prop · GZ03176 · 2012-09-11 00:00:00 — I arbetet med att tilldela forskningsbidrag torde det heller inte vara fråga om att hantera några känsliga personuppgifter i personuppgifts- lagens mening och, om det skulle finnas ett sådant behov, är det lämpligt att tillämpa personuppgiftslagens (1998:204) regler om samtycke. IFAU behandlar även personuppgifter i andra delar av verksamheten. Av 1 § sista stycket i institutets instruktion framgår att myndigheten ska sprida information om resultaten av sina studier, uppföljningar och utvärderingar till andra myndigheter och intressenter. För att fullgöra det uppdraget behandlar IFAU personuppgifter om t.ex. kontaktpersoner vid myndigheter, forskare och andra som är intresserade av IFAU:s arbete. Personuppgifter behandlas också i den interna administrationen vid hanteringen av exempelvis personalfrågor, upphandling av tjänster och inkomna skrivelser från enskilda. Dessa verksamheter bör inte heller omfattas av den nya lagen. I stället bör personuppgiftslagen tillämpas. Kammarrätten i anser att lydelsen i 1 § första stycket i lag- förslaget lämpligen bör justeras till Denna lag gäller vid behandling av personuppgifter hos politisk utvärdering. Syftet med den nya lagen är dock endast att reglera under vilka förutsättningar IFAU får behandla personuppgifter inom ramen för sin forsknings- och utredningsverksamhet. Övriga delar av verksamheten ligger utanför den föreslagna lagens tänkta tillämpningsområde. Den av kammarrätten föreslagna skrivningen blir därmed för vid. Regeringen anser därför att bestämmelsen bör ha den föreslagna lydelsen. Automatiserad och behandling av personuppgifter Den nya lagen bör omfatta helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter, om upp- gifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet för den föreslagna lagen ansluter härigenom till den avgränsning som görs av personuppgifts- lagens tillämpningsområde. 2011/12:176 5.3 Undantag från rätten att motsätta sig Regeringens förslag: Behandling av personuppgifter som är tillåten enligt den nya lagen ska få utföras även om den registrerade motsätter Personuppgifter som samlas in direkt från den enskilde ska dock endast få behandlas med stöd av hans eller hennes För återkallelse av lämnat samtycke ska 12 § personuppgiftslagen Promemorians förslag: Överensstämmer delvis med regeringens I promemorian fanns dock inget förslag om krav på samtycke för behandling av personuppgifter som samlas in direkt från den enskilde. Följaktligen fanns inte heller något förslag på reglering angående förutsättningarna för återkallelse av lämnat samtycke. Remissinstanserna: anser att undantaget från rätten att motsätta sig behandling får anses motiverat. Om individuellt samtycke skulle krävas så skulle IFAU vara tvunget att koppla samman de avidentifierade uppgifterna med en person, vilket i sig skulle innebära en integritetskränkning. Justitiekanslern anser att det saknas skäl för att ett insamlande av icke- avidentifierade personuppgifter ska få ske utan samtycke, men har i övrigt inte något att erinra mot att institutet får rätt att behandla personuppgifter även om den registrerade motsätter sig behandlingen. Bestämmelsen innebär enligt Justitiekanslern en lämplig avvägning mellan institutets möjlighet att bedriva sin verksamhet effektivt och enskildas behov av skydd för den personliga integriteten. Datainspektionen anser att det uttryckligen bör anges att personuppgifter som för en viss studie samlas in direkt från deltagarna bara får samlas in med stöd av ett samtycke, som när det gäller känsliga personuppgifter måste vara uttryckligt. Det är enligt Datainspektionens mening nödvändigt för att undanta denna typ av insamlande av uppgifter från nu aktuell reglering och för att tydliggöra att uppgiftslämnandet är frivilligt. Arbetsförmedlingen anser å andra sidan att förslaget i promemorian innebär att risken för otillbörliga intrång i den personliga integriteten läggs på de enskilda och att det finns en risk för att den som deltar i intervjuer eller besvarar enkäter inte kan lämna ett informerat samtycke till behandlingen med hänsyn till att den enskilde inte kan bilda sig en uppfattning om vilka integritetsintrång som kan komma i fråga när myndigheten har så stora datasamlingar. Övriga remissinstanser har inte kommenterat förslaget särskilt. Skälen för regeringens förslag Undantag från rätten att motsätta sig behandling För att erhålla ett material som är lämpligt för studier, uppföljningar och utvärderingar är det nödvändigt att IFAU får behandla personuppgifter, även om den registrerade motsätter sig detta. Merparten av de person- uppgifter som IFAU hanterar är uppgifter som inhämtats från andra myndigheter och som är avidentifierade när de kommer till IFAU. IFAU har således inte tillgång till sådana uppgifter som krävs för att myndig- heten ska kunna kontakta den enskilde och inhämta dennes samtycke till behandlingen. Om personens samtycke skulle vara nödvändigt för att behandla uppgifterna, skulle IFAU i praktiken vara tvunget att försöka härleda de avidentifierade personuppgifterna till en enskild person. En sådan ordning skulle i sig kunna innebära en integritetskränkning. Av 12 § andra stycket personuppgiftslagen (1998:204) framgår att en registrerad, med vissa undantag, inte har rätt att motsätta sig sådan behandling som är tillåten enligt personuppgiftslagen. Utformningen av bestämmelsen gör det svårt att i en särskild registerförfattning endast hänvisa till den bestämmelsen som grund för rätten att behandla personuppgifter. En särskild bestämmelse med motsvarande innehåll bör därför föras in i den nya lagen. Samtyckeskrav för viss typ av behandling Både Justitiekanslern och Datainspektionen anser att det uttryckligen bör göras ett undantag från den ovan föreslagna bestämmelsen för de fall då uppgifter inhämtas direkt från den enskilde. IFAU samlar in personuppgifter direkt från enskilda endast i de fall institutets studier, uppföljningar eller utvärderingar görs på grundval av enkäter eller intervjuer. Det har förutsatts att inhämtningen och behandlingen av dessa uppgifter sker med ett i vart fall implicit samtycke. Regeringen delar dock Justitiekanslerns och Datainspektionens uppfattning att det kan vara motiverat med ett uttryckligt undantag i lagen från bestämmelsen att behandling som är tillåten enligt lagen får utföras även om den enskilde motsätter sig behandlingen. Det är även motiverat med ett uttryckligt krav på samtycke för behandlingen. Den föreslagna bestämmelsen riskerar annars att komma i konflikt med den frivillighet som bör prägla deltagandet i enkät- eller intervjuundersökningar. När det gäller insamling av denna typ av uppgifter kan inte heller själva inhämtandet av samtycket i sig anses innebära något ytterligare intrång i den personliga integriteten. Av 23 § personuppgiftslagen följer att vid insamling av person- uppgifter direkt från den enskilde ska den personuppgiftsansvarige självmant lämna den vars personuppgifter ska registreras information om hur uppgifterna kommer att behandlas. Den information som ska lämnas ska enligt 25 § samma lag omfatta uppgift om den personuppgifts- ansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse. Förutsatt att detta sköts på rätt sätt anser regeringen att den enskilde bör anses vara kapabel att själv kunna avgöra vilka risker för den personliga integriteten en viss typ av behandling av personuppgifter innebär. Regeringen delar således inte Arbetsförmedlingens uppfattning att förslaget genom samtyckeskravet innebär att risken för otillbörliga intrång i den personliga integriteten läggs över på den enskilde. En annan sak är att samtycket inte helt kan 2011/12:176 ersätta andra regler som har till syfte att åstadkomma ett skydd för den personliga integriteten. Ett lämnat samtycke måste alltid kunna återkallas. För återkallelse av ett lämnat samtycke bör 12 § personuppgiftslagen tillämpas. Enligt ordalydelsen gäller paragrafen bara för återkallelse av samtycken som har lämnats i enlighet med personuppgiftslagens bestämmelser. En sär- skild bestämmelse om att denna bestämmelse ska tillämpas även för samtycken som har lämnats i enlighet med den nya lagen måste därmed tas in i lagen. Hänvisningen till 12 § personuppgiftslagen innebär att ytterligare per- sonuppgifter om den enskilde inte får behandlas efter återkallelsen. Behandlingen av redan insamlade uppgifter får dock fortsätta i enlighet med det ursprungligen lämnande samtycket. Uppgifterna får dock inte uppdateras eller kompletteras. Med hänsyn till personuppgiftslagens krav på kvaliteten hos de personuppgifter som behandlas, kan detta i praktiken innebära att uppgifterna måste utplånas eller avidentifieras för att de blivit inaktuella, ofullständiga eller oanvändbara för det ändamål för vilket de samlades in. Det är viktigt att den enskilde i samband med inhämtandet av samtycket till behandlingen informeras om vilken verkan en återkallelse av ett lämnat samtycke har. Även om 12 § personuppgiftslagen inte innebär en skyldighet att gallra de uppgifter som redan samlats in och behandlats enligt det ursprung- ligen lämnade samtycket, kan det ändå vara lämpligt att gallra sådana uppgifter, om det kan ske utan större olägenhet och inte innebär att åtgärder måste vidtas som i sig kan anses utgöra större risker för integritetsintrång än en fortsatt behandling av uppgifterna. IFAU strävar dock efter att av integritetshänsyn avidentifiera identitetsangivna uppgifter och i det fortsatta arbetet endast arbeta med uppgifterna i avidentifierat skick. De uppgifter som IFAU behandlar och som är direkt hänförliga till enskilda individer skickas som regel till SCB eller annan statistikförande myndighet för avidentifiering och samman- koppling med andra uppgifter, varpå IFAU får tillbaka materialet avidentifierat. För det fall IFAU skulle ha en skyldighet att i sådana fall gallra uppgifterna om ett samtycke återkallas, skulle myndigheten vara tvungen att vidta åtgärder för att åter knyta uppgifterna till en viss person, vilket skulle innebära ett större intrång i den personliga integriteten än en fortsatt behandling av uppgifterna. Regeringens förslag: Personuppgiftslagen ska gälla vid behandling av personuppgifter vid politisk utvärdering, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslutning till denna. Promemorians förslag: Överensstämmer med regeringens. Regeringens förslag har dock en något annorlunda redaktionell utformning. föreslagna regleringen i denna del är omodern och föråldrad. Kammarrätten anser att den föreslagna lagen bör gälla i stället för personuppgiftslagen (1998:204) och att de bestämmelser i personuppgiftslagen som ska tillämpas bör anges särskilt i den föreslagna Övriga remissinstanser har inte haft några synpunkter på förslaget. Skälen för regeringens förslag: Enligt 2 § personuppgiftslagen ska, om det i annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen, de bestämmelserna gälla i stället för subsidiär i förhållande till särregleringar i andra författningar. fall konstrueras särregleringar vad gäller personuppgiftsbehandling så att särregleringen endast kompletterar eller ersätter personuppgiftslagen i frågor som är specifika för de verksamheter som omfattas av Detta innebär att myndigheten måste beakta såväl den särskilda registerförfattningen som personuppgiftslagen vid sin behandling av personuppgifter. Alternativet är en heltäckande reglering av all personuppgiftsbehandling i en viss verksamhet. en sådan reglering med en uppräkning av vilka regler i lagstiftningsteknik har bl.a. använts i den lag som reglerar I lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet anges följaktligen uttryckligen vilka bestämmelser i personuppgiftslagen som ska gälla i Anledningen till detta anges i förarbetena vara att man på det sättet uppnår en större tydlighet och överskådlighet för tillämparna. Lagrådet riktade dock i det lagstiftningsärendet kritik mot den valda lagstiftningstekniken som man ansåg otillfredsställande och riskfylld. Trots att regeringen i just detta fall valde att inte ändra lagstiftningsteknik 2000/01:33 s. 88), har regeringen i andra lagstiftningsärenden avvisat denna typ av lagkonstruktion med hänvisning till Lagrådets uttalanden (se exempelvis prop. personuppgifter inom socialförsäkringens administration, s. 46 f.). samband med införandet av exempelvis polisdatalagen (2010:301) godtogs dock åter denna lagstiftningsteknik. Kammarrätten i anser att det finns ett mycket stort värde i att inte lämna tillämparen utan vägledning beträffande vilka bestämmelser i personuppgiftslagen som är tillämpliga. förordar därför den lagstiftningsmodell som innebär att den föreslagna lagen ska tillämpas i stället för personuppgiftslagen och att de bestämmelser i personuppgiftslagen som ska tillämpas räknas upp i den Kammarrätten räknar också upp ett antal författningsförslag och lagar där denna lagstiftningsteknik har använts. Av det ovan anförda framgår att det finns exempel på båda lag- stiftningsmodellerna i gällande registerförfattningar. dock att utgångspunkten i detta fall bör vara att den nya lagen och de föreskrifter som kan komma att meddelas i anslutning till denna endast bör ersätta eller komplettera personuppgiftslagen i frågor som är specifika för IFAU:s verksamhet. De särregler som behövs i förhållande till personuppgiftslagens regler är i detta fall förhållandevis få. särskilda registerlag bör endast innehålla 2011/12:176 integritetsskyddsperspektiv viktigaste särbestämmelserna i förhållande till personuppgiftslagens bestämmelser. Alternativet, att i den särskilda registerlagen heltäckande reglera vilka regler som ska gälla, passar bäst för verksamheter där det behövs ett stort antal undantag och särregler i förhållande till regleringen i personuppgiftslagen. Att i förevarande fall räkna upp alla de regler i personuppgiftslagen som fortfarande ska tillämpas i IFAU:s verksamhet skulle leda till en otymplig och föga tilltalande dubbelreglering. Mot denna bakgrund anser regeringen att den nya lagen endast bör innehålla de särregler som behövs för IFAU:s verksamhet och att personuppgiftslagen i övriga avseenden ska vara direkt tillämplig i verksamheten. Det finns förstås ett värde i att det blir tydligt för rättstillämparna vilka regler som ska tillämpas. Detta kan dock åstadkommas genom tydlighet i förarbetena. Regeringens förslag: politisk utvärdering ska vara personuppgiftsansvarigt för den behand- ling av personuppgifter som institutet utför. Promemorians förslag: Överensstämmer med regeringens. Regeringens förslag har dock en något annorlunda redaktionell utformning. Remissinstanserna: Ingen av remissinstanserna har kommenterat för- slaget särskilt. Skälen för regeringens förslag: Med personuppgiftsansvarig avses enligt 3 § personuppgiftslagen (1998:204) den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Det bör i en särskild bestämmelse tydliggöras att IFAU är personuppgiftsansvarigt för den behandling av personuppgifter som utförs med stöd av lagen. Begreppet personuppgiftsansvarig ska ha samma innebörd i den nya lagen som i personuppgiftslagen. 5.6Ändamålen för personuppgiftsbehandling vid IFAU Regeringens förslag: Personuppgifter ska endast få behandlas om det behövs för att fullgöra uppdraget att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Personuppgifter som behandlas för ovan nämnda ändamål ska dock även få behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt ska den s.k. finalitetsprincipen gälla. Promemorians förslag: Överensstämmer med Regeringens förslag har dock en något annorlunda Remissinstanserna: Merparten av remissinstanserna tillstyrker eller har inga invändningar mot förslaget. Datainspektionen anser dock att ändamålsbestämmelserna bör kopplas till de specifika ämnesområden inom vilka IFAU:s verksamhet bedrivs. Arbetsförmedlingen anser å sin sida att det vore lämpligt att använda formuleringen att behandlingen ska vara nödvändig, eftersom det är den formuleringen som används i personuppgiftslagen (1998:204). IFAU anser att det i förslaget skulle kunna tydliggöras vad som gäller för utlämnande av uppgift för forskningsändamål. Även anser att förslaget kan förtydligas i denna del och föreslår att det i 6 § görs ett tillägg om att utlämnande får ske i enlighet med 24 kap. 8 § offentlighets- och sekretesslagen (2009:400). framhåller att det är viktigt att det finns möjligheter för samverkan mellan verket och IFAU. Skälen för regeringens bedömning IFAU:s behov av att behandla personuppgifter Enligt 1 § första stycket förordningen (2007:911) med instruktion för utvärdering ska institutet främja, stödja och genom forskning genomföra uppföljning och utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekter av olika reformer och åtgärder inom utbildningsväsendet, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden. För sina studier, utvärderingar och uppföljningar är IFAU helt beroende av att kunna behandla olika typer av uppgifter. Verksamheten är huvudsakligen inriktad på analyser av s.k. mikrodata. Det handlar i vissa fall om uppgifter om exempelvis företag och arbetsställen. I de allra flesta fall handlar det dock om sådana uppgifter om individer som utgör personuppgifter i personuppgiftslagens mening. Vid effekt- och processutvärderingar av åtgärder och insatser inom arbetsmarknadspolitiken behöver institutet exempelvis behandla person- uppgifter om vilken insats en individ har deltagit i och hur individen påverkats av insatsen. Det kan t.ex. handla om att undersöka om insatsen lett till att individen lämnat arbetslösheten eller om personen är fortsatt inskriven som arbetssökande hos Arbetsförmedlingen. Vidare behöver institutet behandla olika personuppgifter som beskriver individers egenskaper, t.ex. uppgifter om kön, ålder, födelseland och hemort, så att utfallet kan relateras till deltagarnas förutsättningar och för att göra det möjligt att studera om effekterna skiljer sig åt mellan olika grupper. En effektutvärdering kräver också svar på frågan vad som hade hänt om individen inte hade deltagit i insatsen. För detta behöver IFAU kunna skapa lämpliga jämförelsegrupper med personer som är så lika dem som deltagit i en insats som möjligt. Detta kräver förståelse för de processer som styr deltagandet i en insats. Vad som är ett relevant utfall varierar mellan insatserna och kan innefatta både direkta arbetsmarknadsutfall (lön och sysselsättning) och utfall indirekt kopplade till arbetsmarknaden (hälsa, deltagande i utbildning, och studieresultat). För vissa uppdrag behöver IFAU även genomföra enkäter och intervjuer. Detta utgör dock en mindre del av institutets verksamhet. Detta arbetssätt används huvudsakligen för att fullgöra uppdrag från regeringen att göra processutvärderingar av arbetsmarknadspolitiska program eller åtgärder inom utbildningspolitiken. Typiskt sett sker insamlandet av uppgifter i sådana fall genom att ett frågeformulär skickas till exempelvis arbetsförmedlare eller till arbetssökande som deltar i ett specifikt arbetsmarknadspolitiskt program. Med hänsyn till det utvidgade uppdraget på utbildningsområdet kan det framöver även bli aktuellt att skicka enkäter till eller göra intervjuer med rektorer, lärare eller elever. Behovet av att behandla känsliga personuppgifter För att kunna fullgöra sitt uppdrag behöver IFAU i vissa fall även behandla sådana känsliga personuppgifter som avses i 13 § person- uppgiftslagen. Vilka överväganden som görs i denna del framgår av avsnitt 5.8. Behovet av personuppgifter från andra myndigheter Som framgått ovan är IFAU för sin forskningsverksamhet beroende av uppgifter från andra myndigheter. Merparten av uppgifterna hämtas från SCB som också är statistikansvarig myndighet för en stor del av arbetsmarknadspolitiken, se lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken. IFAU hämtar även uppgifter från Arbetsförmedlingen samt från , som är en av två statistikansvariga myndigheter på socialförsäkrings- området. Med anledning av IFAU:s utvidgade uppdrag på utbildningsområdet kommer institutet framöver även i ökad omfattning ha anledning att vända sig till bl.a. kommuner, Kommuner och Landsting, och för att inhämta underlag för sina studier, uppföljningar och utvärderingar. Avidentifierad och icke-avidentifierad data IFAU har i huvudsak endast behov av att behandla s.k. avidentifierad data. Här avses med avidentifierad data samlingar av personuppgifter som inte är direkt hänförliga till enskilda personer, dvs. sådana person- uppgifter där namn och person- eller samordningsnummer har ersatts av ett löpnummer. Till uppgiftssamlingen sparas en nyckel med koppling till namn, person- eller samordningsnummer hos den myndighet som levererat personuppgifterna till institutet. De uppgiftssamlingar som SCB tar fram på beställning av IFAU innehåller alltid endast avidentifierad data. IFAU har som framgått även behov av att i vissa fall behandla viss icke-avidentifierad data, såsom uppgifter om namn och adress, för att exempelvis kunna sända ut enkäter eller intervjuförfrågningar till enskilda. De personuppgifter institutet behöver behandla för utskick av enkäter är i sig inte känsliga, men då de indirekt kan avslöja exempelvis uppgifter som rör hälsa, kan behandlingen ändå innebära ett visst intrång i den enskildes personliga integritet. Kontaktuppgifter inhämtas främst från Arbetsförmedlingen, kommuner eller . IFAU kan också bli tvunget att, i vart fall i inledningsskedet av en studie, behandla identitetsangivna uppgifter för det fall uppgifter måste hämtas in från kommuner, myndigheter eller andra som saknar möjligheter eller resurser att avidentifiera uppgifterna på ett korrekt sätt. Avvägning mellan IFAU:s behov av att behandla personuppgifter och skyddet för den personliga integriteten IFAU:s samlingar av personuppgifter innehåller sammankopplade upp- gifter om enskilda från en eller flera myndigheter. IFAU har därmed tillgång till ett sammansatt material som kan vara förhållandevis om- fattande. Att personuppgifterna är avidentifierade minskar dock risken för intrång i den personliga integriteten. Eftersom IFAU är en mindre myndighet och endast ett begränsat antal personer kommer att arbeta med det inhämtade materialet, innebär behandlingen inte heller någon risk för spridning av uppgifterna till någon större krets. Därtill kommer att uppgifterna skyddas av en stark sekretess (se avsnitt 4.3). Den samlade bedömningen är att samhällsintresset av att IFAU kan fullgöra sitt uppdrag och att beslutade insatser kan följas upp och utvärderas, väger tyngre än hänsynen till de risker för integritetsintrång som behandlingen innebär för den enskilda individen. Behandlingen får dock inte gå utöver vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det är också viktigt att lämpliga skyddsåtgärder vidtas för att så långt möjligt avvärja de risker som behandlingen innebär. Enligt 9 § första stycket c personuppgiftslagen ska den personuppgifts- ansvarige se till att personuppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål.