prop · H603118 · 2019-05-02 00:00:00 — Av artikel 11.1 framgår också att användarna inte är tvungna att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syfte att följa dataskyddsförordningen. Eftersom användarna således varken kan eller är tvungna att identifiera den registrerade saknar de i praktiken möjlighet att vidta någon åtgärd för det fall någon skulle invända mot behandlingen. Något undantag från artikel 21 bör därför inte föreskrivas. Regeringens förslag: Personuppgifter i Fasit ska gallras när de inte längre behövs för sitt ändamål. Det ska av en upplysningsbestämmelse framgå att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att uppgifter får bevaras för arkivändamål eller för vetenskapliga eller Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser som yttrat sig i frågan, förutom CSN, tillstyrker förslaget eller har inte något att invända mot detta. CSN anser att det inte av förslaget framgår vad som gäller i fråga om gallring av personuppgifter i det urval som har lämnats ut till myndigheter. Skälen för regeringens förslag: Grundläggande bestämmelser om bevarande och gallring hos myndigheter och om vissa andra organs arkiv samt arkivmyndigheterna finns i arkivlagen (1990:782) och arkiv- förordningen (1991:446). Av arkivlagen framgår att en myndighets arkiv bildas av bl.a. de allmänna handlingarna från myndighetens verksamhet. lagen fastställs att myndigheternas arkiv är en del av det nationella Myndigheternas arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen och forskningens behov (3 § tredje stycket arkivlagen). Allmänna handlingar får gallras, men i samband med detta måste alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår ska kunna tillgodose de 2018/19:118 ovan angivna ändamålen. Det material som inte gallras ska tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen, och forskningens behov. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser (10 §). I 14 § arkivförordningen anges att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. I lagen om den officiella statistiken finns särskilda bestämmelser om gallring hos statistikansvariga myndigheter. Av 19 § framgår att personuppgifter ska gallras när de inte längre behövs för sitt ändamål och att regeringen eller den myndighet som regeringen bestämmer får föreskriva om undantag från den skyldigheten om gallring skulle äventyra arkivens roll som en del av det nationella kulturarvet eller strida mot forskningens behov. I samband med detta ska behovet av skydd för den enskildes personliga integritet särskilt beaktas. I förordningen om den officiella statistiken anges att innan en statistikansvarig myndighet gallrar uppgifter enligt 19 § lagen om den officiella statistiken ska regeringen underrätta . Den senare myndigheten får meddela föreskrifter om undantag från gallring enligt samma lag. Varje årgång av Fasit innehåller en stor mängd personuppgifter som är direkt hänförliga till en enskild person. Det kan således konstateras att det är fråga om en omfattande behandling av integritetskänsliga uppgifter som det kan finnas behov av att bevara . finns ett intresse att bevara uppgifterna för det nationella kulturarvet och i viss utsträckning för forskning, dvs. intressen som arkivlagstiftningen syftar till att skydda. Det bör därför säkerställas att det finns tydligt reglerat i vilken utsträckning som uppgifterna i Fasit får bevaras. Utgångspunkten bör vara att personuppgifterna i Fasit ska gallras när de inte längre behövs för de ändamål som uppgifterna får behandlas för enligt lagen. Det står dock klart att uppgifterna i de olika basåren i Fasit kan behöva sparas , eftersom Fasit används för att jämföra utfallet av regelförändringar mellan olika år. SCB, som förvaltar och utvecklar Fasit, får anses ha bäst förutsättningar att bedöma när uppgifterna inte behövs för lagens ändamål. I Fasitlagen bör mot denna bakgrund inte någon bortre tidsgräns anges för när uppgifterna ska tas bort ur Fasit. Denna fråga bör i stället SCB ta ställning till. Regleringen bör också ta hänsyn till de intressen som arkivlagstiftningen syftar till att skydda. I vilken utsträckning som personuppgifter ska bevaras bör avgöras efter en avvägning mellan å ena sidan den enskildes intresse av skydd för sin personliga integritet och å andra sidan forsknings- och kulturintressena (jfr prop. 2000/01:27 s. 58). Vid denna avvägning krävs både insikt och kunskap om ämnesområdena och en överblick över arkivbildningen i landet för att besluten i de enskilda fallen ska bli väl avvägda. En alltför ambitiös gallring kan förorsaka skador som aldrig går att reparera. Vidare kräver arbetet sakkunskap som inte finns i . På samma sätt som gäller enligt lagstiftningen om den officiella statistiken bör avvägningarna därför i stor utsträckning överlåtas till att avgöra. Regeringen eller den myndigheten som regeringen bestämmer kan enligt 8 kap. 7 § RF få meddela föreskrifter om att uppgifter får bevaras för arkivändamål eller för vetenskapliga eller histo- Prop. 2018/19:118 riska forskningsändamål. En upplysningsbestämmelse om detta bör tas in i den nya lagen. När SCB ger tillgång till urvalet sker det huvudsakligen genom att mottagaren ges åtkomst till avidentifierade mikrodata via det s.k. MONA- systemet (se avsnitt 4). Uppgifterna lagras inte elektroniskt direkt hos mottagaren. Om SCB gallrar uppgifter i Fasit kommer det således att få genomslag i den mikrodata som användarna ges tillgång till. Med beaktande av detta saknas det anledning att införa särskilda bestämmelser om gallring hos Fasits användare. Regeringens förslag: Uppgifterna i Fasit och i det urval som lämnar ut till de i lagen utpekade myndigheterna och andra myndigheter under regeringen ska inte få sammanföras med andra uppgifter i syfte att ta reda på en enskilds identitet. Den som bryter mot detta ska dömas för olovlig identifiering till böter eller fängelse i högst , om gärningen inte är belagd med straff i . I ringa fall ska det inte dömas till ansvar. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har särskilt kommenterat Skälen för regeringens förslag: För att en behandling av känsliga personuppgifter ska vara tillåten av hänsyn till ett viktigt allmänt intresse enligt artikel i EU:s dataskyddsförordning krävs enligt vad som anförts i avsnitt 8.4 att unionsrätten eller den nationella rätten innehåller bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. För att en behand- ling av känsliga personuppgifter ska vara tillåten för statistiska ändamål krävs enligt artikel 9.2 j i EU:s dataskyddsförordning, att unionsrätten eller den nationella rätten innehåller bestämmelser om lämpliga och särskilda skyddsåtgärder för att säkerställa den registrerades grundläggande rättig- heter och intressen. Behandling av personuppgifter för statistiska ändamål ska även enligt artikel 89.1 omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Den i avsnitt 8.4.1 föreslagna begränsningen av vilka känsliga person- uppgifter som får behandlas, och villkoren för att få behandla uppgifter i Fasit, kan i sig anses utgöra skyddsåtgärder i dataskyddsförordningens En annan viktig skyddsåtgärd, som följer av den föreslagna regleringen och som också framhålls i dataskyddsförordningen, är att uppgifterna som lämnas ut inte kommer att vara direkt hänförbara till en För Fasit kommer det vidare inte att finnas någon kodnyckel som gör det möjligt att tillföra ytterligare Personuppgifterna omgärdas även av särskilda skyddsåtgärder i form av bestämmelser om absolut sekretess och gallring (se avsnitt 8.7 och 2018/19:118 För att ytterligare skydda den enskildes integritet bör även s.k. bakvägsidentifiering vara förbjuden. Det bör därför i lagen föreskrivas att uppgifterna i Fasit inte får sammanföras med andra uppgifter i syfte att ta reda på en enskilds identitet. finns en straffrättslig reglering av denna innebörd i 6 och 26 §§ lagen om den officiella statistiken. Eftersom lagen om den officiella statistiken inte kommer att gälla vid behandling av personuppgifter i Fasit behöver, för att befästa skyddet av enskildas integritet, en särskild straffbestämmelse införas i Fasitlagen. För att säkerställa att ansvar utdöms endast för klart straffvärda förfaranden bör straff inte utdömas i ringa fall. Genom det skydd som redogjorts för ovan bedöms den föreslagna regleringen väl uppfylla de krav på särskilda åtgärder som dataskyddsförordningen ställer upp. Åtgärderna säkerställer även så långt som möjligt att kravet på tekniska och organisatoriska åtgärder uppfylls. Regeringens bedömning: Den befintliga regleringen i offentlighets- och sekretesslagen är tillräcklig för att uppfylla kraven på sekretess och tystnadsplikt för uppgifterna i Fasit. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Endast Datainspektionen har särskilt kommenterat Datainspektionen ifrågasätter att sekretesskyddet för den enskilde överlåts på SCB och anser att det bör införas en författningsreglerad tystnadsplikt för privata aktörer. Skälen för regeringens bedömning: Som framgår av avsnitt 7.1 omfattas uppgifterna i Fasit hos SCB av sekretess enligt 24 kap. 8 § OSL. Ett urval av Fasit lämnas dock ut för behandling av andra än SCB. I viss utsträckning används Fasit för statistikändamål, men till större del används simuleringsmodellen för andra jämförbara undersökningar i OSL:s mening. Användningen av modellen förutsätter inte uppgifter om identitet och några uppgifter som är direkt hänförbara till en enskild ska inte heller lämnas ut av SCB. Det är således fråga om situationer där det finns möjlighet att lämna ut uppgifter efter en prövning av om det står klart att ett röjande av uppgifterna inte medför att de enskilda eller någon närstående lider skada eller men. Vid den bedömningen har sekretesskyddet hos den användare som tar emot uppgifterna stor betydelse. lämnas Fasit ut till myndigheter som har en verksamhet som omfattas av 24 kap. 8 § OSL och 7 § OSF samt till andra användare med förbehåll enligt 10 kap. 14 § OSL. Eftersom Fasitlagen inte kommer att omfatta utlämnande till och behandlingen hos privata användare saknas skäl att överväga ett förslag till en bestämmelse om tystnadsplikt av det slag som Datainspektionen efterfrågat. Mot denna bakgrund finns det inte behov av att ändra den befintliga sekretessregleringen i samband med införandet av Fasitlagen. Regeringens förslag: Författningsförslagen ska träda i kraft den Regeringens bedömning: Det finns inte behov av några särskilda Promemorians förslag och bedömning överensstämmer inte med regeringens. I promemorian föreslås att författningsförslagen ska träda i kraft . I promemorian redovisas inte någon bedömning av behoven av övergångsbestämmelser. Remissinstanserna: Ingen av remissinstanserna har kommenterat förslaget. Skälen för regeringens förslag och bedömning: Den nu föreslagna regleringen bör träda i kraft . Det föreslås därför att lagen ska träda i kraft . Det bedöms inte finnas något behov av övergångsbestämmelser Regeringens bedömning: Genom förslagen får Statistiska central- byrån ett uttryckligt rättsligt stöd för att behandla personuppgifter i Fasit, vilket ökar förutsägbarheten för såväl användare som uppgifts- förutsättningar att förvalta och utveckla Fasit på ett effektivt och Förslagen medför inte behov av ytterligare medel för Statistiska centralbyrån och andra myndigheter som ska tillämpa den nya regle- Förslagen innebär inte några åtaganden eller kostnader för företag. Förslagen medför att Fasit inte kommer att kunna lämnas ut till Genom att förtydliga stödet för Fasit och förbättra modellen skapas bättre förutsättningar för ökad ekonomisk jämställdhet. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans har särskilt kommenterat Skälen för regeringens bedömning En tydligare reglering av möjligheterna att behandla personuppgifter De förslag som lämnas i denna proposition klargör förutsättningarna för framställning av statistik och mikrosimulering inom skatte-, avgifts- och bidragsområdet och de offentliga välfärdssystemen. SCB ett uttryckligt rättsligt stöd för att behandla personuppgifter i Fasit, 2018/19:118 vilket ökar förutsägbarheten för såväl användare som uppgiftslämnande myndigheter. Vid utformningen av förslagen har bestämmelserna i dataskyddsförordning beaktats och förslagen syftar till att komplettera och precisera personuppgiftsbehandlingen på det sätt som är möjligt enligt förordningen, med utgångspunkt i de allmänna principerna i artikel 5. Särskild hänsyn har tagits till integritetsaspekterna. Skyddet för den personliga integriteten bedöms stärkas genom att personuppgiftshanteringen genom regleringen blir avgränsad och transparent. I de fall som undantag från dataskyddsförordningens bestämmelser föreslagits har andra berättigade intressen ansetts väga tyngre än skyddet för den personliga integriteten. Undantagen bedöms inte utgöra otillbörliga intrång i den personliga integriteten. I de fall som den personliga integriteten teoretiskt sett skulle kunna försvagas genom förslagen, bedöms försvagningarna inte innebära otillbörliga intrång i den personliga integriteten. Den föreslagna regleringen kommer inte att omfatta utlämnande av Fasit till andra än myndigheter. De privata aktörer som använder sig av Fasit kommer alltså inte ha fortsatt tillgång till personuppgifterna. Detta bedöms inte ha några samhällsekonomiska effekter eftersom privata användare fortsättningsvis kan ta del av Fasit genom att ge SCB i uppdrag att behandla uppgifterna åt dem. De privata aktörerna får då del av resultaten om än inte av själva uppgifterna. Förslagen ger SCB förutsättningar att förvalta och utveckla Fasit på ett effektivt och rättssäkert sätt. De merkostnader som förslaget medför kan finansieras inom SCB:s befintliga anslagsram. Förslagen medför i övrigt inte behov av ytterligare medel för de myndigheter som ska tillämpa den nya regleringen. Förslagen bedöms inte innebära några åtaganden eller kostnader för företag. Fasit gör det möjligt att bedöma utfall och konsekvenser av reformer i det svenska offentliga välfärdssystemet för kvinnor och män. Att förtydliga stödet för Fasit och förbättra modellen bidrar därmed till att skapa bättre förutsättningar för ökad ekonomisk jämställdhet. Paragrafen behandlas i avsnitt 8.1. I paragrafen anges lagens tillämpningsområde. Av första stycket framgår att lagen ska tillämpas vid SCB:s behandling av personuppgifter i Fasit. Iandra stycket anges att lagen även ska tillämpas vid den personuppgiftsbehandling som sker av myndigheter i det urval som lämnas ut enligt 9 §. Detta medför att vissa bestämmelser, däribland 2, 4, 6, och Prop. 2018/19:118 11 §§, ska tillämpas av de myndigheter som använder sig av urvalet. I paragrafens första stycke anges att lagen innehåller kompletterande bestämmelser till EU:s dataskyddsförordning. Det innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen som är direkt tillämplig i varje medlemsstat. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Den föreslagna lagen innehåller sådana kompletterande bestämmelser. Andra stycket upplyser om hur lagen förhåller sig till lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Den senare lagen kommer också att gälla vid sådan behandling av personuppgifter som följer av 1 §. Detta gäller dock endast om inte annat följer av denna lag eller föreskrifter som meddelats i anslutning till lagen. Tredje stycket anger att lagen gäller i stället för lagen om den officiella statistiken vid behandling av personuppgifter i Fasit eller i det urval som lämnas ut. Det innebär bl.a. att lagens bestämmelser om utlämnande av uppgifter blir tillämpliga om en statistikansvarig myndighet begär att få ut uppgifter ur Fasit för att behandla dessa för officiell statistik. I ett sådant fall får endast ett urval av personuppgifter som inte är direkt hänförbara till den enskilde lämnas ut. Den uppgiftsskyldighet som regleras i 6 § förordningen om den officiella statistiken gäller således inte uppgifter i Fasit. Paragrafen behandlas i avsnitt 8.2. Enligt paragrafens första stycke är SCB personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför i Fasit. Av andra stycket framgår att de myndigheter som får del av urvalet av Fasit är personuppgiftsansvariga för den behandling av personuppgifter som de utför i urvalet. Med personuppgiftsansvaret följer skyldigheter enligt dataskyddsförordningen. Paragrafen behandlas i avsnitt 8.3. Paragrafen anger de ändamål för vilka personuppgifter i Fasit får behandlas. Bestämmelsen gäller för SCB:s behandling i Fasit och den behandling som användarna utför i det urval som lämnats ut enligt 9 §. Genom ändamålen anges den yttre ramen för behandlingen (jfr artikel 5.1b i dataskyddsförordningen). Ändamålen är utformade utifrån Fasits användningsområde och avser att täcka in den personuppgiftsbehandling som sker . Att SCB även får behandla personuppgifterna i Fasit för att bl.a. förvalta systemet, skapa ett urval av pseudonymiserade uppgifter och lämna ut detta urval framgår av 5, 8 och 9 §§. 2018/19:118 Av punkt 1 framgår att uppgifterna i Fasit får behandlas för att simulera och beräkna effekter av befintliga och nya regelverk samt andra förändringar inom skatte-, avgifts- och bidragssystemen, dvs. inom området inkomster och transfereringar. Även effekter av förändringar av de offentliga välfärdstjänsterna, som inte avser inkomster och transfereringar, omfattas av ändamålet. Med offentliga välfärdstjänster avses exempelvis sjukvård, äldreomsorg, skola, hem för vård och boende för barn och ungdomar samt stöd och service till personer med funktionsnedsättning. Med simulering avses bl.a. att med beräkningar och prognoser utifrån givna eller fiktiva förhållanden skapa ett resultat som inte nödvändigtvis stämmer överens med verkligheten. Avsikten är att möjliggöra analyser av budgetförslag och fördelningseffekter inom de angivna områdena. Ändamålen i punkt 2 avser framtagande och tillhandahållande av all form av statistik, förutom officiell statistik, inom de angivna områdena. Bestämmelsen möjliggör framtagande av mer skräddarsydda statistikuttag inom det angivna området. Som grundläggande förutsättning för att behandling ska få ske gäller att behandlingen ska vara nödvändig för ändamålen. Genom denna begränsning klargörs att det inte är tillåtet att behandla personuppgifter som inte är relevanta att behandla för de aktuella ändamålen. Paragrafen behandlas i avsnitt 8.3. I paragrafen ges SCB möjlighet att, utöver vad som anges i 4 §, behandla personuppgifter om det är nödvändigt för att förvalta och utveckla Fasit. Denna möjlighet är bl.a. nödvändig för att myndigheten ska kunna ta fram och skapa basår och för att få fram en korrekt urvalsram för den version av Fasit som ska göras tillgänglig för användare. Förvaltning och utveckling av modellen kräver bl.a. behandling av uppgifter om identitet. Det krävs även att populationens storlek och antalet uppgifter inom respektive område omfattar fler uppgifter än vad som krävs för de ändamål som anges i 4 §. Detaljerade uppgifter är också en förutsättning för att kunna sammanlägga känsliga uppgifter, t.ex. genom att lägga samman uppgifter om medborgarskap eller födelseland till kategorier av länder, vilket kan var tillräckligt för att tillgodose användarnas behov. Detta bidrar till att minska integritetsintrånget för enskilda eftersom användarna därigenom inte får tillgång till fler känsliga personuppgifter än de behöver. Vid bedömningen av vilka behandlingar som är nödvändiga för att utveckla Fasit bör beaktas att systemet inte kan användas för några andra ändamål än vad som anges i 4 §. Paragrafen behandlas i avsnitt 8.4.1. I paragrafen regleras förutsättningarna för behandling av s.k. känsliga personuppgifter och personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Iförsta stycket anges att behandling av känsliga personuppgifter och personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott är förbjuden. Begränsningen gäller för all behandling Prop. 2018/19:118 av personuppgifter inom ramen för lagens tillämpningsområde. Av andra stycket framgår dock att tre kategorier av känsliga personuppgifter får behandlas. Det är fråga om uppgifter som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa. Dessa uppgifter förekommer i såväl Fasit som det urval som SCB lämnar ut till användarna enligt 9 §. På samma sätt som vid behandling av andra personuppgifter enligt lagen gäller att dessa känsliga personuppgifter endast får behandlas om de är nödvändiga för de ändamål som anges i 4 §. Paragrafen behandlas i avsnitt 8.4.2. Av paragrafen framgår att endast SCB får behandla personnummer och samordningsnummer. Paragrafen behandlas i avsnitt 8.5. Paragrafen reglerar SCB:s skyldighet att skapa ett särskilt underlag av uppgifter, ett s.k. urval, för de ändamål som anges i 4 §. Urvalet får endast avse de uppgifter som är nödvändiga för att de angivna ändamålen ska kunna uppnås och får endast innefatta uppgifter som inte är direkt hänförbara till en fysisk person. Uppgifterna får dock vara försedda med en beteckning som hos SCB kan kopplas samman med personnummer eller samordningsnummer, ett s.k. löpnummer (se 10 §). Det är det framtagna urvalet som efter sekretessprövning kan lämnas ut till användarna enligt Paragrafen behandlas i avsnitt 8.5.1. Enligt paragrafen får det urval av personuppgifter som SCB ska ta fram enligt 8 § lämnas ut till och samt och andra myndigheter under regeringen. Bestämmelsen utgör inte någon begränsning av myndighetens skyldigheter enligt tryckfrihetsförordningen att lämna ut allmänna handlingar. Paragrafen behandlas i avsnitt 8.5.2. Enligt första stycket får SCB förse de uppgifter som lämnas ut enligt 9 § med s.k. löpnummer, om det är nödvändigt för ändamålet med mottagarens behandling. Genom att uppgifterna förses med löpnummer kan SCB uppdatera uppgifterna med hjälp av den kodnyckel som myndigheten använt för att skapa nummerserien. Enligt andra stycket får kodnyckeln bevaras . Tredje stycket ger SCB befogenhet att i enskilda fall besluta om en längre bevarandetid än för kodnyckeln. Sådana beslut kan exempelvis fattas om ett bevarande är nödvändigt för att genomföra en longitudinell statistisk studie. Paragrafen behandlas i avsnitt 8.8. Enligt paragrafens första stycke får uppgifter i Fasit inte sammanföras med andra uppgifter i syfte att identifiera någon enskild. Detsamma gäller de uppgifter som finns i det urval som har lämnats ut till användarna enligt 9 §. Enligt andra stycket ska den som bryter mot förbudet i första stycket dömas för olovlig identifiering till böter eller fängelse i högst . Den som brutit mot förbudet ska dock inte dömas till ansvar enligt bestämmelsen om gärningen är ringa eller straffsanktionerad enligt . Paragrafen motsvarar vad som gäller enligt 6 och 26 §§ lagen om den officiella statistiken (jfr prop.