prop · H60347 · 2019-02-26 00:00:00 — För att behandling av personuppgifter ska vara laglig krävs att åtminstone ett av villkoren i artikel 6.1 a–f är uppfyllda: a)den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål, 2018/19:47 b) behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås, c)behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, d)behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person, e)behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning, eller f)behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn. Villkoret i artikel 6.1 f är inte tillämpligt vid behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter. I normalfallet torde svenska myndigheters uppdrag i första hand utgöra en rättslig grund för behandling av personuppgifter med stöd av artikel 6.1e EU:s dataskyddsförordning, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse (prop. 2017/18:105 s. 53 f.). Den grund för behandlingen som avses i artikel 6.1 c och e ska enligt artikel 6.3 fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt e, vara nödvändig för att utgöra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 ska vara tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. Principerna för behandling av personuppgifter, dvs. vilka allmänna krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1.Bland annat uppställs krav på att uppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Med särskilda kategorier av personuppgifter (känsliga personuppgifter) avses enligt artikel 9 i EU:s dataskyddsförordning behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysiskt persons sexualliv eller sexuella läggning. Enligt regleringen är behandling av känsliga personuppgifter förbjuden om inte något av de undantag som anges i artikel 9.2 är tillämpliga. Förbudet ska enligt artikel 9.2 inte tillämpas om någon av de situationer som beskrivs i punkterna a–j föreligger, t.ex. om den registrerade lämnat sitt samtycke till behandlingen av personuppgifter för vissa specifika ändamål eller att behandlingen är nödvändig för olika ändamål som anges i punkterna. För att vissa av undantagen ska vara tillämpliga krävs dock att grunden för sådana behandlingar på olika sätt kommer till uttryck i unionsrätten eller i na- Prop. 2018/19:47 tionell rätt. 7.2Personuppgiftsbehandling av uppdragstagare vid servicekontoren Regeringens bedömning: Den rättsliga grunden för behandling av personuppgifter som utförs av uppdragstagare vid servicekontoren kommer fortfarande att finnas i lag, förordning och beslut för respektive myndighet för vars räkning förvaltningsuppgifter utförs. Någon ytterligare reglering är därmed inte nödvändig för den behandling av personuppgifter som kommer att ske vid servicekontoren. Någon direktåtkomst till uppgifter i automatiserade register hos de myndigheter åt vilka service tillhandahålls på servicekontoren behöver inte ges till Statens servicecenter. Utredningens bedömning och förslag: Överensstämmer delvis med regeringens bedömning. Utredningen har bedömt att frågor om behandling av personuppgifter är en uppgift för myndigheterna att hantera och att någon särskild författningsreglering inte är nödvändig. Utredningen har dock föreslagit att Statens servicecenter ska medges direktåtkomst till vissa uppgifter i flera automatiserade register hos de myndigheter åt vilka service tillhandhålls, om uppgifterna behövs vid tillhandahållandet av servicen. Remissinstanserna: Majoriteten av remissinstanserna yttrar sig inte i frågan om behandling av personuppgifter eller direktåtkomst. De fåtal remissinstanser som särskilt yttrat sig menar att utredningen inte har utrett frågan tillräckligt. Datainspektionen saknar en analys av de rättsliga grunderna för behandlingen av personuppgifter och av lagstiftningen utifrån EU:s dataskyddsförordning. Myndigheten pekar bl.a. på att frågor om rättslig grund, personuppgiftsansvarets placering, behandling av känsliga personuppgifter och skyddsåtgärder inte behandlats. Vidare anser myndigheten att utredningen inte har motiverat varför direktåtkomst är nödvändigt och framhåller att det inte är förenligt med EU:s dataskyddsförordning att föreskriva om direktåtkomst ”för säkerhets skull”. Även anser att det saknas en genomgående analys av förslagens förenlighet med dataskyddsförordningen, framför allt de förslag som avser Statens servicecenters personuppgiftsbehandling, och att dessa frågor måste hanteras innan Statens servicecenter inleder sin verksamhet vid servicekontoren. Statens servicecenter ser inte något behov av regler om direktåtkomst. Eftersom särskilda uppdragsavtal krävs för varje handläggare som har åtkomst till personuppgifter sker enligt Statens servicecenter aldrig något tillhandahållande av personuppgifter till myndigheten. På ser dock myndigheten positivt på att en översyn av bl.a. behovet av regler om direktåtkomst görs. i har vissa reservationer mot att enskilda handläggare ska kunna få tillgång till samtliga samverkande myndigheters register. Myndigheten påpekar att det ställer stora krav på den enskilde handläggarens förmåga och kunskap, både när det gäller att hålla isär de olika uppgifterna och att utföra sekretess- anser att det bör utredas i vilken utsträckning som servicehandläggarna kan möta besökarnas behov utan tillgång till myndighetens verksamhetssystem. Myndigheten ser en ökad risk i att felaktig information lämnas om fler myndigheter skulle ingå i serviceverksamheten och servicehandläggarna förväntas ha kompetens avseende alla verksamhetssystem. kommun tillstyrker förslaget om direktåtkomst och menar att verksamheten inte kan tillgodose behoven om det inte finns en direktåtkomst mellan Statens servicecenter och berörda myndigheter. Även anser att förslaget om direktåtkomst är rimligt utifrån givna förhållanden. Datainspektionen, som under beredningen av lagrådsremissen beretts tillfälle att inkomma med synpunkter avseende frågorna om personuppgiftsbehandling, har bl.a. anfört att det är positivt att personuppgiftsansvaret klargjorts i lagrådsremissen. Myndigheten noterar dock att handläggarna vid servicekontoren kommer att ställas inför komplicerade frågeställningar i fråga om dataskydd och att det därför är viktigt att de berörda myndigheterna tar fram tydliga instruktioner för servicehandläggarna och att varje aktör gör verkningsfulla behörighetskontroller. De registrerade ska också ges tydlig information om hur ansvaret är utformat och vart de kan vända sig för att tillvarata sina rättigheter. Även har beretts tillfälle att inkomma med synpunkter, varvid myndigheten lyft frågan om hur respektive myndighet ska kunna utöva granskning och kontroll över den personuppgiftsbehandling som sker på servicekontoren. Skälen för regeringens bedömning Som framgått av tidigare avsnitt ska Statens servicecenter fortsättningsvis bedriva verksamheten vid servicekontoren. I enlighet med vad som anförts i avsnitt 5.1 bör dock nuvarande ordning, där respektive myndighet har det rättsliga ansvaret för sin ärendehantering, kvarstå. Avsikten med reformen är således inte att en myndighets förvaltningsuppgifter till viss del ska kunna utföras av en annan myndighet i dess egna namn. Enligt nuvarande ordning har servicehandläggarna på servicekontoren tillgång till flera automatiserade system med personuppgifter som hör till , och . Genom uppdragsavtal knyts en servicehandläggare som är anställd på exempelvis till och får på så sätt behörighet till även de sistnämnda myndigheternas register. Enligt den nu föreslagna ordningen kommer servicehandläggarna att vara anställda av Statens servicecenter, men den myndighet som ansvarar för förvaltningsuppgifterna kommer även fortsättningsvis ingå ett särskilt uppdragsavtal med servicehandläggarna. Den enda skillnaden är att Statens servicecenter inte, så som de samverkande myndigheterna , kommer att bedriva någon egen verksamhet vid kontoren. De anställda vid servicecenter kommer således att behandla personuppgifter på grundval av sina uppdragsavtal, och de anslutna myndigheterna kommer därmed att vara personuppgiftsansvariga för den personuppgiftsbehandling som sker. Det bör även framhållas att behandlingen av personuppgifter, så länge inte fler myndigheter ansluts, inte kommer att bli mer omfattande än vad den är . Den risk för att felaktig information förmedlas, som identifierat, får övervägas om det skulle bli aktuellt att ansluta fler myndigheter. Handläggarna kommer inte heller, som i befarar, att ges tillgång till de anslutna myndigheternas samtliga verksamhetsregister, utan endast de som behövs för att utföra den service som tillhandahålls på servicekontoren. Som och Datainspektionen framhåller kan, liksom , handläggares avvägningar i sekretess- och personuppgiftsfrågor bli komplicerade. Det är därför angeläget att en hög kompetens kan upprätthållas hos handläggarna och att de anslutande myndigheterna tar fram tydliga instruktioner om behandlingen av personuppgifter. Det är även, som Datainspektionen och anför, viktigt att kontroller genomförs av behandlingen av personuppgifter på servicekontoren. Hur dessa kontroller utförs är dock en fråga för berörda myndigheter att hantera. Mot denna bakgrund bedömer regeringen att behandlingen av personuppgifter vid servicekontoren inte kommer att förändras när Statens servicecenter tar över driften av verksamheten. Den rättsliga regleringen för behandling av personuppgifter kommer således alltjämt att finnas i EU:s dataskyddsförordning och de övriga författningar på personuppgiftsområdet som gäller för respektive myndighet. Frågor om rättslig grund, rätten att behandla känsliga personuppgifter, skyddsåtgärder m.m. regleras genom lag, förordning eller beslut som berör de aktuella myndigheterna. För finns bestämmelser om personuppgiftsbehandling i lagen (1998:527) om det statliga personadressregistret och förordningen (1998:1234) om det statliga personadressregistret, lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet och förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet och förordningen (2001:589) om behandling av personuppgifter i folkbokföringsverksamhet, lagen (2015:898) om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter och förordningen (2015:905) om behandling av personuppgifter i äktenskapsregister- och bouppteckningsverksamheter samt lagen (2015:899) om identitetskort för folkbokförda i och förordningen (2015:904) om identitetskort för folkbokförda i . För och finns bestämmelser i 114 kap. socialförsäkringsbalken, lagen (2001:99) om den officiella statistiken med tillhörande förordningar, förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration och i föreskrifter (RFFS 2004:1) om behandling av personuppgifter inom socialförsäkringens administration Det är viktigt att det inte råder några oklarheter kring vilken myndighet som har personuppgiftsansvaret. Ansvaret för den behandling av personuppgifter som kommer att ske av uppdragstagarna på grundval av uppdragsavtalen vid servicekontoren kommer åvila respektive myndighet. Det är således , och som kommer att ansvara för denna behandling. Regeringen bedömer inte att 2018/19:47 Statens servicecenter i dessa fall kommer att behandla personuppgifter för , och räkning. Vid en eventuell behandling för Statens servicecenters räkning ligger dock personuppgiftsansvaret på denna myndighet (se vidare avsnitt 7.3). Vid bristande regelefterlevnad eller frågor om hanteringen av personuppgifter bör den enskilde vända sig till respektive myndighet. Statens servicecenter bör dock, såsom Datainspektionen påpekar, kunna lämna tydlig information till enskilda om hur personuppgiftsansvaret är fördelat och vart den enskilde kan vända sig för att tillvarata sina rättigheter. Regler om direktåtkomst behövs inte Utredningen har föreslagit att bestämmelser om direktåtkomst ska införas avseende personuppgifter i vissa register som handläggare vid servicekontoren kommer att behöva ha tillgång till. Utredningen anser dock att en reglering om direktåtkomst eventuellt inte behövs, eftersom tillgången till uppgifter, på det sätt som sker , kan grundas på respektive myndighets uppdragsavtal med servicehandläggarna. Utredningen är dock inte helt säker på att det är en rättsligt hållbar lösning. Det kan konstateras att servicehandläggarna, i likhet med , kommer att ingå uppdragsavtal med de myndigheter för vars räkning de kommer att utföra förvaltningsuppgifter som innefattar tillgång till personuppgifter. Detta är en ordning som fungerat väl och som inte blivit ifrågasatt. Mot denna bakgrund bedömer regeringen, i likhet med Statens servicecenter, men till skillnad från kommun, att det inte är nödvändigt att införa regler om direktåtkomst. 7.3Personuppgiftsbehandlingen vid Statens servicecenter Regeringens bedömning: EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning utgör tillräcklig reglering för den personuppgiftsbehandling som kan komma att ske vid Statens servicecenter. Det behöver således inte införas någon ytterligare reglering om denna behandling. Utredningens bedömning: Utredningen har inte redovisat någon bedömning av behovet av en särskild reglering av personuppgiftsbehandlingen vid Statens servicecenter Remissinstanserna: Remissinstanserna har inte yttrat sig i denna fråga. Skälen för regeringens bedömning Kommer Statens servicecenter behandla personuppgifter? Som anförts i avsnitt 6.1 kan handlingar som lämnas in hos Statens servicecenter anses inkomna både hos Statens servicecenter och respektive myndighet, och förvaras hos Statens servicecenter för att sedan sändas vidare till respektive myndighets inläsningscentral. med vad som anförts i avsnitt 6.3 kan handlingar som inkommit till Statens servicecenter behöva registreras av myndigheten. Frågan är då om Statens servicecenter kommer att behandla personuppgifter enligt EU:s dataskyddsförordning genom att förvara handlingarna och föra någon form av register för dessa handlingar, alternativt hålla handlingarna ordnade. Som nämnts i avsnitt 7.1 avses med behandling av personuppgifter enligt artikel 4.2 i EU:s dataskyddsförordning en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstörning. Enligt artikel 2.1 ska förordningen tillämpas på sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. I skäl 15 till förordningen anges vidare att skyddet för fysiska personer bör vara tillämpligt på både automatiserad och behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Mot denna bakgrund bedömer regeringen att det inte går att utesluta att Statens servicecenter kommer att utföra sådan personuppgiftsbehandling som omfattas av dataskyddsförordningen. Som anförts i avsnitt 7.1 definieras begreppet personuppgiftsansvarig i EU:s dataskyddsförordning som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Som ovan anförts bedömer regeringen att det inte går att utesluta att Statens servicecenter kommer att utföra sådan personuppgiftsbehandling som omfattas av dataskyddsförordningen. Myndigheten blir i sådant fall personuppgiftsansvarig för denna behandling. En myndighet måste i enlighet med vad som ovan anförts kunna stödja sin behandling av personuppgifter på någon av de grunder som anges i artikel 6.1a–e. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den också vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden. I normalfallet torde myndigheternas uppdrag, som anförts i avsnitt 7.1, i första hand utgöra en rättslig grund för behandling av personuppgifter med stöd av artikel 6.1 e i EU:s dataskyddsförordning, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse (prop. 2017/18:105 s. 53 f.). Enligt artikel 6.1 c i förordningen kan behandlingen av personuppgifter även vara laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt artikel 6.3 i förordningen ska vidare den grund för behandlingen som avses i artikel 6.1 c och e vara fastställd i unionsrätten eller medlemsstaternas nationella rätt. I 2 kap. 1 och 2 §§ dataskyddslagen föreskrivs under vilka förutsättningar artikel 6.1 c och e i dataskyddsförordningen tillämpas. När det gäller den personuppgiftsbehandling som kan komma att ske hos Statens servicecenter kommer den rättsliga grunden för behandlingen fastställas i dels lagen om gemensam service, dels den reglering som kommer att införas i förordningen (2012:208) med instruktion för Statens servicecenter. Regeringen anser vidare att kraven på proportionalitet och legitimitet i artikel 6.3 i dataskyddsförordningen är uppfyllt i detta fall. Som angetts i avsnitt 7.1 är det enligt artikel 9.1 i EU:s dataskyddsförordning förbjudet att behandla känsliga personuppgifter. Förbudet ska dock inte tillämpas i vissa fall som närmare regleras i artikel 9.2 i förordningen. Exempelvis anges i artikel att undantag från förbudet att behandla känsliga personuppgifter gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av medlemsstaternas nationella rätt. Vidare framgår att den nationella rätten ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. För att en behandling av känsliga personuppgifter ska vara tillåten för ett viktigt allmänt intresse krävs vidare enligt artikel 9.2 att unionsrätten eller den nationella rätten innehåller bestämmelser om lämpliga och särskilda skyddsåtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. I skäl 10 till dataskyddsförordningen anges att förordningen är avsedd att ge medlemsstaterna handlingsutrymme att specificera bestämmelser för behandling av känsliga personuppgifter samt att förordningen inte utesluter att det fastställs närmare omständigheter och mer exakta villkor för laglig behandling av personuppgifter. I skäl 52 nämns att vissa undantag från förbudet att behandla känsliga personuppgifter bör tillåtas om de föreskrivs i unionsrätten eller i medlemsstaternas nationella rätt och underkastas lämpliga skyddsåtgärder. Enligt 3 kap. 3 § dataskyddslagen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel i dataskyddsförordningen om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende, eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Bestämmelsen om att känsliga personuppgifter får behandlas av en myndighet om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag klargör att det är tillåtet för myndigheter att utföra sådan behandling av känsliga personuppgifter som krävs i myndigheternas verksamhet som en direkt följd av framför allt OSL:s och förvaltningslagens bestämmelser om hur allmänna handlingar ska hanteras, exempelvis dessa lagars krav på diarieföring och skyldighet att ta emot e- Behandling av känsliga personuppgifter med stöd av denna punkt får Prop. 2018/19:47 bara ske om uppgifterna har lämnats till myndigheten. alltså antingen finnas i handlingar som definieras som inkomna enligt 2 kap. 9 § TF eller lämnas till myndigheten på annat sätt, t.ex. muntligen. Vidare ska själva behandlingen av uppgifterna utgöra ett krav enligt lag (se prop. 2017/18:105 s. 194). Den behandling av känsliga personuppgifter som kan komma att ske i Statens servicecenter bedöms kunna ske med stöd av den angivna bestämmelsen i dataskyddslagen. Någon särskild reglering om detta behöver därför inte införas i den föreslagna lagen. Regeringens förslag: Den nya lagen om gemensam offentlig service och ändringen i offentlighets- och sekretesslagen ska träda i kraft , då lagen om samtjänst vid medborgarkontor ska upphöra att gälla. Den upphävda lagen ska dock fortfarande gälla för samtjänstavtal som ingåtts före ikraftträdandet. Utredningens bedömning: Överensstämmer inte med regeringens förslag. Utredningen utgick i betänkandet från att Statens servicecenter skulle kunna ta över driften av servicekontoren , men lämnade inte något förslag till ikraftträdande för den nya regleringen. Utredningen redovisade inte heller någon bedömning eller förslag avseende behovet av övergångsbestämmelser. Remissinstanserna: Remissinstanserna har inte yttrat sig om den nya regleringen bör träda ikraft eller behovet av övergångsbestämmelser. Skälen för regeringens förslag I budgetpropositionen uttalade regeringen att den statliga lokala service som bedrivs vid servicekontor i samverkan mellan , och fr.o.m. skulle samlas i en sammanhållen organisation som Statens servicecenter ska ansvara för. I utredningens slutbetänkande var därför utgångspunkten att eventuella lagändringar skulle träda i kraft . Regeringen har därefter, som redovisats i avsnitt 4.3.1, i budgetpropositionen anfört att reformen senarelagts till och föreslagit att medel anvisas för detta.