prop · H503112 · 2018-03-01 00:00:00 — bestämmelserna i dataskyddsförordningen, bland annat de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken 2017/18:112 typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstider samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig rättvis behandling. Den nationella rätten ska i detta avseende uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Regeringen föreslår i propositionen Ny dataskyddslag (prop. 2017/18:105) att det i den nya dataskyddslagen ska införas bestämmelser som tydliggör att personuppgifter får behandlas för att utföra en uppgift av allmänt intresse som följer av lag, annan författning, kollektivavtal eller beslut som har meddelats med stöd av lag eller annan författning. Motsvarande förtydligande bestämmelser föreslås för behandling som är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse. I fråga om personuppgiftsbehandling som är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning tydliggör den föreslagna dataskyddslagen att det krävs stöd i lag eller annan författning. Det finns rättsliga grunder för myndigheters behandling av personuppgifter på arbetsmarknadsområdet Dataskyddsförordningen kommer att vara i alla delar bindande och direkt tillämplig i medlemsstaterna vilket innebär att de svenska myndigheterna efter den tidpunkten endast får behandla personuppgifter om det finns rättslig grund för behandlingen och att den rättsliga grunden är fastställd på det sätt som dataskyddsförordningen föreskriver. Myndigheterna inom ansvarsområde har som övergripande uppgift att främja en väl fungerande arbetsmarknad. I avsaknad av vägledande domar från Europeiska unionens domstol förefaller det med hänsyn till svensk förvaltningstradition rimligt att anta att de uppgifter som utförs av dessa statliga myndigheter, i syfte att uppfylla ett uttryckligt uppdrag av riksdag eller regering, är av allmänt intresse. Enligt regeringens bedömning i propositionen Ny dataskyddslag måste begreppet uppgift av allmänt intresse ges en vid betydelse för att myndigheternas verksamhet ska kunna fungera även fortsättningsvis, se propositionen Ny dataskyddslag (prop. 2017/18:105 s. 56). Den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen, det vill säga att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, bör därför i regel kunna tillämpas av myndigheterna. Myndigheterna utövar också myndighetsutövning med stöd av lag och annan författning. tillsynsverksamhet enligt 7 kap. arbetsmiljölagen (1977:1160) är ett exempel. I dessa fall är kravet på rättslig grund enligt dataskyddsförordningen uppfyllt om personuppgiftsbehandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Enligt artikel 6.1 c är personuppgiftsbehandling laglig om den är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse. Det är frågan om rättsliga förpliktelser som följer av lag eller annan författning. Det kan också vara förpliktelser som följer av en domstols dom eller en förvaltningsmyndighets beslut. Däremot faller avtalsrättsliga förpliktelser utanför denna rättsliga grund. Sådana förpliktelser behandlas i stället i en separat rättslig grund (artikel 6.1 b). Även statliga myndigheter kan grunda personuppgiftsbehandling på en rättslig förpliktelse. Så kan till exempel vara fallet om en myndighet enligt författning har en skyldighet att föra ett register eller lämna uppgifter till en annan myndighet. Givetvis kan det också förekomma sådana situationer i myndigheternas verksamhet då myndigheterna även kan stödja sin behandling av personuppgifter på andra rättsliga grunder. Så kan till exempel vara fallet om en myndighet är part i ett avtalsförhållande och behandlingen är nödvändig för att fullgöra avtalet (artikel 6.1 b). Datainspektionen efterlyser inte endast närmare överväganden om vilken rättslig grund som är tillämplig, utan också hur den är fastställd och om den är fastställd i den nationella lagstiftningen på ett tillräckligt tydligt, precist och förutsägbart sätt. Som ovan konstaterats ska de rättsliga grunderna i artikel 6.1 c och e enligt dataskyddsförordningen fastställas i enlighet med unionsrätten eller den nationella rätten (artikel 6.3). Kraven på att de rättsliga grunderna ska fastställas i nationell rätt har skärpts i dataskyddsförordningen. Det finns därför anledning att närmare granska hur myndigheternas uppgifter som ligger till grund för deras personuppgiftsbehandling är fastställda i en europarättslig mening. Skäl 41 i dataskyddsförordningen anger att en rättslig grund eller lagstiftningsåtgärd bör vara tydlig och precis och dess tillämpning bör vara förutsägbar för personer som omfattas av den, i enlighet med rättspraxis vid Europeiska unionens domstol och Europeiska domstolen för de mänskliga rättigheterna. Dataskyddsförordningen kräver alltså inte endast att en rättslig grund formellt fastställs på ett konstitutionellt riktigt sätt, utan också att fastställandet materiellt uppfyller vissa grundläggande krav på till exempel tydlighet och precision. Kraven på att grunden för myndigheters behandling av personuppgifter ska vara fastställd är dock inte någon nyhet i svensk rätt. Som regeringen konstaterar i propositionen Ny dataskyddslag är legalitetsprincipen en av de principer som kännetecknar som rättsstat. Principen innebär att myndigheters maktutövning i vidsträckt mening, även i den mån den förutsätter behandling av personuppgifter, måste ha stöd i någon av de källor som tillsammans bildar rättsordningen. Mot den bakgrunden bedömer regeringen i propositionen Ny dataskyddslag att risken för att behandling av personuppgifter av vikt för samhällets funktioner inte kan utföras för att den inte är fastställd i dataskyddsförordningens mening är mycket liten eftersom det inte torde förekomma någon offentlig verksamhet i av vikt för samhällets funktioner som saknar stöd i författning eller beslut som har meddelats i enlighet med regeringsformens bestämmelser (prop. 2017/18:105 s. 50). Regeringens bedömning är sammantaget att det finns rättsliga grunder i dataskyddsförordningens mening för den behandling av personuppgifter som sker vid myndigheterna på arbetsmarknadsområdet. Regeringen konstaterar att kraven på fastställande skärps i och med dataskyddsförordningen och att det inte finns utrymme för myndigheterna efter att behandla personuppgifter enligt två av de 2017/18:112 rättsliga grunderna (artikel 6.1 c och e) om grunderna inte fastställts på ett sätt som lever upp till dataskyddsförordningens krav. Det är myndigheterna som är skyldiga att som personuppgiftsansvariga försäkra sig om att behandlingen i varje enskilt fall har stöd i en rättslig grund som, när så krävs enligt dataskyddsförordningen, är fastställd på ett korrekt sätt. Verksamheter på arbetsmarknadsområdet som saknar registerlagar Datainspektionen anger att om lagstiftaren inte säkerställer att nationell lagstiftning införs där behov finns och dataskyddsförordningen så kräver, kan det leda till att samhällsviktiga behandlingar av personuppgifter kan komma att sakna rättsligt stöd när förordningen ska börja tillämpas. Detta gör enligt Datainspektionen sig särskilt gällande beträffande de verksamheter som hanterar känslig eller integritetskänslig information såsom arbetslöshetskassorna, Arbetsdomstolen och Rådet för Europeiska socialfonden i . Ett antal myndigheter på arbetsmarknadsområdet saknar registerlagar, det gäller , , , , , Rådet för Europeiska socialfonden i och för arbetstagares uppfinningar. Regeringen kan konstatera att de rättsliga grunderna för myndigheternas behandling av personuppgifter endast i begränsad omfattning fastställs eller preciseras i registerlagar. Uppgifter av allmänt intresse, myndighetsutövning och rättsliga förpliktelser fastställs i normalfallet i andra typer av författningar eller, utom när det gäller myndighetsutövning, i till exempel regeringsbeslut. Om en myndighet har eller saknar en registerlag har alltså inte någon avgörande betydelse för om det finns rättslig grund för personuppgiftsbehandlingen. Den väsentliga skillnaden mellan de myndigheter som har och de som saknar registerlagar är att de senare inte kommer att omfattas av särskilda bestämmelser om dataskydd, till exempel när det gäller begränsningar av ändamålen med behandlingen av personuppgifter. I de fallen kommer i stället endast dataskyddsförordningens och den föreslagna dataskyddslagens allmänna bestämmelser att gälla. framför att myndighetens behandling av personuppgifter i samband med hemutrustningslån bör ses över med anledning av dataskyddsförordningen. Regeringen har för avsikt att se över och vid behov anpassa förordningar till dataskyddsförordningen i särskild ordning. Detta gäller även förordningen (1990:1361) om lån till hemutrustning för flyktingar och vissa andra utlänningar. Arbetslöshetskassornas påpekar att arbetslöshetskassorna har behov av att kunna behandla uppgifter om lagöverträdelser. Arbetslöshetskassornas anger i sitt yttrande att arbetslöshetskassorna anmäler misstänkta brott enligt bidragsbrottslagen (2007:612) och tar hänsyn till uppgifter om frihetsberövanden på kriminalvårdens område vid fastställande av ersättningsrätten. I propositionen Ny dataskyddslag föreslås att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om att andra än myndigheter får behandla uppgifter om lagöverträdelser. myndighet som regeringen bestämmer ska i enskilda fall även få besluta Prop. 2017/18:112 om sådan behandling. Regeringen lämnar i denna proposition förslag till en ny lag om behandling av personuppgifter i verksamhet, se avsnitt 6. I övrigt bedömer regeringen att det inte finns behov av någon ny registerlag på arbetsmarknadsområdet. 5.3Begränsningar av enskildas rättigheter Regeringens bedömning: Registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering uppfyller generellt kraven på proportionalitet och nödvändighet. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Enligt Datainspektionen saknas analyser som visar hur lagstiftningen är proportionell i förhållande till de legitima mål som eftersträvas. Myndigheten anser vidare att man i lagstiftningsarbetet bör ta ställning till om en konsekvensbedömning enligt artikel 35 i dataskyddsförordningen krävs och om det i så fall räcker att den genomförs som ett led i lagstiftningsarbetet. Enligt är dataskyddsförordningen betydligt tydligare än tidigare europeisk lagstiftning när det gäller behovet av proportionalitetsbedömningar. Förordningen innehåller också enligt nya regler till skydd för enskilda, högre krav på konsekvensbedömningar, säkerhetsåtgärder och information till enskilda. Skälen för regeringens bedömning Dataskyddsförordningen ger medlemsstaterna utrymme att i nationell rätt begränsa vissa av förordningens rättigheter och skyldigheter (artikel 23.1). Det ställs emellertid vissa krav i dataskyddsförordningen på begränsningarna, bland annat krav på att begränsningarna ska vara nödvändiga och proportionella. Medlemsstaterna ska också vid antagandet av begränsande lagstiftning, när så är relevant, inkludera specifika bestämmelser om bland annat skyddsåtgärder för att förhindra missbruk (artikel 23.2). Vidare finns i dataskyddsförordningen krav på konsekvensbedömningar i vissa fall (artikel 35). Sådana bedömningar kan i vissa fall göras som en del av en allmän konsekvensbedömning i samband med att den rättsliga grunden antas (artikel 35.10). Proportionalitetsprincipen vid reglering av personuppgiftsbehandling Enligt dataskyddsförordningen ska unionsrätten eller medlemsstaternas nationella rätt som fastställer den rättsliga grunden uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). 2017/18:112 I skäl 4 anges att rätten till skydd av personuppgifter inte är en absolut rättighet; den måste förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter i enlighet med proportionalitetsprincipen. Enligt dataskyddsförordningen ska det vidare vara möjligt att i unionsrätten eller i en medlemsstats nationella rätt begränsa rättigheter och skyldigheter om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa ändamål som uppräknas i förordningen (artikel 23.1). Bestämmelserna i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering har prövats mot de krav som ställs på nationell rätt i dataskyddsdirektivet. Som regeringen konstaterar i propositionen Ny dataskyddslag är lagarna förenliga med regeringsformens och krav (prop. 2017/18:105 s. 50). Registerlagarna uppfyller därmed i huvudsak dataskyddsförordningens krav på nödvändighet och proportionalitet. Regeringen återkommer i avsnitt 6.4 och 7.3 med en proportionalitetsbedömning i fråga om begränsning av rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen. Kravet på konsekvensbedömningar i vissa fall Enligt dataskyddsförordningen ska den personuppgiftsansvarige i vissa fall göra en konsekvensbedömning avseende dataskydd före behandlingen av personuppgifter (artikel 35). Konsekvensbedömningen ska enligt förordningen göras om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter. En konsekvensbedömning behöver dock i regel inte göras vid behandling som sker med stöd av artikel 6.1 c och e (rättslig förpliktelse, allmänt intresse och myndighetsutövning), om en konsekvensutredning redan har gjorts vid antagandet av den reglering som utgör den rättsliga grunden för behandlingen (artikel 35.10). Datainspektionen anser att man i lagstiftningsarbetet bör ta ställning till om en konsekvensbedömning enligt artikel 35 krävs och om det i så fall räcker att den genomförs som ett led i lagstiftningsarbetet. Regeringen kan konstatera att de behandlingar av personuppgifter som regleras i de aktuella registerförfattningarna redan har varit föremål för konsekvensbedömningar vid antagandet av författningarna. Vid dessa konsekvensbedömningar finns bland annat överväganden om behandlingarnas proportionalitet i förhållande till det integritetsintrång som behandlingarna kan innebära. Bedömningen är att integritetsriskerna med behandlingarna av personuppgifter inte på något avgörande sätt har förändrats och att det därför inte behövs några nya konsekvensbedömningar enligt artikel 35 i dataskyddsförordningen. Behandling av personuppgifter i Arbets- 6.1En ny lag om behandling av personuppgifter i informationssystem om arbetsskador Regeringens förslag: En ny lag om behandling av personuppgifter i informationssystem om arbetsskador ska införas. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: vid och tillstyrker förslaget. , och Datainspektionen ser positivt på att nuvarande registerförordning ersätts av en lag. Lagformen bidrar enligt till en större enhetlighet på registerlagstiftningens område. Enligt Datainspektionen är de överväganden som redovisas i promemorian när det gäller den övriga verksamheten hos inte tillräckliga. avstyrker förslaget till ny lag för . Skälen för regeringens förslag Allmänt om behandling av personuppgifter i verksamhet I verksamhet förekommer en omfattande behandling av personuppgifter som även inkluderar behandling av känsliga personuppgifter. Särskilt omfattande är behandlingen av personuppgifter inom ramen för informationssystemet om arbetsskador. Antalet ärenden i informationssystemet uppgår till cirka 120 000 . Informationssystemet om arbetsskador utgör ett viktigt verktyg i arbetet med att kartlägga och förebygga olyckor i arbetslivet och sjukdomar som beror på arbetet. Med stöd av systemet tar fram statistik som kan användas dels i det förebyggande arbetet, dels som underlag för inriktningen på myndighetens arbetsmiljötillsyn. Uppgifterna i informationssystemet kommer från anmälningar av arbetsskador som arbetsgivare är skyldiga att göra. Eftersom arbetsskador handlar om olyckor och sjukdomar förekommer inte sällan integritetskänsliga uppgifter om enskildas hälsa i informationssystemet. Behandlingen av personuppgifter inom informationssystemet regleras i förordningen (2001:706) om behandling av personuppgifter i informationssystem om arbetsskador. Vid sidan av behandling av personuppgifter inom informationssystemet om arbetsskador har behov av att behandla personuppgifter i andra delar av myndighetens verksamhet. Det gäller till exempel inom handläggningen av inspektionsärenden och hanteringen av det så kallade . För dessa delar av myndighetens verksamhet finns ingen särskild registerförfattning. Behandlingen av personuppgifter i verksamhet ska regleras i lag I svensk rätt har det länge varit en ambition att särskilt integritetskänslig registerföring ska regleras i lag, främst därför att en sådan normgivningsnivå säkerställer att det görs en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för registerföringen, se betänkandet Myndighetsdatalag (SOU 2015:39 s. 94). Lagreglering bidrar även till stabilitet och långsiktig förutsebarhet. I tidigare lagstiftningsarbeten finns principiella ställningstaganden om att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i registerlag, se propositionen Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (prop. 2001/02:144 s. 16). Vidare är enligt 2 kap. 6 § andra stycket regeringsformen var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Om det rör sig om ett sådant betydande intrång i den personliga integriteten krävs enligt 2 kap. 20 § regeringsformen lag för att begränsa skyddet mot övervakning och kartläggning av den enskildes personliga förhållanden. Behandlingen av personuppgifter i informationssystem om arbetsskador bör som vid , , , och Datainspektionen är inne på regleras i lag. Regeringen delar inte den uppfattning som ger uttryck för, det vill säga att förslaget i onödan begränsar privatpersoners rättigheter och inte är proportionerligt. Tvärtom innebär förslaget i huvudsak att dataskyddsförordningens bestämmelser kompletteras och preciseras på ett sådant sätt att enskildas integritet tillgodoses som myndighetens utrymme att behandla uppgifter begränsas. I de delar den nya lagen begränsar enskildas rättigheter bidrar den till förutsebarhet och öppenhet på så sätt att enskilda genom lagen kan skapa sig en bild av ramarna för myndighetens behandling av personuppgifter. Lagen ska inte reglera behandlingen av personuppgifter inom andra delar av verksamhet Enligt Datainspektionen är de överväganden som redovisas i promemorian inte tillräckliga när det gäller bedömningen att dataskyddsförordningen och den föreslagna dataskyddslagen kommer att möjliggöra fortsatt personuppgiftsbehandling för den övriga verksamheten hos . En allmän redogörelse för hur regeringen ser på rättslig grund och anknytande frågor för och andra myndigheter finns i avsnitt 5.2. Regeringens bedömning är att det finns rättsliga grunder i dataskyddsförordningens mening för den behandling av personuppgifter som utförs vid myndigheterna på arbetsmarknadsområdet. I informationssystemet om arbetsskador är behandlingen av personuppgifter som ovan nämns särskilt omfattande och innefattar ett stort antal integritetskänsliga uppgifter. förekommer dock inte en sådan omfattande behandling av integritets- Prop. 2017/18:112 känsliga personuppgifter. Av dessa skäl lämnas inte förslag på någon registerlag som reglerar behandling av personuppgifter vid sidan av den behandling som sker i informationssystemet om arbetsskador. 6.2Den nya lagen ska tillämpas på automatiserad behandling av personuppgifter och personuppgifter i register Regeringens förslag: Lagen ska tillämpas på automatiserad behandling av personuppgifter och personuppgifter i register. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har haft synpunkter på Skälen för regeringens förslag: Förordningen om behandling av personuppgifter i informationssystem om arbetsskador reglerar behandling av personuppgifter som är helt eller delvis automatiserad. Dataskyddsförordningens materiella tillämpningsområde omfattar dock enligt artikel 2.1 även annan behandling än automatisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Det saknas skäl för att den föreslagna lagen ska omfatta mer eller mindre behandling av personuppgifter än dataskyddsförordningen gör. Regelverket blir enklare och begripligare om tillämpningsområdena är desamma. Tillämpningsområdet för den föreslagna lagen bör därför innefatta samma behandling av personuppgifter som dataskyddsförordningen enligt artikel 2.1. 6.3Förhållandet till annan reglering Regeringens förslag: Lagen ska innehålla en bestämmelse som tydliggör att lagen kompletterar EU:s dataskyddsförordning. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anser att det är bra att det framgår att bestämmelserna kompletterar dataskyddsförordningen. Datainspektionen anser dock att det också behöver anges direkt i författningen om en viss reglering kompletterar eller förtydligar en artikel i dataskyddsförordningen. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag: Dataskyddsförordningen kommer att vara direkt bindande och tillämplig i och ska inte genomföras i svensk rätt. Dataskyddsförordningen gäller alltså oavsett om det i den föreslagna lagen införs en bestämmelse som hänvisar till förordningen Liksom Datainspektionen anser regeringen dock att det bör 2017/18:112 införas en bestämmelse i lagen som tydliggör att den innehåller kompletterande bestämmelser till dataskyddsförordningen. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. Dataskyddsförordningen är direkt tillämplig och är den huvudsakliga rättsakten på området för dataskydd. De hänvisningar till dataskyddsförordningen som föreslås i lagen avser klargöranden av förhållandet mellan lagen och dataskyddsförordningen, bestämmelser av upplysningskaraktär, hänvisningar till definitioner i och undantag från dataskyddsförordningen. Hänvisningarna föreslås, i likhet med vad som med några få undantag föreslås i den föreslagna dataskyddslagen, vara dynamiska. Valet av dynamiska hänvisningar innebär att de kommer att omfatta eventuella ändringar i dataskyddsförordningen efter dess ikraftträdande. Det bör inte i varje bestämmelse anges om en viss reglering kompletterar eller förtydligar en artikel i dataskyddsförordningen. En sådan ordning skulle tynga lagen utan att tillföra ett tillräckligt mervärde. Bestämmelsen som hänvisar till dataskyddsförordningen ska därför ange att lagen kompletterar dataskyddsförordningen. Regeringens förslag: Lagen ska innehålla en bestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller vid behandling av personuppgifter inom informationssystem om arbetsskador, om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till den. Promemorians förslag: Överensstämmer med regeringens.