prop · H603151 · 2019-06-25 00:00:00 — Personuppgifter som är lättillgängliga för en vidare krets personer innebär en ökad risk för att uppgifterna kommer att användas på ett otillbörligt och inte avsett sätt. Därför är utgångspunkten att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. I detta sammanhang saknas i princip betydelse hur många som i praktiken faktiskt tar del av personuppgifterna. Som Datainspektionen anger innebär förslaget att vissa av de skyddsåtgärder som utredningen föreslår, såsom att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter, inte medför någon högre skyddsnivå än vad som följer direkt av dataskyddsförordningen. Trots det finns ett värde i en uttrycklig bestämmelse i lagen om att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter även om innebörden kan anses följa direkt av dataskyddsförordningen. Motsvarande bestämmelser finns också i andra registerlagar på arbetsmarknadsområdet och enhetlighet i regelverken talar för att en sådan bestämmelse även bör införas i den särskilda lagen för Myndigheten för arbetsmiljökunskap. 5.13Det ska inte finnas några begränsningar av tillåtna sökbegrepp Regeringens bedömning: Lagen ska inte innehålla några begränsningar av tillåtna sökbegrepp. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på bedömningen. Skälen för regeringens bedömning Dataskyddsförordningen och sökningar i personuppgifter Dataskyddsförordningen saknar bestämmelser om sökning eller användning av sökbegrepp. Sökning och sammanställning av uppgifter som sker elektroniskt är dock sådan behandling av personuppgifter som omfattas av dataskyddsförordningens bestämmelser. På grund av detta måste en sökning uppfylla de krav som ställs vid behandling av personuppgifter, bl.a. när det gäller att personuppgifterna enligt artikel 5.1 c ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). Riskerna med sök- och sammanställningsteknik I en databas eller annan textmassa, t.ex. sådana samlingar av personuppgifter som Myndigheten för arbetsmiljökunskap i denna proposition föreslås få ha, som har lagrats på ett medium för automatiserad behandling, är det möjligt att genom att ange ett s.k. sökbegrepp i en sökmotor söka igenom den lagrade informationen och hitta de poster där begreppet förekommer. På detta sätt är det möjligt att snabbt göra en sammanställning av personuppgifter i en databas och skapa statistik. Statistiken i sig innehåller inte personuppgifter, men för att skapa den är behandlingen av personuppgifter nödvändig. Något generellt förbud mot sökning i en databas är dock normalt sett inte motiverat. Ofta kan en sökmotor vara ett värdefullt redskap i myndighetens verksamhet, utan att det för den sakens skull måste innebära risker för den personliga integriteten. De integritetsrisker som följer med användningen av ny informationsteknik är nära kopplade till informationsteknikens egenskaper att söka och sammanställa stora mängder av uppgifter. Sök- och sammanställningsmöjligheter kan medföra att uppgifter lättare kan knytas till en fysisk person. De kan även medföra att personuppgifter som annars uppfattas som relativt harmlösa får en mer integritetskänslig karaktär, t.ex. genom omfattande registrering. Det ska inte införas någon begränsning av sökbegrepp Vid bedömningen av vilka sökbegrepp som bör vara tillåtna måste en avvägning göras mellan intresset av effektivitet i en myndighets verksamhet och risken för integritetsintrång. Regler om begränsning av tillåtna sökbegrepp bör således ta sikte direkt på sådana typer av sökningar som typiskt sett medför särskilda integritetsrisker. I vissa sådana fall måste integriteten ges företräde framför andra intressen, även om goda skäl i och för sig talar för att en viss typ av sökning eller behandling bör vara tillåten. I Inspektionen för arbetslöshetsförsäkringens och Arbetsförmedlingens lagar som reglerar behandling av personuppgifter är det förbjudet att använda känsliga personuppgifter som sökbegrepp. Värt att notera är dock att dessa myndigheters databaser innehåller personuppgifter om enskilda som behövs för handläggning av de berördas ärenden. Därtill finns i lagarna undantag på så sätt att bl.a. kod för hälsotillstånd får användas som sökbegrepp. politisk utvärdering saknar motsvarande förbud. I förarbetena anges att 2018/19:151 måste ha möjlighet att använda uppgifter som rör hälsa som sökbegrepp, bl.a. för att kunna fullfölja sitt uppdrag vad gäller framställande av statistik och att institutet har ett behov av att leta samband bland många variabler, varför begränsning av variablerna inte är önskvärt, se prop. 2017/18:112 s. 48 och prop. 2011/12:176 s. 48 och 49. Dessa resonemang är relevanta även när det gäller Myndigheten för arbetsmiljökunskap. Utifrån dessa avvägningar gör regeringen bedömningen att det inte bör införas någon begränsning vad gäller sökbegrepp i den nya lagen. Den personliga integriteten bör värnas genom andra typer av begränsningar av personuppgiftsbehandlingen. 5.14Det bör inte införas bestämmelser om gallring Regeringens bedömning: Det bör inte införas några gallringsbestämmelser i lagen. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: saknar ett resonemang om hur utredningens förslag förhåller sig till arkivlagen (1990:782). anför att när det gäller allmänna handlingar och uppgifter ur allmänna handlingar har arkivlagen företräde framför dataskyddsförordningen. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens bedömning: Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). När det gäller tiden för lagring anger artikel 5.1 e att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt dataskyddsförordningen genomförs för att säkerställa den registrerades rättigheter och friheter (lagringsminimering). Principerna om uppgifts- och lagringsminimering gäller om det inte finns särskilda, nationella föreskrifter om lagringstid som har införts enligt artiklarna 6.2 och 6.3 i dataskyddsförordningen. Myndigheters arkiv omfattas av offentlighetsprincipen enligt bestämmelserna i tryckfrihetsförordningen och svenska myndigheter är enligt arkivlagen skyldiga att bevara sina allmänna handlingar. I 3 § arkivlagen föreskrivs att myndigheters arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen samt forskningens behov. Allmänna handlingar får enligt 10 § samma lag endast gallras om återstående arkivmaterial kan tillgodose dessa ändamål, och det krävs särskilda föreskrifter eller ett beslut från en arkivmyndighet för att gallring ska få ske. Inom den statliga förvaltningen är arkivmyndighet. I 1 kap. 7 § dataskyddslagen anges att dataskyddsförordningen inte ska Prop. 2018/19:151 tillämpas i den utsträckning det skulle strida mot tryckfrihetsförordningen Liksom påpekar har alltså handlingsoffentligheten företräde framför dataskyddsförordningen vilket innebär att personuppgifter i allmänna handlingar inte ska gallras enligt bestämmelser i dataskyddsförordningen. I stället gäller arkivlagens regler så länge som det inte har införts särskilda bestämmelser i annan författning om gallring av allmänna handlingar (10 § andra stycket arkivlagen). Det lämnas således utrymme både i arkivlagen och i dataskyddsförordningen för särskilda gallringsbestämmelser. Arkivlagens utgångspunkt är att allmänna handlingar ska bevaras. I de särskilda registerförfattningarna angående behandling av personuppgifter i olika verksamheter är principen dock ofta den motsatta, nämligen att uppgifterna ska gallras senast om inte undantag har föreskrivits i registerförfattningen eller i en bestämmelse meddelad med stöd av denna. Principen att gallring ska ske motiveras i första hand av integritetsskäl. Behovet av särskilda gallringsbestämmelser måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet, jfr prop. 2011/12:176 s. 54. När det gäller Myndigheten för arbetsmiljökunskaps verksamhet får det konstateras att den huvudsakligen är inriktad på kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. Sådan verksamhet där intresset av offentlighet och insyn är starkt, t.ex. myndighetsutövning, utgör endast en mindre del av verksamheten. Detta talar för att integritetsskyddsintresset ska prioriteras. kommer myndigheten i huvudsak att behandla personuppgifter som är pseudonymiserade, dvs. uppgifter som inte kan kopplas till en individ utan att en särskild kodnyckel används. Vidare kommer det att finnas ett behov av att kunna behandla personuppgifter under relativt långa perioder. Detta talar enligt regeringens uppfattning för en mer flexibel ordning som medger en löpande bedömning av vilka uppgifter som behöver bevaras, vilka som behöver raderas och vilka som kan avidentifieras på ett sådant sätt att de inte längre utgör personuppgifter i dataskyddsförordningens mening. Regeringen delar utredningens bedömning att det lämpligaste är att det generella regelverket ska bestämma när gallring ska ske vid Myndigheten för arbetsmiljökunskap. Detta innebär således att dataskyddsförordningens och arkivlagens bestämmelser bör tillämpas i stället för att det införs särskilda gallringsbestämmelser i lagen. 5.15Det saknas behov av överklagandebestämmelser Regeringens bedömning: Det bör inte införas någon överklagandebestämmelse i lagen. Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på 2018/19:151 Skälen för regeringens bedömning: Enligt artikel 79 i dataskyddsförordningen ska en registrerad ha rätt till ett effektivt rättsmedel mot en personuppgiftsansvarig eller ett personuppgiftsbiträde. I 7 kap. 2 § dataskyddslagen finns en bestämmelse som reglerar rätten att överklaga personuppgiftsansvariga myndigheters beslut. Dataskyddslagen gäller inom den föreslagna lagens tillämpningsområde om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till den. Det har inte framkommit behov av att införa särskilda bestämmelser om överklagande i den nya lagen. Inte heller en upplysningsbestämmelse som hänvisar till dataskyddslagen i fråga om överklagande bedöms vara nödvändig eller lämplig. Regeringens förslag: Den nya lagen ska träda i kraft . Utredningens förslag: Utredningen föreslår att lagen ska träda i kraft . Remissinstanserna: i befarar att tiden för ikraftträdandet av föreslagna lagstiftning kan ge negativa återspeglingar för myndighetens verksamhet vid framtida utvärderingar och efterfrågar därför ett tidigare ikraftträdande. Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag: Den föreslagna lagen bedöms föranleda ett visst anpassningsarbete vid Myndigheten för arbetsmiljökunskap. Även andra myndigheter som lämnar ut personuppgifter till myndigheten kan behöva anpassa sig till den nya lagen. är det liksom i påpekar angeläget att lagen träder i kraft . Enligt regeringen är en lämplig tidpunkt för ikraftträdande . En dålig arbetsmiljö kan innebära negativa ekonomiska konsekvenser för såväl staten, organisationer och företag som den enskilda. Om myndigheten ges förutsättningar att ta fram kvalitativa kunskapsunderlag kan det i stället bidra till en bättre kunskap om vad som skapar en god arbetsmiljö. Detta kan i sin tur t.ex. bidra till att förebygga och minska den arbetsrelaterade ohälsan och sjukfrånvaron och ökad produktivitet samt minska tidigt utträde ur arbetslivet. En bättre kunskap om arbetsmiljöns effekter kan även leda till ökad träffsäkerhet i politiska initiativ och reformer samt bidra till att statens resurser används till insatser med dokumenterad effekt. Förslaget ger myndigheten förutsättningar att ta fram ett gott kunskaps- Prop. 2018/19:151 underlag. Dessa förutsättningar gör att myndigheten kan utföra sitt uppdrag på ett effektivt och ändamålsenligt sätt, vilket kommer att bidra till att statens resurser kan användas mer effektivt. Om förslaget inte genomförs kan det leda till att myndigheten behöver lägga mer resurser på insamling av data eftersom myndigheten i så fall skulle behöva samla in data för varje enskilt projekt. Att samla in data för varje enskilt projekt bedöms vara mer kostnadskrävande jämfört med om myndigheten kan förvalta data på myndigheten och återanvända insamlade data till flera olika projekt. 7.2Konsekvenser för jämställdhet mellan kvinnor och män En ökad kunskap om arbetsmiljö bidrar även till att uppnå de jämställdhetspolitiska målen, särskilt delmålet om ekonomisk jämställdhet och jämställd hälsa. Ohälsotalet är högre för kvinnor och det finns kunskapsluckor om arbetsmiljön på kvinnodominerade arbetsplatser och i kvinnodominerade branscher. är män överrepresenterade i statistiken över arbetsrelaterade olyckor och dödsolyckor. Den nya myndigheten kan bidra till att öka kunskapen på detta område. Sådan kunskap kan i sin tur bidra till en bättre arbetsmiljö för både kvinnor och män och till ett mer jämställt arbetsliv. Mot denna bakgrund bedömer regeringen att förslaget kommer att ha positiva effekter ur ett jämställdhetsperspektiv. Förslaget bedöms inte få några konsekvenser för företag eller konkurrensförhållanden, den kommunala självstyrelsen, de integrationspolitiska målen, miljön eller medlemskap i . Förslaget till lag om behandling av personuppgifter vid 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet vid Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förslaget behandlas i avsnitt 5.2. I paragrafen anges lagens tillämpningsområde. Av första stycket framgår att lagen gäller inom Myndigheten för arbetsmiljökunskaps verksamhet med kunskapsuppbyggnad, kunskaps- spridning, utvärdering och analys. spridning innefattar exempelvis kvalitetsgranskning av vetenskapliga artiklar och sammanställning av resultat från olika studier. och analys kan t.ex. innefatta effektutvärderingar av en viss reform på arbetsmiljöområdet eller analyser av utvecklingen inom samma område. Behandling av personuppgifter i övrig verksamhet vid myndigheten, såsom personaladministration, faller utanför lagens tillämpningsområde. I paragrafens andra stycke begränsas tillämpningsområdet till en viss typ av behandling av personuppgifter. uppgifter som inte ingår eller kommer att ingå i ett register faller utanför Bestämmelsen är utformad i nära anslutning till artikel 2.1 i dataskyddsförordningen och bör tolkas på samma sätt som Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- skyddsförordning), här benämnd EU:s dataskyddsförordning. Förslaget behandlas i avsnitt 5.3.1. Paragrafen anger lagens förhållande till dataskyddsförordningen. paragrafen framgår att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen, vilket innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig i alla medlemsstater, vilket innebär att den automatiskt är en del av den svenska rättsordningen. avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att Prop. 2018/19:151 medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Hänvisningarna till dataskyddsförordningen i lagen är dynamiska, dvs. avser förordningen i dess gällande lydelse. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte något annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Förslaget behandlas i avsnitt 5.3.2. Paragrafen upplyser om hur lagen förhåller sig till dataskyddslagen. Bestämmelsens första led klargör att det i dataskyddslagen finns generella nationella bestämmelser om behandling av personuppgifter som kompletterar och preciserar dataskyddsförordningen och som därmed även gäller för myndighetens hantering av personuppgifter inom denna lags tillämpningsområde. Andra ledet anger att dataskyddslagen är subsidiär i förhållande till denna lag. Det innebär att dataskyddslagens bestämmelser endast gäller om inte något annat föreskrivs i lagen eller föreskrifter meddelade i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar gäller dock när personuppgifterna samlas in direkt från den enskilde. Förslaget behandlas i avsnitt 5.4. Paragrafen behandlar rätten att göra invändningar enligt dataskyddsförordningen. Enligt artikel 21.1 i dataskyddsförordningen har den registrerade rätt att när som helst invända mot myndigheters behandling av personuppgifter avseende honom eller henne som grundar sig på sådan behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e och 6.1 andra stycket). Paragrafens första stycke är utformat som ett undantag från artikel 21.1 i dataskyddsförordningen. Undantaget är en sådan begränsning som är tillåten enligt artikel 23 i dataskyddsförordningen. Andra stycket innebär att artikel 21.1 i dataskyddsförordningen om rätten att göra invändningar gäller när uppgifterna samlas in direkt från den enskilde. Medgivande när uppgifter samlas in direkt från den enskilde 5 § Om personuppgifterna samlas in direkt från den enskilde, får de behandlas endast om personen har lämnat sitt uttryckliga medgivande till behandlingen. 2018/19:151 Den registrerade har rätt att när som helst återkalla ett lämnat medgivande. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. Förslaget behandlas i avsnitt 5.5. Paragrafen innehåller bestämmelser om medgivande och återkallelse av medgivande i vissa fall. I första stycket anges att ett uttryckligt medgivande krävs i vissa fall. Kravet på medgivande är en integritetshöjande åtgärd i förhållande till dataskyddsförordningen. Medgivandet ska alltså inte ses som den rättsliga grunden för myndighetens behandling av personuppgifter enligt artikel 6.1a i dataskyddsförordningen. Detta innebär att utöver medgivande från den enskilde krävs en rättslig grund, t.ex. att behandlingen är nödvändig för att myndigheten ska kunna fullgöra en rättslig förpliktelse (artikel 6.1c) eller en uppgift av allmänt intresse (artikel 6.1 e). I andra stycket behandlas återkallelse av ett lämnat medgivande. En återkallelse kan göras skriftligt eller muntligt till myndigheten. Sedan återkallelsen har gjorts och kommit till myndighetens kännedom får ytterligare personuppgifter om den enskilde inte behandlas. Behandlingen av redan insamlade personuppgifter får dock fortsätta. 6 § Myndigheten för arbetsmiljökunskap är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. Förslaget behandlas i avsnitt 5.6. I paragrafen anges vem som är personuppgiftsansvarig för behandling av personuppgifter enligt lagen. Utpekandet av myndigheten som personuppgiftsansvarig är i enlighet med artikel 4.7 i dataskyddsförordningen. 7 § Personuppgifter får endast behandlas om det är nödvändigt för 1.insamling, sammanställning och spridning av kunskap om arbetsmiljö, 2.utvärdering och analys av statliga reformer och andra statliga initiativ, 3.bevakning och analys av utvecklingen på arbetsmiljöområdet, och 4.forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Förslaget behandlas i avsnitt 5.7. Paragrafen behandlar de s.k. primära ändamålen för behandlingen av personuppgifter inom lagens tillämpningsområde. Beskrivningen av ändamålen i första stycket får betydelse för vilken Prop. 2018/19:151 insamling och annan behandling av personuppgifter som är tillåten enligt Bestämmelsen utgör en yttre ram för vilka slags personuppgiftsbehandlingar som är tillåtna enligt lagen och är en sådan specifikationsbestämmelse som är tillåten enligt artikel 6.2 i dataskyddsförordningen. Att det anges ett krav på att behandlingen ska vara nödvändig för de angivna ändamålen innebär ett tydliggörande av kravet på laglig behandling enligt artikel 6.1 i dataskyddsförordningen. Paragrafens andra stycke upplyser om att regeringen eller den myndig- het regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 8 § Personuppgifter som behandlas för de ändamål som anges i 7 § får också behandlas för att fullgöra ett uppgiftslämnande som sker i överens- stämmelse med lag eller förordning. Förslaget behandlas i avsnitt 5.8. Bestämmelsen i paragrafen innebär att myndigheten får behandla personuppgifter för att fullgöra ett uppgiftslämnande i överensstämmelse med lag eller förordning. Ett sådant uppgiftslämnande kan exempelvis vara aktuellt om myndigheten behöver lämna ut uppgifter för att uppfylla krav enligt offentlighets- och sekretesslagen (2009:400). 9 § Personuppgifter som behandlas enligt 7 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Förslaget behandlas i avsnitt 5.9. Paragrafen tydliggör att den s.k. finalitetsprincipen, dvs. uppgifter endast får behandlas för de ändamål som angavs när uppgifterna samlades in, gäller vid behandling av personuppgifter enligt lagen. Bestämmelsen i paragrafen har utformats i nära anslutning till artikel 5.1 b i dataskyddsförordningen och bör tolkas på samma sätt. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med de Det innebär också att de omständigheter som anges i artikel 6.4 a–e i förordningen ska beaktas vid bedömningen om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Behandling av känsliga personuppgifter 10 § I myndighetens samlingar av personuppgifter får endast sådana uppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga