Dataskyddsförordningen och kvalitetsregister

Transkript

1 Dataskyddsförordningen och kvalitetsregister 2 maj 2018 Josef Driving Landstingsjurist, SLL

2 Bakgrund EU-direktiv blir EU-förordning 25 maj 2018 Personuppgiftslagen (PUL) upphör att gälla Annan registerlagstiftning ses över och ny tillkommer Syfte: Modernisering - harmonisering

3 Mycket är oförändrat Mycket i dataskyddsförordningen liknar de regler som finns i direktivet/pul. Grundläggande principer Utökning av regelmassan - nedteckning av gällande praxis Integritet som grundläggande rättighet

4 Vad är nytt? Ansvarsskyldighet Tydligare reglering av information och samtycke Utökade rättigheter för registrerade Ny ställning för personuppgiftsbiträden (PUB) Nya konsekvenser vid överträdelser Ingen missbruksregel för ostrukturerat material Personuppgiftsincidenter

5 Några begrepp Personuppgift Behandling Personuppgiftsansvarig (PUA) Centralt personuppgiftsansvarig (CPUA) Lokalt personuppgiftsansvarig (LPUA) Personuppgiftsbiträde (PUB) Dataskyddsombud (DSO)

6 Grundläggande principer Laglighet Ändamålsbegränsning finalitetsprincipen Uppgiftsminimering Korrekthet Lagringsminimering Integritet och konfidentialitet

7 Rättslig grund för behandling Samtycke från den registrerade eller nödvändigt för att Fullgöra avtal med den registrerade Fullgöra rättslig skyldighet Skydda den registrerades vitala intressen Allmänt intresse eller myndighetsutövning Intresseavvägning (OBS! Ej offentliga myndigheter när de fullgör sina uppgifter )

8 Ras/etnicitet Politiska åsikter Särskilda kategorier känsliga personuppgifter Religiösa eller filosofiska uppfattningar Fackligt medlemskap Genetiska uppgifter Biometriska uppgifter Hälsa Sexuell läggning/sexualliv

9 Behandling av känsliga personuppgifter Som utgångspunkt förbjudet Men tillåtet om Uttryckligt samtycke.. Viktigt allmänt intresse (enl. nationell rätt) Hälso- och sjukvård, folkhälsa m.m. (enl. n. r.) Arkiv, vetenskap m.m. (enl. n. r.)

10 Krav på giltigt samtycke Frivilligt, specifikt, informerat och otvetydigt Ojämlika förhållanden Barn/vårdnadshavare Bevisbördan för giltigt samtycke Tydligt urskiljbart och lättillgängligt Ska kunna återkallas utan nackdel

11 Rättigheter för registrerade Information utvidgad skyldighet Tillgång registerutdrag Rättelse Invändning Radering ( rätt att bli bortglömd ) Behandlingsbegränsning Dataportabilitet

12 Säkerhet för personuppgifter Den som behandlar personuppgifter ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder, mht Tillgänglig teknik Kostnader Behandlingens art, omfattning och ändamål Risker för de registrerade Patientdatalagen innehåller särskilda krav på säkerhetsåtgärder

13 Ansvarsskyldighet Den som behandlar personuppgifter ska säkerställa och visa att behandling av personuppgifter sker i enlighet med förordningen T.ex. med hjälp av riktlinjer, policy, instruktioner, uppförandekoder eller certifiering Inbyggt integritetsskydd (privacy by design) Konsekvensbedömningar avs. dataskydd Dataskyddsombud Förteckning över personuppgiftsbehandlingar

14 PUA:s skyldigheter Följa de grundläggande dataskyddsprinciperna Utse dataskyddsombud Rutiner för incidenthantering Förteckning över register Rutiner för registrerades rättigheter Säkerhet/inbyggt dataskydd m.m.

15 Sanktioner Överträdelse av de flesta av förordningens bestämmelser kan medföra sanktionsavgifter Effektiva, proportionella och avskräckande Höga maxbelopp Fortfarande möjlighet till skadestånd för kränkning

16 Personuppgiftsbiträden (PUB) Personuppgiftsbiträden får egna skyldigheter enligt förordningen Föremål för tillsyn, sanktioner och skadestånd Enskilda ska kunna vända sig till en aktör och få full ersättning (med regressrätt i vissa fall) Dataskyddsombud och registerförteckning Nya krav på innehållet i PUB-avtal

17 Patientdatalagen (PDL) Socialdataskyddsutredningen har funnit att nuvarande bestämmelser i huvudsak kan behållas Främst lagtekniska förändringar av PDL föreslås i regeringens proposition. Regeringen tycks backa från förslaget på forskningsdatalag!

18 Bevaka utvecklingen! g/dataskyddsforordningengdpr html

19 Mer material.