prop · H503112 · 2018-03-01 00:00:00 — Bestämmelsen, som omfattar fler uppgifter än de som framgår av artikel 10 i dataskyddsförordningen, innebär att skyddet för alla de kategorier som tidigare omfattades genom en hänvisning till 21 § personuppgiftslagen behålls. Bestämmelsen är tillåten i enlighet med artikel 6.2 och 6.3 i dataskyddsförordningen. Paragrafen reglerade tidigare även behandling av känsliga personuppgifter som lämnats i ett ärende eller var nödvändiga för handläggningen av det. Inspektionen för arbetslöshetsförsäkringen kommer även fortsättningsvis att kunna behandla känsliga personuppgifter i ärendehanteringen med stöd av 3 kap. 2 § dataskyddslagen. 9 § I statistik- och tillsynsdatabasen får inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) behandlas än sådana som avslöjar etniskt ursprung eller rör hälsa. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa, personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en enskild, får behandlas i statistik- och tillsynsdatabasen endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Förslaget behandlas i avsnitt 7.6.1. I paragrafen regleras vilka känsliga personuppgifter som får behandlas i en statistik- och tillsynsdatabas. Första stycket ändras på så sätt att hänvisningen till 13 § personuppgiftslagen tas bort och ersätts med en hänvisning till artikel 9.1 i dataskyddsförordningen. Förbudet i artikel 9.1 i dataskyddsförordningen omfattar fler kategorier av uppgifter än motsvarande förbud i dataskyddsdirektivet och personuppgiftslagen. Dessa nya kategorier är genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om sexuell läggning. 10 § Personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får inte behandlas i statistik- och tillsynsdatabasen. Detsamma gäller uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för en åtgärd enligt utlänningslagen (2005:716). Förslaget behandlas i avsnitt 7.7. Paragrafen innehåller begränsningar av de typer av personuppgifter som får behandlas i Inspektionen för arbetslöshetsförsäkringens statistik- och tillsynsdatabas. Första stycket ändras på så sätt att hänvisningen till 21 § personuppgiftslagen tas bort. I stället anges vilka typer av uppgifter om lagöverträdelser som inte får behandlas i statistik- och tillsynsdatabasen. Bestämmelsen i första stycket innebär att skyddet för alla de kategorier som omfattades av den tidigare hänvisningen till 21 § personuppgiftslagen behålls. I paragrafen införs ett andra stycke. Motsvarande reglering återfanns tidigare i första stycket andra ledet. 13 § Det är förbjudet att använda sökbegrepp som avslöjar känsliga personuppgifter och sådana personuppgifter som avses i 9 § andra stycket eller 10 §. Med undantag från förbudet i första stycket får dock kod för hälsotillstånd eller för sådan funktionsnedsättning som medför nedsatt arbetsförmåga, kod för arbetsmarknadspolitiskt program eller insats samt kod för sökandekategori eller anvisningsgrund användas som sökbegrepp för tillsyn, uppföljning, utvärdering och framställning av avidentifierad statistik. Regeringen får meddela föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Förslaget behandlas i avsnitt 7.2.1. I paragrafen regleras vilka typer av uppgifter som Inspektionen för arbetslöshetsförsäkringen inte får använda som sökbegrepp. Paragrafens första stycke ändras på så sätt att hänvisningar till personuppgiftslagen tas bort. Den redaktionella utformningen av första stycket ändras också så att den stämmer bättre överens med motsvarande bestämmelser i andra lagar, till exempel 14 § domstolsdatalagen (2015:728). Ändringen innebär ingen skillnad i sak. 14 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Förslaget behandlas i avsnitt 7.11. Paragrafen har fått ett nytt innehåll. Den tidigare hänvisningen till personuppgiftslagens bestämmelser om rättelse och skadestånd tas bort. Bestämmelser om detta kommer att finnas i dataskyddsförordningen och kompletteras av bestämmelser i dataskyddslagen. Av paragrafens nya innehåll följer att Inspektionen för arbetslöshetsförsäkringen är skyldig att begränsa behörigheten att behandla personuppgifter. Genom begränsningen förstärks skyddet för den personliga integriteten genom att uppgifterna sprids till en så liten krets som möjligt. Bestämmelsen är en skydds- och säkerhetsbestämmelse som det är tillåtet att införa enligt artikel 6.2 och 6.3 i dataskyddsförordningen. 15 § Personuppgifter som behandlas för ändamål som anges i 4 § första stycket 1, 2, 3 och 5 ska gallras efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos Inspektionen för arbetslöshetsförsäkringen. Om personuppgifter enligt första stycket är nödvändiga för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska de gallras efter det att uppgifterna avskildes för dessa ändamål. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från föreskrifterna i första och andra styckena, om detta är nödvändigt för vetenskapliga eller historiska forskningsändamål. Material med personuppgifter, som omfattas av en sådan föreskrift, ska lämnas över till en arkivmyndighet. Förslaget behandlas i avsnitt 7.13.2. Paragrafen behandlar gallring av personuppgifter. I paragrafens första och andra stycken anges de särskilda bestämmelser som tar över arkivlagens (1990:782) bestämmelser om bevarande och gallring. Andra stycket anpassas till terminologin i artikel 5.1 e i dataskyddsförordningen. I stället för att hänvisa till statistiska respektive vetenskapliga ändamål hänvisas nu till vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Därutöver ändras bestämmelsen i andra stycket på så sätt att ”behövs” ersätts av ”är nödvändigt”. Ändringarna är språkliga justeringar och är inte avsedda att innebära någon förändring i sak. Även i tredje stycket görs en terminologisk anpassning till dataskyddsförordningen genom att ”forskningens behov” ersätts av ”vetenskapliga eller historiska forskningsändamål” och ”behövs” ersätts av ”är nödvändigt”. Inte heller dessa ändringar är avsedda att innebära någon skillnad i sak. Förslaget till lag om ändring i lagen (2012:741) Prop. om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering 1 § Denna lag gäller vid behandling av personuppgifter i sådan verksamhet hos utvärdering som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen gäller inte behandling av personuppgifter vid tilldelning av forskningsbidrag. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förslaget behandlas i avsnitt 7.1. Paragrafen anger lagens tillämpningsområde. Paragrafen ändras på så sätt att det tredje stycket anpassas till dataskyddsförordningen. Bestämmelsen i stycket är utformad i nära anslutning till artikel 2.1 i dataskyddsförordningen och bör tolkas på samma sätt. Anpassningen av tredje stycket är inte avsedd att medföra någon skillnad i sak. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Förslaget behandlas i avsnitt 7.2. Paragrafens innehåll är nytt och reglerar lagens förhållande till dataskyddsförordningen och dataskyddslagen. Lagens förhållande till personuppgiftslagen (1998:204) fanns tidigare i 3 §. Bestämmelser som motsvarar paragrafens tidigare innehåll finns nu i 3 §. Av paragrafens första stycke framgår att lagen utgör ett komplement till dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Lagens hänvisningar till dataskyddsförordningen är dynamiska, det vill säga avser förordningen i dess gällande lydelse. Paragrafens andra stycke upplyser om hur lagen förhåller sig till lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen. utgör en upplysning om att det i dataskyddslagen finns generella nationella 2017/18:112 bestämmelser om behandling av personuppgifter som kompletterar och preciserar dataskyddsförordningen och som därmed även gäller inom verksamhet vid utvärdering. Andra ledet anger att dataskyddslagen är subsidiär i förhållande till denna lag. Det innebär att dataskyddslagens bestämmelser endast gäller i den mån inte annat föreskrivs i denna lag eller föreskrifter meddelade i anslutning till lagen. Rätten att göra invändningar 3 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Första stycket gäller dock inte när personuppgifterna samlas in direkt från den enskilde. Förslaget behandlas i avsnitt 7.3. Paragrafen behandlar rätten att göra invändningar enligt dataskyddsförordningen. Paragrafens första stycke är utformat som ett undantag från artikel 21.1 i dataskyddsförordningen. Motsvarande bestämmelse fanns tidigare i 2 § första stycket. Undantaget utgör en sådan begränsning i den nationella rätten som tillåts enligt artikel 23 i dataskyddsförordningen. Paragrafens andra stycke, som delvis motsvarar den bestämmelse som tidigare fanns i 2 § andra stycket, ändras på så sätt att kravet på samtycke och hänvisningen till 12 § personuppgiftslagen om återkallelse av samtycke tas bort. I stället placeras bestämmelser som motsvarar de här borttagna bestämmelserna i en ny paragraf, 3 a §. Andra stycket innebär att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller när personuppgifterna samlas in direkt från den enskilde. Samtycke när uppgifter har samlats in direkt från den enskilde 3 a § Om personuppgifterna har samlats in direkt från den enskilde, får uppgifterna behandlas endast om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. Den registrerade har rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. Förslaget behandlas i avsnitt 7.3. Paragrafen innehåller bestämmelser om samtycke och återkallelse av samtycke i vissa fall. Paragrafens innehåll motsvarar innehållet i tidigare 2 § andra stycket andra och tredje meningen. I första stycket anges att ett uttryckligt samtycke krävs i vissa fall. Kravet på samtycke är en integritetshöjande åtgärd i förhållande till dataskyddsförordningen. Samtycke ska alltså inte ses som den rättsliga grunden för myndighetens behandling av personuppgifter enligt artikel 6.1 a i dataskyddsförordningen. Detta innebär att det utöver samtycket från den enskilde krävs en rättslig grund, till exempel genom att behandlingen är nödvändig för att myndigheten ska kunna fullgöra en rättslig förpliktelse Prop. 2017/18:112 (artikel 6.1 c). Andra stycket motsvarar det som tidigare gällde enligt 12 § personuppgiftslagen om återkallelse av ett lämnat samtycke. En återkallelse kan göras skriftligt eller muntligt till utvärdering. Sedan återkallelsen har gjorts och kommit till myndighetens kännedom får ytterligare personuppgifter om den enskilde inte behandlas. Behandlingen av redan insamlade uppgifter får dock fortsätta. 5 § Personuppgifter får endast behandlas om det är nödvändigt för att fullgöra institutets uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Förslaget behandlas i avsnitt 7.4. I paragrafen anges de så kallade primära ändamålen. Paragrafen ändras på så sätt att ”behövs” ersätts med ”är nödvändigt”. Ändringen är en språklig justering i syfte att anpassa terminologin i bestämmelsen till terminologin i dataskyddsförordningen. Ändringen är inte avsedd att innebära någon förändring i sak 6 § Personuppgifter som behandlas för de ändamål som anges i 5 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Förslaget behandlas i avsnitt 7.4. I paragrafen anges de så kallade sekundära ändamålen, det vill säga att utvärdering får behandla personuppgifter även för vissa ändamål som ligger utanför myndighetens eget verksamhetsområde. Den sista meningen som hänvisar till personuppgiftslagen tas bort. En motsvarande reglering införs i stället i en ny paragraf, 6 a §. 6 a § Personuppgifter som behandlas enligt 5 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Förslaget behandlas i avsnitt 7.5. Paragrafen, som är ny, tydliggör att den så kallade finalitetsprincipen gäller vid behandling av personuppgifter enligt lagen. Motsvarande reglering fanns tidigare i 5 § sista meningen i form av en hänvisning till personuppgiftslagen. Bestämmelsen i paragrafen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. Detta innebär bland annat att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med de ursprungliga ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandlingen är förenlig med finalitetsprincipen. 2017/18:112 7 § Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning får behandlas för de ändamål som anges i 5 §. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. Förslaget behandlas i avsnitt 7.6.2. I paragrafen regleras i vilken utsträckning utvärdering får behandla känsliga personuppgifter och att det finns krav på etikprövning av forskning i vissa fall vid behandling av känsliga personuppgifter och personuppgifter om lagöverträdelser. Paragrafens första stycke ändras på så vis att hänvisningen till personuppgiftslagen ersätts med en hänvisning till bestämmelsen om känsliga personuppgifter i artikel 9.1 i dataskyddsförordningen. Första stycket ändras vidare genom att känsliga personuppgifter som avser en fysisk persons sexuella läggning läggs till som en ny kategori känsliga personuppgifter som utvärdering får behandla för de ändamål som avses i 5 §. Vilka kategorier av personuppgifter som utgör känsliga personuppgifter framgår av artikel 9.1 i dataskyddsförordningen. Dataskyddsförordningens katalog av känsliga personuppgifter är vidgad jämfört med vad som gäller enligt dataskyddsdirektivet och personuppgiftslagen. De nytillkomna kategorierna är genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en persons sexuella läggning. Sådana uppgifter kommer således att räknas till sådana känsliga personuppgifter som det råder förbud mot att behandla enligt huvudregeln i artikel 9.1 i dataskyddsförordningen. Ändringen innebär att utvärdering får behandla uppgifter som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning, för de ändamål som anges i 5 §. I andra stycket tas hänvisningarna till personuppgiftslagen bort. anges de kategorier av personuppgifter som tidigare omfattades av hänvisningen till 21 § personuppgiftslagen. Detta är en anpassning till de ändringar som görs med anledning av dataskyddsförordningen i lagen (2003:460) om etikprövning av forskning som avser människor. 8 § Om det är nödvändigt för de ändamål som anges i 5 §, får det hos institutet finnas samlingar av personuppgifter som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna får dock vara försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Förslaget behandlas i avsnitt 7.9. Paragrafen reglerar utvärderings möjligheter att inneha samlingar av personuppgifter i databaser eller motsvarande som inte nödvändigtvis är knutna till en viss Prop. 2017/18:112 avgränsad studie, uppföljning eller utvärdering. Paragrafen ändras på så sätt att ”behövs” ersätts av ”är nödvändigt”. Ändringen är en språklig justering i syfte att anpassa bestämmelsen till terminologin i dataskyddsförordningen. Ändringen är inte avsedd att innebära någon förändring i sak. 9 § Om det är nödvändigt för de ändamål som anges i 5 §, får det hos institutet finnas samlingar av personuppgifter som behandlas automatiserat och som inte är sådana personuppgifter som avses i 8 §, om uppgifterna är nödvändiga för en viss avgränsad studie, uppföljning eller utvärdering. Förslaget behandlas i avsnitt 7.9. Paragrafen reglerar utvärderings möjligheter att inneha samlingar av personuppgifter som inte är avidentifierade på det sätt som avses i 8 §. Paragrafen ändras på så sätt att ”behövs” ersätts av ”är nödvändigt”. Ändringen är en språklig justering i syfte att anpassa bestämmelsen till terminologin i dataskyddsförordningen och är inte avsedd att innebära någon förändring i sak. 14 § Personuppgifter ska gallras så snart uppgifterna är nödvändiga för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Förslaget behandlas i avsnitt 7.13.2. Paragrafen innehåller bestämmelser om gallring av personuppgifter. Paragrafen ändras på så sätt att ”historiska, statistiska eller vetenskapliga ändamål” ersätts av ” vetenskapliga eller historiska forskningsändamål eller statistiska ändamål”. Ändringen är en terminologisk anpassning till dataskyddsförordningen. Ordet behövs ersätts vidare av ”är nödvändigt”. Även den ändringen är en språklig justering i syfte att anpassa bestämmelsen till terminologin i dataskyddsförordningen. Ändringarna är inte avsedda att innebära någon förändring i sak. Sammanfattning av promemorian Anpassningar till dataskyddsförordningen av registerförfattningar inom ansvarsområde (Ds 2017:33) I promemorian övervägs och föreslås författningsändringar inom ansvarsområde med anledning av dataskyddsförordningen. De tre registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering som finns bedöms, efter vissa justeringar, kunna behållas. Det föreslås dock att registerförordning ska ersättas av en lag, med samma tillämpningsområde som den nu gällande registerförordningen. De myndigheter inom ansvarsområde som saknar egna registerförfattningar bedöms kunna fortsätta sin behandling av personuppgifter när dataskyddsförordningen börjar tillämpas, men då med stöd av dataskyddsförordningen och den generella, nationellt tillämpliga kompletteringslag som föreslås i betänkande (SOU 2017:39). Vidare finns det vissa enskilda dataskyddsbestämmelser i författningar inom departementets ansvarsområde. Även dessa bedöms kunna kvarstå. Författningsändringarna föreslås träda i kraft , vilket är som dataskyddsförordningen ska börja tillämpas. Förslag till lag om behandling av personuppgifter i informationssystem om arbetsskador Härigenom föreskrivs följande. 1 § Denna lag tillämpas vid behandling av personuppgifter i informationssystem om arbetsskador. Lagen tillämpas endast på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. 2 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade invänder mot behandlingen. Förhållandet till annan författning 3 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 4 § Lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning gäller vid behandling av personuppgifter inom informationssystem om arbetsskador, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till denna lag. 5 § I lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken finns bestämmelser om behandling av personuppgifter. 6 § är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför enligt denna lag. 7 § får behandla personuppgifter i informationssystemet om arbetsskador om det är nödvändigt för att ge underlag för arbetet med att förebygga arbetsskador. Detta innefattar registrering av arbetsskador och bearbetning av sådana uppgifter, tillsynsverksamhet, skadeutredningar, forskning och undervisning, framställning av statistik samt planering, uppföljning och utvärdering av förebyggande arbete mot arbetsskador. 2017/18:112 Bilaga 2 Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 8 § Personuppgifter som behandlas för de ändamål som anges i 7 § får också behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. 9 § Personuppgifter som behandlas i informationssystemet om arbetsskador för ändamål som anges i 7 och 8 §§ får behandlas även för andra ändamål, under förutsättning att dessa inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Behandling av känsliga personuppgifter 10 § Inga andra särskilda kategorier av personuppgifter som anges i artikel 9.1 och rådets förordning (EU) 2016/679 (känsliga personuppgifter) än sådana som rör hälsa får behandlas för de ändamål som anges i 7−9 §§. 11 § Tillgång till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 12 § Bestämmelser om överklagande finns i 8 kap. lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning. Denna lag träder i kraft . Förslag till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Härigenom föreskrivs i fråga om lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten dels att 15 § ska upphävas, dels att rubriken närmast före 15 § ska utgå,