prop · H503112 · 2018-03-01 00:00:00 — En förlängd gallringstid i Arbetsförmedlingens Regeringens förslag: Gallring av personuppgifter om arbetssökande i en arbetsmarknadspolitisk databas ska göras senast efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende. Promemorians förslag: Överensstämmer i huvudsak med regeringens. Promemorian föreslår dock att gallring ska ske efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende. Remissinstanserna: Datainspektionen avstyrker förslaget om en generellt utökad gallringstid till inom den arbetsmarknadspolitiska avstyrker delvis förslaget och anför att 2017/18:112 gallring ska ske så fort uppgifterna inte längre behövs enligt principen om lagringsminimering. Skälen för regeringens förslag Lagring av personuppgifter är enligt dataskyddsförordningen en form av behandling av personuppgifter (artikel 4.2). Huvudregeln i artikel 5.1 e är att personuppgifter inte får förvaras i en form som möjliggör identifiering än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Samma bestämmelse finns i 6.1 e i dataskyddsdirektivet, vilket innebär att huvudregeln som sådan inte har förändrats genom dataskyddsförordningen. Det är den personuppgiftsansvarige som ansvarar för att personuppgifter inte lagras på fel sätt eller . I artikel 6.2 och 6.3 i dataskyddsförordningen ges en möjlighet för medlemsstater att i nationell rätt fastställa mer specifika krav, däribland särskilda bestämmelser om lagringstid. gäller att uppgifter om arbetssökande i en arbetsmarknadspolitisk databas ska gallras efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos Arbetsförmedlingen. Bestämmelsen om två års gallringstid fanns redan i den tidigare lagen (1994:459) om arbetsförmedlingsregister. I förarbetena till den bestämmelsen vägdes behoven av bevarande mot integritetsaspekten. En gallringstid bedömdes som en relativt kort men nödvändig gallringstid för uppgift om arbetssökande i en arbetsmarknadspolitisk databas, medan bedömdes nödvändigt för statistikregister, se propositionen Lag om arbetsförmedlingsregister (prop. 1993/94:235 s. 37) och propositionen Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (prop. 2001/02:144 s. 55). I promemorian föreslås en förlängd gallringstid i lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Den förlängda gallringstiden motiveras på följande sätt. Enligt förordningen (2007:414) om jobb- och utvecklingsgarantin har den som skrivits ut för att påbörja en utbildning inom skolväsendet eller motsvarande utbildning vid en folkhögskola möjlighet att återinträda i jobb- och utvecklingsgarantin under förutsättning att avbrottet har varat i högst . Eftersom enligt registerlagens nuvarande lydelse ska gallra personuppgifter , blir den praktiska konsekvensen av gallringsfristen att Arbetsförmedlingen inte kan överblicka hela den tidsperiod , från inträdet till utträdet i programmet, som rätten till återinträde avser. Det går inte heller att återuppta ett sådant ärende eftersom uppgifterna har överlämnats till för arkivering. Det är den enskilde som själv måste begära ut uppgifterna från . Det är angeläget att det ska vara möjligt att återinträda i arbetsmarknadspolitiska program efter till exempel studier eller Tvåårsfristen innebär därmed att Arbetsförmedlingen Prop. 2017/18:112 inte på ett ändamålsenligt och effektivt sätt kan fullgöra sitt uppdrag. Behovet av lagring som är längre än i etableringsprogrammet Återinträde i ett arbetsmarknadspolitiskt program än kommer även att vara möjligt efter i det så kallade etableringsprogrammet enligt förordningen (2017:820) om etableringsinsatser för vissa nyanlända invandrare. Detta innebär att Arbetsförmedlingen kommer att ha motsvarande problem med den tvååriga gallringstiden när det gäller etableringsprogrammet som när det gäller jobb- och utvecklingsgarantin. Principen om lagringsminimering ska gälla tillsammans med en treårsfrist Datainspektionen invänder mot den förlängda gallringstiden. Myndigheten påpekar att enligt den grundläggande principen i 5.1 e i dataskyddsförordningen får personuppgifter inte lagras än vad som är nödvändigt för de ändamål för vilka personuppgifter Det finns, enligt Datainspektionen, inte något utrymme i dataskyddsförordningen för att behandla personuppgifter under en längre tid än vad som är nödvändigt, enbart för att det kan bli besvärligt att ha Datainspektionen avstyrker därför promemorians förslag om en generellt utökad gallringstid till . har invändningar mot förslaget och avstyrker det delvis. En generell förlängning av gallringstiden från två till innebär, liksom Datainspektionen påpekar, ett visst ingrepp i den personliga integriteten hos många arbetssökande som är inskrivna vid Arbetsförmedlingen och som inte berörs av ovan nämnda bestämmelser i jobb- och utvecklingsgarantin eller etableringsprogrammet. olika gallringstider för olika arbetsmarknadspolitiska program och insatser skulle dock riskera att innebära ett frekvent behov av ändringar i Vidare är det svårt att vid inskrivningen förutse vilka program som kan komma att bli aktuella för en arbetssökande Integritetsaspekterna måste alltså vägas mot behovet av ett robust och förutsägbart regelverk. Regeringen anser mot den bakgrunden att det inte i registerlagen ska föreskrivas olika gallringstider för olika program Integritetsintresset bör därför beaktas på annat sätt än genom att olika gallringstider föreskrivs i registerlagen. konstaterar innehåller dataskyddsförordningen i artikel 5.1 e en princip om så kallad lagringsminimering. personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras under i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt denna förordning genomförs för att säkerställa den registrerades rättigheter och friheter. 2017/18:112 Principen i artikel 5.1 e bör vara utgångspunkten för lagring och gallring av personuppgifter i den arbetsmarknadspolitiska verksamheten. Det bör dock anges en bortre gräns för när gallringen ska ske i registerlagen. På så vis blir huvudregeln att gallring ska ske så snart personuppgifterna är nödvändiga för de ändamål för vilka personuppgifterna behandlas. Den bortre gränsen bör sättas vid om det inte handlar om uppgifter som behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. Denna tid är visserligen en förlängning i förhållande till vad som gäller men behövs med tanke på intresset av att det ska vara möjligt att återinträda i arbetsmarknadspolitiska program efter till exempel studier eller föräldraledighet. Uppgifter om arbetssökande i en arbetsmarknadspolitisk databas ska därför gallras senast efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos Arbetsförmedlingen. 7.13.2Språkliga justeringar av gallringsbestämmelserna Regeringens förslag: Uttrycket ”handläggande myndighet” i registerlagarna för Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen ska ersättas av Arbetsförmedlingen respektive Inspektionen för arbetslöshetsförsäkringen. I registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering ska vissa språkliga anpassningar av gallringsbestämmelserna göras till EU:s dataskyddsförordning. Promemorians förslag: Överensstämmer i huvudsak med regeringens. Promemorian föreslår inte att handläggande myndighet ska ändras till Inspektionen för arbetslöshetsförsäkringen. Remissinstanserna: Inspektionen för arbetslöshetsförsäkringen anser att lydelsen ”den handläggande myndigheten” i 15 § lagen om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen bör ersättas med Inspektionen för arbetslöshetsförsäkringen. I övrigt har remissinstanserna inga synpunkter. Skälen för regeringens förslag: I 16 § första stycket lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten anges att personuppgifter om en arbetssökande i en databas ska gallras efter utgången av året då behandlingen av uppgifterna har avslutats i ett ärende hos den handläggande myndigheten. ”handläggande myndighet” tar sikte på den tidigare organisationen med olika myndigheter inom , se propositionen Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (prop. 2001/02:144 s. 46 f). Eftersom numera är den enda myndighet som avses i detta sammanhang bör beteckningen handläggande myndighet ersättas av Arbetsförmedlingen. Inspektionen för arbetslöshetsförsäkringen anser att ”den handläggande myndigheten” i 15 § lagen om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen bör ersättas med Inspektionen för arbetslöshetsförsäkringen av motsvarande skäl. myndigheten ska alltså ersättas Artikel 89.1 i dataskyddsförordningen innehåller bestämmelser om skyddsåtgärder och undantag för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Motsvarande bestämmelser i dataskyddsdirektivet talar i stället för ”vetenskapliga eller historiska forskningsändamål eller statistiska ändamål” om ”historiska, statistiska eller vetenskapliga ändamål”. Bedömningen är dock att den nya formuleringen i dataskyddsförordningen inte innebär någon skillnad i sak. Bestämmelserna i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering bör justeras till dataskyddsförordningens terminologi i syfte att undvika att en betydelseskillnad läses in mellan formuleringarna i dataskyddsförordningen och formuleringarna i registerlagarna. Även ordet behövs bör i gallringsbestämmelserna ersättas av ”är nödvändigt” i syfte att anpassa terminologin till dataskyddsförordningens terminologi. Regeringens förslag: Överklagandebestämmelserna ska tas bort ur registerlagarna för Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen. Promemorians förslag: Överensstämmer inte med regeringens. Promemorian föreslår att det ska finnas hänvisningar i lagarna till den föreslagna dataskyddslagen. Remissinstanserna: Ingen av remissinstanserna har synpunkter på förslaget att ha hänvisningar till den föreslagna lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Skälen för regeringens förslag: Av 18 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten framgår att rätten att överklaga är begränsad till två typer av beslut, nämligen Arbetsförmedlingens beslut om rättelse respektive avslag på ansökan om information enligt 26 § personuppgiftslagen. Prövningstillstånd krävs vid överklagande till kammarrätten. I 16 § lagen om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen finns motsvarande bestämmelse. Lagen om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering innehåller inga bestämmelser om överklagande. Däremot är personuppgiftslagen tilläm- plig i den mån inte annat föreskrivs i registerlagen. lagen är rätten att överklaga begränsad till en myndighets beslut om rättelse eller avslag på ansökan om information enligt 26 § samma lag. En registrerad ska enligt artikel 79 i dataskyddsförordningen ha rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett 2017/18:112 Regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105) att dataskyddslagen, i likhet med personuppgiftslagen, ska innehålla en bestämmelse om att vissa myndighetsbeslut får överklagas till allmän förvaltningsdomstol. Den föreslagna dataskyddslagen kommer att gälla inom registerlagarnas tillämpningsområden om inte annat följer av registerlagarna eller föreskrifter som har meddelats i anslutning till dem, se avsnitt 7.2.3. Detta innebär att dataskyddslagens bestämmelser om överklagande kommer att gälla om inte annat föreskrivs i registerlagarna eller i föreskrifter som har meddelats i anslutning till dem. I promemorian görs bedömningen att det av pedagogiska skäl är lämpligt att ha upplysningsbestämmelser i registerlagarna som hänvisar till dataskyddslagen. Regeringen konstaterar att det inte har framkommit att det finns behov av särskilda bestämmelser om överklagande som avviker från dem som föreslås i dataskyddslagen. Det finns enligt regeringens uppfattning inte heller tillräckliga skäl att införa upplysningsbestämmelser i registerlagarna om att dataskyddslagen innehåller bestämmelser om överklagande. Regeringen anser därför att överklagandebestämmelserna i registerlagarna för Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen bör tas bort. 8Ikraftträdande och behovet av övergångsbestämmelser Regeringens förslag: Den nya lagen och ändringarna i registerlagarna ska träda i kraft . Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: tillstyrker promemorians förslag. Ingen av de övriga remissinstanserna har haft synpunkter på förslaget. Skälen för regeringens förslag: Dataskyddsförordningen ska tillämpas Av artikel 94 i dataskyddsförordningen framgår att dataskyddsdirektivet ska upphöra att gälla med verkan från och med samma datum och att hänvisningar till det upphävda dataskyddsdirektivet ska anses som hänvisningar till dataskyddsförordningen. Förutom vissa bestämmelser av övergångskaraktär i fråga om och rådets direktiv /58/EG av om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation), respektive i fråga om förhållande till internationella avtal som rör överföring av personuppgifter till tredjeländer eller internationella organisationer och som ingicks före (artikel 96), saknar dataskyddsförordningen övergångsbestämmelser. Den nya lagen och ändringarna som föreslås i denna proposition bör träda i kraft som dataskyddsförordningen börjar tillämpas, det vill säga . En utgångspunkt i dataskyddsförordningen är att behandling som pågår Prop. 2017/18:112 den dag då förordningen börjar tillämpas ska bringas i överensstämmelse med förordningen (skäl 171). Personuppgiftsansvariga och personuppgiftsbiträden får därför förutsättas ha ordnat sin behandling av personuppgifter så att exempelvis en begäran om information från en registrerad som har kommit in före men som inte har hunnit besvaras, kan tillmötesgås i enlighet med förordningens bestämmelser. För skadestånd bör äldre bestämmelser gälla om skadan har orsakats före . Att så är fallet följer av allmänna rättsgrundsatser, varför det inte finns något behov av övergångsbestämmelser i det s. 593) och propositionen 2017/18:105 s. 176). Inte heller i övrigt finns skäl att införa övergångsbestämmelser. De förslag som regeringen lägger fram i denna proposition syftar huvudsakligen till att anpassa registerförfattningar på arbetsmarknadsområdet till dataskyddsförordningen. Det föreslås också att registerförordning som reglerar personuppgiftsbehandling i informationssystemet om arbetsskador ersätts av en lag och att gallringstiden i den arbetsmarknadspolitiska verksamheten förlängs i Arbetsförmedlingens registerlag. De senare förslagen motiveras inte av behovet av anpassning till dataskyddsförordningen. Merparten av bestämmelserna i registerförfattningarna kvarstår oförändrade. De flesta förslag är följder av eller anpassningar till dataskyddsförordningen och till att personuppgiftslagen (1998:204) upphävs. Hänvisningar till personuppgiftslagen tas som en konsekvens till detta bort. Vissa andra bestämmelser tas bort eftersom motsvarande bestämmelser finns i dataskyddsförordningen eller i den föreslagna dataskyddslagen. I andra fall förs hänvisningar in till dataskyddsförordningen eller den föreslagna dataskyddslagen. Dessa förslag bidrar till att undvika dubbelreglering och klargör de olika regelverkens förhållande till varandra. I de flesta fall innebär ändringarna i sig inte någon ändring i sak i förhållande till vad som gäller . Förslagen i propositionen bedöms ge förutsättningar för myndigheterna på arbetsmarknadsområdet att även i fortsättningen bedriva sin verksamhet på ett effektivt och rättssäkert sätt som de registrerade ges ett fullgott skydd mot onödiga intrång i den personliga integriteten. Dataskyddsförordningen kommer i sig att leda till stora konsekvenser för både det allmänna och enskilda. Dessa behandlas dock inte i detta lagstiftningsärende. 2017/18:112 9.2 Alternativa lösningar eller att inte reglera alls En alternativ lösning till förslagen i propositionen är att upphäva registerförfattningar på arbetsmarknadsområdet och låta myndigheternas personuppgiftbehandling ha sitt rättsliga stöd i dataskyddsförordningen kompletterad av den föreslagna dataskyddslagen. En sådan lösning skulle dock i hög grad försämra berörda myndigheters möjligheter till en effektiv och ändamålsenlig behandling av personuppgifter som rättsläget skulle bli mer oklart för både personuppgiftsansvariga myndigheter och för de registrerade. Regeringen bedömer att de ekonomiska konsekvenserna av förslagen i denna proposition blir ytterst begränsade. Initialt kan förslagen innebära högre kostnader för myndigheterna för bland annat anpassning av it-system och utbildning av personal. Dessa bedöms dock vara av den omfattningen att de ryms inom de befintliga ekonomiska ramarna. Förslagen bedöms inte medföra några kostnader eller ökad administrativ börda för enskilda. 9.4Konsekvenser för jämställdhet, miljö och små företag Förslagen bedöms inte få några konsekvenser för jämställdheten mellan kvinnor och män. Förslagen bedöms inte ha några sociala eller miljömässiga konsekvenser eller några särskilda effekter för vare sig små eller stora företag. 10.1Förslaget till lag om behandling av personuppgifter i informationssystem om arbetsskador 1 § Denna lag tillämpas vid behandling av personuppgifter i informationssystem om arbetsskador. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förslaget behandlas i avsnitt 6.1 och 6.2. I paragrafen anges lagens tillämpningsområde. Informationssystemet om arbetsskador utgör en av de särskilda uppgifter som ansvarar för enligt 2 § förordningen (2007:913) med instruktion för . Informationssystemet utgör också en del av myndighetens ansvar för den officiella statistiken enligt förordningen (2001:100) om den officiella statistiken. Av första stycket framgår att sådan behandling av personuppgifter vid som inte rör informationssystemet om arbetsskador, inklusive intern administration, faller utanför lagens tillämpningsområde. I paragrafens andra stycke begränsas tillämpningsområdet till en viss typ av behandling av personuppgifter. behandling som inte ingår eller kommer att ingå i ett register faller utanför lagens tillämpningsområde. Bestämmelsen i andra stycket är utformad i nära anslutning till artikel 2.1 i dataskyddsförordningen och bör tolkas på samma sätt. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Förslaget behandlas i avsnitt 6.3.1. Av paragrafen framgår att lagen utgör ett komplement till dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Lagens hänvisningar till dataskyddsförordningen är dynamiska, det vill säga avser förordningen i dess gällande lydelse. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Förslaget behandlas i avsnitt 6.3.2. Paragrafen upplyser om hur lagen förhåller sig till lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning, kallad dataskyddslagen. Bestämmelsens första led klargör att det i dataskyddslagen finns generella nationella bestämmelser om behandling av personuppgifter som kompletterar och preciserar dataskyddsförordningen och som därmed även gäller för hantering av personuppgifter i informationssystemet om arbetsskador. Andra ledet anger att dataskyddslagen är subsidiär i förhållande till denna lag. Det innebär att dataskyddslagens bestämmelser endast gäller om inte annat föreskrivs i lagen eller föreskrifter meddelade i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Förslaget behandlas i avsnitt 6.4. I paragrafen görs ett undantag från den rätt att invända mot behandling av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskyddsförordningen. 5 § är personuppgiftsansvarigt för den behandling av personuppgifter som myndigheten utför enligt denna lag. Förslaget behandlas i avsnitt 6.5. Paragrafen anger vem som är personuppgiftsansvarig för behandling av personuppgifter enligt lagen. Utpekandet av som personuppgiftsavsvarigt är i enlighet med artikel 4.7 andra ledet i dataskyddsförordningen. 6 § får behandla personuppgifter i informationssystemet om arbetsskador om det är nödvändigt för att ge underlag för arbetet med att förebygga arbetsskador. En sådan behandling får innefatta 1.registrering av arbetsskador och bearbetning av sådana uppgifter, 4.forskning och undervisning, 5.framställning av statistik, och 6.planering, uppföljning och utvärdering av förebyggande arbete mot arbetsskador. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Förslaget behandlas i avsnitt 6.6.1 och 6.6.2. Paragrafen behandlar de så kallade primära ändamålen för behandlingen av personuppgifter i informationssystemet om arbetsskador. I paragrafens första stycke anges de primära ändamålen. Beskrivningen av ändamålen får betydelse för vilken insamling och annan behandling av personuppgifter som är tillåten enligt lagen. Att ändamålen fastställs i lag främjar att personuppgiftsbehandlingen sker i enlighet med principerna om laglighet, korrekthet och öppenhet (artikel 5.1 a i dataskyddsförordningen). Bestämmelsen utgör en yttre ram för vilka slags personuppgiftsbehandlingar som är tillåtna enligt lagen och är en sådan specifikationsbestämmelse som är tillåten enligt artikel 6.2 i dataskyddsförordningen. Att det anges ett krav på att behandlingen ska vara nödvändig för de angivna ändamålen innebär ett tydliggörande av kraven på laglig behandling enligt artikel 6.1 i dataskyddsförordningen. Paragrafens andra stycke upplyser om att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål.