sou · H6B345 · 2018-05-31 00:00:00 — Ett förändrat arbetsliv ställer vidare nya krav på arbetsmiljöarbetet. Antalet fysiskt ansträngande arbetsmoment minskar och byts ut mot t.ex. arbete framför en datorskärm. Detta leder i sin tur till att vissa arbeten som tidigare endast varit fysiskt krävande nu har 1Det har gjorts gällande att de allra flesta branscher kommer att behöva förändras i grunden till följd av digitaliseringen, se , (2015:17) Digital arbetsmiljö, s. 21. 2SOU 2017:24, s. 223. 3Arbetsmiljöverkets kunskapssammanställning (2018:2) Nya sätt att organisera arbete – betydelsen för arbetsmiljö och hälsa, s. 9. Behovet av en särskild reglering blivit psykiskt krävande.4 Det har också skett en ökning av antalet anmälda arbetssjukdomar på grund organisatoriska och sociala faktorer. De vanligaste orsakerna till arbetsrelaterade besvär för både kvinnor och män var stress eller andra psykiska orsaker.5 Det finns även studier som pekar på att de digitala arbetsmiljöproblemen är stora och ökande och att det för många yrkesgrupper har skett en snabb och omfattande förändring under senare år.6 Vidare har det gjorts gällande att ökad användning av artificiell intelligens kommer ha stark påverkan på arbetsuppgifter, arbetsorganisation och arbetsmarknad. Många arbetsuppgifter kommer att påverkas, vilket kommer att väsentligt öka kraven på och förmågan till omställning för individer och verksamheter.7 4.2.3Närmare om behovet av samlingarna och deras innehåll Betydelsen av tillgång till personuppgifter för MynAK som kunskapsmyndighet Det finns ett behov av fördjupade kunskaper om samband och orsaker kring förändringar i samhället, inte minst vad gäller arbetslivet och utmaningar i arbetsmiljön som i sin tur påverkar t.ex. sjuktal och hälsa. Utan sådan kunskap försämras möjligheterna att genomföra åtgärder som får positiv effekt. Att kunna påvisa olika typer av orsakssamband förutsätter ofta tillgång till såväl aktuella som historiska data. Genom tillgång till sådana uppgifter är det möjligt att genomföra longitudinella studier. Sådana studier görs över viss med upprepade mätningar. Ett exempel är att individer kan följs under olika perioder och livsfaser, såsom inträde på arbetsmarknaden och återgång i arbete efter sjukskrivning. För att studera orsak och verkan inom olika sådana förlopp krävs ofta tillgång till en större mängd data som omfattar längre tidsperioder. Detta gäller inte minst för att möjliggöra studier av komplexa 4Den organisatoriska och sociala arbetsmiljön – viktiga pusselbitar i en god arbetsmiljö – Vägledning till föreskrifter om organisatoriska och social arbetsmiljö, AFS 2015:4, 2016, s. 14. 5Arbetsmiljöverkets faktablad Stress och hög arbetsbelastning (Korta arbetsskadefakta Nr 2/2017), /globalassets/filer/statistik/arbetsmiljostatistik-stress-och-hog-arbetsbelastning- faktablad-2017-02.pdf tillgänglig via (hämtad ). 6Arbetsmiljöverkets rapport (2015:17) Digital arbetsmiljö, s. 88. 7Se intelligens i svenskt näringsliv och samhälle – Analys av utveckling och potential, Dnr 2017-05616, s. 10 och 75. Behovet av en särskild reglering samband mellan arbete och hälsa. För detta ändamål räcker det inte att använda så kallad tvärsnittsdata som reflekterar förhållanden vid en viss specifik tidpunkt. Det räcker inte heller med att studera förändringar på en övergripande nivå eftersom specifika faktorer inte kan observeras i ett populationsgenomsnitt, där tillgång till individdata saknas. Genom studier som innefattar uppgifter om individuella förhållanden kan betydelsen av olika inslag så som krav och kontroll i arbetet kopplas samman med olika individuella utfall. Studier på sådan detaljnivå ger också möjligheter till att följa förändringar i arbetsmiljö . Behovet av att kunna genomföra projekt på De förändringar av arbetslivet och arbetsmiljön som kan komma att ske framöver (se avsnitt 4.2.2 ovan) innebär enligt utredningens bedömning att MynAK, för att kunna utföra sitt uppdrag på ett ändamålsenligt sätt, behöver kunna följa och analysera utvecklingen på arbetsmiljöområdet. Det kommer även att finnas ett behov av att kunna utvärdera och analysera såväl statliga insatser och reformer på området samt följa kunskapsläget och sammanställa aktuell och relevant kunskap. Sådana sammanställningar och analyser kommer inte att kunna genomföras med korta ledtider om inte MynAK kan ha egna samlingar av personuppgifter. Detta hänger samman med att insamling av data är mycket tids- och resurskrävande.8 Vidare är möjligheterna att genomföra studier samt att följa och analysera utvecklingen på arbetsmiljöområdet begränsade om insamling av personuppgifter bara kan ske inom ramen för specifika forskningsprojekt. Att myndigheten med utgångspunkt i egna databaser kan följa och analysera utvecklingen på området är också en förutsättning för att myndigheten ska kunna göra aktuellt och relevant arbete inom ramen för sina övriga kunskap-, analys- och utvärderingsuppdrag. Att MynAK har möjlighet att göra detta är nödvändigt för att myndigheten ska kunna vara en samlande aktör på arbetsmiljöområdet och bidra till en samlad bild av kunskapen om 8Det har konstaterats i olika sammanhang att tillgång till olika typer av data är ett problem för utvärderingsmyndigheterna, se t.ex. till SCB:s registerdata – en fråga om prioriteringar (RiR 2017:14), s. 6 och Statskontorets rapport (2014:7) Utvärdering på olika områden – En analys av sektorsspecifika utvärderingsmyndigheter, s. 59. Behovet av en särskild reglering Tillgång till relevant och aktuella data och statistik är därför av avgörande betydelse för myndighetens verksamhet. Resonemanget utvecklas i kapitel 5, där utredningen lämnar ett förslag om att MynAK ska få ha egna samlingar av personuppgifter. Hur samlingarna skulle vara uppbyggda De samlingar som skulle finnas hos MynAK skulle vara uppbyggda på ett liknande sätt som de samlingar av personuppgifter som administreras av IFAU. Enligt den registerlag som gäller för IFAU:s verksamhet har institutet rätt att inneha samlingar av personuppgifter som inte nödvändigtvis är knutna till en avgränsad studie, uppföljning eller utvärdering (se 8 § lagen [2012:741] om behandling av personuppgifter vid utvärdering). Dessa samlingar har benämnts forskningsdatabaser.9 Som ett exempel på en sådan databas kan nämnas den s.k. IFAU-databasen som bl.a. innehåller personuppgifter ur databasen (Longitudinell integrationsdatabas för Sjukförsäkrings- och Arbetsmarknadsstudier), som finns hos SCB. När uppgifter ur lämnar SCB är de alltid avidentifierade (pseudonymiserade) på så sätt att personnummer har ersatts med löpnummer. De personuppgifter som finns i IFAU:s databaser kan således inte hänföras direkt till någon enskild individ. SCB har dock kvar en nyckel mellan dessa löpnummer och individernas personnummer för att möjliggöra för att uppdatera innehållet i samlingarna. De samlingar MynAK i första hand kommer att ha behov skulle vara av liknande slag. De personuppgifter som skulle finnas i samlingarna skulle huvudsakligen inhämtas från andra myndigheters samlingar. Därutöver finns det hos MynAK även ett behov av mindre omfattande samlingar som består av personuppgifter som samlas in inom ramen för vissa enskilda projekt. Dessa personuppgifter skulle samlas in genom enkäter och intervjuer. Utredningen bedömer dock att denna del av verksamheten kommer att vara av mindre omfattning (se vidare avsnitt 5.10). 9Se IFAU:s policy för forskningsdata , tillgänglig via /globalassets/ Forskningsbidrag/Policy_forskningsdata.pdf, (hämtad ). Behovet av en särskild reglering 4.3Behandling av känsliga personuppgifter ställer särskilda krav Det har ovan konstaterats att insamling av personuppgifter är mycket tids- och resurskrävande som MynAK behöver ha förutsättningar för att genomföra bl.a. analyser som kräver tillgång till sådana uppgifter med relativt kort varsel. Utredningen anser därför att MynAK bör ges förutsättningar för att ha egna samlingar med avidentifierade personuppgifter, för att kunna fullgöra sitt uppdrag på ett effektivt och ändamålsenligt sätt. Mot bakgrund av myndighetens uppdrag kommer sådana samlingar bl.a. att innehålla känsliga personuppgifter. Inom arbetsmiljöområdet kan flera typer av känsliga personuppgifter vara relevanta att beakta och belysa, vilket närmare utvecklas i kapitel 5. Mot bakgrund av dataskyddsförordningens krav behöver det övervägas om sådan personuppgiftsbehandling är förenlig med förordningen och om det är behövligt och lämpligt att införa vissa dataskyddsbestämmelser för myndigheten. Enligt artikel 9 i dataskyddsförordningen är nämligen utgångspunkten att det är förbjudet att behandla av känsliga personuppgifter. Det finns dock vissa specifika undantag, t.ex. om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Sådana undantag har införts i svensk rätt genom dataskyddslagen. Det finns därför anledning att överväga om MynAK kan utföra nödvändig personuppgiftsbehandling med stöd av den lagen eller om det är motiverat att införa särskilda dataskyddsbestämmelser som specificerar vilka känsliga personuppgifter som MynAK får behandla och under vilka förutsättningar sådan behandling får ske. Behovet av en särskild reglering 4.4Dataskyddslagen ger inte MynAK rätt att behandla känsliga personuppgifter i tillräcklig utsträckning Som nämnts finns bestämmelser i dataskyddslagen om möjligheten att behandla känsliga personuppgifter. Enligt utredningens mening är det 3 kap 3 § i dataskyddslagen, som rör myndigheters möjlighet till behandling av känsliga personuppgifter för att tillgodose ett viktigt allmänt intresse enligt artikel i dataskyddsförordningen, som kan bli aktuell för MynAK att tillämpa. I förarbetena till dataskyddslagen uttalas bl.a. att det är uppenbart att det vid behandling av känsliga personuppgifter krävs ett annat stöd i rättsordningen, utöver det som dataskyddsförordningen ger, eftersom de särskilda krav som i respektive punkt ställs på det rättsliga stödet för behandlingen måste vara uppfyllda för att undantagen i artikel 9.2 ska vara tillämpliga. Vidare anförs att dessa krav går utöver de som ställs på rättslig grund enligt artikel 6 i dataskyddsförordningen och att tröskeln för att den personuppgiftsansvarige ska få behandla känsliga personuppgifter således är högre än den som gäller för behandling av andra personuppgifter i samma situation.10 För att bedöma om det finns ett behov av en särskild reglering av personuppgiftsbehandlingen vid MynAK krävs därför överväganden angående i vilken omfattning 3 kap. 3 § dataskyddslagen kan utgöra grund för sådan mer omfattande behandling av känsliga personuppgifter som kommer att bli aktuell inom ramen för myndighetens kunskaps-, analys- och utvärderingsarbete. Av den aktuella bestämmelsen framgår att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i dataskyddsförordningen om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag (punkt 1), om behandlingen är nödvändig för handläggningen av ett ärende (punkt 2), eller i enstaka fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (punkt 3). I författningskommentaren till punkten 1 i bestämmelsen anges bl.a. följande. Känsliga personuppgifter får behandlas av en myndighet om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag. Bestämmelsen klargör att det är tillåtet för myndigheter att utföra sådan behandling av känsliga personuppgifter som 2017/18:105, s. 75. Behovet av en särskild reglering krävs i myndigheternas verksamhet som en direkt följd av framför allt offentlighets- och sekretesslagens och förvaltningslagens bestämmelser om hur allmänna handlingar ska hanteras, exempelvis genom krav på diarieföring och skyldighet att ta emot e-post. Be- handling av känsliga personuppgifter med stöd av denna punkt får bara ske om uppgifterna har lämnats till myndigheten. Uppgifterna ska alltså antingen finnas i handlingar som definieras som inkomna enligt 2 kap. 6 § TF eller lämnas till myndigheten på annat sätt, t.ex. muntligen. Vidare ska själva behandlingen av uppgifterna utgöra ett krav enligt lag.11 Enligt utredningens mening står det mot denna bakgrund klart att behandlingen av personuppgifter i MynAK:s kärnverksamhet, dvs. kunskapsuppbyggnad och kunskapsspridning samt utvärdering och analys (jfr 2 § i instruktionsförordningen för myndigheten), inte kan grundas på i 3 kap. 3 § punkten 1 i dataskyddslagen, bl.a. eftersom denna behandling kommer att innefatta inhämtande och lagring av personuppgifter på myndighetens eget initiativ. Punkten 2 gäller handläggning av ärenden. I författningskommentaren till bestämmelsen anges att begreppen handläggning och ärende ska tolkas på samma sätt som enligt 1 § förvaltningslagen (2017:900). Begreppet handläggning innefattar alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. Kännetecknande för ett ärende är att det regelmässigt avslutas genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det enskilda fallet. Ett ärende avslutas således genom ett beslut av något slag.12 Det är enligt utredningens mening tydligt att inte heller punkten 2 i den aktuella bestämmelsen är tillämplig på all den typ av behandling av personuppgifter som kommer att ske inom MynAK:s kärnverksamhet. Det är t.ex. enligt utredningen inte möjligt att med stöd i bestämmelsen utföra den personuppgiftsbehandling som är nödvändig för att utvärdera och analysera statliga reformer inom arbetsmiljöområdet. Punkten 3 i bestämmelsen syftar enligt författningskommentaren till att möjliggöra behandling av känsliga personuppgifter i myndigheters i s.k. faktiska verksamhet, dvs. 2017/18:105, s. 194 Behovet av en särskild reglering som inte utgör ärendehandläggning. Bestämmelsen ska inte tillämpas slentrianmässigt i den löpande verksamheten. Vidare krävs att den personuppgiftsansvarige, i det enskilda fallet, gör en bedömning av om behandlingen innebär ett otillbörligt intrång i den registrerades personliga integritet. Bestämmelsen kan inte kan läggas till grund för att skapa integritetskänsliga sammanställningar av känsliga personuppgifter.13 Den behandling av känsliga personuppgifter som är nödvändig i MynAK:s kärnverksamhet kommer att behöva ske med viss regelbundenhet. Det är således inte fråga om att myndigheten bara kommer att behöva genomföra sådana behandlingar i enstaka fall. Vidare kommer MynAK att ha behov av egna samlingar av personuppgifter som delvis består av känsliga personuppgifter. Enligt utredningens bedömning är därför inte heller 3 kap. 3 § punkten 3 i dataskyddslagen en rättslig grund för behandling av känsliga personuppgifter som täcker MynAK:s behov av att utföra sådana behandlingar. Sammanfattningsvis anser utredningen att bestämmelsen i 3 kap. 3 § dataskyddslagen inte utgör en tillräcklig grund för behandling av känsliga personuppgifter inom ramen för MynAK:s kärnverksamhet. För tydlighets skull bör dock poängteras att bestämmelsen kan komma att tillämpas inom ramen för myndighetens övriga verksamhet, t.ex. för att hantera en inkommande handling på ett korrekt sätt. 2017/18:105, s. 194 f. 5Ny lag med kompletterande dataskyddsbestämmelser för Myndigheten för arbetsmiljökunskap 5.1En registerlag för MynAK Utredningens förslag: En ny reglering om behandling av personuppgifter för Myndigheten för arbetsmiljökunskap ska införas. Regleringen bör ske i lag. MynAK måste ha förutsättningar att utföra sitt uppdrag MynAK ska vara ett nationellt för arbetsmiljöfrågor. Myndighetens arbete kan bl.a. bidra till att ge kunskap om vilka initiativ och reformer inom arbetsmiljöområdet som varit effektiva och därigenom bidra till en mer ändamålsenlig arbetsmiljöpolitik. En förbättrad arbetsmiljöpolitik kan bidra både till att statens resurser används på ett mer effektivt sätt och till en bättre arbetsmiljö. En sådan utveckling kan ha positiva effekter för såväl enskilda arbetstagare och arbetsgivare som för samhället i stort. Vidare kan MynAK:s arbete med spridning och sammanställande av kunskap bidra till att forskningsresultat inom arbetsmiljöområdet kommer till större användning i det praktiska arbetsmiljöarbetet på arbetsplatserna. Därmed kommer också forskningsresultaten att nyttiggöras på ett bättre sätt och tillgängliggöras för dem som praktiskt arbetar med arbetsmiljön på enskilda arbetsplatser. Det är viktigt att det förebyggande arbetsmiljöarbetet bygger på aktuell och Ny lag med kompletterande dataskyddsbestämmelser för MynAK En bra förebyggande arbetsmiljöarbete leder i sin tur till en bättre hälsa och friskare arbetsplatser. Det är mot denna bakgrund viktigt att MynAK ges möjlighet att behandla personuppgifter i den utsträckning som är nödvändig för att myndigheten ska kunna utföra sitt uppdrag. Införandet av en särskild registerlag för MynAK ger bäst förutsättningar för att skydda den personliga integriteten Personuppgiftsbehandling innebär att den personliga integriteten berörs hos de individer vars uppgifter behandlas. Eftersom rätten till personlig integritet är en mänsklig rättighet som skyddas både av svensk och internationell rätt ska begränsningar av denna rättighet kunna motiveras av bärande skäl och inte sträcka sig längre än vad som behövs för att uppfylla ändamålet med begränsningen. Den personuppgiftsbehandling som sker vid MynAK måste därför utföras på ett sätt som säkerställer ett tillräckligt skydd för den personliga integriteten för de individer som berörs av behandlingen. Även från detta perspektiv är det viktigt att det på ett så tydligt sätt som möjligt framgår hur myndigheten får behandla personuppgifter. Varje behandling av personuppgifter måste vidare uppfylla kraven Verksamhetsbehovet av personuppgiftsbehandling måste vägas mot de integritetsintrång som sådan behandling kan medföra, särskilt när behandlingen sker i större skala. Även svensk grundlag är aktuell i sammanhanget. Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Det finns dock möjlighet att begränsa denna rättighet i lag (2 kap. 20–21 §§ regeringsformen). I svensk rätt har det länge varit en ambition att särskilt integritetskänslig registerföring ska regleras i lag, främst därför att en sådan normgivningsnivå säkerställer att det görs en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för registerföringen, (se t.ex. prop. 2017/12:112, s. 34, prop. 2001/02:144, s. 16 och SOU 2015:39, s. 94). Lagreglering bidrar även till stabilitet och långsiktig förutsebarhet. Eftersom den personuppgiftsbehandling som kommer att ske vid MynAK kommer innefatta bl.a. känsliga personuppgifter är det mot denna bakgrund mycket Ny lag med kompletterande dataskyddsbestämmelser för MynAK som talar för att en särreglering bör ges i lag, oavsett om detta är ett formellt krav enligt regeringsformen. I vissa delar, såsom uppdragen att genomföra utvärderingar och analyser, att sammanställa och sprida kunskap samt att följa och analysera utvecklingen inom myndighetens ansvarsområde, krävs mer omfattande personuppgiftsbehandling, däribland behandling av vissa känsliga personuppgifter. Utredningen anser att en särskild reglering som avser just personuppgiftsbehandling vid MynAK skulle innebära goda möjligheter för myndigheten att uppfylla kraven enligt dataskyddsförordningen, däribland kraven på tillräckliga skyddsmekanismer för de registrerades integritet. I en registerlag finns möjlighet att införa skyddsbestämmelser som tar sikte just på den typ av personuppgiftsbehandling som förekommer vid myndigheten, vilket gör det tydligare för de registrerade hur deras personuppgifter får hanteras inom ramen för verksamheten. En väl avvägd särreglering har därför enligt utredningens bedömning en integritetshöjande effekt. Även intresset av att skydda de registrerades integritet talar därför för införande av en särskild reglering. MynAK har med stöd av dataskyddsförordningen och nationell rätt möjlighet att behandla personuppgifter, inklusive sådana känsliga personuppgifter som inkommer till myndigheten utan att dessa har efterfrågats. Enligt utredningens bedömning finns det dock skäl att i en registerlag införa sådana mer specifika bestämmelser som anpassar tillämpningen av bestämmelserna i dataskyddsförordningen genom att fastställa specifika krav för myndighetens uppgiftsbehandling och andra åtgärder för att säkerställa en laglig och rättvis behandling. Ett skäl till detta är att utredningen bedömer att MynAK behöver ha egna samlingar av personuppgifter, som delvis består av känsliga personuppgifter (se även avsnitt 4.2 och 5.9–5.10). Vidare kommer det att finnas behov av att sammankoppla personuppgifter som härrör från olika register och databaser, bl.a. för att genomföra vissa typer av forskningsprojekt. För det fall den aktuella personuppgiftsbehandlingen skulle bedömas innebära ett sådant betydande intrång i den personliga integriteten i den mening som avses i 2 kap. 6 § regeringsformen, anser utredningen att det förslag som presenteras i detta kapitel är förenligt med de krav som gäller för rättighetsbegränsande lagstiftning enligt Ny lag med kompletterande dataskyddsbestämmelser för MynAK av 2 kap. 20–21 §§ regeringsformen. Denna slutsats baseras på att förslaget syftar till att möjliggöra för MynAK att utföra sitt uppdrag, vilket är ett mycket angeläget allmänt intresse. Av betydelse för denna bedömning är även de integritetsskyddande åtgärder som föreslås och de resonemang som förs nedan angående avvägningen mellan MynAK:s behov av personuppgiftsbehandling och de integritetsrisker som är förknippande med denna. Den föreslagna regleringen bedöms mot denna bakgrund vara en proportionerlig begränsning av skyddet mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § i regeringsformen. Sammanfattningsvis bedömer utredningen att införandet av en ny lag om behandling av personuppgifter inom MynAK:s verksamhet kompletterar och preciserar dataskyddsförordningens bestämmelser på ett sådant sätt att enskildas integritet tillgodoses som det sätts upp ramar som begränsar myndighetens möjligheter att behandla personuppgifter. I de delar den föreslagna lagen begränsar enskildas rättigheter bidrar den till förutsebarhet och öppenhet på så sätt att enskilda kan skapa sig en bild av ramarna för myndighetens behandling av personuppgifter. Införandet av en registerlag som ställer specifika krav på hur personuppgiftsbehandling får ske i MynAK:s verksamhet innebär även att andra aktörer, såsom statistikansvariga myndigheter, får tydlig insyn i hur personuppgifter får behandlas inom myndigheten. Utan ett sådant tydligt regelverk blir det svårare för utlämnande myndigheter att göra en bedömning av om begärda personuppgifter kan lämnas ut eller om MynAK:s tillgång till register och databaser innebär risker för de enskildas personliga integritet. Utredningen anser det även av detta skäl motiverat att införa en registerlag för myndigheten. Utredningens förslag: Lagen ska tillämpas på myndighetens behandling av personuppgifter i sådan verksamhet som avser kunskapsuppbyggnad och kunskapsspridning samt utvärdering och analys. Lagen ska endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och personuppgifter i register. Ny lag med kompletterande dataskyddsbestämmelser för MynAK