prop · GZ03176 · 2012-09-11 00:00:00 — Det finns därför skäl att särskilt föreskriva att uppgifter som behandlats i strid med den föreslagna lagen eller med föreskrifter som meddelats i anslutning till denna omfattas av personuppgiftslagens regler om rättelse och skadestånd. Regeringens förslag: Den nya lagstiftningen ska träda i kraft den Lagen ska gälla till och med . Promemorians förslag: Överensstämmer delvis med regeringens. promemorian finns inget förslag om att lagen ska tidsbegränsas. Remissinstanserna: Ingen av remissinstanserna har haft några synpunkter på tidpunkten för ikraftträdandet. Förslaget att lagen ska tidsbegränsas har som framkommit ovan tillkommit i ett sent skede av Förslaget i denna del har beretts särskilt med Datainspektionen, () och IFAU. bakgrund av de invändningar som Datainspektionen har haft mot förslaget tycker inspektionen att det är positivt att den föreslagna lagen IFAU anser däremot att en tidsbegränsning av lagen riskerar att skapa praktiska problem och en osäkerhet i arbetet med databaserna och infrastrukturen kring dessa. skillnaderna när det gäller möjligheterna till kontroll och styrning som små; en lag som gäller tills vidare kan också ändras eller avskaffas. det är mycket angeläget att lagen kan träda i kraft menar dock IFAU att en tidsbegränsad lag är att föredra framför att problemen med nuvarande system kvarstår. SCB har inte yttrat sig i Skälen för regeringens förslag: Som tidigare framgått löper nuvarande godkännande från forskning som görs på grundval av den s.k. IFAU-databasen ut Det är inte troligt att IFAU därefter kommer att få ett nytt godkännande som täcker de behov myndigheten har . ska kunna fortsätta att fullgöra sitt uppdrag är det därför angeläget att den föreslagna lagen träder i kraft , dock . Som framgått ovan är systemet för den officiella statistiken för Utredningen ska särskilt granska och tillgängligheten till statistiken. tilläggsuppdrag som gavs till utredningen skulle utredningen också föreslå organisatoriska och tekniska åtgärder som kan denna del lämnades . Det ingick dock inte i Prop. 2011/12:176 tilläggsuppdraget att komma med några förslag till författningsändringar. En ny utredning kommer således att behöva tillsättas i denna del (se avsnitt 5.9.) Det kommer därför att ta tid innan ett nytt system för officiell statistik, som är bättre anpassat för registerbaserad forskning, kan vara på plats. När översynen av systemet för den officiella statistiken är slutförd kan det dock finnas anledning att ompröva IFAU:s behov av att bygga upp egna samlingar av personuppgifter. Det kan då även finnas skäl att ompröva behovet av en särskild registerlag för IFAU och att utvärdera hur den nya lagen har fungerat i både forsknings- och integritetsskyddshänseende. Lagen bör därför tidsbegränsas. För att en utvärdering av lagen ska bli meningsfull måste dock lagen ha hunnit vara i kraft innan utvärderingen görs. Regeringen gör därför bedöm- ningen att lagen bör gälla till och med . Det är visserligen riktigt, som IFAU anför, att även en lag som gäller tills vidare kan ändras eller upphävas. Genom att lagen tidsbegränsas åtar sig dock regeringen att senast utvärdera lagen och ta ställning till om den ska permanentas, ändras eller ersättas av annan reglering. Som IFAU anför riskerar en tidsbegränsning av lagen att medföra vissa praktiska problem för myndigheten. Det blir bl.a. svårare för myndigheten att planera och fatta långsiktiga beslut om investeringar i databasstrukturen. Dessa olägenheter kan dock inte anses vara så betydande att de väger tyngre än skälen för att göra lagen tidsbegränsad. Konsekvenser av att genomföra förslagen Det lagförslag som läggs fram i denna proposition förbättrar IFAU:s möjligheter att behandla personuppgifter för att fullgöra sitt uppdrag att främja, stödja och genom forskning genomföra uppföljningar, studier och Genom förslagen får IFAU ett uttryckligt rättsligt stöd för att utan närmare tidsbegränsning hålla samlingar, databaser, med personuppgifter för automatiserad behandling, vilket gör institutets verksamhet mer förutsägbar. Förslaget underlättar också den prövning som andra myndigheter måste göra innan de bestämmer sig för att överlämna dataunderlag till IFAU. Förslaget ger institutet förutsättningar att bedriva sin verksamhet på ett effektivt och rättssäkert sätt som det ger den enskilde ett fullgott skydd mot intrång i den personliga Ett långsiktigt samarbete med SCB är en förutsättning för att IFAU:s dataförsörjning ska fungera på ett bra sätt. riskerar naturligtvis att göra det svårare för båda myndigheterna att fatta beslut om investeringar i databasstrukturen. Denna olägenhet är dock inte så betydande att den väger tyngre än de skäl som framförts för att i ett första skede tidsbegränsa lagen. 2011/12:176 Ekonomiska konsekvenser Förslaget bedöms inte medföra några kostnader som ger upphov till finansiering med medel utöver vad som avsatts i befintligt budgetanslag. Konsekvenser för den personliga integriteten IFAU behandlar personuppgifter med stöd av personuppgiftslagen (1998:204). Förslagen i denna promemoria bedöms ge institutet bättre förutsättningar att utföra sitt uppdrag som skyddet för den personliga integriteten stärks i vissa avseenden. Förslagen innebär att IFAU får behandla vissa känsliga person- uppgifter. Detta innebär naturligtvis en viss risk för otillbörligt intrång i den personliga integriteten. Å andra sidan kommer de känsliga uppgifter som får behandlas med förslaget att begränsas till endast tre kategorier. Till skillnad från tidigare kommer det således att finnas ett absolut förbud mot att behandla andra känsliga personuppgifter än dessa. Målsättningen med lagförslaget är också att det ska utgöra en lämplig avvägning mellan skyddet för den enskildes personliga integritet och kravet på effektiv och ändamålsenlig verksamhet hos IFAU. De begränsningar för behandlingen som föreslås i form av ändamålsbestämmelser, begräns- ningar av vilka känsliga uppgifter som får behandlas och regler om hur uppgifterna får behandlas, bör utgöra ett tillräckligt skydd för den personliga integriteten. Att det i huvudsak är avidentifierade person- uppgifter som behandlas och att tillgången till uppgifterna är begränsad till en liten krets forskare bidrar också till att minska riskerna för den enskilde. Förslagen bedöms sammanfattningsvis kunna medföra vissa risker för otillbörliga intrång i den personliga integriteten, men riskerna bedöms inte vara så allvarliga att de får anses väga tyngre än intresset av att åstadkomma en effektiv och ändamålsenlig verksamhet hos IFAU. Konsekvenser för internationella åtaganden Förslaget förväntas inte ha några konsekvenser som påverkar åtaganden inom EU eller . konvention (nr 168) om främjande av sysselsättning och skydd vid arbetslöshet som kompletterar bl.a. konvention (nr 122) om sysselsättningspolitik berör den arbetsmarknadspolitiska verksamheten. Konventionen innehåller dock inga regler om behandling av person- uppgifter. Vidare har antagit riktlinjer som rör behandling av person- uppgifter för arbetstagare, of workers personal data An code of practice (1997). Riktlinjerna är inte rättsligt bindande men syftar till att ge vägledning i såväl övergripande regleringsfrågor som mer praktiska frågor som berör den enskilda arbetsplatsen. Det bedöms att förslagen inte kan anses strida mot åtaganden enligt ratificerade . Förslagen bedöms inte få några särskilda konsekvenser för jämställd- heten, miljön eller några särskilda effekter för vare sig små eller stora företag. 7.2Konsekvenser av att inte genomföra förslagen IFAU:s verksamhet ökar kunskapen om hur arbetslöshetsförsäkringen och de arbetsmarknadspolitiska programmen och insatserna påverkar arbetsmarknaden. Verksamheten ökar även kunskapen om effekterna av olika reformer och åtgärder på utbildningsområdet. Det är därför ett viktigt samhällsintresse att IFAU kan fortsätta att bedriva en effektiv och ändamålsenlig verksamhet. IFAU innehar och administrerar en databas med personuppgifter som löpande uppdateras och ur vilken personuppgifter kan hämtas för olika projekt. Detta görs bl.a. med stöd av ett god- kännande från en regional etikprövningsnämnd. Godkännandet gäller för viss forskning baserad på uppgifter ur denna databas (se avsnitt 5.1). De förslag IFAU lämnade i sin skrivelse till regeringen (A2009/1438/A) tar sikte på den situation som med all sannolikhet kommer att uppstå när nuvarande godkännande från den regionala etik- prövningsnämnden löper ut. Om IFAU inte längre kommer att kunna hämta sitt underlag från en redan befintlig databas, kommer det att få konsekvenser för IFAU:s möjligheter att leverera utredningar inom rimlig tid, av god kvalitet och till en rimlig kostnad. Förslagen i denna promemoria syftar till att skapa förutsättningar för att institutet, även med ett vidgat uppdrag, ska kunna fortsätta att bedriva sin verksamhet på ett effektivt, ändamålsenligt och rättssäkert sätt. Att bygga upp en samling av personuppgifter för ett specifikt uppdrag tar enligt IFAU upp till och ibland . Om IFAU för varje nytt projekt måste bygga upp en ny samling uppgifter, riskerar uppdragen att ta orimligt . Det är vidare enligt IFAU svårt att på förhand veta vilka personuppgifter som kommer att behövas för ett specifikt utredningsuppdrag. Att i efterhand komplettera med ytterligare personuppgifter fördröjer ofta arbetet ytterligare, särskilt i de fall SCB på uppdrag av IFAU måste sätta samman personuppgifter som kommer från flera olika myndigheter. Eftersom arbetsmarknadspolitiken är ett politikområde som kan kräva snabba förändringar beroende på konjunktur, påverkar långa utredningstider även och regeringens möjligheter att utvärdera redan beslutade insatser och åtgärder eller att erhålla underlag inför beslut om nya sådana insatser eller åtgärder. Det är även viktigt att utvärderingar av reformer och åtgärder inom utbildningsväsendet inte tar än nödvändigt. Om IFAU kan inhämta personuppgifter ur en redan befintlig databas, möjliggör det för institutet att mycket snabbare än annars kunna fullgöra olika typer av utredningsuppdrag. Att skapa projektspecifika samlingar av personuppgifter är vidare kostsamt. IFAU uppskattar kostnaden till per Det finns därför en risk att institutet skulle behöva begränsa 2011/12:176 underlaget av finansiella skäl, vilket i sin tur riskerar att få till följd att underlaget för institutets studier, uppföljningar och utvärderingar blir mindre omfattande och att slutresultatet blir sämre. Detta innebär i förlängningen att regeringen och inte kommer att få ett fullgott underlag för att bedöma resultatet av beslutade insatser. Förslagen i denna proposition ska naturligtvis inte enbart motiveras utifrån intresset att förbättra möjligheterna till uppföljning och utvärdering. Det bör dock i sammanhanget poängteras att uppföljningarna och utvärderingarna syftar till att uppnå kostnadseffektivitet inom den arbetsmarknads- politiska verksamheten och utbildningsväsendet och en väl fungerade arbetsmarknads- och utbildningspolitik. I paragrafen anges lagens tillämpningsområde. Av första stycket framgår att lagen ska tillämpas i sådan verksamhet hos utvärdering (IFAU) som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Tillämpningsområdet ansluter därmed nära till IFAU:s uppdrag enligt 1 § första stycket förordningen (2007:911) med instruktion för utvärdering. Bestämmelsen i andra stycket utgör ett undantag från bestämmelsen i första stycket. Bestämmelsen innebär att lagen inte ska tillämpas i den del av IFAU:s verksamhet som innebär handläggning av ärenden om tilldelning av forskningsbidrag. I paragrafens tredje stycke begränsas lagens tillämpningsområde till viss typ av behandling av personuppgifter. Avgränsningen motsvarar den avgränsning som görs i 5 § personuppgiftslagen (1998:204). I de delar av IFAU:s verksamhet som faller utanför lagens tillämp- ningsområde enligt första stycket eller som omfattas av undantaget i andra stycket, tillämpas personuppgiftslagens bestämmelser om behandling av personuppgifter. Personuppgiftslagen är även tillämplig i de delar av myndighetens verksamhet som i och för sig omfattas av den nya lagens tillämpningsområde, men där någon särreglering i förhållande till personuppgiftslagens bestämmelser inte har gjorts, se nedan kommentaren till 3 §. Förslaget behandlas i avsnitt 5.2. Av första stycket följer att behandling av personuppgifter som är tillåten enligt denna lag, får utföras även om den registrerade motsätter sig behandlingen. Bestämmelsen motsvarar 12 § andra stycket person- uppgiftslagen. Bestämmelsen ska tillämpas vid all behandling inom lagens tillämpningsområde av sådana personuppgifter som inte har 2011/12: 176 samlats in direkt från den enskilde. Bestämmelsen i andra stycket utgör ett undantag från huvudregeln i Den innebär att sådana personuppgifter som samlas in direkt från den enskilde genom exempelvis enkäter eller intervjuer endast får behandlas om den enskilde uttryckligen har samtyckt till För återkallelse av ett lämnat samtycke ska 12 § Detta innebär att den enskilde när som helst kan återkalla ett lämnat samtycke. En återkallelse kan göras skriftligt eller muntligt och ska göras till den personuppgiftsansvarige, i detta fall IFAU. Sedan återkallelsen gjorts och kommit till den personuppgiftsansvariges kännedom får ytterligare personuppgifter om den enskilde inte behandlas. Behandlingen av redan insamlade uppgifter får dock fortsätta i enlighet med det ursprungligen lämnade samtycket. Uppgifterna får dock inte uppdateras eller kompletteras. personuppgiftslagens krav på kvaliteten hos de personuppgifter som behandlas kan detta i praktiken innebära att uppgifterna måste utplånas eller avidentifieras för att de blivit inaktuella, ofullständiga eller oanvändbara för det ändamål för vilket de samlades in. Förslaget behandlas i avsnitt 5.3. Av paragrafen följer att personuppgiftslagen fortfarande gäller i den verksamhet hos IFAU som omfattas av denna lag, om behandlingen inte regleras särskilt i lagen eller i föreskrifter som har meddelats i anslutning Detta innebär att IFAU måste tillämpa personuppgiftslagen parallellt med den nya lagen. fortfarande i frågor där ingen särreglering har skett. I lagen används flera begrepp som har hämtats från personuppgifts- lagen, t.ex. behandling, personuppgift, personuppgiftsansvarig och sam- Dessa begrepp har samma innebörd i den nya lagen som i person- Paragrafen har utformats i enlighet med Lagrådets synpunkter. Förslaget behandlas i avsnitt 5.4. Av paragrafen framgår att IFAU är personuppgiftsansvarigt för den behandling av personuppgifter som sker inom ramen för den verksamhet som omfattas av lagen. Personuppgiftsansvaret har samma innebörd som personuppgiftsansvaret enligt 3 § personuppgiftslagen. Paragrafen har utformats i enlighet med Lagrådets synpunkter. Förslaget behandlas i avsnitt 5.5. I paragrafen regleras för vilka s.k. primära ändamål personuppgifter får behandlas hos IFAU. Det handlar om sådan behandling av person- uppgifter som är nödvändig för att IFAU ska kunna fullgöra sitt uppdrag enligt 1 § första stycket förordningen (2007:911) med instruktion för Paragrafen har utformats i enlighet med Lagrådets synpunkter. Förslaget behandlas i avsnitt 5.6. I paragrafen klargörs att IFAU får behandla personuppgifter även för vissa ändamål som ligger utanför institutets egna verksamhetsområde, s.k. sekundära ändamål. Paragrafen klargör att behandling av personuppgifter är tillåten för att fullgöra en uppgiftsskyldighet enligt lag eller förordning eller i andra fall då ett utlämnande får anses förenligt med gällande författningsreglering. En förutsättning är dock att uppgifterna ursprungligen har behandlats för primära ändamål hos IFAU (se kommentaren till 5 §). I paragrafen klargörs även att bestämmelserna i 9 § första stycket d och andra stycket personuppgiftslagen (finalitetsprincipen) gäller även för den personuppgiftsbehandling som sker med stöd av den nya lagen. Finalitetsprincipen innebär att personuppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket uppgifterna Behandling för historiska, statistiska eller vetenskapliga ändamål ska dock inte anses som oförenlig med de ursprungliga ändamålen för behandlingen. Förslaget behandlas i avsnitt 5.6. I första stycket regleras i vilken utsträckning IFAU får behandla sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen. bestämmelsen framgår att IFAU endast får behandla tre kategorier av Bestämmelsen innebär således ett förbud mot behandling av övriga kategorier personuppgifter som betecknas som känsliga i 13 § personuppgiftslagen. Begränsningen av vilka känsliga personuppgifter som får behandlas gäller för all behandling av personuppgifter inom ramen för lagens tillämpningsområde, dvs. om uppgifterna behandlas i sådana databaser som regleras i 8 eller 9 § eller på annat sätt. I andra stycket finns en bestämmelse som upplyser om att det vid forskning som innefattar behandling av känsliga personuppgifter även krävs att forskningen prövas av en etikprövningsnämnd enligt lagen (2003:460) om etikprövning av forskning som avser människor. märka är att en etikprövningsnämnd i samband med sitt godkännande kan ställa villkor för personuppgiftsbehandlingen i ett forskningsprojekt som går utöver de krav som ställs enligt denna lag eller Paragrafen har utformats i enlighet med Lagrådets synpunkter. Förslaget behandlas i avsnitt 5.8. Paragrafen reglerar IFAU:s möjligheter att inneha samlingar av person- uppgifter i databaser eller motsvarande som inte nödvändigtvis är knutna till en viss avgränsad studie, uppföljning eller utvärdering. att inneha sådana samlingar begränsas till samlingar av avidentifierade personuppgifter, där den nyckel som möjliggör identifiering av en Prop. 2011/12: 176 enskild person finns kvar hos den myndighet från vilken Paragrafen gäller även uppgifter som visserligen har samlats in för en viss avgränsad studie, uppföljning eller utvärdering, men som har avidentifierats på det sätt som beskrivs ovan och där IFAU således inte har direkt tillgång till den nyckel som krävs för att åter knyta uppgifterna till en viss person. Som en ytterligare förutsättning för behandlingen gäller att behandlingen ska vara nödvändig för de ändamål som anges i 5 §. Av 10 § följer att avidentifierade uppgifter inte får behandlas i syfte att röja en persons identitet. Bestämmelser om undantag från informationsskyldigheten vid behandling av avidentifierade uppgifter finns i 13 §. Paragrafen har utformats i enlighet med Lagrådets synpunkter. Förslaget behandlas i avsnitt 5.9. Paragrafen reglerar IFAU:s möjligheter att inneha samlingar av person- uppgifter som inte är avidentifierade på det sätt som avses i 8 §. Av paragrafen följer att sådana personuppgifter endast får behandlas om det behövs för en viss avgränsad studie, uppföljning eller utvärdering. Även i detta fall gäller att behandlingen måste vara nödvändig för de ändamål som anges i 5 §. I 11 § finns regler om begränsningar av möjligheterna att sambearbeta denna typ av uppgifter. Observera att paragrafen är tillämplig även på sådana personuppgifter som visserligen har avidentifierats, men där avidentifieringen har gjorts av IFAU. I sådana fall har nämligen institutet tillgång till ett grundmaterial som innehåller personuppgifter som är direkt hänförliga till en person eller en nyckel som gör det möjligt för institutet att återknyta uppgifterna till enskilda individer. Paragrafen har utformats i enlighet med Lagrådets synpunkter. Förslaget behandlas i avsnitt 5.10. Paragrafen innebär ett förbud mot behandling av avidentifierade personuppgifter i syfte att avslöja en persons identitet. Syftet med bestämmelsen är att förstärka skyddet för den personliga integriteten vid behandling av sådana personuppgifter som inte är direkt hänförliga till en person. Förslaget behandlas i avsnitt 5.11.1. Bestämmelsen i första stycket innebär ett förbud mot sambearbetning av personuppgifter som behandlas med stöd av 9 §. Personuppgifter som inte är avidentifierade i enlighet med villkoren i 8 § och som har samlats in för att behandlas i olika studier, uppföljningar eller utvärderingar får således inte sambearbetas med varandra. Begränsningen gäller däremot inte för sådana personuppgifter som behandlas med stöd av 8 §. Begränsningen gäller inte heller för sambearbetning av sådana person- 2011/12:176 uppgifter som behandlas med stöd av 9 § med sådana personuppgifter som behandlas med stöd av 8 §. I andra stycket görs ett undantag från sambearbetningsförbudet i första stycket för sambearbetning av personuppgifter som är nödvändig för att upprepa eller följa upp en tidigare genomförd studie, uppföljning eller utvärdering. Paragrafen har utformats i enlighet med Lagrådets förslag. behandlas i avsnitt 5.11.3. Av paragrafen följer att IFAU är skyldigt att se till att behörigheten att behandla personuppgifter begränsas till vad var och en behöver för att kunna utföra sina arbetsuppgifter. Syftet med begränsningen är att för- stärka skyddet för den personliga integriteten genom att se till att uppgifterna sprids till en så liten krets som möjligt. kompletteras av personuppgiftslagens regler om lämpliga säkerhets- åtgärder vid personuppgiftsbehandling. exempelvis att IFAU är skyldigt att så långt möjligt se till att lämpliga tekniska och organisatoriska åtgärder vidtas för att skydda de person- uppgifter som behandlas (se 31 § personuppgiftslagen). Förslaget behandlas i avsnitt 5.11.4. Paragrafen innebär ett undantag från informationsskyldigheten i 26 § personuppgiftslagen för de fall där IFAU endast innehar personuppgifter som inte är direkt hänförliga till en person. Undantaget gäller även om personuppgifterna har försetts med någon slags beteckning, så länge IFAU inte inom myndigheten har tillgång till den nyckel som behövs för att åter knyta uppgifterna till en enskild individ. Förslaget behandlas i avsnitt 5.13.1. Paragrafen innehåller föreskrifter om gallring av personuppgifter. Bestämmelsen innebär en skyldighet för IFAU att gallra sådana person- uppgifter som inte längre behövs för något av de ändamål som anges i 5 och 6 §§. Detta innebär att uppgifterna ska utplånas eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter försvinner. får med andra ord inte längre utgöra personuppgifter i personuppgifts- Paragrafen innehåller också bestämmelser som innebär att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela föreskrifter eller i enskilda fall besluta på ett sätt som avviker från huvudregeln i lagen. Regeringen eller den myndighet som regeringen bestämmer kan dels meddela föreskrifter eller i ett enskilt fall besluta om en specifik tidsgräns för när vissa personuppgifter senast måste gallras, dels meddela föreskrifter om eller i ett enskilt fall besluta att personuppgifter som egentligen borde gallras får bevaras för historiska, statistiska eller vetenskapliga ändamål. här på ett område som normalt ligger inom ramen för regeringens s.k. Genom bestämmelsen markeras var gränserna för det till Prop. 2011/12: 176 lag upplyfta området går och det tydliggörs vilka föreskrifter som regeringen eller den myndighet som regeringen bestämmer fortfarande kan meddela. Regeringen eller den myndighet som regeringen bestämmer ges också möjlighet att besluta om undantag i enskilda fall. Förslaget behandlas i avsnitt 5.12. Av paragrafen följer att personuppgiftslagens bestämmelser om rättelse och skadestånd ska tillämpas även vid personuppgiftsbehandling som sker med stöd av den nya lagen. När det gäller rättelse innebär bestämmelsen att den personuppgiftsansvarige, dvs. IFAU, i enlighet med 28 § personuppgiftslagen är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den nya lagen eller i enlighet med föreskrifter som har meddelats i anslutning till lagen.