sou · H6B345 · 2018-05-31 00:00:00 — Skälen för förslaget: Den föreslagna lagens tillämpningsområde bör enligt utredningens bedömning avgränsas till behandling av personuppgifter vid myndigheten i sådan verksamhet som avser kunskapsuppbyggnad och kunskapsspridning samt utvärdering och analys inom myndighetens ansvarsområde. Det rör sig om sådan behandling som är nödvändig för att utföra myndighetens kärnuppdrag att vara en kunskapsmyndighet på arbetsmiljöområdet. Kunskapsuppbyggnad kan t.ex. handla om att sammanställa kunskap ifrån olika vetenskapliga rapporter och artiklar och att granska kvaliteten i sådana publikationer. Det kan också handla om att identifiera kunskapsluckor. Myndigheten kommer även att behöva behandla personuppgifter för att göra t.ex. effektutvärderingar av t.ex. statliga insatser eller för att följa och analysera utvecklingen på arbetsmiljöområdet. Dataskyddsförordningens materiella tillämpningsområde omfattar, enligt artikel 2.1, sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Det bedöms lämpligt att den föreslagna lagens tillämpningsområde är detsamma som dataskyddsförordningens tillämpningsområde. Löpande administration vid myndigheten, såsom hantering av uppgifter om personal och av inkomna skrivelser från enskilda, kommer att innefatta personuppgiftsbehandling. Denna typ av verksamhet förekommer dock hos alla myndigheter och utredningen bedömer att denna typ av personuppgiftsbehandling kan grundas direkt på dataskyddsförordningen och dataskyddslagen. De rättsliga grunder som kan bli aktuella att tillämpa för behandling av personuppgifter i dessa delar av verksamheten, som alltså faller utanför den föreslagna registerlagens tillämpningsområde, är enligt utredningens bedömning framför allt artikel 6.1 c och e i dataskyddsförordningen om nödvändig behandling för att fullgöra en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövningen. Den rättsliga grunden fastställs i enlighet med nationell rätt i myndighetens instruktionsförordning. Ny lag med kompletterande dataskyddsbestämmelser för MynAK 5.3Förhållandet till annan reglering Utredningens förslag: Lagen ska innehålla en bestämmelse som tydliggör att lagen kompletterar dataskyddsförordningen. Skälen för förslaget: Dataskyddsförordningen börjar tillämpas och kommer att vara direkt bindande och tillämplig i . Förordningen gäller alltså oavsett om det i den i föreslagna registerlagen införs en bestämmelse som hänvisar till den eller inte. Utredningen anser emellertid att det bör införas en upplysningsbestämmelse för att tydliggöra att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen. Hänvisningarna till dataskyddsförordningen föreslås vara dynamiska, vilket innebär att de kommer att omfatta eventuella ändringar i dataskyddsförordningen efter dess ikraftträdande. Det bör dock inte i varje bestämmelse anges om en viss reglering kompletterar eller förtydligar en artikel i dataskyddsförordningen. En sådan ordning saknas i motsvarande registerförfattningar och utredningen bedömer att den lösningen skulle tynga lagen utan att tillföra ett tillräckligt mervärde. Utredningens förslag: Lagen ska innehålla en bestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller vid behandling av personuppgifter inom MynAK, om inte annat följer av registerlagen eller föreskrifter som har meddelats i anslutning till den. Skälen för utredningens förslag: träder den nationella och generella lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, dataskyddslagen, i kraft. Dataskyddslagen är subsidiär till annan registerlagstiftning och dess bestämmelser kommer därmed att gälla för MynAK i den mån inte registerlagen eller annan författning föreskriver annat (se 1 kap. 6 § i dataskyddslagen). Det är således inte en rättslig nödvändighet att införa en hänvisningsbestämmelse till dataskyddslagen. Ny lag med kompletterande dataskyddsbestämmelser för MynAK upplysningsbestämmelse som klargör att registerlagen inte utgör en uttömmande nationell reglering under dataskyddsförordningen fyller dock ett pedagogiskt syfte som underlättar den praktiska tillämpningen, varför en sådan bestämmelse föreslås. 5.4Undantag från rätten att göra invändningar Utredningens förslag: Rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen ska inte gälla vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den. Skälen för förslaget: Enligt artikel 21.1 i dataskyddsförordningen har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne. Rätten att göra invändningar enligt bestämmelsen är kopplad till sådan personuppgiftsbehandling som grundar sig på artikel 6.1 e respektive f. Detta innebär att enskilda har rätt att invända mot behandling som den personuppgiftsansvarige bedömer är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). Den personuppgiftsansvarige får då inte längre behandla personuppgifterna, om denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än en registrerades intressen, rättigheter och friheter. Rätten att göra invändningar ska senast vid den första kommunikationen med den registrerade uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Rätten att göra invändningar innebär att den registrerade har möjlighet att få till stånd en överprövning av behandlingens tillåtlighet. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa på avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen (artikel 21.1). det sker en överprövning har den registrerade rätt att kräva att behandlingen av personuppgifterna begränsas (artikel 18.1 d). Om det bedöms saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (artikel 17.1 c). Ny lag med kompletterande dataskyddsbestämmelser för MynAK Av artikel 23.1 i dataskyddsförordningen framgår att medlemsstaterna i sin lagstiftning kan begränsa omfattningen av de skyldigheter och rättigheter som anges i artiklarna 12–22 och 34, samt artikel 5 i den mån dessa bestämmelser motsvarar de rättigheter och skyldigheter som fastställs i artiklarna 12–22. En sådan begränsning måste vara en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa olika uppräknade intressen, bl.a. nationell säkerhet, förebyggande, förhindrande, utredning, avslöjande eller lagföring av brott, viktiga mål av generellt allmänt intresse (däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet), förebyggande, förhindrande, utredning, avslöjande och lagföring av överträdelser av etiska regler som gäller för lagreglerade yrken, en tillsyns-, inspektions- eller regleringsfunktion som har samband med myndighetsutövning i fall som nämnts ovan och skydd av den registrerade eller andras rättigheter och friheter. Av artikel 89.2 framgår vidare att om personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, får det i eller i medlemsstaternas nationella rätt göras undantag från vissa av den registrerades rättigheter. Det rör sig om rätten till registerutdrag, rättelse, begränsning av behandling och invändning mot behandling. Undantag får göras om det krävs för att uppnå ändamålet med behandlingen. I artikel 23.2 i dataskyddsförordningen anges bl.a. att alla begränsande lagstiftningsåtgärder som görs med stöd av artikel 23.1 ska innehålla specifika bestämmelser åtminstone, när så är relevant, avseende ändamålen med behandlingen, kategorierna av personuppgifter, omfattningen av de införda begränsningarna, skyddsåtgärder, specificering av den personuppgiftsansvarige, lagringstid, riskerna för de registrerades rättigheter och friheter samt de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. MynAK:s verksamhet syftar bl.a. till att inom myndighetens ansvarsområde samla in, sprida och sammanställa kunskap baserad på forskning, att utvärdera och analysera effekterna av statliga reformer och initiativ samt till att följa och analysera utvecklingen på arbetsmiljöområdet. Den registerlag som föreslås ger MynAK förutsättningar att utföra dessa uppgifter på ett effektivt och ändamålsenligt Ny lag med kompletterande dataskyddsbestämmelser för MynAK sätt, som enskildas personliga integritet skyddas. Myndighetens arbete kan utgöra ett viktigt underlag för framtida reformarbete inom området och därigenom i förlängningen bidra till en bättre arbetsmiljö och bättre hälsa. MynAK:s verksamhet syftar även till att bidra till att förutsättningarna för det praktiska arbetsmiljöarbetet på arbetsplatserna förbättras genom att sammanställa forskningsbaserad kunskap på ett lättillgängligt sätt och sprida denna till relevanta aktörer, däribland arbetsgivare. En förbättrad arbetsmiljö som förebygger ohälsa och olycksfall är naturligtvis positivt på såväl individsom samhällsnivå. MynAK:s uppdrag bedöms därför utgöra ett viktigt mål av generellt allmänt intresse enligt artikel 23.1 e i dataskyddsförordningen. Utredningen bedömer vidare att kraven enligt artikel 23.2 i dataskyddsförordningen på utformningen av begränsningar av den enskildes rättigheter kan uppfyllas genom införandet av den föreslagna registerlagen och de bestämmelser som föreslås om bl.a. ändamålsbegränsning och skyddsåtgärder som syftar till att skydda de registrerades personliga integritet. Enligt utredningens bedömning är således de formella kraven för att göra undantag från rätten att göra invändningar uppfyllda. När det gäller lämpligheten i att införa ett sådant undantag gör utredningen följande överväganden. En rätt att göra invändningar mot personuppgiftsbehandling som genomförs i syfte att fullgöra myndighetens uppdrag skulle innebära att MynAK, innan myndigheten kan fortsätta behandla personuppgifterna, ska kunna påvisa avgörande berättigade skäl för behandlingen, vilka väger tyngre än den enskildes intressen, friheter och rättigheter. I detta sammanhang bör poängteras att myndigheten endast i begränsad utsträckning kommer att hantera personuppgifter som är direkt hänförliga till dem vars uppgifter behandlas. Den stora delen av behandling av personuppgifter grundar sig på avidentifierade (pseudonymiserade) uppgifter där själva nyckeln bevaras hos den myndighet som uppgifterna är hämtade från. En enskild som hör av sig till myndigheten och invänder mot behandling av dennes personuppgifter skulle därmed, i de absolut flesta fall, initiera en process hos MynAK där myndigheten skulle vara tvungen att avbryta pågående projekt tillfälligt för att undersöka om den enskildes personuppgifter behandlas inom ramen för det aktuella projektet. Därefter skulle myndigheten behöva antingen meddela den enskilde att några personuppgifter knutna till denne inte behandlas eller ta ställning till Ny lag med kompletterande dataskyddsbestämmelser för MynAK om skälen för behandlingen väger tyngre än den registrerades intressen. Invändningar från enskilda kan därigenom komma att försvåra myndighetens verksamhet som resultatet av en prövning enligt artikel 21.1 i dataskyddsförordningen ytterst sällan bedöms kunna resultera i att myndigheten inte anses ha sådana avgörande berättigade skäl för sin behandling som väger tyngre än individens intressen, rättigheter och friheter.1 Det är vidare viktigt i sammanhanget att betona att den föreslagna bestämmelsen om begränsning av rätten att göra invändningar inte utgör ett undantag från samtycke som rättslig grund enligt artikel 6.2 i dataskyddsförordningen. Den innebär i stället en begränsning av enskildas möjligheter att få till stånd en överprövning av om MynAK:s skäl för en viss personuppgiftsbehandling väger tyngre än motstående intressen, såsom den registrerades personliga integritet. Be- stämmelsen om krav på samtycke i vissa fall ska således inte förväxlas med bestämmelsen som begränsar den enskildes rätt att göra invändningar mot en personuppgiftsbehandling. Mot denna bakgrund anser utredningen att det är lämpligt att i den föreslagna lagen införa en bestämmelse som begränsar rätten att göra invändningar enligt dataskyddsförordningen. 5.5Krav på samtycke när uppgifterna samlats in direkt från den enskilde Utredningens förslag: Behandling av personuppgifter som inhämtats direkt från den enskilde får bara ske om denne lämnat sitt uttryckliga samtycke till behandlingen. Ett samtycke ska kunna återkallas med följd att ytterligare uppgifter om den enskilde därefter inte får behandlas. Skälen för förslaget: Samtycke av den registrerade är enligt dataskyddsförordningens definition i artikel 4.11 varje slag av frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne. Myndigheters möjligheter att lägga enskildas 1Se för ett liknande resonemang, prop. 2017/18:112, s. 51. Ny lag med kompletterande dataskyddsbestämmelser för MynAK samtycke till grund för personuppgiftsbehandling är begränsat, bl.a. därför att det kan anses råda en betydande ojämlikhet mellan den registrerade och personuppgiftsansvarige vilket gör att det finns skäl att anta att det är osannolikt att ett samtycke lämnas frivilligt (skäl 43 till förordningen). Samtycke bör därför inte användas som rättslig grund för behandling av personuppgifter inom MynAK:s verksamhet.2 Det kan vid MynAK bli aktuellt att samla in uppgifter från enskilda personer, exempelvis genom att myndigheten genomför enkäter eller intervjuer. Själva behandlingen, inklusive insamlandet, ska i sådana fall inte grundas på de enskildas samtycke utan i stället på någon annan rättslig grund enligt artikel 6 i dataskyddsförordningen, såsom att behandlingen sker för att utföra en uppgift av allmänt intresse. Det samtycke som inhämtas är i dessa fall därmed inte en rättslig grund utan i stället en integritetshöjdande åtgärd. Det ligger i sakens natur att samtycke i praktiken är en förutsättning för själva insamlandet av uppgifterna genom för deltagarna frivilliga enkäter eller intervjuer. Det föreslås att det i den nya lagen införs en bestämmelse där det framgår att behandling av personuppgifter som inhämtats direkt från den enskilde själva bara får ske om denne lämnat sitt uttryckliga samtycke till behandlingen. Av bestämmelsen bör även framgå att ett lämnat samtycke kan återkallas. Detta är ett förtydligande av det som gäller i artikel 7.3 dataskyddsförordningen. Ett återkallat samtycke innebär att inga ytterligare uppgifter om den enskilde får behandlas av myndigheten. Den behandling som sker av redan insamlade uppgifter får dock fortsätta. Utredningens förslag: MynAK ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen. Skälen för förslaget: I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans 2017/18:112, s. 52. Ny lag med kompletterande dataskyddsbestämmelser för MynAK med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska därmed enligt huvudregeln göras utifrån dataskyddsförordningen och med utgångspunkt i de faktiska omständigheterna i varje enskilt fall. Medlemsstaterna kan dock enligt artikel 4.7 i dataskyddsförordningen ange vem som är personuppgiftsansvarig i den nationella rätten om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt. Utredningens bedömning är att denna möjlighet bör användas i den föreslagna lagen eftersom det bidrar till tydlighet om vem som har ansvaret för den behandling av personuppgifter som myndigheten utför. Utredningens förslag: Lagen ska ange att myndigheten får behandla personuppgifter för vissa ändamål, förutsatt att sådan behandling är nödvändig. Behandling av personuppgifter enligt lagen ska därmed endast vara tillåten om behandling är nödvändig för granskningar och analyser som syftar till att samla in, sammanställa och sprida kunskap om arbetsmiljö, utvärderingar och analyser av statliga reformer och andra statliga initiativ, samt för studier om utvecklingen inom arbetsmiljöområdet. Skälen för förslaget: Det är en allmän dataskyddsrättslig princip att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål (artikel 5.1 b i dataskyddsförordningen). Det är vidare vanligt att ändamålsbestämmelser tas in i registerförfattningar för att ange den yttersta ramen för myndigheters behandling av personuppgifter. En bestämmelse som anger ändamålen innebär att ramen för behandlingen av personuppgifter i MynAK:s verksamhet med ett antal integritetskänsliga personuppgifter fastställs av . En ändamålsbestämmelse ger även möjlighet att på ett övergripande plan balansera intresset av verksamheten mot intresset i det intrång i den personliga integriteten som behandlingen Ny lag med kompletterande dataskyddsbestämmelser för MynAK Ändamålsbestämmelsen bör utformas så att den utesluter all behandling som inte är nödvändig för myndighetens verksamhet. Som berörts ovan (se kapitel 4 och avsnitt 5.1) gör utredningen bedömningen att MynAK:s arbete med att sammanställa kunskap samt arbetet med utvärdering och analys kommer att innefatta personuppgiftsbehandling som kräver särreglering, medan övrig personuppgiftsbehandling vid myndigheten kan grundas på dataskyddsförordningen och dataskyddslagen. Enligt utredningens förslag i avsnitt 5.2 bör tillämpningsområdet för den föreslagna registerlagen begränsas till de områden som motiverar eller kräver särreglering. Ändamålsbestämmelsen får i detta sammanhang anses utgöra en precisering av den rättsliga grunden som fastställs enligt artikel 6.3 dataskyddsförordningen. Ändamålsbestämmelsen tydliggör för enskilda för vilken slags behandling av personuppgifter som MynAK har möjlighet att göra, förutsatt att sådan behandling är nödvändig för att myndigheten ska kunna utföra sina uppgifter. Med anledning av ovanstående anser utredningen att det är lämpligt att i registerlagen precisera att MynAK får behandla personuppgifter om det är nödvändigt för att inom myndighetens ansvarsområde genomföra granskningar och analyser som syftar till att samla in, sammanställa och sprida kunskap om arbetsmiljö, utvärderingar och analyser av statliga reformer och andra statliga initiativ eller för studier om utvecklingen inom arbetsmiljöområdet. 5.7.2Lagen ska upplysa om att regeringen kan begränsa ändamålen och vilka uppgifter som får behandlas Utredningens förslag: Det ska införas en upplysningsbestämmelse som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka uppgifter som får behandlas för ett visst ändamål. Skälen för förslaget: En ändamålsbestämmelse i registerlagen kommer att utgöra de yttersta ramarna för myndighetens behandling av personuppgifter inom lagens tillämpningsområde. Det kan dock finnas skäl att införa mer detaljerade bestämmelser som ytterligare Ny lag med kompletterande dataskyddsbestämmelser för MynAK begränsar ändamålen och vilka uppgifter som får behandlas. Sådana mer detaljerade bestämmelser kan behöva ändras relativt ofta och det är därför lämpligt att de införs i förordning eller myndighetsföreskrifter. Det bör därför i den föreslagna lagen införas en upplysningsbestämmelse som anger att regeringen eller den myndighet regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Att det i registerlagen skapas en möjlighet att ytterligare begränsa behandlingen av personuppgifter bedöms ligga i linje med dataskyddsförordningens bestämmelser. 5.7.3Utlämnande av uppgifter i överensstämmelse med lag eller förordning Utredningens förslag: Personuppgifter får behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. Skälen för förslaget: I vissa fall finns behov av att lämna ut personuppgifter till annan myndighet eller någon annan i enlighet med annan författning. Exempel på detta är när uppgifter behöver lämnas ut för att myndigheten ska uppfylla krav i offentlighets- och sekretesslagen (2009:400). MynAK kommer med stöd av dataskyddsförordningen att kunna behandla personuppgifter för att kunna fullgöra ett utlämnande enligt lag eller förordning, antingen med stöd av artikel 6.1 c (rättslig förpliktelse) eller med stöd av 6.1 e (allmänt intresse som fastställs i enlighet med nationell rätt genom exempelvis regleringsbrev eller i en författning). Frågan är då om det ändå behövs en bestämmelse som anger att personuppgifter får behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. Utredningens bedömning är att en sådan bestämmelse kan ses som en integritetshöjande åtgärd i förhållande till dataskyddsförordningen, eftersom bestämmelsen gör det tydligare för den registrerade att uppgifterna kan användas även för detta ändamål. Lagen bör därför innehålla en sådan bestämmelse. Ny lag med kompletterande dataskyddsbestämmelser för MynAK Utredningens förslag: Det ska i lagen införas en bestämmelse om att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål under förutsättning att dessa inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Skälen för förslaget: Enligt artikel 5.1 b i dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (finalitetsprincipen). Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. Av skäl 50 i dataskyddsförordningen framgår att det vid sådan vidarebehandling som inte hindras av finalitetsprincipen inte krävs någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. I artikel 6.4 i förordningen beskrivs vad den personuppgiftsansvarige bör beakta för att fastställa om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Finalitetsprincipen gäller även vid behandling enligt den föreslagna lagen. Tydlighetskäl talar dock för att det i lagen bör införas en bestämmelse som anger att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. Vi- dare har det ansetts finnas ett behov av motsvarande bestämmelser i registerlagarna som reglerar behandling av personuppgifter i informationssystem för arbetsskador respektive i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering.3 Den föreslagna bestämmelsen utgör tillsammans med uppräkningen av de tillåtna ändamålen en sådan ändamålsbegränsning som avses i artikel 6.3 i dataskyddsförordningen. 2017/18:112, s. 54. Ny lag med kompletterande dataskyddsbestämmelser för MynAK