sou · H6B352 · 2018-06-28 00:00:00 — Att ändamålen ska vara särskilda innebär att de måste vara tillräckligt specificerade för att ge ledning för bedömningen av vilka uppgifter som är adekvata och relevanta för den aktuella behandlingen och för att det ska kunna avgöras att inte för många uppgifter behandlas. Något hinder mot att ange flera parallella ändamål för behandlingen finns inte. Ändamålen ska anges uttryckligen redan när personuppgifterna samlas in. Att ändamålen ska vara berättigade innebär enligt regeringens mening en koppling till den rättsliga grunden. Personuppgifter får således inte behandlas för ett ändamål som inte är berättigat i förhållande till den tillämpliga rättsliga grunden. Kravet på att ändamålet för behandlingen ska vara berättigat kan också sägas innebära ett krav på att behandlingen ska vara förenlig med konstitutionella och andra rättsliga principer. Genom att det i stor utsträckning är reglerat vilken behandling av personuppgifter som kan aktualiseras på området för brottsbekämp- ning, lagföring, straffverkställighet och upprätthållande av allmän ordning och säkerhet har lagstiftaren redan tagit ställning till att behandlingen av personuppgifter är berättigad i de fallen. Det är dock inte bara när personuppgifter samlas in som det ska finnas ett sär- skilt, uttryckligt angivet och berättigat ändamål för behandlingen. Varje åtgärd som vidtas med insamlade uppgifter ska naturligtvis också uppfylla de kraven. I brottsdatalagen bör det därför tydlig- göras att all behandling ska utföras för särskilda, uttryckligt angivna och berättigade ändamål. Vidare anförs i propositionen att det i artikel 8.2 data- skyddsdirektiv anges att nationell rätt åtminstone ska specificera syftet med behandlingen, vilka personuppgifter som ska behandlas 2017/18:232 s. 120 ff. och behandlingens ändamål. Uttrycken ”syftet med behandlingen” och ”behandlingens ändamål” används ofta synonymt när man diskuterar behandling av personuppgifter. Frågan är om det finns någon saklig skillnad mellan uttrycken. I den engelska språkversionen av direktivet används uttrycken ”objectives of processing” och ”purposes of the processing”. Orden objectives och purposes är också synonymer. Användningen av obestämd form i det första ut- trycket men bestämd form i det senare kan tolkas som att det första uttrycket avser bestämmelser om rättslig grund (brottsbekämpning, lagföring, straffverkställighet eller upprätthållande av allmän ord- ning och säkerhet), medan det andra avser ändamålen för behand- lingen i det enskilda fallet. Om någon skillnad är avsedd, är det enligt regeringens mening den enda rimliga tolkningen. Regeringen anser därmed att den föreslagna generella bestämmelsen om rättslig grund i ramlagen, tillsammans med bestämmelsen om att personuppgifter ska behandlas för särskilda, uttryckligt angivna och berättigade ändamål, uppfyller kraven dataskyddsdirektiv på hur re- gleringen ska vara utformad. I propositionen konstateras också att det oftast framgår av sam- manhanget för vilket ändamål personuppgifter behandlas (t.ex. för förundersökningen om ett visst brott, handläggningen av ett visst mål eller ärende eller verkställigheten av ett visst straff). Behovet av att upplysa om för vilka ändamål personuppgifter behandlas gör sig framför allt gällande i den del av den brottsbekämpande verksam- heten där det långtifrån alltid framgår av omständigheterna för vilket ändamål personuppgifter behandlas, t.ex. i underrättelseverksam- heten. Det bör finnas möjlighet att kunna kontrollera för vilket eller vilka ändamål personuppgifter behandlas oavsett i vilken verksamhet det görs. Det underlättar både för den enskilde och för tillsynsmyn- digheten om ändamålet är tydligt. Om det ändamål för vilket person- uppgifter behandlas inte framgår av sammanhanget eller på annat sätt, bör det därför tydliggöras genom en särskild upplysning. En bestämmelse om det bör, enligt propositionen, tas in i brottsdata- lagen. Av artikel 5.1 b i dataskyddsförordningen framgår att personuppgif- ter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlats in, samt att ytterligare behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 inte ska anses vara oförenlig med de ursprungliga ändamålen. Principen som kommer till uttryck i artikeln brukar kallas finalitetsprincipen. I artikel 6.4 i dataskyddsförordningen anges vilken bedömning den personuppgiftsansvarige ska göra för att fastställa om en vidare- behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Den personuppgifts- ansvarige ska beakta kopplingar mellan de ändamål för vilka person- uppgifterna har samlats in och ändamålen med den avsedda ytter- ligare behandlingen, det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige, personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 i dataskyddsförordningen eller huruvida personuppgifter om fällande domar i brottmål och lagöverträdelser som innefattar brott behandlas i enlighet med artikel 10 i dataskyddsförordningen, eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen samt förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering. Av skäl 50 till dataskyddsförordningen framgår att vid behand- ling som inte hindras av finalitetsprincipen krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs. Utredningens förslag: Myndighetschefen ska besluta om särskil- da ändamål för behandlingen av personuppgifter i varje projekt. Utan ett sådant beslut får personuppgifter inte behandlas i upp- följnings- och analysverksamheten. Beslutet ska offentliggöras på lämpligt sätt. För att personuppgifter som har samlats in för ett beslutat ändamål i ett projekt ska få behandlas för ett annat ändamål, krävs att myndighetschefen har beslutat om det. Utredningen konstaterar att ändamålsbestämningen är central vid all behandling av personuppgifter. Att fastställa vilka ändamål som är tillåtna – och därmed utesluta möjligheten att behandla personupp- gifter för andra ändamål – hindrar den personuppgiftsansvarige från att behandla personuppgifter på ett sätt som inte är avsett och innebär därmed en begränsning av risken för intrång i den personliga integriteten. Ändamålen är också avgörande bl.a. för vilka person- uppgifter som får behandlas. För att det ska gå att bedöma vilka personuppgifter som är rele- vanta och adekvata att behandla för ett visst ändamål, måste dock ändamålet vara tillräckligt specifikt för att ge ledning för den bedöm- ningen. Myndigheten för vård- och omsorgsanalys uppdrag, som avser uppföljningar och analyser av hälso- och sjukvård, tandvård och omsorg, är mycket brett. För att myndigheten ska kunna utföra sitt uppdrag krävs att den har möjlighet att behandla alla möjliga olika slags personuppgifter för vitt skilda ändamål. Det är väldigt svårt, eller omöjligt, att i författning konkretisera dessa ändamål utan att de blir för vida och oprecisa. Motsvarande svårigheter har funnits vid tidigare lagstiftningsarbeten. Utredningen gör bedömningen att det inte är möjligt att för myndighetens verksamhet i lag fastställa tillräckligt avgränsade och förutsägbara ändamål för den behandling av personuppgifter som bör vara tillåten. Sådana bestämmelser skulle bli alltför oprecisa och därmed också innebära oproportionerliga undantag från rätten till skydd mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen. I stället för att ange ändamål som utgör en ram för behandlingen och snarare är en del av den rättsliga grunden än ett preciserat ända- mål, föreslår utredningen att myndigheten på egen hand ska ange särskilda ändamål för behandlingen av personuppgifter i varje pro- jekt i uppföljnings- och analysverksamheten. Myndigheten har då möjlighet att bestämma ett väl avgränsat och preciserat ändamål för varje enskilt projekt. Ett ändamål kan för ett projekt vara att göra en koncentrerad analys av en viss problemställning med en tydlig avgränsning och för ett annat projekt att följa vissa individer och göra en jämförelse . Utredningen föreslår också att ändamålsbestämningen ska ske i form av ett beslut. Det är lämpligt att beslutanderätten läggs på en så hög nivå som möjligt i myndigheten. Därför bör det vara den myn- dighetschef som ska finnas enligt myndighetens instruktion som ska fatta beslutet. Genom en formaliserad hantering och ett krav på ett särskilt beslut av myndighetschefen, skapas goda förutsättningar för att ändamålsbestämningen föregås av en noggrann behovs- och pro- portionalitetsanalys. För att personuppgifter ska få behandlas i ett projekt i verksam- heten med uppföljning och analys krävs således att det har fattats ett beslut om ändamål för behandlingen. Det beslutet ska också innehålla ett ställningstagande till vilka kategorier av personuppgifter som får behandlas om vilka kategorier av personer, se avsnitt 14.3. Även när behandlingen måste prövas av eller för etikprövning alternativt ett annat särskilt organ för prövning av etiska frågor krävs ett sådant beslut. Beslutet om ändamål m.m. bör vidare offentliggöras av myndig- heten på lämpligt sätt, t.ex. genom att innehållet i beslutet publiceras på myndighetens webbsida. På så sätt kan allmänheten ta del av infor- mation om de behandlingar av personuppgifter som myndigheten företar. En registrerad bereds därmed också möjlighet att invända mot behandling av sådana personuppgifter som avser honom eller henne (se avsnitt 14.4). Dessutom kan andra intresserade få reda vilka ana- lys- och uppföljningsändamål som myndigheten arbetar med. Bestäm- melsen om offentliggörandet är dock bara av ordningskaraktär och ett åsidosättande av den innebär inte att behandlingen enligt beslutet strider mot den föreslagna lagen och kan föranleda skadestånd. Bestämmelsen kan med stöd av 8 kap. 7 § regeringsformen lämpligen tas in i en förordning i anslutning till den föreslagna lagen. Det bör noteras att myndigheten, i samband med ändamåls- bestämningen, även måste ta ställning till om en konsekvensbedöm- ning avseende dataskydd behöver upprättas. Av artikel 35.1 i data- skyddsförordningen framgår att om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, om- fattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personupp- giftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker. En konsekvensbedömning krävs enligt 35.3 i dataskyddsförordningen särskilt bl.a. vid behandling i stor omfatt- ning av känsliga uppgifter eller uppgifter om lagöverträdelser. Om en konsekvensbedömning visar att behandlingen skulle leda till en hög risk om inte åtgärder vidtas för att minska risken, ska myn- digheten enligt artikel 36 i dataskyddsförordningen dessutom sam- råda med tillsynsmyndigheten före behandling. Beslut om återanvändning av personuppgifter Personuppgifter som har samlats in för ett visst ändamål i ett projekt får användas i ett annat projekt bara om det är förenligt med tillämp- liga regler. Det är långt ifrån självklart att personuppgifter som redan finns hos myndigheten i ett projekt kan användas i andra projekt. Behandlingen av personuppgifterna i det andra projektet måste t.ex. vara förenlig med det ursprungliga ändamålet i enlighet med finali- tetsprincipen i artikel 5.1 b i dataskyddsförordningen. Bedömningen av förenligheten ska göras, i enlighet med vad som framgår av arti- kel 6.4 i dataskyddsförordningen, med beaktande av kopplingar mellan ändamålen, sammanhanget inom vilket personuppgifterna har samlats in och särskilt förhållandet mellan de registrerade och den person- uppgiftsansvarige, personuppgifternas art – om det rör sig om känsliga personuppgifter eller uppgifter om lagöverträdelser, eventuella kon- sekvenser för registrerade av den planerade fortsatta behandlingen och förekomsten av lämpliga skyddsåtgärder. Om det rör sig om känsliga personuppgifter, uppgifter om lag- överträdelser eller en så stor omfattning av personuppgifter att de tillsammans medför en kartläggning av de registrerade och ett bety- dande intrång i deras personliga integritet, kan behandlingen av per- sonuppgifterna dessutom behöva prövas av Etikprövningsmyndig- heten eller ett annat särskilt organ för prövning av etiska frågor innan person- uppgifterna kan användas för nya ändamål i ett annat projekt, om det inte finns ett samtycke som omfattar det nya ändamålet. Det kan också finnas behov av att justera tidigare beslutade ända- mål i ett befintligt projekt. För att personuppgifter som redan samlats in för ett visst ändamål ska få behandlas för ett nytt ändamål, krävs att behandlingen inte är oförenlig med det ursprungliga ända- målet. Även när ändamålet ändras i ett och samma projekt är alltså finalitetsprincipen tillämplig. Om justeringen av ändamålet är väsent- lig, kan det dessutom krävas en ny prövning av Etikprövnings- myndigheten eller ett annat särskilt organ för prövning av etiska frågor. Vid behandling av personuppgifter för ett nytt ändamål, ska behandlingen – på samma sätt som vad som föreslås gälla i fråga om den ursprungliga ändamålsbestämningen och av samma skäl – före- gås av ett formaliserat beslut. För att personuppgifter som har samlats in för ett särskilt beslutat ändamål i ett projekt ska få behandlas i ett annat projekt eller för andra ändamål i övrigt, bör således krävas att myndighetschefen har beslutat om det. Om personuppgifterna ska behandlas i ett nytt projekt, måste myndighetschefen förstås också fatta ett sådant beslut om ändamål m.m. som tidigare nämnts för det nya projektet. Enligt artikel 5.1 b i dataskyddsförordningen ska ytterligare be- handling för bl.a. statistiska ändamål i enlighet med artikel 89.1 i dataskyddsförordningen inte anses vara oförenlig med de ursprung- liga ändamålen. Med statistiska ändamål avses varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nöd- vändig för statistiska undersökningar eller för framställning av statistiska resultat (skäl 162). Ett statistiskt ändamål innebär, enligt samma skäl, att resultatet av behandlingen inte består av personupp- gifter, utan av aggregerade personuppgifter, och att resultatet eller personuppgifterna inte används till stöd för åtgärder eller beslut som avser en särskild fysisk person. Som utredningen konstaterar i av- snitt 7.2.5 och 17.3 kan stora delar av den analysverksamhet som Myndigheten för vård och omsorgsanalys ägnar sig åt anses mot- svara statistisk verksamhet. Ytterligare behandling av personupp- gifter i sådan verksamhet hos Myndigheten för vård- och omsorgs- analys ska således som huvudregel anses vara förenlig med de ändamål som personuppgifterna ursprungligen behandlades för. Det kan argumenteras för att det inte skulle krävas ett särskilt beslut av myndighetschefen i sådana fall. Utredningen bedömer dock att det är lämpligt med enhetliga regler och att det därför ska krävas ett beslut av myndighetschefen för att personuppgifter som har samlats in för ett beslutat ändamål i ett projekt ska få behandlas för ett annat ändamål, även om den ytterligare behandlingen ska ske för statistiska ändamål. 14.3Personuppgifter som får behandlas Utredningens förslag: För varje projekt i uppföljnings- och analysverksamheten ska myndighetschefen besluta om vilka kate- gorier av personuppgifter som får behandlas om vilka kategorier av personer. Utan ett sådant beslut får personuppgifter inte be- handlas. Beslutet ska offentliggöras på lämpligt sätt. Personuppgifter ska enligt artikel 5.1 c i dataskyddsförordningen vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Denna princip om uppgiftsminimer- ing begränsar den tillåtna behandlingen av personuppgifter till att avse endast de personuppgifter som behövs för att uppnå ändamålet med behandlingen. Det är den personuppgiftsansvarige som ska se till att behandlingen av personuppgifter inte omfattar fler person- uppgifter än nödvändigt. Myndigheten för vård- och omsorgsanalys fastställer inför varje projekt ett projektdirektiv och en projektplan med en detaljerad beskrivning av bl.a. syfte, mål, frågeställningar, omfattning, avgräns- ningar, bakgrund, intressenter, samverkan och beroenden till andra projekt, metod och beskrivning av datainsamling, aktivitets- och tids- plan, juridiska och etiska aspekter samt riskanalys (se avsnitt 4.2.2). Redan tidigt i arbetet bör därför myndigheten kunna fastställa inte bara ändamålet för behandlingen av personuppgifter utan även vilka kategorier av personuppgifter om vilka kategorier av personer som är relevanta och adekvata att behandla. För att Etikprövnings- myndigheten eller tivt ett annat särskilt organ för prövning av etiska frågor ska kunna göra en prövning av projektet behöver myndigheten dessutom på ett tidigt stadium tydliggöra vilka personuppgifter som myndigheten ser behov av att kunna behandla. Utredningen har i avsnitt 14.2 föreslagit att Myndigheten för vård- och omsorgsanalys ska fatta ett formaliserat beslut om särskil- da ändamål för behandlingen av personuppgifter i varje projekt i uppföljnings- och analysverksamheten. I syfte att skapa en tydlig ram för behandlingen av personuppgifter föreslår utredningen att myndigheten, utöver att fastställa ett ändamål för behandlingen av personuppgifter, även ska besluta om vilka personuppgifter som ska behandlas om vilka personer inom ramen för projektet. Det behöver inte framgå exakt vilka personuppgifter eller personer det rör sig om utan det räcker med en angivelse på kategorinivå, t.ex. uppgifter om födelseår, kön och utbildningsnivå rörande personer med en viss diagnos, bosatta inom ett visst län. Beslutet bör, i likhet med beslutet om ändamål, fattas av myndighetschefen. Lämpligen fattas ett enda beslut om ändamål och kategorier för varje projekt. På samma sätt som föreslås gälla i fråga om beslutet om ändamål, bör beslutet om vilka kategorier av personuppgifter som behöver behandlas om vilka kategorier av personer offentliggöras, exempel- vis genom att beslutets innehåll publiceras på myndighetens webb- sida. Genom beslutet blir behandlingen av personuppgifter tydlig, begränsad och förutsebar och genom offentliggörandet skapas trans- parens. 14.4Behandling som den registrerade invänder mot Utredningens bedömning: Det finns inget behov av en särskild bestämmelse som anger vad som ska gälla om den registrerade invänder mot behandling av personuppgifter. Den registrerade ska, enligt artikel 21.1 i dataskyddsförordningen, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av person- uppgifter avseende honom eller henne som grundar sig på arti- kel 6.1 e (allmänt intresse respektive myndighetsutövning) eller f (intresseavvägning) i dataskyddsförordningen. Den personuppgifts- ansvarige får då inte längre behandla personuppgifterna om denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter eller friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Myndigheten för vård- och omsorgsanalys behandlar som regel personuppgifter med stöd av artikel 6.1 e i dataskyddsförordningen (se avsnitt 7.1.3). Den registrerade har alltså enligt den direkt tillämp- liga dataskyddsförordningen rätt att invända mot sådan behandling. Flera författningar som styr behandlingen av personuppgifter vid myndigheter som utför analyser och utvärderingar, innehåller bestäm- melser om att den enskilde inte ska kunna motsätta sig behandling av personuppgifter. Exempel på sådana bestämmelser är 2 a § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknads- politiska verksamheten, 2 a § lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen och 3 § första stycket lagen (2012:741) om behandling av personupp- gifter vid utvärdering. Av bestämmelserna framgår att artikel 21.1 i dataskydds- förordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har med- delats i anslutning till lagen. Det gäller dock inte när personupp- gifterna samlas in direkt från den enskilde. Undantagsbestämmelserna motiveras huvudsakligen med att en rätt att göra invändningar skulle innebära försämrade förutsättningar för myndigheterna, i det här fallet Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäk- ringen och utvärdering, att fullgöra sina uppgifter eftersom myndigheterna i enskilda fall skulle behöva påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättig- heter och friheter innan myndigheterna kan fortsätta behandla personuppgifterna (artikel 21.1 i dataskyddsförordningen).16 I fråga om de aktuella myndigheterna får det antas att intresset att främja en väl fungerande arbetsmarknad vid en prövning i det enskilda fallet regelmässigt kommer att anses väga tyngre än den registrerades intressen. Det kan dessutom, när det gäller Arbetsförmedlingens verksamhet, vara svårt från den enskildes perspektiv att överblicka konsekvenserna av att denne invänder mot behandlingen. Det kan t.ex. vara så att en arbetsmarknadspolitisk insats som den enskilde behöver inte kan ges, eftersom Arbetsförmedlingen inte kan be- handla nödvändiga personuppgifter efter att den enskilde har invänt. 2017/18:112 s. 51 f. En rätt för den registrerade att invända mot behandlingen av per- sonuppgifter om honom eller henne kan alltså påverka effektiviteten i myndigheternas verksamhet negativt som den kan få oförutsedda och oönskade effekter för den enskilde. I ett remitterat utkast till lagrådsremiss om behandling av person- uppgifter på forskningsområdet är bedömningen att rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen inte kan anses göra det omöjligt eller mycket svårare att uppfylla forsknings- ändamål, mot bakgrund av de begränsade situationer då rätten att invända är tillämplig. Rätten att invända mot behandling är en viktig rättighet för den registrerade och bör därför finnas i de få fall den möjliggörs vid behandling av personuppgifter för forskningsända- mål. Något undantag från rätten att invända mot behandling av per- sonuppgifter för forskningsändamål ska, enligt utkastet, inte införas i svensk rätt.17 En viktig del i rätten att göra invändningar är att den personupp- giftsansvarige ska informera den registrerade om att behandlingen äger rum. Utan vetskap om behandlingen av personuppgifter kan den registrerade inte tillvarata sin rätt att invända mot behandlingen. Av artikel 21.4 i dataskyddsförordningen framgår att rätten att invän- da mot behandling ska meddelas senast vid den första kommunikatio- nen med den registrerade. I artiklarna 12–15 i dataskyddsförordningen anges på vilka sätt den enskilde ska informeras om sina rättigheter i samband med att personuppgifter behandlas. Därav framgår också att det finns vissa möjligheter till undantag från skyldigheten att informera. Den personuppgiftsansvarige behöver t.ex. inte, när upp- gifterna erhållits från annan än den registrerade, informera den registrerade om det skulle visa sig vara omöjligt eller skulle medföra en oproportionerlig ansträngning (artikel 14.5 b i dataskyddsförord- ningen).