prop · H503107 · 2018-02-28 00:00:00 — Därutöver har de statistikansvariga myndigheterna enligt bl.a. artikel 89.1 ett eget ansvar att vidta de organisatoriska åtgärder som kan bedömas nödvändiga ur ett skyddsperspektiv och som är anpassade till respektive verksamhet. I samband med ändringar i statistikregleringen beaktar regeringen ändringens inverkan på den personliga integriteten. Konsekvensbedömningar görs därför kontinuerligt. Sammantaget bedöms skyddsåtgärderna som omgärdar statistikframställningen hos de statistikansvariga myndigheterna ge tillräckliga förutsättningar för att dataskyddsförordningens krav på särskilda skyddsåtgärder ska uppfyllas. 8.6Skillnader mellan officiell statistik och annan statistik hos statistikansvariga myndigheter Regeringens bedömning: Regleringen av statistikansvariga myndigheters framställning av statistik bör vara densamma för officiell statistik och annan statistik, om inte särskilda skäl talar för något annat. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Remissinstanserna instämmer i bedömningen eller har inte något att invända mot denna. Skälen för regeringens bedömning: I 1 § tredje stycket lagen om den officiella statistiken anges att regleringen i 14, 15 och 19 §§, som avser personuppgiftsbehandling, även ska gälla vid framställning av annan Prop. 2017/18:107 statistik än officiell statistik hos en statistikansvarig myndighet. arbetena anförde regeringen att det är betydelsefullt för den enskilde att samma regler gäller inom samma verksamhetsområde. Det ansågs inte som lämpligt att regler för uppgifter om en enskild ska vara olika hos samma myndighet och inom samma verksamhetsområde, endast av det skälet att uppgifterna i det ena fallet ska användas för officiell statistik och i det andra för annan statistik (prop. 2000/01:27 s. 66). Denna övergripande bedömning får anses gälla än . Flera olika regelverk riskerar vidare att leda till osäkerhet för den enskilde om vilka rättigheter som finns i ett särskilt fall och också medföra en ökad osäkerhet hos de personuppgiftsansvariga eller andra som har att tillämpa regelverken. Som anförts i avsnitt 3 har bedömt att bristande tillgänglighet till SCB:s registerdata försvårar forskning och utveckling, där bl.a. komplexa regelverk bedöms bidra till att utlämnandeprocessen tar och kan uppfattas som godtycklig (RiR 2017:14 s. 7). Många olika regelverk kan innehålla bestämmelser om hantering av personuppgifter. Det kan även uppkomma svåra gränsdragningar mellan berättigade ändamål och skyddet för den personliga integriteten. Mot denna bakgrund bör regelverken för officiell statistik och annan statistik hos statistikansvariga myndigheter ses över för att säkerställa att det inte förekommer omotiverade skillnader. Utgångspunkten bör vara att regleringen av statistikansvariga myndigheters framställning av statistik bör vara densamma för officiell statistik och annan statistik, om inte särskilda skäl talar för något annat. Trots den bedömning som gjordes i samband med lagen om den officiella statistikens tillkomst finns vissa skillnader i de regler som gäller vid framtagande av officiell statistik och annan statistik. I avsnitt 8.6.1 behandlas en av dessa skillnader. I avsnitt 8.6.2 behandlas en situation då det finns särskilda skäl att ha olika regler för framställning av officiell statistik och annan statistik. 8.6.1Utlämnande av uppgifter i vissa fall Regeringens förslag: Bestämmelserna i 16 § lagen om den officiella statistiken, som möjliggör kompletteringar av tidigare utlämnade uppgifter, ska även gälla vid framställning av annan statistik än officiell statistik hos en statistikansvarig myndighet. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Alla remissinstanser utom Datainspektionen tillstyrker förslaget eller har inte något att invända mot detta. Datainspektionen avstyrker förslaget. Enligt myndigheten visar inte analysen i promemorian att den nationella rätten uppfyller dataskyddsförordningens krav på proportionalitet i artikel 6.3. Enligt Datainspektionen saknas en konkret redogörelse för vilka nackdelar eller risker utlämnandet kan innebära för de registrerade och en analys av om dessa undantag medför behov av ytterligare skyddsåtgärder. Skälen för regeringens förslag: I 16 § lagen om den officiella statistiken finns bestämmelser om utlämnande av uppgifter i vissa fall. 2017/18:107 situationer som avses är när en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, men som genom att förses med en beteckning kan kopplas till ett personnummer eller mot- svarande för att den statistikansvariga myndigheten som lämnat ut upp- gifterna senare ska kunna komplettera dessa. Genom den möjlighet till identifiering som regleringen ger är uppgifterna att betrakta som personuppgifter enligt såväl PUL som dataskyddsförordningen (se också skäl 26 till förordningen). Detta skiljer sig således från en färdig statistik- produkt, eller vad förordningen betecknar som statistiska resultat, som består av aggregerade personuppgifter (se avsnitt 6 samt skäl 162 i förord- Bestämmelserna i 16 § räknas inte upp i 1 § tredje stycket lagen om den officiella statistiken och gäller således endast uppgifter som används vid framställning av officiell statistik. Möjligheten att förse uppgifter med beteckningar, genom att använda s.k. kodnycklar, är avgörande för att lämna ut uppgifter till undersökningar som sträcker sig , s.k. longitudinella studier. longitudinella studier och registerforskning har beskrivits utförligt i betänkande Unik kunskap genom registerforskning (SOU 2014:45). Behovet av att lämna ut uppgifter till forskning och för statistikändamål framhålls också av SCB i den hem- myndigheten inkommit med till regeringen (se avsnitt 3). tiven vore att begränsa möjligheterna till longitudinella studier kraftigt, eller att personuppgifter lämnas ut för forsknings- eller statistiska ändamål i sådant skick att de direkt kan hänföras till en enskild. alternativ framstår som ändamålsenligt. I dataskyddsförordningen används begreppet pseudonymisering, som i artikel 4.5 definieras som behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska eller organisatoriska åtgärder som säkerställer att person- uppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. I skäl 28 i förordningen klargörs att pseudonymisering kan minska riskerna för de registrerade som berörs och hjälpa personuppgiftsansvariga och personuppgiftsbiträden att fullgöra sina skyldigheter i fråga om dataskydd. Pseudonymisering anges också som ett exempel på en sådan skyddsåtgärd som får vidtas för att se till att särskilt principen om uppgiftsminimering iakttas när personuppgifter behandlas för bl.a. statistiska ändamål (artikel 89.1 och skäl 156). Mot bakgrund av det ovanstående står det klart att nuvarande principer i 16 § lagen om den officiella statistiken om möjligheten att förse ut- lämnade uppgifter med en beteckning för möjlighet till senare identifiering av fysiska personer är förenliga med dataskyddsförordningen. i avsnitt 8.6 är det principiellt önskvärt med en så likartad reglering som möjligt av officiell statistik och annan statistik hos statistikansvariga Det gäller också för möjligheterna att lämna ut uppgifter med beteckningar som skapats av kodnycklar eller motsvarande. bakgrund av syftet bakom lagen om den officiella statistiken, och även regeringens förväntningar att statistikansvariga myndigheter ska kunna utföra uppdrag även åt andra aktörer, bör regelverket ändras. registrerades perspektiv finns det ingenting som talar för att behandlingar som görs för framtagande av annan statistik än sådan som utgör officiell Prop. 2017/18:107 statistik skulle medföra ett större intrång i den personliga integriteten. fördelar som förslaget medför i form av ökad enhetlighet samt ökad tillgänglighet till data för forskning och statistik, bedöms därför klart överstiga de risker för otillbörligt intrång i den personliga integriteten som förslaget skulle kunna medföra. De allmänna skyddsåtgärder som redovisas i avsnitt 8.5 bedöms som tillräckliga för att tillgodose de registrerades rättigheter. Regeringen anser mot denna bakgrund, till skillnad från Datainspektionen, att det står klart att förslaget uppfyller dataskyddsförordningens krav på proportionalitet. Mot denna bakgrund föreslås en ändring i 1 § lagen om den officiella statistiken som innebär att bestämmelserna i 16 § samma lag även ska gälla vid framställning av annan statistik än officiell statistik hos en statistikansvarig myndighet. Skillnader mellan officiell statistik och annan statistik avseende behandling av känsliga Regeringens förslag: Vid framställning av annan statistik än officiell statistik ska en statistikansvarig myndighet få behandla känsliga personuppgifter och uppgifter om lagöverträdelser efter en prövning av om behandlingen är nödvändig för statistiska ändamål och om sam- hällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Vidare ska sådana personuppgifter få behandlas för forskningsprojekt under samma förutsättningar, om behandlingen har godkänts enligt lagen om etikprövning av forskning som avser människor. Promemorians förslag överensstämmer i sak med regeringens. promemorian föreslås att ändringen införs i förordningen om den officiella Remissinstanserna: Det stora flertalet av remissinstanserna tillstyrker förslaget eller har inte något att invända mot detta. Myndigheten ifrågasätter att statistikansvariga myndigheter utanför sitt huvuduppdrag, framställning av officiell statistik, ska ha en betydligt vidare möjlighet att behandla känsliga personuppgifter. Förslaget är enligt myndigheten inte analyserat utifrån regleringen i RF och dataskyddsförordningen vad gäller de nackdelar, risker och problem som behandlingen kan leda till för enskildas personliga integritet. Det har heller inte tagits ställning till hur man kan minimera riskerna för de registrerade. Skälen för regeringens förslag Förutsättningarna för att behandla känsliga personuppgifter Enligt 15 § lagen om den officiella statistiken får statistikansvariga myndigheter behandla känsliga personuppgifter eller uppgifter som rör lagöverträdelser om det följer av föreskrifter som regeringen meddelar. 2017/18:107 Detta gäller enligt 1 § tredje stycket oavsett om behandlingen avser officiell statistik eller annan statistik. Regeringen har meddelat sådana föreskrifter i 8 § förordningen om den officiella statistiken som hänvisar till bilagan till förordningen. I bilagan anges vilka myndigheter som får behandla vissa känsliga personuppgifter för särskilt angivna ändamål. Vidare anges i 9 § förordningen om den officiella statistiken att uppgifter som behandlas för framställning av officiell statistik även får behandlas för framställning av annan statistik och forskning. Detta gäller dock endast om ändamålet med behandlingen inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Som anges i avsnitt 8.3 får känsliga personuppgifter enligt dataskyddsförordningen behandlas utan samtycke för statistiska ändamål om en sådan behandling är nödvändig på grundval av unionsrätten eller nationell rätt, som ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. När det gäller personuppgifter som rör lagöverträdelser medger dataskyddsförordningen (artikel 10) att dessa behandlas av offentliga myndigheter, förutsatt att det finns en rättslig grund för behandlingen enligt artikel 6.1. Den nuvarande regleringen i 15 § lagen om den officiella statistiken och i förordningen om den officiella statistiken, som begränsar möjligheterna att behandla känsliga personuppgifter till vissa särskilt angivna områden, bör även fortsättningsvis gälla vid framtagande av officiell statistik, som är förenad med uppgiftsskyldighet för bl.a. enskilda organisationer, men inte för privatpersoner. När det gäller framställning av annan statistik hos statistikansvariga myndigheter finns dock anledning att pröva om denna reglering är ändamålsenlig. Behov av större möjligheter till behandling Genom att en statistikansvarig myndighet utför uppdrag åt andra aktörer i samhället ökar möjligheterna att utnyttja det statistiska materialet och myndighetens statistiska kompetens. Detta avspeglas bl.a. i SCB:s regleringsbrev . Som angetts ovan är dock de statistikansvariga myndigheterna med nuvarande reglering förhindrade att åta sig uppdrag som innebär att känsliga personuppgifter eller personuppgifter om lagöverträdelser behandlas i andra fall än de som anges i förordningen om den officiella statistiken. I vissa fall leder detta till att statistikansvariga myndigheter inte kan utföra de uppgifter av allmänt intresse som de tilldelats. Regleringen är i detta avseende mer strikt för statistikansvariga myndigheter än för andra aktörer. finns ett mervärde i att myndigheternas material och kompetens kommer samhället till godo. Det bör därför prövas om statistikansvariga myndigheter ska ges utvidgade möjligheter att behandla sådana typer av personuppgifter. SCB har i sin hemställan till regeringen (se avsnitt 3) framfört att det finns behov av att myndigheten utan samtycke ska få behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. även vid framställning av annan statistik än officiell statistik. SCB föreslår att det införs en generell rätt för myndigheten att för framställning av statistik behandla sådana personuppgifter som avses i 15 § lagen om den officiella Det är dock svårt att förutse vilka konsekvenser som ett sådant generellt bemyndigande skulle få för den personliga integriteten. En sådan reglering bör därför inte införas. Det bedöms dock finnas behov av att kunna behandla andra känsliga personuppgifter eller uppgifter om lagöverträdelser än de som anges i bilagan till förordningen om den officiella statistiken i angelägna forsknings- och statistikprojekt. Det framstår inte som ändamålsenligt om regelverket hindrar att SCB eller andra statistikansvariga myndigheter, vars statistiska kunnande ska komma samhället till godo, inte kan anlitas för sådana uppdrag. Hos andra aktörer kan känsliga personuppgifter i sådana uppdrag behandlas om det sker i enlighet med nuvarande bestämmelser i 19 § PUL. Dessa anger att känsliga personuppgifter får behandlas utan samtycke för forskningsändamål som godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor samt för statistikändamål, om behandlingen är nödvändig på sätt som sägs i 10 § och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan komma att innebära. Regeringen har i propositionen Ny dataskyddslag föreslagit att motsvarande reglering såvitt avser behandling av känsliga personuppgifter för statistiska ändamål förs in i den föreslagna dataskyddslagen. Vad avser offentliga myndigheters behandling av personuppgifter som rör lagöverträdelser ges denna rätt, som tidigare nämnts, direkt av dataskyddsförordningen. har vidare föreslagit att det i en ny forskningsdatalag tas in en bestämmelse som tillåter att känsliga personuppgifter och personuppgifter som rör lagöverträdelser får behandlas om behandlingen är nödvändig för forskningsändamål och om behandlingen har godkänts enligt lagen om etikprövning av forskning som avser människor (SOU 2017:50). Förslaget motsvarar den nuvarande regleringen i 19 § första stycket PUL. Då de statistikansvariga myndigheternas särskilda kunskaper om att framställa statistik i enlighet med vad som anförts ovan är en viktig resurs för samhället finns ett behov av att utvidga möjligheterna för dessa att behandla känsliga personuppgifter och uppgifter om lagöverträdelser vid framställning av annan statistik än officiell statistik. Regeringen bedömer mot denna bakgrund, till skillnad från Datainspektionen, att det finns särskilda skäl för att i detta avseende reglera officiell statistik och annan statistik olika. Utökade möjligheter till behandling Mot bakgrund av vad som ovan anförts föreslås att statistikansvariga myndigheter ska få behandla känsliga personuppgifter vid framställning av annan statistik än officiell statistik efter en prövning motsvarande den som föreslås i dataskyddslagen. Därutöver föreslås att statistikansvariga myndigheter efter en motsvarande prövning ska kunna behandla uppgifter om lagöverträdelser vid framställning av annan statistik än officiell statistik. En sådan prövning är inte nödvändig enligt dataskyddsförordningen, i och med att förbudet mot att behandla personuppgifter om lagöverträdelser, på motsvarande sätt som 21 § PUL, inte träffar offentliga myndigheter. Med hänsyn till den 2017/18:107 stora mängd personuppgifter som hanteras av statistikansvariga myndigheter framstår det emellertid som lämpligt att regleringen av dessa även fortsättningsvis är mer strikt än för andra myndigheter. Möjligheterna att pröva samhällsintresset av ett statistikprojekt bedöms också som tillräckliga för att syftet bakom förändringen, att det statistiska kunnandet ska komma samhället till godo, ska kunna uppnås. Även behandlingar av känsliga personuppgifter och uppgifter om lagöverträdelser för forskningsändamål bör i enlighet med vad som ovan anförts, och under samma villkor, tillåtas. En statistikansvarig myndighets egen behandling av uppgifterna bör ses som behandling för statistiska ändamål (se avsnitt 8.2), oavsett om uppgifterna därefter lämnas ut för forsknings- eller statistiska ändamål. Som ett förtydligande bör dock ett uttryckligt stöd för statistikansvariga myndigheter att behandla sådana uppgifter när myndigheten på uppdrag lämnar ut statistiska framställningar till forskningsprojekt införas. Det bör därför särskilt anges att sådan behandling är tillåten om den är en del i ett forskningsprojekt som är godkänt enligt etikprövningslagen. Den nu föreslagna regleringen innebär således utvidgade möjligheter för statistikansvariga myndigheter att behandla känsliga personuppgifter och personuppgifter om lagöverträdelser vid framställning av annan statistik än officiell statistik. Till skillnad från vad som vore fallet med ett generellt bemyndigande att behandla känsliga personuppgifter och uppgifter om lagöverträdelser innebär den föreslagna lösningen ett krav på att nödvändigheten av behandlingen och samhällsintresset ska väga tyngre än risken för otillbörligt intrång i den personliga integriteten. En prövning av detta ska göras för varje forsknings eller statistikprojekt. Vid forskningsprojekt garanteras lämpligheten och nödvändigheten av behandlingen genom etikprövningslagen (se också SOU 2017:50 s. 441 f.). Till skillnad från vad som föreslås i promemorian anser regeringen att regleringen bör ske i lag och inte genom förordning. Regleringen kommer därmed att ligga på samma normnivå som den generella bestämmelsen i den föreslagna dataskyddslagen. Datainspektionen har anfört att förslaget saknar en tillräcklig analys. I enlighet med vad regeringen anfört i avsnitt 8.3 och 8.5 bedöms dock en utökad möjlighet till behandling som proportionerlig med beaktande av det stora samhälleliga intresset och de skyddsåtgärder som omgärdar framställningen av statistik. är ett landsomfattande register för bostadslägenheter i Registret regleras i lagen (2006:378) om lägenhetsregister och förordningen (2007:108) om lägenhetsregister. registret används för folkbokföringen, framställning av statistik, forskning samt planering, uppföljning och utvärdering av bostadsbestånd och Med hjälp av lägenhetsregistret kan t.ex. SCB ta fram hushålls- och bostadsstatistik utan att genomföra de omfattande och kostnads- krävande folk- och bostadsräkningar som tidigare genomfördes vart femte Den som är bosatt i en fastighet som innehåller flera Prop. 2017/18:107 bostadslägenheter ska numera folkbokföras på fastigheten och lägenheten. Genom att lägenhetsnummer som finns i lägenhetsregistret registreras i folkbokföringen kan hushålls- och bostadsstatistik framställas. Det är den statliga lantmäterimyndigheten (Lantmäteriet) som för lägenhetsregistret, vilket framgår av 2 § lagen om lägenhetsregister. I 6 § anges vilka uppgifter som lägenhetsregistret får innehålla, bl.a. lägenhetsnummer, antal rum, kökstyp och bostadsarea. innehåller inte uppgifter som direkt kan hänföras till en fysisk person som är i livet, men genom kopplingen med bl.a. lägenhetsnummer innehåller det uppgifter som indirekt kan göra det. Uppgifter i lägenhetsregistret kan därför utgöra personuppgifter. Enligt 2 § lagen om lägenhetsregister ska PUL gälla vid behandling av personuppgifter i lägenhetsregistret, om inte annat följer av lagen med tillhörande föreskrifter eller av 2 § PUL. Lantmäteriet är enligt 4 § lagen om lägenhetsregister personuppgiftsansvarig för lägenhetsregistret. I 5 § regleras för vilka ändamål som uppgifter i lägenhetsregistret får behandlas. Dessa ändamål är folkbokföring, framställning av statistik, forskning samt planering, uppföljning och utvärdering av bostadsbestånd och byggande. Uppgifter till lägenhetsregistret får enligt 8 § lagen om lägenhetsregister hämtas från fastighetsregistret och från fastighetsägare. Utöver Lantmäteriet är respektive kommun behörig att föra in, ändra och ta bort vissa uppgifter i lägenhetsregistret. Kommunen ska också enligt 10 § fastställa en belägenhetsadress för varje entré samt, om det finns mer än en bostadslägenhet med samma belägenhetsadress, fastställa lägenhetsnummer för varje lägenhet. Vidare ska kommunen löpande registrera ändringar och kompletteringar av vissa uppgifter, vilket framgår av 13 §. Varje fastighetsägare är enligt 14 § bl.a. skyldig att lämna uppgifter till kommunen som föranleder ändringar eller kompletteringar av lägenhetsregistret. Regeringens bedömning: Det finns en rättslig grund för Lantmäteriet, kommuner och fastighetsägare att behandla personuppgifter i samband med förandet av lägenhetsregistret. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Remissinstanserna instämmer i bedömningen eller har inte något att invända mot denna. Skälen för regeringens bedömning: Som anges i avsnitt 9 är det Lantmäteriet som för och är personuppgiftsansvarig för lägenhetsregistret. Registret får inte innehålla andra uppgifter och uppgifterna får inte inhämtas på andra sätt än vad som lagen om lägenhetsregister uttryckligen ger stöd för. Detta talar för att lagligheten i de behandlingar av personuppgifter som Lantmäteriet vidtar, i sin roll som förare och personuppgiftsansvarig för lägenhetsregistret, främst ska anses grundad på en rättslig förpliktelse i enlighet med artikel 6.1 c i dataskyddsförordningen, även om uppgiften också kan betraktas som ett allmänt intresse i enlighet 2017/18:107 med artikel 6.1 e. Detsamma får anses gälla för en kommun eller en fastighetsägare som fullgör sina skyldigheter enligt lagen. Det ovan nämnda resonemanget kan dock inte tillämpas på kommuner och fastighetsägare när de behandlar personuppgifter från lägenhetsregistret i egenskap av användare av registret. Sådana behandlingar grundar sig inte på kommunens eller fastighetsägarens skyldigheter enligt lagen om lägenhetsregister. Rättsligt stöd för sådana behandlingar måste därför sökas på annan grund, t.ex. en kommuns skyldighet att planera sitt bostadsbestånd eller de berättigade intressen som en fastighetsägare efter en intresseavvägning kan anses ha av att behandla uppgifterna.