Behandling med stöd av samtycke

Utredningens bedömning: Myndigheten för vård- och omsorgs-analys har möjlighet att behandla personuppgifter med stöd av samtycke enligt artikel 6.1 a i dataskyddsförordningen.

Behandling av personuppgifter får enligt artikel 6.1 a i dataskydds-förordningen ske om den registrerade har samtyckt till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

Samtycke definieras i artikel 4 punkt 11 i dataskyddsförordningen som varje slag av frivillig, specifik, informerad och otvetydig vilje-yttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. I artikel 7 i dataskydds-förordningen finns ytterligare bestämmelser om samtycke, som är nya i förhållande till dataskyddsdirektivet och personuppgiftslagen.

Där anges bl.a. att den personuppgiftsansvarige ska kunna visa att den registrerade har samtyckt. En begäran om samtycke ska göras i en begriplig och lätt tillgänglig form med användande av klart och tydligt språk och kunna särskiljas från andra frågor. Samtycket kan när som helst tas tillbaka.

Av skäl 43 till dataskyddsförordningen framgår att samtycke inte bör utgöra giltig rättslig grund i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personupp-giftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar. Någon motsvarande skrivning fanns inte i skälen till data-skyddsdirektivet. Det kan alltså inte uteslutas att kraven på samtycke i vissa situationer när samtycke utgör den rättsliga grunden för behandling av personuppgifter har skärpts något i förhållande till vad som gällde innan dataskyddsförordningen började tillämpas. I skäl 171 till dataskyddsförordningen finns också skrivningar som verkar förut-sätta att ett samtycke enligt dataskyddsdirektivet inte alltid uppfyller villkoren i dataskyddsförordningen. Där anges nämligen att om behandling grundar sig på samtycke enligt dataskyddsdirektivet behöver den registrerade inte lämna ett nytt samtycke för att den personuppgiftsansvarige ska kunna fortsätta med behandlingen efter det att dataskyddsförordningen har börjat tillämpas, om det sätt på

vilket samtycket gavs överensstämmer med villkoren i dataskydds-förordningen.

Artikel 29-gruppen har i ett yttrande gjort vissa uttalanden avseende dataskyddsdirektivets krav på att samtycke ska ha lämnats frivilligt. I yttrandet anges att typen av registeransvarig kan vara avgörande för valet av rättslig grund för behandling av personupp-gifter. Detta gäller framför allt registeransvariga inom den offentliga sektorn, där behandlingen av personuppgifter normalt är knuten till fullgörandet av en rättslig förpliktelse eller utförandet av en arbets-uppgift av allmänt intresse. Att använda samtycke som rättslig grund i dessa fall är inte lämpligt. Detta är särskilt tydligt när det gäller hur personuppgifter behandlas av offentliga myndigheter som har offi-ciella maktbefogenheter, t.ex. rättsvårdande myndigheter som agerar inom ramen för sina uppdrag i samband med polisiära och rättsliga aktiviteter. I samma yttrande anges att ett samtycke som i en vård-situation getts under hot om att medicinsk vård annars inte kommer att ges, eller att medicinsk vård av lägre kvalitet kommer att ges, inte kan betraktas som frivilligt. Artikel 29-gruppen menar dock att sam-tycke i undantagsfall kan vara en giltig grund för stater när de behandlar personuppgifter, men en noggrann kontroll bör göras för att se om samtycket faktiskt är tillräckligt frivilligt.¹

Myndigheten för vård- och omsorgsanalys är en offentlig myn-dighet där behandlingen av personuppgifter många gånger är knuten till utförandet av en arbetsuppgift av allmänt intresse. Det finns därför skäl att analysera om ett samtycke kan lämnas frivilligt och därmed utgöra stöd för behandling av personuppgifter.

I egenskap av att vara en oberoende analysmyndighet har myndig-heten ett mycket renodlat uppdrag bestående i analys och uppfölj-ning på övergripande nivå. Den hanterar inte enskilda personers ärenden och har alltså inte någon möjlighet att påverka utfallet i enskilda ärenden. Myndigheten analyserar över huvud taget inte enskilda fall som rör individer, utan gör analyser på övergripande nivå, generellt sett nationellt. Enskilda personer och fall saknar i den bemärkelsen betydelse.

Inte heller fördelar myndigheten ekonomiska bidrag eller har någon direkt inverkan på resursfördelning, som skulle kunna påverka enskilda personers situation. Myndigheten har inget tillsynsuppdrag

1 Artikel 29-gruppens yttrande 15/2011 om definitionen av begreppet ”samtycke” s. 13–14

och utför inga inspektioner. Den har inte heller i övrigt några makt-befogenheter. Analysobjekt anges i rapporter endast på en över-gripande nivå och i sådan form att det inte går att härleda uppgifterna till någon enskild, även när det rör sig om s.k. goda exempel.

Det sagda innebär att myndigheten är helt fristående från den verksamhet som analyseras. De personer som tillfrågas om samtycke, såväl patienter och brukare som personal vid exempelvis vårdinrätt-ningar, har ingen relation till myndigheten i övrigt, varför myn-digheten inte kan utöva någon påtryckning mot de registrerade. Det bör även tilläggas att genom att myndigheten har ett renodlat upp-drag förhåller det sig alltid så att myndigheten inte har någon sådan överordnad roll i förhållande till enskilda personer. Vissa andra myndigheter kan ha mer uppdelade uppdrag, där myndighetsutöv-ning sker på viss avdelmyndighetsutöv-ning och analys på annan. I de fallen kan det möjligen vara svårare för den enskilde att förstå vems frågor den svarar på. I Myndigheten för vård- och omsorgsanalys fall är det dock inte så.

Sammantaget bedömer utredningen att registrerade som exempelvis medverkar i en enkätundersökning som ingår i ett analysprojekt inte kan sägas befinna sig i en sådan beroendeställning i förhållande till myndigheten att kravet på frivillighet inte kan uppfyllas. Samtycke kan således i de allra flesta fall lämnas frivilligt och därmed utgöra grund för behandling av personuppgifter i Myndigheten för vård- och omsorgsanalys verksamhet. Myndigheten måste dock göra en bedömning av om kravet på frivillighet är uppfyllt i varje enskilt fall.

För det fall kravet på frivillighet bedöms vara uppfyllt när det gäller en viss behandling av personuppgifter som myndigheten utför måste även de övriga kraven på samtycke i dataskyddsförordningen följas.

Av praktiska skäl är det inte möjligt att stödja all behandling som myndigheten behöver utföra på samtycke. Som anges i avsnitt 4.4.2 är det vid genomförande av analyser, som innebär att en större mängd personuppgifter samlas in från andra aktörer än den registrerade själv, inte hanterbart att inhämta samtycke från samtliga registrerade.

Sådan behandling av personuppgifter som sker i syfte att ta fram kontaktuppgifter till personer med t.ex. en viss hälsoegenskap kan inte heller ske med samtycke, eftersom samtycke kan lämnas först när kontakt har tagits.

7.1.3 Behandling för att utföra en arbetsuppgift av allmänt