prop · H603118 · 2019-05-02 00:00:00 — Utlämnande av avidentifierade uppgifter för kvalificerat utrednings- eller analysarbete kan även ske till användare vid enskilda organisationer efter vederbörlig prövning, t.ex. till anställda vid de centrala fackliga organisationernas utredningsavdelningar. I sådana fall kan myndigheten besluta om ett förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den, och som undanröjer riskerna för skada eller men. Den enskilde omfattas därmed av en straffsanktionerad tystnadsplikt En lag om behandling av personuppgifter Reglering av personuppgiftsbehandlingen i en Regeringens förslag: Personuppgiftsbehandlingen i det fördelnings- analytiska statistiksystemet för inkomster och transfereringar (Fasit) ska regleras i en särskild lag. Den särskilda lagen ska tillämpas vid behandling av personuppgifter i Fasit och vid behandling av personuppgifter i det urval som lämnas ut till i lagen utpekade myndigheter och andra myndigheter under regeringen. Regeringens bedömning: Det bör utredas under vilka förut- sättningar det är möjligt att reglera utlämnande av särskilda urval av personuppgifter i Fasit till andra än myndigheter och förutsättningarna för behandlingen av personuppgifterna hos mot- Promemorians förslag överensstämmer delvis med regeringens. promemorian föreslås att den särskilda lagen ska tillämpas vid behandling av personuppgifter i det urval av Fasit som lämnas ut av Statistiska central- byrån, oavsett om det är en myndighet eller en enskild som behandlar upp- Remissinstanserna: Samtliga remissinstanser som yttrat sig i frågan, utom Inspektionen för socialförsäkringen, Datainspektionen och Svenskt näringsliv, tillstyrker promemorians förslag eller har inte något att invända Inspektionen för socialförsäkringen anser att det finns nackdelar med en reglering som omfattar behandling som sker i ett specifikt stati- stiksystem i stället för att utgå från och omfatta behandling för vissa ändamål hos vissa organisationer och myndigheter. En nackdel är enligt myndigheten att det, i takt med att systemet och SCB:s verksamhet utvecklas och ändras, uppstår oklarheter kring vilka uppgifter från vilka källor som får behandlas i systemet. Datainspektionen anser att använd- ningen av Fasit synes ske för att fullgöra uppgifter av allmänt intresse. Myndigheten är därför tveksam till att privata aktörer kan stödja sig på en intresseavvägning enligt artikel 6.1 f i dataskyddsförordningen som rättslig grund för behandlingen. Enligt Datainspektionen är det vidare inte möjligt att med stöd av artikel 6.2–3 i EU:s dataskyddsförordning begränsa och reglera personuppgiftsbehandlingen på det sätt som föreslås i promemorian om privata aktörer ska tillämpa den rättsliga grunden i artikel 6.1 f. Datainspektionen ifrågasätter vidare om det finns ett rättsligt fastställt allmänt intresse för privata aktörer och andra myndigheter än SCB att behandla uppgifterna. Myndigheten menar vidare att det tydligt bör framgå av den föreslagna regleringen vilka som ska få använda Fasit för de ändamål och på det sätt som lagen anger. att det är otydligt om den föreslagna lagen avses utgöra ett sådant rättsligt stöd för användarnas behandling av personuppgifter som avses i 2 kap. 1 § Om avsikten inte är att begränsa möjligheterna för arbetsmarknadens parter att använda Fasit är det enligt organisationen viktigt att detta regleras på ett tydligt sätt. Skälen för regeringens förslag och bedömning Behovet av en särskild reglering SCB förvaltar Fasit inom ramen för sin statistikverksamhet. dataskyddsförordning och dataskyddslagen gäller lagen om den officiella statistiken och förordningen om den officiella statistiken vid SCB:s behandling av personuppgifter i den verksamheten. är statistikansvariga myndigheter enligt lagen om den officiella statistiken måste vid användningen av Fasits urval också beakta motsvarande regel- verk och eventuella särskilda författningar som specifikt reglerar behandlingen av personuppgifter hos respektive myndighet. myndigheter och enskilda som använder Fasits urval ska tillämpa data- skyddsförordningen, dataskyddslagen och eventuella särskilda författ- ningar om personuppgiftsbehandling. De databaser som utgör grunden för Fasit innehåller ett stort antal upp- gifter om individer och hushåll. Uppgifterna hämtas från såväl SCB:s statistikdatabaser som från andra myndigheters register. Det rör sig i viss utsträckning även om känsliga personuppgifter, t.ex. uppgifter kopplade till information om hälsa. I den utsträckning det är fråga om uppgifter som används för officiell statistik bör SCB:s behandling av personuppgifter i Fasit omfattas av bestämmelserna i lagen och förordningen om den offi- Fasit innehåller dock även uppgifter som inte används för framställning av officiell statistik, närmare bestämt registerdata som hämtas direkt från andra myndigheter till Fasit. Uppgifterna kan också finnas på en mer detaljerad nivå än vad som krävs för framställning av officiell statistik. Beträffande dessa uppgifter finns en oklarhet om den nuvarande regleringen ger stöd för SCB:s behandling av uppgifterna och den behandling som sker efter utlämnande av SCB. Myndigheter som ska lämna ut uppgifter till SCB kan till följd av detta ha svårt att avgöra om ett utlämnande kan ske. Sekretess gäller för person- uppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med dataskyddsförordningen eller dataskyddslagen (jfr 21 kap. 7 § OSL). Det kan därför ifrågasättas om den nuvarande regle- ringen är tillräcklig för den behandling som sker med hjälp av Fasit och inhämtandet av data till systemet. Syftet med Fasit var från början att skapa ett simuleringsverktyg för regeringens reformarbete, men modellen används av flera offentliga och privata aktörer för andra syften. Det finns ett betydande behov i samhället av en mikrosimuleringsmodell som Fasit. ger värdefull kunskap och information om komplexa förhållanden beträffande effekterna av ändringar i befintliga regelsystem. den mängd personuppgifter som finns i Fasit, och i det urval av Fasit som ska vara möjligt att lämna ut, finns anledning att tydliggöra för vilka ändamål modellen får användas och avgränsa vilka personuppgifter som Ett sådant regelverk bör vara utformat på så sätt att det ger stöd för behandlingen av personuppgifter i de databaser som ingår i Fasit, som det tillgodoser skyddet för den enskildes personliga Det kan konstateras att lagen om den officiella statistiken bara gäller för statistikansvariga myndigheter, som Fasit även används av myndigheter som inte är statistikansvariga myndigheter, exempelvis , samt av privata aktörer som intresseorganisationer och arbetstagar- och arbetsgivarorganisationer. I Fasit behandlas också person- uppgifter som inte används för framtagande av den officiella statistiken. Regeringen anser därför, till skillnad från Inspektionen för social- försäkringen, att övervägande skäl talar för att bestämmelser om behand- ling av personuppgifter i Fasit bör regleras i en särskild författning i stället för genom justeringar av gällande lagstiftning om den officiella statistiken. Lagen kommer i kombination med den reglering som styr varje enskild användares verksamhet att utgöra den rättsliga grunden för användarnas behandling av personuppgifter. I Fasit behandlas en stor mängd uppgifter som direkt kan hänföras till enskilda, exempelvis uppgifter om sysselsättning, inkomster, fastighets- innehav och utbetalda socialförsäkringsförmåner. Uppgifterna är även till viss del av känslig karaktär. Vid bedömningen av vad som kan anses utgöra ett betydande intrång enligt 2 kap. 6 § RF bör flera omständigheter vägas in, t.ex. uppgifternas karaktär och omfattning. omständigheter som t.ex. ändamålet med behandlingen av uppgifterna och omfattningen av utlämnandet av uppgifter till andra som sker utan omedel- bart stöd av offentlighetsprincipen kan vara av betydelse vid bedöm- Behandlingen i Fasit hos SCB sker med uppgift om identitet. behandling kan sägas innebära en kartläggning av enskilda även om ändamålet med behandlingen är ett annat. inte i syfte att vidta åtgärder mot enskilda och materialet lämnas ut till andra i anonymiserad form. Vid en sammanvägd bedömning av upp- gifternas karaktär och omfattning samt syftet med behandlingen bedömer regeringen att behandlingen inte är av sådan beskaffenhet att den får anses innefatta ett betydande intrång i enskildas personliga integritet. av Fasit som görs tillgängligt för andra än SCB saknas uppgift om Denna behandling av personuppgifter bedöms därför inte heller utgöra ett sådant betydande intrång i enskildas personliga integritet som avses i 2 kap. 6 § RF. Regeringen bedömer sammantaget utifrån de skäl som redogjorts ovan att regleringen av Fasit bör samlas i en särskild lag, fortsättningsvis En sådan särskild reglering bidrar till en ökad tydlighet kring vad som ska gälla för den personuppgiftsbehandling som sker vid utvecklingen och användningen av Fasit. Lagens tillämpningsområde för myndigheter Enligt artikel 6.2 i EU:s dataskyddsförordning får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen med hänsyn till behandling för att efterleva artikelns punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX. De rättsliga grunderna för behandlingen enligt artikel 6.1 c och e ska enligt artikel 6.3 i dataskyddsförordningen vara fastställda i enlighet med unionsrätten eller den nationella rätten. Den verksamhet som en statlig eller myndighet bedriver är av allmänt intresse. De åtgärder som myndigheterna vidtar i syfte att utföra sina uppdrag eller åligganden har också genom författning och regeringsbeslut en legal grund, som har offentliggjorts genom tydliga, precisa och förutsebara regler (jfr prop. 2017/18:105 s. 56 f.). Till skillnad från Datainspektionen anser regeringen således att myndigheter som utgångspunkt utför uppgifter av allmänt intresse som har fastställts i rättsordningen enligt artikel 6.1 e i dataskyddsförordningen. I vissa fall kan det för myndigheter också vara fråga om fullgörande av en fastställd rättslig förpliktelse enligt artikel 6.1 c. Som exempel på en myndighet som kan använda Fasits urval med stöd av den senare grunden kan nämnas , som enligt 2 § förordning (2009:1174) med instruktion för har till uppgift att bl.a. följa, analysera och förmedla socialförsäkringssystemets utveckling och effekter för enskilda och samhälle inom sitt verksamhetsområde. Ytterligare ett exempel är , som bl.a. ska följa och analysera den ekonomiska utvecklingen inom och utom landet samt i anslutning till detta göra prognoser för den svenska ekonomin (1 § förordningen [2007:759] med instruktion för ). Av det som framgår av dessa myndigheters instruktioner följer även att myndigheterna fullgör sådana uppgifter av allmänt intresse som motiverar en användning av Fasit. Begreppet myndighet används enligt förarbetena till regeringsformen för att beteckna organ som utövar offentlig makt och som är organiserade i offentligrättsliga former (prop. 1973:90 s. 233). Uttrycket används således i fråga om såväl domstolar som statliga och kommunala förvaltningsmyndigheter. Uttrycket omfattar även regeringen, men inte eller de kommunala beslutande församlingarna. Regeringen har i samband med införandet av dataskyddslagen ansett att denna terminologi bör vara utgångspunkten vid tolkningen av begreppet myndighet i dataskyddsförordningen (prop. 2017/18:105 s. 46). Vid tillämpningen av Fasitlagen bör begreppet myndighet förstås på detta sätt. Lagens tillämpningsområde för andra än myndigheter används Fasits urval även av andra än myndigheter. Det rör sig exempelvis om forskare, SKL, centrala arbetstagar- och arbetsgivarorganisationer och andra intresseorganisationer. 2018/19:118 dessa enskilda användare generellt sett inte kunna använda sig av grunderna rättslig förpliktelse eller uppgift av allmänt intresse, eftersom de inte utför sådana uppgifter som fastställts i rättsordningen på det sätt som krävs. Dessa användares behandling måste enligt promemorian därför ha stöd i artikel 6.1 f i dataskyddsförordningen (intresseavvägning) för behandlingen av personuppgifter i Fasits urval. Enligt skäl 10 till EU:s dataskyddsförordning bör nivån på skyddet av fysiska personers rättigheter och friheter vid behandling av personuppgifter vara likvärdig i alla medlemsstater. En konsekvent och enhetlig tillämpning av bestämmelserna bör säkerställas i hela unionen. I samma skäl anges dock att vid behandling av personuppgifter för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den personuppgiftsansvarige, bör medlemsstaterna tillåtas att behålla eller införa nationella bestämmelser för att närmare fastställa hur bestämmelserna i förordningen ska tillämpas. Möjligheterna för medlemsstaterna att införa sådana bestämmelser har kommit till specifikt uttryck i bl.a. artikel 6.2 och 6.3 i dataskyddsförordningen. Motsvarande befogenhet att införa specifika nationella bestämmelser saknas när det gäller övriga grunder för behandling i artikel 6 i förordningen. Det är således, som Datainspektionen påpekar, inte möjligt att med stöd av artikel 6.2 eller 6.3 reglera behandlingen av personuppgifter när behandlingen stödjer sig på andra grunder än de i artikel 6.1 c eller e. Det är mot denna bakgrund inte möjligt att reglera behandlingen av personuppgifter hos privata aktörer i nationell lagstiftning om den sker på grundval av den rättsliga grund som föreslås i promemorian. Till skillnad från Datainspektionen bedömer regeringen vidare att det inte finns underlag för att i detta lagstiftningsärende fastställa en rättslig grund, allmänt intresse, i den tänkta regleringen för de enskilda användarna av Fasit. Den föreslagna lagen bör därför endast omfatta SCB:s behandling av personuppgifter i Fasit och myndigheters behandling av personuppgifter i det urval som lämnas ut. Den föreslagna regleringen kommer således inte att omfatta personuppgiftsbehandlingen hos privata aktörer. Regeringen anser dock att det är av vikt att det utreds under vilka förutsättningar det är möjligt att närmare reglera utlämnandet av personuppgifter till dessa aktörer och deras behandling av uppgifterna. är det angeläget att regleringen av myndigheternas användning av Fasit kan införas . Regeringen har därför gett SCB i uppdrag att utreda under vilka förutsättningar det är möjligt att reglera utlämnandet av särskilda urval av personuppgifter i Fasit till andra än myndigheter och förutsättningarna för behandlingen av personuppgifterna hos mottagarna. Om SCB bedömer att en författningsreglering är möjlig ska myndigheten lämna förslag på hur denna bör utformas. Myndigheten ska även utreda och lämna förslag till åtgärder som syftar till att utveckla den del av myndighetens uppdragsverksamhet som innefattar en användning av Fasit. Regeringens förslag: ska ha ett utpekat personuppgiftsansvar för myndighetens behandling av personuppgifter i Fasit. Myndigheter som urvalet har lämnats ut till ska ha ett utpekat personuppgiftsansvar för den behandling av personuppgifter som myndigheterna utför. Promemorians förslag överensstämmer delvis med regeringens. I promemorian görs bedömningen att en reglering av personuppgiftsansvaret hos användarna av Fasit inte är nödvändig. Remissinstanserna: Ingen remissinstans har särskilt kommenterat förslaget. Skälen för regeringens förslag: Begreppet personuppgiftsansvarig är centralt i EU:s dataskyddsförordning. I artikel 4 i förordningen definieras begreppet som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålet och medlen för behandlingen av personuppgifterna. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller nationell rätt kan det i unionsrätten eller i medlemsstaternas nationella rätt föreskrivas vem som ska vara personuppgiftsansvarig. Dataskyddsförordningen ger alltså utrymme för en nationell reglering av personuppgiftsansvaret. Personuppgiftsansvaret innebär i korthet ett skadestånds- och avgiftssanktionerat ansvar för att dataskyddsförordningens bestämmelser uppfylls. Det innebär t.ex. ett ansvar för att se till att behandlingen av personuppgifter inte sker i strid med de principer som gäller för behandling av personuppgifter, att det finns ett lagligt stöd för behandlingen, att behandlingen inte sker i större utsträckning än vad som är nödvändigt med hänsyn till det lagliga stöd som gäller för behandlingen och att de registrerades rättigheter uppfylls. Utöver dessa skyldigheter innehåller förordningen ett särskilt kapitel som reglerar en rad mer specifika skyldigheter som åligger den ansvarige. Det är SCB som ska samla in och i övrigt behandla de uppgifter som behövs i Fasit och de databaser som ligger till grund för den del av modellen som görs tillgänglig för användare. Myndigheten ska också ansvara för att förvalta och utveckla Fasit. Det bör därför uttryckligen framgå av den nya lagen att ansvaret för behandlingen av personuppgifterna i Fasit ligger hos myndigheten. I enlighet med dataskyddsförordningen är den myndighet som använder Fasits urval personuppgiftsansvarig för behandlingen av personuppgifterna efter att de har lämnats ut. Detta bör för tydlighets skull anges i lagen. 2018/19:118 8.3 Regeringens förslag: Uppgifterna i Fasit och i det urval som lämnas ut till användare ska få behandlas för simulering och beräkning av effekter av befintliga och nya regelverk samt andra förändringar inom skatte-, avgifts- och bidragssystemen och av de offentliga välfärdstjänsterna, samt för att ta fram statistik för analys av information inom dessa områden. ska även ha rätt att utföra sådan behandling av personuppgifter som är nödvändig för att myndigheten ska kunna förvalta och utveckla Fasit. En generell förutsättning för att få behandla personuppgifter i Fasit och i utlämnade urval ska vara att personuppgiftsbehandling endast får ske om det är nödvändigt för att uppnå ändamålen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser utom instämmer i promemorians förslag eller har inga synpunkter på det. påtalar att huvuddelen av de uppgifter som finns i myndighetens register rör hälsa och att det kommer vara svårt att bedöma SCB:s behov utifrån den föreslagna regleringen. Enligt bör det finnas en uppräkning av vilka typer av uppgifter som får behandlas i Fasit. Skälen för regeringens förslag Tillåtna ändamål för behandlingen Den omständigheten att behandlingen av personuppgifter har stöd i artikel 6.1i EU:s dataskyddsförordning, dvs. att den har en rättslig grund, innebär inte att vilka uppgifter som helst kan behandlas eller att de kan behandlas på valfritt sätt. Den personuppgiftsansvarige måste även uppfylla kraven i övriga bestämmelser i förordningen, t.ex. de allmänna principerna i artikel 5. Ett av kraven som följer av artikel 5.1 är att personuppgifter endast ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Dataskyddsförordningen ställer inte några absoluta krav på att särskilda ändamål ska vara fastställda i en författning, men det finns heller inget som hindrar att detta görs, förutsatt att bestämmelserna uppfyller ett mål av allmänt intresse och är proportionella mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Det måste således alltid göras en avvägning mellan å ena sidan behovet av att uppgiften kan utföras på ett effektivt och rättssäkert sätt och å andra sidan den enskildes rätt till skydd för sina personuppgifter. Ändamålsbestämmelser är en typ av sådana specifika bestämmelser som i enlighet med artikel 6.2 och 6.3 i dataskyddsförordningen anpassar tillämpningen av förordningen och säkerställer en laglig och rättvis behandling. Syftet med ändamålsbestämmelserna är att ange en yttersta ram inom vilken personuppgiftsbehandlingen får ske. En reglering av tillåtna ändamål bör även införas i Fasitlagen. På detta sätt säkerställs en tydlig, laglig och rättvis behandling. En ändamålsspecificering torde även underlätta den utlämnandeprövning som SCB ska göra i samband med att Fasit lämnas ut till användare enligt lagen. Syftet med Fasit har i huvudsak varit att tillgodose behovet av att ta fram statistik och genomföra simuleringar för att utvärdera effekterna av befintliga och föreslagna regelsystem inom området inkomster och transfereringar. Fasit används också av för undersökningar om bl.a. fördelningseffekter av de offentliga välfärdssystemen. Offentliga välfärdstjänster avser välfärdssubventioner och förekommer framför allt inom områdena hälso- och sjukvård, utbildning och socialt skydd. För dessa behöver olika sammanställningar och analyser kunna göras för att på bästa sätt tillgodose exempelvis behovet av kunskap i samband med regelgivning. I Fasitlagen bör mot denna bakgrund anges att uppgifterna ska få behandlas för simulering och beräkning av effekter av befintliga och nya regelverk samt andra förändringar inom skatte-, avgifts- och bidragssystemen och för analyser av de offentliga välfärdstjänsterna. I detta ingår både att samla in och tillhandahålla uppgifter för ändamålet. De uppgifter som finns i Fasit används även utan modellprogrammen för simulering för att göra särskilt anpassade statistikuttag för analyser inom skatte-, avgifts- och bidragsområdet och av de offentliga välfärdstjänsterna. När Fasit nämns avses vanligtvis den simulering som görs genom att nyttja de två delar som modellen består av, dvs. mikrodata och modellprogrammen. För att tydliggöra att uppgifterna i Fasit får användas även för att ta fram särskilt anpassade statistikuttag bör det som ett särskilt ändamål anges att uppgifterna i Fasit får användas för framställning av statistik för analyser inom skatte-, avgifts- och bidragssystemen och av de offentliga välfärdstjänsterna. Med detta avses både framställning och tillhandahållande av statistik. De ändamålsbestämmelser som i enlighet med vad som ovan anförts föreslås i Fasitlagen ska innehålla en uttömmande uppräkning av de ändamål för vilka personuppgiftsbehandlingen får ske. För att SCB ska kunna fullgöra skyldigheten att förvalta och utveckla Fasit krävs en mer långtgående möjlighet för myndigheten än för övriga användare att hantera personuppgifter. För att skapa Fasits basår samt för att förvalta och utveckla modellen behöver SCB behandla och ha tillgång till uppgifter om totalbefolkningen med angivande av identitet. Tillgång till uppgifter av detta slag är också en förutsättning för att SCB ska kunna ta fram ett relevant och väl avvägt urval som kan lämnas ut till Fasits användare, dvs. , , och andra myndigheter under regeringen. Det är fråga om en stor mängd uppgifter om ett mycket stort antal identifierbara personer och deras hushåll, t.ex. uppgifter om hushållens inkomster, studieskulder, förmögenhet, boendekostnader, pensioner, sysselsättning samt uppgifter om utbetald föräldrapenning, underhållsstöd, sjukpenning, sjuk- och aktivitetsersättning, ekonomiskt bistånd och olika former av bidrag. Omfattningen av datamängden bestämmer kvaliteten på den analys som kan göras i Fasit. Detta gäller såväl storleken på populationen som antalet uppgifter inom området. För att modellen ska fungera optimalt bör det även i fortsättningen vara möjligt för SCB att behandla denna typ av uppgifter och andra 2018/19:118 tillkommande uppgifter. Stödet för en sådan behandling av personuppgifter bör regleras särskilt.