prop · GP03144 · 2002-03-14 00:00:00 — Det gäller till exempel om det är nödvändigt för att denpersonuppgiftsansvarige skall kunna fullgöra en rättslig förpliktelse som åvilar honom eller henne eller om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller för att utföra en arbetsuppgift i samband medmyndighetsutövning. Personuppgifter får också behandlas om behandlingen ärnödvändig för ett ändamål som rör ett berättigat intresse hos denpersonuppgiftsansvarige eller tredje man till vilka uppgifterna skall lämnas utoch en avvägning ger vid handen att den personuppgiftsansvariges berättigadeintresse av en behandling väger tyngre än den registrerades intresse av skydd.Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter,religiös eller filosofisk övertygelse samt medlemskap i fackförening får intebehandlas (13 §). Likaså är det förbjudet att behandla sådana personuppgiftersom rör hälsa eller sexualliv (13 §). Det är trots förbudet att behandlakänsliga personuppgifter tillåtet att göra detta i de fall som anges i 15-19 §§. Från förbudet gäller bland annat undantag när den registrerade uttryckligensamtyckt till behandlingen (15 §), om behandlingen är nödvändig bland annat föratt skydda vitala intressen hos den registrerade eller någon annan och denregistrerade inte kan lämna sitt samtycke eller för att fastställa, göragällande eller försvara rättsliga anspråk (16 §), för vissa ideellaorganisationer (17 §), inom hälso- och sjukvården (18 §) samt för forskning ochstatistik (19 §). Regeringen eller den myndighet regeringen bestämmer får vidare i fråga om automatiserad behandling föreskriva ytterligare undantag frånförbudet om det behövs med hänsyn till ett viktigt allmänt intresse (20 §).Andra än myndigheter får inte behandla personuppgifter om lagöverträdelser sominnefattar brott m.m. (21 §).Personuppgiftslagen innehåller vidare bestämmelser om denpersonuppgiftsansvariges skyldighet att informera den registrerade om behandling som rör honom eller henne. Den personuppgiftsansvarige skall självmant lämnaden registrerade information rörande behandlingen, när uppgifter om en personsamlas in från denne själv (23 §). Har uppgifterna samlats in från en annankälla, skall den registrerade informeras när uppgifterna registrerats eller, omavsikten med behandlingen är att lämna ut uppgifterna till tredje man, näruppgifterna lämnas ut (24 §). Den personuppgiftsansvarige ärvidare skyldig att efter ansökan gratis en gång per kalenderår informera ompersonuppgifter som rör sökanden behandlas eller inte samt - om sådana uppgifter behandlas - ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa uppgifter kommer och till vem de lämnas ut (26 §).Från informationsskyldigheten finns dock undantag som är uppräknade i lagen. Det gäller till exempel om det i lag eller annan författning finns särskildabestämmelser om registreringen eller utlämnandet av personuppgifter (24 §) eller om det för uppgifterna är föreskrivet sekretess eller tystnadsplikt (27 §).Den personuppgiftsansvarige är skyldig att rätta personuppgifter som ärfelaktiga, missvisande eller ofullständiga eller som annars inte har behandlatsi enlighet med personuppgiftslagen. Har felaktiga personuppgifter lämnats tilltredje man skall denne enligt huvudregeln underrättas om korrigeringsåtgärden(28 §).All behandling av personuppgifter som är helt eller delvis automatiserad skallanmälas till en tillsynsmyndighet (Datainspektionen). Syftet medanmälningsskyldigheten är att göra behandlingens ändamål och dess viktigasteegenskaper kända. skall föra register över anmäldabehandlingar. Regeringen eller, efter regeringens bemyndigande,tillsynsmyndigheten får föreskriva undantag från anmälningsskyldigheten. Av 3 §3 personuppgiftsförordningen (1998:1191) följer att sådan anmälningsskyldighetinte gäller för behandling av personuppgifter som regleras genom särskildaföreskrifter i lag eller förordning. Vidare behövs ingen anmälan när denpersonuppgiftsansvarige anmält till tillsynsmyndigheten att ettpersonuppgiftsombud utsetts av denne. Ett personuppgiftsombud har bl.a. tilluppgift att övervaka och se till att den personuppgiftsansvarige behandlarpersonuppgifter på ett korrekt och lagligt sätt och påpeka eventuella bristerför denne.5 En ny lag om behandling av personuppgifter i den arbetsmarknadspolitiskaverksamheten5.1 En författningsreglering behövsRegeringens förslag: De ramar för behandling av personuppgifter i denarbetsmarknadspolitiska verksamheten som är viktiga ur integritetssynpunkt skall anges i lag. En ny lag införs som ges namnet lag om behandling avpersonuppgifter inom den arbetsmarknadspolitiska verksamheten.Promemorians förslag: Överensstämmer med regeringens förslag.Remissinstanserna: Remissinstanserna tillstyrker i huvudsak förslaget ellerlämnar det utan erinran. i (LO) anser att det inteär tillräckligt med en ramlagstiftning som kan kompletteras med föreskrifter.Skälen för regeringens förslag: Informationstekniken har under de senasteårtiondet utvecklats mycket snabbt. Tekniken erbjuder möjligheter atteffektivisera och rationalisera verksamheter av olika slag. På allasamhällsområden pågår en fortlöpande utveckling mot en allt mer intensifieraddatorisering.Lagen (1994:459) om arbetsförmedlingsregister speglar den IT-miljö som var förhanden inom . IT-utvecklingen i denoperativa verksamheten, såsom platsförmedling, ärendehandläggningsstöd,statistikproduktion m.m., har varit mycket snabb och fått en bredd som vidnyssnämnda tidpunkt inte var tekniskt möjlig. Den maskinella infrastruktureninom , såsom exempelvis datorkapacitet, är helt förändrad.Numera tar i praktiken all verksamhet som bedrivs inom verket - även den rentadministrativa - någon form av informationsteknik till hjälp. Kommunikation ochinformationsöverföring via Internet var praktiskt taget omöjlig iArbetsmarknadsverkets IT-verksamhet för drygt ett årtionde sedan. sker enomfattande verksamhet i en rad olika avseenden i den nya mediavärlden inomArbetsmarknadsverket.Tidigare fyllde den generellt tillämpliga datalagen ut lagen omarbetsförmedlingsregister. Lagen om arbetsförmedlingsregister bygger numera påatt personuppgiftslagen fyller ut där det inte finns några bestämmelser iregisterlagen.Personuppgiftslagens övergångsbestämmelser har inneburit en respit förlagstiftaren till i fråga om anpassningen av dagensregisterreglering till personuppgiftslagen och dataskyddsdirektivet. Den 1oktober 2001 inträffade avgörande förändringar i de rättsliga möjligheterna attbehandla personuppgifter. I flera avseenden är förändringarna stora, bland annat genom att inte endast personregister utan även helt eller delvis automatiseradbehandling av personuppgifter i löpande text (ordbehandling m.m.) omfattas avden nya regleringen.I och med att datalagen upphörde att gälla regleras -förutom viss behandling av personuppgifter - således all behandling avpersonuppgifter av personuppgiftslagen, såvida det inte finns en särskildregisterförfattning som gäller för viss behandling av personuppgifter. En sådanregisterförfattning innebär en specialreglering i förhållande tillpersonuppgiftslagen i syfte att komplettera den eller i vissa delar ersätta den. En särskild författning anses under vissa förutsättningar innebära en bättregaranti för utformningen av integritetsskyddet i särskilt känsliga register.Sådan författningsreglering av personregister har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registreradepersoner och ett integritetskänsligt innehåll bör vara reglerade i lag (prop.1990/91:60 om offentlighet, integritet och ADB, s. 56 ff och bet. 1990/91:KU11s. 11), vilket också framhölls i förarbetena till personuppgiftslagen (prop.1997/98:44, s. 41). Registerförfattningar finns också inom flera områdendär personuppgifter behandlas i register eller databaser såsom till exempel inom skatt-, tull och exekutionsväsendet, och kriminalvården, lag(2001:181) om behandling av personuppgifter i skatteförvaltningensbeskattningsverksamhet, lag (2001:184) om behandling av personuppgifter ikronofogdemyndigheternas verksamhet och lag (2001:185) om behandling avuppgifter i verksamhet, (prop. 2000/01:33), lag (2001:454) ombehandling av personuppgifter inom , (prop. 2000/01:80), lag(2001:617) om behandling av personuppgifter inom kriminalvården, (prop.2000/01:126).Den första frågan som ställning således bör tas till är om regleringen avbehandlingen av personuppgifter i den arbetsmarknadspolitiska verksamheten kanske enbart genom en tillämpning av personuppgiftslagen eller om denna behandling bör författningsregleras särskilt genom antingen lag eller förordning.I den arbetsmarknadspolitiska verksamheten behandlas en mängd uppgifter om bland annat enskilda personer och uppgifterna är i många fall av integritetskänslignatur. Enligt regeringens bedömning är arbetsmarknadsmyndigheternasautomatiserade och behandling av personuppgifter i denarbetsmarknadspolitiska verksamheten av sådan karaktär och omfattning att degrundläggande principerna för hur dessa får behandlas bör - i likhet med vad som gäller - regleras i lag. Behovet av förändringar i förhållande till dennu gällande registerlagen är så stora att en ny lag bör införas. Den nya lagenföreslås få namnet lag om behandling av personuppgifter inom denarbetsmarknadspolitiska verksamheten.5.2Lagens tillämpningsområdeRegeringens förslag: Lagen skall tillämpas vid behandling av personuppgifter iArbetsmarknadsverkets arbetsmarknadspolitiska verksamhet som gällerarbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas avdenna verksamhet. Behandling av uppgifter i administrativ verksamhet skall dockinte omfattas.Lagen skall liksom personuppgiftslagen gälla vid helt eller delvis automatiserad behandling av personuppgifter och även för viss behandling av sådanauppgifter.Behandling av personuppgifter som är tillåten enligt lagen får utföras även omden registrerade motsätter sig behandlingen.Promemorians förslag: Överensstämmer med regeringens förslag.Remissinstanserna: Endast () och ombudsmän har yttrat sig särskilt i denna del. AMS delar de ställningstaganden somredovisas i promemorian. ombudsmän har påtalat att formuleringen attden registrerade inte har rätt att motsätta sig viss behandling avpersonuppgifter är mindre lämplig.Skälen för regeringens förslagArbetsmarknadspolitisk verksamhet m.m.Av förordningen (2001:623) med instruktion för framgår attArbetsmarknadsverket omfattar () och enlänsarbetsnämnd i varje län. I länsarbetsnämnderna ingår bland annat denoffentliga arbetsförmedlingen. AMS är central förvaltningsmyndighet för allmänna arbetsmarknadsfrågor och chefsmyndighet för länsarbetsnämnderna. Allmännabestämmelser om den arbetsmarknadspolitiska verksamheten hosArbetsmarknadsverket finns i förordningen (2000:628) om denarbetsmarknadspolitiska verksamheten. I denna förordning regleras bland annatvilka huvuduppgifterna i denna verksamhet är (3 §), hur verksamhetens skallutformas (4 §) och formerna för verksamheten (5 §). Dessa bestämmelser angerramen för vad som utgör arbetsmarknadspolitisk verksamhet.Huvuduppgifterna i verksamheten är att effektivt sammanföra den som söker arbete med den som söker arbetskraft, att främja sysselsättning ochkompetensutveckling för arbetslösa personer på en effektiv och flexibelarbetsmarknad, att underlätta för personer med svag ställning på arbetsmarknaden att få arbete och förhindra utslagning från arbetsmarknaden, att motverka långa tider utan reguljärt arbete, samt att motverka en könsuppdelad arbetsmarknadoch på andra sätt bidra till ökad jämställdhet mellan kvinnor och män samt tillökad mångfald i arbetslivet. Verksamheten skall utformas så att den stärker denenskildes möjligheter att få eller behålla ett reguljärt arbete som så nära sommöjligt ansluter till hans eller hennes förutsättningar och önskemål, så att den inte snedvrider konkurrensförutsättningarna för annan verksamhet, så att risken för att reguljära arbetstillfällen trängs undan blir så liten som möjligt, såatt den anpassas till skilda förutsättningar och behov i olika delar av landet,och så att den är förenlig med målen för ett ekologiskt hållbart Sverige.Formerna för den arbetsmarknadspolitiska verksamheten är platsförmedling,vägledning, arbetsmarknadspolitiska program, arbetslivsinriktad rehabilitering,arbetslivstjänster och vissa anställningsfrämjande åtgärder. Verksamhetenomfattar även frågor om bland annat arbetstillstånd, arbetslöshetsförsäkringen,totalförsvaret och byggnadstillstånd m.m.De personuppgifter om en arbetssökande, en arbetsgivare eller en kontaktpersonsom behövs för att genomföra den verksamhet som har iuppdrag att bedriva enligt ovan bör enligt regeringens uppfattning omfattas avlagen. Dessa personkategorier omfattas även av den nu gällande registerlagen.AMS och länsarbetsnämnderna behandlar inom ramen för verksamheten ävenuppgifter rörande personer som inte kan kategoriseras som arbetssökande,arbetsgivare eller kontaktpersoner, exempelvis i samband med frågor omarbetstillstånd, arbetslöshetsförsäkringen, totalförsvaret och byggnadstillstånd eller rörande vissa anställningsfrämjande åtgärder. Hanteringen avpersonuppgifter beträffande dessa personer har tidigare skett med stöd av dennumera upphävda datalagen (1973:289) och sker från med stödav personuppgiftslagen. Regeringen anser dock att personuppgifter rörandesamtliga personer som omfattas av den arbetsmarknadspolitiska verksamhetenenligt de ramar som ges i förordningen (2000:628) om denarbetsmarknadspolitiska verksamheten bör regleras i samma lag. Det är emellertid inte möjligt att i lag ange en samlad benämning på den personkrets som lagenbör omfatta utöver huvudkategorierna arbetssökande, arbetsgivare ochkontaktpersoner. Den ram som en förordning ger beträffande vad som utgörarbetsmarknadspolitisk verksamhet bör dock enligt regeringens uppfattning varatillräcklig för att kunna avgränsa denna personkategori. Lagen bör såledesomfatta behandling av personuppgifter även beträffande dessa personer.Intern administrationHos myndigheter behandlas ofta personuppgifter även rörande frågor som liggerutanför den direkta verksamheten. Det kan i sådana fall handla om behandling avpersonuppgifter inom den interna administrationen, till exempel frågor somgäller personal, uppgift om till vilken enhet inom en myndighet ett ärende hör,uppgift om vem som handlägger ett visst ärende eller uppgift om vilkaspecialkunskaper en handläggare besitter. Regeringen har i förarbetena till densärskilda lagstiftningen om behandling av personuppgifter inom skatt-, tull- och exekutionsväsendet (prop. 2000/01:33, s. 87 och 103 f) uttalat att någonsärreglering inte behövs beträffande behandling av sådana uppgifter, utan attpersonuppgiftslagen är tillämplig på den interna administrationen.Personuppgiftslagen bör därmed kunna tillämpas även på den administrativa delenav den verksamhet som myndigheterna inom bedriver ochföreslås därför inte omfattas av den nya lagen.Helt eller delvis automatiserad behandling samt behandlingPersonuppgiftslagen gäller för sådan behandling av personuppgifter som är helteller delvis automatiserad (5 § första stycket). Lagen gäller även för annanbehandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingåi en strukturerad samling av personuppgifter som är tillgängliga för sökningeller sammanställning enligt särskilda kriterier (behandling) (5 § andra stycket).En lag som avser behandling av personuppgifter inom den arbetsmarknadspolitiskaverksamheten bör omfatta samma behandlingar som personuppgiftslagen.I dag behandlas personuppgifter vid den allmänna ärendehanteringen inomArbetsmarknadsverket både i manuellt hanterade personakter och automatiserat ide två personregister som omfattas av lagen om arbetsförmedlingsregister. Detförekommer även att personuppgifter behandlas vid annan automatiseradinformationsbehandling, exempelvis i löptext. Den automatiserade hanteringen avpersonuppgifter i arbetsförmedlingsregistret (arbetsgivar- ocharbetssökanderegister) samt AMS centrala statistikregister är noggrant regleradi den nu gällande registerlagen, i synnerhet beträffande sådana uppgifter sombetraktas som känsliga enligt personuppgiftslagen och så kallade ömtåligauppgifter (se 6-8 §§ lagen om arbetsförmedlingsregister). Detta rättsliga skyddför den personliga integriteten bör enligt regeringens mening vidmakthållas även i den nu föreslagna lagen (se vidare avsnitt 5.7).Arbetsförmedlingsregistret (men inte AMS centrala statistikregister) är kopplattill manuellt hanterade personakter bland annat på så sätt att vissa känsligaoch andra ömtåliga personuppgifter får registreras i registret i form avdaganteckningar under vissa förutsättningar. I den mån uppgifterna inte får tasin i registret kan i daganteckningen göras en hänvisning till personakten. Avdaganteckningen framgår då att anteckning om de känsliga eller ömtåligauppgifterna gjorts i den personakten. Personakterna är inteelektroniska , men tillgängliga för sökning via vissa av uppgifterna iarbetsförmedlingsregistret.Eftersom vissa av personuppgiftslagens bestämmelser såvitt gäller manuellbehandling av personuppgifter inte skall tillämpas före kangränsdragningsfrågor mellan och automatiserad behandling avpersonuppgifter uppstå. För vägledning i dessa frågor hänvisas tillpropositionen Personuppgiftslag (prop. 1997/98:44 s. 38 ff och s. 118).Enligt lagen tillåten behandling av personuppgifter får utföras även om denregistrerade motsätter sig detEnligt dataskyddsdirektivet torde den behandling av personuppgifter som regleras i lagförslaget anses tillåten utan samtycke av den registrerade med stöd avfrämst artikel 7 e. Där anges att personuppgifter får behandlas om behandlingenär nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ettled i myndighetsutövning som utförs av den registeransvarige eller tredje mantill vilken uppgifterna har lämnats ut. I artikel 14 a i direktivet föreskrivsatt medlemsstaterna skall tillförsäkra den registrerade rätten att åtminstone ide fall som avses i bland annat artikel 7 e när som helst av avgörande ochberättigade skäl som rör hans personliga situation motsätta sig behandling avuppgifter som rör honom, utom när den nationella lagstiftningen föreskrivernågot annat. I 12 § andra stycket personuppgiftslagen föreskrivs med anledninghärav att en registrerad inte, utöver vad som följer av 11 § och 12 § förstastycket den lagen, har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Utformningen av 12 § andra stycketpersonuppgiftslagen gör det svårt att direkt hänvisa till den. Riksdagensombudsmän har därtill anfört att paragrafens formulering i promemorian är mindre lämplig eftersom avsikten inte torde vara att frånkänna den enskilde rätt attmotsätta sig behandling eller med andra ord att hävda uppfattningen attbehandling inte bör komma till stånd. Som även ombudsmän påtalatavser bestämmelsen i stället att klargöra att en behandling av personuppgiftersom är tillåten enligt lagen får genomföras även om den registrerade motsättersig det. För att tillgodose dataskyddsdirektivets krav på nationell lagstiftning och för att den registrerade inte i vissa fall skall kunna motsätta sigbehandling av personuppgifter, anser regeringen att det i den föreslagna lagenbör föreskrivas att behandling av personuppgifter som är tillåten enligt lagenfår utföras även om den registrerade motsätter sig behandlingen.5.3 Förhållandet till personuppgiftslagenRegeringens förslag: Personuppgiftslagen gäller vid behandling avpersonuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annatföljer av den nya lagen eller föreskrifter som har meddelats med stöd av den nya lagen eller annars av 2 § personuppgiftslagen.Promemorians förslag: Promemorians förslag överensstämmer i huvudsak medregeringens.Remissinstanserna: Endast AMS och Datainspektionen har yttrat sig i denna del.AMS har tillstyrkt förslaget. Datainspektionen har anfört att det finns ettvärde i att ange vilka bestämmelser i personuppgiftslagen som skall tillämpasvid sidan av den föreslagna lagen.Skälen för regeringens förslag: Personuppgiftslagen innehåller vissadefinitioner och grundläggande krav på när behandling av personuppgifter ärtillåten. I lagen finns vidare bl.a. bestämmelser om information till denregistrerade, om säkerhet vid behandlingen, om rättelse av uppgifter som intehar behandlats i enlighet med personuppgiftslagen eller föreskrifter som harutfärdats med stöd av lagen och om skadestånd.Personuppgiftslagen gäller för behandling av personuppgifter inom denarbetsmarknadspolitiska verksamheten om inte annat regleras särskilt. Med hänsyn till de integritetskänsliga uppgifter som förekommer i denarbetsmarknadspolitiska verksamheten bör, som regeringen anfört ovan, vissa förbehandlingen viktiga förhållanden regleras i en ny särskild lag. Enligtregeringens uppfattning bör den nya lagen bygga på personuppgiftslagen ochendast innehålla de särbestämmelser och förtydliganden som är nödvändiga för den arbetsmarknadspolitiska verksamheten. Lagregleringen bör dock endast innehållade ur integritetssynpunkt viktigaste bestämmelserna och inte vara alltfördetaljerad. Lagen kommer därför att behöva kompletteras med författningar pålägre nivå. Det innebär att närmare avvägningar kring bland annatintegritetsskyddet kommer att ske i samband med att sådana författningarutarbetas.Datainspektionen har påtalat att det kan vara svårt att avgöra vilka regler ipersonupgiftslagen som är tillämpliga på det område som regleras av enspeciallag. Det vore därför enligt Datainspektionens uppfattning värdefullt atti speciallagen ange vilka bestämmelser i personuppgiftslagen som skalltillämpas. Lagrådet har emellertid i sitt yttrande i samband med den särskildalagstiftningen om nya lagar om behandling av personuppgifter inom beskattnings-tull- och exekutionsverksamheterna, där denna teknik åtminstone delvis använts,uttalat att lagstiftningstekniken är otillfredsställande och riskfylld (prop.2000/01:33 s. 345). Regeringen föreslår därför, på samma sätt som skett ilagstiftningsärendena avseende och kriminalvården, att de regleri personuppgiftslagen som är tillämpliga inte skall anges i lagen.5.4 PersonuppgiftsansvarRegeringens förslag: och länsarbetsnämnderna skall varapersonuppgiftsansvariga för den behandling av personuppgifter som myndighetenutför.Promemorians förslag: Överensstämmer med regeringens förslag med den skillnadenatt i promemorian föreslås att den myndighet som skall utföra behandlingen ärpersonuppgiftsansvarig.Remissinstanserna: Endast ombudsmän och Datainspektionen har yttratsig i denna del. ombudsmän har ifrågasatt vilken myndighet som ärpersonuppgiftsansvarig för en behandling som utförs i strid med gällande regleroch som myndigheten således inte skall utföra. Datainspektionen har anfört attdet måste framgå för den registrerade vem som är personuppgiftsansvarig.Skälen för regeringens förslag: Med personuppgiftsansvarig avses enligt 3 §personuppgiftslagen den som ensam eller tillsammans med andra bestämmerändamålen med och medlen för behandlingen av personuppgifter.Personuppgiftslagen medför ett långtgående ansvar för denpersonuppgiftsansvarige att se till att all behandling av personuppgifter sker i överensstämmelse med lagen. I propositionen Behandling av personuppgifter inomskatt, tull och exekution (prop. 2000/01:33 s. 97 f), har regeringen beträffande frågan om vilken myndighet som skall vara personuppgiftsansvarig i de däraktuella verksamheterna gjort bedömningen att det inte är möjligt att i lagnärmare bestämma vilken myndighet i de berörda myndighetsorganisationerna sombör vara ansvarig för olika specifika behandlingar.