sou · H6B345 · 2018-05-31 00:00:00 — Utredningens förslag: Lagen ska innehålla en bestämmelse om att personuppgifter som avslöjar etniskt ursprung eller medlemskap i fackförening samt uppgifter om hälsa får behandlas om det är nödvändigt för de ändamål som anges i lagen. Lagen ska även innehålla en upplysningsbestämmelse om att forskning som innefattar behandling av känsliga personuppgifter och vissa uppgifter om lagöverträdelser måste etikprövas enligt etikprövningslagen. MynAK:s möjligheter att behandla känsliga personuppgifter enligt dataskyddsförordningen Som berörts i avsnitt 4.3 kommer MynAK att ha ett behov av att behandla även vissa känsliga personuppgifter. Denna typ av uppgifter regleras i artikel 9.1 i dataskyddsförordningen, där de benämns särskilda kategorier av personuppgifter. Bestämmelsen i dataskyddsförordningen innehåller ett förbud mot behandling av sådana uppgifter. Förbudet omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. I artikel 9.2 listas ett antal avgränsade möjligheter till undantag från förbudet. Endast i de fall då villkoren i undantagsbestämmelsen är uppfyllda får behandling av känsliga personuppgifter ske. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Denna ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). En bestämmelse om myndigheters möjligheter till behandling av känsliga personuppgifter enligt i dataskyddsförordningen finns i dataskyddslagen. Genomgången i kapitel 4 i detta betänkande visar Ny lag med kompletterande dataskyddsbestämmelser för MynAK dock att den bestämmelsen i dataskyddslagen inte fullt ut kan ge rättsliga förutsättningar för den behandling av känsliga personuppgifter som kan förutses i MynAK:s kärnverksamhet. Utredningens bedömning är att MynAKs arbete med att vara ett nationellt för frågor om arbetsmiljö måste anses vara en uppgift av allmänt intresse i dataskyddsförordningens mening (jfr artikel 6.1 e i dataskyddsförordningen). Denna uppgift av allmänt intresse är fastställd i enlighet med nationell rätt i myndighetens instruktionsförordning. Utredningen anser vidare att den behandling av känsliga personuppgifter som kommer att ske inom de delar av verksamheten som registerlagen är tillämplig på är nödvändig av hänsyn till ett viktigt allmänt intresse. Denna bedömning har sin grund i att MynAK:s verksamhet kommer vara ett viktigt inslag i arbetet för ett mer hållbart arbetsliv. En god arbetsmiljö kan göra det möjligt för fler att arbeta mer och längre eftersom risken för utslagning minskar. En god arbetsmiljö bidrar till att förebygga och minska den arbetsrelaterade ohälsan och sjukfrånvaron. En bättre kunskap om arbetsmiljöpolitikens effekter kan också leda till en ökad träffsäkerhet i politiken. Statens resurser bedöms användas på ett bättre sätt om de kan riktas mot insatser med dokumenterad effekt. Vidare kan MynAK genom sin kunskapsspridande verksamhet bidra till att forskningsbaserad kunskap tillgängliggörs och kommer till nytta i det praktiska arbetsmiljöarbetet på arbetsplatserna. Myndigheten kan också bidra till att identifiera kunskapsluckor och därigenom bidra till att uppslag om ny och relevant forskning inom området växer fram. Kunskapsutveckling om arbetsmiljö kan också bidra till en positiv utveckling för produktivitet och kan stärka innovationsförmåga på arbetsmiljöområdet. Behandling av känsliga personuppgifter som bedöms nödvändig av hänsyn till ett viktigt allmänt intresse måste, enligt artikel 9.2 i dataskyddsförordningen, stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen och rättigheter. I avsnittet nedan finns utredningens överväganden om vilka slags känsliga personuppgifter som myndigheten har ett nödvändigt behov av att få behandla. Enligt utredningens bedömning står den föreslagna behandlingen i proportion till det eftersträvade syftet. Ny lag med kompletterande dataskyddsbestämmelser för MynAK Ändamålsbestämmelserna syftar till att balansera verksamhetsbehovet och integritetsintresset väl. Vidare innehåller den förslagna lagen lämpliga skyddsåtgärder som kompenserar för det intrång i den personliga integriteten som behandlingen av känsliga personuppgifter innebär såsom lagkrav på att tillgången till att personuppgifter begränsas så att endast de som behöver uppgifterna för att kunna fullgöra sina arbetsuppgifter ska ha tillgång till dem (se förslaget om tillgång till personuppgifter, avsnitt 5.13). Det är även viktigt att här betona att MynAK endast i begränsad omfattning kommer att ha identifierade personuppgifter om enskilda där personers namn och identitet kan utläsas. Vanligen kommer den så kallade nyckeln att förvaras vid den myndighet varifrån utlämnandet sker. MynAK kommer således arbeta med avidentifierade (pseudonymiserade) personuppgifter som huvudregel. Ytterligare en integritetshöjande åtgärd är att myndighetens forskning kommer att kräva tillstånd enligt etikprövningslagen (se nedan i detta avsnitt). Även artikel 9.2 j kan bli aktuell för MynAK att använda som rättslig grund för behandling av känsliga personuppgifter, mot bakgrund av att myndigheten får bedriva den forskning som är nödvändig för att fullgöra vissa av myndighetens uppgifter enligt dess instruktionsförordning. Bestämmelsen föreskriver nämligen att behandling av känsliga personuppgifter under vissa förutsättningar får ske för vetenskapliga ändamål i enlighet med artikel 89.1, i enlighet med unionsrätten eller medlemsstaternas nationella rätt. Utredningen anser sammanfattningsvis att det bör införas specificerande bestämmelser om att MynAK, om det är nödvändigt för de ändamål som anges i den föreslagna lagen (se avsnitt 5.7.1) får behandla vissa kategorier av känsliga personuppgifter. Vilka känsliga personuppgifter är nödvändiga för MynAK att behandla? För att avgöra vilka känsliga personuppgifter som är relevanta för MynAK att få tillgång till är det relevant att beakta vilken data som används inom arbetsmiljöforskning i stort. Sådan forskning bedrivs inom en rad olika områden. Ämnet arbetsmiljökunskap kan således beskrivas som tvärvetenskapligt. Detta för med sig att en mängd olika typer av data kan vara relevanta för forskning inom området och således även för MynAK:s analys- och utvärderingsarbete och Ny lag med kompletterande dataskyddsbestämmelser för MynAK för myndighetens arbete med att sammanställa och sprida forskningsbaserad kunskap. När det gäller frågan om vilka slags känsliga personuppgifter som myndigheten har ett nödvändigt behov av att kunna behandla för att kunna utföra sitt uppdrag på ett ändamålsenligt och effektivt sätt kan det inledningsvis konstateras att kunskap om arbetsmiljö innebär ett behov av att behandla personuppgifter som rör hälsa, vilket är en känslig uppgift enligt dataskyddsförordningen.4 Uppgifter som avslöjar medlemskap i fackförening är en typ av uppgifter som omfattas av förbudet enligt artikel 9.1. i dataskyddsförordningen. På svensk arbetsmarknad är organisationsgraden mycket hög och arbetsmarknadens parter har en central roll i den svenska arbetsmarknadsmodellen, inklusive det praktiska arbetsmiljöarbetet på arbetsplatserna. Att följa och analysera skillnader i arbetsmiljö mellan olika branscher utifrån facklig anslutning kan ge såväl arbetsmarknadens parter som regeringen viktig kunskap om vilka faktorer som bidrar till en god arbetsmiljö. Mot denna bakgrund kan medlemskap i fackförening vara en variabel som är relevant att ha kännedom om vid studier, utvärderingar och analyser som rör vilka faktorer som påverkar arbetsmiljön. MynAK bör därför ha möjlighet att behandla sådana personuppgifter, för att t.ex. kunna studera om det finns samband mellan medlemskap i fackförening och hur arbetstagare upplever arbetsmiljön. En annan typ av känsliga personuppgifter som kan vara nödvändigt för myndigheten att studera är skillnader i arbetsmiljö mellan personer som är födda i jämfört med personer som är födda utomlands, vilket gör det nödvändigt att behandla personuppgifter om födelseland och medborgarskap. finns det inga nationella register som kartlägger fysiska personers etniska ursprung. Däremot finns det möjlighet att använda sig av indikationer om t.ex. en individ är inrikes- eller utrikesfödd. I och med globaliseringen och medlemskap i ökar också rörligheten på arbetsmarknaden. Det kan därför vara värdefullt att kunna sammanställa kunskap och analysera om skillnader i arbetsmiljöförhållanden mellan olika arbetsplatser kan ha samband med variabler som direkt eller indirekt kan avslöja individers etnicitet. Lagen bör därför innehålla en möjlighet för myndigheten att, när det är nödvändigt, behandla personuppgifter som avslöjar etniskt ursprung. 4Jämför SOU 2017:28, s. 110. Ny lag med kompletterande dataskyddsbestämmelser för MynAK Inom arbetsmiljöforskning förekommer det även studier om t.ex. kränkande särbehandling i arbetslivet. Utredningen har därför övervägt om den nya myndigheten även bör ha möjlighet att behandla vissa andra känsliga uppgifter som är kopplade till diskrimineringsgrunder enligt diskrimineringslagen (2008:567), såsom sexuell läggning och religiös eller filosofisk övertygelse. Det kan dock konstateras att behandling av sådana personuppgifter väcker frågor ur integritetssynpunkt och det bör därför finnas konkreta och starka skäl för att en myndighet ska få behandla dessa uppgifter för att t.ex. göra utvärderingar och analyser. Enligt utredningens mening har det inte framkommit några sådana tillräckligt starka skäl för att MynAK ska ges möjlighet en att behandla dessa kategorier av känsliga personuppgifter. Sammanfattningsvis bör MynAK enligt utredningens bedömning ges möjlighet att behandla sådana känsliga personuppgifter som avslöjar etniskt ursprung, medlemskap i fackförening samt behandla uppgifter om hälsa. Sådan behandling får bara ske om det är nödvändigt för de ändamål som avses i lagen. I avsnitt 5.12–5.13 redogör utredningen för sina förslag om de närmare bestämmelser om skyddsåtgärder som bedöms vara nödvändiga och lämpliga att införa. Etikprövning krävs vid forskning som innefattar behandling av känsliga uppgifter och personuppgifter om vissa lagöverträdelser Lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) innehåller bl.a. bestämmelser om under vilka förutsättningar känsliga personuppgifter får användas i forskning. Av lagen följer bl.a. att forskning som innefattar behandling av känsliga personuppgifter bara får utföras om den har godkänts vid en etikprövning (se 3 och 6 §§). Tillstånd från etikprövningsnämnd krävs även för forskning som rör personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden, men den bestämmelsen kan komma att modifieras när dataskyddsförordningen börjar tillämpas. Genom det avgränsade forskningsuppdrag som MynAK har enligt sin instruktionsförordning bedömer utredningen att myndigheten kommer att kunna behandla känsliga personuppgifter inom ramen för specifika forskningsprojekt som godkänts vid prövning enligt etikprövningslagen. Ny lag med kompletterande dataskyddsbestämmelser för MynAK Som berörts i kapitel 4 kommer dock MynAK även att ha behov av att ha egna samlingar av delvis känsliga personuppgifter som inte är knutna till något specifikt forskningsprojekt, för att på ett effektivt sätt utföra sitt uppdrag, vilket kan innefatta t.ex. att göra aktuella sammanställningar av kunskapsläget, effektutvärderingar av politiska reformer och analyser av utvecklingen på arbetsmiljöområdet (se även avsnitt 5.10 nedan). Möjligheten att ha sådana samlingar kommer enligt utredningens mening inte att kunna grundas på tillstånd enligt etikprövningslagen, eftersom lagen inte tar sikte på samlingar av personuppgifter utan på forskning. Utredningen bedömer att lagen bör innehålla en upplysningsbestämmelse som hänvisar till etikprövningslagen. Bestämmelsen fyller i huvudsak en pedagogisk funktion. 5.9Samlingar av avidentifierade/ pseudonymiserade personuppgifter Utredningens förslag: Myndigheten för arbetsmiljökunskap ska för i lagen angivna ändamål få ha samlingar som innehåller personuppgifter och som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna ska dock få vara försedda med en beteckning som hos den myndighet uppgifterna kommer från kan hänföras till ett personnummer eller motsvarande identitetsbeteckning. Behovet av samlingar av avidentifierade/pseudonymiserade personuppgifter i MynAK:s verksamhet För att kunna utföra sitt uppdrag kommer MynAK att vara beroende av att få tillgång till data, inklusive känsliga personuppgifter, från externa källor, såsom statistikansvariga myndigheter. Handläggningstiden för en ansökan om att få ta del av uppgifter från Statistiska Ny lag med kompletterande dataskyddsbestämmelser för MynAK Centralbyrån (SCB) kan vara upp till sex månader.5 Handläggningstiden är ungefär lika lång hos Socialstyrelsen.6 krävs också tid för att ha låtit projektet genomgå en etikprövning. Det har gjorts gällande att tidsåtgången för att bygga upp en samling av personuppgifter för ett specifikt uppdrag kan vara upp till och i vissa fall ännu längre tid.7 Ytterligare en faktor av betydelse i sammanhanget är att det kan vara svårt att på förhand avgöra vilka personuppgifter som är nödvändiga för ett visst projekt. Att i efterhand komplettera arbetet med fler uppgifter fördröjer arbetet ytterligare och kan i värsta fall leda till att vissa projekt vid myndigheten kan ta att genomföra, trots att riskerna för integritetsintrång i det enskilda fallet är mycket små och själva sammanställningarna och analyserna endast tar . Att få tillgång till nödvändiga personuppgifter är således en process som är mycket tids- och resurskrävande. förväntas det ske snabba förändringar i arbetslivet och av arbetsmiljön , vilket ökar behovet för myndigheten att genomföra bl.a. analyser inom relativt korta tidsramar för att kunna producera relevanta underlag (se ovan avsnitt 4.2.2–4.2.3). För att MynAK snabbt och träffsäkert ska kunna analysera aktuella frågor inom arbetsmiljöområdet finns därför ett behov av att kunna använda sig av redan befintliga uppgifter och register som byggts upp inom verksamheten. Det blir t.ex. svårt för MynAK att kunna leverera välutförda kvalitativa analyser inom ramen för tidsbegränsade uppdrag om myndigheten måste köpa in och bygga upp nya typer av samlingar för varje enskilt projekt. Kombinationen av att MynAK har behov av att kunna genomföra olika typer av sammanställningar, analyser och utvärderingar på , samt den tidsåtgång som är förknippad med insamling av för sådana ändamål nödvändiga uppgifter, är således problematisk för verksamheten. Även om SCB:s system för direktåtkomst, (Microdata Online Access), kan komma att bli ett viktigt redskap för MynAK, bedöms detta system inte fullt ut svara mot de behov av personuppgiftsbehandling som myndigheten har behov av för att utföra sitt uppdrag. Utredningen bedömer dock att problematiken i 5Se information på SCB:s hemsida, /vara-tjanster/bestalla-mikrodata/ (hämtad ) 6Se information på hemsida, /register/ bestalladataochstatistik/bestallaindividuppgifterforforskningsandamal (hämtad ). 2011/12:176, s. 42. Ny lag med kompletterande dataskyddsbestämmelser för MynAK betydande mån kan avhjälpas om MynAK ges möjlighet att inom ramen för vissa specifika ändamål bygga upp och ha tillgång till egna samlingar av personuppgifter. Sådana samlingar skulle bestå av avidentifierade personuppgifter och endast få användas inom MynAK:s verksamhet. För att kunna härleda uppgifterna till viss individ krävs tillgång till den krypteringsnyckel som förvaras hos den myndigheten som lämnat ut uppgifterna (se avsnitt 4.2.3). Om myndigheten har sådana samlingar kan olika projekt genomföras betydligt snabbare och mer effektivt. Att MynAK har möjlighet att genomföra olika typer av analyser på är nödvändigt för att regeringen ska kunna ge MynAK i uppdrag att ta fram eller sammanställa kunskap inom arbetsmiljöområdet, eftersom sådana uppdrag, som normalt ges regleringsbrev eller i särskilda beslut, ofta ska rapporteras inom en viss begränsad tidsram. En ordning där all den data som är nödvändig för att genomföra ett visst projekt måste samlas in från andra myndigheter skulle kunna innebära att sådana uppdrag kan bli omöjliga att utföra. Vidare kräver olika typer av effektutvärderingar också en större mängd data så att effekter av t.ex. olika statliga insatser kan isoleras från andra faktorer som kan ha påverkat utfallet av insatsen. En möjlighet för MynAK att ha egna samlingar med personuppgifter skulle även underlätta och stärka förutsättningarna för genomförandet av myndighetens uppdrag på andra sätt. MynAK ska vara en samlande aktör på arbetsmiljöområdet och vara ett för frågor om arbetsmiljö. Tillgång till data är en förutsättning för att framgångsrikt kunna följa utvecklingen på arbetsmiljöområdet Ofta krävs det att olika typer av data kan samköras för att kunna studera olika orsakssamband och förändringar. Eftersom arbetsmiljön påverkas av en många olika faktorer finns sådan relevant data hos ett antal olika samlingar och register, vilket i praktiken innebär att MynAK behöver tillgång till data från relativt många aktörer. För MynAK:s del är det t.ex. relevant att kunna samköra olika register för att studera hur olika individ- och företagsdata på arbetsmarknaden hänger samman med olika diagnoser, sjukfrånvaro, dödlighet samt andra arbetsrelaterade utfall . Om myndigheten har möjlighet att bygga upp egna samlingar underlättas denna hantering, som kan bidra till att MynAK ges bättre förutsättningar att följa och analysera utvecklingen och att samla aktuell kunskap. Det bör i sammanhanget betonas att det för studier av samband och orsaker kring förändringar i arbetslivet Ny lag med kompletterande dataskyddsbestämmelser för MynAK behövs såväl aktuell som historisk information på både övergripande nivå och individnivå. Det räcker således inte med tvärsnittsdata för att kunna studera effekter av en särskild insats eller för att kunna studera arbetsmiljöns utveckling. Vidare är det ofta nödvändigt att sambearbeta data ur flera olika register. Vidare förbättras MynAK:s möjlighet att återföra kunskap till de statistikansvariga myndigheterna om myndigheten har tillgång till egna samlingar. Därigenom kan myndigheten även bidra till nya forskningsfrågor och utveckla indikatorer på området. Möjligheten att ha egna samlingar bedöms vara ett kostnadseffektivt sätt att tillgodose myndighetens behov av tillgång till personuppgifter. Datainsamling för varje enskilt projekt bedöms nämligen medföra särskilt höga kostnader.8 Vidare minskar den administrativa bördan på de utlämnande myndigheterna, eftersom behovet av att begära ut uppgifter därifrån kan antas minska om MynAK har egna samlingar av personuppgifter. Avvägning i förhållandet till intresset att säkerställa skyddet för den personliga integriteten Även om det finns ett starkt verksamhetsbehov för MynAK att ha samlingar av personuppgifter är det inte självklart att myndigheten ska ges en sådan möjlighet. Det beskrivna verksamhetsbehovet måste vägas mot de risker för den personliga integriteten som är förknippade med att lagra samlingar av personuppgifter, särskilt som samlingarna kommer innehålla vissa känsliga personuppgifter, som är särskilt integritetskänsliga och därmed särskilt skyddsvärda. Det måste dock i detta sammanhang framhållas att samlingarna skulle bestå av avidentifierade uppgifter som inhämtas från externa register och databaser. Uppgifterna skulle då av MynAK inte kunna kopplas till viss individ. Tillgång till den beteckning (nyckel) som gör sådan sammankoppling möjlig, skulle förvaras hos SCB eller annan statistikansvarig myndighet varifrån uppgifterna inhämtats. Det skulle ändå vara fråga om personuppgifter i dataskyddsförordningens mening för vilka MynAK är personuppgiftsansvarig. Om MynAK ges möjlighet till egna samlingar skulle de aktuella personuppgifterna lagras i flera samlingar, vilket i sig utgör en risk i 8Jämför SOU 2003:13, s. 124 för en jämförelse mellan kostnaden för att bygga upp en databas med att hålla en befintlig databas uppdaterad. Ny lag med kompletterande dataskyddsbestämmelser för MynAK integritetshänseende, även med beaktande av att uppgifterna i MynAK:s samlingar skulle vara avidentifierade. I detta sammanhang bör dock beaktas att MynAKs samlingar skulle vara tillgängliga för mycket få personer. MynAK är en liten myndighet och tillgång till samlingarna kommer därför att begränsas till en snäv krets, bl.a. genom den föreslagna bestämmelsen om att tillgången till uppgifter ska begränsas till vad var och en behöver för att fullgöra sina arbetsuppgifter (se nedan avsnitt 5.13). Även övriga bestämmelser i den föreslagna lagen som syftar till att skydda den personliga integriteten hos de registrerade, såsom bestämmelser om ändamålsbegränsningar, bör beaktas i sammanhanget. Det måste även vägas in att dataskyddsförordningen innehåller generellt tillämpliga bestämmelser till skydd för de registrerade som gäller vid all typ av personuppgiftsbehandling och som MynAK naturligtvis är skyldig att följa. Sammanfattningsvis bedömer utredningen att MynAK:s möjligheter till att inom rimlig tid genomföra projekt om att sammanställa kunskap, följa och analysera utvecklingen samt analysera och utvärdera effekter av statliga insatser och reformer skulle försvåras väsentligt eller kanske rentav inte gå att genomföra om myndigheten inte ges möjlighet att ha egna samlingar av avidentifierade personuppgifter. En sådan möjlighet behövs därför för att ge MynAK förutsättningar för att bedriva en effektiv och ändamålsenlig verksamhet. Detta gäller inte minst uppdraget att följa och analysera utvecklingen på arbetsmiljöområdet, vars utförande i sin tur är en förutsättning för att myndigheten ska kunna utföra sina övriga uppdrag om att sammanställa och sprida kunskap och analysera och utvärdera effekter av statliga insatser och reformer. Detta intresse väger, särskilt i ljuset av de integritetsskyddande åtgärder som MynAK kommer vara skyldig att vidta, tyngre än de nackdelar ur integritetshänseende som är förknippade med förekomsten av sådana samlingar av personuppgifter. Det bör därför införas en bestämmelse i lagen som ger MynAK rätt att ha samlingar av avidentifierade personuppgifter som ursprungligen samlats in för ett specifikt projekt, men som med stöd i den föreslagna bestämmelsen kan användas även för kommande uppdrag. Ny lag med kompletterande dataskyddsbestämmelser för MynAK 5.10Samlingar av personuppgifter i övrigt