prop · H503107 · 2018-02-28 00:00:00 — Det bör heller inte uteslutas att det i vissa fall kan finnas ytterligare stöd i dataskyddsförordningen för en statistikansvarig myndighets behandling av Prop. 2017/18:107 personuppgifter, exempelvis i artikel 6.1 c. När det gäller Datainspektionens påpekande om behovet av en analys av hur regleringen kring rättsligt stöd för annan statistik förhåller sig till dataskyddsförordningen och RF, samt en större tydlighet beträffande vilken statistik en statistikansvarig myndighet kan framställa med eget rättsligt stöd, gör regeringen följande överväganden. I enlighet med vad som anförts i avsnitt 7.1 bedömer regeringen att överväganden av regleringens tydlighet, precisering, förutsägbarhet och proportionalitet redan har gjorts. Bestämmelsen i 2 kap. 6 § RF har vidare inte ansetts utgöra något hinder mot att i 14 § lagen om den officiella statistiken föreskriva en generell rätt att behandla personuppgifter för framställning av statistik, utan närmare specificering i bilagan till förordningen om den officiella statistiken. Sammantaget bedömer regeringen att nödvändiga överväganden gällande statistikförfattningarnas förenlighet med grundlag och författningsprinciper redan gjorts och att författningarna uppfyller föreskrivna krav. Regeringens bedömning: En statistikansvarig myndighet ska fort- farande ha ett utpekat personuppgiftsansvar vid behandling av person- uppgifter i samband med statistikframställning. behandling av personuppgifter i samband med uppdragsverksamhet åt forskare är att betrakta som behandling av personuppgifter för statis- Regeringens förslag: En statistikansvarig myndighet ska kunna vara personuppgiftsbiträde åt en annan statistikansvarig myndighet. Promemorians bedömning och förslag överensstämmer med Remissinstanserna: Remissinstanserna tillstyrker eller har inte något att invända mot bedömningen och förslaget. försäkringen anser att en statistikansvarig myndighet i vissa situationer ska kunna agera personuppgiftsbiträde även åt andra myndigheter. Skälen för regeringens bedömning och förslag: Begreppet person- uppgiftsansvarig är centralt både i dataskyddsdirektivet och dataskydds- I artikel 4 i dataskyddsförordningen definieras begreppet som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ända- målen och medlen för behandlingen av personuppgifter. och medlen för behandlingen bestäms av unionsrätten eller medlems- staternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Den som behandlar personuppgifter för den personuppgiftsansvariges räkning benämns personuppgiftsbiträde. Som anförts i avsnitt 8.1 anger 14 § lagen om den officiella statistiken att en statistikansvarig myndighet är personuppgiftsansvarig enligt PUL vid framställning av statistik. Någon skillnad i innebörden av begreppet personuppgiftsansvarig finns inte mellan dataskyddsdirektivet, PUL och 2017/18:107 dataskyddsförordningen. Det finns därför inte skäl att föreslå en ändrad reglering med anledning av den nya förordningen, bortsett från att hänvisningen till PUL ska utgå. Den nuvarande regleringen innebär att en statistikansvarig myndighet är personuppgiftsansvarig även vid utförande av uppdragsverksamhet, då beställaren anger vilka personuppgifter som ska behandlas och för vilka ändamål. Även om förhållandet mellan myndigheten och beställaren kan tala för att myndigheten i stället bör betraktas som ett personuppgiftsbiträde finns starka skäl som talar för att behålla den nuvarande ordningen, bl.a. den stora kunskap som finns hos myndigheten om hur det statistiska materialet kan användas. Det förekommer dock i stor utsträckning att en statistikansvarig myndighet utför uppdrag åt en annan statistikansvarig myndighet. För SCB är det enligt 4 § i myndighetens instruktion en skyldighet att utföra sådana uppdrag och de ska prioriteras i förhållande till andra uppdrag. Definitionen av personuppgiftsansvarig innebär att personuppgiftsansvaret kan vara delat mellan två eller fler aktörer. I detta fall riskerar dock en sådan konstruktion att leda till en oklarhet i ansvarsfördelningen eftersom statistikansvaret är särskilt reglerat. I förarbetena till lagen om den officiella statistiken anges vidare att dagens reglering bygger på principen att ansvaret för elektroniskt lagrad information ska ligga hos den myndighet som ansvarar för den statistik för vilken behandlingen utförs (prop. 2000/01:27 s. 72). Detta kan uppfattas som motstridigt jämfört med ordalydelsen i 14 § lagen om den officiella statistiken, som anger att en statistikansvarig myndighet får behandla personuppgifter för framställning av statistik och att myndigheten är personuppgiftsansvarig för sådan behandling. Det finns därför skäl att klargöra att en statistikansvarig myndighet, utan hinder av vad som anges i 14 § lagen om den officiella statistiken, kan vara personuppgiftsbiträde åt en annan statistikansvarig myndighet. Regeringen anser dock inte att det, som Inspektionen för socialförsäkringen föreslagit, finns skäl att utvidga förslaget så att en statistikansvarig myndighet kan vara personuppgiftsbiträde även åt andra myndigheter. Som framhållits i propositionen Ny dataskyddslag kan statistiska undersökningar vara en integrerad del av ett forskningsprojekt (prop. 2017/18:105 s. 124). I dessa fall menar regeringen att sådan behandling av personuppgifter som sker under forskarens ansvar bör bedömas enligt de bestämmelser som gäller vid behandling för forskningsändamål. Det utpekade personuppgiftsansvaret för statistikansvariga myndigheter gäller även vid uppdragsverksamhet som utförs åt forskare. I dessa fall behöver därför åtskillnad göras mellan behandling av personuppgifter för statistiska ändamål respektive för forskningsändamål, eftersom olika aktörer kommer att vara personuppgiftsansvariga i olika delar av behandlingen. Syftet med den statistikansvariga myndighetens behandling är just statistiska ändamål, även om uppgifterna därefter är avsedda att lämnas till en beställare för behandling för forskningsändamål. 8.3Behandling av känsliga personuppgifter och uppgifter om lagöverträdelser Regeringens förslag: Personuppgifter som avses i artikel 9.1 och artikel 10 i EU:s dataskyddsförordning ska få behandlas vid framtagande av officiell statistik om det följer av föreskrifter som regeringen meddelat. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Alla remissinstanser utom Datainspektionen till- styrker förslaget eller har inte något att invända mot detta. Datainspektionen anser att promemorian saknar en tillräcklig analys av om författningsbestämmelserna angående behandling av känsliga personuppgifter uppfyller kraven i dataskyddsförordningen. Det saknas enligt myndigheten en redogörelse för de nackdelar, risker och problem som behandlingen leder till eller kan leda till för enskildas personliga integritet och ett ställningstagande till hur man kan minimera riskerna för de registrerade. Myndigheten anser därför att det inte är möjligt att genomföra en proportionalitetsbedömning. Skälen för regeringens förslag: I artikel 9.1 i dataskyddsförordningen anges att behandling som avslöjar särskilda kategorier av personuppgifter, som i stort motsvarar vad som i gällande rätt benämns känsliga personuppgifter, ska vara förbjuden. Förbudet är förenat med ett antal undantag, se artiklarna 9.2–9.4 i förordningen (jfr 15–19 §§ PUL). För att vissa av undantagen ska vara tillämpliga krävs att grunden för sådana behandlingar på olika sätt kommer till uttryck i unionsrätten eller nationell rätt. I artikel 9.2 j finns undantag från förbudet av behandling av känsliga personuppgifter vid behandling som är nödvändig för bl.a. statistiska ändamål. Där anges att förbudet inte gäller om behandlingen är nödvändig för dessa ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller nationell rätt, som ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. För behandlingar av uppgifter som rör fällande domar i brottmål samt överträdelser anges i artikel 10 att sådana behandlingar endast får utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller nationell rätt, där lämpliga skyddsåtgärder fastställts för de registrerades rättigheter och friheter. I gällande rätt regleras behandlingen av känsliga personuppgifter i bl.a. 13 § PUL. Utrymmet för att behandla känsliga personuppgifter är begränsat. Huvudregeln är att det är förbjudet att behandla uppgifter av detta slag. Från förbudet finns en rad undantag. För personuppgifter om lagöverträdelser m.m. är huvudregeln i 21 § PUL att det är förbjudet för andra än myndigheter att behandla dessa. För statistikansvariga myndigheter anges i 15 § lagen om den officiella statistiken att personuppgifter som avses i 13 § och 21 § första stycket PUL, dvs. känsliga personuppgifter och uppgifter om lagöverträdelser, får behandlas om det följer av föreskrifter som regeringen meddelat. Sådana föreskrifter har meddelats i 8 § förordningen om den officiella statistiken och bilagan till 2017/18:107 samma förordning, som reglerar sådan information som bedöms vara av grundläggande betydelse för samhället. Den nuvarande regleringen bedöms, tillsammans med de skyddsåtgärder för den registrerades rättigheter som redogörs för i avsnitt 8.5, uppfylla dataskyddsförordningens krav på undantag från förbudet om behandling av känsliga personuppgifter för statistiska ändamål. Det bedöms alltjämt finnas behov av en reglering av det aktuella slaget. Även med beaktande av de potentiella risker för enskildas personliga integritet som en behandling av känsliga personuppgifter kan medföra, anser regeringen, med beaktande av det stora samhälleliga intresset och de nämnda skyddsåtgärderna, att den föreslagna regleringen är proportionerlig. Som framgår av avsnitt 7.1. är proportionalitetsbedömningar inte någon nyhet i svensk lagstiftning. När det gäller personuppgifter om lagöverträdelser innebär artikel 10 i dataskyddsförordningen vissa ändringar jämfört med tidigare bestämmelser i dataskyddsdirektivet, då tillämpningsområdet begränsats till enbart fällande brottmålsdomar. För att underlätta tillämpningen av lagen bör 15 § i detta avseende hänvisa direkt till regleringen i dataskyddsförordningen. Detta innebär en viss förändring i sak jämfört med tidigare, men är samma ordning som gäller enligt det generella regelverket. I propositionen Ny dataskyddslag föreslår regeringen att personuppgifter som rör lagöverträdelser ska få behandlas av myndigheter. Vidare anges att behandling av känsliga personuppgifter får ske under de förutsättningar som anges i dataskyddsförordningen. Den reglering som föreslås i lagen om den officiella statistiken innebär således en inskränkning av möjligheten att behandla sådana personuppgifter jämfört med vad som kommer att gälla enligt den generella regleringen. I avsnitt 8.6.2 redogörs för när känsliga personuppgifter och uppgifter om lagöverträdelser får behandlas vid framtagande av annan statistik än officiell statistik. 8.4Undantag från vissa av den registrerades rättigheter Regeringens förslag: Vid behandling av personuppgifter som omfattas av lagen om den officiella statistiken ska den registrerade inte ha rätt att få uppgifter rättade eller kräva begränsning av behandlingen. Regeringens bedömning: Ett undantag från dataskyddsförordningens bestämmelse om rätt till information bör inte införas i lagen om den officiella statistiken. Dataskyddsförordningens bestämmelser om rätten att göra invändningar blir inte tillämpliga vid behandling av personuppgifter som omfattas av lagen om den officiella statistiken. Promemorians förslag: Överensstämmer delvis med regeringens. I promemorian föreslås även ett undantag från rätten att göra invändningar. Remissinstanserna: Majoriteten av remissinstanserna tillstyrker förslagen eller har inte något att invända mot dessa. Datainspektionen efterfrågar en analys som visar att de föreslagna begränsningarna av de registrerades rättigheter är proportionella mot det legitima mål som eftersträvas. Enligt myndigheten saknas en konkret redogörelse för vilka nackdelar eller risker behandlingen kan innebära för de registrerade och en analys om dessa undantag medför behov av ytterligare skyddsåtgärder. Analysen i promemorian visar inte heller att de nämnda skyddsåtgärderna är tillräckliga för att undantag ska kunna göras. Mot denna bakgrund bedömer myndigheten att förslaget inte är förenligt med dataskyddsförordningen. ställer sig principiellt tveksam till inskränkningar av de rättigheter som gäller enligt förordningen och avstyrker förslaget att begränsa rätten att göra invändningar. Skälen för regeringens förslag och bedömning: Som redogjorts för i avsnitt 6.2 innehåller dataskyddsförordningen ett antal direkt tillämpliga undantag från de rättigheter som annars följer av förordningen. För statistikansvariga myndigheter torde det främst vara artiklarna 14.5 b och 17.3 d som är relevanta. Dessa möjliggör undantag från rätten till information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade själv, och från rätten till radering. I vilken utsträckning som undantagen kan och bör tillämpas är upp till respektive myndighet att avgöra. Behandling av personuppgifter för statistiska ändamål får enligt artikel 89.2 i nationell rätt undantas från den enskildes rätt till tillgång (artikel 15), rättelse (artikel 16), begränsning av behandling (artikel 18) och att göra invändningar (artikel 21). Enligt artikel 15 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne behandlas. Om så är fallet har den registrerade rätt att få tillgång till personuppgifterna och information om behandlingen, bl.a. om ändamålen med behandlingen och de kategorier av personuppgifter som behandlingen gäller. Rättigheten motsvarar i princip vad som följer av 26 § första stycket PUL om registerutdrag. Denna reglering gäller även vid sådana behandlingar av personuppgifter som omfattas av lagen om den officiella statistiken. För att undantag ska kunna göras krävs enligt artikel 89.2 att rättigheten sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, i detta fall statistikframställning, och att undantagen krävs för att uppnå dessa. Det kan konstateras att bestämmelserna om registerutdrag tillämpats , vilket i sig talar emot att det skulle påverka statistikframställningen i sådan omfattning som avses i dataskyddsförordningen. Vidare skulle den registrerade även med ett sådant undantag ha rätt att begära ut motsvarande uppgifter genom bestämmelserna om utlämnande av allmänna handlingar i 2 kap. tryckfrihetsförordningen, vilket innebär en motsvarande insats från den statistikansvariga myndighetens sida. Bestämmelserna om sekretess vid statistikframställning i 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, syftar till att skydda den enskilde, men gäller enligt 12 kap. 1 § samma lag inte i förhållande till den enskilde själv. Det saknas mot denna bakgrund skäl att införa ett undantag från artikel 15 i förordningen. Artikel 16 anger att den registrerade ska ha rätt att utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Bestämmelserna om rättelse motsvarar delvis 28 § PUL. 2017/18:107 ska dock den registrerade också enligt artikel 16, med beaktande av ändamålet med behandlingen, ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom ett kompletterande utlåtande. Vidare framgår det av artikel 18 att den registrerade har rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas, bl.a. om den registrerade bestrider personuppgifternas korrekthet (som ger den personuppgiftsansvarige möjlighet att kontrollera uppgifterna). Behandlingen kan också begränsas om den är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning. På motsvarande sätt kan behandlingen begränsas om den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen, men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Slutligen omfattas också situationer då den registrerade i enlighet med artikel 21.1 har invänt mot en behandling av personuppgifter i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades skäl. Eftersom personuppgifterna som behandlas för statistikändamål inte får behandlas i syfte att kartlägga eller vidta åtgärder i fråga om enskilda individer torde den enskildes intresse av att begränsa behandlingen av vissa uppgifter eller att rätta en felaktig uppgift i dessa fall vara högst begränsad. En sådan ordning skulle vidare riskera att göra det omöjligt eller mycket svårare för statistikansvariga myndigheter att uppfylla ändamålen med sin verksamhet. Även om exempelvis ett tillägg i ett undantagsfall skulle vara av intresse för den enskilde kan det sakna betydelse för framställningen av den statistik som behandlingen syftar till. Med stöd av artikel 89.2 bör därför ett undantag från rätten i artikel 16 att få personuppgifter rättade eller kompletterade samt ett undantag för rätten i artikel 18 att kräva begränsning av behandlingen föras in i lagen om den officiella statistiken. Rätten att göra invändningar mot behandling av personuppgifter som följer av artikel 21 motsvarar delvis regleringen i 11 § PUL. Den senare bestämmelsen gäller emellertid endast vid direkt marknadsföring, varför dataskyddsförordningen i detta avseende utvidgar rätten för den registrerade att göra invändningar mot behandlingen av personuppgifter. Rätten att göra invändningar gäller vid behandling av personuppgifter som grundar sig på artikel 6.1 e eller f. Rätten gäller enligt artikel 21.6 dock inte om personuppgifter behandlas för statistiska ändamål i enlighet med artikel 89.1 och behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, dvs. grundar sig på artikel 6.1 e. Som anges i avsnitt 7.1 bör artikel 6.1 e i stor utsträckning kunna utgöra en rättslig grund för statistikansvariga myndigheters behandling av personuppgifter. Sådan behandling kan även komma att ske med stöd av artikel 6.1 c. Vid sådan behandling är dock, som ovan anförts, inte rätten att göra invändningar tillämplig. Rätten kommer därmed inte att vara tillämplig vid statistiska behandlingar. Till skillnad mot vad som föreslås i promemorian saknas därmed anledning att införa ett undantag från rätten att göra invändningar. Såväl Datainspektionen som ifrågasätter bedömningen i promemorian att undantag ska göras från den registrerades rättigheter. Regeringen vill framhålla att rättigheterna enligt dataskydds- förordningen är viktiga ur ett integritets- och rättssäkerhetsperspektiv. 2017/18:107 gångspunkten måste emellertid vara att sådan statistik som omfattas av lagen om den officiella statistiken, och som således produceras av statistikansvariga myndigheter, generellt sett har ett stort samhälleligt värde. Detta gäller oavsett om statistiken som framställs utgör officiell statistik eller inte. Den behandling av personuppgifter som sker enligt lagen, och som rör känsliga personuppgifter, får endast utföras i den utsträckning som särskild reglering tillåter detta. Lagen innehåller därutöver ytterligare bestämmelser som reglerar framställning av officiell statistik. De inskränkningar av de enskildas rättigheter som föreslås bedöms mot denna bakgrund som proportionerliga i förhållande till de begränsningar av den enskildes integritet och rättssäkerhet som dessa medför. Behovet av skyddsåtgärder för att uppfylla dataskyddsförordningens krav behandlas i avsnitt 8.5. I 18 § lagen om den officiella statistiken anges att den som fått avidentifierade personuppgifter utlämnade till sig för forsknings eller statistikändamål inte behöver rätta, blockera eller utplåna uppgifterna på begäran av den registrerade, om den som behandlar uppgifterna inte själv har möjlighet att vidta någon åtgärd för att identifiera den registrerade. Bestämmelsen motsvaras i huvudsak av artikel 11 i dataskyddsförordningen. Efter införandet av dataskyddsförordningen bedöms det inte finnas något behov av att ha kvar regleringen i 18 § lagen om den officiella statistiken. Denna reglering ska därför utgå. Regeringens bedömning: Den befintliga regleringen i offentlighets- och sekretesslagen, lagen om den officiella statistiken och förordningen om den officiella statistiken ger tillräckliga förutsättningar för att dataskyddsförordningens krav på skyddsåtgärder för behandling av personuppgifter för statistiska ändamål ska uppfyllas. Promemorians bedömning: Överensstämmer i allt väsentligt med regeringens. I promemorians bedömning nämns inte uttryckligen förordningen om den officiella statistiken. Remissinstanserna: Majoriteten av remissinstanserna instämmer i bedömningen eller har inte något att invända mot denna. Datainspektionen anför att en helhetsbedömning måste göras och att det inte är tillräckligt att enbart se till bestämmelser om sekretess, även om dessa är av vikt i sammanhanget. Behovet av skyddsåtgärder måste enligt myndigheten bedömas utifrån vilken behandling som ska ske och vilket integritetsintrång det är frågan om. Därutöver behöver frågan om konsekvensbedömning i samband med fastställande av rättslig grund beaktas enligt artikel 35.10 i dataskyddsförordningen. instämmer i bedömningen i promemorian om att regleringen i OSL kan anses utgöra en sådan skyddsåtgärd som avses i artikel 89.1 i dataskyddsförordningen. Myndigheten framhåller dock att det enligt dataskyddsförordningen ankommer på den personuppgiftsansvarige att för varje behandling ta 2017/18:107 ställning till vilka skyddsåtgärder som krävs enligt artikel 89.1 för att uppfylla förordningens krav och att regleringen i OSL inte generellt kan anses uppfylla kravet på skyddsåtgärder. Skälen för regeringens bedömning: Behandling av personuppgifter för statistiska ändamål ska enligt artikel 89.1 i dataskyddsförordningen omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. I myndigheternas statistikverksamhet gäller absolut sekretess enligt 24 kap. 8 § OSL för uppgift som avser en enskilds personliga eller ekonomiska förhållanden. Sekretessen bör utgöra en särskild skyddsåtgärd i dataskyddsförordningens mening. Vidare anges i 5 § lagen om den officiella statistiken att den officiella statistiken ska framställas och offentliggöras med beaktande av behovet av skydd för fysiska och juridiska personers intressen. Enligt 6 § gäller dessutom att uppgifter i den officiella statistiken inte får sammanföras med andra uppgifter i syfte att ta reda på en enskilds identitet. Överträdelser av bestämmelsen i 6 § är straffbelagda enligt 26 §. I 19 § finns vidare bestämmelser om gallring och arkivering. Av 10 § förordningen om den officiella statistiken följer att en statistikansvarig myndighet är skyldig att vara organiserad så att myndighetens verksamhet för framställning av statistik är avgränsad från myndighetens verksamhet i övrigt. Regeringen vill med anledning av vad Datainspektionen och anfört om behovet av skyddsåtgärder framhålla att de skyddsåtgärder som beskrivits ovan inte enbart utgörs av sekretessbestämmelser, utan även bestämmelser som reglerar statistikansvariga myndigheters verksamhet i övrigt.