prop · H503105 · 2018-02-20 00:00:00 — Den författningstekniska skillnaden mellan 8 § andra stycket första meningen PUL och den bestämmelse som regeringen föreslår innebär således ingen saklig förändring i denna del. Arkivlagen och andra föreskrifter om arkiv omfattar inte bara myndig- heter utan även t.ex. kommunala bolag och vissa andra utpekade enskilda organ. För dessa skulle det i enstaka fall kunna uppstå en normkonflikt mellan arkivlagstiftningen och regleringen i artikel 10 i dataskydds- förordningen avseende behandlingen av personuppgifter som rör lagöver- trädelser (se avsnitt 11). Dataskyddslagen bör därför även innehålla en bestämmelse som, på motsvarande sätt som avseende känsliga person- uppgifter, tillåter behandling av personuppgifter som rör lagöver- trädelser, om behandlingen är nödvändig för att den personuppgifts- ansvarige ska kunna följa föreskrifter om arkiv. Bestämmelsen bör inte förenas med ett sådant krav på dokumentation som förespråkar. Personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv Även hos personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv kan det finnas ett allmänt intresse av att känsliga personuppgifter bevaras. Sådant bevarande bör enligt regeringens bedömning också tillåtas under vissa förutsättningar. Risken är annars uppenbar att viktig information om vår samtid går förlorad. Det bör därför införas en bestämmelse i dataskyddslagen som anger att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter som tillåter att personuppgiftsansvariga som inte omfattas av föreskrifter om arkiv får behandla känsliga personuppgifter för arkivändamål av allmänt intresse. Regeringen har för avsikt att delegera föreskriftsrätten till Riks- arkivet. bör även i enskilda fall få besluta att personuppgifts- ansvariga får behandla sådana personuppgifter för arkivändamål av allmänt intresse. Sådana föreskrifter och förvaltningsbeslut bör lämpligen meddelas i samband med att den rättsliga grunden fastställs för den 2017/18:105 personuppgiftsansvariges behandling av personuppgifter för arkivända- mål av allmänt intresse, se föregående avsnitt. Förvaltningsbeslut kan även meddelas som komplement till en tidigare antagen föreskrift som ger den personuppgiftsansvarige rättslig grund för behandling av person- uppgifter för detta ändamål. För enskilda arkiv finns det inte några generella föreskrifter om lämpliga och särskilda åtgärder, utöver dem som följer direkt av data- skyddsförordningen och den som regeringen föreslår i följande avsnitt. Mot bakgrund av att de enskilda arkiven sinsemellan uppvisar stora olikheter är det heller inte lämpligt att i lag slå fast att en viss typ av ytterligare åtgärd alltid ska gälla vid behandling av känsliga person- uppgifter. Det bör i stället ankomma på att, efter samråd med Datainspektionen, bedöma om beslut som tillåter ett enskilt organ att behandla känsliga personuppgifter ska villkoras av att den person- uppgiftsansvarige vidtar särskilda åtgärder och i så fall vilka. Det kan t.ex. röra sig om åtkomstbegränsningar, krav på särskilda tekniska säker- hetsåtgärder eller någon annan åtgärd som bedöms lämplig och proportionerlig i det aktuella fallet. Regeringens förslag: Personuppgifter som behandlas enbart för arkivändamål av allmänt intresse får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Denna begränsning hindrar inte myndigheter och andra vars verksamhet omfattas av offentlighetsprincipen och sekretesslagstiftningen från att använda personuppgifter som finns i allmänna handlingar. Utredningens förslag överensstämmer i sak med regeringens. Utred- ningens förslag har en annan språklig utformning. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag eller har inga synpunkter på det. E-hälsomyndig- heten saknar ett förtydligande av om uttrycket vitala intressen ska uppfattas på ett annat sätt än uttrycket intressen som är av grundläggande betydelse. efterlyser ett förtydligande kring innebörden av bestämmelsen. anser att ordet enbart introducerar en oklarhet och dramatiskt utökar myndigheternas befogenheter att behandla personuppgifter på ett för privatpersonen oönskat sätt. Vidare anser att undantaget med hänsyn till vitala intressen ska tas bort. Datainspektionen anser att utredningen inte har visat att det skydd som finns i nationell lagstiftning för myndigheters arkiv uppfyller kraven på lämpliga skyddsåtgärder. Skälen för regeringens förslag: I 9 § fjärde stycket PUL anges att personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Enligt 8 § andra stycket PUL gäller dock denna begränsning inte för en myndighets användning av personuppgifter i allmänna handlingar. När en personuppgift inte längre behöver behandlas för det ursprung- liga ändamålet ska den, enligt huvudregeln i artikel 5.1 e i dataskydds- förordningen, gallras eller anonymiseras. Undantag gäller dock om det finns ett arkivändamål av allmänt intresse. Möjligheten till förlängd bevarandetid förutsätter att uppgiften enbart behandlas för arkivändamål. Det kan emellertid inte uteslutas att en arkiverad uppgift åter kan komma att behövas även för andra ändamål, t.ex. i den personuppgiftsansvariges kärnverksamhet. Begränsningen i 9 § fjärde stycket PUL förhindrar sådan återanvändning i vissa situationer, oavsett om den nya behand- lingen ska ske för det ursprungliga insamlingsändamålet eller för något annat därmed förenligt ändamål. Av förarbetena till bestämmelsen framgår dock att bestämmelsen inte aktualiseras om en arkiverad uppgift även behandlas för andra ändamål, dvs. inte enbart för arkivändamål (SOU 1997:39 s. 356–357). En uppgift som fortfarande behövs i kärn- verksamheten och därför behandlas där kan alltså användas för att vidta åtgärder i fråga om den registrerade, även om samma uppgift också före- kommer i en arkiverad handling hos den personuppgiftsansvarige. Utredningen föreslår att en bestämmelse som i sak motsvarar 9 § fjärde stycket PUL ska införas i dataskyddslagen. Regeringen anser, till skillnad från , att detta utgör en väl avvägd skyddsåtgärd. Precis som i personuppgiftslagen bör bestämmelsen inte bara avse känsliga personuppgifter. Den nya bestämmelsen bör dock, som utredningen föreslår, utformas så att det tydligare än framgår att användnings- begränsningen bara gäller personuppgifter som enbart behandlas för arkivändamål av allmänt intresse. Det är så bestämmelsen i person- uppgiftslagen är avsedd att tillämpas och tillägget utgör därmed inte, som anger, någon utvidgning av den personuppgiftsansvariges befogenheter. Det finns vidare inte skäl att ange i paragrafen att uppgifter får användas med den registrerades samtycke. Om samtycke inhämtas till att en arkiverad uppgift används för nya ändamål, kan behandlingen nämligen jämställas med personuppgiften samlas in på nytt med stöd av artikel 6.1 a i dataskyddsförordningen. Personuppgifter som behandlas enbart för arkivändamål av allmänt intresse bör således få användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Någon saklig skillnad mellan förslaget och 9 § fjärde stycket PUL är inte avsedd. Förarbeten och praxis avseende bestämmelsen i personuppgiftslagen bör därmed kunna vara vägledande även vid tillämpningen av dataskyddslagen. Detta medför även att det saknas skäl att, som efterfrågar, utveckla förhållan- det mellan begreppet vitala intressen och begreppet intressen som är av grundläggande betydelse. Som framgår av föregående avsnitt anser regeringen, till skillnad från Datainspektionen, att den lagstiftning som rör hanteringen av allmänna handlingar innehåller lämpliga och särskilda åtgärder som skyddar enskildas integritet. Ytterligare skyddsåtgärder hos myndigheter, t.ex. i form av användningsbegränsningar som förhindrar återanvändning av arkiverade uppgifter, bör vid behov införas i sektorsspecifika författ- ningar och inte i den generella lagen. Den föreslagna bestämmelsen om begränsningar av möjligheten att vidta åtgärder i fråga om den registre- rade ska därför inte hindra myndigheter från att använda personuppgifter 2017/18:105 som finns i allmänna handlingar. Förslaget medför därmed ingen föränd- ring i förhållande till vad som gäller enligt personuppgiftslagen. Med anledning av önskemål om förtydligande kan regeringen således konstatera att användningsbegränsningen inte aktuali- seras för myndigheternas del, eftersom en handling blir allmän senast i samband med att den omhändertas för arkivering. I likhet med utred- ningens förslag bör detta undantag från användningsbegränsningen gälla även för andra än myndigheter, i den mån bestämmelserna i tryckfrihetsförordningen och offentlighets- och sekretesslagen om allmänna handlingar och sekretess gäller i deras verksamhet. Undantag från vissa av den registrerades Regeringens bedömning: Dataskyddslagen bör inte innehålla några generella undantag från den registrerades rättigheter vid behandling av personuppgifter för arkivändamål av allmänt intresse. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser instämmer i utredningens bedömning eller kommenterar den inte. påpekar att det i betänkandet saknas en förklaring till varför utredningen valt att undanta enbart arkivmyndigheternas personuppgiftsbehandling och inte all personuppgiftsbehandling för arkivändamål av allmänt anser att undantag från rätten till rättelse och rätten att göra invändningar bör gälla hos alla myndigheter, vid behandling som enbart sker för arkivändamål av allmänt intresse. universitet föreslår att de undantag som görs rörande arkivmaterial som tagits emot för förvaring av myndigheten utsträcks till att gälla för alla typer av myndigheter med arkivfunktioner, inte bara till anser att allmänna handlingar som omhändertagits för arkivering av en arkivmyndighet eller en arkivfunktion inom en myndighet, ska undantas från rätten till rättelse och begränsning av behandling av personuppgifter. anser att undantag från de registrerades rättigheter bör gälla även för övriga offentliga myndigheter som förvaltar och lagrar äldre arkiv och inte bara gälla levererat material till arkivmyndighet utan även avslutade arkiv som förvaras hos myndigheter. Skälen för regeringens bedömning: Dataskyddsförordningen innehåller i artikel 14.5 b och 17.3 d vissa direkt tillämpliga undantag från de registrerades rättigheter vid behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forsk- ningsändamål eller statistiska ändamål. för arkivändamål av allmänt intresse får det enligt artikel 89.3 i data- skyddsförordningen dessutom föreskrivas undantag från de rättigheter som avses i artiklarna 15, 16, 18, 19, 20 och 21, med förbehåll för de villkor och skyddsåtgärder som avses i artikel 89.1 (se avsnitt 14.1.1). Detta får emellertid bara göras i den utsträckning som sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen och sådana undantag krävs för att uppnå detta Utredningen föreslår att vissa sådana undantag ska införas i Prop. 2017/18:105 arkivförordningen (1991:446), när det gäller personuppgifter i arkiv- material som tagits emot för förvaring av en arkivmyndighet. Några remissinstanser, bl.a. , och , anser dock att dessa undantag från de registrerades rättigheter inte bara ska gälla hos arkivmyndigheterna, utan även hos andra myndig- heter som behandlar personuppgifter för arkivändamål av allmänt intresse. Som utredningen påpekar är väl fungerande myndighetsarkiv av grundläggande betydelse för forskning och utveckling, insyn och delaktighet, ansvarsutkrävande och demokrati. Detta intresse kan i vissa situationer väga tyngre än den enskildes intresse av att kunna utöva sina rättigheter enligt dataskyddsförordningen. Regeringens allmänna utgångspunkt är dock att dataskyddslagen inte bör inskränka de registrerades rättigheter i större utsträckning än vad som gäller enligt personuppgiftslagen. Eftersom det i personuppgiftslagen inte finns några generella undantag från de registrerades rättigheter vid behandling av personuppgifter för historiska ändamål bör några undantag vid behand- ling för arkivändamål av allmänt intresse inte heller införas i dataskydds- lagen. Regeringens förslag: Känsliga personuppgifter får behandlas för statistiska ändamål, om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Personuppgifter som enbart behandlas för statistiska ändamål får användas för att vidta åtgärder i fråga om den registrerade endast om det finns synnerliga skäl med hänsyn till den registrerades vitala Användningsbegränsningen gäller även för myndigheters användning av statistikuppgifter som finns i allmänna handlingar. Utredningens förslag överensstämmer i sak med regeringens. Utredningens förslag har en annan språklig utformning. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker utredningens förslag eller har inga synpunkter på det. menar att möjligheten att vidarebehandla uppgifter för statistikändamål sådant som kan vara av stort samhällsintresse och anser att lönestatistik- projekt bör vara ett sådant. behandling av personuppgifter i samband med uppdrag åt forskare bör betraktas som behandling av personuppgifter för statistiska ändamål. anser att det är ett väl avvägt förslag att myndigheter inte ska få använda statistikuppgifter för åtgärder mot den registrerade. saknar ett förtydligande av om uttrycket vitala intressen ska uppfattas på ett annat sätt än uttrycket intressen som är av anser att ordet enbart introdu- cerar en oklarhet och dramatiskt utökar myndigheternas befogenheter att behandla personuppgifter på ett för privatpersonen oönskat sätt. 2017/18:105 anser att undantaget med hänsyn till vitala intressen ska Skälen för regeringens förslag Behandling av personuppgifter för statistiska ändamål I dataskyddsförordningen avses med statistiska ändamål varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nöd- vändig för statistiska undersökningar eller för framställning av statistiska resultat (skäl 162). Ett statistiskt ändamål innebär, enligt samma skäl, att resultatet av behandlingen inte består av personuppgifter, utan av aggre- gerade personuppgifter, och att resultatet eller uppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild privatperson. Behandling av personuppgifter för statistiska ändamål förekommer inom såväl offentlig som privat sektor, både som en självständig verk- samhet och som en uppföljande åtgärd till annan verksamhet. undersökningar kan också utgöra en integrerad del av ett forsknings- Som anför bör byråns behandling av personuppgifter i samband med uppdrag åt forskare betraktas som behandling av personuppgifter för statistiska ändamål. sådan behandling av personuppgifter för statistiska ändamål som utförs under forskarens ansvar bedömas enligt de bestämmelser som gäller vid behandling för forskningsändamål. Vad som ryms inom begreppet forskning har behandlats av , vars betänkande nu bereds inom (SOU 2017:50). ärende omfattar således inte sådan behandling av personuppgifter för statistiska ändamål som sker i verksamhet som utgör forskning enligt Framställningen av den officiella statistiken, som ska finnas för allmän information, utredningsverksamhet och forskning, regleras av lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken. Dessa författningar reglerar bl.a. under vilka förutsättningar känsliga personuppgifter får behandlas och vilken information som den statistikansvariga myndigheten ska lämna. ändringar som dataskyddsförordningen föranleder i dessa författningar behandlas inte i detta lagstiftningsärende. Den officiella statistiken och annan reglerad statistik framställs av särskilt utpekade myndigheter, som genom författning har tilldelats en uppgift av allmänt intresse. Personuppgifter kan således samlas in och i övrigt behandlas för detta ändamål, utan samtycke från de registrerade, med stöd av artikel 6.1 e i dataskyddsförordningen. regeringens mening gälla vid sådan statistikverksamhet som är nöd- vändig för att t.ex. en myndighet ska kunna utföra sitt fastställda uppdrag, även om statistik inte uttryckligen nämns i uppdraget (jfr Behandling av personuppgifter inom ramen för ett statistikprojekt som inte är nödvändigt för att utföra en fastställd uppgift av allmänt intresse och som inte heller i sig utgör en sådan uppgift kan däremot inte ske med stöd av artikel 6.1 e i dataskyddsförordningen. Rättslig grund för behand- lingen måste då sökas någon annanstans. I vissa fall kan insamling av personuppgifter för statistiska ändamål ske med stöd av samtycke från de I andra fall, utom när myndigheter fullgör sina uppgifter, kan insamling av personuppgifter för viss statistikverksamhet vara tillåten utan samtycke, med stöd av en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen. Det är mycket vanligt att personuppgifter som ursprungligen har samlats in för andra ändamål vidarebehandlas för statistiska ändamål, t.ex. som ett led i den personuppgiftsansvariges uppföljning av sin egent- liga verksamhet. Sådan vidarebehandling är särskilt gynnad i dataskydds- förordningen, precis som i personuppgiftslagen. Uppgifter som ursprung- ligen har samlats in för något annat ändamål kan alltså även i fortsättningen användas för statistiska ändamål, utan att denna nya behandling anses vara oförenlig med de ursprungliga ändamålen (artikel 5.1 b i dataskyddsförordningen), under förutsättning att lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1. En nyhet jämfört med personuppgiftslagen är att det vid sådan vidarebehandling inte krävs någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50). Behandling av känsliga personuppgifter Känsliga personuppgifter får enligt artikel 9.2 j i dataskyddsförordningen behandlas för statistiska ändamål på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Denna bestämmelse aktualiseras både vid insamling av känsliga personuppgifter för statistiska ändamål och vid vidarebehand- ling av känsliga personuppgifter för sådana ändamål. Kravet på lämpliga och särskilda åtgärder överensstämmer med det som gäller för behandling av känsliga personuppgifter med hänsyn till andra viktiga allmänna intressen enligt artikel i dataskydds- förordningen. Dessa krav motsvarar i sin tur det krav på skyddsåtgärder som ställs i dataskyddsdirektivet om viktiga allmänna intressen, som legat till grund för personuppgiftslagens bestämmelser om behandling av personuppgifter för statistiska ändamål. Detta innebär att förutsätt- ningarna för att det ska vara tillåtet att behandla känsliga personuppgifter för statistiska ändamål i huvudsak är desamma som enligt dataskydds- direktivet. Vidarebehandling av personuppgifter för statistiska ändamål ska enligt artikel 5.1 b i dataskyddsförordningen visserligen inte anses vara ofören- lig med de ursprungliga ändamålen. Det kan däremot inte tas för givet att känsliga personuppgifter kan vidarebehandlas för statistiska ändamål enbart på grundval av det undantag från förbudet som tillämpats vid behandling enligt det ursprungliga ändamålet. Detta följer av att artikel 9.2 j i förordningen förutsätter att gällande rätt innehåller bestäm- melser om lämpliga och särskilda skyddsåtgärder för att säkerställa den registrerades rättigheter och intressen. Enligt 19 § andra stycket PUL får känsliga personuppgifter behandlas för statistikändamål, om behandlingen är nödvändig på sätt som sägs i 2017/18:105 10 § och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas person- liga integritet som behandlingen kan innebära. I 19 § tredje stycket PUL anges att förutsättningarna enligt andra stycket ska anses uppfyllda om behandlingen har godkänts av en forskningsetisk kommitté, dvs. sådant särskilt organ för prövning av forskningsetiska frågor som har företrädare för såväl det allmänna som forskningen och som är knutet till ett universitet eller en högskola eller till någon annan instans som i mera betydande omfattning finansierar forskning. I förarbetena till 19 § andra stycket PUL anges att viss statistik är så viktig att den inte bör vara beroende av att varje berörd enskild har infor- merats och lämnat sitt samtycke (prop. 1997/98:44 s. 71). att det mot bakgrund av att det finns många olikartade statistikprojekt, vilka som regel pågår bara , förefaller lämpligare att göra en avvägning i varje särskilt fall än att i lag införa generella regler om vilken statistik som ska tillåtas. Vid en sådan individuell avvägning kan olika faktorer kring projektet, t.ex. hur pass viktig den kunskap är som projektet kan ge, vägas mot intrånget i den enskildes Regeringen anser att det inte heller nu är lämpligt att genom lagstiftning på förhand avgöra exakt i vilka fall behandling av känsliga personuppgifter ska få ske för statistiska ändamål. I enlighet med utred- ningens förslag bör det därför i dataskyddslagen införas en avvägnings- norm motsvarande den som finns i 19 § andra stycket PUL. av känsliga personuppgifter för statistiska ändamål ska således få ske om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integri- tet som behandlingen kan innebära. Detta villkor för behandling utgör en sådan lämplig och särskild åtgärd som avses i artikel 9.2 j i dataskydds- Med anledning av Tjänstemännens centralorganisations önskemål om exempel på sådant som kan vara av stort samhällsintresse, kan konstateras att den praxis som finns avseende tillämpningen av 19 § andra stycket PUL bör kunna tjäna som vägledning för tillämpningen även av den föreslagna bestämmelsen. För att bestämmelsen ska aktuali- seras förutsätts givetvis att insamlingen av personuppgifter är tillåten med stöd av någon av de rättsliga grunderna i artikel 6.1 i dataskydds- förordningen eller att behandlingen utgör en tillåten vidarebehandling av för andra ändamål insamlade personuppgifter. Som nämns ovan anser regeringen att sådana statistiska undersök- ningar som utgör en integrerad del av ett forskningsprojekt ska bedömas enligt de bestämmelser som gäller för behandling av personuppgifter för Den avvägningsnorm som föreslås här kommer där- med endast att vara tillämplig vid behandling av personuppgifter inom ramen för andra slags statistikprojekt, t.ex. vid framställning av verksam- Sådan statistik, som alltså saknar samband med ett forsk- ningsprojekt, torde inte komma att prövas av en forskningsetisk kom- Det saknas därför skäl att i dataskyddslagen införa en motsvarighet till 19 § tredje stycket PUL. Svensk Försäkring menar att möjligheten att vidarebehandla uppgifter för statistikändamål bör vidgas och anför att försäkringsföretagen annars kommer att vara förhindrade att göra de aktuariella analyser som de är skyldiga att utföra för att uppfylla de näringsrättsliga kraven på god kontroll och uppföljning av verksamheten.