sou · H5B339 · 2017-05-12 00:00:00 — 3 § Personuppgifter får behandlas med stöd av artikel 6.1 c i data- skyddsförordningen om behandlingen är nödvändig för att den per- sonuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som 1.gäller enligt lag eller annan författning, 2.följer av kollektivavtal, eller 3. följer av beslut som har meddelats med stöd av lag eller annan för- fattning. Paragrafen upplyser om att en rättslig förpliktelse utgör en rättslig grund för behandling av personuppgifter endast om förpliktelsen är fastställd i enlighet med unionsrätten eller den nationella rätten. Kravet på fastställande saknar motsvarighet i personuppgiftslagen. Att en rättslig förpliktelse kan utgöra rättslig grund för personupp- giftsbehandling enligt personuppgiftslagen framgår av 10 § b PUL. Övervägandena finns i avsnitt 8.3.1 och 8.3.2. Bestämmelsen har sin grund i artikel 6.3 första stycket i data- skyddsförordningen. För att en förpliktelse som åligger den person- uppgiftsansvarige ska kunna läggas till grund för behandling av personuppgifter måste den vara rättsligt förankrad och giltig. En för- pliktelse som inte är rättsligt förankrad i unionsrätten eller i med- lemsstatens nationella rätt kan inte åberopas som rättslig grund för behandling av personuppgifter. Förpliktelsen måste alltså ha med- delats i laga ordning, men behöver inte för den skull framgå direkt av en författning. Enligt svensk rätt kan en rättslig förpliktelse även framgå av t.ex. kollektivavtal, regeringsbeslut och myndighetsbeslut. Formuleringarna ”gäller enligt lag” och ”med stöd av lag” omfattar även förpliktelser som följer av direkt tillämpliga unionsrättsakter, eftersom unionsrättsakter gäller här i landet med den verkan som följer av . Det bör noteras att bestämmelsen i artikel 6.3 andra stycket första meningen i dataskyddsförordningen anger att syftet med behand- lingen ska fastställas i den rättsliga grunden. Kravet torde innebära att en förpliktelse inte kan läggas till grund för behandling av person- uppgifter om syftet med behandlingen inte framgår av den författ- ning eller det kollektivavtal som förpliktelsen grundas på och inte heller, i förekommande fall, kan utläsas av det beslut som anger för- pliktelsen. 4 § Personuppgifter får behandlas med stöd av artikel 6.1 e i data- skyddsförordningen om behandlingen är nödvändig 1. för att den personuppgiftsansvarige ska kunna utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivav- tal eller av beslut som har meddelats med stöd av lag eller annan författ- ning, eller 2. som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Paragrafen upplyser om att en uppgift av allmänt intresse liksom myndighetsutövning utgör rättslig grund för behandling av person- uppgifter endast om uppgiften eller myndighetsutövningen är fast- ställd i enlighet med unionsrätten eller den nationella rätten. Kravet på fastställande saknar motsvarighet i personuppgiftslagen. Att en uppgift av allmänt intresse och myndighetsutövning kan utgöra rätts- lig grund för personuppgiftsbehandling framgår dock av 10 § d res- pektive e PUL. Övervägandena finns i avsnitt 8.3.1, 8.3.3 och 8.3.4. Bestämmelsen, som har sin grund i artikel 6.3 första stycket i data- skyddsförordningen, förtydligar att en uppgift av allmänt intresse respektive myndighetsutövning som inte är rättsligt förankrad i unionsrätten eller i medlemsstatens nationella rätt inte kan åberopas som rättslig grund för behandling av personuppgifter. I artikel 6.3 andra stycket i dataskyddsförordningen anges att syftet med be- handlingen måste vara nödvändigt för att utföra uppgiften eller myn- dighetsutövningen. Den specifika behandlingen måste alltså vara nöd- vändig för ett ändamål som i sin tur är nödvändigt för att den person- uppgiftsansvarige ska kunna utföra sin fastställda uppgift. I punkt 1 tydliggörs att en uppgift av allmänt intresse utgör en rättslig grund för behandling av personuppgifter bara om uppgiften följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Denna förutsättning gäller oavsett om den personuppgiftsansvarige är en myndighet eller inte. Det är alltså inte tillräckligt att uppgiften är av allmänt intresse – uppgiften måste också vara fastställd i enlighet med gällande rätt. Statliga och kommunala myndigheters verksamhet är i allt väsent- ligt av allmänt intresse. Formuleringen, ”som följer av lag eller annan författning”, är en följd av att en uppgift av allmänt intresse enligt svensk rätt inte måste vara uttryckt i lag eller förordning utan också kan anges i en annan föreskrift, förutsatt att föreskriften har med- delats med stöd av lag eller förordning. Som en följd av den svenska arbetsmarknadsmodellen skulle en uppgift av allmänt intresse även kunna vara fastställd genom kollektivavtal. Uppgifter av allmänt intresse kan enligt svensk rätt även fastställas genom ”beslut som meddelats med stöd av lag eller annan författning”. en sådan uppgift ha tilldelats en statlig myndighet eller ett statligt bolag med särskilt samhällsintresse genom regeringsbeslut. For- muleringen omfattar även uppgifter som med stöd av kommunallagen har getts till kommunala myndigheter och kommunala bolag genom beslut i fullmäktige. EU-rättsakter gäller här i landet med den verkan som följer av fördragen, vilket innebär att uppgifter som utförs enligt unionsrätten även utförs enligt lag. Den föreslagna formuleringen omfattar således även sådana uppgifter. Även privaträttsligt bedriven verksamhet av allmänt intresse omfattas av formuleringen, förutsatt att verksamheten är reglerad i lag eller annan författning eller följer av kollektivavtal eller av beslut som meddelats med stöd av lag eller annan författning. Däremot omfattas inte oreglerad verksamhet. Formuleringen omfattar inte hel- ler sådan verksamhet som i och för sig är reglerad, men som inte kan anses vara av allmänt intresse i unionsrättslig mening. Det bör noteras att den författning eller det kollektivavtal eller beslut som utgör den rättsliga grunden för behandling av person- uppgifter måste uppfylla ett mål av allmänt intresse och vara propor- tionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket sista meningen i dataskyddsförordningen). I punkt 2 tydliggörs på motsvarande sätt att myndighetsutövning utgör en rättslig grund för behandling av personuppgifter bara om myndighetsutövningen sker enligt lag eller annan författning. Detta gäller oavsett om den personuppgiftsansvarige är en myndighet eller inte. Om författningen ställer ytterligare villkor, t.ex. krav på att ett privat organ ska vara certifierat för att få utöva myndighet, sker myn- dighetsutövningen ”enligt” författningen om villkoret är uppfyllt. Formuleringen ”enligt lag eller annan författning” innefattar t.ex. förordningar som har meddelats av regeringen, med stöd av restkom- petensen. Formuleringen innefattar även befogenheter som anges i myndighetsföreskrifter, förutsatt att föreskrifterna har meddelats med stöd av ett bemyndigande. Unionsrättsakter gäller här i landet med den verkan som följer av , vilket innebär att myn- dighetsutövning som utövas enligt unionsrätten också har stöd av lag. Formuleringen omfattar således även sådana befogenheter. 5 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om behandling av personuppgifter för arkivändamål av allmänt intresse, när det gäller andra enskilda organ än de som omfattas av bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400). Den myndighet som regeringen bestämmer får även i enskilda fall besluta att sådana enskilda organ som avses i första stycket får behandla personuppgifter för arkivändamål av allmänt intresse. Paragrafen innehåller ett bemyndigande avseende föreskrifter och förvaltningsbeslut om behandling av personuppgifter för arkivända- mål av allmänt intresse utanför arkivlagstiftningens tillämpnings- område. Bestämmelsen saknar motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 14.4.2. Bestämmelserna har sin grund i artikel 6.3 första stycket i data- skyddsförordningen, som innebär att en uppgift av allmänt intresse utgör rättslig grund för behandling av personuppgifter endast om uppgiften är fastställd i enlighet med unionsrätten eller den natio- nella rätten. Bestämmelserna gör det möjligt för enskilda arkiv- institutioner, vars uppgift inte redan är fastställd i enlighet med gäl- lande rätt, att få sin verksamhet prövad och godkänd som rättslig grund för personuppgiftsbehandling. Rättslig grund kan antingen fastställas i föreskrifter som meddelas enligt första stycket, eller i förvaltningsbeslut som meddelas enligt andra stycket. En förutsättning i båda fallen är att arkivverksamheten är av allmänt intresse i dataskyddsförordningens mening och att organet inte är en myndighet eller ett sådant organ som enligt 1 kap. 5 § ska jämställas med myndigheter. Den rättsliga grunden för behandling av personuppgifter i myndigheters och därmed jämställda organs arkivverksamhet är redan fastställd i arkivlagstiftningen. 3 kap. Vissa kategorier av personuppgifter 1 § Utöver vad som framgår av artikel 9.2 a, c, d, e eller f i data- skyddsförordningen får sådana särskilda kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen (känsliga person- uppgifter) behandlas om förutsättningarna i någon av 2–8 §§ är upp- fyllda. Paragrafen anger lagens förhållande till undantagen från förbudet att behandla känsliga personuppgifter i förordningens artikel 9.2. budet mot behandling av känsliga personuppgifter och undantagen från det förbudet har sin motsvarighet i 13–19 §§ PUL. Övervägan- dena finns i avsnitt 10.3. Bestämmelsen förtydligar att vissa av förordningens undantag från förbudet är direkt tillämpliga, dvs. artikel 9.2 a (samtycke), 9.2 c (den registrerades eller annans grundläggande intressen), 9.2 d (ideella organisationer), 9.2 e (offentliggörande) och 9.2 f (rättsliga anspråk och dömande verksamhet). Utöver de direkt tillämpliga undantagen får behandling av känsliga personuppgifter ske med stöd av 2–8 §§ i lagen, vilka i sin tur har införts i svensk rätt med stöd av förordningens undantag i arti- kel 9.2 b, g, h och j. Observera dock att undantag som tillåter behand- ling i andra fall kan finnas i sektorsspecifik reglering. 2 § Känsliga personuppgifter får med stöd av artikel 9.2 b i data- skyddsförordningen behandlas om det är nödvändigt för att den person- uppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldig- heter och utöva sina särskilda rättigheter inom arbetsrätten. Personuppgifter som behandlas med stöd av första stycket får lämnas ut till tredje part endast om det inom arbetsrätten finns en skyldighet att göra det eller om den registrerade uttryckligen har samtyckt till utläm- nandet. Paragrafen anger när känsliga personuppgifter får behandlas på arbetsrättens område. Paragrafen har sin motsvarighet i 16 § första stycket a PUL samt andra stycket samma paragraf. Övervägandena finns i avsnitt 10.5.2. Bestämmelsen i första stycket har sin grund i artikel 9.2 b i data- skyddsförordningen. Termen ”inom arbetsrätten” är ett unionsrätts- ligt begrepp som måste tolkas EU-konformt. I avsaknad av andra tolkningsdata bör begreppet även fortsättningsvis ges den tolkning som den har enligt personuppgiftslagen. I stort sett alla skyldigheter och rättigheter för arbetsgivare beträffande de anställda och deras organisationer bör alltså kunna innefattas i uttrycket inom arbets- rätten, exempelvis behandling i samband med sjuklön och rehabili- tering av arbetstagare. Även skyldigheter och rättigheter för fackliga organisationer i förhållande till arbetsgivare och deras organisationer bör innefattas. Att undantaget i artikel 9.2 b gäller även behandling som sker enligt kollektivavtal framgår av artikeltexten, vilken också innebär att lämpliga skyddsåtgärder måste framgå av avtalet. I andra stycket begränsas möjligheterna att lämna ut uppgifter som behandlas med stöd av första stycket. Den skyldighet att lämna ut uppgifter som avses är sådan som åligger den personuppgiftsansvarige enligt författning, myndighetsbeslut eller avtal på arbetsrättens om- råde. Termen tredje part definieras i förordningens artikel 4.10 som en fysisk eller juridisk person, offentlig myndighet, institution eller ett organ som inte är den registrerade, den personuppgiftsansvarige, personuppgiftsbiträdet eller de personer som under den personupp- giftsansvariges eller personuppgiftsbiträdets direkta ansvar är behö- riga att behandla personuppgifterna. Detta innebär exempelvis att en arbetsgivares utlämnande till en facklig organisation omfattas av regle- ringen. Andra stycket innebär ingen begränsning av allmänhetens rätt till tillgång till handlingar. Det följer av förordningens artikel 86 att all- mänhetens rätt till tillgång till handlingar enligt tryckfrihetsförord- ningen gäller före förordningens bestämmelser om personuppgifts- skydd. 3 § Känsliga personuppgifter får med stöd av artikel i data- skyddsförordningen behandlas av en myndighet 1.i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av ett ärende, 2.om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, eller 3.i enstaka fall, om det är absolut nödvändigt för ändamålet med behandlingen och behandlingen inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Paragrafen innebär att myndigheter får behandla känsliga person- uppgifter i vissa fall. Bestämmelsen i första punkten motsvarar 8 § PUF. Övervägandena finns i avsnitt 10.6.2. Bestämmelserna har sin grund i artikel i dataskyddsför- ordningen om behandling som är nödvändig av hänsyn till ett vik- tigt allmänt intresse. Punkt 1 möjliggör behandling av känsliga personuppgifter i myn- digheternas ärenden, förutsatt att uppgifterna förekommer i löpande text och inte har strukturerats i registerform eller på annat sätt Bestämmelsen utesluter dock inte att handlingar som inne- håller löpande text med ostrukturerade känsliga personuppgifter lagras elektroniskt i ärendehanteringssystem eller liknande. Upp- gifterna måste ha lämnats in av någon utomstående eller vara nödvän- diga för handläggningen av ärendet. Punkt 2 möjliggör sådan behandling av känsliga personuppgifter som är oundviklig i myndigheternas verksamhet som en direkt följd av framför allt tryckfrihetsförordningens, offentlighets- och sekre- tesslagens och förvaltningslagens bestämmelser om hur inkomna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post. Behandling av känsliga personuppgifter med stöd av denna punkt får bara ske om uppgifterna har lämnats in till myndigheten, dvs. uppgifter i handlingar som definieras som in- komna enligt 2 kap. 6 § tryckfrihetsförordningen, och själva behand- lingen av uppgifterna är ett direkt krav enligt annan lag. Det bör note- ras att enligt 1 kap. 5 § ska bestämmelsen i denna punkt gälla även för andra organ än myndigheter, i den mån offentlighetsprincipen och sekretesslagstiftningen enligt författning gäller i organets verksamhet. Punkt 3 möjliggör behandling av känsliga personuppgifter hos myndigheter i enstaka fall även då behandlingen inte sker i löpande text med koppling till visst ärende eller krävs enligt annan lag. Så kan exempelvis vara fallet i faktisk verksamhet såsom i kommunikation mellan skola och föräldrar eller inom en myndighet i samband med utvärdering. Kravet i punkt 3 på att behandlingen ska vara absolut nödvändig för ändamålet med behandlingen innebär att undantaget ska tillämpas restriktivt och att behovet av att behandla den känsliga personupp- giften i det enskilda fallet noga ska prövas mot ändamålet med be- handlingen. Vidare ställer bestämmelsen i punkt 3 krav på att ytterligare en avvägning ska göras för att behandling av känsliga personuppgifter ska få ske i det enskilda fallet. Det krävs en prövning av om en i och för sig absolut nödvändig behandling av känsliga personuppgifter ändå innebär ett otillbörligt intrång i den registrerades integritet. Vid bedömningen av om behandling utgör ett otillbörligt intrång ska vikt läggas vid sådana aspekter som uppgifternas känslighet, den inställ- ning de registrerade kan antas ha till att uppgiften behandlas, den spridning uppgiften skulle komma att få och risken för vidare- behandling för andra ändamål än insamlingsändamålet. 4 § Vid behandling som sker enbart med stöd av 3 § får en myndig- het inte använda sökbegrepp som avslöjar känsliga personuppgifter. Paragrafen innebär att det gäller ett förbud för myndigheter att söka på känsliga personuppgifter då sådana uppgifter behandlas enbart med stöd av 3 §. Sådana sökningar kan dock tillåtas i sektorsspecifik reglering. Paragrafen har ingen motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 10.6.2. Sökförbudet införs för att tillgodose kraven på särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen i artikel i dataskyddsförordningen. Förbudet omfattar alla tekniska åtgärder, som innebär att uppgifter används för att strukturera eller systematisera information så att känsliga personupp- gifter avslöjas. Sökförbudet innebär att offentlighetsprincipen inskränks enligt den så kallade begränsningsregeln i 2 kap. 3 § tredje stycket tryckfri- hetsförordningen. En begäran att få tillgång till en sammanställning av uppgifter som är resultatet av en sådan förbjuden sökning ska alltså avslås på den grunden att sammanställningen inte anses förvarad hos myndigheten. Det bör dock understrykas att begränsningsregeln inte hindrar att sökningar görs i färdiga elektroniska handlingar vid en begäran om tillgång till allmänna handlingar, dvs. sökning får på begäran ske i upptagningar där myndigheten eller den som lämnat in handlingen till myndigheten har gett upptagningen ett bestämt, fixe- rat, innehåll som går att återskapa gång på gång. Det bör noteras att enligt 1 kap. 5 § ska sökförbudet gälla även för andra organ än myndigheter, som på grund av att offentlighets- principen och sekretesslagstiftningen enligt författning gäller i orga- nets verksamhet behandlar känsliga personuppgifter med stöd av 3 § 2. 5 § Känsliga personuppgifter får med stöd av artikel 9.2 h i data- skyddsförordningen behandlas om behandlingen är nödvändig av skäl som hör samman med 1.förebyggande hälso- och sjukvård och yrkesmedicin, 2.bedömningen av en arbetstagares arbetskapacitet, 4.tillhandahållande av hälso- och sjukvård eller behandling, 5.social omsorg, eller 6. förvaltning av social omsorg, hälso- och sjukvårdstjänster samt deras system. Behandling enligt första stycket får ske under förutsättning att kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen är upp- fyllt. Paragrafen anger när känsliga personuppgifter inom social omsorg samt på hälso- och sjukvårdsområdet får behandlas när någon sek- torsspecifik reglering som tillåter sådan behandling inte finns. Bestämmelserna motsvarar delvis 18 § PUL. Övervägandena finns i avsnitt 10.7.2. Paragrafen har sin grund i artikel 9.2 h i dataskyddsförordningen. I första stycket punkterna 1–6 anges de ändamål för vilka behandling av känsliga personuppgifter får ske. Begreppen motsvarar de som anges i artikel 9.2 h och måste ges en EU-rättslig innebörd. Andra stycket erinrar om kravet på tystnadsplikt i förordningens artikel 9.3. Sammantaget innebär paragrafens första stycke och artikel 9.3 att behandling av känsliga personuppgifter bara är tillåten för de i paragrafen angivna ändamålen, och enbart under förut- sättning att behandlingen sker av eller under ansvar av en person som omfattas av tystnadsplikt enligt unionsrätten eller svensk rätt. 6 § Känsliga personuppgifter får med stöd av artikel 9.2 j i data- skyddsförordningen behandlas för arkivändamål av allmänt intresse om behandlingen är nödvändig för att den personuppgiftsansvarige ska kun- na följa föreskrifter om bevarande och vård av arkiv. Regeringen eller den myndighet som regeringen bestämmer får med- dela föreskrifter om att känsliga personuppgifter får behandlas för arkiv- ändamål av allmänt intresse även i andra fall än de som avses i första stycket. Den myndighet som regeringen bestämmer får även i enskilda fall besluta att andra enskilda organ än de som omfattas av bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) får behandla känsliga per- sonuppgifter för arkivändamål av allmänt intresse. Paragrafen avser behandling av känsliga personuppgifter för arkiv- ändamål av allmänt intresse och motsvarar delvis 8 § andra stycket första meningen PUL. Övervägandena finns i avsnitt 14.4.3. Bestämmelsen, som har sin grund i artikel 9.2 j i dataskydds- förordningen, avser undantag från förordningens förbud mot att behandla känsliga personuppgifter, vid behandling av personuppgifter för arkivändamål av allmänt intresse. Möjligheten att för sådana ända- mål behandla personuppgifter om lagöverträdelser regleras i 9 och 11 §§. Behandling av andra slags uppgifter för arkivändamål av all- mänt intresse regleras i stället av direkt tillämpliga bestämmelser i förordningen. Det följer också direkt av förordningen att vidare- behandling av personuppgifter för arkivändamål av allmänt intresse inte ska anses som oförenlig med de ursprungliga ändamålen. Det be- hövs inte heller någon separat rättslig grund för en sådan vidare- behandling. För att känsliga personuppgifter ska få behandlas för arkivändamål av allmänt intresse enligt första stycket krävs att behandlingen sker som en följd av de skyldigheter att bevara och vårda handlingar som anges i föreskrifter. Detta krav gäller oavsett om personuppgifterna samlas in för arkivändamål av allmänt intresse eller om uppgifter som samlats in för andra ändamål vidarebehandlas för arkivändamål av all- mänt intresse. På generell nivå anges sådana skyldigheter i arkivlagen och arkivförordningen samt i och andra arkivmyndig- heters föreskrifter. Det utrymme för behandling av känsliga person- uppgifter för arkivändamål av allmänt intresse som första stycket ger är därmed i första hand tillgängligt för myndigheter och andra organ som omfattas av arkivlagstiftningen. Bestämmelsen medför, tillsam- mans med 11 §, att dataskyddsförordningen och lagen inte hindrar att en myndighet eller ett annat organ som omfattas av offentlighets- principen arkiverar och bevarar allmänna handlingar eller att arkiv- material tas om hand av en arkivmyndighet. I andra stycket bemyndigas regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter som tillåter sådana organ som inte omfattas av några föreskrifter om bevarande och vård av arkiv att behandla känsliga personuppgifter för arkivända- mål av allmänt intresse. Enligt tredje stycket får den myndighet som regeringen bestämmer även genom förvaltningsbeslut tillåta ett enskilt organ som inte omfattas av arkivlagstiftningen att behandla känsliga personuppgifter. Bestämmelsen kan bland annat aktualiseras i samband med före- skrifter eller beslut enligt 2 kap. 5 §, om en enskild arkivinstitution samlar in känsliga personuppgifter för arkivändamål av allmänt Bestämmelsen kan också tillämpas för att säkerställa att vissa andra enskilda organ ska kunna vidarebehandla känsliga personupp- gifter för sådana ändamål, utan samtycke från den registrerade. Ett beslut som tillåter behandling av känsliga personuppgifter för arkiv- ändamål av allmänt intresse förutsätter att den personuppgiftsansva- rige vidtar lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Dessutom krävs som vid all personuppgiftsbehandling att behandlingen som sådan vilar på rättslig grund eller utgör en tillåten vidarebehandling.