prop · GZ03176 · 2012-09-11 00:00:00 — göra skillnader i behörighetstilldelningen mellan exempelvis anställda på IFAU och externa forskare eller mellan de medverkande beroende på Det är visserligen så att den föreslagna bestämmelsen är allmänt hållen, men den ger ändå klart uttryck för den grundprincip som ska gälla, som den ger utrymme för anpassning på individnivå. inte anses lämpligt att i lag ange mer detaljerade riktlinjer för hur till- gången till personuppgifter bör avgränsas. Både Inspektionen för arbetslöshetsförsäkringen och Kammarrätten i anser att författningsförslaget bör kompletteras med bestäm- melser om att personuppgifter ska hanteras och förvaras på ett sådant sätt att obehöriga inte får tillgång till dem. Den personuppgiftsansvarige, i detta fall IFAU, är enligt 31 § personuppgiftslagen skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen och hur känsliga de personuppgifter som behandlas är. Regeln är visserligen allmänt hållen men speglar ändå de överväganden som i normalfallet är relevanta att göra när man ska ta ställning till vilka säkerhetsåtgärder som måste vidtas i samband med en viss typ av behandling av personuppgifter. Avsikten med bestämmelsen är att regeringen eller den myndighet som regeringen bestämmer ska meddela de närmare föreskrifter som behövs. Datainspektionen har också utfärdat skriftliga allmänna råd om säkerhet för personuppgifter. lagstiftningsärenden har det konstaterats att närmare riktlinjer för de säkerhetsåtgärder som bör vidtas vid behandling av personuppgifter, inte bör ges i lag utan vid behov hanteras på myndighetsnivå (prop. 2007/08:126 Patientdatalagen m.m. s. 215). Det finns inte anledning att göra någon annan bedömning i detta lagstiftningsärende. Det bör därför Prop. 2011/12:176 inte föras in några särskilda bestämmelser om informationssäkerhet i den nya lagen utöver den föreslagna bestämmelsen om behörighets- tilldelning. Den reglering som finns i 31 § personuppgiftslagen får anses tillräcklig ur i integritetssynpunkt. Regeringens förslag: Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har med- delat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Promemorians bedömning: I promemorian föreslogs ingen särskild gallringsregel. Promemorians förslag innebar således att personuppgifts- lagens regler skulle tillämpas i denna del. Remissinstanserna: Datainspektionen anser att det är viktigt att för- slaget kompletteras med särskilda gallringsföreskrifter. Kammarrätten i och Förvaltningsrätten i anser att särskilda gallringsregler bör övervägas. anser å andra sidan att de grundläggande principer som kommer till uttryck genom arkivlagens presumtion för bevarande av allmänna handlingar ska gälla och att ska få möjlighet att meddela föreskrifter om undantag från denna huvudregel. Inspektionen för arbetslöshetsförsäkringen konstaterar endast att förslaget inte innehåller några specifika gallringsregler. Övriga remissinstanser har inte kommenterat frågan. Skälen för regeringens bedömning: Enligt 9 § första stycket i personuppgiftslagen (1998:204) ska personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna utplånas eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter avlägsnas. En sådan avidentifiering måste innebära att bevarade uppgifter inte längre, vare sig direkt eller indirekt, går att hänföra till en viss fysisk person (se och , Personuppgiftslagen en kommentar, fjärde upplagan s. 213 och 419). Uppgifterna ska med andra ord ha upphört att utgöra personuppgifter i personuppgiftslagens mening. Enligt 9 § tredje stycket personuppgiftslagen får dock personuppgifter bevaras för historiska, statistiska eller vetenskapliga ändamål än vad som följer av första stycket. Personuppgifterna får dock inte bevaras än vad som behövs för dessa ändamål. Detta innebär att personuppgifter som inte längre behövs för de ursprungligen bestämda ändamålen får bevaras för att användas för historiska, statistiska eller vetenskapliga ändamål. Personuppgifter som utgör allmänna handlingar kan dock enligt 8 § andra stycket första meningen personuppgiftslagen arkiveras och bevaras utan hinder av lagens övriga bestämmelser, vilket då i stället sker under 2011/12:176 de förutsättningar som anges i arkivlagen (1990:782). I 3 § arkivlagen föreskrivs att myndigheters arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen samt forskningens Allmänna handlingar får enligt 10 § samma lag endast gallras om återstående arkivmaterial kan tillgodose dessa ändamål, och det krävs särskilda föreskrifter eller ett beslut från en arkivmyndighet för att gallring ska få ske. Arkivlagens utgångspunkt är således att allmänna handlingar ska be- I de särskilda registerförfattningarna angående behandling av personuppgifter i olika verksamheter är principen dock ofta den motsatta, nämligen att uppgifterna ska gallras senast om inte undantag har föreskrivits i registerförfattningen eller i en bestämmelse meddelad med stöd av denna. Principen att gallring ska ske motiveras i första hand av integritetsskäl (prop. 1989/90:72 s. 50 f.). särskilda gallringsbestämmelser måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i Kammarrätten i förordar i detta lagstiftningsärende att mer handfasta gallringsregler än personuppgiftslagens regler övervägs, eftersom IFAU kommer att behandla en förhållandevis stor mängd personuppgifter, varav en del är känsliga, och då uppgifterna kommer att sparas i institutets databaser . anser på liknande grunder att regler om gallring bör komma till direkt uttryck i lagtexten. Domstolen anser att detta lämpligen kan ske genom införande av en bestämmelse om att personuppgifter som inte längre behövs för att IFAU ska kunna fullgöra sitt uppdrag, ska gallras. Inspektionen för arbetslöshetsförsäkringen konstaterar endast att det i förslaget saknas sådana specifika gallringsregler som finns i Inspektionen för arbetslöshetsförsäkringens registerlag. Datainspektionen anser att det är mycket viktigt att förslaget kompletteras med särskilda gallringsföreskrifter, då IFAU kommer att hantera en stor mängd personuppgifter, varav en del är känsliga, och då behandlingen kommer att ske för ett mycket brett formulerat ändamål. sidan att arkivlagens bestämmelser och presumtion för bevarande av personuppgifter ska gälla. Arkivlagen bygger på principen att myndigheternas arkiv ska bevaras som en garanti för rättsäkerhet, medborgerlig rätt till insyn och demokrati. Bevarandet ska med andra ord inte enbart ske för historiska, statistiska eller vetenskapliga ändamål. är av stor betydelse för den enskilde att allmänna handlingar bevaras i ursprungligt skick för att den enskilde ska kunna tillvarata sin rätt om felaktigheter har begåtts. Gallring innebär att uppgifterna förstörs och resulterar i en slutlig förlust av rätten att ta del av allmänna handlingar. Enligt mening stärks inte heller den enskildes integritet genom att uppgifter gallras. Ett alternativt sätt att skydda den personliga integriteten är enligt myndigheten att de uppgifter som bevaras omfattas Genom förslaget kommer IFAU att ges möjlighet att även fortsättningsvis bygga upp och administrera varaktiga och förhållandevis omfattande samlingar av personuppgifter, som även kan innehålla vissa s.k. känsliga personuppgifter. Merparten av de uppgifter som behandlas är inhämtade från andra myndigheter. IFAU kommer således att få bygga upp samlingar av personuppgifter som redan behandlas hos andra myndigheter. Detta talar för att IFAU bör åläggas en skyldighet att gallra personuppgifter som institutet inte längre behöver för sin verksamhet. IFAU ägnar sig huvudsakligen åt registerbaserad forskningsverksamhet. De skäl för bevarande av allmänna handlingar som redogör för, gör sig därmed inte lika starkt gällande i institutets verksamhet som hos en myndighet vars verksamhet huvudsakligen innebär ärendehand- läggning eller annan form av myndighetsutövning gentemot enskilda. Eftersom merparten av de uppgifter som IFAU behandlar ursprungligen har inhämtats från andra myndigheter, får vidare intresset av att uppgifterna bevaras anses tillgodosett genom att de myndigheter uppgifterna kommer ifrån i stor utsträckning bevarar och arkiverar uppgifterna i enlighet med arkivlagens bestämmelser. Vid en samlad bedömning anser således regeringen att integritetsskyddsintresset i detta fall väger över intresset av att allmänna handlingar bevaras. Huvudregeln bör således vara att personuppgifter som IFAU inte längre behöver för sin verksamhet ska gallras. Regeringen delar således uppfattningen att det är motiverat att en särskilt gallringsregel införs i lagen. Frågan är dock hur denna regel bör vara utformad. Redan när dataskyddsdirektivet kom till och personuppgiftslagen infördes förutsåg man att det kunde finnas anledning att bevara person- uppgifter längre än vad som annars var motiverat för historiska, statistiska eller vetenskapliga ändamål. I IFAU:s fall sker redan själva insamlandet av uppgifterna för statistiska eller vetenskapliga ändamål. Det kan vara svårt att på förhand bestämma hur länge det kan vara relevant att spara uppgifter som har samlats in för dessa ändamål. Detta måste avgöras från fall till fall med hänsyn till vilka uppgifter och vilken studie, uppföljning eller utvärdering det handlar om. I vissa fall är det säkert fullt möjligt att gallra uppgifterna så fort ett projekt har avslutats, medan det i andra fall kan vara motiverat att spara underlaget under en förhållandevis för att kunna göra upprepade uppföljningar eller jämförelser . Visst underlag kan vidare behöva bevaras för att möjliggöra vetenskaplig granskning av forskningsresultaten. Det är därmed svårt att föreslå mer handfasta gallringsregler än sådana som bygger på samma princip som bestämmelserna i personuppgiftslagen, nämligen att uppgifter inte ska bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Gallringsregeln bör således inte innehålla en bestämd tidsgräns för hur länge personuppgifter får bevaras. Gallringskyldigheten bör i stället formuleras som en skyldighet för myndigheten att gallra personuppgifter som inte längre behövs för sitt ändamål. Enligt Datainspektionen är det viktigt att i sammanhanget beakta att särskilda gallringsföreskrifter gäller för de uppgifter som härrör från Arbetsförmedlingen, se 16 § lagen (2002:546) om behandling av person- uppgifter i den arbetsmarknadspolitiska verksamheten. Om uppgifter som gallras hos Arbetsförmedlingen sparas hos IFAU, försvinner enligt Datainspektionen det integritetsskydd som gallringen hos är tänkt att utgöra. Även beträffande de gallringsregler som gäller i Arbetsförmedlingens arbetsmarknadspolitiska verksamhet görs 2011/12:176 emellertid en åtskillnad som härrör från själva ärendehandläggningen, och de uppgifter som avskiljs för statistik- Huvudregeln är att uppgifter om en arbetssökande som varit aktuell hos Arbetsförmedlingen ska gallras efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende. har avskiljts för statistikändamål behöver dock gallras först . Regeringen eller den myndighet som regeringen bestämmer får dessutom meddela föreskrifter om undantag från dessa gallringstider när det gäller bevarande av material för forskningens behov. lämnas över till en arkivmyndighet. Enligt 21 § förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, får meddela föreskrifter om sådana undantag har också utnyttjat den möjligheten (RA-MS 2008:32). De uppgifter som IFAU inhämtar från Arbetsförmedlingen används uteslutande för statistik- och forskningsändamål. att det inte är ovanligt att uppgifter får sparas längre för sådana ändamål än för andra ändamål för personuppgiftsbehandling. IFAU inhämtar ska användas för statistik- och forskningsändamål innebär dock inte att myndigheten kan bevara uppgifterna helt utan Det är viktigt att institutet dels efter varje avslutat projekt, dels kontinuerligt prövar vilka uppgifter som måste bevaras för att myndigheten ska kunna fullgöra sitt uppdrag, och vilka uppgifter som kan utplånas eller gallras. Närmare föreskrifter om vilka krav som ska ställas på IFAU:s gallringsrutiner bör meddelas i föreskrifter på lägre nivå än lag. Beträffande särskilt känsliga personuppgifter, bör det dock finnas en möjlighet för regeringen eller den myndighet som regeringen bestämmer att besluta, antingen genom föreskrifter eller genom särskilda beslut, att uppgifter ska gallras vid en viss bestämd tidpunkt. myndighet regeringen bestämmer bör vidare ha möjlighet att besluta att personuppgifter som IFAU inte längre har behov av i sin verksamhet, och som myndigheten annars skulle ha en skyldighet att gallra, ska kunna bevaras för historiska, statistiska eller vetenskapliga ändamål, t.ex. i fall då uppgifterna inte finns bevarade hos andra myndigheter. omfattas av ett sådant beslut eller av sådana föreskrifter ska dock inte förvaras hos IFAU, utan överlämnas till en arkivmyndighet (jfr prop. 2006/07:46 s. 108113 och s. 193). Den föreslagna lagen utgör ett exempel på att med stöd av 8 kap. 8 § regeringsformen meddelar föreskrifter inom ett område som normalt ligger inom ramen för regeringens restkompetens. för regeringen eller den myndighet som regeringen bestämmer att besluta att personuppgifter ska bevaras och överlämnas till arkivmyndighet utgör ett undantag från lagens huvudregel att gallring ska ske när uppgifterna inte längre behövs för det ändamål för vilket de samlades in. Lagrådet anfört föreligger det visserligen inte något hinder för att besluta om kompetensfördelningen mellan och regeringen på detta sätt, även om regleringen inte är att anse som en sådan delegation av normgivningsmakten som avses i 8 För att regeringen ska kunna meddela föreskrifter på ett sätt som avviker från Lagrådet påpekar, uttryckligen framgå av lagen. Det är med andra ord Prop. 2011/12:176 nödvändigt att i lagen markera var gränserna för det till lag upplyfta området går och på så vis tydliggöra vilka föreskrifter som regeringen eller den myndighet regeringen bestämmer fortfarande kan meddela, trots att har gått in och lagstiftat på området. 5.13.1Information till den registrerade i form av registerutdrag Regeringens förslag: Ett undantag från informationsskyldigheten enligt 26 § personuppgiftslagen ska införas för personuppgifter som inte direkt kan hänföras till en person. Promemorians förslag: Överensstämmer med regeringens. Regeringens förslag har dock en något annorlunda redaktionell utformning. Remissinstanserna: Justitiekanslern anser att förslaget i denna del inte innebär någon förändring jämfört med nuvarande reglering och att bestämmelsen därmed är onödig. Det bör vidare enligt Justitiekanslern övervägas om det är lämpligt att införa ett undantag som saknar uttryckligt stöd i det EG-direktiv som genomförts genom personuppgiftslagen (1998:204). Justitiekanslern anser att frågan bör bli föremål för en mer ingående analys innan förslaget leder till lagstiftning. Ingen annan remissinstans har kommenterat förslaget särskilt. Skälen för regeringens förslag: En enskild person har rätt att utan kostnad en gång få ut ett registerutdrag där det framgår om personuppgifter om denne behandlas och i så fall vilka uppgifter som behandlas. En sådan möjlighet till insyn är av stor betydelse för att skydda den enskildes integritet och för möjligheten för den enskilde att begära rättelse av felaktiga uppgifter. Av 26 § första stycket personuppgiftslagen framgår att skriftlig information ska lämnas om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas. Informationsskyldigheten i 26 § gäller dock inte om hinder mot utlämnande av uppgifterna föreligger med hänsyn till vad som är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av en författning. Författningsgrundade bestämmelser om sekretess eller tystnadsplikt går således före skyldigheten att lämna registerutdrag. Skyldigheten att lämna ut information om de personuppgifter som behandlas är förhållandevis lätt att uppfylla i de fall de personuppgifter IFAU behandlar är identitetsangivna. Merparten av de uppgifter IFAU behandlar är dock sådana att de inte direkt går att hänföra till en viss person. Myndigheten har med andra ord inte själv tillgång till de nycklar 2011/12:176 som behövs för att kunna knyta uppgifterna till en viss individ. nycklar finns i stället bevarade hos andra myndigheter. I förarbetena till personuppgiftslagen ansåg regeringen det rimligt att utgå från att regleringen i 26 § personuppgiftslagen inte innebär mer än att den personuppgiftsansvarige är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade (prop. Personuppgiftslag, s. 82 f.). Regeringen anslöt sig därmed till vad anfört i sitt betänkande (SOU 1997:39, Integritet, Offentlighet, Informationsteknik). Enligt kommittén var det inte rimligt att informationsskyldigheten skulle utformas på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga Den personuppgiftsansvarige bör, som kommittén såg det, bara vara skyldig att utnyttja alla de sök- och sammanställnings- möjligheter som han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. den registrerade får tillgång till all information som den personuppgifts- ansvarige själv kan få fram om den registrerade. Merparten av de uppgifter IFAU behandlar är som framgått sådana att institutet inte har möjlighet att utan bistånd från andra myndigheter sammanställa ett registerutdrag över de uppgifter som behandlas. skyldighet att sammanställa ett registerutdrag beträffande dessa person- uppgifter skulle innebära att institutet skulle vara tvunget att identifiera uppgifterna på ett sätt som i sig skulle innebära oönskade risker för intrång i den personliga integriteten. Regeringen delar därför den bedöm- ning som görs i promemorian att IFAU endast bör ha en skyldighet att lämna information enligt 26 § personuppgiftslagen i de fall myndigheten behandlar uppgifter som är direkt hänförliga till en person. Justitiekanslern, som visserligen inte har något att erinra mot förslaget utifrån ett integritetsskyddsperspektiv, ifrågasätter mot bakgrund av de ovan refererade förarbetsuttalandena om bestämmelsen är nödvändig. Nämnda förarbetsuttalanden gjordes dock i ett något annorlunda Det handlade främst om svårigheterna att sammanställa registerutdrag beträffande uppgifter i löpande text. rimligt att åtminstone ett liknande resonemang kan appliceras på samlingar av avidentifierade uppgifter. Även om uttalandena ger visst stöd för ståndpunkten att IFAU inte bör vara skyldigt att vidta åtgärder som i sig skulle innebära risker för integritetsintrång, är det dock inte helt klart att uttalandena även täcker in den här aktuella situationen. allt handlar det om hur man bör tolka vad som menas med att ha tillgång IFAU har naturligtvis en möjlighet att med hjälp av den myndighet uppgifterna kommer ifrån åstadkomma ett sådant registerutdrag som avses i 26 § personuppgiftslagen, utan att detta skulle kräva en orimlig arbetsinsats för institutet. När det gäller de personuppgifter som IFAU inhämtar från statistik- ansvariga myndigheter får frågan anses omhändertagen genom bestäm- melsen i 18 § lagen (2001:99) om den officiella statistiken. skrivs att den som har mottagit på visst sätt avidentifierade uppgifter från en statistikansvarig myndighet, inte behöver lämna information till den uppgifter behandlas, om har möjlighet att vidta identifiera den registrerade. När det gäller lagen om den officiella Prop. 2011/12:176 statistiken har man uppenbarligen inte ansett att förarbetsuttalandena varit tillräckliga, utan valt att införa ett undantag från informationsskyldigheten i lag. IFAU inhämtar dock även uppgifter från andra myndigheter. För att även täcka in avidentifierade uppgifter som inhämtas från andra myndigheter, bör det enligt regeringens mening tydliggöras att skyldigheten att på begäran lämna registerutdrag till den registrerade inte gäller i fråga om personuppgifter som inte är direkt hänförliga till en person. Justitiekanslern anser dock att det bör övervägas om det är lämpligt att införa ett undantag som saknar uttryckligt stöd i det EG-direktiv som genomförts genom personuppgiftslagen. Justitiekanslern påpekar att lagstiftaren relativt , i strid mot (SOU 2004:6) förslag, valt att inte införa ett liknande undantag i 26 § personuppgiftslagen (prop. 2005/06:173). De skäl som då anfördes torde enligt Justitiekanslern göra sig gällande även här. De förarbetsuttalanden som Justitiekanslern hänvisar till i denna del rörde frågan om det var lämpligt att föra in ett mer generellt undantag från informationsskyldigheten i personuppgiftslagen för fall där det skulle visa sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats för den personuppgiftsansvarige att fullgöra informations- skyldigheten. Regeringen ansåg dock att en sådan mer generell lättnad i uppgiftsskyldigheten var för långtgående. Det får däremot anses rimligt att dra slutsatsen att en begränsning av informationsskyldigheten till sådana uppgifter som en myndighet har rättslig och faktisk tillgång till inte strider mot Dataskyddsdirektivet. Om så inte skulle vara fallet skulle även det tidigare refererade motivuttalandet, som gjordes i samband med att 26 § personuppgiftslagen infördes, strida mot direktivet. Enligt regeringens mening kan det av integritetsskäl vara motiverat att det klargörs i lagen att informationsskyldigheten inte innebär en skyldighet att vidta åtgärder som i sig skulle kunna utgöra ett integritets- intrång. För att det ska vara tydligt för IFAU var gränsen för deras informationsskyldighet går, bör det därför i lagen införas ett uttryckligt undantag från informationsskyldigheten i 26 § personuppgiftslagen. Motsvarande bedömning har uppenbarligen gjorts i Ds 2011:4, Behandling av personuppgifter vid Inspektionen för socialförsäkringen, m.m. Sammanfattningsvis delar regeringen den bedömning som görs i promemorian att lagen bör innehålla en regel som klargör för tillämparen att informationsskyldigheten inte gäller för personuppgifter som inte direkt kan hänföras till en person. Regeringens förslag: Bestämmelserna i personuppgiftslagen om rättelse och skadestånd ska gälla för behandling av personuppgifter enligt den nya lagen eller enligt föreskrifter som meddelats i anslutning till denna. Promemorians förslag: Överensstämmer med regeringens. 2011/12:176 Remissinstanserna: Ingen av remissinstanserna har kommenterat för- slaget särskilt. Skälen för regeringens förslag: Reglerna i 28 § personuppgiftslagen (1998:204) om rättelse m.m. gäller endast för personuppgifter som har behandlats i strid med personuppgiftslagen. På motsvarande sätt gäller skadeståndsansvar enligt 48 § personuppgiftslagen endast för behandling av personuppgifter i strid med samma lag.