sou · H5B366 · 2017-08-31 00:00:00 — 10.11.6 Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 6 § förordningen om behandling av personuppgifter i verk- samhet med framställning av statistik över kommunalt vård- nadsbidrag som anger att behandling av personuppgifter får ut- föras även om den registrerade motsätter sig den kan och bör behållas. Av 6 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag framgår att behandling av personuppgifter som är tillåten enligt den förordningen får utföras även om den enskilde motsätter sig behandlingen. Den registrerade har enligt huvudregeln i artikel 21.1 i dataskydds- förordningen rätt att invända mot behandling av personuppgifter; detta under förutsättning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutöv- ning (se vidare avsnitt 9.15.1). Enligt artikel 21.6 i dataskydds- förordningen gäller som undantag till huvudregeln att om person- uppgifter behandlas för vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av person- uppgifter avseende honom eller henne om inte behandlingen är nöd- vändig för att utföra en arbetsuppgift av allmänt intresse. Personuppgifter behandlas enligt den aktuella förordningen för ändamålet statistik och behandlingen har i avsnitt 10.11.4 bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse. Rätt att göra invändningar mot behandlingen av personuppgifter finns därmed inte. Författningar som reglerar en verksamhet Förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag kan således även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. 10.11.7 Rättelse och skadestånd Utredningens förslag: Bestämmelsen i 7 § förordningen om be- handling av personuppgifter i verksam- het med framställning av statistik över kommunalt vårdnads- bidrag upphävs. Enligt 7 § förordningen om behandling av personuppgifter i verksamhet med framställning av statistik över kom- munalt vårdnadsbidrag ska personuppgiftslagens bestämmelser om rättelse och skadestånd gälla vid behandling av personuppgifter en- ligt samma förordning. Bestämmelsen bör, i enlighet med de slut- satser utredningen drar i avsnitt 9.15.1 och 9.19.1, upphävas. 10.12 112 kap. socialförsäkringsbalken 10.12.1 Beslut genom automatiserad behandling Utredningens bedömning: Bestämmelserna i 112 kap. 6 och 7 §§ socialförsäkringsbalken behöver inte ändras med anledning av dataskyddsförordningen. I 112 kap. 6 § socialförsäkringsbalken anges att får fatta beslut om pensionsgrundande inkomst genom automatiserad behandling när skälen för beslutet får utelämnas enligt 20 § första stycket 1 förvaltningslagen (1986:223). Det automatiserade be- slutsfattande som avses inkluderar inte profilering, som enligt defi- nitionen i artikel 4.4 i dataskyddsförordningen är varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egen- skaper hos en fysisk person, i synnerhet för att analysera eller för- Författningar som reglerar en verksamhet utsäga denna fysiska persons arbetsprestationer, ekonomiska situa- tion, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Det aktuella förfarandet påverkas därför, i enlighet med vad utredningen angett i avsnitt 9.15.1 om automatiserat och individuellt beslutsfattande, inte av vad som anges i artikel 22 i dataskyddsförordningen. Den behandling av personuppgifter som sker genom beslutsfattandet omfattas av be- stämmelserna i lagen (2001:181) om behandling av uppgifter i Skatte- verkets beskattningsverksamhet. Det beslutsfattande som avses i 112 kap. 7 § socialförsäkrings- balken – att får fatta beslut om allmän ålders- pension genom automatiserad behandling – påverkas av samma skäl inte av artikel 22 i dataskyddsförordningen. Den behandling av personuppgifter som beslutsfattandet ger upphov till omfattas av bestämmelserna i 114 kap. socialförsäkringsbalken. Flera andra utredningar har tidigare, med beaktande av såväl data- skyddsdirektivets bestämmelser som förvaltningsrättsliga aspekter, bedömt att det saknas behov av att författningsreglera automatiserat beslutsfattande.32 Utredningen uppmärksammar detta, men lämnar inget förslag i frågan. 10.13 114 kap. socialförsäkringsbalken Utredningens bedömning: Inga förändringar krävs av tillämp- ningsområdet enligt 114 kap. 2 § socialförsäkringsbalken. I avsnitt 9.5 har utredningen konstaterat att bestämmelser i register- författningar om på vilken verksamhet, vilka typer av behandlingar och vilka uppgifter författningen ska tillämpas inte i sig påverkas av dataskyddsförordningen och därmed inte bör ändras. Sådana bestäm- melser om tillämpningsområdet finns i 114 kap. 2 § socialförsäk- ringsbalken. Dessa bestämmelser bör alltså inte ändras med anled- ning av att dataskyddsförordningen börjar tillämpas. 32 Se t.ex. SOU 2001:47 s. 313 och SOU 2014:75 s. 64. Författningar som reglerar en verksamhet 10.13.2 Rätten att invända mot behandling av personuppgifter Utredningens bedömning: Bestämmelsen i 114 kap. 3 § social- försäkringsbalken kan och bör även fortsättningsvis innehålla en begränsning av den registrerades rätt att invända mot behand- ling av personuppgifter som rör honom eller henne. Enligt 114 kap. 3 § socialförsäkringsbalken får sådan behandling av personuppgifter som är tillåten enligt det kapitlet utföras även om den registrerade motsätter sig behandlingen. Den registrerade har enligt dataskyddsförordningen rätt att in- vända mot behandling av personuppgifter; detta under förutsätt- ning att det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (se vidare av- snitt 9.15.1). Den behandling som omfattas av tillämpningsområdet för 114 kap. socialförsäkringsbalken är till största delen sådan be- handling. Bestämmelsen i 114 kap. 3 § socialförsäkringsbalken utgör alltså en begränsning av rätten att göra invändningar mot behand- ling av personuppgifter i artikel 21 i dataskyddsförordningen. En sådan bestämmelse förutsätter, i enlighet med vad som framgår av avsnitt 9.15.2, att de villkor som anges i artikel 23 i dataskydds- förordningen för en begränsning av den registrerades rättigheter är uppfyllda. Vilka villkoren är framgår av samma avsnitt. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i dataskyddsförordningen. Ett av dessa mål, punkten e, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansi- ella intressen, däribland penning-, budget- eller skattefrågor, folk- hälsa och social trygghet”. I avsnitt 9.8.2 har utredningen konstate- rat att bedrivande av verksamhet inom bl.a. socialförsäkring och pensioner, inklusive den administration dessa verksamheter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i dataskydds- förordningen. En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 i dataskyddsförordningen är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. Författningar som reglerar en verksamhet , som administrerar socialförsäkring och pensio- ner, behandlar personuppgifter helt eller delvis automatiserat. Elektroniska ärendehanteringssystem utgör en integrerad del av myndigheternas handläggning av ärenden och systemen har tagits fram i syfte att främja såväl effektivitets- som rättssäkerhetshänsyn som integritetsaspekter beaktats. Rätten till förmåner enligt socialförsäkringsbalken är i och för sig inte beroende av myn- digheternas möjlighet att behandla personuppgifter automatiserat, men en möjlighet för den registrerade att invända mot den normala hanteringen skulle påtagligt försvåra arbetet för myndigheterna. En delvis hantering skulle minska effektiviteten, öka kostna- derna och riskera en negativ påverkan på objektivitet och likabehand- ling. Mot bakgrund av det starka intresset av en enhetlig elektronisk ärendehantering, måste ett undantag från rätten att invända mot behandling av personuppgifter i verksamhet som omfattas av tillämp- ningsområdet för 114 kap. socialförsäkringsbalken anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Begränsningen kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna. De specifika bestämmelser som krävs enligt artikel 23.2 i data- skyddsförordningen, om bl.a. olika skyddsåtgärder för personupp- gifterna, finns redan i 114 kap. socialförsäkringsbalken. Utredningen bedömer därmed att 114 kap. socialförsäkringsbalken även fortsättningsvis kan innehålla en begränsning av den registre- rades rätt att invända mot behandling av personuppgifter som rör honom eller henne. Författningar som reglerar en verksamhet 10.13.3 Förhållandet till annan dataskyddsreglering Utredningens förslag: Bestämmelsen i 114 kap. 6 § socialförsäk- ringsbalken ska innehålla en upplysning om att kapitlet kom- pletterar dataskyddsförordningen. Det ska också anges att dataskyddslagen gäller, om inte annat följer av 114 kap. socialförsäkringsbalken eller föreskrifter som har meddelats med stöd av det kapitlet. Bestämmelsen om förhållandet till annan lagstiftning bör utformas på det sätt som framgår av utredningens överväganden i avsnitt 9.6. Utredningens förslag: Personuppgiftsansvaret anges i ny para- graf men ändras inte i sak. I 114 kap. 6 § andra stycket socialförsäkringsbalken regleras vem som är personuppgiftsansvarig. Utredningen har i avsnitt 9.7 kon- staterat att bestämmelser i registerförfattningar om vem som är personuppgiftsansvarig kan och bör behållas. Bestämmelsen om personuppgiftsansvar bör dock, för att öka överskådligheten, place- ras i en egen paragraf. 10.13.5 Ändamål och grund för behandling av personuppgifter Utredningens förslag: Hänvisningen till personuppgiftslagens bestämmelse om finalitetsprincipen i 114 kap. 10 § socialförsäk- ringsbalken tas bort. I stället hänvisas till artikel 5.1 b i data- skyddsförordningen som ger uttryck för finalitetsprincipen. Utredningens bedömning: Ändamålen i 114 kap. 7–9 §§ social- försäkringsbalken uppfyller de krav som gäller enligt dataskydds- förordningen och bör inte ändras. Även förbudet mot att be- handla personuppgifter som direkt pekar ut den registrerade vid återsökning av vägledande avgöranden kan behållas. Författningar som reglerar en verksamhet I 114 kap. 7–9 §§ socialförsäkringsbalken anges de ändamål för vilka personuppgifter får behandlas inom kapitlets tillämpningsområde. Ändamålen i 114 kap. 7 § socialförsäkringsbalken avser den interna verksamheten – återsökning av vägledande avgöranden, hantering av underlag som krävs för att fastställa rättigheter och skyldigheter utanför ärenderamen, information om förmåner och ersättningar, ärendehandläggning, verksamhetsplanering, resultat- styrning, uppföljning, redovisning, utvärdering, tillsyn och intern statistikframställning. Samtliga ändamål grundar sig på utförandet av en arbetsuppgift av allmänt intresse eller som ett led i myndig- hetsutövning enligt artikel 6.1 e i dataskyddsförordningen. Ända- målen i 114 kap. 8 § socialförsäkringsbalken avser behandling i form av utlämnande av sådana personuppgifter som behövs för handlägg- ning och kontroll av olika sociala förmåner hos andra instanser än och och får anses grunda sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i data- skyddsförordningen. Ändamålen i 114 kap. 9 § 1, 3 och 4 social- försäkringsbalken grundar sig på rättsliga förpliktelser (artikel 6.1 c) som det hänvisas till i bestämmelsen. Ändamålen i 114 kap. 9 § 2 socialförsäkringsbalken om utlämnande på grund av medgivande som följer av bestämmelser i lag eller förordning grundar sig på en arbetsuppgift av allmänt intresse enligt artikel 6.1 e i dataskydds- förordningen. I enlighet med vad utredningen konstaterat i avsnitt 9.10.1 krävs ingen ytterligare analys av vilket stöd redan befintliga ändamål har i dataskyddsförordningen. I artikel 6.3 i dataskyddsförordningen har tillkommit några nya krav på den rättsliga grunden för behandling av personuppgifter. Kraven är, i enlighet med vad utredningen kon- staterat i det aktuella avsnittet, uppfyllda utan vidare analys i fråga om ändamål som är reglerade . Behandling av person- uppgifter för de ändamål som anges i 114 kap. 7–9 §§ socialförsäk- ringsbalken är alltså laglig enligt dataskyddsförordningen och de befintliga ändamålen kan och bör därmed behållas. Författningar som reglerar en verksamhet Förbud att behandla direkt utpekande personuppgifter Vid behandling av personuppgifter för återsökning av vägledande avgöranden får inte uppgifter som direkt pekar ut den registrerade användas. Bestämmelsen stämmer överens med principen om upp- giftsminimering i artikel 5.1 c i dataskyddsförordningen. Medlems- staterna tillåts, som framgår av avsnitt 9.3, att införa mer specifika bestämmelser i den nationella lagstiftningen enligt artikel 6.2 och 6.3 i dataskyddsförordningen. Det är också, som utredningen kon- staterat i avsnitt 9.2, tillåtet att begränsa myndigheters möjligheter till behandling och utöka deras skyldigheter. Förbudet att behandla personuppgifter som direkt pekar ut den registrerade kan därmed behållas. I 114 kap. 10 § socialförsäkringsbalken finns det en hänvisning till 9 § första stycket d personuppgiftslagen, den s.k. finalitetsprinci- pen – att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in. I 114 kap. 10 § socialförsäkringsbalken finns det också en hänvisning till 9 § andra stycket personuppgiftslagen, där det förtydligas att en behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I enlighet med vad utredningen konstaterat i avsnitt 9.10.3, bör det även fortsättningsvis finnas en bestämmelse som klargör att de i 114 kap. socialförsäkringsbalken angivna ända- målen inte är uttömmande. Bestämmelsen bör på grund av personuppgiftslagens upphörande utformas i enlighet med vad som anges i det avsnittet. Författningar som reglerar en verksamhet 10.13.6Känsliga personuppgifter och uppgifter om lagöverträdelser Utredningens förslag: Bestämmelserna som reglerar behandling av känsliga personuppgifter i 114 kap. 11 § socialförsäkrings- balken ska omfatta alla känsliga personuppgifter enligt den ut- vidgade definitionen i dataskyddsförordningen. Bestämmelserna om behandling av känsliga personuppgifter i socialförsäkrings- databasen i 114 kap. 13 §, 15 § andra stycket och 16 § social- försäkringsbalken bör innehålla en hänvisning till definitionen av känsliga personuppgifter i 114 kap. 11 § första stycket. Hänvisningen till personuppgiftslagens definition av uppgif- ter om lagöverträdelser tas bort. I stället ska det i 114 kap. 12 § socialförsäkringsbalken uttryckligen anges vilka personuppgifter om lagöverträdelser m.m. som får behandlas medan det i 114 kap. 13 §, 15 § andra stycket och 16 § hänvisas till 114 kap. 12 § första stycket. Utredningens bedömning: I övrigt kan och bör bestämmel- serna i 114 kap. 11 och 12 §§, 15 § andra stycket och 16 § social- försäkringsbalken behållas i sak. Det finns bestämmelser om när känsliga personuppgifter får be- handlas i 114 kap. 11 § socialförsäkringsbalken. Känsliga person- uppgifter får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. Det är dessutom tillåtet att behandla känsliga personuppgifter om det är nödvändigt för vissa angivna ändamål. För vissa ändamål gäller att endast uppgifter om hälsa får behandlas. Det finns vidare en begränsning som innebär att behandling av känsliga personuppgifter för vissa ändamål inte får ske annat än om uppgifterna redan har behandlats för vissa andra ändamål. I 114 kap. 15 § andra stycket första och andra meningarna och 114 kap. 16 § finns det vissa begränsningar av be- handling av känsliga personuppgifter i socialförsäkringsdatabasen. I 114 kap. 13 § finns det en upplysning om bestämmelserna i 114 kap. 15 §. Författningar som reglerar en verksamhet Behandling av känsliga personuppgifter hos myndigheterna inom socialförsäkringens administration är nödvändig med hänsyn till ett viktigt allmänt intresse. Bestämmelserna som tillåter be- handling av känsliga personuppgifter inom tillämpningsområdet för 114 kap. socialförsäkringsbalken är alltså, i enlighet med vad utred- ningen konstaterat i avsnitt 9.11.3, förenliga med artikel i dataskyddsförordningen och kan och bör behållas. Dataskyddsförordningen innehåller några nya kategorier av käns- liga personuppgifter – genetiska uppgifter och biometriska uppgif- ter för att entydigt identifiera en fysisk person samt uppgifter om sexuell läggning. Även de nytillkomna uppgifterna bör omfattas av den särskilda regleringen av behandling av känsliga personuppgifter i 114 kap. socialförsäkringsbalken i enlighet med vad utredningen kommit fram till i avsnitt 9.11.6. Begränsningarna av under vilka förutsättningar känsliga person- uppgifter får behandlas får anses utgöra sådana lämpliga och sär- skilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs vid behandling av känsliga per- sonuppgifter av hänsyn till ett viktigt allmänt intresse enligt arti- kel i dataskyddsförordningen. Begränsningarna kan och bör därför behållas. Detsamma gäller för begränsningen som innebär att endast uppgifter om hälsa får behandlas för vissa ändamål. Bestämmelsen i 114 kap. 11 § andra stycket bör, i enlighet med den bedömning utredningen har gjort i avsnitt 9.11.6, inte utvidgas till att omfatta även de nya kategorierna av känsliga personuppgif- ter, dvs. genetiska uppgifter och biometriska uppgifter för att en- tydigt identifiera en fysisk person samt uppgifter om sexuell lägg- ning. Det kommer alltså även fortsättningsvis endast att vara tillåtet att behandla sådana känsliga uppgifter som rör hälsa för de aktuella ändamålen. Som anges i avsnitt 7.5 förekommer det emellertid att de olika kategorierna av känsliga personuppgifter överlappar var- andra. Sådana uppgifter som omfattas av någon av de nya kategori- erna men som även utgör en uppgift om hälsa, kan enligt utred- ningens bedömning behandlas med stöd av bestämmelsen i 114 kap. 11 § andra stycket socialförsäkringsbalken. Utredningen har över- vägt om detta behöver förtydligas i bestämmelsen på så sätt att det anges att uppgifter som rör hälsa, inklusive genetiska och bio- metriska uppgifter och uppgifter om sexuell läggning, får behand- las, på samma sätt som anges i avsnitt 10.1.11 och 12.8.4. Författningar som reglerar en verksamhet utredningen inte har framkommit något behov av att behandla så- dana uppgifter om hälsa som omfattas av någon av de nya kategorierna, saknas det dock enligt utredningens bedömning an- ledning att införa ett sådant förtydligande. Bestämmelserna i 114 kap. 11 § första och tredje styckena social- försäkringsbalken bör alltså omfatta alla känsliga personuppgifter enligt den utvidgade definitionen i dataskyddsförordningen. Bestäm- melserna om behandling av känsliga personuppgifter i socialförsäk- ringsdatabasen i 114 kap. 13 §, 15 § andra stycket och 16 § social- försäkringsbalken bör i sin tur i förtydligande syfte innehålla en hänvisning till definitionen av känsliga personuppgifter i 114 kap. 11 §. I 114 kap. 12 §, 15 § andra stycket och 16 § socialförsäkrings- balken finns det bestämmelser som begränsar möjligheten att be- handla personuppgifter om lagöverträdelser. Myndigheters möjlig- heter att behandla personuppgifter om lagöverträdelser behöver, i enlighet med vad som framgår av avsnitt 9.12, inte ändras med anled- ning av dataskyddsförordningen. Eftersom bestämmelserna inne- håller hänvisningar till personuppgiftslagen som kommer att upp- höra att gälla i samband med att dataskyddsförordningen ska börja tillämpas, måste bestämmelserna dock omarbetas. I 114 kap. 12 § socialförsäkringsbalken bör det uttryckligen anges vilka person- uppgifter om lagöverträdelser m.m. som får behandlas medan det i 114 kap. 13 §, 15 § andra stycket och 16 § hänvisas till 114 kap. 12 § första stycket. Utredningens förslag: Bestämmelsen om användning av käns- liga personuppgifter som sökbegrepp i 114 kap. 27 § första stycket socialförsäkringsbalken ska omfatta alla känsliga person- uppgifter enligt den utvidgade definitionen i dataskyddsförord- ningen. Hänvisningen till personuppgiftslagens definition av uppgifter om lagöverträdelser bör ersättas med en hänvisning till 114 kap. 12 § socialförsäkringsbalken. Författningar som reglerar en verksamhet Utredningens bedömning: Bestämmelserna om sökbegränsningar i 114 kap. 27 och 28 §§ socialförsäkringsbalken kan och bör i övrigt behållas i sak. I 114 kap. 27 § socialförsäkringsbalken finns det ett förbud mot att använda känsliga personuppgifter och uppgifter om lagöverträdel- ser som sökbegrepp vid sökning i socialförsäkringsdatabasen. Bestämmelserna innehåller också en begränsning som innebär att endast beteckning på ett ärende eller en handling får användas som sökbegrepp vid sökning som omfattar innehållet i fler än en hand- ling. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om begränsningar i övrigt. Enligt 114 kap. 28 § socialförsäkringsbalken får uppgifter om hälsa användas under vissa förutsättningar om regeringen eller den myndighet regeringen bestämmer meddelat föreskrifter om det. Förbudet mot att använda känsliga personuppgifter som sök- begrepp i 114 kap. 27 § första stycket får anses utgöra en sådan lämplig och särskild åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen som krävs vid behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen. Bestämmelsen kan och bör därmed behållas. Som anges i avsnitt 9.11.6 har några nya kategorier av känsliga personuppgifter tillkommit i dataskyddsförordningen, nämligen genetiska uppgifter, biometriska uppgifter för att entydigt identifi- era en fysisk person och uppgifter om sexuell läggning. De nytill- komna kategorierna bör, i enlighet med vad utredningen kommit fram till i det avsnittet, omfattas av sökförbudet i de nu aktuella bestämmelserna. Sökbegränsningen avseende uppgifter om lagöverträdelser kan, som anges i avsnitt 9.12, behållas, eftersom den avser behandling som sker med stöd av artikel 6.1 c eller e i dataskyddsförordningen eller endast omfattar myndigheters möjligheter att behandla person- uppgifter om lagöverträdelser. Bestämmelsen som begränsar möjligheten att söka med hjälp av annat än beteckningen på ett ärende eller en handling i 114 kap. 27 § andra stycket utgör, som framgått av avsnitt 9.16.2, en form av säkerhetsåtgärd enligt dataskyddsförordningen. Bestämmelser om säkerhetsåtgärder är tillåtna med stöd av 6.2 och 6.3 i dataskydds- Författningar som reglerar en verksamhet