prop · H503105 · 2018-02-20 00:00:00 — Som en följd av den svenska arbetsmarknadsmodellen kan en uppgift av allmänt intresse även följa av kollektivavtal. intresse kan enligt svensk rätt även följa av beslut som har meddelats med stöd av lag eller annan författning. Till exempel kan en sådan uppgift tilldelas en statlig myndighet eller ett statligt bolag genom ett Formuleringen omfattar även uppgifter som med stöd av kommunallagen lämnas till kommunala myndigheter och kommunala 2017/18:105 bolag genom beslut i fullmäktige. Även privaträttsligt bedriven verksam- het av allmänt intresse omfattas av formuleringen, förutsatt att uppgiften följer av lag eller annan författning eller följer av kollektivavtal eller av beslut som meddelats med stöd av lag eller annan författning. Med lag jämställs EU-förordningar. I punkt 2 tydliggörs att myndighetsutövning utgör en rättslig grund för behandling av personuppgifter bara om myndighetsutövningen sker enligt lag eller annan författning. Begreppet myndighetsutövning ska tolkas och tillämpas på samma sätt som enligt dataskyddsförordningen. Det som i brukar anses som myndighetsutövning torde omfattas av begreppet. Om en författning ställer upp krav för att myndighets- utövning ska få ske, t.ex. att ett privat subjekt ska vara certifierat, måste det vara uppfyllt för att myndighetsutövningen ska anses ske enligt författningen och utgöra en grund för behandling av personuppgifter. 3 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. Den myndighet som regeringen bestämmer får i enskilda fall besluta att sådana personuppgiftsansvariga får behandla personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor. Paragrafen innehåller bl.a. ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om behandling av personuppgifter för arkivändamål av allmänt intresse utanför arkivlagstiftningens tillämpningsområde. Paragrafen saknar mot- svarighet i personuppgiftslagen. Övervägandena finns i avsnitt 14.1.2. Paragrafen har sin grund i artikel 6.3 första stycket i dataskydds- förordningen, som innebär att en uppgift av allmänt intresse utgör rättslig grund för behandling av personuppgifter endast om uppgiften är fast- ställd i enlighet med unionsrätten eller den nationella rätten. Enligt första stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla personuppgifter för arkivändamål av allmänt intresse. Med föreskrifter om arkiv avses sådana föreskrifter som säkerställer att arkiv som utgör en del av det svenska kulturarvet bevaras, hålls ordnade och vårdas. Sådana föreskrifter finns i arkivlagen och arkivförordningen samt i och andra arkivmyndigheters föreskrifter. Även i t.ex. lagen om finns sådana föreskrifter. Befogenhet att behandla personuppgifter kan enligt andra stycket även fastställas i förvaltningsbeslut. En förutsättning för att föreskrifter ska få meddelas eller beslut fattas är att den personuppgiftsansvariges arkivverksamhet är av allmänt intresse i dataskyddsförordningens mening. Föreskrifter eller beslut som meddelas enligt dessa bestämmelser innebär att den personuppgiftsansvarige erkänns ha befogenhet att bedriva sådan arkivverksamhet. Föreskrifterna eller beslutet utgör därmed, på motsvarande sätt som föreskrifter om arkiv, en fastställd rättslig grund för behandling av personuppgifter för arkivändamål av allmänt intresse. Beslut i enskilda fall får förenas med Prop. 2017/18:105 villkor såsom återkallelseförbehåll, tidsbegränsningar eller krav på återrapportering eller tekniska och organisatoriska åtgärder, om det behövs för att säkerställa att kraven i dataskyddsförordningen uppfylls. 4 § Vid erbjudande av informationssamhällets tjänster direkt till ett barn som bor i ska behandling av personuppgifter vara tillåten med stöd av barnets samtycke, om barnet är . Om barnet är , ska sådan behandling vara tillåten endast om samtycke ges eller godkänns av den som har föräldraansvar för barnet. Paragrafen, som har placerats enligt Lagrådets förslag, reglerar vid vilken ålder barn som erbjuds informationssamhällets tjänster själva kan samtycka till behandling av personuppgifter. Paragrafen har ingen motsvarighet i personuppgiftslagen. Övervägandena finns i avsnitt 9. Bestämmelsen har sin grund i artikel 8.1 i dataskyddsförordningen, som anger att sådan behandling av personuppgifter som avses i para- grafen får ske med stöd av barnets eget samtycke, om barnet har fyllt . Medlemsstaterna får föreskriva en lägre åldersgräns, dock lägst . Genom bestämmelsen bestäms åldersgränsen i till . Bestämmelsen gäller för barn som bor i , oavsett var de person- uppgiftsansvariga eller personuppgiftsbiträdena är etablerade (se kommentaren till 1 kap. 5 § tredje stycket). Bestämmelsen är inte tillämplig avseende barn som endast är på genomresa eller besök i landet. Det krävs däremot inte att barnet är folkbokfört i landet, att det redan har vistats i eller att det har beviljats uppehållstillstånd här för att det ska anses bo i . Även asyl- sökande barn i omfattas således av bestämmelsen. Med informationssamhällets tjänster avses enligt artikel 4.25 i data- skyddsförordningen alla tjänster enligt definitionen i artikel 1.1 b i direktiv /1535. I det direktivet definieras begreppet som tjänster som vanligtvis utförs mot ersättning på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare. Det rör sig således om t.ex. sociala medier, söktjänster och s.k. appar på smarta enheter. Bestäm- melsen är tillämplig när sådana tjänster erbjuds direkt till barn. Uttrycket direkt till barn ska tolkas och tillämpas på samma sätt som enligt data- skyddsförordningen. Det torde omfatta både tjänster som direkt mark- nadsförs mot barn och sådana tjänster vars utformning eller innehåll och funktion är av det slaget att de typiskt sett kan antas användas även av barn. Om barnet är , får behandling av personuppgifter ske antingen om samtycket ges av den som har föräldraansvar för barnet eller om barnets samtycke godkänns av den personen. Begreppet den som har föräldraansvar för barnet har samma innebörd som i dataskyddsförord- ningen. I första hand bör avses ett barns vårdnadshavare eller annan med uppdrag att vara i vårdnadshavarens ställe, t.ex. god man för ensam- kommande barn. Eftersom begreppet är EU-rättsligt är det ytterst EU- domstolen som avgör begreppets innebörd. Det kan tänkas att begreppet 2017/18:105 har en vidare innebörd och även omfattar andra än vårdnadshavare, exempelvis föräldrar med umgängesrätt (jfr artikel 2.7 i II- förordningen). 3 kap. Behandling av vissa kategorier av personuppgifter 1 § Med känsliga personuppgifter avses i denna lag sådana uppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning. Paragrafen definierar begreppet känsliga personuppgifter. har placerats enligt Lagrådets förslag. Kapitlets rubrik har utformats enligt Lagrådets förslag. I paragrafen anges att med känsliga personuppgifter avses i lagen sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9.1 i dataskyddsförordningen. av personuppgifter som anges i den artikeln är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Arbetsrätt, social trygghet och socialt skydd 2 § Känsliga personuppgifter får behandlas med stöd av artikel 9.2 b i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgifts- ansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och inom områdena social trygghet och socialt skydd. Personuppgifter som behandlas med stöd av första stycket får lämnas ut till tredje part endast om det inom arbetsrätten eller inom områdena social trygghet och socialt skydd finns en skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet. I paragrafen regleras när känsliga personuppgifter får behandlas inom bl.a. arbetsrättens område. Paragrafen motsvarar 16 § första stycket a och andra stycket PUL. Övervägandena finns i avsnitt 10.3. Bestämmelsen har sin grund i artikel 9.2 b i dataskyddsförordningen. Enligt första stycket får känsliga personuppgifter behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige eller den registrerade ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom arbetsrätten och inom områdena social trygghet och Vad som avses med känsliga personuppgifter anges i 1 §, se kommentaren till den bestämmelsen. Att behandlingen ska vara nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig, jfr kommentaren till 2 kap. 1 §. Begreppen arbetsrätten och områdena social trygghet och socialt skydd är unionsrättsliga begrepp som ska tolkas EU-konformt. I stort sett alla skyldigheter och rättigheter för arbetsgivare beträffande de anställda och deras organisationer bör kunna omfattas behandling i samband med sjuklön och rehabilitering av Även skyldigheter och rättigheter för fackliga organisationer i förhållande till arbetsgivare och deras organisationer bör innefattas. I andra stycket begränsas möjligheterna att lämna ut personuppgifter som behandlas med stöd av första stycket. Sådana uppgifter får lämnas ut till tredje part endast om det inom arbetsrätten eller inom områdena social trygghet och socialt skydd finns en skyldighet för den person- uppgiftsansvarige att göra det eller om den registrerade uttryckligen har samtyckt till utlämnandet. Med skyldighet att lämna ut uppgifter avses sådan skyldighet som följer av författning, myndighetsbeslut eller avtal inom de aktuella områdena. Termen tredje part definieras i artikel 4.10 i dataskyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller ett organ som inte är den registrerade, den personuppgiftsansvarige, personuppgiftsbiträdet eller de personer som under den personuppgifts- ansvariges eller personuppgiftsbiträdets direkta ansvar är behöriga att behandla personuppgifterna. Detta innebär exempelvis att en arbets- givares utlämnande av personuppgifter till en facklig organisation omfattas av kravet på skyldighet eller samtycke. Bestämmelsen i andra stycket innebär ingen begränsning av allmänhetens rätt till tillgång till handlingar enligt tryckfrihetsförord- ningen, se 1 kap. 7 §. 3 § Känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning 1.om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt 2.om behandlingen är nödvändig för handläggningen av ett ärende, eller 3.i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades person- Vid behandling som sker enbart med stöd av första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Vid tillämpningen av första stycket 1 ska andra än myndigheter jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen (2009:400) gäller i deras verksamhet. Paragrafen, som har utformats i enlighet med Lagrådets förslag, anger att myndigheter och andra som omfattas av offentlighetsprincipen får behandla känsliga personuppgifter i vissa fall. Bestämmelsen i andra punkten motsvarar delvis 8 § PUF. Övervägandena finns i avsnitt 10.4. Bestämmelserna har sin grund i artikel i dataskyddsförordningen. Av första stycket framgår att känsliga personuppgifter får behandlas av en myndighet under vissa förutsättningar. Vad som avses med känsliga personuppgifter anges i 1 §, se kommentaren till den bestämmelsen. Med myndighet avses samtliga statliga och kommunala organ, utom och de beslutande kommunala församlingarna. Organ som är organi- serade i privaträttsliga former, t.ex. kommunala och statliga bolag, är inte myndigheter, även om de utövar offentlig makt. Punkt 1 anger att känsliga personuppgifter får behandlas av en myndig- het om uppgifterna har lämnats till myndigheten och behandlingen krävs Bestämmelsen klargör att det är tillåtet för myndigheter att utföra sådan behandling av känsliga personuppgifter som krävs i myndig- heternas verksamhet som en direkt följd av framför allt offentlighets- och sekretesslagens och förvaltningslagens bestämmelser om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post. Behandling av känsliga personuppgifter med stöd av denna punkt får bara ske om uppgifterna har lämnats till Uppgifterna ska alltså antingen finnas i handlingar som definieras som inkomna enligt 2 kap. 6 § TF eller lämnas till myndig- heten på annat sätt, t.ex. muntligen. Vidare ska själva behandlingen av uppgifterna utgöra ett krav enligt lag. Av punkt 2 framgår att känsliga personuppgifter får behandlas av en myndighet, om behandlingen är nödvändig för handläggningen av ett Begreppen handläggning och ärende ska tolkas på samma sätt som enligt 1 § förvaltningslagen (2017:900). innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Kännetecknande för ett ärende är att det regelmässigt avslutas genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet. ärende avslutas således genom ett beslut av något slag. av om en myndighets uttalande är att anse som ett beslut i denna mening är det uttalandets syfte och innehåll som är avgörande, inte dess yttre Av paragrafen framgår vidare att behandlingen måste vara nödvändig för handläggningen av ärendet. Detta innebär bl.a. att bara sådana uppgifter som behövs i ärendet får behandlas. nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig, jfr kommentaren till 2 kap. 1 §. Punkt 3 anger att känsliga personuppgifter får behandlas av en myndighet i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Bestämmelsen möjliggör under vissa omständigheter behandling av känsliga personuppgifter hos myndigheter då behandlingen varken sker med koppling till ett visst ärende eller krävs enligt annan lag. Bestämmelsen är således tillämplig i s.k. faktisk verksamhet hos myndigheter, dvs. i sådan förvaltningsverksamhet som inte utgör ärendehandläggning. Bestämmelsen är inte avsedd att tillämpas slentrianmässigt i den löpande verksamheten. Det krävs att den personuppgiftsansvarige, i det enskilda fallet, gör en bedömning av om behandlingen innebär ett otillbörligt intrång i den registrerades Om behandlingen skulle innebära ett sådant intrång, får den inte ske enligt denna bestämmelse. För att avgöra om intrånget är otillbörligt måste myndigheten göra en proportionalitetsbedömning där behovet av att utföra behandlingen viktas mot de registrerades intresse av att behandlingen inte sker. Bedömningen av de registrerades intresse av att behandlingen inte sker bör utgå från det intresse av integritetsskydd som de registrerade typiskt sett har. således inte göra en bedömning i förhållande till varje berörd individ. Vid bedömningen av intrånget i den enskildes personliga integritet ska vikt läggas vid bl.a. uppgifternas känslighet, behandlingens karaktär, den inställning de registrerade kan antas ha till behandlingen, den spridning uppgifterna kan komma att få och risken för vidarebehandling för andra ändamål än insamlingsändamålet. Detta innebär t.ex. att bestämmelsen inte kan läggas till grund för att skapa integritetskänsliga samman- ställningar av känsliga personuppgifter. Enligt andra stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter, då känsliga personuppgifter behandlas enbart med stöd av första stycket. Detta innebär att sökbegränsningen inte gäller vid behandling som sker med stöd av någon av de övriga bestämmelserna i detta kapitel eller i enlighet med bestämmelser i en registerförfattning. Sökbegränsningen är inte heller tillämplig om behandlingen av känsliga personuppgifter sker med direkt tillämpning av något av undantagen i artikel 9.2 i dataskydds- förordningen. Sökbegränsningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Därmed förbjuds sökningar som görs för att få fram ett urval av personer som t.ex. har en viss politisk åsikt, religiös åskådning eller sexuell läggning. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård. I tredje stycket anges att vid tillämpningen av första stycket första punkten ska andra än myndigheter jämställas med myndigheter, i den utsträckning bestämmelserna om allmänna handlingar och sekretess i tryckfrihetsförordningen och offentlighets- och sekretesslagen gäller i deras verksamhet. Bestämmelsen innebär att alla personuppgiftsansva- riga vars verksamhet omfattas av offentlighetsprincipen får behandla känsliga personuppgifter, om uppgifterna har lämnats till dem och behandlingen krävs enligt lag. Sökbegränsningen i andra stycket gäller även vid sådan behandling. 4 § Regeringen får meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse. Paragrafen innehåller ett bemyndigande för regeringen att meddela ytter- ligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med hänsyn till ett viktigt allmänt intresse. Paragrafen motsvarar delvis 20 § PUL. Övervägandena finns i avsnitt 10.4. Hälso- och sjukvård och social omsorg 5 § Känsliga personuppgifter får behandlas med stöd av artikel 9.2 h i EU:s dataskyddsförordning, om behandlingen är nödvändig för 1.förebyggande hälso- och sjukvård och yrkesmedicin, 2.bedömningen av en arbetstagares arbetskapacitet, 4.tillhandahållande av hälso- och sjukvård eller behandling, 5.social omsorg, eller 6.förvaltning av hälso- och sjukvårdstjänster, social omsorg samt deras system. Behandling enligt första stycket får ske under förutsättning att kravet på tystnadsplikt i artikel 9.3 i EU:s dataskyddsförordning är uppfyllt. I paragrafen anges förutsättningarna för att känsliga personuppgifter ska få behandlas på hälso- och sjukvårdsområdet samt inom social omsorg. Paragrafen motsvarar delvis 18 § PUL. Övervägandena finns i avsnitt 10.5. Bestämmelsen har sin grund i artikel 9.2 h i dataskyddsförordningen. Paragrafen är av upplysningskaraktär. I första stycket anges de ändamål för vilka behandling av känsliga personuppgifter får ske. Vad som avses med känsliga personuppgifter anges i 1 §, se kommentaren till den bestämmelsen. Att behandlingen ska vara nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig, jfr kommentaren till 2 kap. 1 §. De tillåtna ändamålen motsvarar de som anges i artikel 9.2 h i dataskyddsförordningen och har en EU-rättslig innebörd. Någon saklig skillnad i förhållande till förordningen är inte avsedd. Andra stycket erinrar om kravet på tystnadsplikt i artikel 9.3 i dataskyddsförordningen som innebär att behandling av personuppgifter för de ändamål som avses i första stycket enbart får ske av eller under ansvar av en person som omfattas av tystnadsplikt enligt unionsrätten eller nationell rätt. 6 § Känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Den myndighet som regeringen bestämmer får i enskilda fall besluta att sådana personuppgiftsansvariga får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Ett beslut får förenas med villkor. Paragrafen reglerar när behandling av känsliga personuppgifter får ske för arkivändamål av allmänt intresse. Paragrafen motsvarar delvis 8 § andra stycket första meningen PUL. Övervägandena finns i avsnitt 14.1.3. Bestämmelsen har sin grund i artikel 9.2 j i dataskyddsförordningen. I första stycket tydliggörs att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Detta gäller oavsett om personuppgifterna samlas in för arkivändamål av allmänt intresse eller om uppgifter som samlats in för andra ändamål vidarebehandlas för arkivändamål av allmänt intresse. Vad som avses med känsliga personuppgifter anges i 1 §, se kommentaren till den bestämmelsen. Att behandlingen ska vara nödvändig innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig, jfr kommentaren till 2 kap. 1 §. Med föreskrifter om arkiv avses föreskrifter som säkerställer att sådana arkiv som utgör en del av det svenska kulturarvet bevaras, hålls ordnade och vårdas. Sådana föreskrifter finns i arkivlagen och arkivförordningen samt i och andra arkivmyndigheters Föreskrifter om arkiv finns även t.ex. i lagen om . Bestämmelsen förtydligar att dataskyddsförordningen och lagen inte hindrar att myndigheter eller andra som omfattas av offentlighetsprincipen arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I andra stycket bemyndigas regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter som tillåter att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Enligt tredje stycket får den myndighet som regeringen bestämmer genom beslut i enskilda fall tillåta sådan behandling. Föreskrifter eller beslut enligt andra och tredje styckena kan aktua- liseras om en enskild arkivinstitution samlar in känsliga personuppgifter för arkivändamål av allmänt intresse. De kan också aktualiseras i fall där t.ex. ett företag eller en förening har samlat in känsliga uppgifter för andra ändamål, men vidarebehandlar uppgifterna för arkivändamål av allmänt intresse. Beslut i enskilda fall som tillåter behandling av känsliga personuppgifter för arkivändamål av allmänt intresse får förenas med villkor, om det behövs för att uppfylla kraven enligt artikel 9.2 j på lämp- liga och särskilda åtgärder för att säkerställa den registrerades grund- läggande rättigheter och intressen. Sådana villkor kan t.ex. avse begräns- ningar av åtkomsten till de känsliga uppgifterna, krav på särskilda tekniska säkerhetsåtgärder eller någon annan åtgärd som bedöms lämplig och proportionerlig i det aktuella fallet. 7 § Känsliga personuppgifter får behandlas med stöd av artikel 9.2 j i EU:s dataskyddsförordning, om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära.