sou · H6B345 · 2018-05-31 00:00:00 — Bakgrund och rättsliga utgångspunkter Som ovan nämnts innehåller dataskyddsförordningen bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser. Förordningen har därmed i vissa delar en direktivliknande karaktär. I skälen till dataskyddsförordningen anges också att om förordningen föreskriver förtydliganden eller begränsningar av dess bestämmelser genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (skäl 8). träder lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (nedan dataskyddslagen) i kraft. Lagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser, exempelvis i s.k. registerförfattningar (se avsnitt 2.2.9 nedan). Dataskyddslagen förtydligar under vilka förutsättningar personuppgifter får behandlas med stöd av dataskyddsförordningen. Lagen innehåller bl.a. bestämmelser om behandling av s.k. känsliga personuppgifter, bestämmelser om begränsning av de registrerade rättigheter och bestämmelser om arkiv och statistik. I dataskyddslagen finns bestämmelser som närmare specificerar innebörden i kravet enligt artikel 6.1 i dataskyddsförordningen om att varje personuppgiftsbehandling måste vila på en rättslig grund. Dataskyddslagen innehåller bl.a. en bestämmelse (2 kap. 1 §) om att personuppgifter får behandlas med stöd av artikel 6.1 c i EU:s dataskyddsförordning, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Vidare finns en bestämmelse om att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning (2 kap. 2 §). Bakgrund och rättsliga utgångspunkter I svensk rätt finns även ett stort antal s.k. registerförfattningar som reglerar personuppgiftsbehandling på specifika områden. Sådana registerförfattningar blir ofta aktuella inom verksamheter där stora mängder känsliga personuppgifter hanteras, såsom uppgifter om hälsa. Registerförfattningar kan sägas konkretisera ramarna för personuppgiftsbehandlingen vid aktuella myndigheter, vilket kan vara en fördel både ur ett verksamhetsperspektiv och utifrån intresset att skydda de registrerades integritet. Inom ansvarsområde finns t.ex. registerlagar för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering. 3Verksamheten vid Myndigheten för arbetsmiljökunskap 3.1Myndigheten ska vara ett nationellt för frågor om arbetsmiljö MynAK är en förvaltningsmyndighet som ska vara ett nationellt för frågor om arbetsmiljö. Det kommer inte ingå i myndighetens kärnuppdrag att hantera ärenden som initieras av enskilda. MynAK kommer inte heller att vara en tillsynsmyndighet. MynAK kan i stället jämföras med andra sektorsspecifika analys- och utvärderingsmyndigheter. Myndigheten får bedriva nödvändig forskning för att utföra sina kärnuppdrag men har inget särskilt uppdrag att framställa statistik. Myndighetens uppdrag preciseras i förordningen (2018:254) med instruktion för Myndigheten för arbetsmiljökunskap (instruktionsförordningen). Av denna framgår att MynAK har till uppgift att ansvara för kunskapsuppbyggnad och kunskapsspridning samt utvärdering och analys i syfte att bidra till att kunskap om arbetsmiljö kommer till användning i praktiken (1 §). Vidare framgår att myndigheten i sitt arbete särskilt ska belysa arbetsmiljöns beskaffenhet och utveckling i olika branscher och beakta ett jämställdhets- och likabehandlingsperspektiv (6 §). Myndighetens kärnuppdrag preciseras i 2 § i instruktionsförordningen. Där anges att myndigheten inom sitt ansvarsområde ska: •samla in, sammanställa och sprida kunskap baserad på forskning på ett begripligt och lättillgängligt sätt, •utvärdera och analysera effekterna av beslutade och genomförda statliga reformer och andra statliga initiativ, och Verksamheten vid Myndigheten för arbetsmiljökunskap •följa och analysera utvecklingen i syfte att stärka sitt kunskaps-, analys- och utvärderingsarbete. I 4 § anges att myndigheten får bedriva den forskning som behövs för att kunna fullgöra uppgifterna enligt 2 §. MynAK har även till uppgift att följa och främja kunskapsuppbyggnad om arbetsmiljöfrågor i Europeiska unionen och internationellt samt att följa och främja företagshälsovårdens utveckling (3 §). 3.2Behovet av personuppgiftsbehandling vid myndigheten 3.2.1Myndighetens kärnuppdrag kräver personuppgiftsbehandling Eftersom myndigheten ska vara ett nationellt för arbetsmiljö måste den kunskap och information som myndigheten sprider vara av hög vetenskaplig kvalitet. MynAK ska t.ex. arbeta med att ta fram kunskapssammanställningar, litteraturöversikter eller informationsmaterial över redan befintlig forskning på arbetsmiljö- och arbetslivsområdet och sprida dessa framställningar till relevanta aktörer. I det arbetet kommer det att vara nödvändigt för myndigheten att genomföra fördjupade analyser av det material som ska användas för att ta fram kunskapsunderlag. För att kunna genomföra sådana analyser behöver MynAK ha möjlighet att självständigt bedöma kvaliteten och relevansen i det vetenskapliga arbete som ska utgöra grund för t.ex. en kunskapssammanställning. Detta kan vissa fall förutsätta att det finns möjlighet för myndigheten att studera den data som använts som underlag i det vetenskapliga arbete, t.ex. en studie eller artikel, vars kvalitet och relevans ska bedömas. Sådan data kommer ofta att innehålla personuppgifter. MynAK har även i uppdrag att utvärdera och analysera effekter av beslutade och genomförda statliga reformer och andra statliga initiativ, och att följa och analysera utvecklingen i syfte att stärka sitt kunskaps-, analys- och utvärderingsarbete. Genom utvärdering och analys av utvecklingen och insatser inom arbetsmiljöområdet ska myndigheten bidra till en mer träffsäker och effektiv arbetsmiljöpolitik. Även detta arbete bygger på att myndigheten har möjlighet att behandla personuppgifter. Likaså är behandling av personuppgifter Verksamheten vid Myndigheten för arbetsmiljökunskap nödvändig för att kunna studera olika orsakssamband, exempelvis mellan arbete och hälsa, samt göra studier genom att följa en individ genom olika skeenden och över långa tidsperioder (longitudinella studier). Myndigheten behöver ha ett heltäckande underlag för att kunna besvara frågor om arbetsmiljöns utveckling och dess samvariation med ohälsa. För exempelvis studier av effekter av statliga insatser krävs tillgång till större mängder data för att myndigheten med statistisk säkerhet ska kunna utesluta att utfallet beror på något annat än insatsen. Själva bearbetningen kräver sällan behov av att kunna hänföra uppgifterna direkt till en viss fysisk eller juridisk person. Det är dock ändå fråga om personuppgifter eftersom det finns möjlighet att indirekt härleda uppgifterna till en viss individ. Mot denna bakgrund står det enligt utredningens mening klart att behandling av personuppgifter är nödvändig inom verksamheten. I vilken utsträckning myndigheten kommer att behandla personuppgifter beror på inriktningen i myndighetens olika projekt. Det kan konstateras att myndigheten, genom sitt forskningsuppdrag, har möjlighet att genomföra studier som avgränsade forskningsprojekt och inom ramen för dessa behandla personuppgifter under vissa förutsättningar. MynAK har dock även i uppdrag att följa och analysera utvecklingen på arbetsmiljöområdet för att stärka sitt kunskaps-, analys- och utvärderingsarbete. Denna del av uppdraget förutsätter tillgång till uppgifter om ett stort antal individer och om de eventuella förändringar i deras olika enskilda förhållanden som skett över längre tidsperioder. Inom bl.a. myndighetens utvärderingsuppdrag kommer även vissa känsliga personuppgifter att behandlas, såsom personuppgifter om hälsa. Det är därför av stor vikt att tillsäkra att sådan behandling omfattas av lämpliga och tillräckliga skyddsåtgärder. Exempel på skyddsåtgärder och integritetshöjande åtgärder är krav på etikprövning enligt etikprövningslagen, bestämmelser om begränsning av tillgång till personuppgifter och ändamålsbestämmelser (se vidare kapitel 5). Verksamheten vid Myndigheten för arbetsmiljökunskap 3.2.2Myndighetens andra uppdrag och löpande administration MynAK ska även enligt 3 § i myndighetens instruktionsförordning följa och främja kunskapsuppbyggnad om arbetsmiljöfrågor i Europeiska unionen och internationellt. Detta kan bl.a. innebära att myndigheten kommer att inkluderas i regeringens arbete i vissa internationella organ. MynAK kan även tänkas samarbeta med andra organisationer för att stärka internationella arbetsmiljöarbete. Denna del av MynAKs arbete bedöms inte innefatta någon omfattande behandling av personuppgifter utöver den som med nödvändighet måste ske inom all offentlig förvaltning. I 3 § 2 instruktionsförordningen anges även att MynAK har till uppgift att följa och främja företagshälsovårdens utveckling. MynAK:s uppdrag kommer i denna del bl.a. innebära att myndigheten arbetar med vissa typer av frågor kopplade till kompetensförsörjning, dvs. utbildningsbehovet av personal till företagshälsovården. Arbetet med kompetensförsörjning har fokuserats på att administrera kurser för specialistläkarutbildningen inom arbetsmedicin. Det kommer bl.a. mot denna bakgrund att finnas ett visst behov att inom ramen för uppdraget kopplat till företagshälsovård behandla personuppgifter vid kompetensförsörjningsåtgärder, såsom analys och administration av utbildningar på området. MynAK kommer, i likhet med alla myndigheter och arbetsgivare, att behöva behandla personuppgifter i den interna administrationen, såsom hanteringen av exempelvis personalfrågor. Vidare kommer det att förekomma personuppgifter om t.ex. kontaktpersoner vid myndigheter, forskare och andra som kan ha nytta av myndighetens arbete. I detta avseende skiljer sig inte myndighetens behov av att behandla personuppgifter från någon annan myndighets motsvarande behov. Den personuppgiftsbehandling som kommer att ske som ett led i den löpande administrationen vid myndigheten motiverar inte införande av specifika dataskyddsbestämmelser. Verksamheten vid Myndigheten för arbetsmiljökunskap 3.3Rättslig grund för behandling av personuppgifter vid myndigheten De grundläggande förutsättningarna för att behandling av personuppgifter ska vara laglig och tillåten finns i artikel 6 i dataskyddsförordningen. Personuppgifter får endast behandlas om minst ett av det villkor som anges i artikel 6.1 a−f i dataskyddsförordningen är uppfyllt. Dessa villkor utgör den rättsliga grunden för personuppgiftbehandlingen. Uppräkningen av vad som kan utgöra rättslig grund för behandling av personuppgifter i artikel 6.1 är uttömmande. Flera rättsliga grunder kan vara tillämpliga för en och samma behandling. Det är den personuppgiftsansvariges ansvar att efterleva de allmänna principerna för behandling av personuppgifter samt att undersöka och ta ställning till om en behandling är tillåten enligt gällande rätt. Den rättsliga grunden samtycke i artikel 6.1 a bör, som framgår av skäl 43 i dataskyddsförordningen, användas med försiktighet av myndigheter eftersom det i regel finns en betydande ojämlikhet mellan de registrerade och de personuppgiftsansvariga myndigheterna. Av intresse för myndigheters verksamhet är artikel 6.1 c som gäller när behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Exempel på detta kan vara uppdrag som regeringen ger myndigheten i regleringsbrev eller enligt särskilda beslut. Av särskilt intresse för myndigheter är emellertid den rättsliga grunden i artikel 6.1 e som gäller när behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. I förarbetena till dataskyddslagen uttalar regeringen att alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är av allmänt intresse.1 I artikel 6.3 första stycket dataskyddsförordningen ställs också krav på att vissa av de rättsliga grunderna, nämligen artikel 6.1 c och artikel 6.1 e i dataskyddsförordningen, ska vara fastställda i enlighet med unionsrätten eller den nationella rätten. Med detta avses dock inte att den rättsliga grunden måste vara fastställd i en av beslutad lag.2 Däremot måste den rättsliga grunden vara fastställd på ett konstitutionellt korrekt sätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden 2017/18:105 s. 56 f. 2Se skäl 41 till dataskyddsförordningen. Verksamheten vid Myndigheten för arbetsmiljökunskap eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Genom uppdragen i instruktionsförordningen kommer MynAK att utföra uppgifter som är av allmänt intresse, vilket innebär att grunden i artikel 6.1 e i dataskyddsförordningen är tillämplig.3 Myndighetens verksamhet är även fastställd i enlighet med nationell rätt i och med att uppgifterna anges i instruktionsförordning och regleringsbrev. Forskningsuppdraget är avgränsat och knyter tydligt an till kunskaps-, analys- och utvärderingsarbete som utgör myndighetens kärnuppdrag.4 Dataskyddsförordningen har ingen definition av forskning, men av skäl 159 framgår att behandling av personuppgifter för vetenskapliga ändamål bör ges en vid tolkning och omfatta till exempel teknisk utveckling och demonstration, grundforskning, tillämpad forskning och privatfinansierad forskning. Definitionen av begreppet forskning finns i 2 § andra stycket lagen (2003:460) om etikprövning av forskning som avser människor där det anges att forskning är ett vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund, dock inte sådant arbete som utförs inom ramen för högskoleutbildning på grundnivå eller avancerad nivå. 3.4Tillgången till personuppgifter vid MynAK 3.4.1Betydelsen av bestämmelsen om statistiksekretess Som ovan nämnts kommer handläggning av enskilda individers ärenden inte ingå i MynAK:s kärnverksamhet. Myndigheten kommer därför inte att få tillgång till personuppgifter genom sådan ärendehantering (till skillnad från t.ex. Arbetsförmedlingen eller ). De personuppgifter som myndigheten behöver för sin verksamhet kommer därför att behöva samlas in på annat sätt. I praktiken innebär detta att MynAK kommer att behöva få tillgång till uppgifter och underlag från andra myndigheter, ofta statistikansvariga myndigheter och andra myndigheter som framställer statistik.5 3Se resonemang i prop. 2017/18:105, s 56 f. 5Med statistikansvariga myndigheter avses ofta myndigheter med officiellt statistikansvar enligt bilagan till förordningen (2001:100) om den officiella statistiken. Framställning av statistik kan dock förekomma även på myndigheter som inte omnämns i den förordningen. Verksamheten vid Myndigheten för arbetsmiljökunskap De flesta av de personuppgifter MynAK har behov av för sina utvärderingar finns hos statistikansvariga myndigheter såsom (), , och . Åtkomsten till sådana uppgifter är begränsade till följd av gällande sekretessreglering. Om en myndighet har särskild verksamhet som avser framställning av statistik gäller nämligen den s.k. statistiksekretess i den verksamheten för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde (24 kap. 8 § offentlighets- och sekretesslagen [2009:400], OSL). Sekretessen är som utgångspunkt absolut. Efter särskild prövning kan uppgifter dock lämnas ut för forsknings- eller statistikändamål, samt i avidentifierad form. En förutsättning för utlämnande är att det står klart att det kan ske utan skada eller men för den enskilde eller närstående, vilket i praktiken innebär att uppgifterna måste omfattas av statistiksekretess även hos den mottagande myndigheten. Statistiksekretessen kan enligt 24 kap. 8 § andra stycket OSL också gälla för vissa undersökningar hos andra myndigheter i den utsträckning regeringen meddelar föreskrifter om det. Med stöd av detta bemyndigande har regeringen utfärdat föreskrifter i 7 § offentlighets- och sekretessförordningen (2009:641), OSF. Enligt 7 § gäller sekretess för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde i de undersökningar som nämns i bestämmelsen. Utredningen har lämnat ett förslag till ändring av 7 § OSF med innebörd att vissa av MynAK:s undersökningar ska omfattas av statistiksekretess.7 Förslaget bereds i . 3.4.2Behovet att inhämta personuppgifter från andra myndigheter MynAK kommer framförallt att ha ett behov av tillgång till uppgifter från SCB. Även i de fall det finns grundläggande stöd i 24 kap. 8 § OSL för att lämna ut identitetsangivet material för forskningsändamål 1994/95:200, s. 28 och prop. 2013/14:162 s. 12. 7Se skrivelse till , dnr A2018/00498/ARM. Verksamheten vid Myndigheten för arbetsmiljökunskap tillämpar SCB dessa regler väldigt restriktivt, i princip lämnar myndigheten inte ut något identitetsangivet material alls.8 När uppgifter ska hämtas från SCB är personuppgifterna som regel avidentifierade genom att personnummer ersätts med ett löpnummer. Ingen information kan således hänföras till en enskild individ hos den myndighet till vilken uppgifterna lämnas. När SCB eller annan statistikansvarig myndighet lämnar ut avidentifierade personuppgifter kan myndigheten dock bevara en identitetsbeteckning, en s.k. nyckel, och genom den kan t.ex. ett löpnummer och individernas personnummer kopplas samman. Detta är förutsatt att den som ska använda uppgifterna ska göra det för forskning eller statistik och har ett behov av att senare kunna komplettera uppgifterna.9 När det gäller utlämnande från SCB anges i den myndighetens sekretesspolicy att dessa kodnycklar ska vara kopplade till särskilda projekt och att om projektet upphör försvinner också förutsättningarna för att bevara nyckeln.10 Eftersom myndigheten som förser MynAK med uppgifterna har tillgång till en nyckel som kan koppla uppgifterna till en viss individ är bedömningen att det är fråga om personuppgifter i dataskyddsförordningens mening (jfr definition av personuppgifter i artikel 4.1). Genom den nyckel som förvaras hos den utlämnande myndigheten kan MynAK få tillgång till uppdaterade data eller länka samman uppgifterna med andra register efter behov. Om MynAK exempelvis vill studera samband mellan två register beställer myndigheten en sådan körning av t.ex. SCB, som sedan lägger sedan samman registren eftersom det endast är den myndigheten som har den nyckel som finns mellan personnummer och de löpnummer som lämnats ut. Det är den nyckeln som gör sammanbearbetningen av registren möjlig. Om MynAK ska behandla så kallade känsliga personuppgifter, däribland uppgifter om hälsa, måste myndighetens projekt ha genomgått en s.k. etikprövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) innebär att 8Statistiska centralbyråns sekretesspolicy, dnr 2016/1002, s. 2. Tillgänglig via / Grupp/OmSCB/Verksamhet/Regelverk/Policy/sekretesspolicy.pdf (hämtad ). 9Förfarandet regleras i 16 lagen (2001:99) om den officiella statistiken. Av bestämmelsen framgår att en statistikansvarig myndighet som lämnar ut uppgifter som inte är direkt hänförliga till enskild får förse uppgifterna med ett löpnummer, som kan kopplas till ett personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till skall använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna. 10Statistiska centralbyråns sekretesspolicy, dnr 2016/1002, s. 6. Verksamheten vid Myndigheten för arbetsmiljökunskap forskningsprojektet ska godkännas av en etikprövningsnämnd innan den får genomföras. När MynAK begär att få ta del av t.ex. känsliga personuppgifter från t.ex. SCB, måste en etikprövning ha skett innan myndigheten tar sig an beställningen. Slutligen bör nämnas att det kan förekomma att myndigheten behöver göra studier som baseras på uppgifter som hämtas in genom intervjuer eller enkäter. Utredningen bedömer dock att dessa metoder endast kommer att användas i mindre utsträckning i myndighetens verksamhet (se även avsnitt 5.10). 4 Behovet av en särskild reglering I kapitel 3 redogörs för att MynAK kommer att behöva behandla personuppgifter och på vilket sätt myndigheten kommer att göra det. Till viss del kommer denna personuppgiftsbehandling vara av sådant slag som förekommer vid alla myndigheter. För denna behandling bedöms det inte finnas behov av särskilda bestämmelser för myndighetens del utan MynAK kommer, i likhet med andra personuppgiftsansvariga, att tillämpa dataskyddsförordningen och dataskyddslagen. Inom myndighetens kärnverksamhet med att sammanställa kunskap samt utföra utvärderingar och analyser kommer dock MynAK att i viss utsträckning behöva behandla större mängder personuppgifter, däribland vissa typer av känsliga personuppgifter. Mot denna bakgrund väcks frågan om det behövs en särskild reglering för denna personuppgiftsbehandling, som är nödvändig för att myndigheten ska kunna utföra sina uppgifter på ett effektivt och ändamålsenligt sätt. Som nämnts i avsnitt 2.1 har utredningen i uppdrag att lämna nödvändiga författningsförslag avseende myndighetens tillgång till och arbete med statistik och databaser. I detta kapitel redogörs för bakgrunden till utredningens förslag i kapitel 5 om att det ska införas en ny lag som reglerar MynAK:s behandling av personuppgifter inom delar av myndighetens verksamhet. Behovet av en särskild reglering 4.2Behov av egna samlingar av personuppgifter 4.2.1Innebörden av begreppet samlingar Dataskyddsförordningen innehåller inte någon särskild definition eller något begrepp för att beteckna olika samlingar av personuppgifter, såsom register eller databaser. Som huvudregel görs det ingen skillnad mellan olika former av behandling av sådana uppgifter och annan behandling som helt eller delvis företas på automatisk väg. Dataskyddsförordningens krav måste därför vara uppfyllda även i fråga om sådan behandling. Samlingar av personuppgifter kan vara databaser, men även samlingar av data för ett enskilt projekt eller en studie. Det bör vara ostridigt att förekomst av databaser och andra samlingar som innehåller många personuppgifter i sig kan innebära risker för enskildas personliga integritet. 4.2.2Förändringar i arbetslivet som påverkar arbetsmiljön Arbetslivet, och därmed arbetsmiljön, är i ständig förnyelse och står inför stora förändringar, bl.a. till följd av teknisk utveckling och digitaliseringen.1 Vissa yrken kommer att förändras i grunden, medan andra kanske helt försvinner. Nya trender och nya former för att organisera arbete förändrar också i sin tur förutsättningarna på arbetsmarknaden. Nya arbetsformer såsom egenanställning eller arbete vid digitala plattformar kan t.ex. skapa oklarheter om vem som ska ses som arbetsgivare och arbetstagare, vilket har betydelse för ansvaret för arbetsmiljön.2 Även framväxten av nya sätt att organisera arbete har betydelse för arbetsmiljö och hälsa, bl.a. på så sätt att den mer ansvar läggs på den enskilde medarbetaren.3