prop · GZ03176 · 2012-09-11 00:00:00 — Den s.k. finalitetsprincipen i 9 § första stycket d samma lag innebär att personuppgifter sedan får behandlas för andra ändamål endast om dessa ändamål inte är oförenliga med de ändamål för vilka uppgifterna samlades in. I de fall en tänkt behandling inte omfattas av de ursprungliga ändamålen måste det alltså prövas om det nya ändamålet är förenligt med det ursprungliga ändamålet för behandlingen. Av 9 § andra stycket följer att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenliga med de ändamål för vilka uppgifterna samlades in. Med hänsyn till ovanstående principer bör den nya lagen innehålla en uttrycklig reglering av tillåtna ändamål för personuppgiftsbehandlingen. Regleringen bör nära ansluta till IFAU:s kärnuppdrag såsom det beskrivs i 1 § första stycket i myndighetens instruktion. Ändamålen måste vidare vara tillräckligt preciserade för att det ska gå att kontrollera att person- uppgifter endast behandlas för avsedda ändamål. Mot denna bakgrund bör IFAU få behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna fullgöra sitt uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Datainspektionen anser att ändamålsbestämmelserna även bör kopplas till de specifika ämnesområden inom vilka IFAU:s verksamhet bedrivs. IFAU:s verksamhet har dock förändrats på så sätt att nya ämnesområden tillkommit. Uppdraget att genomföra studier, uppföljningar och utvärderingar har emellertid varit . Det måste vara själva verksamheten som personuppgiftsbehandlingen ingår i, 2011/12:176 forskningsverksamhet i form av studier, uppföljningar och utvärderingar, som är mest relevant ur integritetssynpunkt. Det får i detta fall, där det handlar om samhällsvetenskaplig forskning, anses ha mindre betydelse ur integritetshänseende vilka specifika ämnesområden som studeras. För att inte lagen ska behöva ändras vid varje justering i myndighetens uppdrag, bör ändamålen i den föreslagna lagen vara något mer allmänt hållna än uppdraget enligt myndighetens instruktion och ändamålsbestämmelserna inte vara knutna till de specifika ämnesområden som pekas ut i instruktionen. I praktiken kommer dock instruktionen ändå styra inom vilka ämnesområden IFAU bedriver sina studier, uppföljningar och utvärderingar. Institutet får inte bedriva forskningsverksamhet som ligger utanför myndighetsuppdraget. Det uppdrag som IFAU har enligt sin instruktion kommer således rent faktiskt att ytterligare snäva in ändamålen för behandlingen av personuppgifter. Arbetsförmedlingen har noterat att det i promemorians lagförslag anges att IFAU ska få behandla personuppgifter i den utsträckning som behövs för att fullgöra uppdraget, medan det på andra ställen i promemorian i stället uttrycks så att behandlingen ska vara nödvändig för uppdraget. Med hänsyn till att det enligt personuppgiftslagen krävs att en behandling av personuppgifter är nödvändig för att den ska vara tillåten är det enligt Arbetsförmedlingen lämpligt att detta begrepp även används i den nya lagen. I personuppgiftslagen används begreppet nödvändig i ändamåls- bestämmelsen eftersom detta uttryckssätt används i dataskyddsdirektivet. I de flesta registerlagar av den karaktär som föreslås för IFAU har dock ändamålsbestämmelserna formulerats på så sätt att myndigheten får behandla vissa uppgifter om det behövs för vissa angivna ändamål. I dessa sammanhang anses de båda uttryckssätten vara synonyma. För innebörden av en ändamålsbestämmelse spelar det således ingen roll vilket begrepp som används. Att i detta lagstiftningsärende använda en annan formulering än den som används i andra liknande registerlagar, framstår inte som lämpligt. Mot denna bakgrund anser regeringen att bestämmelsen, på samma sätt som föreslogs i promemorian, bör utformas så att IFAU ska få behandla personuppgifter, om det behövs för att fullgöra uppdraget att främja, stödja och genom forskning genomföra uppföljningar, studier och utvärderingar. Personuppgiftsbehandling för utlämnande av uppgifter till andra Ändamål för behandling av personuppgifter som syftar till att en myndighet ska kunna utföra sitt uppdrag brukar kallas primära ändamål. Det kan emellertid utöver de primära ändamålen finnas allmänna intressen som motiverar att en myndighet även ska få behandla personuppgifter för andra ändamål än de som primärt ligger inom ramen för myndighetens egen verksamhet. Det kan exempelvis handla om att behandla personuppgifter för att lämna ut uppgifter till en annan myndighet för att den ska kunna fullgöra sitt uppdrag. Sådana ändamål brukar kallas för sekundära ändamål. Det kan inte anses ingå i IFAU:s kärnuppdrag att bistå myndigheter eller andra med personuppgifter och andra mikrodata. bör vara att de personuppgifter IFAU registrerar och behandlar som underlag för sin forskning ska stanna hos myndigheten. Det kan dock finnas fall då det får anses motiverat att IFAU får behandla person- uppgifter för utlämnande av uppgifter till andra. Det handlar då framförallt om utlämnande av uppgifter för statistik- eller forskningsändamål till andra myndigheter eller forskare. En förutsättning måste emellertid vara att ett sådant utlämnande också är förenligt med gällande sekretesslagstiftning. Ett utlämnande av personuppgifter ur allmänna handlingar med stöd av tryckfrihetsförordningen kan ske utan att utlämnandet behöver anges som ett särskilt ändamål för vilket personuppgiftsbehandling är tillåten (jfr 8 § personuppgiftslagen). Ett sådant utlämnande förutsätter dock att hinder mot ett utlämnande inte föreligger till följd av sekretess. Av 6 kap. 5 § offentlighets- och sekretesslagen följer vidare att en myndighet på begäran av en annan myndighet ska lämna ut uppgifter som den förfogar över, i den mån det inte finns hinder mot ett utlämnande på grund av bestämmelser om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen kan ses som en precisering av den allmänna samverkansskyldigheten myndigheter emellan som gäller enligt 6 § förvaltningslagen (1986:223). I 10 kap. offentlighets- och sekretesslagen finns vissa sekretess- brytande bestämmelser som innebär att annars sekretessbelagda uppgifter får lämnas ut i vissa situationer. En myndighet kan exempelvis lämna ut uppgifter till eller regeringen med stöd av 10 kap. 15 § eller till Datainspektionen i dess egenskap av tillsynsorgan enligt 10 kap. 17 §. Av 10 kap. 28 § följer vidare att en myndighet kan vara skyldig att lämna ut uppgifter om en uppgiftsskyldighet följer av lag eller förordning. Gemensamt för ovan nämnda utlämnanden är att de sker med stöd av författningar som påbjuder eller tillåter ett utlämnande av uppgifter. Det får förutsättas att det gjordes en avvägning mellan intresset för ut- lämnande och intresset för den enskildes integritet när bestämmelserna infördes. Det saknas därmed skäl att i den nya lagen införa begränsningar i behandlingen av personuppgifter för utlämnande så länge utlämnandet sker i överensstämmelse med lag eller förordning. Det är vidare viktigt att det föreligger en överensstämmelse mellan förutsättningarna för behandling av personuppgifter och gällande sekretessreglering. För att det inte ska råda någon oklarhet om förhållandet mellan den föreslagna lagens ändamålsbestämmelser, offentlighets- och sekretesslagen och andra författningar som tillåter utlämnande av uppgifter, bör det införas en ändamålsbestämmelse som medger personuppgiftsbehandling för utlämnande som sker i överensstämmelse med lag eller förordning. En förutsättning för att IFAU ska få behandla personuppgifter för ut- lämnande måste vara att uppgiftslämnandet inte kan anses strida mot det ändamål för vilka uppgifterna samlades in i enlighet med den s.k. finalitetsprincipen (jfr 9 § första stycket d personuppgiftslagen). Behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål bör dock inte anses oförenlig med de ändamål för vilka upp- gifterna samlades in (jfr 9 § andra stycket personuppgiftslagen). Den nya lagen bör således även innehålla en uttrycklig hänvisning till finalitetsprincipen. Det är viktigt att i sammanhanget påpeka att de sekretessregler som gäller för IFAU:s verksamhet innebär att möjligheterna för institutet att 2011/12:176 lämna ut uppgifter som avser en enskilds personliga eller ekonomiska förhållanden är ytterst begränsade. Uppgifter som behövs för forsknings- eller statistikändamål eller som inte genom namn, annan identitets- beteckning eller liknande förhållande är direkt hänförliga till en enskild får dock lämnas ut, om det står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men, se 7 § offentlighets- och sekretessförordningen (2009:641) jämfört med 24 kap. 8 § offentlighets- och sekretesslagen (jfr även 12 § lagen (2003:460) om etikprövning av forskning som avser människor och 19 § personuppgiftslagen). Detta innebär att IFAU i varje enskilt fall måste göra en sekretessprövning innan uppgifterna lämnas ut till exempelvis en extern forskare eller en annan myndighet. I praktiken innebär det att utlämnanden huvudsakligen kommer att bli aktuella till forskare eller myndigheter som själva tillämpar s.k. statistiksekretess eller motsvarande. mycket riktigt påpekat, är den s.k. generalklausulen i 10 kap. 27 § offentlighets- och sekretesslagen inte tillämplig på uppgifter som omfattas av sekretess enligt 24 kap. 8 § samma lag. Arbetsförmedlingen anser att det bör göras ett tillägg i 6 § om att ut- lämnade endast får ske i enlighet med 24 kap. 8 § offentlighets- och sekretesslagen. Enligt regeringens mening är det dock tillräckligt med den reglering som finns i offentlighets- och sekretesslagen i kombination med den föreslagna regleringen om att ett eventuellt uppgiftslämnande måste ske i överensstämmelse med annan författningsreglering. har framhållit att det är viktigt att det finns möjligheter för samverkan mellan verket och IFAU eftersom de båda myndigheterna har ansvar för uppföljning och utvärdering inom delvis samma verksamhetsområde. Regeringen anser att rådande regelverk ger utrymme för samverkan genom utbyte av personuppgifter i den utsträckning som är önskvärd. Regeringens bedömning: Det behövs inga särskilda regler om elektroniskt utlämnande av personuppgifter. Promemorians bedömning: Överensstämmer med regeringens. Ställ- ningstagandet motiveras dock inte särskilt i promemorian. Remissinstanserna: Datainspektionen anser att man kan behöva överväga särskilda bestämmelser kring elektroniskt utlämnande. Ingen annan remissinstans har särskilt kommenterat frågan. Skälen för regeringens bedömning: I de särskilda registerförfattningarna finns ofta bestämmelser som reglerar om, i vilka fall och på vilket sätt personuppgifter får lämnas ut elektroniskt. Syftet med sådana bestämmelser är att inskränka möjligheterna för utomstående att genom överföring av uppgifter i personregister förfoga över uppgifterna på ett sätt som innebär risker i integritetshänseende. I lagstiftningen görs i detta sammanhang ofta åtskillnad mellan utläm- nande av uppgifter genom direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling. Av förarbetena till lagen (2002:546) om behandling av personuppgifter i den arbetsmarknads- politiska verksamheten (prop. 2001/02:144 s. 31) framgår att med direktåtkomst avses att den som använder databasen via en dator på egen hand kan söka i denna och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet i databasen. Direktåtkomst kan även innebära att användaren ges möjlighet att hämta hem informationen till sitt eget system och bearbeta den där. Direktåtkomst har vidare ansetts innebära att uppgifter ur databasen lämnas ut utan att den utlämnande myndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut. Direktåtkomst innebär också ofta att mottagaren rent tekniskt ges tillgång till fler uppgifter än som faktiskt får behandlas. För att detta ska vara tillåtet enligt regleringen om offentlighet och sekretess fordras normalt att det finns sekretessbrytande bestämmelser med ett relativt omfattande tillämpningsområde som inte endast tar sikte på uppgifter som får behandlas, utan som även bryter sekretessen för sådana uppgifter som endast gjorts tekniskt tillgängliga. Med utlämnande på medium för automatiserad behandling avses i stället ett överlämnande av elektroniskt lagrade uppgifter via något slags medium för lagring eller överföring, exempelvis e-post, USB-minne, CD-romskiva eller diskett. Ett utlämnande på medium för automatiserad behandling kan också ske genom direkt överföring från ett datorsystem till ett annat via telekommunikationsnätet. I dessa fall behåller den utlämnande myndigheten kontrollen över vilka uppgifter som lämnas ut. Direktåtkomst har ansetts innebära större risker ur integritetssynpunkt än ett överlämnande på medium för automatiserad behandling. finns dock stora möjligheter att rent tekniskt begränsa tillgången i data- systemen på ett sådant sätt att det kan anses föreligga lika stora skillnader mellan de båda förfaringssätten i integritetshänseende. Det finns numera även särskilda bestämmelser om överföring av sekretess vid direktåtkomst (se 11 kap. 4 § och 11 kap. 8 § offentlighets- och sekretesslagen [2009:400], prop. 2007/08:160). Även om det görs en rättslig åtskillnad mellan olika former av elektro- niskt utlämnande i registerförfattningarna har den tekniska utvecklingen medfört att skillnaderna mellan direktåtkomst och annat uppgifts- utlämnande på automatiserad väg har blivit så små att det numera kan vara svårt att dra en skarp gräns mellan olika former av utlämnande (prop. 2007/08: 160 s. 58, 61 f. och 150). Begreppet direktåtkomst har också getts lite olika innebörd i olika författningar. Frågan om det finns skäl att upprätthålla en åtskillnad i registerförfattningarna mellan olika former av elektroniskt utlämnande utreds därför (, Ju 2011:11). Nästan alla uppgifter som finns hos IFAU behandlas elektroniskt. Om ett utlämnande av uppgifter blir aktuellt sker detta normalt genom en fjärranslutning till en databas hos IFAU. Mottagaren av uppgifterna har dock inte någon möjlighet att påverka innehållet i databasen. Inför varje utlämnande sker en noggrann prövning av vilka uppgifter som ska lämnas ut och tillgången begränsas tekniskt till just de uppgifterna. Varje utlämnande kräver dessutom ett godkännande av generaldirektören. Rent tekniskt går utlämnandet till så att det skapas en kopia av en del av databasen som endast innehåller de data som mottagaren beviljats 2011/12:176 tillgång till och det är till den databasen fjärranslutningen sker. Anslutning sker således inte till själva grunddatabasen. I allmänhet byter IFAU dessutom ut de löpnummer som är knutna till uppgifterna. Uppgifterna i kopian har således inte samma löpnummer som uppgifterna i grunddatabasen. Vill mottagaren i ett senare skede komplettera de uppgifter han eller hon har fått tillgång till, så betraktar institutet det som ett nytt utlämnande som kräver en ny prövning och ett nytt beslut. IFAU behåller således kontrollen över exakt vilka uppgifter som lämnas ut till mottagaren, även om det beroende på projekt kan handla om att mottagaren bereds tillgång till ett förhållandevis stort antal uppgifter. De rutiner som institutet tillämpar innebär enligt regeringens mening inte att utlämnanden sker genom vad som kan betecknas som direktåtkomst. IFAU har redan väl utvecklade rutiner för utlämnande av uppgifter och utlämnandet sker på ett datatekniskt säkert sätt. Det bör vidare endast i undantagsfall bli aktuellt för IFAU att lämna ut personuppgifter ur sina samlingar till personer som inte på något sätt är knutna till myndighetens verksamhet. Regeringen anser därmed att det inte finns skäl att i lagen närmare reglera på vilket sätt institutet får lämna ut personuppgifter på elektronisk väg. Det är dock väsentligt att IFAU också fortsättningsvis ser till att inte fler eller mer känsliga personuppgifter görs tillgängliga för andra än vad som är nödvändigt med hänsyn till ändamålet för behandlingen och att säkrast möjliga teknik används vid överföringen. I detta sammanhang bör det framhållas att sättet för utlämnande av uppgifter, som tidigare framgått, inte enbart styrs av bestämmelser om behandling av personuppgifter. Det sätt på vilket uppgifter lämnas ut måste även ha stöd i sekretessregleringen. Som anges i det föregående fordras, för att direktåtkomst ska vara möjlig, vanligen särskilda sekretessbrytande bestämmelser med ett relativt omfattande tillämpningsområde till förmån för mottagaren av uppgifterna. IFAU bör således även i fortsättningen se till att tillämpa rutiner för utlämnanden som inte kan anses utgöra ett tillgängliggörande genom direktåtkomst. Regeringens förslag: politisk utvärdering ska endast få behandla sådana känsliga person- uppgifter enligt 13 § personuppgiftslagen som avslöjar etniskt ur- sprung eller medlemskap i fackförening eller som rör hälsa. Promemorians förslag: Överensstämmer med regeringens. Regeringens förslag till författningstext har dock en något annorlunda redaktionell utformning. Remissinstanserna: Datainspektionen anser att det är bra att det införs en begränsning av vilka kategorier av känsliga personuppgifter som IFAU får behandla. Inspektionen utgår från att detta innebär att IFAU saknar lagligt stöd för att behandla andra kategorier av känsliga personuppgifter inom den verksamhet som lagen reglerar och att institutet i denna del inte kan stödja sig på personuppgiftslagen (1998:204). Det är vidare enligt inspektionen viktigt att poängtera att all forskning som faller in under tillämpningsområdet för lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) ska etikprövas och att en etikprövningsnämnd i samband med sitt godkännande kan ställa villkor för personuppgiftsbehandlingen som går utöver de krav som ställs i den föreslagna lagen eller i IFAU anser att förslaget innebär en inskränkning i möjligheterna att bedriva forskning som förutsätter tillgång till personuppgifter gällande ras, politiska åsikter, religiös eller filosofisk övertygelse och sexualliv. har IFAU på samma sätt som andra forskande myndigheter haft möjlighet att genom en ansökan till en etikprövningsnämnd enligt etikprövningslagen söka stöd för behandling av sådana uppgifter för ett Att den möjligheten försvinner är naturligt- vis enligt institutet till nackdel för verksamheten. () framhåller att det är rim- ligt att stor försiktighet gäller vid behandling av känsliga Värdet av utvärderingar och analyser där dessa faktorer relateras till den förda politiken på det arbetsmarknadspolitiska och utbildningspolitiska området är dock betydande. den personliga integriteten i övrigt är väl tillgodosett, tillstyrker TCO Inspektionen för arbetslöshetsförsäkringen ifrågasätter med hänsyn till skyddet för den personliga integriteten IFAU:s behov av att behandla uppgifter om medlemskap i fackförening. Övriga remissinstanser har inte kommenterat förslaget särskilt. Skälen för regeringens förslag IFAU:s behov av att behandla känsliga personuppgifter Det är enligt huvudregeln förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk över- tygelse eller medlemskap i fackförening. Det är även förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. uppgifter utgör enligt 13 § personuppgiftslagen känsliga personuppgifter. Förbudet mot behandling av känsliga personuppgifter är dock inte Lagen innehåller en rad undantag från detta förbud (se ovan Regleringen av behandlingen av känsliga personuppgifter i person- uppgiftslagen följer i princip motsvarande reglering i dataskydds- De undantag från förbudet mot behandling av känsliga personuppgifter som görs i personuppgiftslagen har således i huvudsak sina motsvarigheter i direktivet. Direktivet medger också att medlems- staterna beslutar om ytterligare undantag från förbudet, under förutsätt- ning att lämpliga säkerhetsåtgärder vidtas och att undantaget kan motiveras utifrån hänsyn till ett viktigt allmänintresse. En enskild bör, särskilt när det gäller behandling av känsliga personuppgifter, tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter och andra som uppfattas som utomstående. måste dock godta viss behandling av även känsliga personuppgifter när intressen som av samhället bedöms som totalt sett viktigare kräver det. Det är svårt att i förväg beskriva vilka behov IFAU kan komma att ha av att behandla känsliga personuppgifter. Behoven kan också komma att förändras med det utvidgade uppdraget. personuppgifter som rör hälsa haft störst relevans för IFAU:s arbete. Institutet har bl.a. haft behov av att behandla sådana uppgifter i samband med utvärderingar av insatser som baseras på den enskildes hälsotillstånd och på dennes därigenom utökade behov av hjälp och stöd från IFAU behandlar också uppgifter om personer som har en funktionsnedsättning som medför nedsatt arbetsförmåga. En uppgift som avslöjar en persons etniska ursprung är också en känslig personuppgift i personuppgiftslagens mening. kan komma att avslöjas genom att flera uppgifter om en person behandlas i ett sammanhang, t.ex. uppgifter om födelseland och Om uppgifterna sammantaget i ett enskilt fall avslöjar personens etniska ursprung utgör de känsliga personuppgifter, även om de inte är känsliga personuppgifter behandlade var för sig (jfr prop. 2009/10:85 s. 325). Datainspektionen har även ansett att en uppgift om en persons modersmål indirekt kan avslöja personens etniska ursprung (Datainspektionens rapport 2002:2 s. 8). Situationen på arbetsmarknaden för utrikes födda personer som har invandrat till är en fråga av stort intresse för IFAU. sammanhanget kan nämnas att Arbetsförmedlingen har särskilda insatser för vissa grupper av personer som har fått uppehållstillstånd i Arbetsförmedlingen har också det samordnade ansvaret för att vissa grupper av nyanlända invandrare erbjuds insatser som främjar en snabb och effektiv etablering på arbetsmarknaden genom den s.k. etableringsreformen. uppföljningar och utvärderingar av etableringsreformen, övriga riktade insatser och situationen på arbetsmarknaden i övrigt för personer som har invandrat till utgör en viktig del av IFAU:s arbete. sammanhanget är personuppgifter som tillsammans med andra uppgifter riskerar att avslöja en persons etniska ursprung av intresse. I promemorian görs även bedömningen att uppgifter om enskildas medlemskap i fackförening kan vara av intresse för IFAU:s arbete. Inspektionen för arbetslöshetsförsäkringen ifrågasätter IFAU:s behov av att behandla sådana uppgifter. IFAU behöver dock framför allt få behandla uppgifter om fackligt medlemskap för att kunna bedriva viss forskning om arbetsmarknadens funktionssätt, i synnerhet forskning angående frågor som rör lönebildningen. I regleras villkoren på arbetsmarknaden i stor utsträckning genom kollektivavtal. inte bara löner utan även arbetstider, vissa förmåner och andra Eftersom de fackliga organisationerna är parter i dessa avtal, kan utfallet exempelvis tänkas vara beroende av dels hur många, dels vilka av de anställda som är fackligt anslutna. om fackföreningsmedlemskap kan således bidra med kunskap om och förståelse för de mekanismer som ligger bakom lönebildningen. Information om fackanslutning kan även utgöra en förutsättning för annan typ av forskning, exempelvis studier av effekterna av medlemsförmåner (t.ex. kompletterande försäkringar vid arbetslöshet) och studier gällande diskriminering av organiserade respektive oorganiserade arbetstagare i samband med lönesättning. Av det ovan anförda framgår att IFAU har ett berättigat intresse av att kunna behandla vissa typer av känsliga personuppgifter.