Dataskyddsförordningen och kvalitetsregister 2 maj 2018 Josef Driving Landstingsjurist, SLL
Bakgrund EU-direktiv blir EU-förordning 25 maj 2018 Personuppgiftslagen (PUL) upphör att gälla Annan registerlagstiftning ses över och ny tillkommer Syfte: Modernisering - harmonisering
Mycket är oförändrat Mycket i dataskyddsförordningen liknar de regler som finns i direktivet/pul. Grundläggande principer Utökning av regelmassan - nedteckning av gällande praxis Integritet som grundläggande rättighet
Vad är nytt? Ansvarsskyldighet Tydligare reglering av information och samtycke Utökade rättigheter för registrerade Ny ställning för personuppgiftsbiträden (PUB) Nya konsekvenser vid överträdelser Ingen missbruksregel för ostrukturerat material Personuppgiftsincidenter
Några begrepp Personuppgift Behandling Personuppgiftsansvarig (PUA) Centralt personuppgiftsansvarig (CPUA) Lokalt personuppgiftsansvarig (LPUA) Personuppgiftsbiträde (PUB) Dataskyddsombud (DSO)
Grundläggande principer Laglighet Ändamålsbegränsning finalitetsprincipen Uppgiftsminimering Korrekthet Lagringsminimering Integritet och konfidentialitet
Rättslig grund för behandling Samtycke från den registrerade eller nödvändigt för att Fullgöra avtal med den registrerade Fullgöra rättslig skyldighet Skydda den registrerades vitala intressen Allmänt intresse eller myndighetsutövning Intresseavvägning (OBS! Ej offentliga myndigheter när de fullgör sina uppgifter )
Ras/etnicitet Politiska åsikter Särskilda kategorier känsliga personuppgifter Religiösa eller filosofiska uppfattningar Fackligt medlemskap Genetiska uppgifter Biometriska uppgifter Hälsa Sexuell läggning/sexualliv
Behandling av känsliga personuppgifter Som utgångspunkt förbjudet Men tillåtet om Uttryckligt samtycke.. Viktigt allmänt intresse (enl. nationell rätt) Hälso- och sjukvård, folkhälsa m.m. (enl. n. r.) Arkiv, vetenskap m.m. (enl. n. r.)
Krav på giltigt samtycke Frivilligt, specifikt, informerat och otvetydigt Ojämlika förhållanden Barn/vårdnadshavare Bevisbördan för giltigt samtycke Tydligt urskiljbart och lättillgängligt Ska kunna återkallas utan nackdel
Rättigheter för registrerade Information utvidgad skyldighet Tillgång registerutdrag Rättelse Invändning Radering ( rätt att bli bortglömd ) Behandlingsbegränsning Dataportabilitet
Säkerhet för personuppgifter Den som behandlar personuppgifter ska vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder, mht Tillgänglig teknik Kostnader Behandlingens art, omfattning och ändamål Risker för de registrerade Patientdatalagen innehåller särskilda krav på säkerhetsåtgärder
Ansvarsskyldighet Den som behandlar personuppgifter ska säkerställa och visa att behandling av personuppgifter sker i enlighet med förordningen T.ex. med hjälp av riktlinjer, policy, instruktioner, uppförandekoder eller certifiering Inbyggt integritetsskydd (privacy by design) Konsekvensbedömningar avs. dataskydd Dataskyddsombud Förteckning över personuppgiftsbehandlingar
PUA:s skyldigheter Följa de grundläggande dataskyddsprinciperna Utse dataskyddsombud Rutiner för incidenthantering Förteckning över register Rutiner för registrerades rättigheter Säkerhet/inbyggt dataskydd m.m.
Sanktioner Överträdelse av de flesta av förordningens bestämmelser kan medföra sanktionsavgifter Effektiva, proportionella och avskräckande Höga maxbelopp Fortfarande möjlighet till skadestånd för kränkning
Personuppgiftsbiträden (PUB) Personuppgiftsbiträden får egna skyldigheter enligt förordningen Föremål för tillsyn, sanktioner och skadestånd Enskilda ska kunna vända sig till en aktör och få full ersättning (med regressrätt i vissa fall) Dataskyddsombud och registerförteckning Nya krav på innehållet i PUB-avtal
Patientdatalagen (PDL) Socialdataskyddsutredningen har funnit att nuvarande bestämmelser i huvudsak kan behållas Främst lagtekniska förändringar av PDL föreslås i regeringens proposition. Regeringen tycks backa från förslaget på forskningsdatalag!
Bevaka utvecklingen! https://www.datainspektionen.se/dataskyddsreformen/ https://skl.se/naringslivarbetedigitalisering/digitaliserin g/dataskyddsforordningengdpr.13023.html
Mer material. http://kvalitetsregister.se/drivaregister/juridikochregelverk.1946.html