prop · H603118 · 2019-05-02 00:00:00 — En särskild och uttömmande ändamålsbestämmelse bör därför införas som ger SCB stöd för den behandling av personuppgifter som är nödvändig för förvaltning och utveckling av Fasit. Ett krav på nödvändighet Med hänsyn till omfattningen av personuppgifter i Fasit bör det finnas en grundläggande begränsning när det gäller vilka uppgifter som får behandlas. Av artikel 6 i dataskyddsförordningen framgår att behandling av personuppgifter är tillåten endast om behandlingen är nödvändig i förhållande till den rättsliga grunden. Samma rekvisit bör därför användas i Fasitlagens ändamålsbestämmelser. Behandling av personuppgifter får således inte ske slentrianmässigt, utan en bedömning av om behandlingen är nödvändig för det aktuella ändamålet måste göras innan en behandling påbörjas. Enligt betyder det svenska ordet nödvändig att någonting absolut fordras eller inte kan underlåtas. Det unionsrättsliga begreppet har dock inte denna strikta innebörd. Nödvändighetsrekvisitet i artikel 7 i dataskyddsdirektivet har t.ex. inte ansetts utgöra ett krav på att det ska vara omöjligt att utföra en uppgift av allmänt intresse utan att behandlingsåtgärden vidtas. Detta synsätt kommer till uttryck i dom i målet Huber mot , som rörde tolkningen av motsvarande nödvändighetsrekvisit i artikel 7 e i direktivet (C-524/06, EU:C:2008:724). uttalade i denna att en myndighets förande av ett centralt register över uppgifter som redan fanns i regionala register är nödvändigt om det bidrar till att effektivisera tillämpningen av relevanta bestämmelser. Domen bör kunna utgöra stöd även vid tolkningen av dataskyddsförordningen. Det bör därmed mer eller mindre regelmässigt anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom en informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (jfr prop. 2017/18:105 s. 46 f.). Om SCB begär att få vissa uppgifter från en myndighet för att använda i Fasit, bör den utlämnande myndigheten kunna utgå från att SCB avser att behandla uppgifterna för lagens ändamål. Enligt regeringen finns det inte skäl att med anledning av vad har anfört införa någon uttömmande uppräkning i lagen av vilka uppgifter som får behandlas i Fasit. För vissa kategorier av personuppgifter bör det dock införas vissa specifika regler om vilka uppgifter som får behandlas i Fasit eller i det urval som lämnas ut till användare (se avsnitt 8.4). Den föreslagna regleringen bedöms ge SCB och övriga användare ändamålsenliga möjligheter att behandla nödvändiga personuppgifter, som risken för obefogade intrång i den personliga integriteten minskas. 8.4Behandling av vissa kategorier av personuppgifter 8.4.1Behandling av känsliga personuppgifter och uppgifter om domar Regeringens förslag: Personuppgifter som avses i artikel 9.1 och artikel 10 i EU:s dataskyddsförordning får inte behandlas i Fasit eller i det urval som får lämna ut med stöd av lagen. Trots detta ska dock uppgifter som avslöjar etniskt ursprung eller medlemskap i fackförening och uppgifter om hälsa få behandlas i Fasit och i det urval som lämnas ut till användare. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås dock att det särskilt ska anges att de aktuella känsliga personuppgifterna får behandlas om de är nödvändiga för ändamålet med behandlingen. Remissinstanserna: Samtliga remissinstanser som yttrat sig i frågan, utom Datainspektionen och , tillstyrker förslaget eller har inte något att invända mot detta. Datainspektionen anser att det bör framgå av den föreslagna bestämmelsen att behandlingen sker med stöd av artikel 9.2 j i EU:s dataskyddsförordning. Vilket undantag i artikel 9 i förordningen som ska tillämpas har betydelse för tillämpningen av övriga bestämmelser i förordningen. anser att det av lagen bör framgå att uppgifter i myndighetens hälsodataregister om innehållet i vården, som operationer och andra åtgärder, samt uppgifter om förskrivna och expedierade läkemedel inte får behandlas i Fasit. Skälen för regeringens förslag: Enligt artikel 10 i EU:s dataskyddsförordning får behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 endast utföras under kontroll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Det saknas behov av att behandla denna typ av uppgifter i Fasit och i det urval som SCB får lämna ut med stöd av lagen. Det bör därför framgå av Fasitlagen att sådana personuppgifter som avses i artikel 10 inte ska få behandlas. Enligt artikel 9.1 i EU:s dataskyddsförordning är det förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. Bestämmelsen är direkt tillämplig och kräver inga åtgärder av medlemsstaterna. Förordningens förbud ska enligt artikel 9.2 inte tillämpas om någon av de situationer som beskrivs i punkterna a–j föreligger. Något utrymme för medlemsstaterna att föreskriva ytterligare undantag från förbudet lämnas inte. Känsliga personuppgifter får t.ex. behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse som har sin grund i unionslagstiftningen eller i en medlemsstats nationella lagstiftning (). 2018/19:118 Detta undantag gäller under förutsättning att den lagstiftning som ger stöd för behandlingen står i proportion till det eftersträvade syftet, är förenlig med det väsentliga innehållet i rätten till dataskydd och innehåller bestäm- melser om lämpliga och särskilda åtgärder för att säkerställa den regi- strerades grundläggande rättigheter och intressen. I artikel 9.2 j regleras undantag från förbudet vid behandling som är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller Där anges att förbudet inte gäller om behandlingen är nödvändig för något av dessa ändamål i enlighet med artikel 89.1, på grundval av medlemsstaternas nationella rätt, som ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och Medlemsstaterna får även när det gäller känsliga personuppgifter behålla eller införa mer specifika bestämmelser i fråga om behandling som sker med stöd av artikel 6.1 c och e (artikel 6.2 och skäl 10 och 51). 10 till dataskyddsförordningen anges att förordningen är avsedd att ge medlemsstaterna handlingsutrymme att specificera bestämmelser för behandlingen av känsliga uppgifter samt att förordningen inte utesluter att det fastställs närmare omständigheter och mer exakta villkor för laglig behandling av personuppgifter. I skäl 52 nämns att vissa undantag från förbudet att behandla känsliga personuppgifter bör tillåtas om de före- skrivs i unionsrätten eller i medlemsstaternas nationella rätt och under- kastas lämpliga skyddsåtgärder. I samband med införandet av dataskydds- lagen anförde regeringen att det är uppenbart att det vid behandling av känsliga personuppgifter i de situationer som beskrivs i artikel 9.2 krävs ett annat stöd i rättsordningen, utöver det som dataskyddsförordningen ger. De särskilda krav som i respektive punkt ställs på det rättsliga stödet för behandlingen måste nämligen vara uppfyllda för att undantagen i artikel 9.2 ska vara tillämpliga. Dessa krav går utöver de som ställs på rättslig grund enligt artikel 6 (se prop. 2017/18:105 s. 75). För behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse har det införts bestämmelser i 3 kap. 3 § första stycket dataskydds- lagen som innebär att en myndighet eller ett annat organ som omfattas av offentlighetsprincipen får behandla känsliga personuppgifter om upp- gifterna har lämnats till den personuppgiftsansvarige och behandlingen krävs enligt lag. Dessutom får en myndighet behandla känsliga person- uppgifter, om det är nödvändigt för handläggningen av ett ärende. sliga personuppgifter får också behandlas av en myndighet i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet 2017/18:105 s. 83 f.). Vidare får känsliga personuppgifter enligt 3 kap. 7 § dataskyddslagen behandlas om behandlingen är nödvändig för statistiska ändamål och samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Vad som är ett allmänt intresse respektive ett viktigt allmänt intresse är inte definierat i vare sig dataskyddsdirektivet eller dataskyddsförord- ningen, och begreppens innebörd har inte heller utvecklats närmare av EU- I förarbetena till dataskyddslagen konstateras att det torde stå klart att verksamhet som innefattar myndighetsutövning utgör ett viktigt allmänt intresse. När det gäller myndigheters behandling måste det också anses utgöra ett viktigt allmänt intresse att svenska myndigheter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt (se prop. 2017/18:105 s. 83). Behandlingen av personuppgifter i Fasit och dess urval utgör i sig ett viktigt samhällsintresse som motiverar behandlingen av vissa typer av känsliga personuppgifter. Fasit är bl.a. ett viktigt verktyg för regeringens reformarbete och för övriga avsedda myndigheters möjligheter att utföra uppgifter som följer av deras instruktioner. Det är således fråga om behandling av personuppgifter som är nödvändig för att de aktuella myndigheterna ska kunna bedriva sin verksamhet. Behandlingen av personuppgifter i Fasit och dess urval utgör därmed enligt regeringens bedömning ett sådant viktigt allmänt intresse som avses i artikel dataskyddsförordningen. Behandlingen görs även i viss utsträckning för sådana statistiska ändamål som avses i artikel 9.2 j. Flertalet av de som enligt lagen får ta del av uppgifterna i urvalet och Fasit skulle kunna behandla uppgifterna med stöd av 3 kap. 3 § och 3 kap. 7 § dataskyddslagen. Det är dock ur integritetsskäl viktigt att det av regleringen framgår vilka känsliga personuppgifter som ska få behandlas i Fasit. I 3 kap. 3 och 7 §§ dataskyddslagen finns en generell reglering av möjligheterna att behandla känsliga personuppgifter med hänsyn till ett viktigt allmänt intresse respektive efter en nödvändighets- och proportionalitetsavvägning. Det aktuella behovet av behandling av personuppgifter är dock i det nu aktuella fallet avgränsat till enbart vissa kategorier av uppgifter (se nedan). Mot denna bakgrund finns det skäl att särskilt reglera behandlingen av känsliga personuppgifter i Fasit och det urval som lämnas ut. Regleringen innebär därmed en särreglering i förhållande till dataskyddslagen och innebär i förhållande till denna en inskränkning beträffande vilka kategorier av känsliga personuppgifter som får behandlas. Behandlingen av känsliga personuppgifter i Fasit måste regleras på ett sätt som beaktar dataskyddsförordningens krav på proportionalitet och vara förenlig med det väsentliga innehållet i rätten till data samt innehålla skyddsåtgärder. Det är i princip omöjligt att på detaljnivå slå fast det framtida behovet av att i Fasit behandla känsliga personuppgifter. Behovet kan komma att förändras och med kort varsel. Regeringen bedömer, till skillnad från Datainspektionen, att ett förtydligande i lagtexten om i vilken artikel i dataskyddsförordningen stödet för att behandla känsliga personuppgifter finns inte är nödvändigt (jfr t.ex. prop. 2017/18:107 s. 29 f.). För att kunna göra nödvändiga beräkningar av effekter av förändringar i skatte-, avgifts- och bidragssystemen samt de offentliga välfärdstjänsterna behöver Fasit innehålla känsliga personuppgifter inom områden som kan påverka systemen och som är en del av de offentliga välfärdstjänsterna. Fasit ska dock inte innehålla fler kategorier av känsliga personuppgifter än vad det faktiskt finns behov av för att säkerställa att det går att utföra tillförlitliga simuleringar inom centrala områden för skatte-, avgifts- och bidragssystemen. 2018/19:118 har personuppgifter med koppling till den registrerades hälsa haft störst betydelse för modellen, exempelvis uppgifter om utbetalningar från socialförsäkrings- och välfärdssystemen. Det kan t.ex. handla om uppgifter om sjukpenning, sjuk- och aktivitetsersättning samt om tandvård- och läkemedelskostnader. Det är i huvudsak fråga om uppgifter beträffande avgifter och transfereringar kopplade till de angivna förmånerna. Däremot behövs normalt inte uppgifter om t.ex. diagnoser och liknande uppgifter om sjukdomar. Även uppgifter om avgifter för medlemskap i arbetstagarorganisationer kan behöva behandlas, eftersom behandling av dessa är nödvändig för att bl.a. beräkna den disponibla inkomsten och statens kostnader för skattereduktioner. Vidare kan känsliga uppgifter behöva behandlas vid uppföljningar och utvärderingar av exempelvis etableringsreformer och övriga riktade insatser för personer som har invandrat till . Det kan då bli fråga om att behandla uppgifter som sammantagna avslöjar en persons etniska ursprung. Det finns ett stort behov av att simulera etableringsformer och andra riktade insatser till exempelvis personer som har invandrat till . Enligt regeringens bedömning står också behandlingen av de aktuella uppgifterna i proportion till det eftersträvade syftet att kunna göra tillförlitliga simuleringar inom centrala områden för skatte-, avgifts- och bidragssystemen. Enligt lagen ska endast ett urval av personuppgifter i Fasit kunna lämnas ut av SCB och då i avidentifierat skick. Det finns också begränsningar i vilka som ska få ta del av urvalet och uppgifterna omfattas av stark sekretess. Uppgifterna i Fasit och i det urval som SCB lämnar ut till användarna ska inte heller få sammanföras med andra uppgifter i syfte att ta reda på en enskilds identitet. Sammantaget innebär detta att särskilda åtgärder vidtagits för att säkerställa den registrerades grundläggande rättigheter och intressen (se vidare avsnitt 8.4, 8.7 och 8.8). Mot denna bakgrund anser regeringen att uppgifter som avslöjar facklig tillhörighet och etniskt ursprung bör få behandlas i Fasit, och i det urval som lämnas ut till användare. Enligt regeringens bedömning är det också tydligt att det finns behov av att i Fasit och det urval som lämnas ut, behandla uppgifter som rör hälsa. Med begreppet hälsa avses uppgifter som rör alla aspekter, såväl fysiska som psykiska, av en persons hälsa. Ett förtydligande i lagtexten av det slag som föreslagit av hur begreppet hälsa närmare ska definieras bedöms inte vara nödvändigt. Uppgifter om innehållet i vård och uppgifter om läkemedel kommer normalt inte behöva behandlas för att kunna genomföra analyserna. Sådana uppgifter kan dock vara aktuella om de behövs i analyser för att simulera och beräkna effekter av befintliga och nya regelverk samt andra förändringar inom t.ex. offentliga välfärdstjänster. Precis som för annan behandling av personuppgifter med stöd av Fasitlagen gäller att behandlingen måste vara nödvändig för något av de tillåtna ändamål som lagen ställer upp. Detta framgår redan av bestämmelserna som reglerar ändamålen och behöver därför inte regleras särskilt i bestämmelsen om behandling av känsliga personuppgifter. Behandling av personnummer och Regeringens förslag: ska ha rätt att behandla uppgifter om personnummer och samordningsnummer. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorian föreslås att SCB ska ha rätt att behandla uppgifter om personnummer eller motsvarande identitetsbeteckning. Remissinstanserna: Samtliga remissinstanser som har yttrat sig i frågan tillstyrker förslaget eller har inte något att invända mot detta. Skälen för regeringens förslag: Enligt 3 kap. 10 § dataskyddslagen får personnummer och samordningsnummer behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. I sektorsspecifik reglering kan behandling av personnummer och samordningsnummer tillåtas i andra fall än de som tillåts enligt bestämmelsen i dataskyddslagen. En avvikande bestämmelse måste dock leva upp till EU:s dataskyddsförordnings krav på lämpliga skyddsåtgärder för de registrerades fri- och rättigheter (se artikel 87 i dataskyddsförordningen och prop. 2017/18:105 s. 102). Som anförts i avsnitt 8.3 behöver SCB ha tillgång till och kunna behandla uppgifter om totalbefolkningen med identitet i Fasit för att skapa Fasits basår samt för att förvalta och utveckla modellen. SCB:s rätt att behandla personuppgifter behöver därför omfatta personnummer och samordningsnummer. Med personnummer och samordningsnummer avses detsamma som i folkbokföringslagen (1991:481). Rätten att behandla personnummer och samordningsnummer är en direkt och nödvändig förutsättning och bedöms regelmässigt vara klart motiverad med hänsyn till ändamålen med personuppgiftsbehandlingen. En sådan reglering skapar också en tydlighet för den enskilde. Regleringen utgör alltså en särreglering i förhållande till dataskyddslagen. I promemorian föreslås att SCB ska ha rätt att behandla uppgifter om personnummer eller motsvarande identitetsbeteckning. Eftersom någon annan form av identitetsbeteckning än personnummer och samordningsnummer inte finns för fysiska personer bör begreppet identitetsbeteckning bytas ut mot samordningsnummer. Utlämnande av det särskilda urvalet Regeringens förslag: ska ta fram ett särskilt urval av personuppgifter i Fasit som inte direkt kan hänföras till en Urvalet får på begäran lämnas ut av till och andra myndigheter under regeringen. Promemorians förslag överensstämmer delvis med regeringens. promemorian föreslås att regeringen ska meddela föreskrifter om vilka 2018/19:118 andra än statliga myndigheter som personuppgifter i Fasit ska kunna lämnas ut till. Vidare föreslås att det av lagtexten ska framgå att personuppgifter som lämnats ut endast får behandlas för de ändamål som framgår av lagen. Remissinstanserna: Samtliga remissinstanser, utom Datainspektionen, Inspektionen för socialförsäkringen, SCB och , tillstyrker promemorians förslag eller har inte något att invända mot detta. SCB är i och för sig positiv till att det i lag och förordning ska anges vilka organisationer som har rätt att använda Fasit, men anser att myndigheten bör ges rätt att avgöra vem som, efter sedvanlig utlämnandeprövning, ska ges tillgång till Fasit. SCB framhåller också att myndigheten hanterar en mängd prövningar av utlämnande av mikrodata och inte bedömer att det finns skäl till att hantera Fasit annorlunda. anser att det bör finnas tydligare beskrivningar av vilka som ska få ta del av Fasit. Datainspektionen ifrågasätter om de som ska ta del av Fasits urval har en fastställd rättslig grund för sin behandling av personuppgifter. Skälen för regeringens förslag SCB ska ta fram ett särskilt urval för utlämnande I Fasit samlas en mycket stor mängd personuppgifter om enskilda identifierbara individer. För mikrosimulering och statistikframställning är det tillräckligt att användarna har tillgång till ett statistiskt väl avvägt urval av uppgifter. framställer SCB särskilda urval ur och som görs tillgängliga för användare (se vidare avsnitt 4.1 och 4.2). För att säkerställa att det även fortsättningsvis tas fram underlag av detta slag bör det i Fasitlagen föreskrivas att SCB ska vara skyldig att sammanställa ett sådant urval som kan göras tillgängligt för användarna. Det är viktigt att i största möjliga mån minska integritetsriskerna för enskilda. är uppgifterna som lämnas ut anonymiserade eftersom uppgifterna inte ska användas för åtgärder eller beslut som avser fysiska personer. Så bör det vara även i fortsättningen, varför det av regleringen bör framgå att urvalet endast ska innehålla uppgifter som inte direkt kan hänföras till en person. Till vilka ska urvalet få lämnas ut? Fasit används framför allt av och . Även andra statliga myndigheter har ett stort behov av modellen. har enligt 7 kap. 1 § RF och 1 § förordningen (1996:1515) med instruktion för i uppdrag att bereda regeringsärenden och för att biträda regeringen och statsråden i deras verksamhet i övrigt. I det uppdraget ingår att ta fram underlag till regeringens beslut och utreda olika frågor. Merparten av arbetet i och dess departement kretsar kring lagstiftning och statens budget. krävs utredningsunderlag med kort varsel. Fasit gör det möjligt att relativt snabbt beräkna ekonomiska utfall av gällande regler och att simulera utfall av alternativa regler och på så sätt detaljerat beskriva bl.a. utgiftsförändringar och fördelningseffekter. sker med gängse statistiska metoder och resulterar i tabeller, medelvärden, Prop. 2018/19:118 makrotal, spridningstal och andra ekonomiska parametrar. Inom används Fasit av . har till uppgift att bl.a. tillhandahålla resurser och service till riksdagsledamöterna och partikanslierna (se 1 § lagen [2011:745] med instruktion för ). utgör landets lagstiftande makt och riksdagsarbetet består bl.a. i att behandla förslag till nya lagar. använder Fasit för att göra bl.a. beräkningar av finansiella och fördelningspolitiska effekter av politiska beslut. Dessa beräkningar görs på uppdrag av enskilda riksdagsledamöter eller av partikanslier. Enligt regeringens bedömning är användningen av Fasit i och nödvändig för att utföra den uppgift av allmänt intresse som respektive myndighet utför enligt sina instruktioner. Som utgångspunkt har också andra statliga myndigheter som använder Fasit ett fastställt uppdrag som gör det nödvändigt för dem att använda Fasit för att fullgöra deras uppdrag (se även avsnitt 8.1). Dessa myndigheter har tillgång till urvalet utifrån denna utgångspunkt. Till skillnad från Datainspektionen bedömer således regeringen att det inte kan ifrågasättas om dessa myndigheter har fastställda rättsliga grunder för sin behandling av personuppgifterna. Mot denna bakgrund anser regeringen att det i lagen bör anges att SCB ska få lämna ut det anonymiserade urvalet till och samt och andra myndigheter under regeringen. I enlighet med vad som anförts i avsnitt 8.1 bedömer regeringen att Fasitlagen inte bör omfatta utlämnande till några ytterligare aktörer. De personuppgifter som lämnas ut får endast behandlas för de ändamål som anges i lagen. Detta framgår redan av regleringen om lagens tillämpningsområde och tillåtna ändamål, varför något särskilt tillägg om detta i bestämmelsen om det särskilda urvalet, som föreslagits i promemorian, inte är nödvändigt. 8.5.2Möjligheten att bevara underlag för identifiering Regeringens förslag: När personuppgifter i Fasit lämnas ut får de förses med en beteckning (löpnummer) som hos kan kopplas till personnummer eller samordningsnummer, om det är nödvändigt för ändamålet med mottagarens behandling. En förteckning (kodnyckel) över löpnummer och personnummer eller samordningsnummer får bevaras hos i högst . får i enskilda fall besluta om att en kodnyckel får bevaras . Promemorians förslag överensstämmer delvis med regeringens. I promemorian hänvisas till personnummer eller motsvarande identitetsbeteckning. I promemorian föreslås även att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om att en kodnyckel får bevaras om det finns särskilda skäl.