prop · H603118 · 2019-05-02 00:00:00 — Behandling är enligt denna bestämmelse laglig endast om och i den mån som åtminstone ett av följande villkor är uppfyllt: – den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (a), – behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (b), – behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (c), – behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person (d), – behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (e), – behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den regi- strerade är ett barn (f). Uppräkningen i artikel 6.1 är således uttömmande. Om ingen av de grunder som anges där är tillämplig är behandlingen inte laglig och får därmed inte utföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga på en och samma Utöver det grundläggande kravet på att all behandling måste vara laglig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 ska vara tillämplig, omgärdas varje behandling av personuppgifter också av Principerna för behandling av personuppgifter, dvs. männa krav som gäller för all personuppgiftsbehandling, anges i artikel 5.1 i dataskyddsförordningen. Bland annat uppställs krav på att uppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade samt att personuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål, och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. I artikel 9.1 anges att behandling av vissa särskilda kategorier av personuppgifter (känsliga personuppgifter) är förbjuden. De personuppgifter som avses är sådana uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, genetiska uppgifter, biometriska uppgifter som specifikt behandlas för att unikt identifiera individer eller uppgifter som rör hälsa eller sexualliv eller sexuell läggning. Bestämmelsen är direkt tillämplig och kräver inga åtgärder av medlemsstaterna. Förbudet i artikel 9.1 är förenat med ett antal direkt tillämpliga undantag (se artikel 9.2–9.4). För att vissa av undantagen ska vara tillämpliga krävs dock att grunden för sådana behandlingar på olika sätt kommer till uttryck i unionsrätten eller i nationell rätt. Detta gäller bestämmelserna i artikel 9.2b (arbetsrätt m.m.), (viktigt allmänt intresse), 9.2 h (hälso- och sjukvård m.m.), 9.2 i (folkhälsa) och 9.2 j (arkiv, forskning och statistik) samt artikel 9.3. Artikel 10 reglerar personuppgiftsbehandling som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1. Sådana uppgifter får endast behandlas under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller nationell rätt, under förutsättning att lämpliga skyddsåtgärder vidtagits för de registrerades rättigheter och friheter. Personnummer och samordningsnummer utgör inte känsliga personuppgifter i dataskyddsförordningens mening, men intar ändå en särställning genom att medlemsstaterna getts möjlighet att införa särskilda villkor för behandlingen (artikel 87). Villkoren ska i sådana fall säkerställa att identifikationsuppgifterna bara får användas med iakttagande av lämpliga skyddsåtgärder för de registrerades fri- och rättigheter. I dataskyddsförordningens tredje kapitel behandlas den registrerades rättigheter. Kapitlet avser rätten till information (artiklarna 13 och 14) och tillgång till personuppgifter (artikel 15). Vidare regleras rätten till rättelse (artikel 16), radering (artikel 17), begränsning av behandling (artikel 18) och dataportabilitet (artikel 20). Slutligen behandlas rätten att göra invändningar (artikel 21) och att motsätta sig automatiskt individuellt beslutsfattande (artikel 22). I anslutning till dessa rättigheter finns bestämmelser om hur och när information ska lämnas (artikel 12) och bestämmelser om anmälningsskyldighet för det fall rättelse, radering eller begränsning av behandling sker (artikel 19). Den registrerades rättigheter, med motsvarande skyldigheter för den personuppgiftsansvarige, är direkt tillämpliga. Rättigheterna är emellertid inte absoluta. I artikel 23.1 anges att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för vissa skyldigheter och rättigheter som föreskrivs i förordningen, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. Möjlighet att begränsa vissa av de registrerades rättigheter ges även i artikel 89.2, i fråga om behandling av personuppgifter för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. 89.3får vissa rättigheter också begränsas vid behandling av personuppgifter för arkivändamål av allmänt intresse. 2018/19:118 I artikel 11 finns särskilda bestämmelser om behandling som inte kräver identifiering. Av artikel 11.1 framgår att om de ändamål för vilka den personuppgiftsansvarige behandlar personuppgifter inte kräver att den registrerade identifieras av den personuppgiftsansvarige, ska den personuppgiftsansvarige inte vara tvungen att bevara, förvärva eller behandla ytterligare information för att identifiera den registrerade endast i syftet att följa förordningen. Enligt artikel 11.2 ska den personuppgiftsansvarige, i de fall som avses i punkt 1, om det kan visas att denne inte är i stånd att identifiera den registrerade, om möjligt informera den registrerade om detta. I sådana fall ska artiklarna 15–20 inte gälla, förutom när den registrerade för utövande av sina rättigheter i enlighet med dessa artiklar tillhandahåller ytterligare information som gör identifieringen möjlig. Skyddet för den personliga integriteten i regeringsformen (RF) stärktes genom ikraftträdandet av ett nytt andra stycke i 2 kap. 6 § RF. Regleringen innebär att var och en och gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet får under vissa omständigheter enligt 2 kap. 20 och 21 §§ RF begränsas genom lag. Som nämnts ovan innehåller EU:s dataskyddsförordning många bestämmelser som förutsätter eller ger utrymme för kompletterande nationella bestämmelser av olika slag. Sådana nationella bestämmelser har införts genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen), som trädde i kraft som dataskyddsförordningen. Dataskyddslagen utsträcker dataskyddsförordningens tillämpningsområde till att, med vissa undantag, gälla även vid behandling av personuppgifter som utgör led i en verksamhet som inte omfattas av unionsrätten (1 kap. 2 §). Bestämmelser i annan lag eller förordning som rör behandling av personuppgifter, och som avviker från dataskyddslagen, ska ha företräde framför denna lag (1 kap. 6 §). Det kan t.ex. handla om bestämmelser som specificerar eller begränsar rätten att behandla känsliga personuppgifter i en viss verksamhet eller särskilda förfaranderegler. Sådana avvikande bestämmelser finns ofta i författningar som helt eller delvis innehåller bestämmelser om behandling av personuppgifter hos en viss myndighet, inom en viss sektor eller i ett visst sammanhang (prop. 2017/18:105 s. 186). Det innebär att dataskyddslagen kan kompletteras av s.k. registerförfattningar, dvs. författningar som reglerar behandling av personuppgifter på ett avgränsat område. I 2 kap. dataskyddslagen finns särskilda bestämmelser om rättslig grund för behandling av personuppgifter som kompletterar regleringen i dataskyddsförordningen. I kapitlets två första paragrafer tydliggörs när personuppgifter får behandlas med stöd av artikel 6.1 c och 6.1 e i förordningen. I 2 kap. 1 § anges att personuppgifter får behandlas med stöd av artikel 6.1 c, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra en rättslig förpliktelse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Behandling av personuppgifter med stöd av artikel 6.1 e får enligt 2 kap. 2 § ske om den är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Av artikel 6.3 första stycket följer att grunden för behandling som avses i artiklarna 6.1 c och 6.1 e ska fastställas i enlighet med unionsrätten eller den nationella rätten. I dataskyddslagen har det också införts regler om när känsliga personuppgifter enligt artikel 9 i dataskyddsförordningen får behandlas. Bestämmelserna ska ses mot bakgrund av regleringen i artikel 9.2 om krav på innehållet i unionsrätten och medlemsstaternas nationella rätt. I dataskyddslagen anges bl.a. under vilka förutsättningar en myndighet får behandla känsliga personuppgifter i sin normala verksamhet och när behandling av sådana uppgifter får ske för statistiska ändamål (3 kap. 3 och 7 §§). I anslutning till detta anges att det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Även behandlingen av identifikationsuppgifter har reglerats särskilt i dataskyddslagen. Personnummer och samordningsnummer får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (3 kap. 10 §). Regeringen får meddela ytterligare föreskrifter om i vilka fall behandling av personnummer och samordningsnummer är tillåten (3 kap. 11 §). Dataskyddslagen innehåller även vissa särskilda bestämmelser om tillämpningen av dataskyddsförordningens artiklar om de registrerades rättigheter. Enligt 5 kap. 1 § dataskyddslagen gäller inte artiklarna 13–15 i dataskyddsförordningen om information och tillgång till personuppgifter sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undantaget för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt OSL. Artikel 15 i dataskyddsförordningen om den registrerades rätt till tillgång gäller inte personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande (5 kap. 2 § dataskyddslagen). Slutligen får regeringen meddela ytterligare föreskrifter om begränsningar enligt artiklarna 23, 89.2 och 89.3 i dataskyddsförordningen (5 kap. 3 § dataskyddslagen). 2018/19:118 6 Med statistik avses metoder för att samla in, bearbeta, utvärdera och analysera data eller information. Även resultatet av ett sådant arbete, ofta redovisat i numerisk form, benämns ofta statistik. I EU:s dataskyddsförordning avses med statistiska ändamål varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. Statistiska resultat kan i sin tur användas för olika ändamål, bl.a. vetenskapliga forskningsändamål. Sådana resultat består inte av personuppgifter, utan av aggregerade personuppgifter, och ska inte resultera i att uppgifterna används till stöd för åtgärder eller beslut som avser en särskild fysisk person (se skäl 162 till dataskyddsförordningen). I dataskyddsförordningen finns ett antal bestämmelser som särskilt reglerar personuppgiftsbehandling för statistiska ändamål. 5.1b gäller t.ex. att vidarebehandling av personuppgifter för sådana ändamål inte ska anses oförenlig med de ursprungliga ändamålen. Om uppgifterna enbart kommer att behandlas för statistiska ändamål får dessa enligt artikel 5.1 e vidare lagras än vad som normalt gäller. I artikel 14.1–4 i dataskyddsförordningen finns bestämmelser om den personuppgiftsansvariges informationsplikt när personuppgifter inte har erhållits från den registrerade. Dessa bestämmelser ska enligt artikel 14.5 b inte tillämpas i den utsträckning som tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt vid behandling för bl.a. statistiska ändamål i enlighet med artikel 89.1. I sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet att göra uppgifterna tillgängliga för allmänheten. På motsvarande sätt anges i artikel 17.3 d att rätten att få uppgifter raderade inte gäller om uppgifterna behövs för sådan behandling som är nödvändig för bl.a. statistiska ändamål enligt artikel 89.1, i den utsträckning som rätten sannolikt omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen. Artikel 89 i dataskyddsförordningen ställer krav på skyddsåtgärder vid behandling av personuppgifter för bl.a. statistikändamål, men ger också medlemsstaterna möjlighet till att föreskriva undantag från flera av de rättigheter som annars tillkommer den registrerade. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering, dvs. att personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas, iakttas. Dessa åtgärder får inbegripa s.k. pseudonymisering, vilket innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att ändamålen kan uppfyllas på det sättet. Enligt artikel 89.2 i dataskyddsförordningen får vid behandling för bl.a. Prop. 2018/19:118 statistiska ändamål undantag göras från de registrerades rätt till tillgång, till rättelse och till begränsning av behandling samt rätten att göra invändningar (se artikel 15, 16, 18 och 21), under förutsättning att vissa villkor uppfylls och skyddsåtgärder vidtas. Detta får dock bara göras i den utsträckning som rättigheterna sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de aktuella ändamålen och undantagen krävs för att uppnå dessa ändamål. 6.2 Svenska bestämmelser om behandling av personuppgifter för framställning av statistik Behandling av personuppgifter för statistiska ändamål förekommer inom såväl den offentliga som den privata sektorn, både som en självständig verksamhet och som en uppföljande åtgärd till annan verksamhet. statistik har sådan grundläggande betydelse för allmän information, utred- ningsverksamhet och forskning att den i utgör s.k. officiell statistik, vilket innebär att den omfattas av lagen om den officiella stati- stiken och förordningen om den officiella statistiken. statistiken ska enligt denna reglering vara objektiv och allmänt tillgänglig samt framställas utifrån vetenskapliga metoder. innehålla en redogörelse för vilken kvalitet som statistiken uppfyller. som är officiell statistik, och vilken myndighet som ansvarar för den, anges i bilagan till förordningen om den officiella statistiken. förordningen finns bestämmelser om skyldighet för bl.a. kommuner, landsting, näringsidkare, registrerade trossamfund och statliga myndig- heter att lämna uppgifter som behövs för framställning av officiell statistik. Lagen och förordningen om den officiella statistiken innehåller också vissa särskilda bestämmelser som gäller vid behandling av person- Enligt 14 § lagen om den officiella statistiken får en statistik- ansvarig myndighet behandla personuppgifter för framställning av statistik om inte annat följer av 15 §. För sådan behandling är myndigheten Behandling av personuppgifter får också omfatta uppgift om personnummer. Enligt 15 § första stycket får känsliga person- uppgifter behandlas om det följer av föreskrifter som regeringen meddelar. Sådana bestämmelser finns i 8 § förordningen om den officiella statistiken. Av 15 § andra stycket lagen om den officiella statistiken framgår att vid framställning av annan statistik än officiell statistik får känsliga person- uppgifter som avses i artikel 9.1 och artikel 10 i dataskyddsförordningen också behandlas om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Behandling får också ske om den ingår i ett forskningsprojekt och behandlingen har godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. förordningen om den officiella statistiken får uppgifter som behandlas för framställning av officiell statistik även behandlas för framställning av annan statistik och för forskning, om ändamålet med behandlingen inte är oförenligt med det ändamål för vilket uppgifterna samlades in. 2018/19:118 I 15 a § lagen om den officiella statistiken anges att artiklarna 16 och 18 i dataskyddsförordningen om rätten till rättelse och rätten till begränsning av behandling av personuppgifter inte gäller vid behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen. Av 1 § tredje stycket lagen om den officiella statistiken framgår att bestämmelserna i 14–16 §§ och 19 § även gäller vid framställning av annan statistik än officiell statistik hos en statistikansvarig myndighet. Enligt regler i 2 kap. tryckfrihetsförordningen (TF) har var och en rätt att ta del av myndigheternas allmänna handlingar. De begränsningar som finns i handlingsoffentligheten ska noga anges i särskild lag, eller i annan lag som den särskilda lagen hänvisar till, 2 kap. 2 § andra stycket TF. Offentlighets- och sekretesslagen (2009:400), förkortad OSL, utgör den särskilda lagen. Endast om det är påkallat av hänsyn till vissa viktiga sekretessintressen kan rätten att ta del av allmänna handlingar begränsas. Av 2 kap. 2–4 §§ OSL framgår att , beslutande kommunala församlingar och sådana organ som avses i 2 kap. 3 och 4 §§ OSL ska jämställas med myndighet vid tillämpningen av OSL. Bestämmelser om tystnadsplikt finns också utanför OSL:s tillämpningsområde, exempelvis för anställda inom den privata hälso- och sjukvården och för advokater. Sekretess gäller i förhållande till såväl enskilda som andra myndigheter. Sekretess gäller också mellan olika verksamhetsgrenar inom samma myndighet om de är att betrakta som självständiga i förhållande till varandra. Enligt 24 kap. 8 § OSL gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift om en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Motsvarande sekretess gäller i annan jämförbar undersökning som utförs av , eller Statskontoret, eller inom det statliga kommittéväsendet. Detsamma gäller annan jämförbar undersökning som utförs av någon annan myndighet i den utsträckning som regeringen meddelar föreskrifter om det. Uppgift som behövs för forsknings- eller statistikändamål, och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Detsamma gäller en uppgift som avser en avliden och som rör dödsorsak eller dödsdatum, om uppgiften behövs i ett nationellt eller regionalt kvalitetsregister enligt patientdatalagen (2008:355). För uppgift i en allmän handling gäller sekretessen i högst , om uppgiften avser en enskilds personliga förhållanden, och annars i högst . 2018/19:118 stiksekretessen gäller oavsett varifrån uppgiften kommer. en uppgift som är offentlig hos en annan myndighet blir sekretesskyddad när den överförs till SCB för framställning av statistik. Den starka statistiksekretess som gäller enligt 24 kap. 8 § OSL har tillkommit efter en intresseavvägning mellan å ena sidan insynsintresset och å andra sidan sekretessintresset. Medan insynsintresset är obetydligt är sekretessintresset påtagligt, och väger avsevärt tyngre. Det starka sekretesskyddet är viktigt för allmänhetens förtroende för SCB och är också en förutsättning för statistikverksamheten. Ett minskat förtroende kan påverka viljan att lämna uppgifter negativt och försämra uppgifternas kvalitet. Sekretess gäller inom sådan särskild verksamhet hos myndighet som avser framställning av statistik, dvs. sådan statistikframställning som sker utan anknytning till något särskilt ärende. Framställning av statistik som underlag för ett beslut i ett visst ärende är inte att betrakta som någon sådan särskild verksamhet. Det som är avgörande för om statistiksekretess gäller är om myndigheten har en särskild reglering, ordning eller organisation för framställning av statistik. Verksamheten ska vara avskild från annan verksamhet, t.ex. genom att den är organiserad som en egen enhet eller liknande. Avgörande är inte enhetens storlek eller det antal personer som sysselsätts där, utan hur statistiken och uppgifterna till denna hanteras i förhållande till myndighetens verksamhet i övrigt. Uppgifter som i statistikverksamhet samlats in av en myndighet för en annan myndighets räkning skyddas av sekretess också hos den insamlande myndigheten. Regeringen får föreskriva att sekretess enligt 24 kap. 8 § OSL ska gälla i annan jämförbar undersökning. Det är här fråga om olika utredningar och undersökningar som utförs utanför en särskild statistikverksamhet, men där man ansett att statistiksekretessen ändå bör gälla. Vilka undersökningar som omfattas anges i offentlighets- och sekretessförordningen (2009:641), förkortad OSF. För att SCB ska kunna lämna ut mikrodata krävs att något av undantagen i 24 kap. 8 § OSL är tillämpligt. Ett utlämnande kan också aktualiseras om någon sekretessbrytande bestämmelse i OSL eller i annan författning som OSL hänvisar till är tillämplig. Undantagsregeln i 24 kap. 8 § tredje stycket OSL gör det möjligt att lämna ut material även för andra ändamål än forskning och statistik. Enligt bestämmelsen kan avidentifierat material lämnas ut, exempelvis till en utredningsenhet inom en myndighet för kvalificerat utrednings- och analysarbete. Har den mottagande myndigheten själv en avskild statistikverksamhet skyddas uppgifterna av statistiksekretess även hos denna, vilket kan möjliggöra ett utlämnande, eftersom det då i många fall kan anses stå klart att ett utlämnande kan ske utan att det leder till skada eller men. 2018/19:118 fråga om en verksamhet som genomför undersökningar som är jämförbara med framtagande av statistik, och som behöver uppgifter på en detaljerad nivå, kan regeringen med stöd av 24 kap. 8 § andra stycket OSL särskilt föreskriva att statistiksekretess ska gälla för utredningen.