EU-kommissionens förslag om en europeisk hälsounion och att stärka EU:s förmåga att hantera gränsöverskridande hot
Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
Inom ramen för det fortsatta beredningsarbetet är det viktigt att det görs en analys av om skapandet av en europeisk hälsounion kan komma att innebära nya, ändrade eller utökade arbetsuppgifter för nationella myndigheter eller andra personuppgiftsansvariga på nationell nivå som ger upphov till behandling av personuppgifter. Ett exempel som behöver belysas rättsligt är den behandling av personuppgifter för smittspårningsändamål där det rättsliga stödet för en sådan behandling, både för en eventuell svensk kontaktspårningsapplikation och en efterföljande överföring av uppgifter till andra länder, får anses vara oklar.
I detta sammanhang hänvisar Integritetsskyddsmyndigheten till sidan 9 i sitt yttrande över SOU 2017:66 Dataskydd inom Socialdepartementets verksamhetsområde – en anpassning till EU:s dataskyddsförordning:
”Någon redogörelse för de behandlingar som utförs inom verksamheterna som inte omfattas av registerförfattningar finns inte heller i betänkandet. Verksamheter inom Socialdepartementets område är ofta sådana att behandling av stora mängder känsliga personuppgifter är nödvändiga, såsom till exempel hos Folkhälsomyndigheten. Datainspektionen har i flera remissyttranden och i en skrivelse till Socialdepartementet framfört synpunkter på att det saknas särskilda bestämmelser för den personuppgiftsbehandling som utförs av Folkhälsomyndigheten, tidigare Smittskyddsinstitutet och Statens folkhälsoinstitut.”
Integritetsskyddsmyndigheten vill även med anledning av att de personuppgifter som kommer att behandlas inom ramen för exempelvis varningssystemet mellan medlemsstaterna (the Early Warning and Response System), utgör känsliga personuppgifter enligt artikel 9 dataskyddsförordningen1 , påminna om vikten av att följa de grundläggande principerna i artikel 5.
Särskilt viktiga i sammanhanget kan 1 Europaparlamentets och rådets förordning 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning). principen om uppgiftsminimering, dvs. att uppgifterna inte är för omfattande i förhållande till ändamålet, samt principen om lagringsminimering, att uppgifterna inte ska lagras längre än vad ändamålet för behandlingen kräver, anses vara.
Likaså är det viktigt att principen om integritet och konfidentialitet inte bara upprätthålls vid lagringen av personuppgifter utan även vid delningen/tillhandahållandet av personuppgifter mellan medlemsstaterna.
Det är därför av yttersta vikt att kraven i artikel 25 på inbyggt dataskydd (privacy by design) och dataskydd som standard (privacy by default) beaktas vid utvecklandet av de IT-system och applikationer som avses att användas, se exempelvis artikel 26 p. 5 förslaget på förordning 2020/0322 (COD) Regulation of the European Parliament and of the Council on serious crossborder threats to health and repealing Decision No 1082/2013/EU.
Detta yttrande har beslutats av enhetschefen Malin Blixt efter föredragning av juristen Laura Eriksson. I den slutliga handläggningen har även avdelningsdirektören Suzanne Isberg deltagit.