prop · H503112 · 2018-03-01 00:00:00 — Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från föreskrifterna i första och andra styckena, om detta behövs för forskningens behov. Material med personuppgifter som omfattas av en sådan föreskrift ska lämnas över till en arkivmyndighet. behöver för att kunna fullgöra sina Prop. 2017/18:112 arbetsuppgifter. Personuppgifter som behandlas för ändamål som anges i 4 § första stycket 1, 2, 3 och 5 ska gallras efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos Inspektionen för arbetslöshetsförsäkringen. Om personuppgifter enligt första stycket är nödvändiga för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål ska de gallras efter det att uppgifterna avskildes för dessa ändamål. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från föreskrifterna i första och andra styckena, om detta är nödvändigt för vetenskapliga eller historiska forskningsändamål. Material med personuppgifter som omfattas av en sådan föreskrift ska lämnas över till en arkivmyndighet. Denna lag träder i kraft . 5 Senaste lydelse 2017:592. 2.4Förslag till lag om ändring i lagen (2012:741) om behandling av personuppgifter vid utvärdering Härigenom föreskrivs i fråga om lagen (2012:741) om behandling av personuppgifter vid utvärdering dels att 13 och 15 §§ ska upphöra att gälla, dels att rubrikerna närmast före 13 och 15 §§ ska utgå, dels att 1–3, 5–9 och 14 §§ och rubriken närmast före 3 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 3 a och 6 a §§, och närmast före 2 och 3 a §§ nya rubriker av följande lydelse. Nuvarande lydelse Föreslagen lydelse Denna lag gäller vid behandling av personuppgifter i sådan verksamhet hos utvärdering som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen gäller inte behandling av personuppgifter vid tilldelning av forsk- Lagen tillämpas endast på helt behandlingen är helt eller delvis eller delvis automatiserad be- automatiserad eller om person- handling av personuppgifter och uppgifterna ingår i eller är avsedda annan behandling av person- att ingå i en strukturerad samling uppgifter som ingår eller kommer att ingå i ett register. Förhållandet till annan reglering Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av Första stycket gäller dock inte när personuppgifterna samlas in direkt från den enskilde. I sådant fall får personuppgifter behandlas endast om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. För återkallelse av ett lämnat samtycke tillämpas 12 § personuppgiftslagen (1998:204). direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:000) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Förhållandet till personuppgifts- Rätten att göra invändningar lagen Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter, om inte annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till denna lag. Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Första stycket gäller dock inte när personuppgifterna samlas in direkt från den enskilde. Samtycke när uppgifter har samlats in direkt från den enskilde Om personuppgifterna har samlats in direkt från den enskilde, får uppgifterna behandlas endast om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. Den registrerade har rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. behandlas om det behövs för att behandlas om det är nödvändigt för att fullgöra institutets uppdrag att främja, stödja och genom forskning främja, stödja och genom forskning 2017/18:112 genomföra studier, uppföljningar genomföra studier, uppföljningar Personuppgifter som behandlas för de ändamål som anges i 5 § får också behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). Personuppgifter som behandlas för de ändamål som anges i 5 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Personuppgifter som behandlas enligt 5 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Andra känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) än sådana som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa får inte behandlas för de ändamål som anges i 5 §. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen eller sådana uppgifter som avses i 21 § samma lag måste etikprövas. Inga andra personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning får behandlas för de ändamål som anges i 5 §. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. Om det behövs för de ändamål Om det är nödvändigt för de ändamål som anges i 5 §, får det hos institutet finnas samlingar av personuppgifter som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan Personuppgifter ska gallras så snart uppgifterna är nödvändiga för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för vetenskapliga eller historiska forskningsändamål eller statistiskaändamål. hänföras till en person. Uppgifterna får dock vara försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. hänföras till en person. får dock vara försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Om det behövs för de ändamål som anges i 5 §, får det hos institutet även finnas samlingar av personuppgifter som behandlas automatiserat som inte är sådana personuppgifter som avses i 8 §, om uppgifterna är nödvändiga för en viss avgränsad studie, uppföljning eller utvärdering. Om det är nödvändigt för de ändamål som anges i 5 §, får det hos institutet finnas samlingar av personuppgifter som behandlas automatiserat och som inte är sådana personuppgifter som avses i 8 §, om uppgifterna är nödvändiga för en viss avgränsad studie, uppföljning eller utvärdering. 14 § Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga Denna lag träder i kraft . 2017/18:112 3 Ärendet och dess beredning antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningen börjar tillämpas . I en promemoria som har utarbetats inom lämnas förslag till lagändringar på arbetsmarknadsområdet med anledning av dataskyddsförordningen (Ds 2017:33). En sammanfattning av promemorian finns i bilaga 1 och promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren och en sammanställning av remissvaren finns tillgängliga i (A2017/00468/A). Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet har lämnat förslagen utan erinran. I förhållande till lagrådsremissens lagförslag har vissa språkliga och redaktionella ändringar gjorts. Europeiska kommissionen lade 2012 fram ett förslag till en reformerad dataskyddsreglering i Europeiska unionen (EU). Förslaget innehöll dels en förordning med generella bestämmelser inom unionen om skydd av personuppgifter, dels ett direktiv med regler om skydd av personuppgifter som behandlas i samband med förebyggande, utredning, avslöjande eller lagföring av brott och därmed förbunden rättslig verksamhet. antogs och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningen (härefter kallad dataskyddsförordningen) kommer från och med att utgöra den generella regleringen av behandling av personuppgifter inom EU. Dataskyddsförordningen kommer att vara direkt tillämplig i medlemsstaterna men förutsätter och möjliggör kompletterande och mer detaljerade bestämmelser i medlemsstaternas nationella rätt. med dataskyddsförordningen antogs ett nytt dataskydds- direktiv med bestämmelser om behandling av personuppgifter inom den brottsbekämpande sektorn, och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med Prop. 2017/18:112 avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. 4.2Personuppgiftslagen och den föreslagna dataskyddslagen De grundläggande bestämmelserna om behandling av personuppgifter finns i personuppgiftslagen (1998:204), kompletterad av personuppgiftsförordningen (1998:1191). Personuppgiftslagen utgör det generella, nationella regelverk genom vilket och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) har genomförts i svensk rätt. För att säkerställa att det finns en generell och ändamålsenlig nationell reglering som kompletterar dataskyddsförordningen när förordningen börjar tillämpas utsågs en särskild utredare med uppdrag att föreslå de generella anpassningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till (Ju 2016:04, dir. 2016:15). Utredningen, som tog namnet , redovisade sitt uppdrag i betänkandet Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). beslutade regeringen propositionen Ny dataskyddslag (prop. 2017/18:105) som grundar sig på betänkande. I propositionen föreslås att personuppgiftslagen upphävs och att en ny lag med kompletterande bestämmelser till EU:s dataskyddsförordning införs, härefter kallad dataskyddslagen. Dataskyddslagen ska enligt förslaget vara subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i så kallade registerförfattningar. I denna proposition presenteras förslag på anpassningar av registerlagar på arbetsmarknadsområdet. Inom ansvarsområde finns registerlagar för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. Därutöver finns en förordning om behandling av personuppgifter i informationssystem om arbetsskador. förordning innehåller dataskyddsbestämmelser som i hög grad motsvarar de tre ovan nämnda registerlagarna, både när det gäller struktur och innehåll. 2017/18:112 De registerförfattningar som är aktuella i denna proposition är uppbyggda på ett sådant sätt att de endast innehåller bestämmelser som kompletterar eller avviker från personuppgiftslagen. De myndigheter som har en egen registerförfattning, till exempel Arbetsförmedlingen, tillämpar således både den egna registerförfattningen och personuppgiftslagen. 5.1Huvuddragen och grunderna i registerlagarna på arbetsmarknadsområdet kan och bör bevaras Regeringens bedömning: Eftersom registerlagarna på arbetsmarknadsområdet i allt väsentligt väl balanserar enskildas integritetsintresse mot myndigheternas verksamhetsbehov bör huvuddragen i registerlagarna bevaras så långt EU:s dataskyddsförordning tillåter. Promemorians bedömning: Överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen anser att det inte är möjligt att förutsätta att de bedömningar som gjorts i samband med framtagande av nationell författningsreglering uppfyller dataskyddsförordningens krav på bedömningar. ifrågasätter om de bedömningar om dataskydd som har gjorts tidigare uppfyller de höjda krav som dataskyddsförordningen ställer. är positiv till att registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering behålls. Myndigheten efterlyser dock en allmän översyn av samtliga registerförfattningar i syfte att åstadkomma ett mer sammanhållet och enhetligt regelverk. Skälen för regeringens bedömning Dataskyddsförordningen lämnar ett relativt stort utrymme för registerförfattningar Dataskyddsförordningen kommer att, i enlighet med artikel 288 i fördraget om Europeiska unionens funktionssätt, vara i alla delar bindande och Det innebär att den inte ska genomföras på det sätt som EU-direktiv behöver genomföras i Dataskyddsförordningen lämnar emellertid ett relativt stort Den föreslagna dataskyddslagen är tänkt att i likhet med personuppgiftslagen (1998:204) tillämpas i den utsträckning det inte finns andra bestämmelser i författning som reglerar en viss typ av behandling av personuppgifter, se propositionen Ny dataskyddslag (prop. 2017/18:105). Lagen föreslås med andra ord vara subsidiär i förhållande till andra dataskyddsbestämmelser i lag eller förordning. I dataskyddsförordningen lämnas utrymme till medlemsstaterna att ha bestämmelser i nationell rätt som är mer specifika än förordningens Enligt artikel 6.2 får medlemsstaterna behålla eller införa Prop. 2017/18:112 mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen när det gäller behandling som sker enligt artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse och myndighetsutövning). Bestämmelserna i den nationella rätten får i dessa fall närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Av skäl 10 till dataskyddsförordningen framgår att möjligheten att precisera bestämmelser för personuppgiftsbehandlingen också gäller känsliga personuppgifter. Det lämnas även utrymme i dataskyddsförordningen för medlemsstaterna att ha särskilda bestämmelser som preciserar den rättsliga grunden för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen (artikel 6.3). Förordningen anger att dessa särskilda bestämmelser bland annat kan reglera de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas och ändamålsbegränsningar. Dataskyddsförordningen anger vidare att vem som är personuppgiftsansvarig kan föreskrivas i den nationella rätten om ändamålen och medlen för behandling fastställs av medlemsstatens nationella rätt (artikel 4.7). Enligt skäl 8 i dataskyddsförordningen kan medlemsstaterna införliva delar av förordningen i nationell rätt i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på. Vid sidan av de ovan beskrivna möjligheterna för medlemsstaterna att ha nationella bestämmelser som preciserar eller kompletterar dataskyddsförordningen ges också medlemsstaterna utrymme enligt artikel 23 att begränsa vissa av de rättigheter och skyldigheter som föreskrivs i förordningen. Möjligheten att ha begränsningar förutsätter dock att de är nödvändiga, proportionella och främjar ett i dataskyddsförordningens mening legitimt ändamål. Även efter det att dataskyddsförordningen ska börja tillämpas kommer det att finnas ett förhållandevist stort utrymme för medlemsstaterna att ha sektorspecifik, nationell reglering av behandling av personuppgifter. Huvuddragen och grunderna i registerlagar på arbetsmarknadsområdet kan och bör bevaras så långt dataskyddsförordningen tillåter Det aktuella lagstiftningsärendet innehåller förslag till nödvändiga anpassningar av registerlagar på arbetsmarknadsområdet till dataskyddsförordningen. Syftet är alltså inte, vilket efterlyser, en allmän översyn av registerförfattningar i syfte att skapa ett gemensamt dataskyddsregelverk för myndigheters personuppgiftsbehandling. I förarbetena till lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen och lagen (2012:741) om behandling av personuppgifter vid 2017/18:112 utvärdering har avvägningar mellan verksamhetsbehov och integritetshänsyn gjorts utifrån då gällande EU-rättslig och svensk personuppgiftsreglering. Bestämmelserna om behandling av personuppgifter inom dessa myndigheter har placerats i lag utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag. I lagarna har det införts bestämmelser som i stor utsträckning syftar till att reglera och begränsa utrymmet för myndigheterna att behandla personuppgifter för egna behov och behandla uppgifter för utlämnande till andra myndigheter. Lagarna innehåller också bestämmelser om rättigheter för enskilda när det till exempel gäller information, rättelse och skadestånd. I vissa fall finns bestämmelser som begränsar enskildas rättigheter till förmån för verksamhetsbehov, det gäller bland annat möjligheten att motsätta sig behandling som är inskränkt i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. Enligt regeringens uppfattning balanseras skyddet för enskildas integritet och myndigheternas verksamhetsbehov i allt väsentligt väl i nu aktuella registerlagar. Registerlagarna har dessutom en struktur som är inarbetad och välbekant. I registerlagarna finns bestämmelser som har prövats mot de krav som uppställs i dataskyddsdirektivet som i viktiga avseenden ställer motsvarande krav som dataskyddsförordningen. Som bland andra Datainspektionen är inne på finns det anledning att på nytt överväga de nationella bestämmelserna i de delar dataskyddsförordningen ställer andra krav än dataskyddsdirektivet. Huvuddragen och grunderna i registerförfattningarna kan och bör dock bevaras så långt dataskyddsförordningen tillåter. 5.2Rättslig grund för behandling av personuppgifter Regeringens bedömning: Det finns rättsliga grunder i EU:s dataskyddsförordnings mening för myndigheternas behandling av personuppgifter på arbetsmarknadsområdet. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen efterlyser närmare överväganden om vilken rättslig grund som är tillämplig, hur den är fastställd och om den är fastställd i den nationella lagstiftningen på ett tillräckligt tydligt, precist och förutsägbart sätt. Datainspektionen anger vidare att om lagstiftaren inte säkerställer att nationell lagstiftning införs där behov finns och dataskyddsförordningen så kräver, kan det leda till att samhällsviktiga behandlingar av personuppgifter kan komma att sakna rättsligt stöd när förordningen ska börja tillämpas. Detta gör sig enligt myndigheten särskilt gällande beträffande de verksamheter som hanterar känslig eller integritetskänslig information såsom arbetslöshetskassorna, Arbetsdomstolen och Rådet för Europeiska socialfonden i . Arbetslöshetskassornas påpekar att arbetslöshetskassorna har behov av att kunna behandla uppgifter om lagöverträdelser. anger att promemorian blandar ihop vad som i dataskyddsrättslig mening är särskilt bestämda ändamål och tillåtna rättsliga grunder för behandling. framför att myndighetens behandling av personuppgifter i samband med hemutrustningslån bör ses över med anledning av dataskyddsförordningen. Skälen för regeringens bedömning Kravet på rättslig grund i dataskyddsförordningen För att behandling av personuppgifter ska vara laglig måste minst ett av de villkor som anges i artikel 6.1 a−f i dataskyddsförordningen vara uppfyllt. Dessa villkor utgör den rättsliga grunden för uppgiftsbehandlingen. särskilt intresse för myndigheters verksamhet är artikel 6.1 c som gäller när behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige och artikel 6.1 e som gäller när behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. rättsliga grunden samtycke i artikel 6.1 a bör, som framgår av skäl 43 i dataskyddsförordningen, användas med försiktighet av myndigheter eftersom det i regel finns en betydande ojämlikhet mellan de registrerade och de personuppgiftsansvariga myndigheterna. Artikel 6 i dataskyddsförordningen motsvarar i allt väsentligt artikel 7 i Artikel 7 i dataskyddsdirektivet har genomförts i svensk rätt genom 10 § personuppgiftslagen. I ett avseende innebär dataskyddsförordningen dock en inskränkning av myndigheters möjlighet att behandla personuppgifter i jämförelse med vad som gäller enligt dataskyddsdirektivet och personuppgiftslagen. Myndigheter har nämligen enligt dataskyddsförordningen inte möjlighet när de fullgör sina uppgifter att lägga en intresseavvägning till grund för sin behandling av personuppgifter, till exempel en avvägning mellan den registrerades intresse av personlig integritet och en myndighets intresse av att kunna fullgöra sina uppgifter (artikel 6.1 andra stycket). Uppräkningen i artikel 6.1 är uttömmande vilket innebär att om ingen av grunderna är tillämplig på en behandling av personuppgifter är behandlingen inte laglig och får därmed inte genomföras. grunderna är i viss mån överlappande vilket innebär att flera rättsliga grunder kan vara tillämpliga avseende en och samma behandling. I dataskyddsförordningen ställs också krav på att vissa av de rättsliga grunderna (artikel 6.1 c och e) för behandlingen av personuppgifter ska vara fastställda i enlighet med unionsrätten eller den nationella rätten (artikel 6.3 första stycket). Med detta avses, enligt skäl 41, inte att den rättsliga grunden nödvändigtvis måste fastställas i eller i enlighet med en av beslutad lag. Däremot måste grunden vara fastställd på ett konstitutionellt korrekt sätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges Den rättsliga grunden kan enligt artikel 6.3 andra stycket innehålla särskilda bestämmelser för att anpassa tillämpningen av