prop · H503105 · 2018-02-20 00:00:00 — Vidarebehandling av personuppgifter för arkivändamål av allmänt intresse ska enligt EU:s dataskyddsförordning inte anses vara ofören- lig med de ursprungliga ändamålen. Någon rättslig grund behöver inte fastställas för sådan vidarebehandling. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser instämmer i utredningens bedömning eller kommenterar den inte. Enligt ryms myndigheternas arkivering inom det ändamål för vilket uppgifterna ursprungligen samlas in. anser därför att begreppet arkiv- ändamål av allmänt intresse bör reserveras för den behandling som sker hos arkivinstitutioner. påpekar att utredningen inte har behandlat frågan om huruvida arkivändamål ska anses vara arkivändamål av allmänt intresse. anger att även kommunala arkivmyndigheter tar över och förvarar enskilda arkiv. Skol- verket anser att även denna verksamhet bör regleras. Skälen för regeringens bedömning Begreppet arkivändamål av allmänt intresse I dataskyddsförordningen finns ett antal bestämmelser som särskilt rör personuppgiftsbehandling för arkivändamål av allmänt intresse. Enligt artikel 5.1 b gäller exempelvis att ytterligare behandling (vidarebehand- ling) av personuppgifter för sådana ändamål, i enlighet med artikel 89.1, inte ska anses oförenlig med de ursprungliga ändamålen. Av artikel 5.1 e följer att personuppgifter får lagras än vad som normalt gäller, om uppgifterna enbart kommer att behandlas för arkiv- ändamål av allmänt intresse. Den förlängda bevarandetiden gäller under förutsättning att lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1. I artikel 89.1 anges att behandling av personuppgifter för arkivändamål av allmänt intresse ska omfattas av lämpliga skyddsåtgärder i enlighet med förordningen för den registre- rades rättigheter och friheter. Dessa skyddsåtgärder ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Bestämmelsen är direkt tillämplig och riktar sig till den personuppgiftsansvarige. Detta utesluter dock inte att vissa skyddsåtgärder som avses i artikeln föreskrivs i författning. Begreppet arkivändamål av allmänt intresse definieras inte i data- skyddsförordningen. I dataskyddsdirektivet används i stället begreppet historiska ändamål. Det är oklart om någon skillnad i innebörd är avsedd. Den närmare innebörden av begreppet arkivändamål av allmänt intresse får därför klargöras i rättstillämpningen, särskilt i förhållande till begreppet historiska forskningsändamål som i dataskyddsförordningen ofta används i samma bestämmelser. Svenska myndigheter, kommunala bolag och vissa andra organ är enligt arkivlagen (1990:782) skyldiga att bevara sina allmänna handlingar. Myndigheternas arkiv är enligt 3 § arkivlagen en del av det nationella kulturarvet och ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Enligt regeringens mening står det klart att den behandling av personuppgifter som utförs för att uppfylla de krav som ställs i arkivlagen och anslutande föreskrifter måste anses ske för arkivändamål av allmänt intresse. Om begreppet skulle ha den snävare innebörd som förespråkar, dvs. endast avse den behandling som sker av arkivmyndigheter, skulle det kunna ifrågasättas om myndigheter och andra organ skulle få ha interna arkiv för bevarande av uppgifter som inte längre behövs för det ursprungliga ändamålet. Detta kan inte vara avsikten med regleringen. Föreskrifter om arkiv finns även på andra områden än inom den offentliga sektorn. Som påpekar anges det i 12 § lagen om att arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av kyrkans hand- lingar, behovet av information för rättskipning och förvaltning och forsk- ningens behov. Regeringen gör bedömningen att behandling av person- uppgifter som är nödvändig för att uppfylla sådan annan arkivlagstift- ning, som på motsvarande sätt som arkivlagen syftar till att bevara och vårda en del av det svenska kulturarvet, också måste anses ske för arkiv- Prop. 2017/18:105 ändamål av allmänt intresse. Däremot anser regeringen, i likhet med utredningen, att behandling av personuppgifter som utförs för att uppfylla krav på bevarande för andra syften, såsom exempelvis kravet på arkivering av räkenskapsinformation enligt bokföringslagen (1999:1078), inte utgör behandling för arkiv- ändamål av allmänt intresse. Det är dock en annan sak att det, när kravet på bevarande för andra syften inte längre kvarstår, kan finnas skäl att bevara även sådan information för arkivändamål av allmänt intresse, t.ex. för att arkivlagen kräver det. Rättslig grund och tillåten vidarebehandling Den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50). Vidarebehandling är det bara fråga om när ett och samma organ, eller dennes personuppgiftsbiträde, utför ytterligare behandlingar avseende en viss uppgift. När en arkivmyndighet, t.ex. , övertar arkiv- material från en annan myndighet övergår hela ansvaret för det materialet till arkivmyndigheten (9 § tredje stycket arkivlagen). Den myndighet som har överlämnat materialet förfogar därefter inte längre över detta. Den myndigheten bestämmer inte heller längre över ändamålen och medlen för arkivmyndighetens behandling av de personuppgifter som förekommer i materialet. bär i stället personuppgifts- ansvaret för de behandlingar som sker därefter (se definitionen av begreppet personuppgiftsansvarig i artikel 4.7 i dataskyddsförordningen). Detta innebär att det behövs en rättslig grund för arkivmyndigheternas behandling av de personuppgifter som finns i det övertagna materialet. Den behandlingen sker för att utföra en i arkivlagstiftningen fastställd uppgift av allmänt intresse (se avsnitt 8.4). Nödvändig behandling hos arkivmyndigheterna kan därmed ske med dessa bestämmelser som rättslig grund, enligt artikel 6.1 e i dataskyddsförordningen. Detta gäller även t.ex. då enligt 6 § andra stycket förordningen (2009:1593) med instruktion för tar emot arkivhandlingar från enskilda som är av särskild betydelse för forskning och kulturarv. efterfrågar en reglering för kommunala arkivmyndig- heter som övertar arkivmaterial från enskilda organ. Det finns inte något underlag för att i detta lagstiftningsärende bedöma behovet av en sådan reglering. Det kan dock konstateras att det i det enskilda fallet kan vara så att arkiven överlämnas till arkivmyndigheten som deposition, dvs. utan att äganderätten övergår. I sådana fall kan parterna avtala om att arkivmyndigheten ska ges ett privaträttsligt uppdrag att i egenskap av personuppgiftsbiträde förvara och vårda materialet för deponentens räkning. 2017/18:105 14.1.2 Rättsligt stöd för behandling som utförs av Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla person- uppgifter för arkivändamål av allmänt intresse. Den myndighet som regeringen bestämmer får även i enskilda fall tillåta sådan behandling. Ett beslut får förenas med villkor. Utredningens förslag överensstämmer i sak med regeringens. Utred- ningen föreslår en annan språklig utformning av bestämmelsen. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag eller har inga synpunkter på det. ser behovet och nyttan av föreskrifter och beslut inom området, men efter- frågar ett förtydligande av förhållandet mellan de generella föreskrifterna och de förvaltningsbeslut som föreslås beslutas i enstaka fall, samt vad föreskrifterna i praktiken ska reglera. Vidare påpekar att det inte framgår om de enskilda arkivens eller arkivinstitutionernas behand- ling av personuppgifter ska stå under Datainspektionens tillsyn. betonar att det är av yttersta vikt att den här typen av bestämmelse införs. och bibliotek anför att det är av yttersta vikt att deras arbete inte försvåras eller omöjliggörs av ny lagstiftning på området. Föreningen ställer sig bakom förslaget som en temporär lösning i avvaktan på regeringens utredning om arkivsektorn. Vidare anser föreningen att är den givna myndigheten att hantera ett sådant ackrediteringsförfarande samt att det bör framgå att myndighetsutövningen ska ske i samråd med den enskilda arkivsektorn. anser däremot att Datainspek- tionen ska ha föreskriftsrätten i stället för . Datainspektionen avstyrker förslaget och anser att bemyndigandet innebär att regeringen och kan ge enskilda arkiv rätt att behandla personuppgifter för arkivändamål av allmänt intresse trots att en sådan uppgift inte är fastställd i nationell rätt. anser att begreppet allmänt intresse bör definieras, särskilt i förhållande till enskilda arkivinstitutioner. Skälen för regeringens förslag Begreppet arkivändamål av allmänt intresse Även de som inte omfattas av arkivlagstiftningen kan i vissa fall behandla personuppgifter för arkivändamål av allmänt intresse. Av skäl 158 till dataskyddsförordningen framgår att ett sådant organ bör ha en rättslig skyldighet att förvärva, bevara, bedöma, organisera, beskriva, kommunicera, främja, sprida och ge tillgång till uppgifter av bestående värde för allmänintresset. Medlemsstaterna bör enligt samma skäl ha rätt att föreskriva att personuppgifter får vidarebehandlas för arkivering, exempelvis i syfte att tillhandahålla specifik information om politiskt beteende under tidigare totalitära regimer, folkmord, brott mot mänsklig- heten, särskilt Förintelsen, eller krigsförbrytelser. anser att begreppet allmänt intresse bör definieras, särskilt i förhållande till enskilda arkivinstitutioner. Regeringen kan dock konstatera att begreppet är EU-rättsligt och inte kan definieras i nationell lagstiftning. Begreppet måste i stället ges utrymme att utvecklas i rättstillämpningen. Om syftet med behandlingen är just arkivändamål av allmänt intresse, och inte t.ex. historiska forsknings- ändamål, måste bedömas från fall till fall. Rättsligt stöd för enskilda arkivorgans behandling av personuppgifter Det finns i ett antal enskilda organ som samlar in eller vidare- behandlar personuppgifter för arkivändamål av allmänt intresse. Den rättsliga grunden för denna behandling torde i normalfallet vara att verk- samheten är av allmänt intresse enligt 10 § d PUL. Det är dock oklart om uppgifterna för de enskilda arkivorgan, vilkas verksamhet är av allmänt intresse, alltid är fastställda i enlighet med svensk rätt på det sätt som krävs för att artikel 6.1 e i dataskyddsförordningen ska vara tillämplig. När dataskyddsförordningen börjar tillämpas kan därmed den rättsliga grunden för de enskilda organens behandling av personuppgifter komma att ifrågasättas. Det finns därför behov av att förtydliga det rättsliga stödet för sådan personuppgiftsbehandling. Regeringen delar utredningens bedömning att detta bör ske genom att det införs en möjlighet för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter som tillåter att person- uppgiftsansvariga behandlar personuppgifter för arkivändamål av allmänt intresse. Till skillnad från Datainspektionen anser regeringen att en föreskrift som tillåter en personuppgiftsansvarig att behandla person- uppgifter för arkivändamål av allmänt intresse ger det stöd i rätts- ordningen som behövs. En föreskrift som tillåter att t.ex. en förening behandlar personuppgifter för arkivändamål av allmänt intresse innebär i sig att föreningen erkänns ha befogenhet att bedriva arkivverksamhet av allmänt intresse. Därmed är en uppgift av allmänt intresse fastställd på det sätt som krävs enligt artikel 6.3 första stycket i dataskyddsförord- ningen. Regeringen har för avsikt att delegera föreskriftsrätten till , eftersom det är den myndighet som har bäst förutsättningar att bedöma vilka kriterier som ska vara uppfyllda för att en arkivverksamhet ska anses vara av allmänt intresse i dataskyddsförordningens mening. Riks- arkivet bör dock ha en skyldighet att höra Datainspektionen innan föreskrifter meddelas. Vidare bör vid behov inhämta synpunkter från den enskilda arkivsektorn i allmänhet och de berörda personuppgiftsansvariga i synnerhet. Med anledning av önskemål om förtydligande av vad föreskrifterna i praktiken ska reglera kan regeringen nämna att före- skrifterna skulle kunna innehålla generella bestämmelser som bör gälla för all arkivverksamhet av allmänt intresse som inte omfattas av arkiv- lagstiftningen, i linje med vad som anges i skäl 158. De berörda person- uppgiftsansvariga skulle kunna anges i en bilaga till föreskrifterna, med angivande av den verksamhet som bedöms vara av allmänt intresse. I förekommande fall kan begränsningar avseende de generella bestäm- melserna eller särskilda villkor för tillämpningen anges. 2017/18:105 utformningen av föreskrifterna och innehållet i dessa bör dock över- lämnas till att bestämma. Det är tänkbart att det kan uppstå enstaka situationer där föreskrifts- formen inte är lämplig, men där det ändå finns skäl att tillåta behandling av personuppgifter för arkivändamål av allmänt intresse. Det kan t.ex. röra sig om behandling som ska ske av en personuppgiftsansvarig eller i ett mycket begränsat avseende. I likhet med den ordning som gäller för behandling av personuppgifter om lagöver- trädelser som föreslås i avsnitt 11, bör därför den myndighet som regeringen bestämmer i enskilda fall kunna pröva om den behandling som utförs sker för arkivändamål av allmänt intresse i dataskyddsförord- ningens mening. Regeringen har för avsikt att ge även denna uppgift. Om bedömer att sökandens arkivverksamhet uppfyller dataskyddsförordningens krav kan denna genom ett särskilt beslut medges rätt att behandla personuppgifter för arkivändamål av allmänt intresse. Den personuppgiftsbehandling som är nödvändig för detta ändamål kan då ske med beslutet som rättslig grund. Ett beslut som går sökanden emot bör kunna överklagas, se avsnitt 17.5. påpekar att det i betänkandet inte framgår om Datainspek- tionen ska utöva tillsyn över de enskilda arkivens eller arkivinstitu- tionernas behandling av personuppgifter. Regeringen kan i det samman- hanget nämna att regeringen har för avsikt att, i förordning, utse Datainspektionen som tillsynsmyndighet enligt dataskyddsförordningen. All behandling av personuppgifter som sker inom dataskyddsförord- ningens och dataskyddslagens tillämpningsområde kommer att omfattas av Datainspektionens tillsyn, oavsett vilken den rättsliga grunden för behandlingen är. Det innebär således, precis som , att en enskild arkivinstitution som förvarar handlingar som innehåller personuppgifter kommer att stå under Datainspektionens tillsyn. Detta gäller oavsett om behandlingen utförs med stöd av föreskrifter eller beslut, på grund av att behandlingen sker för arkivändamål av allmänt intresse, eller om organet genom ett civilrättsligt avtal med arkivmaterialets ägare endast behandlar personuppgifterna i egenskap av personuppgiftsbiträde åt deponenten. Regeringen har tidigare bedömt att det finns anledning att genomföra en bred översyn av arkivväsendet i landet och att denna översyn även ska tydliggöra de enskilda arkivens viktiga roll som en del av det gemen- samma kulturarvet (prop. 2016/17:116 s. 174–175). Utredningen förut- sätter mot denna bakgrund att frågor kring de enskilda arkivens behand- ling av personuppgifter kommer att utredas närmare. En sådan översyn av arkivväsendet har inletts. Enligt regeringens kommittédirektiv, dir. 2017:106, ska en särskild utredare bl.a. analysera om regleringen för de enskilda arkiven bör förändras för att kunna tillgodose behov inom rättsskipning, förvaltning, forskning och skydd för kulturarvet. Utredaren ska även utreda om de enskilda arkivens hantering av personuppgifter kräver ytterligare författningsstöd samt analysera och övriga arkivmyndigheters roll och uppgifter i relation till de enskilda arkiven och vid behov lämna förslag på hur dessa kan förändras. Föreningen påpekar kan därför den ordning som föreslås i detta lagstiftningsärende avseende enskildas behandling av personuppgifter för arkivändamål av allmänt intresse komma att bli en Prop. 2017/18:105 övergångslösning. 14.1.3Behandling av bland annat känsliga personuppgifter för arkivändamål Regeringens förslag: Känsliga personuppgifter och personuppgifter som rör lagöverträdelser får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Den myndighet som regeringen bestämmer får även i enskilda fall tillåta sådan behandling. Ett beslut får förenas med villkor. Utredningens förslag överensstämmer i sak med regeringens. Utred- ningen föreslår en annan språklig utformning av bestämmelsen. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag eller har inga synpunkter på det. anför att det är av yttersta vikt att den här typen av bestämmelse införs. och bibliotek anför att det är av yttersta vikt att deras arbete inte försvåras eller omöjliggörs av ny lagstiftning på området. Föreningen ställer sig bakom förslaget som en temporär lösning i avvaktan på regeringens utredning om arkivsektorn. Vidare anser föreningen att är den givna myndigheten att hantera ett sådant ackrediteringsförfarande samt att det bör framgå att myndighetsutövningen ska ske i samråd med den enskilda arkivsektorn. anser i stället att Datainspek- tionen ska ha föreskriftsrätten. Vidare anser att bestäm- melsen som rör sådan behandling av känsliga personuppgifter som är nödvändig för att följa föreskrifter om arkiv ska tas bort och att bestäm- melsen om sådan behandling av personuppgifter som rör lagöverträdelser ska kompletteras med ett krav på dokumentation, om pseudonymiserade uppgifter inte kan användas vid arkiveringen. anser inte att det är självklart att förordningen ska tolkas så att det finns ett behov av att i dataskyddslagen eller i annan nationell lagstiftning ta in bestämmelser om undantag från förbudet att behandla känsliga person- uppgifter. Om sådana bestämmelser beslutas anser myndigheten att detta inte bör ske utan ett förtydligande av det av utredningen använda uttrycket föreskrifter om bevarande och vård av arkiv. Även anser det vara av vikt att det fortsatta lagstiftnings- arbetet tydliggör vilka delar av arkivlagstiftningen som formuleringen om föreskrifter om bevarande och vård av arkiv syftar på. Datainspek- tionen anser att utredningen inte har visat att det skydd som finns i nationell lagstiftning för myndigheters arkiv uppfyller kraven på lämp- liga skyddsåtgärder. Skälen för regeringens förslag Myndigheter och andra organ som omfattas av föreskrifter om arkiv Bestämmelsen i 8 § andra stycket PUL tydliggör att personuppgiftslagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Bestämmelsen innebär bl.a. att känsliga personuppgifter kan behandlas trots förbudet i 13 § PUL (prop. 1997/98:44 s. 47–48). I praktiken innebär bestämmelsen i 8 § andra stycket PUL att arkivlagstiftningen har företräde framför personuppgiftslagen. Detta är en nödvändig utgångspunkt för att den svenska offentlighetsprincipen fullt ut ska kunna fylla sin funktion. Det finns ingenting i dataskyddsförordningen som förhindrar att ett sådant synsätt bibehålls. Tvärtom säkerställs, som utvecklas i avsnitt 7.1, offentlighetsprincipens ställning genom artikel 86 i förordningen. I artikel 9.1 i dataskyddsförordningen anges att behandling som avslöjar känsliga personuppgifter ska vara förbjuden, se avsnitt 10.1. Utrymmet för undantag från detta förbud, vid behandling som är nöd- vändig för arkivändamål av allmänt intresse, regleras i artikel 9.2 j. Där anges att förbudet inte gäller om behandlingen är nödvändig för arkiv- ändamål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. För att behandling av känsliga personuppgifter ska vara tillåten för arkivändamål i allmänt intresse krävs således att unionsrätten eller den nationella rätten innehåller bestämmelser om lämpliga och särskilda åt- gärder. Detta krav överensstämmer med det som gäller för behandling av känsliga personuppgifter med hänsyn till andra viktiga allmänna intressen enligt artikel i dataskyddsförordningen. Kraven på lämp- liga och särskilda åtgärder i artikel och j i dataskyddsförordningen motsvarar det krav på skyddsåtgärder som ställs enligt dataskydds- direktivet. Kravet på lämpliga och särskilda åtgärder i dataskydds- förordningen innebär således ingen ny begränsning av möjligheten att behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Den nödvändiga behandling av personuppgifter som sker vid arkiv som omfattar allmänna handlingar har rättslig grund i arkivlagen och anslutande föreskrifter. Regeringen konstaterar i avsnitt 10.4 att svensk rätt innehåller lämpliga och särskilda åtgärder som skyddar enskildas integritet vid hanteringen av allmänna handlingar, t.ex. i form av sekretess, rätt till partsinsyn och föreskrifter om informationssäkerhet och gallring. I synnerhet de nationella författningsbestämmelserna om sekretess utgör en sådan lämplig och särskild åtgärd som avses i artikel och j, eftersom dessa har utformats noggrant efter en avväg- ning mellan behovet av skydd och intresset av insyn. Regeringen anser mot denna bakgrund, till skillnad från Datainspek- tionen, att det skydd som enligt svensk rätt gäller för myndigheters arkiv uppfyller kraven på lämpliga och särskilda åtgärder. Enligt regeringens bedömning kan därmed även känsliga personuppgifter behandlas då det är nödvändigt för att följa föreskrifter om arkiv, med stöd av artikel 9.2 j i dataskyddsförordningen. Till skillnad från anser dock regeringen att dataskydds- lagen bör innehålla en uttrycklig bestämmelse som, i likhet med 8 § andra stycket första meningen PUL, tydliggör att en myndighet får arkivera och bevara allmänna handlingar som innehåller känsliga person- uppgifter samt att arkivmaterial som innehåller känsliga personuppgifter får tas om hand av en arkivmyndighet. Utredningen föreslår att känsliga personuppgifter ska få behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om bevarande och vård av arkiv. Av Pensions- myndighetens och Centrala remissyttranden fram- går att denna formulering skulle kunna förstås på så sätt att den endast syftar på vissa delar av arkivlagstiftningen. Enligt regeringen bör bestäm- melsen därför i stället ange att känsliga personuppgifter får behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Bestämmelsen förtydligar bl.a. att data- skyddsförordningen och dataskyddslagen inte hindrar att allmänna handlingar arkiveras och bevaras eller att arkivmaterial tas om hand av en arkivmyndighet.