prop · H503112 · 2018-03-01 00:00:00 — Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: I propositionen Ny dataskyddslag (prop. 2017/18:105) föreslås en lag med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, som på generell nivå kompletterar dataskyddsförordningen i . Bestämmelserna i dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen bör gälla vid behandling av personuppgifter inom informationssystem om arbetsskador, om inte annat följer av den här föreslagna lagen eller föreskrifter som har meddelats i anslutning till den här föreslagna lagen. En bestämmelse som upplyser om detta bör införas i lagen. 6.4Undantag från rätten att göra invändningar Regeringens förslag: Rätten att göra invändningar enligt artikel 21.1 i EU:s dataskyddsförordning ska inte gälla vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den. Promemorians förslag: Överensstämmer med regeringens. 2017/18:112 Promemorian föreslår dock en annan redaktionell utformning av Remissinstanserna: föreslår en annan lydelse av bestämmelsen. vid delar inte promemorians bedömning att förslaget uppfyller kraven i artikel 23.1 och 23.2 i dataskyddsförordningen. pekar bland annat på kraven i artikel 23.2 på att den registrerade ska bli informerad om en begränsning. Datainspektionen ifrågasätter bland annat om inte promemorians förslag att ersätta ”motsätter sig” med ”invänder mot” innebär en förändring i sak. Datainspektionen efterlyser ett klargörande av om samtycke utgör en rättslig grund för behandlingen och i så fall hur de övriga reglerna i den aktuella författningen, med beaktande av artikel 6.2, förhåller sig till samtycket. Datainspektionen är positiv till att låta den enskildes inställning avgöra om behandlingen ska få utföras eller inte. Skälen för regeringens förslag Enligt artikel 14 a i dataskyddsdirektivet ska medlemsstaterna tillförsäkra den registrerade rätten att, under vissa närmare angivna förutsättningar, när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. I 11 § personuppgiftslagen (1998:204) finns vissa möjligheter vid direkt marknadsföring att motsätta sig behandling av personuppgifter. Det finns också möjlighet att återkalla samtycke i vissa fall enligt 12 § första stycket. I övrigt kan den registrerade inte med rättslig verkan motsätta sig sådan behandling som är tillåten enligt personuppgiftslagen (12 § andra stycket). I förordningen om behandling av personuppgifter i informationssystem om arbetsskador, liksom i flera andra registerförfattningar, finns en bestämmelse som anger att en registrerad inte har rätt att motsätta sig sådan behandling som är tillåten enligt författningen. Enligt dataskyddsförordningen har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne (artikel 21.1). Rätten att göra invändningar begränsar sig enligt denna bestämmelse till behandling av personuppgifter, såvitt avser myndigheter som utför sina uppgifter, som grundar sig på att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Rätten att göra invändningar ska senast vid den första kommunikationen med den registrerade uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Om personuppgifter behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att göra invändningar mot behandling av personuppgifter 2017/18:112 avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). Rätten att göra invändningar innebär att den registrerade har en möjlighet att få till stånd en överprövning av behandlingens tillåtlighet. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa att dennes tvingande berättigade intressen väger tyngre än den registrerades intressen (artikel 21.1). det sker en överprövning har den registrerade rätt att kräva att behandlingen av personuppgifterna begränsas (artikel 18.1 d). Om det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (artikel 17.1 c). Regleringen i dataskyddsförordningen skiljer sig från den i dataskyddsdirektivet på så sätt att det är den registrerade som ska ha berättigade skäl (artikel 14 a i dataskyddsdirektivet). I stället är det den som är personuppgiftsansvarig som ska kunna redogöra för varför behandlingen ska få äga rum. Rätten att göra invändningar kan begränsas i unionsrätten eller i nationell rätt, men då måste begränsningen uppfylla de krav som nämns ovan på nödvändighet, proportionalitet och legitimt ändamål (artikel 23.1). Vid en eventuell begränsning ska det, när så är relevant, finnas vissa specifika bestämmelser, bland annat om omfattningen av begränsningen och skyddsåtgärder för att förhindra missbruk (artikel 23.2). Rätten att göra invändningar får en begränsad betydelse när det gäller informationssystemet om arbetsskador Rätten att invända mot behandlingen av personuppgifter enligt artikel 21 i dataskyddsförordningen är begränsad i flera avseenden. För det första gäller den endast vid behandling av personuppgifter på en rättslig grund som är relevant för myndigheter när de utför sina uppgifter, nämligen behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Det innebär att de registrerade inte har rätt att invända om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). har ett uppdrag som bland annat följer av förordningen (2007:913) med instruktion för att sköta informationssystemet om arbetsskador. Den personuppgiftsbehandling som sker i samband med informationssystemet har därmed stöd i en rättslig förpliktelse. För det andra är rätten att göra invändningar begränsad om det rör sig om personuppgifter som behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. I sådana fall har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). I fråga om informationssystemet om arbetsskador kan regeringen konstatera att informationssystemet i första hand inte är ett ärenderegister utan att det framför allt ligger till grund för statistik och förebyggande arbete som saknar koppling till enskilda individer. Mot bakgrund av de inskränkningar som finns av rätten att göra invändningar enligt dataskyddsförordningen får den begränsad betydelse vid behandling av personuppgifter i informationssystemet om arbetsskador. Det har att göra med att en betydande del av myndighetens behandling av uppgifter sker för statistiska ändamål i enlighet med artikel 89.1. I den utsträckning det då är nödvändigt att behandla uppgifter för att utföra en uppgift av allmänt intresse har de registrerade inte rätt att invända mot behandlingen. Det kan också i sammanhanget tilläggas att i den utsträckning uppgifterna i informationssystemet inte avser en identifierad eller identifierbar fysisk person gäller inte dataskyddsförordningen (skäl 26, se också artikel 4.1 och 4.5). Vidare innebär artikel 11 i dataskyddsförordningen att en personuppgiftsansvarig som behandlar avidentifierade personuppgifter inte behöver göra efterforskningar av en registrerads identitet i syfte att informera den registrerade om rätten att göra invändningar. Rätten att göra invändningar bör begränsas Även om rätten att invända enligt dataskyddsförordningen får en begränsad betydelse finns det ändå skäl att införa en begränsning. Det huvudsakliga skälet är att invändningar skulle innebära att myndighetens förutsättningar för att kunna bedriva ett effektivt förebyggande arbete mot arbetsskador skulle försämras. Det har att göra med att myndigheten i enskilda fall skulle behöva påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter innan myndigheten kan fortsätta behandla personuppgifterna (artikel 21.1). En sådan prövning i enskilda fall kan inte anses motiverad eftersom de tvingande berättigade skälen till att behandla personuppgifter för att kartlägga och förebygga arbetsskador nästan undantagslöst får anses väga tyngre än enskildas intressen. Vidare skulle det vara svårt för både de registrerade och för att avgöra när rätten att göra invändningar skulle gälla eftersom behandlingen av uppgifter i informationssystemet i stor omfattning sker för statistiska ändamål. Behandlingen stödjer sig också på överlappande rättsliga grunder där en av grunderna ger rätt att göra invändningar medan den andra grunden inte gör det (artikel 6.1 c och e). Begränsningen av rätten att göra invändningar uppfyller dataskyddsförordningens krav En begränsning av rätten att invända kan under vissa förutsättningar göras enligt artikel 23 i dataskyddsförordningen. Inledningsvis kan det konstateras att arbetet med att kartlägga och förebygga arbetsskador är ett viktigt mål för både EU och som rör folkhälsa och social trygghet (artikel 21.1 e). Begränsningen är både nödvändig för att undvika ett oklart rättsläge och proportionell eftersom begränsningen i praktiken rör ett begränsat antal registrerade. Regeringen återkommer i avsnitt 6.5–6.8 med förslag på en reglering som motsvarar kraven i artikel 23.2 på begränsande lagstiftning. Det rör bland annat specificering av vem som är personuppgiftsansvarig, preciserade ändamålsbestämmelser och begränsning av tillgång till personuppgifter. Några ytterligare lagstiftningsåtgärder, av det slag vid 2017/18:112 universitet efterfrågar, krävs inte för att uppfylla dataskyddsförordningens krav i detta fall. Som påpekar bör bestämmelsen som begränsar rätten att göra invändningar utformas som ett undantag från artikel 21.1 i dataskyddsförordningen i syfte att tydliggöra normhierarkin och att den föreslagna lagen inte utgör en uttömmande reglering. Av bestämmelsen bör alltså framgå att rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den. 6.5Arbetsmiljöverket ska ha personuppgiftsansvaret Regeringens förslag: ska vara personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför enligt lagen. Promemorians förslag Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: Medlemsstaterna kan enligt artikel 4.7 i dataskyddsförordningen ange vem som är personuppgiftsansvarig i den nationella rätten om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt. Denna möjlighet bör enligt regeringens uppfattning användas eftersom det bidrar till tydlighet om vem som har ansvaret för den behandling av personuppgifter som myndigheten utför enligt lagen. Regeringens förslag: Behandling av personuppgifter i informationssystemet om arbetsskador ska vara tillåten om behandlingen är nödvändig för att ge underlag för arbetet med att förebygga arbetsskador. Behandlingen ska få innefatta 1.registrering av arbetsskador och bearbetning av sådana uppgifter, 4.forskning och undervisning, 5.framställning av statistik, och 6.planering, uppföljning och utvärdering av förebyggande arbete mot arbetsskador. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det saknas en analys av hur ändamålsbestämmelserna förhåller sig till dataskyddsförordningens bestämmelser om rättslig grund i artikel 6.1 och hur kraven i artikel 6.3 har säkerställts. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag: Det är en allmän dataskyddsrättslig princip att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det är vidare vanligt att ändamålsbestämmelser tas in i registerförfattningar för att ange den yttersta ramen för behandlingen av personuppgifter. I promemorian föreslås sådana ändamålsbestämmelser. En bestämmelse som anger ändamålen innebär att ramen för behandlingen av personuppgifter i ett informationssystem med ett stort antal integritetskänsliga uppgifter fastställs av . En ändamålsbestämmelse ger vidare möjlighet att på ett övergripande plan balansera intresset av informationssystemet om arbetsskador mot intresset av det intrång i den personliga integriteten som behandlingen i informationssystemet kan innebära. Enligt regeringens uppfattning är den bestämmelse som anger ändamålen i förordningen om behandling av personuppgifter i informationssystem om arbetsskador ändamålsenligt utformad på ett sätt som balanserar verksamhetsbehovet och integritetsintresset väl. Ändamålsbestämmelsen i den nya lagen bör alltså utformas så att den utesluter behandling som inte är nödvändig för att ge underlag för arbetet med att förebygga arbetsskador. Vidare bör den ange att behandlingen får innefatta registrering av arbetsskador och bearbetning av sådana uppgifter, tillsynsverksamhet, skadeutredningar, forskning och undervisning, framställning av statistik samt planering, uppföljning och utvärdering av förebyggande arbete mot arbetsskador. Datainspektionen anser att det saknas en analys av hur förslaget förhåller sig till dataskyddsförordningens bestämmelser om rättslig grund och hur kraven i artikel 6.3 andra stycket i dataskyddsförordningen säkerställs. Regeringen redogör allmänt i avsnitt 5.2 för de rättsliga grunderna och hur de fastställs i nationell rätt. När det gäller den bestämmelse som anger ändamålen som här föreslås får den anses utgöra en precisering av den rättsliga grunden som fastställs enligt artikel 6.3. Behandlingen av personuppgifter kan vila på åtminstone två rättsliga grunder i dataskyddsförordningen. Den kan dels vara nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c), dels nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). 2017/18:112 6.6.2 Lagen ska upplysa om att regeringen kan begränsa ändamålen och vilka uppgifter som får Regeringens förslag: Det ska införas en upplysningsbestämmelse som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: Det kan finnas skäl att införa mer detaljerade bestämmelser som ytterligare begränsar ändamålen och vilka uppgifter som får behandlas. Sådana mer detaljerade bestämmelser kan behöva ändras relativt ofta och det är därför lämpligt att de införs i förordning eller i myndighetsföreskrifter. Det bör därför i den föreslagna lagen införas en upplysningsbestämmelse som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 6.6.3Utlämnande av uppgifter i överensstämmelse med lag eller förordning Regeringens förslag: Personuppgifter ska få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det saknas en analys av hur ändamålsbestämmelserna förhåller sig till dataskyddsförordningens bestämmelser om rättslig grund i artikel 6.1 och hur kraven på fastställande i artikel 6.3 har säkerställts. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag: I vissa fall finns behov av att lämna ut personuppgifter till en annan myndighet eller någon annan i enlighet med annan författning. Exempel på detta är när uppgifter inom informationssystemet behöver lämnas ut för att ska kunna uppfylla krav i offentlighets- och sekretesslagen (2009:400). I promemorian föreslås en bestämmelse som anger att får behandla personuppgifter för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. Datainspektionen frågar hur förslaget förhåller sig till dataskyddsförordningens bestämmelser om bland annat rättslig grund. kommer direkt med stöd av dataskyddsförordningen att kunna behandla personuppgifter för att fullgöra ett utlämnande enligt lag eller förordning, antingen med stöd av artikel 6.1 c (rättslig förpliktelse) eller med stöd av 6.1 e (allmänt intresse). Frågan är då om det ändå behövs en bestämmelse som anger att personuppgifter får behandlas Prop. 2017/18:112 för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. På motsvarande sätt som ett angivande av de så kallade primära ändamålen, se avsnitt 6.6.1, kan en bestämmelse om behandling för utlämnande ses som en integritetshöjande åtgärd i förhållande till dataskyddsförordningen. Lagen bör därför innehålla en sådan bestämmelse. Regeringens förslag: Det ska i lagen införas en bestämmelse av vilken det framgår att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål under förutsättning att dessa inte är oförenliga med det ändamål för vilket uppgifterna samlades in. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: anser att en uttrycklig reglering av finalitetsprincipen är mycket positivt. Ingen annan remissinstans har synpunkter på förslaget. Skälen för regeringens förslag: Enligt artikel 5.1 b i dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. I artikel 6.4 i förordningen beskrivs vad den personuppgiftsansvarige bör beakta för att fastställa om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Principen om att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål brukar kallas finalitetsprincipen. Finalitetsprincipen enligt artikel 5.1 b dataskyddsförordningen gäller även vid behandling enligt den föreslagna lagen. Tydlighetsskäl talar dock, liksom påpekar, för att det bör införas en bestämmelse i lagen som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål en sådan ändamålsbegränsning som avses i artikel 6.3 i dataskyddsförordningen. Regeringens förslag: Inga andra känsliga personuppgifter än sådana som rör hälsa ska få behandlas i informationssystemet om arbetsskador. Promemorians förslag: Överensstämmer med regeringens. 2017/18:112 Remissinstanserna: Datainspektionen har bland annat synpunkter på hur förslaget förhåller sig till dataskyddsförordningens bestämmelser om rättslig grund och på vilka ändamål som det kan vara berättigat att behandla känsliga personuppgifter. Ingen annan av remissinstanserna har haft synpunkter på förslaget. Skälen för regeringens förslag Enligt dataskyddsdirektivet får undantag göras från förbudet mot behandling av känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse, förutsatt att sådana undantag förses med lämpliga skyddsåtgärder (artikel 8.4). I personuppgiftslagen har undantaget som rör viktiga allmänna intressen genomförts dels genom regleringen av behandling för forsknings- och statistikändamål, dels genom ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att föreskriva ytterligare undantag om det behövs med hänsyn till ett viktigt allmänt intresse. Vidare har undantaget som rör viktiga allmänna intressen genomförts genom bestämmelser i registerförfattningar. Artikel 9.1 i dataskyddsförordningen innehåller ett förbud att behandla särskilda kategorier av personuppgifter (känsliga personuppgifter). Vidare anger artikel 9.2 i förordningen att det finns undantag från förbudet att behandla känsliga personuppgifter. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Denna ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Förbudet i artikel 9.1 omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Kategorierna av känsliga personuppgifter i bestämmelsen har utökats jämfört med motsvarande bestämmelse i dataskyddsdirektivet (artikel 8.1). Dataskyddsförordningens bestämmelse innefattar även genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person samt uppgifter om en persons sexuella läggning vilket dataskyddsdirektivets motsvarande bestämmelse inte gjorde. Uppgifter om sexuell läggning har emellertid i svensk rätt ansetts ingå i begreppet sexualliv. Detta innebär att tillägget av begreppet sexuell läggning i förordningen inte innebär någon egentlig utvidgning från ett svenskt perspektiv, se till exempel propositionen Behandling av personuppgifter inom (prop. 2000/01:126 s. 31) och propositionen Ett starkare skydd mot diskriminering (prop. 2007/08:95 s. 125–129). Det finns rättsliga grunder som är fastställda i enlighet med dataskyddsförordningen I promemorian lämnas förslag på ett undantag från förbudet att behandla känsliga personuppgifter. Undantaget är i förslaget begränsat till sådana känsliga personuppgifter som rör hälsa. Datainspektionen saknar en analys av hur bestämmelsen om känsliga personuppgifter förhåller sig till dataskyddsförordningens bestämmelser om rättslig grund i artikel 6.1 och hur kraven i artikel 6.3 har säkerställts. Regeringen konstaterar att sköter informationssystemet om arbetsskador enligt förordningen med instruktion för . Myndigheten har alltså en rättslig förpliktelse som är fastställd i författning (jfr artikel 6.1 c). Vidare får, enligt regeringens bedömning, arbetet med att kartlägga och förebygga arbetsskador anses vara en uppgift av allmänt intresse i dataskyddsförordningens mening (jfr artikel 6.1 e). Uppgiften av allmänt intresse är fastställd på motsvarande sätt som den rättsliga förpliktelsen. Lagen ska innehålla lämpliga skyddsåtgärder