En utvidgad insamling och utlämning av djurhälsodata

Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.

IMY lämnar följande synpunkter.

IMY ser positivt på en utökad reglering av behandlingen av de personuppgifter som veterinärer lämnar till Statens Jordbruksverk (Jordbruksverket) enligt 2 kap. 4 a § lagen (2009:302) om verksamhet inom djurens hälso- och sjukvård.

I avsnitt 7.1 i promemorian betonas att de förslag som lämnas innebär en utökad personuppgiftsbehandling hos Jordbruksverket och andra aktörer som tar emot uppgifter. IMY konstaterar emellertid att promemorian inte innehåller någon beskrivning av vilka personuppgifter som berörs av det aktuella förslagen eller vad som avses med ”andra uppgifter som kan kopplas till veterinärer och djurhållare”.

Det bör till exempel framgå om och i så fall i vilken utsträckning som  personuppgifter som rör privatpersoner eller personer med skyddade personuppgifter kan bli föremål för behandling. Det har inte heller gjorts någon uppskattning av hur många personer som kan komma att omfattas av personuppgiftsbehandlingen i till exempel djurhälso-registret. Sammantaget anser IMY alltså att det behöver göras en kartläggning av den föreslagna personuppgiftsbehandlingen. En sådan kartläggning bör innehålla bland annat en beskrivning och analys av vilka personuppgifter som kan komma att behandlas och antalet personer som berörs. Som stöd för i detta arbete kan IMY:s Vägledning för integritetsanalys i lagstiftningsarbete(1) användas.

Genomförandet av en kartläggning av den föreslagna personuppgiftsbehandlingen är en grundläggande förutsättning för att det ska vara möjligt att bedöma om förslaget är förenligt med bestämmelserna som rör skyddet för den personliga integriteten. Det är till exempel inte möjligt att utan en sådan kartläggning ta ställning till om förslaget innebär behandling av känsliga personuppgifter eller uppgifter som innebär särskilda integritetsrisker.(2)

IMY vill även i detta avseende betona att den omständighet att personuppgifter omfattas av sekretess eller tystnadsplikt som syftar till att skydda enskildas personliga eller ekonomiska förhållanden är något som talar för att det finns särskilda integritetsrisker.

En sådan kartläggning har även stor betydelse för bedömningen av vad som kan anses vara en godtagbar rättslig grund och normgivningsnivå. Avsaknaden av en kartläggning innebär också att det saknas möjligt att säkerställa att det gjorts en korrekt proportionalitets- och nödvändighetsbedömning av förslagen. Utfallet i kartläggningen har även betydelse för bedömningen av om den föreslagna regleringen är tillräckligt tydlig, precis och förutsägbar för de registrerade.(3) Detsamma gäller för bedömningen av behovet av integritetshöjande åtgärder som till exempel bestämmelser om sekretess eller tystnadsplikt. Mot denna bakgrund anser IMY att ytterligare överväganden avseende dessa frågor även bör göras efter att en sådan kartläggning som beskrivits ovan har genomförts.

Med anledning av förslaget om förordningen om djurhälsoregister vill IMY därtill särskilt uppmärksamma följande.

I förslaget om förordning om djurhälsoregister preciseras inte tillämpningsområdet för förordningen. Det medför att det till exempel inte är tydligt om avsikten är att även andra aktörer utöver Jordbruksverket ska omfattas av den föreslagna ändamålsbegränsningen i 7–8 §§. Tillämpningsområdet bör därför uttryckligen regleras för att undvika osäkerhet i denna fråga.

I 4 § i förslaget anges att Jordbruksverket är personuppgiftsansvarig för behandlingen av personuppgifter i djurhälsoregistret. Utifrån det som framgår i avsnitt 7.3 framstår det som att avsikten är att Jordbruksverket ska vara personuppgiftsansvarig för den behandling som andra myndigheter utför i registret. IMY vill med anledning av detta lyfta fram att ansvaret ska läggas på den aktör som har faktisk möjlighet att påverka ändamålen och medlen med behandlingen. Den personuppgiftsansvarige måste ha möjlighet att ta ett sådant ansvar.(4) Promemorian innehåller inte några sådana överväganden. Mot bakgrund av detta anser IMY att denna fråga bör bli föremål för en grundligare analys i det fortsatta beredningsarbetet.

Den föreslagna möjligheten för Jordbruksverket att medge direktåtkomst till registret skulle kunna medföra särskilda integritetsrisker.(5) Den grundläggande principen om uppgiftsminimering i dataskyddsförordningen innebär att personuppgifter inte får vara för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c).

Utgångspunkten bör därför vara att utforma regleringen på ett sådant sätt att personuppgiftsbehandlingen blir så begränsad som möjligt för respektive aktör med hänsyn till ändamålet för behandlingen, till exempel vad gäller antalet personer och antal uppgifter om varje person. Om det finns alternativa sätt att uppnå ändamålet med behandlingen som innebär mindre integritetsrisker, men som på ett fullgott sätt kan bidra till att uppfylla det aktuella ändamålet, behöver det övervägas.(6) Sådana överväganden saknas i promemorian. IMY anser att sådana överväganden bör göras i det fortsatta beredningsarbetet.

Förslaget om gallring i 14 § framstår till följd av den föreslagna utformningen som överflödig. För att en bestämmelse om gallringsfrister ska ge mervärde från integritetsperspektiv behöver den vara mer konkret än den grundläggande principen om lagringsminimering i artikel 5.1 e i dataskyddsförordningen.(7) En fast tidsgräns för när gallring av personuppgifterna ska ske är enligt IMY något som också bör övervägas i det fortsatta beredningsarbetet.

IMY anser även att ytterligare överväganden bör göras avseende bestämmelsen om rättelser i 15 §. Utifrån bestämmelsens utformning framstår det som att den inte endast omfattar personuppgifter utan att den avser rättelser av samtliga uppgifter som lämnas till Jordbruksverket. Av det som framkommer i avsnitt 7.5 i promemorian framstår det inte som att detta har varit avsikten. Den närmare innebörden av bestämmelsen bör därför förtydligas.

Avslutningsvis noterar IMY att namnen ”Statens jordbruksverk” och ”Jordbruksverket” används för att benämna samma myndighet i författningsförslagen. Förslagsvis kan ett av dessa namn användas för att skapa mer tydlighet.

Fotnoter

(1) IMY:s Vägledning för integritetsanalys i lagstiftningsarbete, diarienummer: (pdf, 532 kB)
IMY-2022-10835 (pdf, 532 kB)
(2) Jfr IMY:s Vägledning för integritetsanalys i lagstiftningsarbete, s. 7 f. det fortsatta beredningsarbetet.
(3) Jfr skäl 41 och artikel 6.3 i dataskyddsförordningen.
(4) IMY:s Vägledning för integritetsanalys i lagstiftningsarbete, s. 22.
5 Jfr IMY:s Vägledning för integritetsanalys i lagstiftningsarbete, s. 11 f.
(6) IMY:s Vägledning för integritetsanalys i lagstiftningsarbete, s. 20 f.
(7) IMY:s Vägledning för integritetsanalys i lagstiftningsarbete, s. 23.

Detta yttrande har beslutats av enhetschefen Linn Sandmark efter föredragning av
juristen Linda Corneliusson.

Linn Sandmark, 2024-03-26 (Det här är en elektronisk signatur)