sou · H6B345 · 2018-05-31 00:00:00 — Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Betänkande av Utredningen om inrättande av SOU och Ds kan köpas från Juridiks kundservice. Beställningsadress: Juridik, Kundservice, 106 47 Ordertelefon: Webbadress: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2018 Till statsrådet tillika chefen för Regeringen beslutade att tillkalla en särskild utredare för att förbereda och genomföra bildandet av en ny myndighet: Myndigheten för arbetsmiljökunskap. Som särskild utredare förordnades fr.o.m. , bl.a. tidigare generaldirektör vid för hälsa, arbetsliv och välfärd. I uppdraget ingick att lämna förslag till författningsändringar för myndighetens tillgång till och arbete med statistik och databaser. Regeringen beslutade därefter, , att förlänga tiden för denna del av utredningsuppdraget till . Utredningen har redovisat underlag för anslag, resursfördelning, verksamhetsplan och budget för perioden –. Utredningen har vidare redovisat förslag till regleringsbrev, instruktionsförordning och en ändring i 7 § offentlighets- och sekretessförordningen (2009:641) samt budgetunderlag för åren 2019–2021 och förslag på kompetensprofil för ledamöter till ett insynsråd. beslutade regeringen om tilläggsdirektiv till utredningen där utredarens uppdrag i fråga om författningsförslag utökades till att även beakta att myndigheten får bedriva den forskning som är nödvändig för att myndigheten ska kunna fullgöra vissa av sina uppgifter inom sitt ansvarsområde. Detta betänkande innehåller utredningens överväganden i dessa delar, utöver det som redovisades i form av förslaget till ändring i 7 § i offentlighets- och sekretessförordningen. Som sakkunniga i utredningen förordnades fr.om. departementssekreteraren , och fr.o.m. även rättssakkunniga , . Som sekreterare anställdes den fr.om. departementsrådet och fr.o.m. departementssekreteraren . Utredningen har antagit namnet Utredningen om inrättande av Myndigheten för arbetsmiljökunskap. Utredningen överlämnar härmed betänkandet Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap (SOU 2018:45). Eftersom utredningen redovisat resterande delar av uppdraget är det härmed slutfört. 1.1Förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap ................................... Bakgrund och rättsliga utgångspunkter ........................ Uppdraget och dess genomförande ....................................... 2.2.5EU-stadgan om de grundläggande Verksamheten vid Myndigheten för 3.1Myndigheten ska vara ett nationellt för frågor om arbetsmiljö ....................................................... 3.2 Behovet av personuppgiftsbehandling vid myndigheten ..... 3.2.2Myndighetens andra uppdrag och löpande 3.3Rättslig grund för behandling av personuppgifter vid 3.4 Tillgången till personuppgifter vid MynAK ......................... Betydelsen av bestämmelsen om 3.4.2Behovet att inhämta personuppgifter från Behovet av en särskild reglering .................................. Behov av egna samlingar av personuppgifter ........................ Innebörden av begreppet samlingar ....................... 4.2.2Förändringar i arbetslivet som påverkar 4.2.3Närmare om behovet av samlingarna och 4.3Behandling av känsliga personuppgifter ställer särskilda 4.4Dataskyddslagen ger inte MynAK rätt att behandla känsliga personuppgifter i tillräcklig utsträckning................. Ny lag med kompletterande dataskyddsbestämmelser för Myndigheten för arbetsmiljökunskap ....................... En registerlag för MynAK ..................................................... Förhållandet till annan reglering............................................ Förhållandet till dataskyddsförordningen ............. Förhållandet till dataskyddslagen........................... Undantag från rätten att göra invändningar ......................... 5.5Krav på samtycke när uppgifterna samlats in direkt från Ändamålen med behandlingen................................ 5.7.2Lagen ska upplysa om att regeringen kan begränsa ändamålen och vilka uppgifter som 5.7.3Utlämnande av uppgifter i överensstämmelse med lag eller förordning.......................................... 5.8 Känsliga personuppgifter m.m. .............................................. 5.9Samlingar av avidentifierade/ Samlingar av personuppgifter i övrigt.................................... Begränsningar i behandlingen av personuppgifter................ 5.12.1 Förbud mot behandling i syfte att identifiera 5.12.2 Sambearbetning av personuppgifter som inte Tillgång till personuppgifter inom MynAK .......................... Konsekvenser för verksamheten vid Konsekvenser för den personliga integriteten ...... Konsekvenser för kvinnor och män....................... 7.2.5Konsekvenser för företag i egenskap av Konsekvenser i övrigt ............................................. Konsekvenser av att inte genomföra förslaget...................... Konsekvenser för verksamheten ............................ 8.1Förslaget till lag om behandling av personuppgifter vid förordning (EU) 2016/679 av den om skydd för fysiska personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskydds- enskilda vid automatisk data- lag (2018:218) med kompletterande bestämmelser till EU:s dataskydds- lag (2003:460) om etikprövning av forskning som avser människor Europeiska unionens stadga om de Europeiska domstolen för de för de mänskliga rättigheterna och följande sida/sidor Förordning (2018:254) med instruktion för Myndigheten för Detta betänkande innehåller ett förslag till en ny lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap, (MynAK), som inleder sin verksamhet . Förslaget syftar till att, i enlighet med de krav som ställs på behandling av personuppgifter i EU:s dataskyddsförordning, ge MynAK möjlighet att behandla personuppgifter i den utsträckning som myndigheten behöver för att på ett ändamålsenligt och effektivt sätt fullgöra sitt uppdrag. syftar förslaget till att fastställa ett ramverk för personuppgiftsbehandlingen som säkerställer ett tillfredsställande skydd för den personliga integriteten. I den föreslagna lagen regleras den nya myndighetens behandling av personuppgifter inom ramen för dess kärnuppdrag. Förslaget innehåller bl.a. bestämmelser om för vilka ändamål personuppgiftsbehandling får ske, vilka typer av känsliga personuppgifter som får behandlas och om begränsningar av hur uppgifterna får behandlas. Den nya lagen föreslås träda i kraft . 1.1Förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Härigenom föreskrivs följande. 1 § Denna lag tillämpas vid behandling av personuppgifter i sådan verksamhet hos Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad och kunskapsspridning samt utvärdering och analys. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Första stycket gäller dock inte när personuppgifterna samlats in direkt från den enskilde. Samtycke när uppgifter har samlats in direkt från den enskilde 5 § Om personuppgifterna har samlats in direkt från den enskilde, får uppgifterna behandlas endast om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. Den registrerade har rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. 6 § Myndigheten för arbetsmiljökunskap är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. 7 § Myndigheten för arbetsmiljökunskap får behandla personuppgifter om det är nödvändigt inom myndighetens ansvarsområde. En sådan behandling får innefatta 1.granskningar och analyser som syftar till att samla in, sammanställa och sprida kunskap om arbetsmiljö, 2.utvärderingar och analyser av statliga reformer och andra statliga initiativ, samt 3.studier om utvecklingen inom arbetsmiljöområdet. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 8 § Personuppgifter som behandlas för de ändamål som anges i 7 § får också behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. 9 § Personuppgifter som behandlas enligt 7 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med de ändamål för vilka uppgifterna samlades in. Behandling av känsliga personuppgifter 10 § Inga andra personuppgifter som avses i artikel 9.1 EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa får behandlas för de ändamål som anges i 7 §. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter, samt personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. 11 § Om det är nödvändigt för de ändamål som anges i 7 §, får det hos Myndigheten för arbetsmiljökunskap finnas samlingar av personuppgifter som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna får dock vara försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. 12 § Om det behövs för de ändamål som anges i 7 §, får det hos Myndigheten för arbetsmiljökunskap även finnas samlingar av personuppgifter som behandlas automatiserat som inte är sådana personuppgifter som avses i 11 §, om uppgifterna är nödvändiga för myndighetens arbete som avser kunskapsuppbyggnad och kunskapsspridning eller utvärdering och analys. Begränsningar i behandlingen av personuppgifter 13 § Personuppgifter som inte direkt kan hänföras till en person och som ingår i samlingar av personuppgifter som behandlas automatiserat får inte behandlas i syfte att röja en persons identitet. 14 § Personuppgifter som behandlas enligt 12 § och som har samlats in för att behandlas inom olika avgränsade projekt som avser kunskapsuppbyggnad och kunskapsspridning eller utvärdering och analys får inte sambearbetas med varandra. Denna begränsning gäller inte för en sådan sambearbetning av personuppgifter som är nödvändig för att kunna upprepa eller följa upp ett tidigare genomfört projekt av sådant slag som avses i första stycket. 15 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Denna lag träder i kraft . 2Bakgrund och rättsliga utgångspunkter 2.1Uppdraget och dess genomförande Utredningen har i uppdrag förbereda och genomföra bildandet av Myndigheten för arbetsmiljökunskap. I direktiven till denna utredning nämns bl.a. att utredningen ska lämna förslag till nödvändiga författningsändringar för tillgång till och arbete med statistik och databaser.1 Vidare nämns att utredningen får beakta att Myndigheten för arbetsmiljökunskap får bedriva den forskning som är nödvändig för att den ska kunna fullgöra vissa uppgifter inom sitt ansvarsområde.2 Utredningen har i en skrivelse till (dnr A2018/00498/ARM) delvis redovisat sitt uppdrag i dessa delar genom att föreslå en ändring i 7 § offentlighets- och sekretessförordningen (2009:641). I detta betänkande redovisas utredningens resterande överväganden med anledning av nämnda delar av direktiven, medan utredningens övriga arbete redovisats till regeringen i den utsträckning detta skulle ske enligt direktiven.3 Utredningen har samrått med flera olika myndigheter. Dialog har med anledning av arbetet med detta betänkande förts med företrädare för bl.a. Datainspektionen, , , Myndigheten för vård- och omsorgsanalys, Inspektionen för Socialförsäkringen, , utvärdering, Myndigheten för tillväxtpolitiska 1Se bilaga 1. 2Se bilaga 3. 3Se skrivelser till regeringen (dnr A2018/00212/ARM) och (dnr A2018/00498/ARM). Bakgrund och rättsliga utgångspunkter utvärderingar och analyser, Trafikanalys och Myndigheten för kulturanalys. Dessa företrädare har dock inte tagit ställning till de överväganden och förslag som presenteras i detta betänkande. Vidare har utredningen anordnat ett seminarium med forskare verksamma inom för arbetsmiljökunskap relevanta forskningsområden. Seminariet syftade till att ge underlag för bedömning av vilken typ av data som typiskt sett används i arbetsmiljöforskning och som mot denna bakgrund kan komma att vara relevanta för MynAK:s verksamhet. Oberättigade intrång i den personliga integriteten vid behandling av personuppgifter kan uppstå t.ex. genom att uppgifter används för annat ändamål än vad som är avsett eller hamnar i orätta händer p.g.a. säkerhetsbrister. Dessa risker har medfört att det bedömts finnas ett behov av bestämmelser som närmare reglerar hur personuppgifter får användas och hur felaktig hantering ska beivras. Någon enhetlig definition av begreppet personlig integritet verkar inte finnas, men regeringen har i ett försök att beskriva kärnan i begreppet uttalat att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång bör kunna avvisas.4 Nedan följer en kortfattad beskrivning av vissa nationella och internationella regelverk på området. Beskrivningen bygger till viss del på likande redogörelser i andra utredningar rörande personuppgiftsbehandling.5 Artikel 12 i FN:s allmänna förklaring om mänskliga rättigheter stadgar att ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens och inte heller för angrepp på sin heder eller sitt anseende. Vidare har var och en rätt till lagligt 2009/10:80 s. 175 och prop. 2005/06:173 s. 15. 5Se SOU 2017:39, s. 63 ff. och SOU 2017:50, s. 67 ff. Bakgrund och rättsliga utgångspunkter skydd mot sådana ingripanden och angrepp. FN:s allmänna förklaring om de mänskliga rättigheterna ses till stora delar som ett uttryck för sedvanerättsliga regler. har anslutit sig till FN:s konvention om medborgerliga och politiska rättigheter, som i artikel 17 upprepar innehållet i ovan nämnda artikel 12 i den allmänna förklaringen. Konventionen är bindande för anslutna stater. Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () tar i första hand sikte på åtgärder av det allmänna. Artikel 8 i stadgar att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offentlig myndighet får enligt bestämmelsen inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i är nödvändigt med hänsyn till vissa intressen, som t.ex. landets ekonomiska välstånd eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Bestämmelsen ålägger stater en förpliktelse att avstå från att göra oproportionerliga intrång i rätten till respekt för privat- och familjelivet. Behandling av personuppgifter faller ofta inom artikelns tillämpningsområde.6 är inkorporerad i svensk rätt och gäller som lag. Av 2 kap. 19 § regeringsformen framgår att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. antog en konvention (nr 108) till skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonventionen), som och även övriga medlemsstater i EU anslutit sig till. Konventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt 6Se t.ex. målet S. och Marper mot , mål nr 30562/04 och 30566/04, dom [stor kammare] . Bakgrund och rättsliga utgångspunkter den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Dataskyddskonventionens innehåll kan ses som en precisering av skyddet vid användning av automatiserad behandling av personuppgifter enligt artikel 8 i Europakonventionen.7 Konventionen tar sikte på behandling av personuppgifter i automatiserade personregister och automatiserad personuppgiftsbehandling i allmän och enskild verksamhet. Enligt konventionen ska personuppgifter inhämtas och behandlas på ett korrekt sätt och de ska vara relevanta med hänsyn till ändamålet. Vissa kategorier av personuppgifter får inte behandlas genom automatiserad databehandling om inte den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana kategorier hör personuppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott. Dataskyddskonventionen har varit föremål för en översyn inom . 2.2.5EU-stadgan om de grundläggande rättigheterna EU:s medlemsstater har antagit Europeiska unionens stadga om de grundläggande rättigheterna (EU-stadgan), som sedan Lissabonfördragets ikraftträdande är rättsligt bindande för EU-institutionerna och medlemsstaterna när de tillämpar unionsrätten. Enligt artikel 7 i EU-stadgan har var och en rätt till respekt för sitt privatliv och familjeliv, sin bostad och kommunikationer. Av artikel 8 i stadgan framgår vidare att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Uppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Enligt artikeln gäller vidare att var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs. Dataskyddsförordningen utgör en ny generell reglering för behandling av personuppgifter inom EU som börjar tillämpas . Förordningen syftar till att säkra en enhetlig och hög skyddsnivå för 2016/17:91, s. 24. Bakgrund och rättsliga utgångspunkter fysiska personer och till att undanröja hindren för flödena av personuppgifter inom unionen. Förordningen är direkt tillämplig i medlemsstaterna och gäller före nationell rätt. både förutsätter och möjliggör förordningen kompletterande nationella bestämmelser av olika slag. Förordningen innebär en förstärkning av fysiska personers rättigheter och motsvarande ökning av skyldigheter för de fysiska och juridiska personer som behandlar personuppgifter och bestämmer ändamålen och medlen för sådan behandling (s.k. personuppgiftsansvariga). Personuppgifter definieras i artikel 4.1 i dataskyddsförordningen som varje upplysning som avser en identifierad eller identifierbar fysisk person. En identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller onlineidentifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska ekonomiska, kulturella eller sociala identitet. Begreppet behandling är enligt artikel 4.2 i dataskyddsförordningen en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Dataskyddsförordningen gäller dock inte behandling av personuppgifter rörande avlidna personer (skäl 27). Den gäller inte heller uppgifter om juridiska personer. Däremot anses avidentifierade individdata där nyckeln till identifiering finns bevarad utgöra personuppgifter i dataskyddsförordningens mening. För att en behandling av personuppgifter överhuvudtaget ska vara laglig måste dataskyddsförordningens bestämmelser om rättslig grund i artikel 6 vara uppfyllda. För all behandling av personuppgifter enligt dataskyddsförordningen gäller vidare ett antal övergripande principer (artikel 5), t.ex. att personuppgifter ska behandlas på ett Bakgrund och rättsliga utgångspunkter lagligt, korrekt och öppet sätt och de ska samlas in för på förhand bestämda och berättigade ändamål, som tydligt angivits. Särskilda krav gäller för behandlingen av vissa särskilda kategorier av uppgifter (känsliga personuppgifter), såsom uppgifter som avslöjar etniskt ursprung eller uppgifter om hälsa. Enligt artikel 9 är sådan behandling förbjuden, men undantag kan göras i för vissa ändamål. Det är t.ex. under vissa förutsättningar tillåtet att behandla känsliga personuppgifter om det är nödvändigt av hänsyn till ett viktigt allmänt intresse. Dataskyddsförordningen innehåller även ett antal rättigheter för de enskilda vars personuppgifter behandlas (de registrerade). Av artikel 12–14 framgår t.ex. att den registrerade har rätt att få omfattande information från den personuppgiftsansvarige. Om personuppgifterna har samlats in från någon annan än den registrerade, behöver information inte heller lämnas om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan, om erhållande eller utlämnande av personuppgifter är rättsligt reglerat eller om personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt. Den registrerade kan också begära registerutdrag med information om bl.a. vilka uppgifter som behandlas om honom eller henne (artikel 15) och begära att få sådana uppgifter rättade eller raderade eller att behandlingen ska begränsas (artikel 16–18). Vidare har den registrerade, enligt artikel 21.1, rätt att göra invändningar mot personuppgiftsbehandling avseende honom eller henne som utförs på vissa rättsliga grunder. Dessa rättigheter kan begränsas under vissa förutsättningar (artikel 23.1). Den personliga integriteten skyddas även i svensk grundlag. Av regeringsformen framgår bl.a. att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap 6 § andra stycket). Skyddet får dock begränsas genom lag under vissa förutsättningar (2 kap. 20 och 21 §§ regeringsformen). I avsnitt 5.1 i detta betänkande redogörs för utredningens bedömning att det bör införas en lag om behandling av personuppgifter vid MynAK.