prop · H503112 · 2018-03-01 00:00:00 — Skälen för regeringens förslag: I artikel 10 i dataskyddsförordningen anges bland annat att behandling av personuppgifter som rör fällande domar i brottmål och överträdelser eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller där behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Motsvarande reglering i dataskyddsdirektivet omfattar fler uppgifter, Prop. 2017/18:112 nämligen även uppgifter om friande brottmålsdomar, uppgifter om administrativa sanktioner och avgöranden av tvistemål. Dataskyddsdirektivet har genomförts genom 21 § personuppgiftslagen och Arbetsförmedlingens och Inspektionen för arbetslöshetsförsäkringens registerlagar innehåller hänvisningar till den bestämmelsen. Med beaktande av att ett förstärkt skydd för de registrerade är ett av dataskyddsförordningens huvudsyften, framstår det som olämpligt att friande brottmålsdomar, straffprocessuella tvångsmedel och administrativa frihetsberövanden som omfattas av särskilda skyddsregler skulle få behandlas utan motsvarande skydd endast för att de faller utanför definitionen i artikel 10 i dataskyddsförordningen. Dataskyddsförordningen hindrar inte heller att medlemsstaterna behåller eller inför mer restriktiva bestämmelser i nationell rätt vad gäller de egna myndigheternas behandling av sådana personuppgifter. Därför bör de uppgifter som räknas upp i den nuvarande 21 § personuppgiftslagen, och på grund av detta omfattas av vissa säkerhets- och skyddsregler, även i fortsättningen ha motsvarande skydd i lag. I stället för en hänvisning till personuppgiftslagens bestämmelser om lagöverträdelser bör dock lagarna innehålla en uppräkning av de typer av uppgifter om lagöverträdelser som Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen får behandla. 7.8Automatiserat beslutsfattande i Arbetsförmedlingens verksamhet Regeringens bedömning: Det ska inte införas lagstöd för automatiskt beslutsfattande i Arbetsförmedlingens registerlag. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Arbetsförmedlingen anser att myndigheten har behov av lagstöd för automatiserade beslut. I övrigt har remissinstanserna inga synpunkter på bedömningen. Skälen för regeringens bedömning I artikel 22.1 i dataskyddsförordningen anges att den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar denne. Profilering definieras i artikel 4.4 i dataskyddsförordningen som varje form av automatisk behandling av personuppgifter som består i att personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar. Enligt skäl 71 bör den registrerade ha rätt att inte bli föremål för ett beslut, vilket enbart grundas på automatiserad behandling. 2017/18:112 grundat på sådan behandling, inbegripet profilering, bör dock, enligt skäl 71, tillåtas när det uttryckligen beviljas genom unionsrätten eller medlemsstaternas nationella rätt, bland annat för att sörja för tillförlitlighet hos en tjänst som tillhandahålls av den personuppgiftsansvarige. Denna form av uppgiftsbehandling bör under alla omständigheter omfattas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, rätt att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och rätt att överklaga beslutet. Möjlighet till undantag från huvudregeln i artikel 22.1 finns i artikel 22.2. En förutsättning för undantag enligt artikel 22.2 är att den personuppgiftsansvarige genomför lämpliga åtgärder för att säkerställa den registrerades rättigheter, friheter och intressen (artikel 22.3). Särskilda kategorier av personuppgifter (känsliga personuppgifter) får endast i undantagsfall finnas med som grund i sådana beslut (artikel 22.4). Det bör inte införas lagstöd för automatiserat beslutsfattande i Arbetsförmedlingens registerlag Promemorians bedömning är att det inte inom de myndigheter som faller inom ansvarsområde förekommer de slags automatiserade beslut som avses i artikel 22.1 i dataskyddsförordningen. Några bestämmelser om automatiserat beslutsfattande föreslås inte heller i promemorian. Arbetsförmedlingen anger att myndigheten har behov av ett lagstöd när det gäller automatiserade beslut i vissa delar av den verksamhet som bedrivs och att behovet kommer att öka ytterligare i och med krav på framtida effektivisering genom automatisering. Arbetsförmedlingen har i vissa fall även behov av att utföra profilering, till exempel vid stöd och matchning mot arbete. För automatiserade beslut krävs vissa skyddsåtgärder som också måste regleras i lag. Nuvarande reglering, till exempel förvaltningslagen (1986:223), uppfyller endast delvis de skyddsåtgärder som krävs för automatiserade beslut. Det är därför av stor vikt att även denna fråga regleras i lag. Regeringen kan konstatera att det råder en viss osäkerhet om artikel 22.1 i dataskyddsförordningen ska anses omfatta även annat automatiskt beslutsfattande än sådant som innefattar profilering. Mycket talar dock för att artikel 22 i dataskyddsförordningen endast reglerar automatiskt beslutsfattande som innefattar profilering. Även om det skulle visa sig att artikel 22.1 ska tolkas så att den även omfattar automatiserat beslutsfattande som inte innefattar profilering kan det konstateras att automatiserat beslutsfattande generellt är tillåtet för svenska förvaltningsmyndigheter. I 28 § förvaltningslagen (2017:900) som träder i kraft förtydligas att myndighetsbeslut kan fattas på automatiserad väg. I skälen till lagen anges att bestämmelsen tydliggör att det inte behövs en reglering i en specialförfattning för att en myndighet ska kunna använda den automatiserade beslutsformen, se propositionen En modern och rättssäker förvaltning – ny förvaltningslag (prop. 2016/17:180 s. 179). Det finns alltså författningsstöd i svensk rätt för automatiskt Prop. 2017/18:112 beslutsfattande vid svenska förvaltningsmyndigheter. rättsliga regleringen ställer allmänna krav på legalitet, objektivitet och proportionalitet. Dessutom säkerställs i det förvaltningsrättsliga regelverket rätten till insyn, krav på kommunikation liksom möjligheten till ändring och rättelse av beslut samt rätten att överklaga beslut som kan antas påverka någons situation på ett inte obetydligt sätt. Denna reglering får anses svara mot de krav som ställs i dataskyddsförordningen på bland annat lämpliga skyddsåtgärder enligt artikel 22.2 b. Det bör i detta sammanhang understrykas att även om det i förvaltningslagen finns författningsstöd för automatiskt beslutsfattande måste givetvis den personuppgiftsansvarige uppfylla sina skyldigheter som följer direkt av dataskyddsförordningen. Regeringen föreslår mot bakgrund av det ovanstående inget särskilt lagstöd som medger undantag inom den arbetsmarknadspolitiska verksamheten från rätten för registrerade i artikel 22.1 i dataskyddsförordningen att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling. 7.9Samlingar av personuppgifter i utvärderings verksamhet Regeringens förslag: utvärdering ska få ha samlingar av personuppgifter som inte direkt kan hänföras till en person om det är nödvändigt för vissa ändamål. Ordet behövs ska ersättas av ”är nödvändigt” i bestämmelserna om samlingar av personuppgifter. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen ifrågasätter behovet av att skapa egna samlingar av personuppgifter som redan finns hos andra myndigheter. Datainspektionen efterfrågar också en närmare analys av om bestämmelsen är proportionell mot det legitima ändamål som eftersträvas och om den uppfyller kraven på de grundläggande principerna för behandling enligt artikel 5.1 i dataskyddsförordningen. förutsätter att frågan om utvärderings forskningsdatabas och därmed relaterade frågor kommer att lyftas inom fortsatta arbete. Skälen för regeringens förslag Medlemsstaterna har möjlighet att behålla och införa bestämmelser i enlighet med artikel 6.2 i dataskyddsförordningen. fråga om bland annat vetenskapliga och historiska forskningsändamål en koppling till artikel 89.1 med vissa särskilda krav på lämpliga Enligt artikel 89.1 ska skyddsåtgärderna säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Principen om uppgiftsminimering innebär att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 c). Pseudonymisering nämns som exempel på sådana tekniska och organisatoriska åtgärder. Pseudonymisering definieras i artikel 4.5 som behandling av personuppgifter som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Av 8 § lagen om behandling av personuppgifter vid utvärdering framgår att det hos myndigheten får finnas samlingar av personuppgifter som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna får dock, enligt bestämmelsen, vara försedda med en beteckning som den myndighet som uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Samlingarna av personuppgifter behöver inte nödvändigtvis vara knutna till en avgränsad studie, uppföljning eller utvärdering, jfr propositionen Behandling av personuppgifter vid utvärdering (prop. 2011/12:176 s. 43). Behovet av samlingar och hur dessa förhåller sig till dataskyddsförordningen Datainspektionen pekar på att myndigheten i sitt remissyttrande vid införandet av lagen om behandling av personuppgifter vid utvärdering ifrågasatte myndighetens behov av att skapa egna samlingar av personuppgifter som redan finns hos andra myndigheter, till exempel och Arbetsförmedlingen. Datainspektionen efterfrågar också en närmare redovisning av om bestämmelsen är proportionell mot det legitima mål som eftersträvas och om den uppfyller kraven på de grundläggande principerna för behandling enligt artikel 5.1 i dataskyddsförordningen. Vid införandet av lagen om behandling av personuppgifter vid utvärdering ansåg regeringen att det fanns behov för utvärdering att bygga upp samlingar av avidentifierade personuppgifter. I förarbetena till lagen anges att ett av huvudsyftena med lagen är att möjliggöra för utvärdering att mer långsiktigt hålla denna typ av databaser utan krav på att samlingarna ska vara knutna till ett visst avgränsat projekt eller utredningsuppdrag. Om myndigheten i stället skulle behöva bygga upp nya specifika databaser för varje enskild utvärdering, skulle myndigheten inte kunna fylla den funktion den har . Vidare ansågs det inte möjligt att möta och utbildningspolitisk utvärderings behov genom system för direktåtkomst eftersom det inte är anpassat för de stora datamängder som myndigheten har behov av i sina effektutvärderingar. Sammantaget gjordes bedömningen att intresset av att utvärdering mer långsiktigt skulle få behandla denna typ av uppgiftssamlingar fick anses väga tyngre än den integritetskränkning som behandlingen riskerade att medföra, se propositionen Behandling av personuppgifter vid utvärdering (prop. 2011/12:176 s. 42). Regeringens bedömning är att behovet för utvärdering att ha egna samlingar av avidentifierade personuppgifter kvarstår. Samlingarna möjliggör effektutvärderingar som kan göras snabbt för att skapa beslutsunderlag vid utformningen av arbetsmarknadspolitiken, den ekonomiska politiken och utbildningspolitiken. Eftersom det sker snabba förändringar inom dessa politikområden beroende på bland annat konjunkturen finns ett stort behov av att utvärdera åtgärder, insatser och reformer utan långa utredningstider. Enligt regeringens uppfattning fyller samlingarna därmed en mycket viktig samhällsfunktion. När det gäller intrånget i den personliga integriteten kan regeringen konstatera att personuppgifterna är avidentifierade. Avidentifieringen innebär att varje enskild person kan identifieras genom namn, personnummer eller samordningsnummer. I stället förses varje person med en beteckning. sparar dock en nyckel som kan användas för att identifiera de enskilda personerna på nytt, vilket är en förutsättning för att uppgifterna ska kunna uppdateras eller kompletteras för att göra de kopplingar mellan exempelvis arbetsliv och utbildning som behöver göras för en viss studie (angiven prop. s. 40). Vidare har regleringen av samlingarna placerats i lag eftersom det handlar om en förhållandevis stor mängd personuppgifter som dessutom kan komma att sparas (s. 19 f). I samma förarbeten görs bedömningen att de möjligheter som finns till direktåtkomst till system inte tillfredsställer behoven hos Institutet. Den främsta orsaken som anges är att systemen med direktåtkomst inte är anpassade för de stora datamängder som behövs för effektutvärderingar (s. 43). Regeringen kan konstatera att inga avgörande tekniska eller andra verksamhetsmässiga förändringar har skett sedan införandet av registerlagen som möjliggör att myndigheterna kan skicka de nödvändiga datamängder som behövs mellan sig. Bestämmelsen, som ger utvärdering möjlighet att ha samlingar av personuppgifter, innehåller ett krav på att samlingen behövs för de primära ändamålen. Bestämmelsen innehåller även skydds- och säkerhetsåtgärder −såsom att uppgifterna inte direkt kan hänföras till en person. Paragrafen är även ett förtydligande och en tillämpning av vad som gäller enligt bland annat den grundläggande principen om uppgiftsminimering i artikel 5.1 c i dataskyddsförordningen. Bestämmelsen är en sådan lämplig skyddsåtgärd för att säkerställa de registrerades fri- och rättigheter som föreskrivs i artikel 89.1. I detta sammanhang kan det även framhållas att lagen innehåller även andra skydds- och 2017/18:112 säkerhetsbestämmelser bland annat om begränsning i behandling av personuppgifter, begränsning av tillgång till personuppgifter och krav för behandling av känsliga personuppgifter. När det gäller lagringsminimering som Datainspektionen nämner i sitt yttrande kan regeringen konstatera att utvärdering ska gallra personuppgifter som inte längre behövs för att myndigheten ska kunna fullgöra sitt uppdrag (14 §). Myndigheten måste också enligt artikel 5.1 c i dataskyddsförordningen säkerställa att personuppgifter är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Regeringen anser sammantaget att det fortfarande finns ett starkt behov av samlingarna och att det behovet väger tyngre än det intrång i enskildas personliga integritet som samlingarna kan innebära. Regleringen av samlingarna uppfyller vidare enligt regeringens uppfattning de krav som ställs i artikel 5.1 i dataskyddsförordningen, till exempel kraven på laglighet och uppgiftsminimering. I bestämmelserna om samlingar av personuppgifter i lagen om behandling av personuppgifter vid utvärdering anges att samlingar får finnas om det behövs för vissa ändamål. Terminologin bör anpassas till dataskyddsförordningen genom att ordet behövs ersätts av ”är nödvändigt”. Förhållandet till annan reglering av behandling av personuppgifter för forskningsändamål förutsätter att frågan om utvärderings forskningsdatabas och därmed relaterade frågor kommer att lyftas inom fortsatta arbete. I betänkandet Personuppgiftsbehandling för forskningsändamål (SOU 2017:50) lämnas förslag till en ny forskningsdatalag som föreslås vara subsidiär i förhållande till andra bestämmelser i lag eller förordning om behandling av personuppgifter för forskningsändamål. Betänkandet bereds inom . 7.10Registerutdrag i utvärderings verksamhet Regeringens förslag: Bestämmelsen om undantag från rätten till information efter begäran i registerlagen för utvärdering ska tas bort. Promemorians förslag: I promemorian föreslås undantaget finnas kvar men med en hänvisning till dataskyddsförordningen i stället för till personuppgiftslagen Remissinstanserna: Datainspektionen ifrågasätter om inte bestämmelsen om undantag från rätten till information efter begäran att återge dataskyddsförordningens artikel 11. inspektionen ifrågasätter också behovet av bestämmelsen och anser att den remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag Artikel 15 i dataskyddsförordningen reglerar den registrerades rätt till tillgång till personuppgifter, som motsvarar rätten till information efter ansökan i 26 § personuppgiftslagen, det vill säga rätt till så kallade I artikel 89.2 i dataskyddsförordningen anges att i de fall person- uppgifter behandlas för bland annat vetenskapliga eller historiska forskningsändamål får det i nationell rätt föreskrivas undantag från de rättigheter som avses i bland annat artikel 15. I 13 § lagen om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering finns ett undantag från den skyldighet att lämna registerutdrag på begäran som regleras i 26 § Undantaget gäller de fall då Institutet för arbetsmarknads- och utbildningspolitisk utvärdering endast har personuppgifter som inte är hänförliga till en viss person, men även de fall då personuppgifterna har försetts med något slags beteckning, så länge inte gång till den nyckel som behövs för att åter knyta uppgifterna till en utvärdering behandlar är sådana att myndigheten inte har möjlighet att utan bistånd från andra myndigheter sammanställa ett registerutdrag över de uppgifter som behandlas. Undantaget från rätten till registerutdrag ska tas bort En skyldighet att sammanställa registerutdrag och lämna ut annan information enligt artikel 15 i dataskyddsförordningen skulle innebära att tvunget att identifiera uppgifterna på ett sätt som i sig skulle innebära oönskade risker för intrång i den personliga integriteten, jfr propositionen Behandling av personuppgifter vid och utbildningspolitisk utvärdering (prop. 2011/12:176 s. 58). skulle leda till en större spridning av en personuppgift än vad som annars hade varit nödvändigt. Artikel 11 innebär att den personuppgiftsansvarige inte behöver skaffa ytterligare uppgifter för att fullgöra sina skyldigheter enligt artikel 15 om personuppgifterna som behandlas inte gör det möjligt att identifiera någon fysisk person (jfr skäl 57). Om den registrerade lämnar kompletterande information som gör det möjligt att identifiera den registrerade, ska dock rätten till registerutdrag enligt artikel 15 gälla. ansvarige ska om möjligt informera den registrerade om att denne inte 2017/18:112 behöver skaffa ytterligare uppgifter för att följa dataskyddsförordningen om personuppgifterna som behandlas inte gör det möjligt att identifiera någon fysisk person. Bestämmelsen i artikel 11 är direkt tillämplig och det krävs inte att den införs i svensk rätt för att den ska gälla. Man kan alltså, liksom Datainspektionen, ifrågasätta behovet av en bestämmelse som gör ett undantag från rätten till registerutdrag enligt artikel 15 i dataskyddsförordningen när det gäller personuppgifter som inte direkt kan hänföras till en person. Som Datainspektionen framför bör därför bestämmelsen om undantag från rätten till registerutdrag tas bort. Undantaget framgår redan av artikel 11 i dataskyddsförordningen. 7.11Tillgång till personuppgifter i Inspektionen för arbetslöshetsförsäkringens verksamhet Regeringens förslag: Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på Skälen för regeringens förslag: Enligt artikel 29 i dataskyddsförordningen gäller att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansvarige såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas nationella rätt. Enligt artikel 32.4 ska den personuppgiftsansvarige och personuppgiftsbiträdet vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det. Spridning av personuppgifter har av naturliga skäl stor betydelse för integritetsriskerna med behandlingen. En ökad spridning av personuppgifter innebär en ökad risk för att uppgifterna kommer att användas på ett otillbörligt och icke avsett sätt. Utgångspunkten är därför att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det saknas i princip betydelse hur många som faktiskt tar del av personuppgifterna. Integritetsriskerna är desamma i de fall spridningen innebär att mottagarna har möjlighet att ta del av dem, det vill säga har tillgång till personuppgifterna. En bestämmelse om att tillgång till personuppgifter ska vara begränsad till vad var och en behöver för att kunna fullgöra sina uppgifter ligger i linje med dataskyddsförordningen och minskar risken för otillåten behandling av personuppgifter. Det är även fråga om en bestämmelse om lämpliga och särskilda åtgärder för att säkerställa den registrerades intressen som ska införas i fråga om behandling av känsliga uppgifter enligt artikel i dataskyddsförordningen. bestämmelse bör därför införas i lagen. 7.12 Rättelse och skadestånd Regeringens förslag: Bestämmelserna om rättelse och skadestånd ska tas ur registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: tillstyrker förslagen att bestämmelserna om rättelse och skadestånd ska tas bort. Ingen av de övriga remissinstanserna har synpunkter på förslaget. Skälen för regeringens förslag: Den registrerades rätt till rättelse behandlas i artikel 16 i dataskyddsförordningen. Bestämmelsen anger att den registrerade ska ha rätt att av den personuppgiftsansvarige utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Med beaktande av ändamålet med behandlingen, ska den registrerade ha rätt att komplettera ofullständiga personuppgifter, bland annat genom att tillhandahålla ett kompletterande utlåtande. Även bestämmelsen om skadestånd i artikel 82 i dataskyddsförordningen är direkt tillämplig. I den föreslagna dataskyddslagen finns en bestämmelse, 8 kap. 1 §, som upplyser om att rätten till ersättning enligt artikel 82 i dataskyddsförordningen även gäller vid överträdelser av bestämmelser i lagen och andra författningar som kompletterar dataskyddsförordningen. Det är varken behövligt eller lämpligt att registerlagarna innehåller specifika bestämmelser eller hänvisningar till dataskyddsförordningen eller lagen med kompletterande bestämmelser till EU:s dataskyddsförordning i fråga om rättelse, skadestånd eller sanktioner i övrigt. Bestämmelserna om rättelse och skadestånd ska därför tas bort i registerlagarna.