingens art, sammanhang, omfattning och ändamål, eller

b) en offentlig myndighet eller ett offentligt organ.

726

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/49

3. Företrädaren ska vara etablerad i en av de medlemsstater där de registrerade, vars personuppgifter behandlas i samband med att de erbjuds varor eller tjänster, eller vars beteende övervakas, befinner sig.

4. Företrädaren ska på den personuppgiftsansvariges eller personuppgiftsbiträdets uppdrag, utöver eller i stället för den personuppgiftsansvarige eller personuppgiftsbiträdet, fungera som kontaktperson för i synnerhet tillsynsmyndigheter och registrerade, i alla frågor som har anknytning till behandlingen, i syfte att säkerställa efterlevnad av denna förordning.

5. Att den personuppgiftsansvarige eller personuppgiftsbiträdet utser en företrädare ska inte påverka de rättsliga åtgärder som skulle kunna inledas mot den personuppgiftsansvarige eller personuppgiftsbiträdet.

Artikel 28

Personuppgiftsbiträden

1. Om en behandling ska genomföras på en personuppgiftsansvarigs vägnar ska den personuppgiftsansvarige endast anlita personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning och säkerställer att den registrerades rättigheter skyddas.

2. Personuppgiftsbiträdet får inte anlita ett annat personuppgiftsbiträde utan att ett särskilt eller allmänt skriftligt förhandstillstånd har erhållits av den personuppgiftsansvarige. Om ett allmänt skriftligt tillstånd har erhållits, ska personuppgiftsbiträdet informera den personuppgiftsansvarige om eventuella planer på att anlita nya personuppgifts biträden eller ersätta personuppgiftsbiträden, så att den personuppgiftsansvarige har möjlighet att göra invändningar mot sådana förändringar.

3. När uppgifter behandlas av ett personuppgiftsbiträde ska hanteringen regleras genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt som är bindande för personuppgiftsbiträdet med avseende på den personuppgiftsansvarige och i vilken föremålet för behandlingen, behandlingens varaktighet, art och ändamål, typen av personuppgifter och kategorier av registrerade, samt den personuppgiftsansvariges skyldigheter och rättigheter anges. I det avtalet eller den rättsakten ska det särskilt föreskrivas att personuppgiftsbiträdet

a) endast får behandla personuppgifter på dokumenterade instruktioner från den personuppgiftsansvarige, inbegripet när det gäller överföringar av personuppgifter till ett tredjeland eller en internationell organisation, såvida inte denna behandling krävs enligt unionsrätten eller enligt en medlemsstats nationella rätt som personuppgiftsbiträdet omfattas av, och i så fall ska personuppgiftsbiträdet informera den personuppgiftsansvarige om det rättsliga kravet innan uppgifterna behandlas, såvida sådan information inte är förbjuden med hänvisning till ett viktigt allmänintresse enligt denna rätt,

b) säkerställer att personer med behörighet att behandla personuppgifterna har åtagit sig att iaktta konfidentialitet eller omfattas av en lämplig lagstadgad tystnadsplikt,

c) ska vidta alla åtgärder som krävs enligt artikel 32,

d) ska respektera de villkor som avses i punkterna 2 och 4 för anlitandet av ett annat personuppgiftsbiträde,

e) med tanke på behandlingens art, ska hjälpa den personuppgiftsansvarige genom lämpliga tekniska och organisatoriska åtgärder, i den mån detta är möjligt, så att den personuppgiftsansvarige kan fullgöra sin skyldighet att svara på begäran om utövande av den registrerades rättigheter i enlighet med kapitel III,

f) ska bistå den personuppgiftsansvarige med att se till att skyldigheterna enligt artiklarna 32–36 fullgörs, med beaktande av typen av behandling och den information som personuppgiftsbiträdet har att tillgå,

g) beroende på vad den personuppgiftsansvarige väljer, ska radera eller återlämna alla personuppgifter till den personuppgiftsansvarige efter det att tillhandahållandet av behandlingstjänster har avslutats, och radera befintliga kopior såvida inte lagring av personuppgifterna krävs enligt unionsrätten eller medlemsstaternas nationella rätt, och

h) ska ge den personuppgiftsansvarige tillgång till all information som krävs för att visa att de skyldigheter som fastställs i denna artikel har fullgjorts samt möjliggöra och bidra till granskningar, inbegripet inspektioner, som genomförs av den personuppgiftsansvarige eller av en annan revisor som bemyndigats av den personuppgiftsansvarige.

727

Bilaga 2

SOU 2017:66

L 119/50

SV

Europeiska unionens officiella tidning

4.5.2016

Med avseende på led h i första stycket ska personuppgiftsbiträdet omedelbart informera den personuppgiftsansvarige om han anser att en instruktion strider mot denna förordning eller mot andra av unionens eller medlemsstaternas dataskyddsbestämmelser.

4. I de fall där ett personuppgiftsbiträde anlitar ett annat personuppgiftsbiträde för utförande av specifik behandling på den personuppgiftsansvariges vägnar ska det andra personuppgiftsbiträdet, genom ett avtal eller en annan rättsakt enligt unionsrätten eller enligt medlemsstaternas nationella rätt, åläggas samma skyldigheter i fråga om dataskydd som de som fastställs i avtalet eller den andra rättsakten mellan den personuppgiftsansvarige och personuppgiftsbiträdet enligt punkt 3, och framför allt att ge tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i denna förordning. Om det andra personuppgiftsbiträdet inte fullgör sina skyldigheter i fråga om dataskydd ska det ursprungliga personuppgiftsbiträdet vara fullt ansvarig gentemot den personuppgiftsansvarige för utförandet av det andra personuppgiftsbiträdets skyldigheter.

5. Ett personuppgiftsbiträdes anslutning till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 får användas för att visa att tillräckliga garantier tillhandahålls, så som avses punkterna 1 och 4 i den här artikeln.

6. Det avtal eller den andra rättsakt som avses i punkterna 3 och 4 i den här artikeln får, utan att det påverkar tillämpningen av ett enskilt avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet, helt eller delvis baseras på sådana standardavtalsklausuler som avses i punkterna 7 och 8 i den här artikeln, inbegripet när de ingår i en certifiering som i enlighet med artiklarna 42 och 43 beviljats den personuppgiftsansvarige eller personuppgiftsbiträdet.

7. Kommissionen får fastställa standardavtalsklausuler för de frågor som avses i punkterna 3 och 4 i den här artikeln, i enlighet med det granskningsförfarande som avses i artikel 93.2.

8. En tillsynsmyndighet får fastställa standardavtalsklausuler för de frågor som avses i punkterna 3 och 4 i den här artikeln, i enlighet med den mekanism för enhetlighet som avses i artikel 63.

9. Det avtal eller den andra rättsakt som avses i punkterna 3 och 4 ska upprättas skriftligen, inbegripet i ett elektroniskt format.

10. Om ett personuppgiftsbiträde överträder denna förordning genom att fastställa ändamålen med och medlen för behandlingen, ska personuppgiftsbiträdet anses vara personuppgiftsansvarig med avseende på den behandlingen, utan att det påverkar tillämpningen av artiklarna 82, 83 och 84.

Artikel 29

Behandling under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende

Personuppgiftsbiträdet och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, får endast behandla dessa på instruktion från den personuppgift sansvarige, såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt.

Artikel 30

Register över behandling

1. Varje personuppgiftsansvarig och, i tillämpliga fall, dennes företrädare ska föra ett register över behandling som utförts under dess ansvar. Detta register ska innehålla samtliga följande uppgifter:

a) Namn och kontaktuppgifter för den personuppgiftsansvarige, samt i tillämpliga fall gemensamt personuppgift sansvariga, den personuppgiftsansvariges företrädare samt dataskyddsombudet.

b) Ändamålen med behandlingen.

c) En beskrivning av kategorierna av registrerade och av kategorierna av personuppgifter.

728

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/51

d) De kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, inbegripet mottagare i tredjeländer eller i internationella organisationer.

e) I tillämpliga fall, överföringar av personuppgifter till ett tredjeland eller en internationell organisation, inbegripet

identifiering av tredjelandet eller den internationella organisationen och, vid sådana överföringar som avses i artikel 49.1 andra stycket, dokumentationen av lämpliga skyddsåtgärder.

f) Om möjligt, de förutsedda tidsfristerna för radering av de olika kategorierna av uppgifter.

g) Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i artikel 32.1.

2. Varje personuppgiftsbiträde och, i tillämpliga fall, dennes företrädare ska föra ett register över alla kategorier av behandling som utförts för den personuppgiftsansvariges räkning, som omfattar följande:

a) Namn och kontaktuppgifter för personuppgiftsbiträdet eller personuppgiftsbiträdena och för varje personuppgift sansvarig för vars räkning personuppgiftsbiträdet agerar, och, i tillämpliga fall, för den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare samt dataskyddsombudet.

b) De kategorier av behandling som har utförts för varje personuppgiftsansvariges räkning.

c) I tillämpliga fall, överföringar av personuppgifter till ett tredjeland eller en internationell organisation, inbegripet

identifiering av tredjelandet eller den internationella organisationen och, vid sådana överföringar som avses i artikel 49.1 andra stycket, dokumentationen av lämpliga skyddsåtgärder.

d) Om möjligt, en allmän beskrivning av de tekniska och organisatoriska säkerhetsåtgärder som avses i artikel 32.1.

3. De register som avses i punkterna 1 och 2 ska upprättas skriftligen, inbegripet i elektronisk form.

4. På begäran ska den personuppgiftsansvarige eller personuppgiftsbiträdet samt, i tillämpliga fall, den personuppgift sansvariges eller personuppgiftsbiträdets företrädare göra registret tillgängligt för tillsynsmyndigheten.

5. De skyldigheter som anges i punkterna 1 och 2 ska inte gälla för ett företag eller en organisation som sysselsätter färre än 250 personer såvida inte den behandling som utförs sannolikt kommer att medföra en risk för registrerades rättigheter och friheter, behandlingen inte är tillfällig eller behandlingen omfattar särskilda kategorier av uppgifter som avses i artikel 9.1 eller personuppgifter om fällande domar i brottmål samt överträdelser som avses i artikel 10.

Artikel 31

Samarbete med tillsynsmyndigheten

Den personuppgiftsansvarige och personuppgiftsbiträdet samt, i tillämpliga fall, deras företrädare ska på begäran samarbeta med tillsynsmyndigheten vid utförandet av dennes uppgifter.

Avsnitt 2

Säkerhet för personuppgif ter

Artikel 32

Säkerhet i samband med behandlingen

1. Med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken, inbegripet, när det är lämpligt

a) pseudonymisering och kryptering av personuppgifter,

729

Bilaga 2

SOU 2017:66

L 119/52

SV

Europeiska unionens officiella tidning

4.5.2016

b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlings systemen och -tjänsterna,

c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident,

d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

2. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandling medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

3. Anslutning till en godkänd uppförandekod som avses i artikel 40 eller en godkänd certifieringsmekanism som avses i artikel 42 får användas för att visa att kraven i punkt 1 i den här artikeln följs.

4. Den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det.

Artikel 33

Anmälan av en personuppgiftsincident till tillsynsmyndigheten

1. Vid en personuppgiftsincident ska den personuppgiftsansvarige utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den, anmäla personuppgiftsincidenten till den tillsynsmyndighet som är behörig i enlighet med artikel 55, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Om anmälan till tillsynsmyndigheten inte görs inom 72 timmar ska den åtföljas av en motivering till förseningen.

2. Personuppgiftsbiträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident.

3. Den anmälan som avses i punkt 1 ska åtminstone

a) beskriva personuppgiftsincidentens art, inbegripet, om så är möjligt, de kategorier av och det ungefärliga antalet registrerade som berörs samt de kategorier av och det ungefärliga antalet personuppgiftsposter som berörs,

b) förmedla namnet på och kontaktuppgifterna för dataskyddsombudet eller andra kontaktpunkter där mer information kan erhållas,

c) beskriva de sannolika konsekvenserna av personuppgiftsincidenten, och

d) beskriva de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda personuppgiftsin cidenten, inbegripet, när så är lämpligt, åtgärder för att mildra dess potentiella negativa effekter.

4. Om och i den utsträckning det inte är möjligt att tillhandahålla informationen samtidigt, får informationen tillhandahållas i omgångar utan onödigt ytterligare dröjsmål.

5. Den personuppgiftsansvarige ska dokumentera alla personuppgiftsincidenter, inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera efterlevnaden av denna artikel.

Artikel 34

Information till den registrerade om en personuppgiftsincident

1. Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten.

730

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/53

2. Den information till den registrerade som avses i punkt 1 i denna artikel ska innehålla en tydlig och klar beskrivning av personuppgiftsincidentens art och åtminstone de upplysningar och åtgärder som avses i artikel 33.3 b, c och d.

3. Information till den registrerade i enlighet med punkt 1 krävs inte om något av följande villkor är uppfyllt:

a) Den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder och dessa åtgärder tillämpats på de personuppgifter som påverkades av personuppgiftsincidenten, i synnerhet sådana som ska göra uppgifterna oläsbara för alla personer som inte är behöriga att få tillgång till personuppgifterna, såsom kryptering.

b) Den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att den höga risk för registrerades rättigheter och friheter som avses i punkt 1 sannolikt inte längre kommer att uppstå.

c) Det skulle inbegripa en oproportionell ansträngning. I så fall ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt.

4. Om den personuppgiftsansvarige inte redan har informerat den registrerade om personuppgiftsincidenten får tillsynsmyndigheten, efter att ha bedömt sannolikheten för att personuppgiftsincidenten medför en hög risk, kräva att personuppgiftsbiträdet gör det eller får besluta att något av de villkor som avses i punkt 3 uppfylls.

Avsnitt 3

Konsekvensbedömning avseende dataskydd samt föregående samråd

Artikel 35

Konsekvensbedömning avseende dataskydd

1. Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker.

2. Den personuppgiftsansvarige ska rådfråga dataskyddsombudet, om ett sådant utsetts, vid genomförande av en konsekvensbedömning avseende dataskydd.

3. En konsekvensbedömning avseende dataskydd som avses i punkt 1 ska särskilt krävas i följande fall:

a) En systematisk och omfattande bedömning av fysiska personers personliga aspekter som grundar sig på automatisk behandling, inbegripet profilering, och på vilken beslut grundar sig som har rättsliga följder för fysiska personer eller på liknande sätt i betydande grad påverkar fysiska personer.

b) Behandling i stor omfattning av särskilda kategorier av uppgifter, som avses i artikel 9.1, eller av personuppgifter som rör fällande domar i brottmål och överträdelser som avses i artikel 10.

c) Systematisk övervakning av en allmän plats i stor omfattning.

4. Tillsynsmyndigheten ska upprätta och offentliggöra en förteckning över det slags behandlingsverksamheter som omfattas av kravet på en konsekvensbedömning avseende dataskydd i enlighet med punkt 1. Tillsynsmyndigheten ska översända dessa förteckningar till den styrelse som avses i artikel 68.

5. Tillsynsmyndigheten får också upprätta och offentliggöra en förteckning över det slags behandlingsverksamheter som inte kräver någon konsekvensbedömning avseende dataskydd. Tillsynsmyndigheten ska översända dessa förteckningar till styrelsen.

6. Innan de förteckningar som avses i punkterna 4 och 5 antas ska den behöriga tillsynsmyndigheten tillämpa den mekanism för enhetlighet som avses i artikel 63 om en sådan förteckning inbegriper behandling som rör erbjudandet av varor eller tjänster till registrerade, eller övervakning av deras beteende i flera medlemsstater, eller som väsentligt kan påverka den fria rörligheten för personuppgifter i unionen.

731

Bilaga 2

SOU 2017:66

L 119/54

SV

Europeiska unionens officiella tidning

4.5.2016

7. Bedömningen ska innehålla åtminstone

a) en systematisk beskrivning av den planerade behandlingen och behandlingens syften, inbegripet, när det är lämpligt, den personuppgiftsansvariges berättigade intresse,

b) en bedömning av behovet av och proportionaliteten hos behandlingen i förhållande till syftena,

c) en bedömning av de risker för de registrerades rättigheter och friheter som avses i punkt 1, och

d) de åtgärder som planeras för att hantera riskerna, inbegripet skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att denna förordning efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen.

8. De berörda personuppgiftsansvarigas eller personuppgiftsbiträdenas efterlevnad av godkända uppförandekoder enligt artikel 40 ska på lämpligt sätt beaktas vid bedömningen av konsekvenserna av de behandlingar som utförs av dessa personuppgiftsansvariga eller personuppgiftsbiträden, framför allt när det gäller att ta fram en konsekvens bedömning avseende dataskydd.

9. Den personuppgiftsansvarige ska, när det är lämpligt, inhämta synpunkter från de registrerade eller deras företrädare om den avsedda behandlingen, utan att det påverkar skyddet av kommersiella eller allmänna intressen eller behandlingens säkerhet.

10. Om behandling enligt artikel 6.1 c eller e har en rättslig grund i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, reglerar den rätten den aktuella specifika behandlingsåtgärden eller serien av åtgärder i fråga och en konsekvensbedömning avseende dataskydd redan har genomförts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund, ska punkterna 1–7 inte gälla, om inte medlemsstaterna anser det nödvändigt att utföra en sådan bedömning före behandlingen.

11. Den personuppgiftsansvarige ska vid behov genomföra en översyn för att bedöma om behandlingen genomförs i enlighet med konsekvensbedömningen avseende dataskydd åtminstone när den risk som behandlingen medför förändras.

Artikel 36

Förhandssamråd

1. Den personuppgiftsansvarige ska samråda med tillsynsmyndigheten före behandling om en konsekvensbedömning avseende dataskydd enligt artikel 35 visar att behandlingen skulle leda till en hög risk om inte den personuppgift sansvarige vidtar åtgärder för att minska risken.

2. Om tillsynsmyndigheten anser att den planerade behandling som avses i punkt 1 skulle strida mot denna förordning, särskilt om den personuppgiftsansvarige inte i tillräcklig mån har fastställt eller reducerat risken, ska tillsyns myndigheten inom en period på högst åtta veckor från det att begäran om samråd mottagits, ge den personuppgift sansvarige och i tillämpliga fall personuppgiftsbiträdet skriftliga råd och får utnyttja alla de befogenheter som den har enligt artikel 58. Denna period får förlängas med sex veckor beroende på hur komplicerad den planerade behandlingen är. Tillsynsmyndigheten ska informera den personuppgiftsansvarige och, i tillämpliga fall, personuppgiftsbiträdet om en sådan förlängning inom en månad från det att begäran om samråd mottagits, tillsammans med orsakerna till förseningen. Dessa perioder får tillfälligt upphöra att löpa i avvaktan på att tillsynsmyndigheten erhåller den information som den har begärt med tanke på samrådet.

3. Vid samråd med tillsynsmyndigheten enligt punkt 1 ska den personuppgiftsansvarige till tillsynsmyndigheten lämna

a) i tillämpliga fall de respektive ansvarsområdena för de personuppgiftsansvariga, gemensamt personuppgiftsansvariga och personuppgiftsbiträden som medverkar vid behandlingen, framför allt vid behandling inom en koncern,

b) ändamålen med och medlen för den avsedda behandlingen,

c) de åtgärder som vidtas och de garantier som lämnas för att skydda de registrerades rättigheter och friheter enligt denna förordning,

d) i tillämpliga fall kontaktuppgifter till dataskyddsombudet,

732

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/55

e) konsekvensbedömningen avseende dataskydd enligt artikel 35, och

f) all annan information som begärs av tillsynsmyndigheten.

4. Medlemsstaterna ska samråda med tillsynsmyndigheten vid utarbetandet av ett förslag till lagstiftningsåtgärd som ska antas av ett nationellt parlament eller av en regleringsåtgärd som grundar sig på en sådan lagstiftningsåtgärd som rör behandling.

5. Trots vad som sägs i punkt 1 får det i medlemsstaternas nationella rätt krävas att personuppgiftsansvariga ska samråda med, och erhålla förhandstillstånd av, tillsynsmyndigheten när det gäller en personuppgiftsansvarigs behandling för utförandet av en uppgift som den personuppgiftsansvarige utför av allmänt intresse, inbegripet behandling avseende social trygghet och folkhälsa.

Avsnitt 4

Dataskyddsombud

Artikel 37

Utnämning av dataskyddsombudet

1. Den personuppgiftsansvarige och personuppgiftsbiträdet ska under alla omständigheter utnämna ett dataskyddsombud om

a) behandlingen genomförs av en myndighet eller ett offentligt organ, förutom när detta sker som en del av domstolarnas dömande verksamhet,

b) den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling som, på grund av sin karaktär, sin omfattning och/eller sina ändamål, kräver regelbunden och systematisk övervakning av de registrerade i stor omfattning, eller

c) den personuppgiftsansvariges eller personuppgiftsbiträdets kärnverksamhet består av behandling i stor omfattning av särskilda kategorier av uppgifter i enlighet med artikel 9 och personuppgifter som rör fällande domar i brottmål och överträdelser, som avses i artikel 10.

2. En koncern får utnämna ett enda dataskyddsombud om det på varje etableringsort är lätt att nå ett dataskyddsombud.

3. Om den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet eller ett offentligt organ, får ett enda dataskyddsombud utnämnas för flera sådana myndigheter eller organ, med hänsyn till deras organisationsstruktur och storlek.

4. I andra fall än de som avses i punkt 1 får eller, om så krävs enligt unionsrätten eller medlemsstaternas nationella rätt, ska den personuppgiftsansvarige eller personuppgiftsbiträdet eller sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgiftsbiträden utnämna ett dataskyddsombud. Dataskydd sombudet får agera för sådana sammanslutningar och andra organ som företräder personuppgiftsansvariga eller personuppgiftsbiträden.

5. Dataskyddsombudet ska utses på grundval av yrkesmässiga kvalifikationer och, i synnerhet, sakkunskap om lagstiftning och praxis avseende dataskydd samt förmågan att fullgöra de uppgifter som avses i artikel 39.

6. Dataskyddsombudet får ingå i den personuppgiftsansvariges eller personuppgiftsbiträdets personal, eller utföra uppgifterna på grundval av ett tjänsteavtal.

7. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska offentliggöra dataskyddsombudets kontaktuppgifter och meddela dessa till tillsynsmyndigheten.

Artikel 38

Dataskyddsombudets ställning

1. Den personuppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att dataskyddsombudet på ett korrekt sätt och i god tid deltar i alla frågor som rör skyddet av personuppgifter.

733

Bilaga 2

SOU 2017:66

L 119/56

SV

Europeiska unionens officiella tidning

4.5.2016

2. Den personuppgiftsansvarige och personuppgiftsbiträdet ska stödja dataskyddsombudet i utförandet av de uppgifter som avses i artikel 39 genom att tillhandahålla de resurser som krävs för att fullgöra dessa uppgifter samt tillgång till personuppgifter och behandlingsförfaranden, samt i upprätthållandet av dennes sakkunskap.

3. Den personuppgiftsansvarige och personuppgiftsbiträdet ska säkerställa att uppgiftskyddsombudet inte tar emot instruktioner som gäller utförandet av dessa uppgifter. Han eller hon får inte avsättas eller bli föremål för sanktioner av den personuppgiftsansvarige eller personuppgiftsbiträdet för att ha utfört sina uppgifter. Dataskyddsombudet ska rapportera direkt till den personuppgiftsansvariges eller personuppgiftsbiträdets högsta förvaltningsnivå.

4. Den registrerade får kontakta dataskyddsombudet med avseende på alla frågor som rör behandlingen av dennes personuppgifter och utövandet av dennes rättigheter enligt denna förordning.

5. Dataskyddsombudet ska, när det gäller dennes genomförande av sina uppgifter, vara bundet av sekretess eller konfidentialitet i enlighet med unionsrätten eller medlemsstaternas nationella rätt.

6. Dataskyddsombudet får fullgöra andra uppgifter och uppdrag. Den personuppgiftsansvarige eller personuppgifts biträdet ska se till att sådana uppgifter och uppdrag inte leder till en intressekonflikt.

Artikel 39

Dataskyddsombudets uppgifter

1. Dataskyddsombudet ska ha minst följande uppgifter:

a) Att informera och ge råd till den personuppgiftsansvarige eller personuppgiftsbiträdet och de anställda som behandlar om deras skyldigheter enligt denna förordning och andra av unionens eller medlemsstaternas dataskydds bestämmelser.

b) Att övervaka efterlevnaden av denna förordning, av andra av unionens eller medlemsstaternas dataskyddsbe stämmelser och av den personuppgiftsansvariges eller personuppgiftsbiträdets strategi för skydd av personuppgifter, inbegripet ansvarstilldelning, information till och utbildning av personal som deltar i behandling och tillhörande granskning.

c) Att på begäran ge råd vad gäller konsekvensbedömningen avseende dataskydd och övervaka genomförandet av den enligt artikel 35.

d) Att samarbeta med tillsynsmyndigheten.

e) Att fungera som kontaktpunkt för tillsynsmyndigheten i frågor som rör behandling, inbegripet det förhandssamråd som avses i artikel 36, och vid behov samråda i alla andra frågor.

2. Dataskyddsombudet ska vid utförandet av sina uppgifter ta vederbörlig hänsyn till de risker som är förknippade med behandling, med beaktande av behandlingens art, omfattning, sammanhang och syften.

Avsnitt 5

Uppförandekod och cer tif iering

Artikel 40

Uppförandekoder

1. Medlemsstaterna, tillsynsmyndigheterna, styrelsen och kommissionen ska uppmuntra utarbetandet av uppförandekoder avsedda att bidra till att denna förordning genomförs korrekt, med hänsyn till särdragen hos de olika sektorer där behandling sker, och de särskilda behoven hos mikroföretag samt små och medelstora företag.

2. Sammanslutningar och andra organ som företräder kategorier av personuppgiftsansvariga eller personuppgifts biträden får utarbeta uppförandekoder, eller ändra eller utöka sådana koder, i syfte att specificera tillämpningen av denna förordning, till exempel när det gäller

a) rättvis och öppen behandling,

734

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/57

b) personuppgiftsansvarigas berättigade intressen i särskilda sammanhang,

c) insamling av personuppgifter,

d) pseudonymisering av personuppgifter,

e) information till allmänheten och de registrerade,

f) utövande av registrerades rättigheter,

g) information till och skydd av barn samt metoderna för att erhålla samtycke från de personer som har föräldraansvar för barn,

h) åtgärder och förfaranden som avses i artiklarna 24 och 25 samt åtgärder för att säkerställa säkerhet vid behandling i enlighet med artikel 32,

i) anmälan av personuppgiftsincidenter till tillsynsmyndigheter och meddelande av sådana personuppgiftsincidenter till registrerade,

j) överföring av personuppgifter till tredjeländer eller internationella organisationer,

k) utomrättsliga förfaranden och andra tvistlösningsförfaranden för lösande av tvister mellan personuppgiftsansvariga

och registrerade när det gäller behandling, utan att detta påverkar registrerades rättigheter enligt artiklarna 77 och 79.

3. Uppförandekoder som är godkända i enlighet med punkt 5 i denna artikel och som har allmän giltighet enligt punkt 9 i denna artikel får, förutom att de iakttas av personuppgiftsansvariga eller personuppgiftsbiträden som omfattas av denna förordning, även iakttas av personuppgiftsansvariga eller personuppgiftsbiträden som inte omfattas av denna förordning enligt artikel 3, för att tillhandahålla lämpliga garantier inom ramen för överföringar av personuppgifter till tredjeländer eller internationella organisationer enligt villkoren i artikel 46.2 e. Sådana personuppgiftsansvariga eller personuppgiftsbiträden ska göra bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa dessa lämpliga garantier inbegripet när det gäller registrerades rättigheter.

4. Den uppförandekod som avses i punkt 2 i den här artikeln ska innehålla mekanismer som gör det möjligt för det organ som avses i artikel 41.1 att utföra den obligatoriska övervakningen av att dess bestämmelser efterlevs av personuppgiftsansvariga och personuppgiftsbiträden som tillämpar den, utan att det påverkar uppgifter eller befogenheter för de tillsynsmyndigheter som är behöriga enligt artikel 55 eller 56.

5. Sammanslutningar och andra organ som avses i punkt 2 i den här artikeln som avser att utarbeta en uppförandekod eller ändra eller utöka befintliga uppförandekoder ska inge utkastet till uppförandekod, ändringen eller utökningen till den tillsynsmyndighet som är behörig enligt artikel 55. Tillsynsmyndigheten ska yttra sig om huruvida utkastet till uppförandekod, ändring eller utökning överensstämmer med denna förordning och ska godkänna ett det utkastet till kod, ändring eller utökning om den finner att tillräckliga garantier tillhandahålls.

6. Om utkastet till kod, eller en ändring eller utökning, godkänns i enlighet med punkt 5, och om den berörda uppförandekoden inte avser behandling i flera medlemsstater, ska tillsynsmyndigheten registrera och offentliggöra uppförandekoden.

7. Om ett utkast till uppförandekod avser behandling i flera medlemsstater ska den tillsynsmyndighet som är behörig enligt artikel 55 innan den godkänner utkastet till kod, ändring eller utökning, inom ramen för det förfarande som avses

iartikel 63 överlämna det till styrelsen som ska avge ett yttrande om huruvida utkastet till kod, ändring eller utökning är förenlig med denna förordning eller, i de fall som avses i punkt 3 i den här artikeln, tillhandahåller lämpliga garantier.

8. Om det i det yttrande som avses i punkt 7 bekräftas att utkastet till kod, ändring eller utökning är förenligt med denna förordning, eller, i de fall som avses i punkt 3, tillhandahåller lämpliga garantier, ska styrelsen inlämna sitt yttrande till kommissionen.

9. Kommissionen får, genom genomförandeakter, besluta att den godkända koden, ändringen eller utökningen som getts in till den enligt punkt 8 i den här artikeln har allmän giltighet inom unionen. Dessa genomförandeakter ska antas

ienlighet med det granskningsförfarande som avses i artikel 93.2.

735

Bilaga 2

SOU 2017:66

L 119/58

SV

Europeiska unionens officiella tidning

4.5.2016

10. Kommissionen ska se till att de godkända koder om vilka det har beslutats att de har allmän giltighet enligt punkt 9 offentliggörs på lämpligt sätt.

11. Styrelsen ska samla alla godkända uppförandekoder, ändringar och utökningar i ett register och offentliggöra dem på lämpligt sätt.

Artikel 41

Övervakning av godkända uppförandekoder

1. Utan att det påverkar den berörda tillsynsmyndighetens uppgifter och befogenheter enligt artiklarna 57 och 58 får övervakningen av efterlevnaden av en uppförandekod i enlighet med artikel 40 utföras av ett organ som har en lämplig expertnivå i förhållande till kodens syfte och som ackrediteras för detta ändamål av den behöriga tillsynsmyndigheten.

2. Ett organ som avses i punkt 1 får ackrediteras för att övervaka efterlevnaden av en uppförandekod om detta organ

har

a) visat sitt oberoende och sin expertis i förhållande till uppförandekodens syfte på ett sätt som den behöriga tillsyns myndigheten finner tillfredsställande,

b) upprättat förfaranden varigenom det kan bedöma de berörda personuppgiftsansvarigas och personuppgiftsbiträdenas lämplighet för att tillämpa uppförandekoden, övervaka att de efterlever dess bestämmelser och regelbundet se över hur den fungerar,

c) upprättat förfaranden och strukturer för att hantera klagomål om överträdelser av uppförandekoden eller det sätt på vilket uppförandekoden har tillämpats, eller tillämpas, av en personuppgiftsansvarig eller ett personuppgiftsbiträde, och för att göra dessa förfaranden och strukturer synliga för registrerade och för allmänheten, och

d) på ett sätt som den behöriga tillsynsmyndigheten finner tillfredsställande visat att dess uppgifter och uppdrag inte leder till en intressekonflikt.

3. Den behöriga tillsynsmyndigheten ska inlämna utkastet till kriterier för ackreditering av ett organ som avses i punkt 1 i den här artikeln till styrelsen i enlighet med den mekanism för enhetlighet som avses i artikel 63.

4. Utan att det påverkar den behöriga tillsynsmyndighetens uppgifter och befogenheter och tillämpningen av bestämmelserna i kapitel VIII ska ett organ som avses i punkt 1 i denna artikel, med förbehåll för tillräckliga skyddsåtgärder, vidta lämpliga åtgärder i fall av en personuppgiftsansvarigs eller ett personuppgiftsbiträdes överträdelse av uppförandekoden, inbegripet avstängning eller uteslutande av den personuppgiftsansvarige eller personuppgifts biträdet från uppförandekoden. Det ska informera den behöriga tillsynsmyndigheten om sådana åtgärder och skälen för att de vidtagits.

5. Den behöriga tillsynsmyndigheten ska återkalla ackrediteringen av ett organ som avses i punkt 1 om villkoren för ackrediteringen inte, eller inte längre, uppfylls eller om åtgärder som vidtagits av organet strider mot denna förordning.

6. Denna artikel ska inte gälla behandling som utförs av offentliga myndigheter och organ.

Artikel 42

Certifiering

1. Medlemsstaterna, tillsynsmyndigheterna, styrelsen och kommissionen ska uppmuntra, särskilt på unionsnivå, införandet av certifieringsmekanismer för dataskydd och sigill och märkningar för dataskydd som syftar till att visa att personuppgiftsansvarigas eller personuppgiftsbiträdens behandling är förenlig med denna förordning. De särskilda behoven hos mikroföretag samt små och medelstora företag ska beaktas.

736

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/59

2. Certifieringsmekanismer för dataskydd och sigill och märkningar för dataskydd som är godkända enligt punkt 5 i denna artikel får, förutom att de iakttas av personuppgiftsansvariga eller personuppgiftsbiträden som omfattas av denna förordning, inrättas för att visa att det föreligger lämpliga garantier som tillhandahålls av personuppgiftsansvariga och personuppgiftsbiträden som inte omfattas av denna förordning enligt artikel 3, inom ramen för överföringar av personuppgifter till tredjeländer eller internationella organisationer enligt villkoren i artikel 46.2 f. Sådana personuppgift sansvariga eller personuppgiftsbiträden ska göra bindande och verkställbara åtaganden, genom avtal eller andra rättsligt bindande instrument, att tillämpa dessa lämpliga garantier, inbegripet när det gäller registrerades rättigheter.

3. Certifieringen ska vara frivillig och tillgänglig via ett öppet förfarande.

4. En certifiering i enlighet med denna artikel minskar inte den personuppgiftsansvariges eller personuppgiftsbiträdets ansvar för att denna förordning efterlevs och påverkar inte uppgifter och befogenheter för de tillsynsmyndigheter som är behöriga enligt artikel 55 eller 56.

5. En certifiering i enlighet med denna artikel ska utfärdas av de certifieringsorgan som avses i artikel 43 eller av den behöriga tillsynsmyndigheten på grundval av kriterier som godkänts av den behöriga myndigheten enligt artikel 58.3 eller av styrelsen enligt artikel 63. Om kriterierna har godkänts av styrelsen får detta leda till en gemensam certifiering, det europeiska sigillet för dataskydd.

6. Den personuppgiftsansvarige eller det personuppgiftsbiträde som låter sin behandling av uppgifter omfattas av certifieringsmekanismen ska förse det certifieringsorgan som avses i artikel 43 eller, i tillämpliga fall, den behöriga tillsynsmyndigheten, med all information och tillgång till behandlingsförfaranden som krävs för att genomföra certifier ingsförfarandet.

7. Certifiering ska utfärdas till en personuppgiftsansvarig eller ett personuppgiftsbiträde för en period på högst tre år

och får förnyas på samma villkor under förutsättning att kraven fortsätter att vara uppfyllda. Certifiering ska, i tillämpliga fall, återkallas av de certifieringsorgan som avses i artikel 43 eller av den behöriga tillsynsmyndigheten om kraven för certifieringen inte eller inte längre uppfylls.

8. Styrelsen ska samla alla certifieringsmekanismer och sigill och märkningar för dataskydd i ett register och offentliggöra dem på lämpligt sätt.

Artikel 43

Certifieringsorgan

1. Utan att det påverkar den behöriga tillsynsmyndighetens uppgifter och befogenheter enligt artiklarna 57 och 58 ska certifieringsorgan som har lämplig nivå av expertis i fråga om dataskydd, efter att ha informerat tillsynsmyndigheten för att den ska kunna utöva sina befogenheter enligt artikel 58.2 h när så är nödvändigt, utfärda och förnya certifiering. Medlemsstat ska säkerställa att dessa certifieringsorgan är ackrediterade av en av eller båda följande:

a) Den tillsynsmyndighet som är behörig enligt artikel 55 eller 56,

b) det nationella ackrediteringsorgan som utsetts i enlighet med Europaparlamentets och rådets förordning (EG) nr 765/2008 (1) i enlighet med EN-ISO/IEC 17065/2012 och med de ytterligare krav som fastställts av den tillsynsmyndighet som är behörig enligt artikel 55 eller 56.

2. Certifieringsorgan som avses i punkt 1 får ackrediteras i enlighet med den punkten endast om de har

a) visat oberoende och expertis i förhållande till certifieringens syfte på ett sätt som den behöriga tillsynsmyndigheten finner tillfredsställande,

(1) Europaparlamentets och rådets förordning (EG) nr 765/2008 av den 9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 (EUT L 218, 13.8.2008, s. 30).

737

Bilaga 2

SOU 2017:66

L 119/60

SV

Europeiska unionens officiella tidning

4.5.2016

b) förbundit sig att respektera de kriterier som avses i artikel 42.5 och godkänts av den tillsynsmyndighet som är behörig enligt artikel 55 eller 56, eller av styrelsen enligt artikel 63,

c) upprättat förfaranden för utfärdande, periodisk översyn och återkallande av certifiering, sigill och märkningar för dataskydd,

d) upprättat förfaranden och strukturer för att hantera klagomål om överträdelser av certifieringen eller det sätt på vilket certifieringen har tillämpats, eller tillämpas, av en personuppgiftsansvarig eller ett personuppgiftsbiträde, och för att göra dessa förfaranden och strukturer synliga för registrerade och för allmänheten, och

e) på ett sätt som den behöriga tillsynsmyndigheten finner tillfredsställande visat att deras uppgifter och uppdrag inte leder till en intressekonflikt.

3. Ackrediteringen av certifieringsorgan som avses i punkterna 1 och 2 i denna artikel ska ske på grundval av kriterier som godkänts av den tillsynsmyndighet som är behörig enligt artikel 55 eller 56, eller av styrelsen enligt artikel 63. I händelse av ackreditering enligt punkt 1 b i den här artikeln ska dessa krav komplettera dem som föreskrivs i förordning (EG) nr 765/2008 och de tekniska regler som beskriver certifieringsorganens metoder och förfaranden.

4. De certifieringsorgan som avses i punkt 1 ska ansvara för den korrekta bedömning som leder till certifieringen eller återkallelsen av certifieringen, utan att det påverkar den personuppgiftsansvariges eller personuppgiftsbiträdets ansvar att efterleva denna förordning. Ackrediteringen ska utfärdas för en period på högst fem år och får förnyas på samma villkor under förutsättning att certifieringsorganet uppfyller de krav som anges i denna artikel.

5. De certifieringsorgan som avses i punkt 1 ska informera de behöriga tillsynsmyndigheterna om orsakerna till beviljandet eller återkallelsen av den begärda certifieringen.

6. De krav som avses i punkt 3 i den här artikeln och de kriterier som avses i artikel 42.5 ska offentliggöras av tillsynsmyndigheten i ett lättillgängligt format. Tillsynsmyndigheterna ska också översända dessa krav och kriterier till styrelsen. Styrelsen ska samla alla certifieringsmekanismer och sigill för dataskydd i ett register och offentliggöra dem på lämpligt sätt.

7. Utan att det påverkar tillämpningen av kapitel VIII ska den behöriga tillsynsmyndigheten eller det nationella ackre diteringsorganet återkalla ett certifieringsorgans ackreditering enligt punkt 1 i denna artikel om villkoren för ackrediteringen inte, eller inte längre, uppfylls eller om åtgärder som vidtagits av certifieringsorganet strider mot denna förordning.

8. Kommissionen ska ges befogenhet att anta delegerade akter i enlighet med artikel 92 i syfte att närmare ange de krav som ska tas i beaktande för de certifieringsmekanismer för dataskydd som avses i artikel 42.1.

9. Kommissionen får anta genomförandeakter för att fastställa tekniska standarder för certifieringsmekanismer och sigill och märkningar för dataskydd samt rutiner för att främja och erkänna dessa certifieringsmekanismer, sigill och märkningar. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 93.2.

KAPITEL V

Överföring av personuppgifter till tredjeländer eller internationella organisationer

Artikel 44

Allmän princip för överföring av uppgifter

Överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de överförts till ett tredjeland eller en internationell organisation får bara ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser i denna förordning, uppfyller villkoren i detta kapitel, inklusive för vidare överföring av personuppgifter från tredjelandet eller den internationella organisationen till ett annat tredjeland eller en annan internationell organisation. Alla bestämmelser i detta kapitel ska tillämpas för att säkerställa att den nivå på skyddet av fysiska personer som säkerställs genom denna förordning inte undergrävs.

738

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/61

Artikel 45

Överföring på grundval av ett beslut om adekvat skyddsnivå

1. Personuppgifter får överföras till ett tredjeland eller en internationell organisation om kommissionen har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå. En sådan överföring ska inte kräva något särskilt tillstånd.

2. När kommissionen bedömer om en adekvat skyddsnivå föreligger ska den särskilt beakta

a) rättsstatsprincipen, respekten för de mänskliga rättigheterna och de grundläggande friheterna, relevant lagstiftning, både allmän lagstiftning och sektorslagstiftning, inklusive avseende allmän säkerhet, försvar, nationell säkerhet och straffrätt och offentliga myndigheters tillgång till personuppgifter samt tillämpningen av sådan lagstiftning, dataskyddsregler, yrkesregler och säkerhetsbestämmelser, inbegripet regler för vidare överföring av personuppgifter till ett annat tredjeland eller en annan internationell organisation, som ska följas i det landet eller den internationella organisationen, rättspraxis samt faktiska och verkställbara rättigheter för registrerade och effektiv administrativ och rättslig prövning för de registrerade vars personuppgifter överförs,

b) huruvida det finns en eller flera effektivt fungerande oberoende tillsynsmyndigheter i tredjelandet, eller som utövar tillsyn över den internationella organisationen, som har ansvar för att säkerställa och kontrollera att dataskyddsregler följs, inklusive lämpliga verkställighetsbefogenheter, ge de registrerade råd och assistans när det gäller utövandet av deras rättigheter och samarbeta med medlemsstaternas tillsynsmyndigheter, och

c) vilka internationella åtaganden det berörda tredjelandet eller den berörda internationella organisationen har gjort, eller andra skyldigheter som följer av rättsligt bindande konventioner eller instrument samt av dess deltagande i multilaterala eller regionala system, särskilt rörande skydd av personuppgifter.

3. Kommissionen får, efter att ha bedömt om det föreligger en adekvat skyddsnivå, genom en genomförandeakt besluta att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom ett tredjeland, eller en internationell organisation säkerställer en adekvat skyddsnivå i den mening som avses i punkt 2 i den här artikeln. Genomförandeakten ska inrätta en mekanism för regelbunden översyn, minst vart fjärde år, som ska beakta all relevant utveckling i det tredjelandet eller den internationella organisationen. Beslutets territoriella och sektorsmässiga tillämpning ska regleras i genomförandeakten, där det också i förekommande fall ska anges vilken eller vilka myndigheter som är tillsynsmyndighet(er) enligt punkt 2 b i den här artikeln. Genomförandeakten ska antas i enlighet med det gransknings förfarande som avses i artikel 93.2.

4. Kommissionen ska fortlöpande övervaka utveckling i tredjeländer och internationella organisationer vilken kan påverka hur beslut som antagits enligt punkt 3 i den här artikeln och beslut som antagits på grundval av artikel 25.6 i direktiv 95/46/EG fungerar.

5. Kommissionen ska, när tillgänglig information visar, i synnerhet efter den översyn som avses i punkt 3 i den här artikeln, att ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom tredjelandet i fråga eller en internationell organisation inte längre säkerställer adekvat skydd i den mening som avses i punkt 2 i den här artikeln och, i den mån det behövs, genom genomförandeakter återkalla, ändra eller upphäva det beslut som avses i punkt 3 i den här artikeln utan retroaktiv verkan. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 93.2.

När det föreligger vederbörligen motiverade och tvingande skäl till skyndsamhet ska kommissionen anta omedelbart tillämpliga genomförandeakter i enlighet med det förfarande som avses i artikel 93.3.

6. Kommissionen ska samråda med tredjelandet eller den internationella organisationen i fråga för att lösa den situation som lett till beslutet enligt punkt 5.

7. Beslut enligt punkt 5 i den här artikeln ska inte påverka överföring av personuppgifter till tredjelandet, ett territorium eller en eller flera specificerade sektorer inom tredjelandet, eller den internationella organisationen i fråga enligt artiklarna 46–49.

8. Kommissionen ska i Europeiska unionens officiella tidning och på sin webbplats offentliggöra en förteckning över de tredjeländer och de territorier och specificerade sektorer i ett givet tredjeland samt de internationella organisationer för vilka den har fastställt att en adekvat skyddsnivå inte eller inte längre säkerställs.

739

Bilaga 2

SOU 2017:66

L 119/62

SV

Europeiska unionens officiella tidning

4.5.2016

9. De beslut som antas av kommissionen på grundval av artikel 25.6 i direktiv 95/46/EG ska förbli i kraft tills de ändrats, ersatts eller upphävts av ett kommissionsbeslut som antagits i enlighet med punkt 3 eller 5 i den här artikeln.

Artikel 46

Överföring som omfattas av lämpliga skyddsåtgärder

1. I avsaknad av ett beslut i enlighet med artikel 45.3, får en personuppgiftsansvarig eller ett personuppgiftsbiträde endast överföra personuppgifter till ett tredjeland eller en internationell organisation efter att ha vidtagit lämpliga skyddsåtgärder, och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga.

2. Lämpliga skyddsåtgärder enligt punkt 1 får, utan att det krävs särskilt tillstånd från en övervakningsmyndighet, ta formen av

a) ett rättsligt bindande och verkställbart instrument mellan offentliga myndigheter eller organ,

b) bindande företagsbestämmelser i enlighet med artikel 47,

c) standardiserade dataskyddsbestämmelser som antas av kommissionen i enlighet med det granskningsförfarande som avses i artikel 93.2,

d) standardiserade dataskyddsbestämmelser som antagits av en tillsynsmyndighet och godkänts av kommissionen i enlighet med det granskningsförfarande som avses i artikel 93.2,

e) en godkänd uppförandekod enlig artikel 40 tillsammans med rättsligt bindande och verkställbara åtaganden för den personuppgiftsansvarige eller personuppgiftsbiträdet i tredjelandet att tillämpa lämpliga skyddsåtgärder, även när det gäller registrerades rättigheter, eller

f) en godkänd certifieringsmekanism enlig artikel 42 tillsammans med rättsligt bindande och verkställbara åtaganden för den personuppgiftsansvarige, personuppgiftsbiträdet i tredjelandet att tillämpa lämpliga skyddsåtgärder, även när det gäller de registrerades rättigheter.

3. Med förbehåll för tillstånd från den behöriga tillsynsmyndigheten, får lämpliga skyddsåtgärder enligt punkt 1 också i synnerhet ta formen av

a) avtalsklausuler mellan den personuppgiftsansvarige eller personuppgiftsbiträdet och den personuppgiftsansvarige, personuppgiftsbiträdet eller mottagaren av personuppgifterna i tredjelandet eller den internationella organisationen, eller

b) bestämmelser som ska införas i administrativa överenskommelser mellan offentliga myndigheter eller organ vilka inbegriper verkställbara och faktiska rättigheter för registrerade.

4. Tillsynsmyndigheten ska tillämpa den mekanism för enhetlighet som avses i artikel 63 i de fall som avses i punkt 3 i den här artikeln.

5. Tillstånd från en medlemsstat eller tillsynsmyndighet på grundval av artikel 26.2 i direktiv 95/46/EG ska förbli giltigt tills det, vid behov, ändrats, ersatts eller upphävts av den tillsynsmyndigheten. De beslut som fattas av kommissionen på grundval av artikel 26.4 i direktiv 95/46/EG ska förbli i kraft tills de, vid behov, ändrats, ersatts eller upphävts av ett kommissionsbeslut som antagits i enlighet med punkt 2 i den här artikeln.

Artikel 47

Bindande företagsbestämmelser

1. Den behöriga tillsynsmyndigheten ska godkänna bindande företagsbestämmelser i enlighet med den mekanism för enhetlighet som föreskrivs i artikel 63 under förutsättning att de

a) är rättslig bindande, tillämpas på, och verkställs av alla delar som berörs inom den koncern eller grupp av företag som deltar i gemensam ekonomisk verksamhet, inklusive deras anställda,

740

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/63

b) innehåller uttryckliga bestämmelser om de registrerades lagstadgade rättigheter när det gäller behandlingen av deras personuppgifter, och

c) uppfyller villkoren i punkt 2.

2. De bindande företagsbestämmelser som avses i punkt 1 ska närmare ange åtminstone följande:

a) struktur och kontaktuppgifter för den koncern eller grupp av företag som deltar i gemensam ekonomisk verksamhet och för var och en av dess medlemmar,

b) vilka överföringar eller uppsättningar av överföringar av uppgifter som omfattas, inklusive kategorierna av personuppgifter, typen av behandling och dess ändamål, den typ av registrerade som berörs samt vilket eller vilka tredjeländer som avses,

c) bestämmelsernas rättsligt bindande natur, såväl internt som externt,

d) tillämpningen av allmänna principer för dataskydd, särskilt avgränsning av syften, uppgiftsminimering, begränsade lagringsperioder, datakvalitet, inbyggt dataskydd och dataskydd som standard, rättslig grund för behandling, behandling av särskilda kategorier av personuppgifter, åtgärder för att säkerställa datasäkerhet och villkoren när det gäller vidare överföring av uppgifter till organ som inte är bundna av bindande företagsbestämmelser,

e) de registrerades rättigheter avseende behandling och medlen för att utöva dessa rättigheter, inklusive rätten att inte bli föremål för beslut grundade enbart på automatisk behandling, inklusive profilering, enligt artikel 22, rätten att inge klagomål till den behöriga tillsynsmyndigheten och till behöriga domstolar i medlemsstaterna enligt artikel 79, rätten till prövning samt i förekommande fall rätten till kompensation för överträdelse av de bindande företagsbe stämmelserna,

f) att den personuppgiftsansvarige eller personuppgiftsbiträdet som är etablerad inom en medlemsstats territorium tar på sig ansvaret om en berörd enhet som inte är etablerad inom unionen bryter mot de bindande företagsbestäm melserna; den personuppgiftsansvarige eller personuppgiftsbiträdet får helt eller delvis undantas från denna skyldighet endast på villkor att det kan visas att den berörda enheten i företagsgruppen inte kan hållas ansvarig för den skada som har uppkommit,

g) hur de registrerade ska informeras om innehållet i de bindande företagsbestämmelserna, särskilt de bestämmelser som avses i leden d, e och f i denna punkt utöver den information som avses i artiklarna 13 och 14,

h) uppgifterna för varje dataskyddsombud som utsetts i enlighet med artikel 37, eller varje annan person eller enhet med ansvar för kontrollen av att de bindande företagsbestämmelserna följs inom den koncern eller grupp av företag som deltar i gemensam ekonomisk verksamhet, samt i fråga om utbildning och hantering av klagomål,

i) förfaranden för klagomål,

j) rutinerna inom den koncern eller grupp av företag som deltar i gemensam ekonomisk verksamhet för att kontrollera att de bindande företagsreglerna följs; sådana rutiner ska inbegripa dataskyddstillsyn och metoder för att säkerställa korrigerande åtgärder för att skydda de registrerades rättigheter; resultaten av sådana kontroller bör meddelas den person eller enhet som avses i led h och styrelsen i det kontrollerande företaget i koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet, och bör på begäran vara tillgänglig för den behöriga tillsynsmyndig heten,

k) rutinerna för att rapportera och dokumentera ändringar i bestämmelserna, samt rutinerna för att rapportera dessa ändringar till tillsynsmyndigheten,

l) rutinerna för att samarbeta med tillsynsmyndigheten i syfte att se till att alla medlemmar i den koncern eller grupp av företag som deltar i gemensam ekonomisk verksamhet följer reglerna, särskilt genom att meddela tillsynsmyndig heten resultaten av kontroller av de åtgärder som avses i led j,

m) rutinerna för att till den behöriga tillsynsmyndigheten rapportera alla rättsliga krav som en medlem i koncernen eller gruppen av företag som deltar i gemensam ekonomisk verksamhet är underkastad i ett tredjeland och som sannolikt kommer att ha en avsevärd negativ inverkan på de garantier som ges genom de bindande företagsbestämmelserna, och

n) lämplig utbildning om dataskydd för personal som har ständig eller regelbunden tillgång till personuppgifter.

741

Bilaga 2

SOU 2017:66

L 119/64

SV

Europeiska unionens officiella tidning

4.5.2016

3. Kommissionen får närmare ange vilket format och vilka rutiner som ska användas för de personuppgiftsansvarigas, personuppgiftsbiträdenas och tillsynsmyndigheternas utbyte av information om bindande företagsbestämmelser i den mening som avses i denna artikel. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 93.2.

Artikel 48

Överföringar och utlämnanden som inte är tillåtna enligt unionsrätten

Domstolsbeslut eller beslut från myndigheter i tredjeland där det krävs att en personuppgiftsansvarig eller ett personupp giftsbiträde överför eller lämnar ut personuppgifter får erkännas eller genomföras på något som helst sätt endast om det grundar sig på en internationell överenskommelse, såsom ett avtal om ömsesidig rättslig hjälp, som gäller mellan det begärande tredjelandet och unionen eller en medlemsstat, utan att detta påverkar andra grunder för överföring enligt detta kapitel.

Artikel 49

Undantag i särskilda situationer

1. Om det inte föreligger något beslut om adekvat skyddsnivå enligt artikel 45.3, eller om lämpliga skyddsåtgärder enligt artikel 46, inbegripet bindande företagsbestämmelser, får en överföring eller uppsättning av överföringar av personuppgifter till ett tredjeland eller en internationell organisation endast ske om något av följande villkor är uppfyllt:

a) Den registrerade har uttryckligen samtyckt till att uppgifterna får överföras, efter att först ha blivit informerad om de eventuella riskerna med sådana överföringar för den registrerade när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder.

b) Överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige eller för att genomföra åtgärder som föregår ett sådant avtal på den registrerades begäran.

c) Överföringen är nödvändig för att ingå eller fullgöra ett avtal mellan den personuppgiftsansvarige och en annan fysisk eller juridisk person i den registrerades intresse.

d) Överföringen är nödvändig av viktiga skäl som rör allmänintresset.

e) Överföringen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk.

f) Överföringen är nödvändig för att skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke.

g) Överföringen görs från ett register som enligt unionsrätten eller medlemsstaternas nationella rätt är avsett att ge allmänheten information och som är tillgängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, men endast i den utsträckning som de i unionsrätten eller i medlemsstaternas nationella rätt angivna villkoren för tillgänglighet uppfylls i det enskilda fallet.

När en överföring inte skulle kunna grundas på en bestämmelse i artikel 45 eller 46, inklusive bestämmelserna om bindande företagsbestämmelser, och inget av undantagen för en särskild situation som avses i första stycket i den här punkten är tillämpligt, får en överföring till ett tredjeland eller en internationell organisation äga rum endast omöverföringen inte är repetitiv, endast gäller ett begränsat antal registrerade, är nödvändig för ändamål som rör den personuppgiftsansvariges tvingande berättigade intressen och den registrerades intressen eller rättigheter och friheter inte väger tyngre, och den personuppgiftsansvarige har bedömt samtliga omständigheter kring överföringen av uppgifter och på grundval av denna bedömning vidtagit lämpliga skyddsåtgärder för att skydda personuppgifter. Den personuppgift sansvarige ska informera tillsynsmyndigheten om överföringen. Den personuppgiftsansvarige ska utöver tillhanda hållande av den information som avses i artiklarna 13 och 14 informera den registrerade om överföringen och om de tvingande berättigade intressen som eftersträvas.

2. En överföring enligt led g i punkt 1 första stycket får inte omfatta alla personuppgifter eller hela kategorier av personuppgifter som finns i registret. Om registret är avsett att vara tillgängligt för personer med ett berättigat intresse ska överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna.

742

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/65

3. Leden a, b och c i punkt 1 första stycket samt andra stycket i samma punkt ska inte gälla åtgärder som vidtas av offentliga myndigheter som ett led i myndighetsutövning.

4. Det allmänintresse som avses i led d i punkt 1 första stycket ska vara erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av.

5. Saknas beslut om adekvat skyddsnivå, får unionsrätten eller medlemsstaternas nationella rätt med hänsyn till viktiga allmänintressen uttryckligen fastställa gränser för överföringen av specifika kategorier av personuppgifter till ett tredjeland eller en internationell organisation. Medlemsstaterna ska underrätta kommissionen om sådana bestämmelser.

6. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska bevara uppgifter både om bedömningen och om de lämpliga skyddsåtgärder som avses i punkt 1 andra stycket i den här artikeln i det register som avses i artikel 30.

Artikel 50

Internationellt samarbete för skydd av personuppgifter

När det gäller tredjeländer och internationella organisationer ska kommissionen och tillsynsmyndigheterna vidta lämpliga åtgärder för att

a) utveckla rutiner för det internationella samarbetet för att underlätta en effektiv tillämpning av lagstiftningen om skydd av personuppgifter,

b) på internationell nivå erbjuda ömsesidigt bistånd för en effektiv tillämpning av lagstiftningen om skydd av personuppgifter, bland annat genom underrättelse, hänskjutande av klagomål, bistånd vid utredningar samt informationsutbyte, med iakttagande av lämpliga skyddsåtgärder för personuppgifter samt skyddet av andra grundläggande rättigheter och friheter,

c) involvera berörda aktörer i diskussioner och åtgärder som syftar till att öka det internationella samarbetet när det gäller tillämpningen av lagstiftningen om skydd av personuppgifter,

d) främja utbyte och dokumentation om lagstiftning och praxis för skydd av personuppgifter, inklusive avseende behörighetskonflikter med tredjeländer.

KAPITEL VI

Oberoende tillsynsmyndigheter

Avsnitt 1

Oberoende ställning

Artikel 51

Tillsynsmyndighet

1. Varje medlemsstat ska föreskriva att en eller flera offentliga myndigheter ska vara ansvariga för att övervaka tillämpningen av denna förordning, i syfte att skydda fysiska personers grundläggande rättigheter och friheter i samband med behandling samt att underlätta det fria flödet av sådana uppgifter inom unionen (nedan kallad tillsynsmyndighet).

2. Varje tillsynsmyndighet ska bidra till en enhetlig tillämpning av denna förordning i hela unionen. För detta ändamål ska tillsynsmyndigheterna samarbeta såväl sinsemellan som med kommissionen i enlighet med kapitel VII.

3. Om det finns fler än en tillsynsmyndighet i en medlemsstat ska medlemsstaten utse den tillsynsmyndighet som ska företräda dessa myndigheter i styrelsen; medlemsstaten ska också upprätta en rutin för att se till att övriga myndigheter följer reglerna för den mekanism för enhetlighet som avses i artikel 63.

4. Varje medlemsstat ska senast den 25 maj 2018 anmäla till kommissionen vilka nationella bestämmelser den antar i enlighet med detta kapitel, och alla framtida ändringar som rör dessa bestämmelser ska anmälas utan dröjsmål.

743

Bilaga 2

SOU 2017:66

L 119/66

SV

Europeiska unionens officiella tidning

4.5.2016

Artikel 52

Oberoende

1. Varje tillsynsmyndighet ska vara fullständigt oberoende i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning.

2. Varje tillsynsmyndighets ledamot eller ledamöter ska i utförandet av sina uppgifter och utövandet av sina befogenheter i enlighet med denna förordning stå fria från utomstående påverkan, direkt såväl som indirekt, och får varken begära eller ta emot instruktioner av någon.

3. Tillsynsmyndighetens ledamöter ska avhålla sig från alla handlingar som är oförenliga med deras skyldigheter och under sin mandattid avstå från all annan avlönad eller oavlönad yrkesverksamhet som står i strid med deras tjänsteutövning.

4. Varje medlemsstat ska säkerställa att varje tillsynsmyndighet förfogar över de personella, tekniska och finansiella resurser samt de lokaler och den infrastruktur som behövs för att myndigheten ska kunna utföra sina uppgifter och utöva sina befogenheter, inklusive inom ramen för det ömsesidiga biståndet, samarbetet och deltagandet i styrelsens verksamhet.

5. Varje medlemsstat ska säkerställa att varje tillsynsmyndighet väljer och förfogar över egen personal, som ska ta instruktioner uteslutande från den berörda tillsynsmyndighetens ledamot eller ledamöter.

6. Varje medlemsstat ska säkerställa att varje tillsynsmyndighet blir föremål för finansiell kontroll, utan att detta påverkar tillsynsmyndighetens oberoende och att de förfogar över en separat, offentlig årsbudget som kan ingå i den övergripande statsbudgeten eller nationella budgeten.

Artikel 53

Allmänna villkor för tillsynsmyndighetens ledamöter

1. Medlemsstaterna ska föreskriva att varje ledamot av deras tillsynsmyndigheter ska utnämnas genom ett genom ett öppet förfarande med insyn av

—deras parlament,

—deras regering,

—deras statschef, eller

—ett oberoende organ som genom medlemsstatens nationella rätt anförtrotts utnämningen.

2. Varje ledamot ska ha de kvalifikationer, den erfarenhet och den kompetens, särskilt på området skydd av personuppgifter, som krävs för att ledamoten ska kunna utföra sitt uppdrag och utöva sina befogenheter.

3. En ledamots uppdrag ska upphöra då mandattiden löper ut eller om ledamoten avgår eller avsätts från sin tjänst i enlighet med den berörda medlemsstatens nationella rätt.

4. En ledamot får avsättas endast på grund av grov försummelse eller när ledamoten inte längre uppfyller de villkor som krävs för att utföra uppdraget.

Artikel 54

Regler för inrättandet av en tillsynsmyndighet

1. Varje medlemsstat ska fastställa följande i lag:

a) Varje tillsynsmyndighets inrättande.

744

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/67

b) De kvalifikationer och de villkor för lämplighet som krävs för att någon ska kunna utnämnas till ledamot av en tillsynsmyndighet.

c) Regler och förfaranden för att utse varje tillsynsmyndighets ledamot eller ledamöter.

d) Mandattiden för varje tillsynsmyndighets ledamot eller ledamöter, vilken inte får understiga fyra år, utom vid tillsättandet av de första ledamöterna efter den 24 maj 2016, då ett stegvis tillsättningsförfarande med kortare perioder för några av ledamöterna får tillämpas om detta är nödvändigt för att säkerställa myndighetens oberoende.

e) Huruvida varje tillsynsmyndighets ledamot eller ledamöter får ges förnyat mandat, och om så är fallet, för hur många perioder.

f) Vilka villkor som gäller för de skyldigheter som varje tillsynsmyndighets ledamot eller ledamöter och personal har, förbud mot handlingar, yrkesverksamhet och förmåner som står i strid därmed under och efter mandattiden och vilka bestämmelser som gäller för anställningens upphörande.

2. Varje tillsynsmyndighets ledamot eller ledamöter och personal ska i enlighet med unionsrätten eller medlemsstaternas nationella rätt omfattas av tystnadsplikt både under och efter sin mandattid vad avser konfidentiell information som de fått kunskap om under utförandet av deras uppgifter eller utövandet av deras befogenheter. Under mandatperioden ska denna tystnadsplikt i synnerhet gälla rapportering från fysiska personer om överträdelser av denna förordning.

Avsnitt 2

Behör ighet, uppgif ter och befogenheter

Artikel 55

Behörighet

1. Varje tillsynsmyndighet ska vara behörig att utföra de uppgifter och utöva de befogenheter som tilldelas den enligt denna förordning inom sin egen medlemsstats territorium.

2. Om behandling utförs av myndigheter eller privata organ som agerar på grundval av artikel 6.1 c eller e ska tillsynsmyndigheten i den berörda medlemsstaten vara behörig. I sådana fall ska artikel 56 inte tillämpas.

3. Tillsynsmyndigheterna ska inte vara behöriga att utöva tillsyn över domstolar som behandlar personuppgifter i sin dömande verksamhet.

Artikel 56

Den ansvariga tillsynsmyndighetens behörighet

1. Utan att det påverkar tillämpningen av artikel 55 ska tillsynsmyndigheten för den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga verksamhetsställe eller enda verksamhetsställe vara behörig att agera som ansvarig tillsynsmyndighet för den personuppgiftsansvariges eller personuppgiftsbiträdets gränsöverskridande behandling i enlighet med det förfarande som föreskrivs i artikel 60.

2. Genom undantag från punkt 1 ska varje tillsynsmyndighet vara behörig att behandla ett klagomål som lämnats in till denna eller en eventuell överträdelse av denna förordning, om sakfrågan i ärendet endast rör ett verksamhetsställe i medlemsstaten eller i väsentlig grad påverkar registrerade endast i medlemsstaten.

3. I de fall som avses i punkt 2 i den här artikeln ska tillsynsmyndigheten utan dröjsmål informera den ansvariga tillsynsmyndigheten om detta ärende. Inom tre veckor från det att den underrättats ska den ansvariga tillsynsmyndighe ten besluta huruvida den kommer att behandla ärendet i enlighet med det förfarande som föreskrivs i artikel 60, med hänsyn till huruvida den personuppgiftsansvarige eller personuppgiftsbiträdet har eller inte har ett verksamhetsställe som är beläget i den medlemsstat där den tillsynsmyndighet som lämnat informationen är belägen.

745

Bilaga 2

SOU 2017:66

L 119/68

SV

Europeiska unionens officiella tidning

4.5.2016

4. Om den ansvariga tillsynsmyndigheten beslutar att behandla ärendet ska det ske i enlighet med det förfarande som föreskrivs i artikel 60. Den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten får lämna in ett utkast till beslut till den ansvariga tillsynsmyndigheten. Den ansvariga tillsynsmyndigheten ska ta största möjliga hänsyn till detta utkast till beslut när det utarbetar det utkast till beslut som avses i artikel 60.3.

5. Om den ansvariga tillsynsmyndigheten beslutar att inte behandla ärendet ska den tillsynsmyndighet som underrättade den ansvariga tillsynsmyndigheten behandla ärendet i enlighet med artiklarna 61 och 62.

6. Den ansvariga tillsynsmyndigheten ska vara den personuppgiftsansvariges eller personuppgiftsbiträdets enda motpart när det gäller den registreringsansvariges eller den personuppgiftsbiträdets gränsöverskridande behandling.

Artikel 57

Uppgifter

1. Utan att det påverkar de andra uppgifter som föreskrivs i denna förordning ska varje tillsynsmyndighet på sitt territorium ansvara för följande:

a) Övervaka och verkställa tillämpningen av denna förordning.

b) Öka allmänhetens medvetenhet om och förståelse för risker, regler, skyddsåtgärder och rättigheter i fråga om behandling. Särskild uppmärksamhet ska ägnas åt insatser som riktar sig till barn.

c) I enlighet med medlemsstatens nationella rätt ge rådgivning åt det nationella parlamentet, regeringen och andra institutioner och organ om lagstiftningsåtgärder och administrativa åtgärder rörande skyddet av fysiska personers rättigheter och friheter när det gäller behandling.

d) Öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter enligt denna förordning.

e) På begäran tillhandahålla information till registrerade om hur de ska utöva sina rättigheter enligt denna förordning, och om så krävs samarbeta med tillsynsmyndigheter i andra medlemsstater för detta ändamål.

f) Behandla klagomål från en registrerad eller från ett organ, en organisation eller en sammanslutning enligt artikel 80, och där så är lämpligt undersöka den sakfråga som klagomålet gäller och inom rimlig tid underrätta den enskilde om hur undersökningen fortskrider och om resultatet, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet.

g) Samarbeta, inbegripet utbyta information, med och ge ömsesidigt bistånd till andra tillsynsmyndigheter för att se till att denna förordning tillämpas och verkställs på ett enhetligt sätt.

h) Utföra undersökningar om tillämpningen av denna förordning, inbegripet på grundval av information som erhålls från en annan tillsynsmyndighet eller annan myndighet.

i) Följa sådan utveckling som påverkar skyddet av personuppgifter, bland annat inom informations- och kommunika tionsteknik och affärspraxis.

j) Anta sådana standardavtalsklausuler som avses i artiklarna 28.8 och 46.2 d.

k) Upprätta och föra en förteckning när det gäller kravet på en konsekvensbedömning avseende dataskydd enligt artikel 35.4.

l) Ge råd om behandling av personuppgifter enligt artikel 36.2.

m) Främja framtagande av uppförandekoder enligt artikel 40.1 samt yttra sig över och godkänna sådana uppförandekoder som tillhandahåller tillräckliga garantier, i enlighet med artikel 40.5.

n) Uppmuntra till inrättandet av certifieringsmekanismer för dataskydd och av sigill och märkningar för dataskydd i enlighet med artikel 42.1 samt godkänna certifieringskriterierna i enlighet med artikel 42.5.

o) I tillämpliga fall genomföra en periodisk översyn av certifieringar som utfärdats i enlighet med artikel 42.7.

746

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/69

p) Utarbeta och offentliggöra kriterier för ackreditering av ett organ för övervakning av uppförandekoder enligt artikel 41 och ett certifieringsorgan enligt artikel 43.

q) Ackreditera ett organ för övervakning av uppförandekoder enligt artikel 41 och ett certifieringsorgan enligt artikel 43.

r) Godkänna sådana avtalsklausuler och bestämmelser som avses i artikel 46.3.

s) Godkänna sådana bindande företagsbestämmelser som avses i artikel 47.

t) Bidra till styrelsens verksamhet.

u) Hålla arkiv över överträdelser av denna förordning och åtgärder som vidtagits i enlighet med artikel 58.2.

v) Utföra eventuella andra uppgifter som rör skyddet av personuppgifter.

2. Varje tillsynsmyndighet ska underlätta inlämningen av klagomål enligt punkt 1 f genom åtgärder såsom ett särskilt formulär för ändamålet, vilket också kan fyllas i elektroniskt, utan att andra kommunikationsformer utesluts.

3. Utförandet av alla tillsynsmyndigheters uppgifter ska vara avgiftsfritt för den registrerade och, i tillämpliga fall, för dataskyddsombudet.

4. Om en begäran är uppenbart ogrundad eller orimlig, särskilt på grund av dess repetitiva karaktär, får tillsynsmyn digheten ta ut en rimlig avgift grundad på de administrativa kostnaderna eller vägra att tillmötesgå begäran. Det åligger tillsynsmyndigheten att visa att begäran är uppenbart ogrundad eller orimlig.

Artikel 58

Befogenheter

1. Varje tillsynsmyndighet ska ha samtliga följande utredningsbefogenheter

a) Beordra den personuppgiftsansvarige eller personuppgiftsbiträdet, och i tillämpliga fall den personuppgiftsansvariges eller personuppgiftsbiträdets företrädare, att lämna all information som myndigheten behöver för att kunna fullgöra sina uppgifter.

b) Genomföra undersökningar i form av dataskyddstillsyn.

c) Genomföra en översyn av certifieringar som utfärdats i enlighet med artikel 42.7.

d) Meddela den personuppgiftsansvarige eller personuppgiftsbiträdet om en påstådd överträdelse av denna förordning.

e) Från den personuppgiftsansvarige och personuppgiftsbiträdet få tillgång till alla personuppgifter och all information som tillsynsmyndigheten behöver för att kunna fullgöra sina uppgifter.

f) Få tillträde till alla lokaler som tillhör den personuppgiftsansvarige och personuppgiftsbiträdet, inbegripet tillgång till all utrustning och alla andra medel för behandling av personuppgifter i överensstämmelse med unionens processrätt eller medlemsstaternas nationella processrätt.

2. Varje tillsynsmyndighet ska ha samtliga följande korrigerande befogenheter

a) Utfärda varningar till en personuppgiftsansvarig eller personuppgiftsbiträdet om att planerade behandlingar sannolikt kommer att bryta mot bestämmelserna i denna förordning.

b) Utfärda reprimander till en personuppgiftsansvarig eller personuppgiftsbiträdet om behandling bryter mot bestämmelserna i denna förordning.

c) Förelägga den personuppgiftsansvarige eller personuppgiftsbiträdet att tillmötesgå den registrerades begäran att få utöva sina rättigheter enligt denna förordning.

747

Bilaga 2

SOU 2017:66

L 119/70

SV

Europeiska unionens officiella tidning

4.5.2016

d) Förelägga en personuppgiftsansvarig eller ett personuppgiftsbiträde att se till att behandlingen sker i enlighet med bestämmelserna i denna förordning och om så krävs på ett specifikt sätt och inom en specifik period,

e) Förelägga den personuppgiftsansvarige att meddela den registrerade att en personuppgiftsincident har inträffat.

f) Införa en tillfällig eller definitiv begränsning av, inklusive ett förbud mot, behandling.

g) Förelägga om rättelse eller radering av personuppgifter samt begränsning av behandling enligt artiklarna 16, 17 och 18 och underrätta mottagare till vilka personuppgifterna har lämnats ut om dessa åtgärder enligt artiklarna 17.2 och 19.

h) Återkalla en certifiering eller beordra certifieringsorganet att återkalla en certifiering som utfärdats enligt artikel 42 eller 43, eller beordra certifieringsorganet att inte utfärda certifiering om kraven för certifiering inte eller inte längre uppfylls.

i) Påföra administrativa sanktionsavgifter i enlighet med artikel 83 utöver eller i stället för de åtgärder som avses i detta stycke, beroende på omständigheterna i varje enskilt fall.

j) Förelägga om att flödet av uppgifter till en mottagare i tredje land eller en internationell organisation ska avbrytas.

3. Varje tillsynsmyndighet ska ha samtliga följande befogenheter att utfärda tillstånd och att ge råd:

a) Ge råd till den personuppgiftsansvarige i enlighet med det förfarande för förhandssamråd som avses i artikel 36.

b) På eget initiativ eller på begäran avge yttranden till det nationella parlamentet, medlemsstatens regering eller, i enlighet med medlemsstatens nationella rätt, till andra institutioner och organ samt till allmänheten, i frågor som rör skydd av personuppgifter.

c) Ge tillstånd till behandling enligt artikel 36.5 om medlemsstatens rätt kräver ett sådant förhandstillstånd.

d) Avge ett yttrande om och godkänna utkast till uppförandekoder enligt artikel 40.5.

e) Ackreditera certifieringsorgan i enlighet med artikel 43.

f) Utfärda certifieringar och godkänna kriterier för certifiering i enlighet med artikel 42.5.

g) Anta standardiserade dataskyddsbestämmelser enligt artiklarna 28.8 och 46.2 d.

h) Godkänna avtalsklausuler enligt artikel 46.3 a.

i) Godkänna administrativa överenskommelser enligt artikel 46.3 b.

j) Godkänna bindande företagsbestämmelser enligt artikel 47.

4. Utövandet av de befogenheter som tillsynsmyndigheten tilldelas enligt denna artikel ska omfattas av lämpliga skyddsåtgärder, inbegripet effektiva rättsmedel och rättssäkerhet, som fastställs i unionsrätten och i medlemsstaternas nationella rätt i enlighet med stadgan.

5. Varje medlemsstat ska i lagstiftning fastställa att dess tillsynsmyndighet ska ha befogenhet att upplysa de rättsliga myndigheterna om överträdelser av denna förordning och vid behov att inleda eller på övrigt vis delta i rättsliga förfaranden, för att verkställa bestämmelserna i denna förordning.

6. Varje medlemsstat får i lagstiftning föreskriva att dess tillsynsmyndighet ska ha ytterligare befogenheter utöver dem som avses i punkterna 1, 2 och 3. Utövandet av dessa befogenheter ska inte påverka den effektiva tillämpningen av kapitel VII.

Artikel 59

Verksamhetsrapporter

Varje tillsynsmyndighet ska upprätta en årlig rapport om sin verksamhet, vilken kan omfatta en förteckning över typer av anmälda överträdelser och typer av åtgärder som vidtagits i enlighet med artikel 58.2. Rapporterna ska översändas till det nationella parlamentet, regeringen och andra myndigheter som utsetts genom medlemsstatens nationella rätt. De ska göras tillgängliga för allmänheten, kommissionen och styrelsen.

748

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/71

KAPITEL VII

Samarbete och enhetlighet

Avsnitt 1

Samarbete

Artikel 60

Samarbete mellan den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna

1. Den ansvariga tillsynsmyndigheten ska samarbeta med de andra berörda tillsynsmyndigheterna i enlighet med denna artikel i en strävan att uppnå samförstånd. Den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheter na ska utbyta all relevant information med varandra.

2. Den ansvariga tillsynsmyndigheten får när som helst begära att andra berörda tillsynsmyndigheter ger ömsesidigt bistånd i enlighet med artikel 61 och får genomföra gemensamma insatser i enlighet med artikel 62, i synnerhet för att utföra utredningar eller övervaka genomförandet av en åtgärd som avser en personuppgiftsansvarig eller ett personupp giftsbiträde som är etablerad i en annan medlemsstat.

3. Den ansvariga tillsynsmyndigheten ska utan dröjsmål meddela de andra berörda tillsynsmyndigheterna den relevanta informationen i ärendet. Den ska utan dröjsmål lägga fram ett utkast till beslut för de andra berörda tillsyns myndigheterna så att de kan avge ett yttrande och ta vederbörlig hänsyn till deras synpunkter.

4. Om någon av de andra berörda tillsynsmyndigheterna inom en period av fyra veckor efter att de har rådfrågats i enlighet med punkt 3 i den här artikeln uttrycker en relevant och motiverad invändning mot utkastet till beslut ska den ansvariga tillsynsmyndigheten, om den inte instämmer i den relevanta och motiverade invändningen eller anser att

invändningen inte är relevant eller motiverad, överlämna ärendet till den mekanism för enhetlighet som avses i artikel 63.

5. Om den ansvariga tillsynsmyndigheten avser att följa den relevanta och motiverade invändningen ska den till de andra berörda tillsynsmyndigheterna överlämna ett reviderat utkast till beslut så att de kan avge ett yttrande. Detta reviderade utkast till beslut ska omfattas av det förfarande som avses i punkt 4 inom en period av två veckor.

6. Om ingen av de andra berörda tillsynsmyndigheterna har gjort invändningar mot det utkast till beslut som den ansvariga tillsynsmyndigheten har lagt fram inom den period som avses i punkterna 4 och 5 ska den ansvariga tillsyns myndigheten och de berörda tillsynsmyndigheterna anses samtycka till detta utkast till beslut och ska vara bundna av det.

7. Den ansvariga tillsynsmyndigheten ska anta och meddela beslutet till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe, allt efter omständigheterna, och underrätta de andra berörda tillsynsmyndigheterna och styrelsen om beslutet i fråga, inbegripet en sammanfattning av relevanta fakta och en relevant motivering. Den tillsynsmyndighet till vilken ett klagomål har lämnats in ska underrätta den enskilde om beslutet.

8. Om ett klagomål avvisas eller avslås ska den tillsynsmyndighet till vilken klagomålet lämnades in, genom undantag från punkt 7, anta beslutet och meddela den enskilde samt informera den personuppgiftsansvarige.

9. Om den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna är överens om att avvisa eller avslå delar av ett klagomål och att vidta åtgärder beträffande andra delar av klagomålet ska ett separat beslut antas för var och en av dessa delar av frågan. Den ansvariga tillsynsmyndigheten ska anta beslutet om den del som gäller åtgärder som avser den personuppgiftsansvarige och meddela det till den personuppgiftsansvariges eller personuppgiftsbiträdets huvudsakliga eller enda verksamhetsställe på medlemsstatens territorium och underrätta den enskilde om detta, medan den enskildes tillsynsmyndighet ska anta beslutet för den del som gäller avvisande av eller avslag på klagomålet och meddela det till den enskilde och underrätta den personuppgiftsansvarige eller personuppgiftsbiträdet om detta.

10. Efter att den personuppgiftsansvarige eller personuppgiftsbiträdet har meddelats om den ansvariga myndighetens beslut i enlighet med punkterna 7 och 9 ska den personuppgiftsansvarige eller personuppgiftsbiträdet vidta nödvändiga åtgärder för att se till att beslutet efterlevs vad gäller behandling med koppling till alla deras verksamhetsställen i unionen. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska meddela den ansvariga tillsynsmyndigheten vilka åtgärder som har vidtagits för att efterleva beslutet, och den ansvariga tillsynsmyndigheten ska informera de andra berörda tillsynsmyndigheterna.

749

Bilaga 2

SOU 2017:66

L 119/72

SV

Europeiska unionens officiella tidning

4.5.2016

11. Om en berörd tillsynsmyndighet under exceptionella omständigheter har skäl att anse att det finns ett brådskande behov av att agera för att skydda registrerades intressen ska det skyndsamma förfarande som avses i artikel 66 tillämpas.

12. Den ansvariga tillsynsmyndigheten och de andra berörda tillsynsmyndigheterna ska förse varandra med den information som krävs enligt denna artikel på elektronisk väg med användning av ett standardiserat format.

Artikel 61

Ömsesidigt bistånd

1. Tillsynsmyndigheterna ska utbyta relevant information och ge ömsesidigt bistånd i arbetet för att genomföra och tillämpa denna förordning på ett enhetligt sätt, och ska införa åtgärder som bidrar till ett verkningsfullt samarbete. Det ömsesidiga biståndet ska i synnerhet omfatta begäranden om information och tillsynsåtgärder, till exempel begäranden om utförande av förhandstillstånd och förhandssamråd, inspektioner och utredningar.

2. Varje tillsynsmyndighet ska vidta lämpliga åtgärder som krävs för att besvara en begäran från en annan tillsynsmyndighet utan onödigt dröjsmål och inte senare än en månad efter det att den tagit emot begäran. Till sådana åtgärder hör bland annat att översända relevant information om genomförandet av en pågående utredning.

3. En begäran om bistånd ska innehålla all nödvändig information, inklusive syftet med begäran och skälen till denna. Information som utbytts får endast användas för det syfte för vilket den har begärts.

4. Den tillsynsmyndighet som tar emot en begäran får endast vägra att tillmötesgå begäran om

a) den inte är behörig att behandla den sakfråga som begäran avser eller de åtgärder som det begärs att den ska utföra, eller

b) det skulle stå i strid med denna förordning eller unionsrätten eller den nationella rätt i en medlemsstat som tillsyns myndigheten omfattas av att tillmötesgå begäran.

5. Den tillsynsmyndighet som tagit emot begäran ska meddela den myndighet som begäran kommer ifrån om resultatet eller, allt efter omständigheterna, om hur de åtgärder som vidtagits för att tillmötesgå begäran fortskrider. Den tillsynsmyndighet som tagit emot begäran ska redogöra för sina skäl för att vägra tillmötesgå begäran i enlighet med punkt 4.

6. Den tillsynsmyndighet som tar emot en begäran ska som regel tillhandahålla den information som begärts av andra tillsynsmyndigheter på elektronisk väg med användning av ett standardiserat format.

7. Tillsynsmyndigheter som tar emot en begäran får inte ta ut någon avgift för åtgärder som vidtagits av dem till följd av en begäran om ömsesidigt bistånd. Tillsynsmyndigheter får i undantagsfall komma överens med andra tillsynsmyn digheter om regler för ersättning från varandra för vissa utgifter i samband med tillhandahållande av ömsesidigt bistånd.

8. Om en tillsynsmyndighet inte tillhandahåller den information som avses i punkt 5 i denna artikel inom en månad efter det att den erhållit begäran från en annan tillsynsmyndighet får den begärande myndigheten anta en provisorisk åtgärd på sin medlemsstats territorium i enlighet med artikel 55.1. I detta fall ska det brådskande behov av att agera

enligt artikel 66.1 anses vara uppfyllt och kräva ett brådskande bindande beslut från styrelsen i enlighet med artikel 66.2.

9. Kommissionen får genom genomförandeakter närmare ange format och förfaranden för sådant ömsesidigt bistånd som avses i denna artikel samt formerna för elektronisk överföring av information tillsynsmyndigheter emellan, samt mellan tillsynsmyndigheter och styrelsen, i synnerhet det standardiserade format som avses i punkt 6 i den här artikeln. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 93.2.

Artikel 62

Tillsynsmyndigheters gemensamma insatser

1. Tillsynsmyndigheter ska vid behov genomföra gemensamma insatser, inbegripet gemensamma utredningar och gemensamma verkställighetsåtgärder i vilka ledamöter eller personal från andra medlemsstaters tillsynsmyndigheter deltar.

750

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/73

2. Om den personuppgiftsansvarige eller personuppgiftsbiträdet har verksamhetsställen i flera medlemsstater eller om ett betydande antal registrerade personer i mer än en medlemsstat sannolikt kommer att påverkas i väsentlig grad av att uppgifter behandlas, ska tillsynsmyndigheterna i var och en av dessa medlemsstater ha rätt att delta i de gemensamma insatserna. Den tillsynsmyndighet som är behörig enligt artikel 56.1 eller 56.4 ska bjuda in tillsynsmyndigheterna i var och en av de berörda medlemsstaterna att delta i de gemensamma insatserna och ska utan dröjsmål svara på en annan tillsynsmyndighets begäran att få delta.

3. En tillsynsmyndighet får, i enlighet med medlemsstatens nationella rätt och efter godkännande från ursprung slandets tillsynsmyndighet, tilldela befogenheter, inklusive utredningsbefogenheter, till ledamöter eller personal från ursprungslandets tillsynsmyndighet som deltar i gemensamma insatser eller, i den mån lagstiftningen i den medlemsstat som är värdland för tillsynsmyndigheten tillåter detta, medge att ursprungslandets tillsynsmyndighets ledamöter eller personal utövar utredningsbefogenheter enligt lagstiftningen i ursprungslandets tillsynsmyndighets medlemsstat. Sådana utredningsbefogenheter får endast utövas under vägledning och i närvaro av ledamöter eller personal från värdlandets tillsynsmyndighet. Ledamöter och personal från ursprungslandets tillsynsmyndighet ska omfattas av den medlemsstats nationella rätt som gäller för värdlandets tillsynsmyndighet.

4. Om personal från ursprungslandets tillsynsmyndighet verkar i en annan medlemsstat i enlighet med punkt 1 ska värdtillsynsmyndighetens medlemsstat ansvara för deras handlingar, vilket inbegriper ansvar för skador som personalen vållar i samband med insatserna, i enlighet med rätten i den medlemsstat på vars territorium personalen verkar.

5. Den medlemsstat på vars territorium skadorna förorsakades ska ersätta sådana skador enligt de villkor som gäller för skador som förorsakas av dess egen personal. Den medlemsstat vars tillsynsmyndighets tjänstemän har orsakat en person skada på någon annan medlemsstats territorium ska fullt ut ersätta den andra medlemsstaten för det belopp som denna har betalat ut till den personens rättsinnehavare.

6. Utan att det påverkar rättigheterna gentemot tredje man och tillämpningen av punkt 5, ska varje medlemsstat i de fall som nämns i punkt 1 avstå från att kräva ersättning från en annan medlemsstat för skador som avses i punkt 4.

7. Om en gemensam insats planeras och en tillsynsmyndighet inte inom en månad har uppfyllt sin skyldighet enligt punkt 2 i den här artikeln, andra meningen får övriga tillsynsmyndigheter anta provisoriska åtgärder på sina respektive medlemsstaters territorium i enlighet med artikel 55. I detta fall ska det brådskande behov av att agera enligt artikel 66.1 anses vara uppfyllt och kräva ett yttrande eller ett brådskande bindande beslut från styrelsen i enlighet med artikel 66.2.

Avsnitt 2

Enhetlighet

Artikel 63

Mekanism för enhetlighet

För att bidra till en enhetlig tillämpning av denna förordning i hela unionen ska tillsynsmyndigheterna samarbeta med varandra och, i förekommande fall, med kommissionen, genom den mekanism för enhetlighet som föreskrivs i detta avsnitt.

Artikel 64

Yttrande från Styrelsen

1. Styrelsen ska avge ett yttrande när en behörig tillsynsmyndighet avser att anta någon av åtgärderna nedan. I detta syfte ska den behöriga tillsynsmyndigheten skicka utkastet till beslut till styrelsen när det

a) syftar till att anta en förteckning över behandling som omfattas av kravet på en konsekvensbedömning avseende dataskydd enligt artikel 35.4,

b) rör ett ärende i enlighet med artikel 40.7 om huruvida ett utkast till uppförandekoder eller en ändring eller förlängning av en uppförandekod är förenlig med denna förordning,

751

Bilaga 2

SOU 2017:66

L 119/74

SV

Europeiska unionens officiella tidning

4.5.2016

c) syftar till att godkänna kriterierna för ackreditering av ett organ enligt artikel 41.3 eller ett certifieringsorgan enligt artikel 43.3,

d) syftar till att fastställa standardiserade dataskyddsbestämmelser enligt artiklarna 46.2 d och 28.8,

e) syftar till att godkänna sådana avtalsklausuler som avses i artikel 46.3 a, eller

f) syftar till att godkänna bindande företagsbestämmelser enligt artikel 47.

2. Varje tillsynsmyndighet, styrelsens ordförande eller kommissionen får i syfte att erhålla ett yttrande begära att styrelsen granskar en fråga med allmän räckvidd eller som har följder i mer än en medlemsstat, i synnerhet om en behörig myndighet inte uppfyller sina skyldigheter i fråga om ömsesidigt bistånd i enlighet med artikel 61 eller i fråga om gemensamma insatser i enlighet med artikel 62.

3. I de fall som avses i punkterna 1 och 2 ska styrelsen avge ett yttrande i den fråga som ingivits till den, förutsatt att den inte redan har avgett ett yttrande i samma fråga. Detta yttrande ska antas med enkel majoritet av styrelsens ledamöter inom åtta veckor. Denna period får förlängas med ytterligare sex veckor med hänsyn till sakfrågans komplexitet. Vad gäller det utkast till beslut som avses i punkt 1 som spridits till styrelsens ledamöter i enlighet med punkt 5, ska en ledamot som inte har gjort invändningar inom en rimlig period som ordföranden angett anses samtycka till utkastet till beslut.

4. Tillsynsmyndigheterna och kommissionen ska utan onödigt dröjsmål i ett standardiserat elektroniskt format till styrelsen översända all relevant information, som allt efter omständigheterna får utgöras av en sammanfattning av sakförhållanden, utkastet till beslut, grunden till att en sådan åtgärd är nödvändig och synpunkter från övriga berörda tillsynsmyndigheter.

5. Styrelsens ordförande ska utan onödigt dröjsmål och på elektronisk väg upplysa

a) styrelsens ledamöter samt kommissionen om all relevant information som meddelats styrelsen i ett standardiserat format; styrelsens sekretariat ska vid behov tillhandahålla översättningar av relevant information; och

b) den tillsynsmyndighet som, allt efter omständigheterna, avses i punkterna 1 och 2 samt kommissionen om yttrandet, och ska också offentliggöra det.

6. Den behöriga tillsynsmyndigheten får inte anta sitt utkast till beslut enligt punkt 1 inom den period som avses i punkt 3.

7. Den tillsynsmyndighet som avses i punkt 1 ska ta största möjliga hänsyn till styrelsens yttrande och ska, inom två veckor efter att yttrandet inkommit, i ett standardiserat elektroniskt format meddela styrelsens ordförande om huruvida den kommer att hålla fast vid eller ändra sitt utkast till beslut, och i förekommande fall översända det ändrade utkastet till beslut.

8. Om den berörda tillsynsmyndigheten underrättar styrelsens ordförande inom den period som avses i punkt 7 i den här artikeln om att den inte avser att följa styrelsens yttrande, helt eller delvis, och tillhandahåller en relevant motivering, ska artikel 65.1 tillämpas.

Artikel 65

Tvistlösning genom styrelsen

1. För att säkerställa en korrekt och enhetlig tillämpning av denna förordning i enskilda fall ska styrelsen anta ett bindande beslut i följande fall:

a) Om en berörd tillsynsmyndighet i ett fall som avses i artikel 60.4 har gjort en relevant och motiverad invändning mot ett utkast till beslut av den ansvariga myndigheten, eller om den ansvariga myndigheten har avslagit denna invändning med motiveringen att den inte var relevant eller motiverad. Det bindande beslutet ska avse alla ärenden som är föremål för den relevanta och motiverade invändningen, särskilt frågan om huruvida det föreligger en överträdelse av denna förordning.

752

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/75

b) Om det finns motstridiga åsikter om vilken av de berörda tillsynsmyndigheterna som är behörig för det huvudsakliga verksamhetsstället.

c) Om en behörig tillsynsmyndighet inte begär ett yttrande från styrelsen i de fall som avses i artikel 64.1, eller inte följer ett yttrande som styrelsen avger enligt artikel 64. I detta fall får varje berörd tillsynsmyndighet eller kommissionen översända ärendet till styrelsen.

2. Det beslut som avses i punkt 1 ska antas inom en månad efter det att sakfrågan hänskjutits med två tredjedels majoritet av styrelsens ledamöter. Denna period får förlängas med ytterligare en månad med hänsyn till sakfrågans komplexitet. Det beslut som avses i punkt 1 ska vara motiverat och riktat till den ansvariga tillsynsmyndigheten och alla berörda tillsynsmyndigheter och ska vara bindande för dem.

3. Om styrelsen inte har kunnat anta något beslut inom de perioder som avses i punkt 2 ska den anta sitt beslut inom två veckor efter utgången av den andra månad som avses i punkt 2 med enkel majoritet av styrelsens ledamöter. Om styrelsens ledamöter är delade i frågan ska beslutet antas i enlighet med ordförandens röst.

4. De berörda tillsynsmyndigheterna ska inte anta något beslut om den sakfråga som ingivits till styrelsen i enlighet med punkt 1 under de perioder som avses i punkterna 2 och 3.

5. Styrelsens ordförande ska utan onödigt dröjsmål meddela de berörda tillsynsmyndigheterna det beslut som avses i punkt 1. Kommissionen ska informeras om detta. Beslutet ska utan dröjsmål offentliggöras på styrelsens webbplats efter att tillsynsmyndigheten har meddelat det slutliga beslut som avses i punkt 6.

6. Den ansvariga tillsynsmyndigheten eller, allt efter omständigheterna, den tillsynsmyndighet till vilken klagomålet har ingetts ska anta sitt slutliga beslut på grundval av det beslut som avses i punkt 1 i den här artikeln, utan onödigt dröjsmål och senast en månad efter det att styrelsen har meddelat sitt beslut. Den ansvariga tillsynsmyndigheten eller, allt efter omständigheterna, den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta styrelsen om vilken dag dess slutliga beslut meddelas till den personuppgiftsansvarige respektive personuppgiftsbiträdet och den registrerade. De berörda tillsynsmyndigheternas slutliga beslut ska antas i enlighet med bestämmelserna i artikel 60.7, 60.8 och 60.9. Det slutliga beslutet ska hänvisa till det beslut som avses i punkt 1 i den här artikeln och ska precisera att det beslut som avses i punkt 1 kommer att offentliggöras på styrelsens webbplats i enlighet med punkt 5 i den här artikeln. Det beslut som avses i punkt 1 i den här artikeln ska fogas till det slutliga beslutet.

Artikel 66

Skyndsamt förfarande

1. Under exceptionella omständigheter får en berörd tillsynsmyndighet med avvikelse från den mekanism för enhetlighet som avses i artiklarna 63, 64 och 65 eller det förfarande som avses i artikel 60 omedelbart vidta provisoriska åtgärder avsedda att ha rättsverkan på det egna territoriet och med förutbestämd varaktighet som inte överskrider tre månader, om den anser att det finns ett brådskande behov av att agera för att skydda registrerades rättigheter och friheter. Tillsynsmyndigheten ska utan dröjsmål underrätta de andra berörda tillsynsmyndigheterna, styrelsen och kommissionen om dessa åtgärder och om skälen till att de vidtas.

2. Om en tillsynsmyndighet har vidtagit en åtgärd enligt punkt 1 och anser att definitiva åtgärder skyndsamt måste antas, får den begära ett brådskande yttrande eller ett brådskande bindande beslut från styrelsen; den ska då motivera varför den begär ett sådant yttrande eller beslut.

3. Om en behörig tillsynsmyndighet inte har vidtagit någon lämplig åtgärd i en situation som kräver skyndsam handling för att skydda registrerades rättigheter och friheter, får vilken tillsynsmyndighet som helst begära ett brådskande yttrande eller, i tillämpliga fall, ett brådskande bindande beslut från styrelsen, varvid den ska motivera varför den begär ett sådant yttrande eller beslut och varför åtgärden måste vidtas skyndsamt.

4. Genom undantag från artiklarna 64.3 och 65.2 ska ett brådskande yttrande eller ett brådskande beslut enligt punkterna 2 och 3 i den här artikeln antas inom två veckor med enkel majoritet av styrelsens ledamöter.

753

Bilaga 2

SOU 2017:66

L 119/76

SV

Europeiska unionens officiella tidning

4.5.2016

Artikel 67

Utbyte av information

Kommissionen får anta genomförandeakter med allmän räckvidd i syfte att närmare ange tillvägagångssätten för elektroniskt utbyte av information mellan tillsynsmyndigheter samt mellan tillsynsmyndigheter och styrelsen, särskilt det standardiserade format som avses i artikel 64.

Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 93.2.

Avsnitt 3

Europeiska dataskyddsstyrelsen

Artikel 68

Europeiska dataskyddsstyrelsen

1. Europeiska dataskyddsstyrelsen (nedan kallad styrelsen) inrättas härmed som ett unionsorgan och ska ha ställning som juridisk person.

2. Styrelsen ska företrädas av sin ordförande.

3. Styrelsen ska bestå av chefen för en tillsynsmyndighet per medlemsstat och av Europeiska datatillsynsmannen eller deras respektive företrädare.

4. Om en medlemsstat har mer än en tillsynsmyndighet som ansvarar för att övervaka tillämpningen av bestämmelserna i denna förordning ska en gemensam företrädare utses i enlighet med den medlemsstatens nationella rätt.

5. Kommissionen ska ha rätt att delta i styrelsens verksamhet och möten utan rösträtt. Kommissionen ska utse en egen företrädare. Styrelsens ordförande ska underrätta kommissionen om styrelsens verksamhet.

6. I de fall som avses i artikel 65 ska Europeiska datatillsynsmannen endast ha rösträtt i fråga om beslut som rör principer och regler som är tillämpliga på unionens institutioner, organ och byråer, och som i allt väsentligt motsvarar dem i denna förordning.

Artikel 69

Oberoende

1. Styrelsen ska vara oberoende när den fullgör sina uppgifter eller utövar sina befogenheter i enlighet med artiklarna 70 och 71.

2. Utan att detta påverkar kommissionens rätt att lämna en begäran enligt artikel 70.1 b och 70.2 ska styrelsen när den fullgör sina uppgifter eller utövar sina befogenheter varken begära eller ta emot instruktioner av någon.

Artikel 70

Styrelsens uppgifter

1. Styrelsen ska se till att denna förordning tillämpas enhetligt. För detta ändamål ska styrelsen, på eget initiativ eller i förekommande fall på begäran av kommissionen, i synnerhet

a) övervaka och säkerställa korrekt tillämpning av denna förordning i de fall som avses i artiklarna 64 och 65 utan att det påverkar de nationella tillsynsmyndigheternas uppgifter,

754

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/77

b) ge kommissionen råd i alla frågor som gäller skydd av personuppgifter inom unionen, inklusive om eventuella förslag till ändring av denna förordning,

c) ge kommissionen råd om format och förfaranden för informationsutbyte mellan personuppgiftsansvariga, personuppgiftsbiträden och tillsynsmyndigheter för bindande företagsbestämmelser,

d) utfärda riktlinjer, rekommendationer och bästa praxis beträffande förfaranden för att radera länkar, kopior eller reproduktioner av personuppgifter från allmänt tillgängliga kommunikationstjänster enligt artikel 17.2,

e) på eget initiativ eller på begäran av en av sina ledamöter eller av kommissionen behandla frågor om tillämpningen av denna förordning och utfärda riktlinjer, rekommendationer och bästa praxis i syfte att främja en enhetlig tillämpning av denna förordning,

f) utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led e i denna punkt för att närmare ange kriterierna och villkoren för profileringsbaserade beslut enligt artikel 22.2,

g) utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led e i denna punkt för att konstatera sådana personuppgiftsincidenter och fastställa sådant onödigt dröjsmål som avses i artikel 33.1 och 33.2 och för de särskilda omständigheter under vilka en personuppgiftsansvarig eller ett personuppgiftsbiträde är skyldig att anmäla personuppgiftsincidenten,

h) utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led e i denna punkt angående de omständigheter under vilka en personuppgiftsincident sannolikt kommer att leda till hög risk för rättigheterna och friheterna för de fysiska personer som avses i artikel 34.1,

i) utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led e i denna punkt för att närmare ange kriterierna och kraven för överföringar av personuppgifter på grundval av bindande företagsbestämmelser som personuppgiftsansvariga eller personuppgiftsbiträden följer samt ytterligare nödvändiga krav för att säkerställa skyddet för personuppgifter för berörda registrerade enligt artikel 47,

j) utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led e i denna punkt för att närmare ange kriterierna och villkoren för överföring av personuppgifter på grundval av artikel 49.1,

k) utforma riktlinjer för tillsynsmyndigheterna i fråga om tillämpningen av de åtgärder som avses i artikel 58.1, 58.2 och 58.3 och fastställandet av administrativa sanktionsavgifter i enlighet med artikel 83,

l) se över den praktiska tillämpningen av de riktlinjer och rekommendationer samt den bästa praxis som avses i leden e och f,

m) utfärda riktlinjer, rekommendationer och bästa praxis i enlighet med led e i denna punkt för att fastställa gemensamma förfaranden för fysiska personers rapportering av överträdelser av denna förordning enligt artikel 54.2,

n) främja utarbetandet av uppförandekoder och införandet av certifieringsmekanismer för dataskydd och sigill och märkningar för dataskydd i enlighet med artiklarna 40 och 42,

o) ackreditera certifieringsorgan och utföra sin periodiska översyn i enlighet med artikel 43 och föra ett offentligt register över ackrediterade organ i enlighet med artikel 43.6 och över de ackrediterade personuppgiftsansvariga eller personuppgiftsbiträdena som är etablerade i tredjeländer i enlighet med artikel 42.7,

p) närmare ange de krav som avses i artikel 43.3 i syfte att ackreditera certifieringsorgan enligt artikel 42,

q) avge ett yttrande till kommissionen om de certifieringskrav som avses i artikel 43.8,

r) avge ett yttrande till kommissionen om de symboler som avses i artikel 12.7,

s) avge ett yttrande till kommissionen för bedömningen av adekvat skyddsnivå i ett tredjeland eller en internationell organisation, inklusive för bedömningen av huruvida ett tredjeland, ett territorium eller en eller flera specificerade sektorer inom det tredjelandet, eller en internationell organisation inte längre säkerställer en adekvat skyddsnivå; i detta syfte ska kommissionen lämna all nödvändig dokumentation till styrelsen, inklusive korrespondens med regeringen i tredjelandet, med avseende på tredjelandet, territoriet eller den specificerade sektorn, eller till databehandlingssektorn i tredjelandet eller den internationella organisationen,

755

Bilaga 2

SOU 2017:66

L 119/78

SV

Europeiska unionens officiella tidning

4.5.2016

t) avge yttranden om utkast till beslut som läggs fram av tillsynsmyndigheter inom den mekanism för enhetlighet som avses i artikel 64.1, i ärenden som ingivits i enlighet med artikel 64.2 och anta bindande beslut i enlighet med artikel 65, inbegripet de fall som avses i artikel 66,

u) främja samarbete och effektivt bilateralt och multilateralt utbyte av bästa praxis och information mellan tillsynsmyn digheterna,

v) främja gemensamma utbildningsprogram och underlätta personalutbyte mellan tillsynsmyndigheterna och där så är lämpligt även med tillsynsmyndigheter i tredjeländer eller internationella organisationer,

w) främja utbyte av kunskap och dokumentation om lagstiftning om och praxis för dataskydd med tillsynsmyndigheter för dataskydd i hela världen.

x) avge yttranden över de uppförandekoder som utarbetas på unionsnivå i enlighet med artikel 40.9, och

y) föra ett offentligt elektroniskt register över tillsynsmyndigheters beslut och domstolars avgöranden i frågor som hanteras inom mekanismen för enhetlighet.

2. När kommissionen begär rådgivning från styrelsen får den ange en tidsfrist med hänsyn till hur brådskande ärendet

är.

3. Styrelsen ska vidarebefordra sina yttranden, riktlinjer, rekommendationer och bästa praxis till kommissionen och till den kommitté som avses i artikel 93, samt offentliggöra dem.

4. När så är lämpligt ska styrelsen samråda med berörda parter och ge dem möjlighet att yttra sig inom rimlig tid. styrelsen ska, utan att det påverkar tillämpningen av artikel 76, offentliggöra resultatet av samrådsförfarandet.

Artikel 71

Rapporter

1. Styrelsen ska sammanställa en årsrapport om skydd av fysiska personer vid behandling inom unionen och, i förekommande fall, i tredjeländer och internationella organisationer. Rapporten ska offentliggöras och översändas till Europaparlamentet, rådet och kommissionen.

2. Årsrapporten ska också innehålla en översikt över den praktiska tillämpningen av de riktlinjer och rekommen dationer och den bästa praxis som avses i artikel 70.1 l liksom de bindande beslut som avses i artikel 65.

Artikel 72

Förfarande

1. Styrelsen ska fatta beslut med enkel majoritet av dess ledamöter, om inte annat anges i denna förordning.

2. Styrelsen ska själv anta sin arbetsordning med två tredjedels majoritet av sina ledamöter och fastställa sina arbetsformer.

Artikel 73

Ordförande

1. Styrelsen ska med enkel majoritet välja en ordförande och två vice ordförande bland sina ledamöter.

2. Ordförandens och de vice ordförandenas mandattid ska vara fem år och kunna förnyas en gång.

756

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/79

Artikel 74

Ordförandens uppgifter

1. Ordföranden ska ha i uppgift att

a) sammankalla till styrelsens möten och planera dagordningen,

b) meddela beslut som antas av styrelsen i enlighet med artikel 65 till den ansvariga tillsynsmyndigheten och de berörda tillsynsmyndigheterna,

c) se till att styrelsens uppgifter fullgörs i tid, särskilt i fråga om den mekanism för enhetlighet som avses i artikel 63.

2. Fördelningen av uppgifter mellan ordföranden och de vice ordförandena ska fastställas i styrelsens arbetsordning.

Artikel 75

Sekretariatet

1. Styrelsen ska förfoga över ett sekretariat som ska tillhandahållas av Europeiska datatillsynsmannen.

2. Sekretariatet ska utföra sina uppgifter enbart under ledning av ordföranden för styrelsen.

3. Den personal vid Europeiska datatillsynsmannen som utför de uppgifter som styrelsen tilldelas genom denna förordning ska följa separata rapporteringsvägar från den personal som utför de uppgifter som Europeiska datatill synsmannen tilldelas.

4. När så är lämpligt ska styrelsen och Europeiska datatillsynsmannen fastställa och offentliggöra ett samförståndsavtal för genomförande av denna artikel, som fastställer villkoren för deras samarbete, och som ska tillämpas på den personal vid Europeiska datatillsynsmannen som utför de uppgifter som styrelsen tilldelas genom denna förordning.

5. Sekretariatet ska förse styrelsen med analysstöd samt administrativt och logistiskt stöd.

6. Sekretariatet ska särskilt ansvara för

a) styrelsens löpande arbete,

b) kommunikationen mellan styrelsens ledamöter, dess ordförande och kommissionen,

c) kommunikationen med andra institutioner och med allmänheten,

d) användningen av elektroniska medel för intern och extern kommunikation,

e) översättning av relevant information,

f) förberedelser och uppföljning av styrelsens möten,

g) förberedelse, sammanställning och offentliggörande av yttranden, beslut om lösning av tvister mellan tillsynsmyn digheter och andra texter som antas av styrelsen.

Artikel 76

Konfidentialitet

1. Styrelsens överläggningar ska vara konfidentiella i de fall som styrelsen bedömer detta vara nödvändigt, i enlighet med vad som anges i dess arbetsordning.

757

Bilaga 2

SOU 2017:66

L 119/80

SV

Europeiska unionens officiella tidning

4.5.2016

2. Tillgången till handlingar som skickas till styrelsens ledamöter, till experter eller till företrädare för tredje part ska regleras av Europaparlamentets och rådets förordning (EG) nr 1049/2001 (1).

KAPITEL VIII

Rättsmedel, ansvar och sanktioner

Artikel 77

Rätt att lämna in klagomål till en tillsynsmyndighet

1. Utan att det påverkar något annat administrativt prövningsförfarande eller rättsmedel, ska varje registrerad som anser att behandlingen av personuppgifter som avser henne eller honom strider mot denna förordning ha rätt att lämna in ett klagomål till en tillsynsmyndighet, särskilt i den medlemsstat där han eller hon har sin hemvist eller sin arbetsplats eller där det påstådda intrånget begicks.

2. Den tillsynsmyndighet till vilken klagomålet har ingetts ska underrätta den enskilde om hur arbetet med klagomålet fortskrider och vad resultatet blir, inbegripet möjligheten till rättslig prövning enligt artikel 78.

Artikel 78

Rätt till ett effektivt rättsmedel mot tillsynsmyndighetens beslut

1. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol ska varje fysisk eller juridisk person ha rätt till ett effektivt rättsmedel mot ett rättsligt bindande beslut rörande dem som meddelats av en tillsynsmyndighet.

2. Utan att det påverkar något annat administrativt prövningsförfarande eller prövningsförfarande utanför domstol, ska varje registrerad person ha rätt till ett effektivt rättsmedel om den tillsynsmyndighet som är behörig i enlighet med artiklarna 55 och 56 underlåter att behandla ett klagomål eller att informera den registrerade inom tre månader om hur det fortskrider med det klagomål som ingetts med stöd av artikel 77 eller vilket beslut som har fattats med anledning av det.

3. Talan mot en tillsynsmyndighet ska väckas vid domstolarna i den medlemsstat där tillsynsmyndigheten har sitt

säte.

4. Om talan väcks mot ett beslut som fattats av en tillsynsmyndighet och som föregicks av ett yttrande från eller beslut av styrelsen inom ramen för mekanismen för enhetlighet ska tillsynsmyndigheten vidarebefordra detta yttrande eller beslut till domstolen.

Artikel 79

Rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde

1. Utan att det påverkar tillgängliga administrativa prövningsförfaranden eller prövningsförfaranden utanför domstol, inbegripet rätten att lämna in ett klagomål till en tillsynsmyndighet i enlighet med artikel 77, ska varje registrerad som anser att hans eller hennes rättigheter enligt denna förordning har åsidosatts som en följd av att hans eller hennes personuppgifter har behandlats på ett sätt som inte är förenligt med denna förordning ha rätt till ett effektivt rättsmedel.

2. Talan mot en personuppgiftsansvarig eller ett personuppgiftsbiträde ska väckas vid domstolarna i den medlemsstat där den personuppgiftsansvarige eller personuppgiftsbiträdet är etablerad. Alternativt får sådan talan väckas vid domstolarna i den medlemsstat där den registrerade har sin hemvist, såvida inte den personuppgiftsansvarige eller personuppgiftsbiträdet är en myndighet i en medlemsstat som agerar inom ramen för sin myndighetsutövning.

(1) Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar (EGT L 145, 31.5.2001, s. 43).

758

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/81

Artikel 80

Företrädande av registrerade

1. Den registrerade ska ha rätt att ge ett organ, en organisation eller sammanslutning utan vinstsyfte, som har inrättats på lämpligt sätt i enlighet med lagen i en medlemsstat, vars stadgeenliga mål är av allmänt intresse och som är verksam inom området skydd av registrerades rättigheter och friheter när det gäller skyddet av deras personuppgifter, i uppdrag att lämna in ett klagomål för hans eller hennes räkning, att utöva de rättigheter som avses i artiklarna 77, 78 och 79 för hans eller hennes räkning samt att för hans eller hennes räkning utöva den rätt till ersättning som avses i artikel 82 om så föreskrivs i medlemsstatens nationella rätt.

2. Medlemsstaterna får föreskriva att ett organ, en organisation eller en sammanslutning enligt punkt 1 i den här artikeln, oberoende av en registrerads mandat, har rätt att i den medlemsstaten inge klagomål till den tillsynsmyndighet som är behörig enligt artikel 77 och utöva de rättigheter som avses i artiklarna 78 och 79 om organet, organisationen eller sammanslutningen anser att den registrerades rättigheter enligt den här förordningen har kränkts som en följd av behandlingen.

Artikel 81

Vilandeförklaring av förfaranden

1. Om en behörig domstol i en medlemsstat har information om att förfaranden som rör samma sakfråga vad gäller behandling av samma personuppgiftsansvarige eller personuppgiftsbiträde pågår i en domstol i en annan medlemsstat ska den kontakta denna domstol i den andra medlemsstaten för att bekräfta förekomsten av sådana förfaranden.

2. Om förfaranden som rör samma sakfråga vad gäller behandling av samma personuppgiftsansvarige eller personuppgiftsbiträde pågår i en domstol i en annan medlemstat får alla andra behöriga domstolar än den där förfarandena först inleddes vilandeförklara förfarandena.

3. Om dessa förfaranden prövas i första instans får varje domstol, utom den vid vilken förfarandena först inleddes, också förklara sig obehörig på begäran av en av parterna, om den domstol vid vilken förfarandena först inleddes är behörig att pröva de berörda förfarandena och dess lagstiftning tillåter förening av dessa.

Artikel 82

Ansvar och rätt till ersättning

1. Varje person som har lidit materiell eller immateriell skada till följd av en överträdelse av denna förordning ska ha rätt till ersättning från den personuppgiftsansvarige eller personuppgiftsbiträdet för den uppkomna skadan.

2. Varje personuppgiftsansvarig som medverkat vid behandlingen ska ansvara för skada som orsakats av behandling som strider mot denna förordning. Ett personuppgiftsbiträde ska ansvara för skada uppkommen till följd av behandlingen endast om denne inte har fullgjort de skyldigheter i denna förordning som specifikt riktar sig till personuppgiftsbiträden eller agerat utanför eller i strid med den personuppgiftsansvariges lagenliga anvisningar.

3. Den personuppgiftsansvarige eller personuppgiftsbiträdet ska undgå ansvar enligt punkt 2 om den visar att den inte på något sätt är ansvarig för den händelse som orsakade skadan.

4. Om mer än en personuppgiftsansvarig eller ett personuppgiftsbiträde, eller både en personuppgiftsansvarig och ett personuppgiftsbiträde, har medverkat vid samma behandling, och om de enligt punkterna 2 och 3 är ansvariga för eventuell skada som behandlingen orsakat ska varje personuppgiftsansvarig eller personuppgiftsbiträde hållas ansvarig för hela skadan för att säkerställa att den registrerade får effektiv ersättning.

5. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, i enlighet med punkt 4, har betalat full ersättning för den skada som orsakats ska den personuppgiftsansvarige eller personuppgiftsbiträdet ha rätt att från de andra personuppgiftsansvariga eller personuppgiftsbiträdena som medverkat vid samma behandling återkräva den del av ersättningen som motsvarar deras del av ansvaret för skadan i enlighet med de villkor som fastställs i punkt 2.

759

Bilaga 2

SOU 2017:66

L 119/82

SV

Europeiska unionens officiella tidning

4.5.2016

6. Domstolsförfaranden för utövande av rätten till ersättning ska tas upp vid de domstolar som är behöriga enligt den nationella rätten i den medlemsstat som avses i artikel 79.2.

Artikel 83

Allmänna villkor för påförande av administrativa sanktionsavgifter

1. Varje tillsynsmyndighet ska säkerställa att påförande av administrativa sanktionsavgifter i enlighet med denna artikel för sådana överträdelser av denna förordning som avses i punkterna 4, 5 och 6 i varje enskilt fall är effektivt, proportionellt och avskräckande.

2. Administrativa sanktionsavgifter ska, beroende på omständigheterna i det enskilda fallet, påföras utöver eller i stället för de åtgärder som avses i artikel 58.2 a–h och j. Vid beslut om huruvida administrativa sanktionsavgifter ska påföras och om beloppet för de administrativa sanktionsavgifterna i varje enskilt fall ska vederbörlig hänsyn tas till följande:

a) Överträdelsens karaktär, svårighetsgrad och varaktighet med beaktande av den aktuella uppgiftsbehandlingens karaktär, omfattning eller syfte samt antalet berörda registrerade och den skada som de har lidit.

b) Om överträdelsen skett med uppsåt eller genom oaktsamhet.

c) De åtgärder som den personuppgiftsansvarige eller personuppgiftsbiträdet har vidtagit för att lindra den skada som de registrerade har lidit.

d) Graden av ansvar hos den personuppgiftsansvarige eller personuppgiftsbiträdet med beaktande av de tekniska och organisatoriska åtgärder som genomförts av dem i enlighet med artiklarna 25 och 32.

e) Eventuella relevanta tidigare överträdelser som den personuppgiftsansvarige eller personuppgiftsbiträdet gjort sig skyldig till.

f) Graden av samarbete med tillsynsmyndigheten för att komma till rätta med överträdelsen och minska dess potentiella negativa effekter.

g) De kategorier av personuppgifter som påverkas av överträdelsen.

h) Det sätt på vilket överträdelsen kom till tillsynsmyndighetens kännedom, särskilt huruvida och i vilken omfattning den personuppgiftsansvarige eller personuppgiftsbiträdet anmälde överträdelsen.

i) När åtgärder enligt artikel 58.2 tidigare har förordnats mot den berörda personuppgiftsansvarige eller personuppgifts biträdet vad gäller samma sakfråga, efterlevnad av dessa åtgärder.

j) Tillämpandet av godkända uppförandekoder i enlighet med artikel 40 eller godkända certifieringsmekanismer i enlighet med artikel 42.

k) Eventuell annan försvårande eller förmildrande faktor som är tillämplig på omständigheterna i fallet, såsom ekonomisk vinst som görs eller förlust som undviks, direkt eller indirekt, genom överträdelsen.

3. Om en personuppgiftsansvarig eller ett personuppgiftsbiträde, med avseende på en och samma eller sammankopplade uppgiftsbehandlingar, uppsåtligen eller av oaktsamhet överträder flera av bestämmelserna i denna förordning får den administrativa sanktionsavgiftens totala belopp inte överstiga det belopp som fastställs för den allvarligaste överträdelsen.

4. Vid överträdelser av följande bestämmelser ska det i enlighet med punkt 2 påföras administrativa sanktionsavgifter på upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till 2 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst:

a) Personuppgiftsansvarigas och personuppgiftsbiträdens skyldigheter enligt artiklarna 8, 11, 25–39, 42 och 43.

b) Certifieringsorganets skyldigheter enligt artiklarna 42 och 43.

c) Övervakningsorganets skyldigheter enligt artikel 41.4.

760

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/83

5. Vid överträdelser av följande bestämmelser ska det i enlighet med punkt 2 påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett företag, på upp till 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst:

a) De grundläggande principerna för behandling, inklusive villkoren för samtycke, enligt artiklarna 5, 6, 7 och 9.

b) Registrerades rättigheter enligt artiklarna 12–22.

c) Överföring av personuppgifter till en mottagare i ett tredjeland eller en internationell organisation enligt artiklarna 44–49.

d) Alla skyldigheter som följer av medlemsstaternas lagstiftning som antagits på grundval av kapitel IX.

e) Underlåtenhet att rätta sig efter ett föreläggande eller en tillfällig eller permanent begränsning av behandling av uppgifter eller ett beslut om att avbryta uppgiftsflödena som meddelats av tillsynsmyndigheten i enlighet med artikel 58.2 eller underlåtelse att ge tillgång till uppgifter i strid med artikel 58.1.

6. Vid underlåtenhet att rätta sig efter ett föreläggande från tillsynsmyndigheten i enlighet med artikel 58.2 ska det i enlighet med punkt 2 i den här artikeln påföras administrativa sanktionsavgifter på upp till 20 000 000 EUR eller, om det gäller ett företag, på upp till 4 % av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst:

7. Utan att det påverkar tillsynsmyndigheternas korrigerande befogenheter enligt artikel 58.2 får varje medlemsstat fastställa regler för huruvida och i vilken utsträckning administrativa sanktionsavgifter kan påföras offentliga myndigheter och organ som är inrättade i medlemsstaten.

8. Tillsynsmyndighetens utövande av sina befogenheter enligt denna artikel ska omfattas av lämpliga rättssäkerhets garantier i enlighet med unionsrätten och medlemsstaternas nationella rätt, inbegripet effektiva rättsmedel och rättssäkerhet.

9. Om det i medlemsstatens rättssystem inte finns några föreskrifter om administrativa sanktionsavgifter får den här artikeln tillämpas så att förfarandet inleds av den behöriga tillsynsmyndigheten och sanktionsavgifterna sedan utdöms av behörig nationell domstol, varvid det säkerställs att rättsmedlen är effektiva och har motsvarande verkan som de administrativa sanktionsavgifter som påförs av tillsynsmyndigheter. De sanktionsavgifter som påförs ska i alla händelser vara effektiva, proportionella och avskräckande. Dessa medlemsstater ska till kommissionen anmäla de bestämmelser i deras lagstiftning som de antar i enlighet med denna punkt senast den 25 maj 2018, samt utan dröjsmål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem.

Artikel 84

Sanktioner

1. Medlemsstaterna ska fastställa regler om andra sanktioner för överträdelser av denna förordning, särskilt för överträdelser som inte är föremål för administrativa sanktionsavgifter enligt artikel 83, och vidta alla nödvändiga åtgärder för att säkerställa att de genomförs. Dessa sanktioner ska vara effektiva, proportionella och avskräckande.

2. Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antar i enlighet med punkt 1 senast den 25 maj 2018, samt utan dröjsmål anmäla eventuella senare ändringar som berör dem.

KAPITEL IX

Bestämmelser om särskilda behandlingssituationer

Artikel 85

Behandling och yttrande- och informationsfriheten

1. Medlemsstaterna ska i lag förena rätten till integritet i enlighet med denna förordning med yttrande- och informationsfriheten, inbegripet behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande.

761

Bilaga 2

SOU 2017:66

L 119/84

SV

Europeiska unionens officiella tidning

4.5.2016

2. Medlemsstaterna ska, för behandling som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande, fastställa undantag eller avvikelser från kapitel II (principer), kapitel III (den registrerades rättigheter), kapitel IV (personuppgiftsansvarig och personuppgiftsbiträde), kapitel V (överföring av personuppgifter till tredjeländer eller internationella organisationer), kapitel VI (oberoende tillsynsmyndigheter), kapitel VII (samarbete och enhetlighet) och kapitel IX (särskilda situationer vid behandling av personuppgifter) om dessa är nödvändiga för att förena rätten till integritet med yttrande- och informationsfriheten.

3. Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antagit i enlighet med punkt 2, samt utan dröjsmål anmäla eventuell senare ändringslagstiftning eller ändringar som berör dem.

Artikel 86

Behandling och allmänhetens tillgång till allmänna handlingar

Personuppgifter i allmänna handlingar som förvaras av en myndighet eller ett offentligt organ eller ett privat organ för utförande av en uppgift av allmänt intresse får lämnas ut av myndigheten eller organet i enlighet med den unionsrätt eller den medlemsstats nationella rätt som myndigheten eller det offentliga organet omfattas av, för att jämka samman allmänhetens rätt att få tillgång till allmänna handlingar med rätten till skydd av personuppgifter i enlighet med denna förordning.

Artikel 87

Behandling av nationella identifikationsnummer

Medlemsstaterna får närmare bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt denna förordning.

Artikel 88

Behandling i anställningsförhållanden

1. Medlemsstaterna får i lag eller i kollektivavtal fastställa mer specifika regler för att säkerställa skyddet av rättigheter och friheter vid behandling av anställdas personuppgifter i anställningsförhållanden, särskilt när det gäller rekrytering, genomförande av anställningsavtalet inklusive befrielse från i lag eller kollektivavtal stadgade skyldigheter, ledning, planering och organisering av arbetet, jämställdhet och mångfald i arbetslivet, hälsa och säkerhet på arbetsplatsen samt skydd av arbetsgivarens eller kundens egendom men också när det gäller att såväl kollektivt som individuellt utöva och komma i åtnjutande av rättigheter och förmåner som är knutna till anställningen samt att avsluta anställningsför hållandet.

2. Dessa regler ska innehålla lämpliga och specifika åtgärder för att skydda den registrerades mänskliga värdighet, berättigade intressen och grundläggande rättigheter, varvid hänsyn särskilt ska tas till insyn i behandlingen, överföring av personuppgifter inom en koncern eller en grupp av företag som deltar i gemensam ekonomisk verksamhet samt övervakningssystem på arbetsplatsen.

3. Varje medlemsstat ska till kommissionen anmäla de bestämmelser i sin lagstiftning som den antar i enlighet med punkt 1 senast den 25 maj 2018, samt utan dröjsmål anmäla eventuella senare ändringar som berör dem.

Artikel 89

Skyddsåtgärder och undantag för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål

1. Behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska omfattas av lämpliga skyddsåtgärder i enlighet med denna förordning för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt

762

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/85

principen om uppgiftsminimering iakttas. Dessa åtgärder får inbegripa pseudonymisering, under förutsättning att dessa ändamål kan uppfyllas på det sättet. När dessa ändamål kan uppfyllas genom vidare behandling av uppgifter som inte medger eller inte längre medger identifiering av de registrerade ska dessa ändamål uppfyllas på det sättet.

2. Om personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål får det

iunionsrätten eller i medlemsstaternas nationella rätt föreskrivas undantag från de rättigheter som avses i artiklarna 15, 16, 18 och 21 med förbehåll för de villkor och skyddsåtgärder som avses i punkt 1 i den här artikeln i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och sådana undantag krävs för att uppnå dessa ändamål.

3. Om personuppgifter behandlas för arkivändamål av allmänt intresse får det i unionsrätten eller i medlemsstaternas nationella rätt föreskrivas om undantag från de rättigheter som avses i artiklarna 15, 16, 18, 19, 20 och 21 med förbehåll för de villkor och skyddsåtgärder som avses i punkt 1 i den här artikeln i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och sådana undantag krävs för att uppnå dessa ändamål.

4. Om behandling enligt punkterna 2 och 3 samtidigt har andra ändamål, ska undantagen endast tillämpas på behandling för de ändamål som avses i dessa punkter.

Artikel 90

Tystnadsplikt

1. Medlemsstaterna får anta särskilda bestämmelser för att fastställa tillsynsmyndigheternas befogenheter enligt artikel 58.1 e och f gentemot personuppgiftsansvariga eller personuppgiftsbiträden som enligt unionsrätten eller medlemsstaternas nationella rätt eller bestämmelser som fastställts av behöriga nationella organ omfattas av tystnadsplikt eller andra motsvarande former av förbud mot att lämna ut uppgifter, om det är nödvändigt och står i proportion till vad som behövs för att förena rätten till skydd för personuppgifter och tystnadsplikten. Dessa bestämmelser ska endast tillämpas med avseende på personuppgifter som den personuppgiftsansvarige eller personuppgiftsbiträdet har erhållit i samband med en verksamhet som omfattas av denna tystnadsplikt.

2. Varje medlemsstat ska till kommissionen anmäla de bestämmelser den har antagit i enlighet med punkt 1 senast den 25 maj 2018, samt utan dröjsmål anmäla eventuella ändringar som berör dem.

Artikel 91

Befintliga bestämmelser om dataskydd inom kyrkor och religiösa samfund

1. Om kyrkor och religiösa samfund eller gemenskaper i en medlemsstat vid tidpunkten för ikraftträdandet av denna förordning tillämpar övergripande bestämmelser om skyddet av fysiska personer i samband med behandling, får sådana befintliga bestämmelser fortsätta att tillämpas under förutsättning att de görs förenliga med denna förordning.

2. Kyrkor och religiösa samfund som tillämpar övergripande bestämmelser i enlighet med punkt 1 i denna artikel ska vara föremål för kontroll av en oberoende tillsynsmyndighet som kan vara specifik, förutsatt att den uppfyller de villkor som fastställs i kapitel VI i denna förordning.

KAPITEL X

Delegerade akter och genomförandeakter

Artikel 92

Utövande av delegeringen

1. Befogenheten att anta delegerade akter ges till kommissionen med förbehåll för de villkor som anges i denna artikel.

763

Bilaga 2

SOU 2017:66

L 119/86

SV

Europeiska unionens officiella tidning

4.5.2016

2. Den befogenhet att anta delegerade akter som avses i artikel 12.8 och artikel 43.8 ska ges till kommissionen tills vidare från och med den 24 maj 2016.

3. Den delegering av befogenhet som avses i artikel 12.8 och artikel 43.8 får när som helst återkallas av Europapar lamentet eller rådet. Ett beslut om återkallelse innebär att delegeringen av den befogenhet som anges i beslutet upphör att gälla. Beslutet får verkan dagen efter det att det offentliggörs i Europeiska unionens officiella tidning, eller vid ett senare i beslutet angivet datum. Det påverkar inte giltigheten av delegerade akter som redan har trätt i kraft.

4. Så snart kommissionen antar en delegerad akt ska den samtidigt delge Europaparlamentet och rådet denna.

5. En delegerad akt som antas enligt artikel 12.8 och artikel 43.8 ska träda i kraft endast om varken Europapar lamentet eller rådet har gjort invändningar mot den delegerade akten inom en period av tre månader från den dag då akten delgavs Europaparlamentet och rådet, eller om både Europaparlamentet och rådet, före utgången av den perioden, har underrättat kommissionen om att de inte kommer att invända. Denna period ska förlängas med tre månader på Europaparlamentets eller rådets initiativ.

Artikel 93

Kommittéförfarande

1. Kommissionen ska biträdas av en kommitté. Denna kommitté ska vara en kommitté i den mening som avses i förordning (EU) nr 182/2011.

2. När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas.

3. När det hänvisas till denna punkt ska artikel 8 i förordning (EU) nr 182/2011, jämförd med artikel 5 i samma förordning, tillämpas.

KAPITEL XI

Slutbestämmelser

Artikel 94

Upphävande av direktiv 95/46/EG

1. Direktiv 95/46/EG ska upphöra att gälla med verkan från och med den 25 maj 2018.

2. Hänvisningar till det upphävda direktivet ska anses som hänvisningar till denna förordning. Hänvisningar till arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter, som inrättades genom artikel 29 i direktiv 95/46/EG, ska anses som hänvisningar till Europeiska dataskyddsstyrelsen, som inrättas genom denna förordning.

Artikel 95

Förhållande till direktiv 2002/58/EG

Denna förordning ska inte innebära några ytterligare förpliktelser för fysiska personuppgifter inom ramen för tillhandahållande av allmänt tillgängliga allmänna kommunikationsnät i unionen, när det gäller områden inom vilka de för samma ändamål i enlighet med direktiv 2002/58/EG.

eller juridiska personer som behandlar elektroniska kommunikationstjänster i redan omfattas av särskilda skyldigheter

764

SOU 2017:66

Bilaga 2

4.5.2016

SV

Europeiska unionens officiella tidning

L 119/87

Artikel 96

Förhållande till tidigare ingångna avtal

De internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer som ingicks av medlemsstaterna före den 24 maj 2016 och som är förenliga med unionsrätten i dess lydelse innan detta datum, ska fortsätta att gälla tills de ändras, ersätts eller återkallas.

Artikel 97

Kommissionsrapporter

1. Senast den 25 maj 2020 och därefter vart fjärde år ska kommissionen överlämna en rapport om tillämpningen och översynen av denna förordning till Europaparlamentet och rådet.

2. Inom ramen för de utvärderingar och översyner som avses i punkt 1 ska kommissionen särskilt undersöka hur följande bestämmelser tillämpas och fungerar:

a) Kapitel V om överföring av personuppgifter till tredjeländer och internationella organisationer, särskilt när det gäller beslut som antagits enligt artikel 45.3 i den här förordningen och beslut som antagits på grundval av artikel 25.6 i direktiv 95/46/EG.

b) Kapitel VII om samarbete och enhetlighet.

3. Med avseende på tillämpningen av punkt 1 får kommissionen begära information från medlemsstaterna och till synsmyndigheterna.

4. Kommissionen ska när den utför de utvärderingar och översyner som avses i punkterna 1 och 2 ta hänsyn till ståndpunkter och slutsatser från Europaparlamentet, rådet och andra relevanta organ och källor.

5. Kommissionen ska om nödvändigt överlämna lämpliga förslag om ändring av denna förordning, med särskild hänsyn till informationsteknikens utveckling och mot bakgrund av tendenserna inom informationssamhället.

Artikel 98

Översyn av andra unionsrättsakter om dataskydd

Kommissionen ska, om så är lämpligt, lägga fram lagstiftningsförslag i syfte att ändra andra unionsrättsakter om skydd av personuppgifter, för att säkerställa ett enhetligt och konsekvent skydd för fysiska personer med avseende på behandling. Detta gäller i synnerhet bestämmelserna om skyddet för fysiska personer i samband med behandling som utförs av unionens institutioner, organ och byråer samt om det fria flödet av sådana uppgifter.

Artikel 99

Ikraftträdande och tillämpning

1. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

2. Den ska tillämpas från och med den 25 maj 2018.

765

Bilaga 2

SOU 2017:66

L 119/88	SV	Europeiska unionens officiella tidning			4.5.2016
	Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.
	Utfärdad i Bryssel den 27 april 2016.
		På Europaparlamentets vägnar		På rådets vägnar
		M. SCHULZ	J.A. HENNIS-PLASSCHAERT
		Ordförande		Ordförande

766

Statens offentliga utredningar 2017

Kronologisk förteckning

1. För Sveriges landsbygder

– en sammanhållen politik för arbete, hållbar tillväxt och välfärd. N.

2. Kraftsamling för framtidens energi. M.

3. Karens för statsråd och statssekreterare. Fi.

4. För en god och jämlik hälsa. En utveckling av det folkhälsopolitiska ramverket. S.

5. Svensk social trygghet i en globaliserad värld. Del 1 och 2. S.

6. Se barnet! Ju.

7. Straffprocessens ramar och domstolens beslutsunderlag

i brottmål – en bättre hantering av stora mål. Ju.

8. Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. M.

9. Det handlar om oss.

– unga som varken arbetar eller studerar. U.

10. Ny ordning för att främja god sed och hantera oredlighet i forskning. U.

11. Vägskatt. Volym 1 och 2. Fi.

12. Att ta emot människor på flykt. Sverige hösten 2015. Ju.

13. Finansiering av infrastruktur med privat kapital? Fi.

14. Migrationsärenden

vid utlandsmyndigheterna. Ju.

15. Kvalitet och säkerhet

på apoteksmarknaden. S.

16. Sverige i Afghanistan 2002–2014. UD.

17. Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. Ju.

18. En nationell strategi för validering. U.

19. Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan

för unga arbetslösa. A.

20. Tillträde för nybörjare – ett öppnare och enklare system för tillträde till högskoleutbildning. U.

21. Läs mig! Nationell kvalitetsplan för vård och omsorg om äldre personer. Del 1 och 2. S.

22. Från värdekedja till värdecykel – så får Sverige en mer cirkulär ekonomi. M.

23. digitalforvaltning.nu. Fi.

24. Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? A.

25. Samlad kunskap – stärkt handläggning. S.

26. Delningsekonomi. På användarnas villkor. Fi.

27. Vissa frågor inom fastighets- och stämpelskatteområdet. Fi.

28. Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. A.

29. Brottsdatalag. Ju

30. En omreglerad spelmarknad. Del 1 och 2. Fi.

31. Stärkt konsumentskydd

på bostadsrättsmarknaden. Ju.

32. Substitution i Centrum

– stärkt konkurrenskraft med kemikaliesmarta lösningar. M.

33. Stärkt ställning för hyresgäster. Ju.

34. Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystem- tjänster, samtidigt som behovet av markexploatering tillgodoses. M.

35. Samling för skolan. Nationell strategi för kunskap och likvärdighet. U.

36. Informationssäkerhet för samhälls viktiga och digitala tjänster. Ju.

37. Kvalificerad välfärdsbrottslighet

– förebygga, förhindra, upptäcka och beivra. Ju.

38. Kvalitet i välfärden – bättre upphandling och uppföljning. Fi.

39. Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskydds förordning. Ju.

40. För dig och för alla. S.

41. Meddelarskyddslagen – fler verksam- heter med stärkt meddelarskydd. Ju.

42. Vem har ansvaret? M.

43. På lika villkor! Delaktighet, jämlikhet och effektivitet i hjälpmedelsförsörj- ningen. S.

44. Entreprenad, fjärrundervisning och distansundervisning. U.

45. Ny lag om företagshemligheter. Ju.

46. Stärkt ordning och säkerhet i domstol. Ju.

47. Nästa steg på vägen mot en mer jämlik hälsa. Förslag för ett långsiktigt arbete för en god och jämlik hälsa. S.

48. Kunskapsbaserad och jämlik vård. Förutsättningar för en lärande hälso- och sjukvård. S.

49. EU:s dataskyddsförordning och utbildningsområdet. U.

50. Personuppgiftsbehandling för forskningsändamål. U.

51. Utbildning, undervisning och ledning

– reformvård till stöd för en bättre skola. U.

52. Så stärker vi den personliga integriteten. Ju.

53. God och nära vård. En gemensam färdplan och målbild. S.

54. Fler nyanlända elever ska uppnå behörighet till gymnasiet. U.

55. En ny kamerabevakningslag. Ju.

56. Jakten på den perfekta ersättnings modellen. Vad händer med med arbetarnas handlingsutrymme? Fi.

57. Lag om flygpassageraruppgifter i brottsbekämpningen. Ju.

58. Amerikansk inresekontroll vid utresa från Sverige – så kan avtalen genom- föras. Ju.

59. Reglering av alkoglass m.fl. produkter. S.

60. Nästa steg? Förslag för en stärkt minoritetspolitik. Ku.

61. Villkorlig frigivning – förstärkta åtgärder mot återfall i brott. Ju.

62. Kärnavfallsrådets yttrande över SKB:s Fud-program 2016. M.

63. Miljötillsyn och sanktioner

– en tillsyn präglad av ansvar, respekt och enkelhet. M.

64. Detaljplanekravet. N.

65. Hyran vid nyproduktion

– en utvärdering och utveckling av modellen med presumtionshyra. Ju.

66. Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning. S.

Statens offentliga utredningar 2017

Systematisk förteckning

Arbetsmarknadsdepartementet

Uppdrag: Samverkan. Steg på vägen mot fördjupad lokal samverkan för unga arbetslösa. [19]

Ett arbetsliv i förändring – hur påverkas ansvaret för arbetsmiljön? [24]

Ett nationellt centrum för kunskap om och utvärdering av arbetsmiljö. [28]

Finansdepartementet

Karens för statsråd och statssekreterare. [3] Vägskatt. Volym 1 och 2. [11]

Finansiering av infrastruktur med privat kapital? [13]

digitalforvaltning.nu. [23]

Delningsekonomi. På användarnas villkor. [26]

Vissa frågor inom fastighets- och stämpel- skatteområdet. [27]

En omreglerad spelmarknad. Del 1 och 2. [30]

Kvalitet i välfärden – bättre upphandling och uppföljning. [38]

Jakten på den perfekta ersättningsmodel- len. Vad händer med medarbetarnas handlingsutrymme? [56]

Justitiedepartementet

Se barnet! [6]

Straffprocessens ramar och domstolens beslutsunderlag i brottmål

– en bättre hantering av stora mål. [7]

Att ta emot människor på flykt. Sverige hösten 2015. [12]

Migrationsärenden

vid utlandsmyndigheterna.[14]

Om oskuldspresumtionen och rätten att närvara vid rättegången. Genomförande av EU:s oskuldspresumtionsdirektiv. [17]

Brottsdatalag. [29]

Stärkt konsumentskydd

på bostadsrättsmarknaden. [31] Stärkt ställning för hyresgäster. [33]

Informationssäkerhet för samhällsviktiga och digitala tjänster. [36]

Kvalificerad välfärdsbrottslighet

– förebygga, förhindra, upptäcka och beivra. [37]

Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskydds förordning. [39]

Meddelarskyddslagen – fler verksam- heter med stärkt meddelarskydd. [41]

Ny lag om företagshemligheter. [45] Stärkt ordning och säkerhet i domstol. [46] Så stärker vi den personliga integriteten. [52] En ny kamerabevakningslag. [55]

Lag om flygpassageraruppgifter i brotts- bekämpningen. [57]

Amerikansk inresekontroll vid utresa från Sverige – så kan avtalen genomföras. [58]

Villkorlig frigivning – förstärkta åtgärder mot återfall i brott. [61]

Hyran vid nyproduktion

– en utvärdering och utveckling av modellen med presumtionshyra. [65]

Kulturdepartementet

Nästa steg? Förslag för en stärkt minoritetspolitik. [60]

Miljö- och energidepartementet

Kraftsamling för framtidens energi. [2]

Kunskapsläget på kärnavfallsområdet 2017. Kärnavfallet – en fråga i ständig förändring. [8]

Från värdekedja till värdecykel – så får Sverige en mer cirkulär ekonomi. [22]

Substitution i Centrum

– stärkt konkurrenskraft med kemikaliesmarta lösningar. [32]

Ekologisk kompensation – Åtgärder för att motverka nettoförluster av biologisk mångfald och ekosystemtjänster, sam- tidigt som behovet av markexploatering tillgodoses. [34]

Vem har ansvaret? [42]

Kärnavfallsrådets yttrande över SKB:s Fud-program 2016. [62]

Miljötillsyn och sanktioner

– en tillsyn präglad av ansvar, respekt och enkelhet. [63]

Näringsdepartementet

För Sveriges landsbygder

– en sammanhållen politik för arbete, hållbar tillväxt och välfärd. [1]

Detaljplanekravet. [64]

Socialdepartementet

För en god och jämlik hälsa. En utveckling av det

folkhälsopolitiska ramverket. [4]

Svensk social trygghet i en globaliserad värld. Del 1 och 2.[5]

Kvalitet och säkerhet

på apoteksmarknaden. [15]

Läs mig! Nationell kvalitetsplan

för vård och omsorg om äldre personer. Del 1 och 2. [21]

Samlad kunskap – stärkt handläggning. [25] För dig och för alla. [40]

På lika villkor! Delaktighet, jämlikhet och effektivitet i hjälpmedelsförsörjningen. [43]

Nästa steg på vägen mot en mer jämlik hälsa. Förslag för ett långsiktigt arbete för en god och jämlik hälsa. [47]

Kunskapsbaserad och jämlik vård. Förutsättningar för en lärande hälso- och sjukvård. [48]

God och nära vård. En gemensam färdplan och målbild. [53]

Reglering av alkoglass m.fl. produkter. [59]

Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning. [66]

Utbildningsdepartementet

Det handlar om oss.

– unga som varken arbetar eller studerar. [9]

Ny ordning för att främja god sed

och hantera oredlighet i forskning. [10] En nationell strategi för validering [18]

Tillträde för nybörjare – ett öppnare och enklare system för tillträde till hög skoleutbildning. [20]

Samling för skolan.

Nationell strategi för kunskap och likvärdighet. [35]

Entreprenad, fjärrundervisning och distansundervisning. [44]

EU:s dataskyddsförordning och utbildningsområdet. [49]

Personuppgiftsbehandling

för forskningsändamål.[50]

Utbildning, undervisning och ledning

– reformvård till stöd för en bättre skola. [51]

Fler nyanlända elever ska uppnå behörighet till gymnasiet. [54]

Utrikesdepartementet

Sverige i Afghanistan 2002–2014. [16]