prop · H603151 · 2019-06-25 00:00:00 — personuppgifter) som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning behandlas. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter 2018/19:151 eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden måste etikprövas. Förslaget behandlas i avsnitt 5.10. I paragrafen regleras i vilken utsträckning Myndigheten för arbetsmiljö- kunskap i sina samlingar av personuppgifter får behandla sådana särskilda kategorier av personuppgifter (känsliga personuppgifter) som avses i artikel 9.1 i dataskyddsförordningen. Bestämmelsen innebär att endast sådana känsliga personuppgifter som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning får behandlas i myndighetens samlingar av personuppgifter. I andra stycket finns en upplysningsbestämmelse om att forskning som innefattar behandling av känsliga personuppgifter och personuppgifter om vissa lagöverträdelser måste etikprövas. Kravet på etikprövning utgör en skyddsåtgärd vid behandling av känsliga personuppgifter och person- uppgifter om lagöverträdelser. Bestämmelsen tydliggör att i de fall myndigheten behandlar sådana personuppgifter inom ramen för de tillåtna ändamålen och på ett sådant sätt som innebär forskning, måste det finnas tillstånd enligt lagen (2003:460) om etikprövning av forskning som avser Upplysningen om kravet på etikprövning innebär inte att myndigheten får behandla andra kategorier av känsliga personuppgifter än de som framgår av första stycket, även om tillstånd för sådan behandling skulle ges enligt lagen om etikprövning av forskning som avser människor. 11 § Myndigheten får ha samlingar av personuppgifter som behandlas automatiserat och som är försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller mot- Personuppgifter i sådana samlingar som avses i första stycket får inte behandlas i syfte att röja en persons identitet. Förslaget behandlas i avsnitt 5.11.1. I paragrafen regleras möjligheten för myndigheten att ha samlingar av pseudonymiserade personuppgifter som inte nödvändigtvis är knutna till ett särskilt projekt och vissa begränsningar av behandlingen i samlingarna. Av första stycket framgår att myndigheten har möjlighet att ha samlingar av personuppgifter som behandlas automatiserat och som är pseudo- Detta innebär att uppgifterna kan hänföras till en person endast med hjälp av en kodnyckel som endast den myndighet uppgifterna kommer från har tillgång till. En person kan således inte identifieras utan hjälp av kodnyckeln. Enligt andra stycket är det inte tillåtet att behandla personuppgifter i samlingarna för att avslöja en persons identitet. Förbudet är avsett att förhindra s.k. bakvägsidentifiering, dvs. att olika variabler kombineras på ett sådant sätt att en persons identitet avslöjas. Bestämmelsen är en sådan skydds- och säkerhetsbestämmelse som det är tillåtet att införa enligt artiklarna 6.2 och 6.3 i dataskyddsförordningen. 12 § Myndigheten får om det är nödvändigt för ett särskilt projekt även ha samlingar av personuppgifter som behandlas automatiserat och som är försedda med en beteckning som förvaras skilt från uppgifterna och som myndigheten kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Personuppgifter i samlingar som avses i första stycket får inte sambearbetas med varandra. Denna begränsning gäller inte för en sådan sambearbetning av personuppgifter som är nödvändig för att myndigheten ska kunna upprepa eller följa upp ett tidigare genomfört projekt. Förslaget behandlas i avsnitt 5.11.2. Paragrafen reglerar myndighetens möjligheter att ha samlingar av personuppgifter som behandlas automatiserat och som är nödvändiga för ett särskilt projekt och vissa begränsningar av behandlingen i samlingarna. Av paragrafens första stycke följer att myndigheten endast får ha samlingarna om det är nödvändigt för ett särskilt projekt. Vidare följer av stycket att personuppgifterna ska vara pseudonymiserade. Detta innebär att uppgifterna kan hänföras till en person endast med hjälp av en kodnyckel. Till skillnad från vad som gäller enligt 11 § kan myndigheten i de nu aktuella samlingarna själv ha kodnyckeln under förutsättning att den förvaras skilt från uppgifterna. Andra stycket innebär ett förbud mot sambearbetning av personuppgifter i samlingar som myndigheten har med stöd av första stycket. Bestämmelsen i andra stycket är en sådan skydds- och säkerhetsbestämmelse som det är tillåtet att införa enligt artiklarna 6.2 och 6.3 i dataskyddsförordningen. Sambearbetningsförbudet i första stycket gäller inte sambearbetning av personuppgifter som är nödvändig för att upprepa eller följa upp ett tidigare genomfört projekt för de ändamål som omfattas av lagen. 13 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Förslaget behandlas i avsnitt 5.12. Paragrafen reglerar tillgången till personuppgifter. Den innebär ett uttryckligt krav på myndigheten att se till att tillgången till personuppgifter begränsas till dem som behöver personuppgifterna för att kunna fullgöra sina arbetsuppgifter. I och med begränsningen förstärks skyddet för den personliga integriteten genom att uppgifterna sprids till en så liten krets som möjligt. Paragrafen är en sådan skydds- och säkerhetsbestämmelse som det är tillåtet att införa enligt artiklarna 6.2 och 6.3 i dataskyddsförordningen. 2018/19:151 Bilaga 1 Sammanfattning av betänkandet Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap (SOU 2018:45) Betänkandet innehåller ett förslag till en ny lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap som inledde sin verksamhet . Förslaget syftar till att, i enlighet med de krav som ställs på behandling av personuppgifter i EU:s dataskyddsförordning, ge myndigheten möjlighet att behandla personuppgifter i den utsträckning som myndigheten behöver för att på ett ändamålsenligt och effektivt sätt fullgöra sitt uppdrag. syftar förslaget till att fastställa ett ramverk för personuppgiftsbehandlingen som säkerställer ett tillfredsställande skydd för den personliga integriteten. I den föreslagna lagen regleras den nya myndighetens behandling av personuppgifter inom ramen för dess kärnuppdrag. Förslaget innehåller bl.a. bestämmelser om för vilka ändamål personuppgiftsbehandling får ske, vilka typer av känsliga personuppgifter som får behandlas och om begränsningar av hur uppgifterna får behandlas. Den nya lagen föreslås träda i kraft . Förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Härigenom föreskrivs följande. 2018/19:151 Bilaga 2 1 § Denna lag tillämpas vid behandling av personuppgifter i sådan verksamhet hos Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad och kunskapsspridning samt utvärdering och analys. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Första stycket gäller dock inte när personuppgifterna samlats in direkt från den enskilde. Samtycke när uppgifter har samlats in direkt från den enskilde 5 § Om personuppgifterna har samlats in direkt från den enskilde, får uppgifterna behandlas endast om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. Den registrerade har rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte 2018/19:151 Bilaga 2 6 § Myndigheten för arbetsmiljökunskap är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. 7 § Myndigheten för arbetsmiljökunskap får behandla personuppgifter om det är nödvändigt inom myndighetens ansvarsområde. En sådan behandling får innefatta 1.granskningar och analyser som syftar till att samla in, sammanställa och sprida kunskap om arbetsmiljö, 2.utvärderingar och analyser av statliga reformer och andra statliga initiativ, samt 3.studier om utvecklingen inom arbetsmiljöområdet. Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 8 § Personuppgifter som behandlas för de ändamål som anges i 7 § får också behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. 9 § Personuppgifter som behandlas enligt 7 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med de ändamål för vilka uppgifterna samlades in. Behandling av känsliga personuppgifter 10 § Inga andra personuppgifter som avses i artikel 9.1 EU:s dataskyddsförordning (känsliga personuppgifter) än sådana som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa får behandlas för de ändamål som anges i 7 §. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter, samt personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. 11 § Om det är nödvändigt för de ändamål som anges i 7 §, får det hos Myndigheten för arbetsmiljökunskap finnas samlingar av personuppgifter som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna får dock vara försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. 12 § Om det behövs för de ändamål som anges i 7 §, får det hos Myndigheten för arbetsmiljökunskap även finnas samlingar av person- uppgifter som behandlas automatiserat som inte är sådana personuppgifter som avses i 11 §, om uppgifterna är nödvändiga för myndighetens arbete som avser kunskapsuppbyggnad och kunskapsspridning eller utvärdering Begränsningar i behandlingen av personuppgifter 13 § Personuppgifter som inte direkt kan hänföras till en person och som ingår i samlingar av personuppgifter som behandlas automatiserat får inte behandlas i syfte att röja en persons identitet. 14 § Personuppgifter som behandlas enligt 12 § och som har samlats in för att behandlas inom olika avgränsade projekt som avser kunskapsuppbyggnad och kunskapsspridning eller utvärdering och analys får inte sambearbetas med varandra. Denna begränsning gäller inte för en sådan sambearbetning av personuppgifter som är nödvändig för att kunna upprepa eller följa upp ett tidigare genomfört projekt av sådant slag som avses i första stycket. 15 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Denna lag träder i kraft . 2018/19:151 Bilaga 3 Förteckning över remissinstanserna (betänkandet) Remissyttranden över betänkandet har avgetts av följande instanser: Försäkring, Arbetsförmedlingen, , , , , , , för hälsa, arbetsliv och välfärd, , Förvaltningsrätten i , , Inspektionen för socialförsäkringen, , Kammarrätten i , , Kungl. Tekniska högskolan, i , , , Myndigheten för arbetsmiljökunskap, Myndigheten för kulturanalys, Myndigheten för tillväxtpolitiska utvärderingar och analyser, Myndigheten för vård- och omsorgsanalys, , ombudsmän, , , , , , , , Verket för innovationssystem och . Följande instanser har inbjudits att yttra sig men avstått: Arbets- och miljömedicin , Arbets- och miljömedicin , utvärdering, , , social utvärdering, , akademikers centralorganisation, företagshälsor, Kommuner och Landsting samt . Sammanfattning av Kompletterande promemoria till betänkandet Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Myndigheten för arbetsmiljökunskap är en ny statlig myndighet på arbetsmarknadsområdet som inledde sin verksamhet . Myndigheten är ett nationellt för arbetsmiljöfrågor. pågår ett arbete inom med att ta fram en lagrådsremiss om behandling av personuppgifter vid myndigheten. Lagrådsremissen bygger på ett betänkande från Utredningen om inrättande av Myndigheten för arbetsmiljökunskap, Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap (SOU 2018:45). Utredningen föreslår i betänkandet en ny lag om behandling av personuppgifter vid myndigheten. Betänkandet har remitterats. Utredningen föreslår att den nya lagen ska innehålla en bestämmelse som ger myndigheten möjlighet att under vissa förutsättningar behandla tre kategorier av känsliga personuppgifter. Dessa uppgifter är sådana som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa. Flera remissinstanser har väckt frågan om varför just dessa tre kategorier av känsliga personuppgifter ska få behandlas och särskilt varför myndigheten enligt utredningens förslag inte ska få behandla andra känsliga personuppgifter som är kopplade till diskrimineringsgrunder enligt diskrimineringslagen (2008:567). I promemorian övervägs ändringar i förhållande till betänkandets förslag när det gäller vilka känsliga personuppgifter som myndigheten ska få behandla. Myndigheten föreslås få behandla två kategorier av känsliga personuppgifter utöver de kategorier som utredningen föreslår att myndigheten ska få behandla. Dessa kategorier är personuppgifter om religiös eller filosofisk övertygelse och uppgifter som rör en persons sexuella läggning. 2018/19:151 Bilaga 4 Förslag till lag (2019:XX) om behandling av personuppgifter vid Myndigheten för Föreslagen lydelse enligt SOU som avses i artikel 9.1 EU:s som avses i artikel 9.1 i EU:s personuppgifter) än sådana som övertygelse eller medlemskap i hälsa får behandlas för de fackförening eller som rör hälsa ändamål som anges i 7 §. läggning får behandlas. Av lagen (2003:460) om etikprövning av forskning som avser som innefattar behandling av känsliga personuppgifter, samt personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. Förteckning över remissinstanserna (promemorian) 2018/19:151 Bilaga 6 Remissyttranden över betänkandet har avgetts av följande instanser: Arbetsförmedlingen, , , Arbets- och miljömedicin , Datainspektionen, , , , för hälsa, arbetsliv och välfärd, , Förvaltningsrätten i , Inspektionen för socialförsäkringen, utvärdering, , Kammarrätten i , , i , , Myndigheten för arbetsmiljökunskap, Myndigheten för kulturanalys, Myndigheten för vård- och omsorgsanalys, , ombudsmän, , , , Trafikanalys, Verket för innovationssystem och . Följande instanser har inbjudits att yttra sig men avstått: Försäkring, Arbets- och miljömedicin , Civil , , Judiska i , Myndigheten för tillväxtpolitiska utvärderingar och analyser , bisexuellas, transpersoners och queeras rättigheter, , social utvärdering, , akademikers centralorganisation, Kommuner och Landsting, kristna råd, företagshälsor samt . 2018/19:151 Bilaga 7 Förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Härigenom föreskrivs följande. 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet vid Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte något annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar gäller dock när personuppgifterna samlas in direkt från den enskilde. Medgivande när uppgifter samlas in direkt från den enskilde 5 § Om personuppgifterna samlas in direkt från den enskilde, får de behandlas endast om personen har lämnat sitt uttryckliga medgivande till behandlingen. Den registrerade har rätt att när som helst återkalla ett lämnat medgivande. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. 6 § Myndigheten för arbetsmiljökunskap är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. 7 § Personuppgifter får endast behandlas om det är nödvändigt för 1.insamling, sammanställning och spridning av kunskap om arbetsmiljö, 2.utvärdering och analys av statliga reformer och andra statliga initiativ, 3.bevakning och analys av utvecklingen på arbetsmiljöområdet, och 4.forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 8 § Personuppgifter som behandlas för de ändamål som anges i 7 § får också behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. 9 § Personuppgifter som behandlas enligt 7 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 10 § I myndighetens samlingar får endast sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning behandlas. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. 11 § Myndigheten får ha samlingar av personuppgifter som behandlas automatiserat och som är försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Personuppgifter i sådana samlingar som avses i första stycket får inte behandlas i syfte att röja en persons identitet. 12 § Myndigheten får om det är nödvändigt för ett särskilt projekt även ha samlingar av personuppgifter som behandlas automatiserat och som är 2018/19:151 Bilaga 7 2018/19:151 Bilaga 7 försedda med en beteckning som förvaras skilt från uppgifterna och som myndigheten kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Personuppgifter i samlingar som avses i första stycket får inte sambearbetas med varandra. Denna begränsning gäller inte för en sådan sambearbetning av personuppgifter som är nödvändig för att myndigheten ska kunna upprepa eller följa upp ett tidigare genomfört projekt. 13 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Denna lag träder i kraft . Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitierådet samt justitieråden Behandling av personuppgifter vid Myndigheten för arbetsmiljö- Enligt en lagrådsremiss har regeringen () beslutat inhämta Lagrådets yttrande över förslag till lag om behandling av personuppgifter vid Myndigheten för Förslaget har inför Lagrådet föredragits av departementssekreteraren Lagrådet lämnar förslaget utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , M , , , , , , , Strandhäll, Ygeman, , , , , Regeringen beslutar proposition Behandling av personuppgifter vid