bet · H701AU3 · 2019-10-16 00:00:00 — Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Utskottet ställer sig bakom regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. Syftet med förslaget är att ge Myndigheten för arbetsmiljökunskap möjlighet att behandla de personuppgifter som är nödvändiga för att myndigheten ska kunna fullgöra sina uppgifter på ett effektivt sätt som enskildas personliga integritet värnas. Lagen föreslås omfatta behandling av personuppgifter i den del av myndighetens verksamhet som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. I denna verksamhet föreslås myndigheten få ha samlingar av personuppgifter. Den föreslagna lagen innehåller olika skyddsåtgärder och begränsningar som syftar till att värna enskildas personliga integritet. Lagen föreslås träda i kraft . Proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. Utskottets förslag till riksdagsbeslut Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Bilaga 1 Förteckning över behandlade förslag Bilaga 2 Regeringens lagförslag Utskottets förslag till riksdagsbeslut Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. Därmed bifaller proposition 2018/19:151. Följande ledamöter har deltagit i beslutet: (S), Gulan Avci (L), (M), (S), (M), (SD), (C), (V), (M), (SD), (S), (KD), Serkan Köse (S), (SD), (MP), (L) och (S). I betänkandet behandlar utskottet proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. Regeringens förslag till riksdagsbeslut återges i bilaga 1. Regeringens lagförslag finns i bilaga 2. I propositionen finns en redogörelse för ärendets beredning fram till regeringens beslut om propositionen. Ingen motion har väckts med anledning av propositionen. Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Utskottets förslag i korthet antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. Myndigheten för arbetsmiljökunskap inledde sin verksamhet . Myndigheten är ett nationellt för arbetsmiljöfrågor och har till uppgift att sammanställa och sprida kunskap om arbetsmiljö i syfte att bidra till att kunskap om arbetsmiljö kommer till användning i praktiken. Myndigheten har också till uppgift att följa och analysera utvecklingen på arbetsmiljöområdet samt utvärdera och analysera statliga arbetsmiljöinsatser. Andra uppdrag är att arbeta med företagshälsovårdens utveckling och arbetsmiljöfrågor i Europeiska unionen (EU) och internationellt. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), härefter kallad dataskyddsförordningen, utgör fr.o.m. den generella regleringen av behandling av personuppgifter inom EU. Det huvudsakliga syftet med förordningen är att säkerställa en enhetlig skyddsnivå i hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen är direkt tillämplig i alla EU:s medlemsstater. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Anpassningar av svensk rätt till dataskyddsförordningen , som dataskyddsförordningen började tillämpas, upphävdes personuppgiftslagen (1998:204) som lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter kallad dataskyddslagen, trädde i kraft. Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning. Detta innebär att om det finns avvikande bestämmelser i sektorsspecifika registerförfattningar ska de tillämpas framför motsvarande bestämmelser i dataskyddslagen. På arbetsmarknadsområdet har registerförfattningarna för , Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering anpassats till dataskyddsförordningen (prop. 2017/18:112, bet. 2017/18:AU12, rskr. 2017/18:235). En särskild lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Regeringen framhåller att Myndigheten för arbetsmiljökunskap har behov av att kunna behandla ett relativt stort antal personuppgifter som dessutom behöver sparas för att kunna användas som underlag för utvärderingar och analyser under långa ledtider. Regeringen anför vidare att myndigheten kommer att vara beroende av att kunna ta del av personuppgifter från statistikansvariga myndigheter och andra aktörer som behöver veta i vilket syfte uppgifterna kommer att behandlas och vilka krav som gäller för personuppgiftsbehandlingen. Enligt regeringens uppfattning talar detta för att en särskild lag om behandling av personuppgifter vid myndigheten bör införas. Lagen föreslås vara avgränsad till att gälla behandling av personuppgifter i verksamhet vid Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys (1 § första stycket). För att utföra övriga delar av myndighetens uppdrag bedömer regeringen att det finns tillräckligt rättsligt stöd och tillräckliga skydds- och säkerhetsåtgärder i det generella dataskyddsregelverket och i förordningen med instruktion för Myndigheten för arbetsmiljökunskap. Tillämpningsområdet för den föreslagna lagen föreslås motsvara dataskyddsförordningens materiella tillämpningsområde, dvs. lagen ska endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register (1 § andra stycket). behandling av personuppgifter som inte ingår eller kommer att ingå i ett register faller således utanför lagens tillämpningsområde. Förhållandet till annan reglering När det gäller lagens förhållande till annan reglering föreslår regeringen att lagen ska innehålla bestämmelser som anger lagens förhållande till dataskyddsförordningen och dataskyddslagen (2 och 3 §§). Av 2 § framgår att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen, vilket innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. När det gäller hänvisningsbestämmelsen till dataskyddslagen (3 §) syftar denna till att klargöra att den föreslagna lagen inte utgör en uttömmande nationell reglering under dataskyddsförordningen, utan att dataskyddslagen och dess bestämmelser kommer att gälla för Myndigheten för arbetsmiljökunskap om inte den föreslagna lagen eller annan författning föreskriver något annat. Rätten att göra invändningar och krav på medgivande När det gäller den registrerades möjlighet att göra invändningar mot behandling av personuppgifter avseende honom eller henne finns en sådan rätt i artikel 21.1 i dataskyddsförordningen. Dataskyddsförordningen tillåter emellertid att denna rätt begränsas under vissa omständigheter, och regeringen bedömer att det finns skäl att införa en bestämmelse i lagen där det anges att rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den (4 § första stycket). Begränsningen av rätten att göra invändningar bör dock inte gälla när personuppgifterna samlas in direkt från den enskilde (4 § andra stycket). Om personuppgifter samlas in direkt från den enskilde ska de endast få behandlas om personen har lämnat sitt uttryckliga medgivande till behandlingen (5 § första stycket). Den registrerade ska ha rätt att när som helst återkalla ett medgivande. Ytterligare personuppgifter om den registrerade ska därefter inte få behandlas (5 § andra stycket). Regeringen föreslår att Myndigheten för arbetsmiljökunskap ska vara personuppgiftsansvarig för behandling av personuppgifter enligt lagen (6 §). När det gäller ändamålen med behandlingen föreslår regeringen att det tas in en s.k. ändamålsbestämmelse i lagen som sätter den yttersta ramen för behandlingen (7 § första stycket). Myndigheten ska enligt bestämmelsen få behandla personuppgifter om det är nödvändigt för • insamling, sammanställning och spridning av kunskap om arbetsmiljö • utvärdering och analys av statliga reformer och andra statliga initiativ • bevakning och analys av utvecklingen på arbetsmiljöområdet • forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete. Regeringen föreslår vidare att det ska föras in en upplysningsbestämmelse i lagen om att regeringen kan begränsa ändamålen och de uppgifter som får behandlas (7 § andra stycket). Personuppgifter som behandlas för de primära ändamålen ska också få behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning (8 §). Regeringen föreslår vidare en bestämmelse om att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål, under förutsättning att dessa inte är oförenliga med de ändamål för vilka uppgifterna samlades in (9 §). Sistnämnda bestämmelse tydliggör att den s.k. finalitetsprincipen, dvs. att personuppgifter endast får behandlas för de ändamål som angavs när uppgifterna samlades in, gäller vid behandling av personuppgifter enligt lagen. Behandling av känsliga personuppgifter I fråga om vilka personuppgifter som får behandlas finns i artikel 9.1 i dataskyddsförordningen ett förbud mot att behandla särskilda kategorier av personuppgifter (känsliga personuppgifter). Förbudet kompletteras emellertid med en rad undantag som tillåter sådan behandling i vissa fall. Regeringen föreslår att Myndigheten för arbetsmiljökunskap ska få behandla fem kategorier av känsliga personuppgifter. Dessa kategorier är personuppgifter som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning (10 § första stycket). Regeringen föreslår också att det tas in en upplysningsbestämmelse i lagen om att forskning som innefattar behandling av känsliga personuppgifter och personuppgifter om vissa lagöverträdelser måste etikprövas (10 § andra stycket). Regeringen föreslår att myndigheten ska få ha samlingar av personuppgifter. Det handlar om dels samlingar av pseudonymiserade personuppgifter där kodnyckeln förvaras hos den myndighet uppgifterna kommer från (11 §), dels samlingar av pseudonymiserade personuppgifter där kodnyckeln förvaras hos Myndigheten för arbetsmiljökunskap (12 §). Den första kategorin av samlingar behöver inte nödvändigtvis vara knutna till ett särskilt projekt, vilket däremot är ett krav för den . Båda de aktuella paragraferna föreslås innehålla vissa skydds- och säkerhetsåtgärder för att värna enskildas personliga integritet. Regeringen konstaterar att spridning av personuppgifter är en viktig faktor vid bedömning av integritetsrisker med behandling av personuppgifter. Regeringen föreslår därför att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (13 §). Lagen om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap föreslås träda i kraft . Utskottet konstaterar att det inte har väckts några motioner med anledning av propositionen. Det har inte heller förts fram några yrkanden under utskottsbehandlingen. Utskottet anser att regeringens lagförslag är ändamålsenligt utformat och att det bör antas av de skäl som anförs i propositionen. Med detta föreslår utskottet att antar det förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap som läggs fram i propositionen. Förteckning över behandlade förslag Proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap: antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap.