prop · GZ03176 · 2012-09-11 00:00:00 — Känsliga personuppgifter får också behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att någons vitala intressen ska kunna skyddas i fall då den registrerade inte kan lämna sitt samtycke eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål. Även viss behandling för forsknings- och statistikändamål är undantagen från förbudet mot behandling av känsliga personuppgifter. Enligt 19 § personuppgiftslagen får känsliga personuppgifter behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen). Känsliga personuppgifter får även behandlas för statistikändamål, om behandlingen är nödvändig på något av de sätt som anges i 10 § personuppgiftslagen och om samhällsintresset av det aktuella statistikprojektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Regleringen av behandlingen av känsliga personuppgifter i person- uppgiftslagen följer i princip motsvarande reglering i dataskydds- direktivet. Direktivet medger att medlemsstaterna i sin nationella lag- stiftning beslutar om andra undantag från förbudet mot behandling av känsliga uppgifter än dem som anges i dataskyddsdirektivet, om undan- taget kan motiveras utifrån hänsyn till ett viktigt allmänt intresse och under förutsättning att lämpliga skyddsåtgärder vidtas. Den nationella lagstiftningen kan således innehålla ytterligare undantag från förbudet mot behandling av känsliga personuppgifter. Enligt 20 § person- uppgiftslagen får också regeringen eller den myndighet regeringen bestämmer, om det behövs med hänsyn till ett viktigt allmänt intresse, meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga uppgifter. Sådana undantag finns bl.a. i de tidigare nämnda särskilda registerförfattningarna. Enligt 21 § personuppgiftslagen är det förbjudet för andra än myndig- heter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administra- tiva frihetsberövanden. Etikprövningslagen har till syfte att skydda den enskilda människan och respekten för människovärdet vid forskning. Med forskning avses enligt lagen vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund. Arbete som utförs inom ramen för högskoleutbildning anses dock inte utgöra forskning i lagens mening. Lagen ska bl.a. tillämpas på forskning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen eller personuppgifter om lagöverträdelse som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § samma lag. Sådan forskning får enligt etikprövningslagen endast utföras om den har godkänts vid en etikprövning. Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Behandling av känsliga personuppgifter eller sådana personuppgifter som avses i 21 § personuppgiftslagen får endast godkännas om behandlingen är nödvändig för att forskningen ska kunna utföras. Behandling för historiska, statistiska eller vetenskapliga ändamål I både dataskyddsdirektivet och i personuppgiftslagen har behandling för historiska, statistiska eller vetenskapliga ändamål fått en särställning. Prop.2011/12:176 behandling för sådana ändamål ska inte anses oförenlig med de ursprungliga ändamål för vilka uppgifterna samlades in (se 9 § första stycket d och andra stycket personuppgiftslagen). Det är också tillåtet att för sådana ändamål bevara personuppgifter än vad som annars skulle vara tillåtet. Uppgifterna får dock inte bevaras än vad som behövs för de historiska, statistiska eller vetenskapliga ändamålen (se 9 § första stycket 1 och tredje stycket personuppgifts- lagen). Enligt 19 § fjärde stycket personuppgiftslagen får personuppgifter lämnas ut för att användas i vissa statistikprojekt, om inte annat följer av regler om sekretess eller tystnadsplikt. Med behandling för historiska ändamål avses i första hand bevarandet av personuppgifter för arkivering (jfr 8 § andra stycket person- uppgiftslagen). Med behandling för statistiska ändamål avses i första hand framställning av numeriska sammanställningar av elementära observationer som kan hänföras till händelser, flöden eller tillstånd (prop. 1997/98:44 s. 127). Med behandling för vetenskapliga ändamål avses i första hand den verksamhet som bedrivs vid universitet och högskolor eller offentliga eller privata och väletablerade forskningsinstitut. Det måste vidare finnas ett samhällsintresse av att forskningen bedrivs och den måste vara att anse som vetenskaplig (se anförd prop. s. 127). Regeringen har utsett ett antal myndigheter att vara ansvariga för officiell statistik på olika områden. Dessa myndigheter kallas för statistikansvariga myndigheter. Syftet är att säkerställa att det finns officiell statistik för allmän information, utredningsverksamhet och forskning. Lagen ställer krav på att statistiken ska vara objektiv och allmänt tillgänglig (1 och 3 §§ lagen [2001:99] om den officiella statistiken). En statistikansvarig myndighet får behandla personuppgifter för framställning av officiell statistik. Känsliga personuppgifter eller sådana personuppgifter som avses i 21 § första stycket personuppgifts- lagen får dock endast behandlas om det följer av föreskrifter som meddelats av regeringen. Den officiella statistiken ska av de statistikansvariga myndigheterna hållas allmänt tillgänglig i elektronisk form genom ett allmänt nätverk. Uppgifter som behandlas för framställning av officiell statistik får även behandlas för framställning av annan statistik eller för forskning. Detta gäller dock endast om ändamålet med behandlingen inte är oförenligt med det ändamål för vilket uppgifterna samlades in (9 § förordningen [2001:100] om den officiella statistiken). När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En sådan åtgärd får dock endast vidtas om den som uppgifterna lämnas ut till ska använda dessa för forskning eller statistik och har ett särskilt behov av att senare kunna komplettera uppgifterna. Den som mottar uppgifterna får i sin tur endast behandla uppgifterna för dessa statistik- och forskningsändamål. Den som har fått personuppgifter som avses i 16 § första stycket lagen om den officiella statistiken behöver inte lämna information till den Prop. 2011/12:176 registrerade om att uppgifter behandlas, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade (se 1618 §§ lagen om den officiella statistiken). IFAU får merparten av underlaget för sin forskningsverksamhet från SCB som bl.a. är statistikansvarig myndighet för delar av arbetsmarknadsområdet samt för utbildnings- och forskningsområdet. Uppgifter inhämtas även från som bl.a. är statistikansvarig myndighet för stora delar av socialförsäkringsområdet. Sekretess i IFAU:s verksamhet Av 24 kap. 8 § första stycket offentlighets- och sekretesslagen (2009:400) framgår bl.a. att sekretess gäller för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde i sådan särskild verksamhet hos en myndighet som avser framställning av statistik. Detsamma gäller för sådana uppgifter i annan jämförbar undersökning som utförs av eller riksdagsförvaltningen eller, i den utsträckning regeringen meddelar föreskrifter om det, av någon annan myndighet. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Med stöd av bemyndigandet i 24 kap. 8 § offentlighets- och sekretess- lagen har regeringen meddelat föreskrifter i 7 § offentlighets- och sekretessförordningen (2009:641). Där finns bl.a. en bestämmelse som särskilt tar sikte på IFAU:s verksamhet. Enligt 7 § gäller sekretess för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde inom IFAU:s verksamhet som avser uppföljning och utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekter av olika reformer och åtgärder inom utbildningsväsendet, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden. Uppgifter som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till den enskilde, får dock lämnas ut under samma förutsättningar som gäller enligt 24 kap. 8 §. IFAU får således lämna ut sådana uppgifter endast om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. IFAU:s möjligheter att lämna ut uppgifter ur sina samlingar är därmed ytterst begränsade (se vidare avsnitt 5.6). Prop.2011/12:176 Sekretess i berörda myndigheters verksamhet Som tidigare framgått är IFAU för sin verksamhet beroende av person- uppgifter från andra myndigheter. Dessa personuppgifter kan dock om- fattas av regler om sekretess. Den utlämnande myndigheten är därmed skyldig att vid en förfrågan från IFAU om att få tillgång sådana uppgifter göra en sekretessprövning innan uppgifterna lämnas ut till IFAU. Enligt 24 kap. 8 § offentlighets- och sekretesslagen gäller sekretess hos SCB för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. De sekretessregler som gäller i Arbetsförmedlingens verksamhet finns i 28 kap. offentlighets- och sekretesslagen. Enligt 11 § gäller sekretess för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men och uppgiften förekommer i ett ärende om arbets- förmedling, yrkesvägledning, arbetsvård eller antagning till arbetsmark- nadsutbildning. Detsamma gäller i ärende om stöd eller hjälp vid arbets- löshet eller om andra åtgärder i anställningsfrämjande syfte eller för att främja en enskilds anpassning till arbetslivet. Sekretessen gäller dock inte för beslut i dessa ärenden. Enligt 12 § gäller också sekretess för uppgift om en enskilds affärs- eller driftsförhållanden i ärende om arbets- förmedling och ärende enligt lagstiftningen om anställningsfrämjande åtgärder, om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada. Enligt 28 kap. 1 § offentlighets- och sekretesslagen gäller sekretess hos i ärenden enligt lagstiftning om allmän försäkring, allmän pension, arbetsskadeförsäkring eller handikappersättning. Det- samma gäller i ärenden om vårdbidrag eller annan jämförbar ekonomisk förmån för enskild och ärenden för läkarvårdsersättning eller ersättning för sjukgymnastik. Sekretessen gäller för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden, om det kan antas att den som uppgiften rör eller någon honom eller henne närstående lider men om uppgiften röjs. Under begreppet personliga förhållanden kan uppgift om en enskilds ekonomi falla även om det mer sällan kan hävdas att det medför men för den enskilde att sådana uppgifter lämnas ut (prop. 1979/80:2 Förslag till sekretesslag m.m., Del A, s. 84 och 190.) IFAU begär också ut uppgifter från statistik- databaser. För uppgifterna i dessa databaser gäller statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen. Bestämmelser om sekretess på utbildningsområdet finns huvudsakligen i 23 kap. 17 b §§ offentlighets- och sekretesslagen. Sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen och 7 § offentlighets- och sekretessförordningen gäller vidare för uppgifter om enskildas personliga förhållanden hos för undersökning av resultatet av nationella prov, hos för nationella respektive internationella undersökningar inom skolväsendet och sådan pedagogisk verksamhet som avses i 25 kap. skollagen (2010:800), hos universitet Prop. 2011/12:176 och högskolor för undersökningar av studenters bakgrund och om deras vägval efter studierna samt hos Myndigheten för för undersökningar om utbildningar inom myndighetens ansvarsområde och arbetsmarknadsutfallet av sådana utbildningar och om studerandes bakgrund och deras vägval efter studierna. Hos Myndigheten för gäller sekretessen även för uppgifter om enskildas ekonomiska förhållanden. 5En ny lag om behandling av personuppgifter hos IFAU 5.1Behovet av en särskild registerlag Regeringens förslag: En särskild lag ska införas för den behandling av personuppgifter som sker vid utvärdering. Regeringens bedömning: Kompletterande bestämmelser bör med- delas av regeringen. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Merparten av remissinstanserna tillstyrker eller har inga invändningar mot förslaget. anser att det är av stor vikt att IFAU ges möjlighet att på ett effektivt och ändamålsenligt sätt fullgöra sitt uppdrag inom det arbetsmarknadspolitiska området. Enligt Statskontoret gör förslaget det möjligt för IFAU att behandla personuppgifter i den utsträckning som institutet behöver för att kunna fullgöra sin uppgift på ett effektivt sätt. Såvitt myndigheten kan bedöma säkerställer förslaget ett fullgott skydd för den personliga integriteten. IFAU anser att lagförslaget i stort tillgodoser myndighetens behov som det tillgodoser samhällets behov av skydd för den personliga integriteten och behovet av kontroll över vilken typ av forskning som känsliga personuppgifter ska användas till. framhåller att IFAU:s forskning är angelägen för samhället då den går ut på att öka kunskapen om effekterna av olika arbetsmarknads- och utbildningspolitiska insatser. anser att förslaget kan stärka forskningen och därmed möjliggöra utvärdering av arbetsmarknadspolitiska åtgärder och att de regler som kringgärdar användandet av personuppgifter är tillfredsställande. anser att den föreslagna lagens utformning åstadkommer ett fullgott skydd för den personliga integriteten. akademikers centralorganisation () anser med hänsyn till att personuppgifterna i huvudsak är avidentifierade att förslagets fördelar överväger dess nackdelar, givet att IFAU på ett tillfredsställande sätt kan trygga datasäkerheten. De utvärderingar som genomförs utgör enligt 2011/12:176 ett mycket viktigt underlag för utformningen av en effektiv Datainspektionen delar uppfattningen att en särskild lag bör införas om behandling av personuppgifter vid IFAU. bedömningen att ett sammanhållet regelverk för IFAU:s personuppgifts- hantering kommer att underlätta bedömningar i samband med att IFAU begär att få ut uppgifter från myndigheten. Arbetsförmedlingen ställer sig positiv till förslaget att reglera IFAU:s personuppgiftsbehandling i en särskild lag. arbetslöshetsförsäkringen instämmer också i förslaget att de viktigaste ramarna för personuppgiftsbehandlingen hos IFAU bör dras upp i en Inspektionen konstaterar vidare att det i huvudsak är avidentifierade personuppgifter som behandlas vid IFAU och att detta minskar riskerna för intrång i de enskildas personliga integritet. Skälen för regeringens förslag Behovet av en särskild reglering av IFAU:s personuppgiftsbehandling IFAU behandlar personuppgifter med stöd av personuppgiftslagen (1998:204). För att IFAU ska kunna behandla personuppgifter behöver därmed varje behandling föregås av en prövning enligt 10 § person- Där föreskrivs att personuppgifter endast får behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa i paragrafen angivna ändamål. sådant ändamål kan vara att behandlingen anses nödvändig för att en arbetsuppgift av allmänt intresse ska kunna utföras. Ett annat kan vara att ett berättigat intresse hos den personuppgiftsansvarige eller den till vilken personuppgifterna ska lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränk- ning av den personliga integriteten. För det fall IFAU har behov av att behandla känsliga personuppgifter eller sådana personuppgifter som avses i 21 § personuppgiftslagen krävs dessutom att projektet etikprövas enligt lagen (2003:460) om etikprövning av forskning som avser (se avsnitt 5.8). För att fullgöra sitt uppdrag begär IFAU ut personuppgifter från andra Innan begärda uppgifter lämnas ut måste dessa myndig- heter pröva huruvida ett utlämnande är förenligt med gällande offentlig- hets- och sekretesslagstiftning. De måste också ta ställning till om den behandling som kommer att utföras hos institutet kan anses förenlig med Som framgått ovan har IFAU samlingar av personuppgifter i databaser. Den databas från vilken institutet gör merparten av sina datauttag, den s.k. IFAU-databasen, innehåller samlingar Vissa av dessa uppgifter är s.k. känsliga personuppgifter i personuppgiftslagens mening. IFAU fick efter en ansökan till en regional etikprövningsnämnd ett godkännande enligt etikprövningslagen för forskning på grundval av data ur IFAU-databasen. Godkännandet har förlängts och nuvarande godkännande gäller till och samhällsvetenskaplig forskning om arbetsmarknadens utbildningsåtgärder baserad på IFAU-databasen. Då IFAU:s uppdrag har utvidgats betydligt, är ett fortsatt godkännande av ett projekt i samma omfattning inte tillräckligt för att institutet ska kunna hålla och administrera de databaser myndigheten behöver för sin verksamhet. Mot denna bakgrund har IFAU i en skrivelse till regeringen framfört önskemål om en reglering som ger institutet möjlighet att mer långsiktigt inneha och använda sammanhållna databaser med personuppgifter (A2009/1438/A). Enligt IFAU skulle det få allvarliga konsekvenser för institutets möjligheter att genomföra sitt uppdrag om möjligheten att hålla denna typ av databaser upphör. Trots att personuppgiftslagen innehåller flera särregler för forsknings- och statistikverksamhet har frågan uppkommit om personuppgiftslagens regler för behandling av personuppgifter är optimalt anpassade för den typ av forskningsverksamhet som IFAU bedriver. Särskilt har frågan uppkommit om det är förenligt med personuppgiftslagen att bygga upp och förvara samlingar av personuppgifter som inte är knutna till något specifikt och på förhand bestämt forskningsprojekt. Även i övrigt har ramarna för personuppgiftsbehandlingen i IFAU:s forskningsverksamhet ansetts oklara. Det osäkra rättsläget har även inneburit svårigheter för de myndigheter som förser IFAU med underlag för forsknings- verksamheten. Svårigheterna har bl.a. legat i att avgöra vilka uppgifter som IFAU faktiskt har behov av och i att avgöra om den personuppgiftsbehandling som ska utföras är förenlig med personuppgiftslagen. har IFAU kunnat finna stöd för sin personuppgiftsbehandling i det godkännande för behandlingen som institutet fått av den regionala etikprövningsnämnden. Som framgått ovan löper nuvarande godkännande ut . Med hänsyn till IFAU:s utvidgade uppdrag bedöms det inte som sannolikt att IFAU på nytt kan få ett godkännande för sin personuppgiftsbehandling som fullt ut täcker institutets uppdrag och behov. Mot ovan angiven bakgrund anser regeringen att en särskild register- författning bör införas som ger IFAU bättre och mer långsiktiga och förutsebara möjligheter att på ett rättssäkert sätt behandla person- uppgifter. Utgångspunkten för regleringen bör vara att IFAU ska ges möjligheter att behandla personuppgifter i den utsträckning som behövs för att institutet på ett ändamålsenligt och effektivt sätt ska kunna full- göra sitt kärnuppdrag. bör lagen innehålla klara och tydliga regler och villkor för personuppgiftsbehandlingen och därigenom även åstadkomma ett bättre skydd mot oacceptabla intrång i den personliga integriteten. Lagen bör också syfta till att underlätta för de myndigheter som förser IFAU med data att göra de rättsliga bedömningar som behöver göras innan begärda uppgifter lämnas ut till institutet. Den behandling av personuppgifter som IFAU har behov av att utföra för att fullgöra sitt uppdrag kan i sig inte anses innebära ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen regleras i lag (se avsnitt 4.2), särskilt mot bakgrund av att behandlingen till så stor del avser avidentifierade personuppgifter för 2011/12:176 forskningsändamål. Regeringen har därför övervägt om IFAU:s personuppgiftsbehandling kan regleras genom förordning. Då det handlar om en förhållandevis stor mängd personuppgifter som dessutom kan komma att sparas i databaser , finner regeringen det ändå lämpligt att reglera personuppgiftsbehandlingen i lag. Lagens innehåll och utformning Lagen bör vara utformad på ett sådant sätt att IFAU:s verksamhet kan bedrivas på ett effektivt och ändamålsenligt sätt som ett fullgott integritetsskydd uppnås. Särreglerna bör endast ersätta personuppgiftslagens regler i frågor som är specifika för IFAU:s verksamhet. De bestämmelser som bör framgå av lag är främst sådana som avser vilka uppgifter som får behandlas, för vilka ändamål uppgifterna får behandlas, hur de får behandlas och vilka rättigheter den enskilde har. Särskilda regler bör också knytas till de databaser som IFAU kommer att få använda i verksamheten. För det fall det finns behov av kompletterande bestämmelser bör dessa meddelas av regeringen. Regeringens förslag: Den nya lagen ska tillämpas vid behandling av personuppgifter i den verksamhet hos och utbildningspolitisk utvärdering som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen ska inte tillämpas på behandling av personuppgifter vid till- delning av forskningsbidrag. Lagen ska endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Kammarrätten i anser att lagens tillämpningsområde i stället bör bestämmas till behandling av person- uppgifter hos IFAU. Ingen annan remissinstans har särskilt kommenterat Skälen för regeringens förslag Tillämpningsområdet för den nya lagen bör utgå från IFAU:s huvudsak- liga uppdrag såsom det är formulerat i 1 § första stycket förordningen (2007:911) med instruktion för och Lagen bör således avse den del av IFAU:s verksamhet som består i att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. IFAU:s arbete med att tilldela forskningsbidrag bör dock inte omfattas Forskningsbidragen tilldelas efter ett ansökningsförfarande och hanteringen av dessa ansökningar och tilldelningsbeslut skiljer sig från den personuppgiftshantering som görs inom själva forskningsverksam- heten.