prop · H503112 · 2018-03-01 00:00:00 — Regeringens proposition 2017/18:112 Anpassningar av registerförfattningar på Regeringen överlämnar denna proposition till . Propositionen innehåller förslag till anpassningar av registerförfattningar på arbetsmarknadsområdet till EU:s dataskyddsförordning. Förordningen ska börja tillämpas . En ny lag om behandling av personuppgifter i informationssystem om arbetsskador föreslås. Den nya lagen bidrar till öppenhet och förutsebarhet i verksamheten. Det föreslås också anpassningar till EU:s dataskyddsförordning av registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. I den arbetsmarknadspolitiska verksamheten föreslås även en förlängd gallringstid från två till i syfte att underlätta återinträde i arbetsmarknadspolitiska program. Ändringen innebär att personuppgifter ska gallras så fort de inte längre behövs i verksamheten, dock senast . Den nya lagen och lagändringarna föreslås träda i kraft . 2017/18:112 Innehållsförteckning Förslag till riksdagsbeslut ................................................................. Förslag till lag om behandling av personuppgifter i Förslag till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den Förslag till lag om ändring i lagen (2006:469) om behandling av personuppgifter vid Inspektionen för Förslag till lag om ändring i lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads - och utbildningspolitisk utvärdering Ärendet ............................................................och dess beredning Personuppgiftslagen och den föreslagna Huvuddragen och grunderna i registerlagarna på arbetsmarknadsområdet kan och bör bevaras Rättslig grund för behandling av personuppgifter Begränsningar av enskildas rättigheter Behandling av personuppgifter i En ny lag om behandling av personuppgifter i Den nya lagen ska tillämpas på automatiserad behandling av personuppgifter och personuppgifter i Förhållandet till annan reglering Undantag från rätten att göra invändningar Lagen ska upplysa om att regeringen kan begränsa ändamålen och vilka uppgifter Utlämnande av uppgifter i överensstämmelse med lag eller Tillgången till personuppgifter ska begränsas ................. 6.9Det ska inte finnas begränsningar av tillåtna 7Behandling av personuppgifter hos Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och Institutet för arbetsmarknads- och utbildningspolitisk utvärdering .................... 7.1Registerlagarna ska tillämpas på automatiserad behandling av personuppgifter och personuppgifter i Förhållandet ......................................till annan reglering Hänvisningar till personuppgiftslagen ska Undantag .....................från rätten att göra invändningar Arbetsförmedlingens och Inspektionen för Känsliga personuppgifter i Institutet för arbetsmarknads - och utbildningspolitisk Personuppgifter om lagöverträdelser i Arbetsförmedlingens och Inspektionen för 7.8Automatiserat beslutsfattande i Arbetsförmedlingens 7.9Samlingar av personuppgifter i Institutet för utbildningspolitisk utvärderings verksamhet ................... 7.11Tillgång till personuppgifter i Inspektionen för Rättelse och skadestånd ................................................... En förlängd gallringstid i Ikraftträdande och .................behovet av övergångsbestämmelser Alternativa .................lösningar eller att inte reglera alls Konsekvenser för jämställdhet, miljö och små Förslaget till lag om behandling av personuppgifter i Förslaget till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den Förslaget till lag om ändring i lagen (2006:469) om behandling av personuppgifter vid Inspektionen för Förslaget till lag om ändring i lagen (2012:741) om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering....... Sammanfattning av promemorian Anpassningar till (Ds 2017:33)..................................................................... Förteckning över remissinstanserna ............................... Utdrag ur protokoll vid regeringssammanträde ......... Regeringen föreslår att antar regeringens förslag till 1.lag om behandling av personuppgifter i informationssystem om arbetsskador, 2.lag om ändring i lagen (2002:546) om behandling av personuppgifter iden arbetsmarknadspolitiska verksamheten, 3.lag om ändring i lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen, 4.lag om ändring i lagen (2012:741) om behandling av personuppgifter vid utvärdering. Regeringen har följande förslag till lagtext. 2.1Förslag till lag om behandling av personuppgifter i informationssystem om arbetsskador Härigenom föreskrivs följande. 1 § Denna lag tillämpas vid behandling av personuppgifter i informationssystem om arbetsskador. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. 5 § är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför enligt denna lag. 6 § får behandla personuppgifter i informationssystemet om arbetsskador om det är nödvändigt för att ge underlag för arbetet med att förebygga arbetsskador. En sådan behandling får innefatta 1.registrering av arbetsskador och bearbetning av sådana uppgifter, 4.forskning och undervisning, 5.framställning av statistik, och 6.planering, uppföljning och utvärdering av förebyggande arbete mot arbetsskador. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 7 § Personuppgifter som behandlas för de ändamål som anges i 6 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. 8 § Personuppgifter som behandlas enligt 6 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 9 § Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som rör hälsa får behandlas i informationssystemet om arbetsskador. 10 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Denna lag träder i kraft . 2.2Förslag till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Härigenom föreskrivs i fråga om lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten1 dels att 1 a, 15 och 18 §§ ska upphöra att gälla, dels att rubrikerna närmast före 15 och 18 §§ ska utgå, dels att 1, 2, 4, 5, 8, 9, 14 och 16 §§ och rubriken närmast före 2 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 2 a och 5 a §§, och närmast före 1 § och 2 a § nya rubriker av följande lydelse. Denna lag tillämpas vid behandling av personuppgifter i Arbetsförmedlingens arbetsmarknadspolitiska verksamhet. Lagen ska inte tillämpas i den del av den arbetsmarknadspolitiska verksamheten som även utgör hälso- och sjukvårdsverksamhet enligt hälso- och sjukvårdslagen (2017:30). I den delen av verksamheten tillämpas i stället patientdatalagen (2008:355). Lagen tillämpas endast på helt behandlingen är helt eller delvis eller delvis automatiserad be- automatiserad eller om uppgifterna handling av personuppgifter och ingår i eller är avsedda att ingå i en annan behandling av person- uppgifter som ingår eller kommer uppgifter som är tillgängliga för att ingå i ett register. enligt särskilda kriterier. Förhållandet till annan reglering Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag 1Senaste lydelse av 1 a § 2010:2029. 2Senaste lydelse 2017:591. Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om eller annars av 2 § personuppgiftslagen. upphävande av direktiv /46/EG Prop. 2017/18:112 (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om undantag från första stycket. personuppgifter inom den arbets- personuppgifter inom den arbets- bara om det behövs för bara om det är nödvändigt för 1.handläggning av ärenden, 2.publicering av platsinformation, information om kompletterande aktörer och ansökningar om anställning, 3.planering, metodutveckling, tillsyn, uppföljning, resultatredovisning och utvärdering av verksamheten, 4.framställning av avidentifierad statistik, och 5.samarbete på det arbetsmarknadspolitiska området inom Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt enligt överenskommelsen om en gemensam nordisk arbetsmarknad. 3 Senaste lydelse 2010:2029. Arbetsförmedlingen får behandla personuppgifter för tillhandahållande av information som behövs inom 1.Försäkringskassans, Centrala eller arbetslöshetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, 2.Skatteverkets verksamhet som underlag för beslut om och kontroll av skatt, 3.Inspektionen för arbetslöshetsförsäkringens verksamhet som avser tillsyn och uppföljning samt utfärdande av intyg enligt 48 § lagen (1997:238) om arbetslöshetsförsäkring, 4.Kronofogdemyndighetens verksamhet som underlag för bedömning enligt 4 kap. utsökningsbalken av i vilken utsträckning en gäldenär har utmätningsbar egendom, 5.socialnämndernas verksamhet som underlag för beslut om och kontroll av ekonomiskt bistånd enligt 4 kap. socialtjänstlagen (2001:453), 6.Migrationsverkets verksamhet som underlag för beslut om bistånd enligt lagen (1994:137) om mottagande av asylsökande m.fl., samt 7.kompletterande aktörers verksamhet enligt uppdrag från Arbetsförmedlingen. Arbetsförmedlingen får även behandla personuppgifter för att tillhandahålla information till eller regeringen eller till annan för att fullgöra uppgiftslämnande i enlighet med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). Arbetsförmedlingen får även behandla personuppgifter för att tillhandahålla information till eller regeringen eller till någon annan för att fullgöra uppgiftslämnande i enlighet med lag eller förordning. Personuppgifter som behandlas enligt 4 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Arbetsförmedlingen får behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag om Arbetsförmedlingen får utanför en databas behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel 4Senaste lydelse 2017:591. 5Senaste lydelse 2007:410. uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. eller administrativa frihetsbe- Prop. 2017/18:112 rövanden endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) får behandlas i en databas endast om de har lämnats i ett ärende. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa får dessutom behandlas i en databas om de är nödvändiga för handläggningen av ett ärende. Personuppgifter om sociala förhållanden och omdömen, slutsatser eller andra värderande upplysningar om en enskild får behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Detsamma gäller sådana personuppgifter som avses i 21 § personuppgiftslagen. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas i en databas endast om de har lämnats i ett ärende. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa får dessutom behandlas i en databas om de är nödvändiga för handläggningen av ett ärende. Personuppgifter om sociala förhållanden och omdömen, slutsatser eller andra värderande upplysningar om en enskild får behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Detsamma gäller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Det är förbjudet att använda i 13 § personupp- sökbegrepp som avslöjar känsliga giftslagen (1998:204) samt sådana personuppgifter och sådana person- uppgifter som avses i 9 § andra avses i 9 § andra stycket eller 10 § stycket eller 10 §. får inte användas som sökbegrepp. Med undantag från förbudet i första stycket får dock kod för hälsotillstånd eller för sådan funktionsnedsättning som medför nedsatt arbetsförmåga användas som sökbegrepp för planering av insatser och förmedling av arbete. Kod för hälsotillstånd eller för sådan funktionsnedsättning som medför nedsatt arbetsförmåga, kod för arbetsmarknadspolitiskt program eller insats samt kod för sökandekategori eller anvisningsgrund får även Senaste lydelse 2013:154. Senaste lydelse 2011:545. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. 2017/18:112 användas som sökbegrepp för tillsyn, uppföljning, utvärdering och framställning av avidentifierad statistik. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Uppgifter om arbetssökande i en Uppgifter om arbetssökande i en skall gallras efter utgången gallras senast efter utgången av det år då behandlingen av upp- av det år då behandlingen av gifterna har avslutats i ett ärende uppgifterna har avslutats i ett hos den handläggande myndig- ärende hos Arbetsförmedlingen. Uppgifter som har avskiljts för Uppgifter som har avskilts för statistikändamål skall gallras tio år statistikändamål ska gallras tio år Regeringen, eller den myndighet Regeringen eller den myndighet som regeringen bestämmer, får meddela föreskrifter om undantag meddela föreskrifter om undantag från dessa gallringstider när det från dessa gallringstider när det gäller bevarande av material för gäller bevarande av material för erial skall lämnas över till en erial ska lämnas över till en arkiv- Denna lag träder i kraft . 2.3Förslag till lag om ändring i lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen Härigenom föreskrivs i fråga om lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen dels att 16 § ska upphöra att gälla, dels att rubriken närmast före 16 § ska utgå, dels att 1, 2, 4, 5, 8–10 och 13–15 §§ och rubrikerna närmast före 2 och 14 §§ ska ha följande lydelse, dels att det ska införas två nya paragrafer, 2 a och 5 a §§, och närmast före 2 a § en ny rubrik av följande lydelse. Denna lag tillämpas vid behandling av personuppgifter i sådan verksamhet vid Inspektionen för arbetslöshetsförsäkringen som gäller tillsyn, uppföljning, registrering av uppgifter om arbetslöshetskassor, utfärdande av intyg, framtagande av statistik samt rapportering av vissa uppgifter till Arbetsförmedlingen. Lagen gäller endast för sådan Lagen tillämpas endast på helt behandling av personuppgifter som eller delvis automatiserad behand- helt eller delvis är automatiserad. ling av personuppgifter och annan Lagen gäller även för annan behandling av personuppgifter som behandling av personuppgifter, om ingår eller kommer att ingå i ett uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. Förhållandet till annan reglering Denna lag kompletterar Europa- (1998:204) gäller parlamentets och rådets förordning vid behandling av personuppgifter (EU) 2016/679 av 1 Senaste lydelse 2007:412. inom verksamhet vid Inspektionen för arbetslöshetsförsäkringen, i den utsträckning som denna lag eller föreskrifter som har meddelats med stöd av denna lag inte innehåller föreskrifter som avviker från personuppgiftslagens motsvarande bestämmelser. 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar Artikel 21.1 i EU:s dataskydds- förordning om rätten att göra in- vändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. försäkringen får behandla person- försäkringen får behandla person- uppgifter, om det behövs uppgifter, om det är nödvändigt 1.för tillsyn över arbetslöshetskassorna och uppföljning av arbetslöshetsförsäkringen enligt 89 § första stycket lagen (1997:239) om arbetslöshetskassor, 2.för tillsyn över handläggning av och rutiner för handläggning av sådana ärenden hos Arbetsförmedlingen som har samband med arbetslöshetsförsäkringen eller som rör återkallande av anvisningar till arbetsmarknadspolitiska program, 3.för tillsyn över handläggning av och rutiner för handläggning av sådana ärenden hos Arbetsförmedlingen och som rör åtgärder inom aktivitetsstöd, utvecklingsersättning och etableringsersättning eller för uppföljning av sådana åtgärder, 4.för registrering av uppgifter enligt lagen om arbetslöshetskassor, eller 5.som underlag och för kontroll vid utfärdande av intyg enligt 48 § lagen (1997:238) om arbetslöshetsförsäkring. 2 Senaste lydelse 2017:592. Personuppgifter som behandlas enligt första stycket får också behandlas, om det behövs för statistiska och vetenskapliga ändamål. Inspektionen för arbetslöshetsförsäkringen får behandla personuppgifter för att tillhandahålla information som behövs inom Arbetsförmedlingens verksamhet som underlag i uppföljnings-, analys- och utvärderingsarbete. personuppgifter för att tillhanda- personuppgifter för att tillhanda- eller regeringen eller till annan för eller regeringen eller till någon annan för att fullgöra uppgifts- enlighet med lag eller förordning. lämnande i enlighet med lag eller och andra stycket personuppgifts- lagen (1998:204). enligt 4 § får behandlas även för andra ändamål, under förut- behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Inspektionen för arbetslöshetsförsäkringen får behandla sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och sådana personuppgifter som avses i 21 § samma lag, om uppgifterna har lämnats i ett ärende eller annars är nödvändiga för handläggningen av ett ärende. Inspektionen för arbetslöshetsförsäkringen får behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I statistik- och tillsynsdatabasen I statistik- och tillsynsdatabasen får inga andra känsliga person- får inga andra personuppgifter som uppgifter som avses i 13 § person- avses i artikel 9.1 i EU:s personuppgifter) behandlas än 3 Senaste lydelse 2011:546. sådana som avslöjar etniskt handlas än sådana som avslöjar ursprung eller rör hälsa. etniskt ursprung eller rör hälsa. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa, personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en enskild, får behandlas i statistik- och tillsynsdatabasen endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samt uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716) får inte behandlas i statistik- och tillsynsdatabasen. Personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får inte behandlas i statistik- och tillsynsdatabasen. Detsamma gäller uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för en åtgärd enligt utlänningslagen (2005:716). Det är förbjudet att använda i 13 § person- sökbegrepp som avslöjar känsliga (1998:204) samt personuppgifter och sådana person- sådana personuppgifter som avses i uppgifter som avses i 9 § andra 9 § andra stycket och 10 § denna stycket eller 10 §. lag får inte användas som sök- Med undantag från förbudet i första stycket får dock kod för hälsotillstånd eller för sådan funktionsnedsättning som medför nedsatt arbetsförmåga, kod för arbetsmarknadspolitiskt program eller insats samt kod för sökandekategori eller anvisningsgrund användas som sökbegrepp för tillsyn, uppföljning, utvärdering och framställning av avidentifierad statistik. Regeringen får meddela föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. ska begränsas till vad var och en 4 Senaste lydelse 2011:546. rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Personuppgifter som behandlas för ändamål som anges i 4 § första stycket 1, 2, 3 och 5 ska gallras efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos den handläggande myndigheten. Om personuppgifter enligt första stycket behövs för statistiska eller vetenskapliga ändamål ska de gallras efter det att uppgifterna avskildes för dessa ändamål.