prop · H503112 · 2018-03-01 00:00:00 — Som Datainspektionen framhåller krävs överväganden om lämpliga skyddsåtgärder enligt artikel 9.2, som kompenserar för det intrång i den personliga integriteten som behandlingen av känsliga personuppgifter innebär. Känsliga personuppgifter om hälsa bör endast få behandlas inom de ramar som ändamålsbestämmelserna fastställer. I avsnitt 6.8 föreslås vidare att tillgången till personuppgifter ska begränsas på ett sådant sätt att endast de som behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter ska ha tillgång till dem. Behandlingen är nödvändig för ett viktigt allmänt intresse Datainspektionen anger att om undantaget regleras i artikel , det vill säga ett viktigt allmänt intresse, krävs det komplettering i EU-rätt eller nationell rätt och lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Varför behandlingen är nödvändig för ett viktigt allmänt intresse måste enligt Datainspektionen framgå. Regeringen redogör ovan för sin bedömning att informationssystemet om arbetsskador är ett led i en uppgift av allmänt intresse i dataskyddsförordningens mening. Det får vidare anses vara nödvändigt att behandla uppgifter om hälsa i informationssystemet eftersom informationssystemet behövs för att kartlägga och förebygga arbetsskador. Eftersom arbetsskador är ett väsentligt samhällsproblem och att forskning och statistik är nödvändigt för att minska problemet anser regeringen att informationssystemet når upp till dataskyddsförordningens krav på ett viktigt allmänt intresse. Eftersom framtagande av meningsfull information om arbetsskador förutsätter att uppgifter om hälsa registreras bör personuppgifter som rör hälsa få behandlas. Andra känsliga personuppgifter bör dock inte få behandlas. Uppgifter om hälsa ska få behandlas för alla primära ändamål Datainspektionen efterfrågar en närmare utredning om för vilka ändamål känsliga personuppgifter får behandlas. Enligt förslaget i avsnitt 6.6.1 ska 2017/18:112 behandling uppgifter, tillsynsverksamhet, skadeutredningar, forskning och undervisning, framställning av statistik samt planering, uppföljning och utvärdering av förebyggande arbete mot arbetsskador. Hälsouppgifter är centrala för hela arbetet med att kartlägga och förebygga arbetsskador. Frågan är då om det ändå finns anledning att begränsa behandlingen av hälsouppgifter i något avseende. Som Datainspektionen konstaterar finns det möjlighet i vissa fall att behandla uppgifter som har avidentifierats och som därför inte är personuppgifter i dataskyddsförordningens mening, till exempel för undervisningsändamål (artikel 4.1). Regeringen vill dock i detta sammanhang påminna om principen om uppgiftsminimering som gäller enligt dataskyddsförordningen (artikel 5.1 c). Enligt den principen ska den personuppgiftsansvarige inte behandla personuppgifter som är för omfattande i förhållande till de ändamål för vilka de behandlas. Det är mot den bakgrunden rimligt att personuppgifter om hälsa enligt lagen ska kunna behandlas för alla de ändamål för personuppgiftsbehandlingen som fastställs i lagen. 6.8Tillgången till personuppgifter ska begränsas Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: En bestämmelse om att tillgången till personuppgifter ska vara begränsad till vad var och en behöver för att kunna fullgöra sina uppgifter ligger i linje med artikel 32.4 i dataskyddsförordningen om säkerheten i samband med behandling av personuppgifter. En sådan bestämmelse finns i förordningen om behandling av personuppgifter i informationssystem om arbetsskador och det saknas enligt regeringens uppfattning anledning att inte ha en motsvarande bestämmelse i den nya lagen. 6.9Det ska inte finnas begränsningar av tillåtna sökbegrepp Regeringens bedömning: Lagen bör inte innehålla några begränsningar av tillåtna sökbegrepp. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens bedömning Dataskyddsförordningen saknar bestämmelser om sökning eller användning av sökbegrepp. Sökning och sammanställning av uppgifter som sker elektroniskt är dock behandling av personuppgifter och omfattas därför av dataskyddsförordningens bestämmelser. På grund av detta måste en sökning vara laglig enligt artikel 6 och uppfylla kraven i bland annat artikel 5 i dataskyddsförordningen för att vara tillåten. Av artikel i dataskyddsförordningen framgår att behandling av känsliga personuppgifter får ske om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Denna ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga eller särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Riskerna med sök- och sammanställningsteknik I en databas eller annan textmassa som har lagrats på ett medium för automatiserad behandling är det möjligt att genom att ange ett så kallat sökbegrepp i en sökmotor söka igenom den lagrade informationen och hitta de poster där begreppet förekommer. På detta sätt är det möjligt att snabbt göra en sammanställning av personuppgifter i en databas och skapa statistik. Statistiken i sig innehåller inte personuppgifter, men för att skapa den är behandlingen av personuppgifter nödvändig. Något generellt förbud mot sökning i en databas är dock normalt sett inte motiverat. Ofta kan en sökmotor vara ett värdefullt redskap i myndighetens verksamhet, utan att det för den sakens skull måste innebära risker för den personliga integriteten. De integritetsrisker som följer med användningen av ny informationsteknik är nära kopplade till informationsteknikens egenskaper att söka och sammanställa stora mängder av uppgifter. Sök- och sammanställningsmöjligheter kan medföra att uppgifter lättare kan knytas till en fysisk person. De kan även medföra att personuppgifter som annars uppfattas som relativt harmlösa får en mer integritetskänslig karaktär till exempel genom omfattande registrering. Myndigheternas sökmöjligheter har även betydelse för vad som utgör allmän handling enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen. Avvägningen mellan för- och nackdelar med begränsningar av sökbegrepp Vid bedömningen av vilka sökbegrepp som bör vara tillåtna måste en avvägning göras mellan intresset av effektivitet i en myndighets verksamhet och risken för integritetsintrång. Regler om begränsning av tillåtna sökbegrepp bör således ta sikte direkt på sådana typer av sökning som typiskt sett medför särskilda integritetsrisker. I vissa sådana fall måste integriteten ges företräde framför andra intressen, även om goda skäl i och för sig talar för att en viss typ av sökning eller behandling bör vara tillåten. I förordningen om behandling av personuppgifter i informationssystem om arbetsskador finns ingen begränsning i fråga om 2017/18:112 att använda uppgifter som rör hälsa som sökbegrepp. I Inspektionen för arbetslöshetsförsäkringens och Arbetsförmedlingens registerlagar är det dock förbjudet att använda känsliga personuppgifter som sökbegrepp. I lagarna föreskrivs emellertid ett undantag på så sätt att bland annat kod för hälsotillstånd får användas som sökbegrepp. Denna lösning är emellertid mindre lämplig för . De EU-klassificeringar, det vill säga koder för olika hälsobegrepp, som finns framtagna på EU-nivå är inte tillräckligt precisa och anpassade till arbetsskador. Vidare förekommer ofta uppgifter om hälsa i fältet i webbformulär där anmälaren skriver in ett händelseförlopp, vilket innebär att det inte finns någon koppling till kod för dessa uppgifter. Ett ytterligare argument mot användning av koder är att det ständigt pågår en utveckling av olika hälsobegrepp, vilket gör det svårt att se vilka begrepp som kommer att användas framöver. står det klart att måste ha möjlighet att använda uppgifter som rör hälsa som sökbegrepp, bland annat för att kunna fullfölja sitt uppdrag vad gäller framställande av statistik. Det bör i detta sammanhang beaktas att informationssystemet är separerat från myndighetens övriga verksamhet och att regeringen i avsnitt 6.8 föreslår en bestämmelse där tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Utifrån dessa avvägningar gör regeringen bedömningen att det inte bör införas någon begränsning vad gäller sökbegrepp i den nya lagen. 7Behandling av personuppgifter hos Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering 7.1Registerlagarna ska tillämpas på automatiserad behandling av personuppgifter och personuppgifter i register Regeringens förslag: Registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering ska tillämpas på automatiserad behandling av personuppgifter och personuppgifter i register. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: De skäl som anges i avsnitt 6.2 i fråga om behandling av personuppgifter i informationssystem om arbetsskador gör sig gällande även i fråga om nu Registerlagarna bör därför tillämpas på automatiserad Prop. 2017/18:112 behandling av personuppgifter och personuppgifter i register. 7.2Förhållandet till annan reglering 7.2.1Hänvisningar till personuppgiftslagen ska tas bort Regeringens förslag: Hänvisningarna till personuppgiftslagen ska tas bort i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: Enligt propositionen Ny dataskyddslag (prop. 2017/18:105) ska personuppgiftslagen (1998:204) upphävas. Hänvisningarna till personuppgiftslagen bör därför tas bort i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. Regeringens förslag: Registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering ska innehålla bestämmelser som tydliggör att lagarna kompletterar EU:s dataskyddsförordning. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det är bra att det framgår i de föreslagna författningarna att bestämmelserna kompletterar dataskyddsförordningen. Datainspektionen anser dock att det också behöver anges direkt i författningen om en viss reglering kompletterar eller förtydligar en artikel i dataskyddsförordningen. tillstyrker förslaget att lagarna ska innehålla en bestämmelse där det tydliggörs att lagarna kompletterar dataskyddsförordningen. Skälen för regeringens förslag: De skäl som anges i avsnitt 6.3.1 i fråga om behandling av personuppgifter i informationssystem om arbetsskador gör sig gällande även i fråga om nu aktuella lagar. Registerlagarna bör därför innehålla en bestämmelse som tydliggör att lagarna kompletterar dataskyddsförordningen. Alla hänvisningar i registerlagarna till dataskyddsförordningen bör av motsvarande skäl som anges i avsnitt 6.3.1 vara dynamiska. 2017/18:112 7.2.3 Regeringens förslag: Det ska tydliggöras i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller vid behandling av personuppgifter inom lagarnas tillämpningsområden, om inte annat följer av registerlagarna eller föreskrifter som har meddelats i anslutning till de lagarna. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: avstyrker delvis förslagen att registerlagarna ska innehålla en bestämmelse som anger att lagen med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter inom lagarnas tillämpningsområden, om inte annat följer av lagarna eller föreskrifter som har meddelats i anslutning till dem. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag: De skäl som anges i avsnitt 6.3.2 i fråga om behandling av personuppgifter i informationssystem om arbetsskador gör sig gällande även i fråga om nu aktuella lagar. Registerlagarna bör därför innehålla en bestämmelse som klargör förhållandet till dataskyddslagen. 7.3Undantag från rätten att göra invändningar Regeringens förslag: Rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen ska inte gälla vid sådan behandling som är tillåten enligt registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering eller föreskrifter som har meddelats i anslutning till registerlagarna. Promemorians förslag: Överensstämmer i sak med regeringens. Promemorian föreslår dock en annan redaktionell utformning av bestämmelserna. Remissinstanserna: föreslår en annan lydelse av bestämmelserna. Datainspektionen ifrågasätter bland annat om promemorians förslag att ersätta uttrycket ”motsätter sig” med ”invänder mot” inte innebär någon förändring i sak. Datainspektionen efterlyser klargörande om samtycke utgör en rättslig grund för behandlingen och i så fall hur de övriga reglerna, med beaktande av artikel 6.2, förhåller sig till samtycket. Datainspektionen är positiv till att låta den enskildes inställning avgöra om behandlingen ska få utföras eller inte. avstyrker förslagen och anser att de föreslagna bestämmelserna utgör en oproportionerlig begränsning av enskildas rättigheter. Skälen för regeringens förslag Regeringen redogör i avsnitt 6.4 för regleringen av rätten att motsätta sig behandling av personuppgifter i dataskyddsdirektivet och personuppgiftslagen. I samma avsnitt finns också en redovisning av rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. Datainspektionens fråga om uttrycket ”motsätter sig” och ”invänder mot” behandlas även den i det avsnittet. I promemorian föreslås att rätten att göra invändningar i lagarna ska begränsas och bedömningen görs att en sådan begränsning uppfyller dataskyddsförordningens krav. Begränsningen av rätten att göra invändningar föreslås ersätta de bestämmelser som finns som begränsar rätten att motsätta sig behandling av personuppgifter. Rätten att göra invändningar ska begränsas Regeringen kan konstatera att rätten att göra invändningar mot behandlingen av personuppgifter enligt artikel 21 i dataskyddsförordningen är begränsad i flera avseenden. För det första gäller den endast vid myndigheters behandling av personuppgifter, när de utför sina uppgifter, som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Det innebär att den registrerade inte har rätt att invända om myndighetens behandling är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). För det andra är rätten att invända begränsad om det rör sig om personuppgifter som behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. I sådana fall har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). Även om rätten att invända enligt dataskyddsförordningen är begränsad i flera avseenden bör den enligt regeringens uppfattning ändå inte gälla vid behandling av personuppgifter som är tillåten enligt registerlagarna. Det huvudsakliga skälet för det är att en rätt att göra invändningar skulle innebära försämrade förutsättningar för myndigheterna att fullgöra sina uppgifter eftersom myndigheterna i enskilda fall skulle behöva påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter innan myndigheterna kan fortsätta behandla personuppgifterna (artikel 21.1). I fråga om de aktuella myndigheterna får det antas att intresset att främja en väl fungerande arbetsmarknad vid en prövning i det enskilda fallet regelmässigt kommer att anses väga tyngre än den registrerades intressen. Det kan dessutom, när det gäller Arbetsförmedlingens verksamhet, vara svårt från den enskildes perspektiv att överblicka konsekvenserna av att denne invänder mot behandlingen. Det kan till exempel vara så att en arbetsmarknadspolitisk insats som den enskilde behöver inte kan ges eftersom Arbetsförmedlingen inte kan behandla nödvändiga personuppgifter efter att den enskilde har invänt. En rätt för den registrerade att invända mot behandlingen av personuppgifter om honom eller henne kan alltså påverka effektiviteten negativt i myndigheternas verksamhet som den kan få oförutsedda och oönskade effekter för den enskilde. Rätten att göra invändningar kan under vissa förutsättningar begränsas enligt artikel 23 i dataskyddsförordningen. Det finns därför anledning att pröva om en begränsning av rätten att göra invändningar når upp till de krav som ställs i dataskyddsförordningen på begränsningar. Inledningsvis kan det konstateras att en väl fungerande arbetsmarknad är ett viktigt mål för både EU och som rör viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet (artikel 21.1 e). En obegränsad rätt att göra invändningar skulle kunna ha negativa konsekvenser för en väl fungerande arbetsmarknad. En begränsning av rätten att göra invändningar får därför enligt regeringens uppfattning anses syfta till att säkerställa viktiga mål av generellt allmänt intresse. Begränsningen är vidare enligt regeringens mening nödvändig och proportionell för att enskilda ska få det stöd de behöver och för att myndigheterna effektivt ska kunna utföra sina uppgifter som de tilldelats av riksdag och regering. Vidare finns specifika bestämmelser i registerlagarna som enligt regeringens uppfattning uppfyller de krav som ställs i artikel 23.2 på begränsande lagstiftning. I registerlagarna finns bland annat specificering av vem som är personuppgiftsansvarig, preciserade ändamålsbestämmelser samt bestämmelser om tillgång till personuppgifter. Sammantaget anser regeringen att det i lagarna kan och bör finnas begränsningar av rätten att invända enligt artikel 21.1. Samtycke som rättslig grund Datainspektionen efterlyser klargörande om samtycke utgör en rättslig grund för behandlingen och i så fall hur de övriga reglerna i den aktuella författningen, med beaktande av artikel 6.2, förhåller sig till samtycket. Myndigheternas utrymme för att lägga enskildas samtycke till grund för behandling av personuppgifter är begränsat, i vart fall i sådana situationer där det är osannolikt att ett samtycke lämnas frivilligt (skäl 43). Av bland annat det skälet anser regeringen att det är olämpligt för myndigheterna på arbetsmarknadsområdet att använda samtycke som rättslig grund för behandling av personuppgifter. Begränsningen av rätten att göra invändningar är emellertid inte ett undantag från samtycke som rättslig grund enligt artikel 6.2. Det är en begränsning av rätten för den registrerade att genom invändningar få till en överprövning av om myndighetens skäl för behandlingen väger tyngre än motstående intressen såsom den registrerades intressen. Regeringen delar Datainspektionens uppfattning att samtycke kan vara en integritetshöjande åtgärd. Så är till exempel fallet i 2 § andra stycket lagen (2012:741) om behandling av personuppgifter vid utvärdering. Av motsvarande skäl som regeringen redogör för i avsnitt 6.4 bör bestämmelserna utformas som undantag från artikel 21.1 i dataskyddsförordningen. Bestämmelserna bör alltså, liksom föreslår, ange att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten . 2017/18:112 enligt lagarna eller föreskrifter som har meddelats i anslutning till dem. Bestämmelsen i registerlagen för utvärdering om att den registrerade inte kan motsätta sig behandling följs av en bestämmelse med krav på samtycke när personuppgifter har samlats in direkt från den enskilde. Bestämmelsen med krav på samtycke bör enligt regeringens mening placeras separat från bestämmelsen om undantaget från rätten att göra invändningar. I annat fall finns en risk att kravet på samtycke blandas ihop med rätten att göra invändningar. Genom att bestämmelsen placeras separat tydliggörs också att den ska ses som en integritetshöjande åtgärd och inte den rättsliga grunden för behandlingen av personuppgifter. Regeringens förslag: Registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering ska ange att myndigheterna får behandla personuppgifter för vissa ändamål om det är nödvändigt. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: anger att ändamålen följer av myndigheternas instruktioner och därmed redan är en rättslig förpliktelse eller en del av myndigheternas myndighetsutövning och att ändamålsbestämmelserna därför är onödiga. Skälen för regeringens förslag: anger att ändamålsbestämmelserna är onödiga eftersom det redan finns rättslig grund i andra författningar. Regeringen delar inte den uppfattningen. Ändamålsbestämmelserna fastställer ramarna för behandlingen av personuppgifter i myndigheternas verksamhet och bidrar även till att behandlingen av personuppgifter sker på ett korrekt, lagligt och öppet sätt (jfr artikel 5.1 a i dataskyddsförordningen). Att ta bort ändamåls- bestämmelserna skulle enligt regeringens mening leda till otydlighet och oförutsebarhet och inte vara till nytta för vare sig myndigheterna eller de Enligt artikel 6.1 b–f i dataskyddsförordningen är ett grundläggande krav att behandlingen ska vara nödvändig. även på andra ställen i dataskyddsförordningen, till exempel i artikel 9 om behandling av känsliga personuppgifter. bestämmelser anges ofta att personuppgifter får behandlas om det behövs, se till exempel 4 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. uppfattning bör terminologin i registerlagarna anpassas i detta avseende till dataskyddsförordningens terminologi eftersom det är olämpligt att använda begrepp i de svenska registerlagarna som kan ge det felaktiga intrycket att det ställs lägre krav på behandlingen i de svenska registerlagarna än i dataskyddsförordningen. lagarna bör alltså ange att myndigheterna får behandla personuppgifter för vissa ändamål om det är nödvändigt i stället för om det behövs. 2017/18:112 7.5 Regeringens förslag: Det ska i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering framgå att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: anser att en uttrycklig reglering av finalitetsprincipen är mycket positiv och tillstyrker förslagen. avstyrker förslagen med motiveringen att bestämmelserna riskerar att förhindra myndigheterna från att göra proportionalitetsbedömningen de borde göra enligt 6.4 i dataskyddsförordningen. Ingen av de övriga remissinstanserna har synpunkter på förslaget.