sou · H6B345 · 2018-05-31 00:00:00 — Utredningens förslag: Utöver de tidigare nämnda samlingarna av avidentifierade personuppgifter ska MynAK endast få ha samlingar av personuppgifter som behandlas automatiserat om det behövs för att myndigheten ska kunna genomföra vissa avgränsade projekt för att genomföra granskningar och analyser som syftar till att samla in, sammanställa och sprida kunskap om arbetsmiljö, att utvärdera och analysera av statliga reformer och andra statliga initiativ eller för studier om utvecklingen inom arbetsmiljöområdet Behandlingen ska vidare vara nödvändig för myndighetens arbete med kunskapsuppbyggnad och kunskapsspridning eller analys och utvärdering. Skälen för förslaget: Enligt utredningens bedömning kommer MynAK:s kunskaps-, analys- och utvärderingsarbete i de allra flesta fall att baseras på avidentifierade data som inhämtas från externa källor, såsom statistikproducerande myndigheter. Det kan dock förekomma att även identifierbara data behöver användas i vissa särskilda delar inom ramen för det avgränsade forskningsuppdraget. Vidare kan MynAK ha behov av att samla in personuppgifter genom intervjuer och enkätundersökningar, t.ex. för att samla in uppgifter som inte framgår av den data som ligger till grund för redan befintlig statistik. Sådana arbetsmetoder innebär att personuppgiftsbehandling sker, bl.a. av kontaktuppgifter såsom namn och adress. Personuppgifter, inklusive känsliga personuppgifter, kan även tillföras ett projekt genom de enkät- eller intervjusvar som deltagarna lämnar till myndigheten. En förutsättning för att genomföra denna typ av projekt är att MynAK tydligt informerar deltagarna om att det är frivilligt att lämna uppgifter och att deltagarna aktivt samtycker till att uppgifterna behandlas för ett visst ändamål. Detta följer av utredningens förslag att samtycke alltid ska krävas vid behandling av personuppgifter som samlats in direkt från enskilda. Som förklaras ovan i övervägandena avseende det förslaget (se avsnitt 5.5) ska dock inte samtycke i sig användas som rättslig grund för personuppgiftsbehandlingen. Den rättsliga grunden för behandlingen är i stället även i detta fall att MynAK utför en uppgift av allmänt intresse, medan Ny lag med kompletterande dataskyddsbestämmelser för MynAK det samtycke som inhämtas är en integritetshöjande åtgärd. Att behandlingen ska vara nödvändig för myndighetens arbete med kunskapsuppbyggnad och kunskapsspridning eller genomförandet av analyser och utvärderingar, innebär att en avvägning måste ske av nyttan med projektet i förhållande till de integritetsrisker som denna typ av projekt kan medföra. Endast om fördelarna med projektet väger tyngre än integritetsriskerna får det genomföras. Det tjänar enligt utredningen ett viktigt allmänt intresse att myndigheten har möjlighet att även genomföra den här typen av projekt och att myndigheten för detta ändamål har möjlighet att skapa uppgiftssamlingar som innehåller personuppgifter. Det kan t.ex. bli aktuellt att samla in uppgifter om specifika förhållanden på vissa arbetsplatser som inte framgår av officiell statistik, men som ändå kan vara värdefulla som underlag när MynAK ska besluta om inriktningen på olika projekt eller analysera på vilka områden det finns kunskapsluckor. MynAK bör enligt utredningens mening sträva efter att i de fall då det inte är nödvändigt att uppgifterna är identitetsangivna, avidentifiera personuppgifterna på sådant sätt att namn, personnummer eller samordningsnummer ersätts med någon annan form av beteckning som inte kan härledas till den person uppgiften rör. Vid en samlad bedömning anser utredningen det motiverat utifrån ett allmänt intresse att MynAK även i vissa fall får behandla icke avidentifierade uppgifter om enskilda, och att de risker för den personliga integriteten som en sådan möjlighet medför inte är av sådan dignitet att de väger tyngre än detta allmänna intresse. Utredningens bedömning: Lagen bör inte innehålla några begränsningar av tillåtna sökbegrepp. Skälen för bedömningen: I en databas eller annan textmassa som har lagrats på medium för automatiserad behandling är det möjligt att genom att ange så kallade sökbegrepp i en sökmotor söka igenom den lagrade informationen och hitta de poster där begreppet förekommer. På detta sätt är det möjligt att snabbt göra en sammanställning av personuppgifter i en databas. Ny lag med kompletterande dataskyddsbestämmelser för MynAK saknar bestämmelser om sökning eller användning av sökbegrepp. Sökning och sammanställning av uppgifter som sker elektroniskt är dock behandling av personuppgifter och omfattas därför av dataskyddsförordningens krav. På grund av detta måste en sökning vara laglig enligt artikel 6 och uppfylla kraven i artikel 5 och övriga bestämmelser i dataskyddsförordningen för att vara tillåten. De integritetsrisker som följer med användningen av ny informationsteknik är nära kopplade till möjligheterna att genom sådan teknik söka och sammanställa stora mängder av uppgifter. Sök- och sammanställningsmöjligheter kan medföra att uppgifter lättare kan knytas till en fysisk person. De kan även medföra att personuppgifter som annars uppfattas som relativt harmlösa får en mer integritetskänslig karaktär, t.ex. genom omfattande registrering.9 Något generellt förbud mot sökning i en databas är dock normalt sett inte motiverat. Ofta kan en sökmotor vara ett värdefullt redskap i myndighetens verksamhet, utan att det för den sakens skull måste innebära risker för den personliga integriteten.10 Vid bedömningen av vilka sökbegrepp som bör vara tillåtna måste en avvägning göras mellan intresset av effektivitet i en myndighets verksamhet och risken för integritetsintrång. Regler om begränsning av tillåtna sökbegrepp bör således ta sikte direkt på sådana typer av sökningar som typiskt sett medför särskilda integritetsrisker. I vissa sådana fall måste integriteten ges företräde framför andra intressen, även om goda skäl i och för sig talar för att en viss typ av sökning eller behandling bör vara tillåten. Utredningen gör bedömningen är att MynAK måste ha möjlighet att göra sökningar i det material myndigheten förfogar över, bl.a. för att kunna utföra sådan forskning som är nödvändig för att fullgöra myndighetens uppdrag. Om sökmöjligheterna begränsas kan det bli betydligt svårare för myndigheten att få fram underlag till bedömningar av eventuella orsakssamband mellan t.ex. en konstaterad förändring inom arbetsmiljöområdet och ett statligt initiativ som genomförts på samma område. En begränsning av sökmöjligheterna innebär således att myndighetens kärnuppdrag riskerar att försvåras väsentligt. De integritetsrisker som sökningar på t.ex. känsliga personuppgifter kan innebära minimeras genom de skyddsbestämmelser som 9Se skrivelsen Vägledning för integritetsanalys – En vägledning från Datainspektionen för att bedöma integritetsriskerna med ny eller ändrad lagstiftning, , s. 22., se /Documents/vagledning-integritetsanalys.pdf, (hämtad ). 10Jämför Ds 2017:33, s. 102. Ny lag med kompletterande dataskyddsbestämmelser för MynAK Det är här viktigt att understryka att uppgifterna i samlingarna i så gott som alla fall kommer att vara avidentifierade (pseudonymiserade). Vidare kommer tillgången till dessa personuppgifter vara begränsad till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vidare bör i sammanhanget beaktas de allmänna krav på skyddsåtgärder som föreskrivs i dataskyddsförordningen, t.ex. i artikel 5, och som gäller vid all personuppgiftsbehandling. Utifrån dessa avvägningar görs bedömningen att det inte ska införas någon begränsning vad gäller sökbegrepp i den nya lagen. 5.12Begränsningar i behandlingen av personuppgifter 5.12.1Förbud mot behandling i syfte att identifiera enskilda personer Utredningens förslag: Personuppgifter som inte direkt kan hänföras till en person och som ingår i samlingar av avidentifierade (pseudonymiserade) personuppgifter som behandlas automatiserat ska inte få behandlas i syfte att röja en persons identitet. Skälen för förslaget: Genom lagen kommer MynAK att ges möjlighet att behandla stora mängder av personuppgifter, varav en del är känsliga personuppgifter i dataskyddsförordningens mening. Enligt utredningens bedömning kommer de allra flesta av dessa uppgifter att vara avidentifierade. Att MynAK i stor utsträckning använder sådana personuppgifter, där den nyckel som behövs för att koppla ihop uppgifterna med den individ som uppgifterna rör finns utanför myndighetens kontroll, har stor betydelse för att upprätthålla skyddet för den personliga integriteten för dem som berörs av behandlingen. I samlingarna av avidentifierade personuppgifter som MynAK föreslås få inneha kommer det dock att förekomma flera poster om en och samma person, s.k. variabler. Behandling av personuppgifter med flera variabler kan innebära möjligheter att röja en enskild persons identitet, även om uppgifterna inte är direkt hänförliga till en person. Det bör därför i lagen införas en begränsning som innebär att det inte är tillåtet att behandla avidentifierade personuppgifter i syfte att röja en persons identitet. Ny lag med kompletterande dataskyddsbestämmelser för MynAK 5.12.2Sambearbetning av personuppgifter som inte avidentifierats Utredningens förslag: Personuppgifter som inte har avidentifierats (pseudonymiserats) före att de kommer MynAK till del och som har samlats in för att behandlas inom olika avgränsade projekt för kunskapsuppbyggnad och kunskapsspridning eller utvärdering och analys, ska inte få sambearbetas med varandra. Undantag från förbudet mot sambearbetning ska göras avseende sådan sambearbetning som är nödvändig för att kunna upprepa eller följa upp ett tidigare projekt. Skälen för förslaget: När uppgifter från en eller flera myndigheter sammanställs eller när annan direkt överföring av uppgifter görs från ett personregister till ett annat, brukar det benämnas sambearbetning.11 Sambearbetning av personuppgifter anses innebära särskilda risker ur integritetssynpunkt. Sammanläggning av personuppgifter från flera olika källor kan naturligtvis möjliggöra mer eller mindre omfattande kartläggningar av enskilda individer. Detta gäller särskilt för det fall det handlar om personuppgifter som är direkt hänförliga till enskilda personer. Det bör därför i den föreslagna lagen införas ett förbud mot sådan sambearbetning. Personuppgifter som hämtas in för forskningsändamål från en statistikansvarig myndighet och som inte är direkt hänförliga till enskilda, får i samband med utlämnandet förses med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. Detta följer av 16 § i lagen (2001:99) om den officiella statistiken. Personuppgifter som är avidentifierade på detta sätt får anses mindre känsliga ur integritetssynpunkt. De bör därför inte omfattas av förbudet. Det bör inte heller vara förbjudet att sambearbeta sådana personuppgifter med personuppgifter som inte är avidentifierade på detta sätt och som därmed endast får behandlas inom ramen för ett visst avgränsat projekt inom den del av verksamheten som lagen föreslås vara tillämplig på. En förutsättning för detta är dock att, för det fall uppgifterna har inhämtats direkt från en enskild, att information om att sådan sambearbetning kan bli 2002/03:135 s. 58 f. Ny lag med kompletterande dataskyddsbestämmelser för MynAK aktuell har lämnats till den enskilde i samband med att uppgifterna samlades in. För det fall det handlar om behandling av känsliga personuppgifter som kräver prövning av en etikprövningsnämnd12 enligt etikprövningslagen krävs dessutom att en sådan sambearbetning inte strider mot de villkor för personuppgiftsbehandlingen som ställts upp i nämndens beslut. I vissa fall kan det vara värdefullt att kunna upprepa ett tidigare genomfört projekt. Det bör därför finnas en möjlighet till undantag från förbudet mot sambearbetning när det gäller uppgifter som härrör från olika avgränsade projekt. För att skydda integriteten hos de registrerade bör undantaget begränsas till sambearbetning i syfte att upprepa eller följa upp en tidigare genomförd studie. Vidare måste den nya studien vara förenlig med det ändamål för vilket de tidigare uppgifterna samlades in. För det fall känsliga personuppgifter kommer att behandlas krävs vidare, enligt etikprövningslagen ett godkännande från en etikprövningsnämnd. För det fall det handlar om personuppgifter som inhämtas direkt från den enskilde, bör MynAK också tydligt informera de personer som deltar i den första studien om att uppgifterna kan komma att återanvändas vid en senare upprepning eller uppföljning av projektet. Myndigheten måste därmed redan innan uppgifterna samlas in för den första studien ta ställning till om det kan finnas anledning att upprepa eller på annat sätt följa upp det aktuella projektet. 5.13Tillgång till personuppgifter inom MynAK Utredningens förslag: Tillgång till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Skälen för förslaget: Enligt artikel 29 i dataskyddsförordningen gäller att personuppgiftsbiträden och personer som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast får behandla dessa på instruktion från den personuppgiftsansvarige såvida han eller hon inte är skyldig att göra det enligt unionsrätten eller medlemsstaternas natio- 12Från och med ersätts de regionala etikprövningsnämnderna av en central etikprövningsmyndighet, se prop. 2017/18:45. Ny lag med kompletterande dataskyddsbestämmelser för MynAK I artikel 32.4 anges vidare att den personuppgiftsansvarige och personuppgiftsbiträdet ska vidta åtgärder för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det. Spridning av personuppgifter har av naturliga skäl stor betydelse för integritetsriskerna med behandlingen. Om personuppgifter sprids ökar detta risken för att uppgifterna kommer att användas på ett otillbörligt och icke avsett sätt. Därför är utgångspunkten att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I detta sammanhang saknas i princip betydelse hur många som i praktiken tar del av personuppgifterna. En bestämmelse i registerlagen om att tillgång till personuppgifter ska vara begränsad till vad var och en behöver för att kunna fullgöra sina uppgifter är i linje med artikel 32.4 i dataskyddsförordningen och minskar risken för otillåten behandling av personuppgifter. Det är även fråga om en bestämmelse om lämpliga och särskilda åtgärder för att säkerställa den registrerades intressen som ska införas i fråga om behandling av känsliga personuppgifter enligt artikel 9.1 dataskyddsförordningen. En sådan bestämmelse bör därför införas i lagen. Utredningen anser att det är av stor vikt att MynAK utformar riktlinjer och rutiner i syfte att säkerställa att myndigheten följer den föreslagna bestämmelsen. Utredningens bedömning: Det bör inte införas några gallringsbestämmelser i den föreslagna lagen. Skälen för bedömningen: Lagring av personuppgifter är enligt dataskyddsförordningen en form av behandling av personuppgifter (artikel 4.2). Huvudregeln i artikel 5.1 e är att personuppgifter inte får förvaras i en form som möjliggör identifiering än vad som är nödvändigt för de ändamål för vilka uppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, Ny lag med kompletterande dataskyddsbestämmelser för MynAK vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa de registrerades rättigheter och friheter. Det är den personuppgiftsansvarige som ansvarar för att personuppgifter inte lagras på fel sätt eller . I artikel 6.2 och 6.3 i dataskyddsförordningen föreskrivs en möjlighet för medlemsstater att i nationell rätt fastställa mer specifika krav, däribland särskilda bestämmelser om lagringstid. Det bedöms dock varken nödvändigt eller lämpligt att införa särskilda bestämmelser om gallring för MynAK. Myndigheten ska således, i enlighet med dataskyddsförordningen, gallra de personuppgifter som inte längre behövs för att myndigheten ska kunna fullgöra sitt uppdrag. MynAK måste även, enligt artikel 5.1 c i dataskyddsförordningen säkerställa att personuppgifterna är adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). Utredningens bedömning: Det saknas behov av en överklagandebestämmelse i den föreslagna lagen. Det finns inte heller behov av en upplysningsbestämmelse som hänvisar till överklagandebestämmelserna i dataskyddslagen. Skälen för bedömningen: En registrerad ska enligt artikel 79 i dataskyddsförordningen ha rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde. I 7 kap. 2 § dataskyddslagen finns en bestämmelse som reglerar rätten att överklaga beslut som en personuppgiftsansvarig myndighet meddelar med anledning av att en registrerad utövar sina rättigheter enligt dataskyddsförordningen. Eftersom dataskyddslagen är subsidiär gäller dess bestämmelser om överklagande om något annat inte framgår av annan författning. Det bedöms inte finnas behov av några särskilda bestämmelser om överklagande för MynAK. Det finns enligt utredningens bedömning inte heller behov av en upplysningsbestämmelse som hänvisar till dataskyddslagen. Utredningens förslag: Den nya lagen ska träda i kraft . Skälen för förslaget: MynAK kommer att inleda sin verksamhet . Den nya lagstiftningen bör träda i kraft efter det. innebär lagstiftningsprocessen att förslagets genomförande kräver att det finns tillräckligt med tid för remissförfarande, beredning i , inhämtande av lagrådets yttrande och riksdagsbehandling. Utredningen bedömer mot denna bakgrund att lagen kan träda i kraft . Enligt kommittéförordningen (1998:1474) ska en utredning redovisa vilka konsekvenser förslagen i ett betänkande kan få i olika avseenden (se 14–15 a §§). Där framgår bl.a. att för det fall förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, ska en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt ska dessa redovisas. Vidare ska eventuella konsekvenser för den kommunala självstyrelsen, för brottsligheten och det brottsförebyggande arbetet, samt för bland annat sysselsättning och offentlig service i olika delar av landet redovisas. Detsamma gäller små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företag och för jämställdheten mellan kvinnor och män. Utredningen redovisar nedan sina bedömningar av förslaget att införa en ny lag om personuppgiftsbehandling i MynAK:s verksamhet utifrån dessa utgångspunkter. Vidare redovisas vilka konsekvenser som kan följa av att inte genomföra förslaget. 7.2.1Konsekvenser för verksamheten vid myndigheten Den lag som föreslås i betänkandet ger MynAK förutsättningar för att behandla personuppgifter i den utsträckning som är nödvändig för myndighetens kärnverksamhet. Genom den föreslagna lagen får MynAK ett uttryckligt rättsligt stöd att hålla samlingar av personuppgifter för automatiserad behandling, vilket gör myndighetens verksamhet mer förutsägbar. Förslaget underlättar också den prövning som andra myndigheter måste göra innan de lämnar ut begärda uppgifter till MynAK. Att säkerställa att den personuppgiftshantering som sker vid myndigheten är förenlig med gällande regelverk ställer vissa krav på att myndigheten har tillgång till viss typ av kompetens. Vidare kan regelverk som berör personuppgiftsbehandling medföra behov av vissa utbildningsinsatser hos personalen vid myndigheten. Personuppgiftsbehandling ställer även vissa krav på de tekniska system som används vid myndigheten, bl.a. för att kunna tillgodose de registrerades rättigheter. Detta bedöms dock vara kostnader som inte är direkt kopplade till den föreslagna i lagen i sig, utan har sin grund i att delar myndighetens uppdrag förutsätter olika slag av personuppgiftsbehandling, inklusive behandling av känsliga personuppgifter. Den föreslagna lagen kan tvärtom bidra till att kostnaderna för personuppgiftshantering blir lägre eftersom det blir tydligare reglerat vilken typ av behandling som får förekomma, vilket i viss mån kan förenkla arbetet med rättsliga analyser av tillåtligheten av viss behandling. Förslaget bedöms sammanfattningsvis i vart fall inte medföra några kostnader som ger upphov till finansiering med medel utöver vad som avsatts i befintligt budgetanslag. Förslaget gör det möjligt för MynAK att ha egna samlingar av personuppgifter, vilket ger förutsättningar för att bedriva ett mer effektiv och ändamålsenligt arbete än vad som annars skulle vara fallet. 7.2.2Konsekvenser för den personliga integriteten Genom förslaget tydliggörs att MynAK ges vissa ytterligare möjligheter att behandla personuppgifter utöver vad som följer av dataskyddsförordningen och dataskyddslagen. Detta kan anses vara negativt för den personliga integriteten, eftersom det finns integritetsrisker med personuppgiftsbehandling, särskilt om den avser känsliga uppgifter. Förslaget innehåller dock även flera bestämmelser som syftar till att skydda den personliga integriteten för de registrerade, såsom bestämmelserna om begränsningar avseende ändamålen med behandlingen och tillgången till uppgifterna. Vidare kan införandet av en specifik reglering av personuppgiftsbehandling ses som en integritetshöjande åtgärd i sig, eftersom en sådan reglering gör det tydligare om och på vilket sätt personuppgiftsbehandling får ske. risken för att personuppgiftsbehandling av misstag sker i strid med gällande regler och i en utsträckning som inte kan motiveras vid en avvägning mellan verksamhetsbehovet och intresset av att skydda de registrerades integritet. Sammantaget innebär förslaget vissa risker för den personliga integriteten eftersom det utökar myndighetens möjlighet att behandla personuppgifter. Dessa bedöms dock, särskilt i ljuset av de bestämmelser som införs för att skydda denna integritetsintresset hos de registrerade som berörs, inte vara av sådan dignitet att det finns skäl att avstå från att genomföra förslaget. Genom att MynAK genom förslaget ges förutsättningar att utföra sitt uppdrag på ett effektivt och ändamålsenligt sätt bedömer utredningen att statens resurser kan användas mer effektivt. Bättre kunskap om effekter av statliga reformer och initiativ bidrar till en ökad träffsäkerhet i politiken, genom att resurserna kan användas för insatser med dokumenterad effekt. Mer och bättre kunskap om vad som skapar en god arbetsmiljö kan också bidra till att förebygga och minska den arbetsrelaterade ohälsan och sjukfrånvaron. Verksamheten vid MynAK kan därigenom bidra till att minska sjuktalen och därmed till att sänka kostnaderna för sjukskrivningar. Kunskapsutveckling om arbetsmiljö kan också bidra till en ökad produktivitet och stärka innovationsförmåga på arbetsmiljöområdet. En analys av de ekonomiska konsekvenserna av att inrätta MynAK har gjorts i ett tidigare betänkande (SOU 2017:28). Analysen i det betänkandet bygger på att MynAK har möjlighet att utföra sitt uppdrag på ett ändamålsenligt sätt och införandet av en registerlag är en viktig förutsättning för detta. 7.2.4Konsekvenser för kvinnor och män