prop · H603118 · 2019-05-02 00:00:00 — 2018/19:118 Remissinstanserna: Samtliga remissinstanser som yttrat sig i frågan, utom Datainspektionen, tillstyrker promemorians förslag eller har inte något att invända mot detta. Datainspektionen ifrågasätter att regeringen eller den myndighet som regeringen bestämmer ska kunna föreskriva en längre bevarandetid för kodnyckeln för att kunna utföra longitudinella statistiska studier. En sådan ytterligare behandling av personuppgifter faller utanför de föreslagna tillåtna ändamålen. Enligt myndigheten är det oklart vilket lagligt stöd som en sådan behandling har enligt EU:s dataskyddsförordning och hur den förhåller sig till kraven i 2 kap. 6 § RF. Skälen för regeringens förslag: Enligt artikel 5 e i EU:s dataskyddsförordning får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter. I det urval av Fasit som lämnas ut till användare finns enbart uppgifter som inte är direkt hänförbara till en enskild person. Endast SCB har tillgång till uppgifter om identitet. För att kunna uppdatera den urvalsmodell av Fasit som lämnas ut tar SCB fram en kodnyckel. En sådan kodnyckel är nödvändig för att tillgodose behovet av att uppdatera och kvalitetssäkra modellen. Denna kodnyckel bör inte bevaras än nödvändigt. Eftersom ett nytt basår tas fram finns endast behov av att bevara kodnyckeln . Att en kodnyckel bevaras minskar i stor utsträckning risken för integritetsintrång. Därigenom förhindras bl.a. möjligheten att lägga till nya data till de uppgifter som lämnats ut och möjligheten att identifiera en enskild blir i princip omöjlig efter det att kodnyckeln gallrats. En bestämmelse om att kodnyckeln endast får bevaras under högst bör därför tas in i lagen. Det kan i särskilda fall finnas behov av att bevara kodnyckeln , exempelvis för longitudinella studier. Regeringen anser till skillnad från Datainspektionen att ett sådant bevarande ryms inom de tillåtna ändamålen med behandlingen. Den behandling som sker i samband med bevarandet av kodnyckeln är nödvändig för att återskapa ett specifikt basår, viket det kan finnas behov av i de fall en användare önskar undersöka förändringar för specifika individer. Bevarandet av kodnyckeln säkerställer i detta sammanhang att samma individer verkligen ingår när SCB skapar ett urval som ska lämnas ut till användare. Urvalet ska sedan användas för sådan simulering och framställning av statistik som är tillåtna ändamål enligt lagen. SCB bör därför i enskilda fall få besluta om att en kodnyckel får bevaras . Kodnyckeln får självfallet inte bevaras för ändamål som inte är tillåtna enligt lagen. Som framgår av avsnitt 8.1 bedömer regeringen, till skillnad från Datainspektionen, att behandlingen av personuppgifter i Fasit inte innebär ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § RF. I enlighet med vad som anförts i avsnitt 8.4.2 anser regeringen att Prop. 2018/19:118 begreppet identitetsbeteckning som anges i promemorians förslag bör bytas ut mot samordningsnummer. 8.5.3Formerna för utlämnande av urvalet Regeringens bedömning: Det behövs inga särskilda regler om elektroniskt tillgängliggörande av Fasit. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Inga remissinstanser som yttrat sig i frågan, förutom Datainspektionen, har några synpunkter på bedömningen. Datainspektionen anser att de rutiner för elektroniskt utlämnande som SCB använder verkar vara lämpliga, men ifrågasätter att det helt överlåts till SCB att bedöma när och om dessa rutiner ska användas. Enligt Datainspektionen bör formen för elektroniskt utlämnande regleras i den föreslagna lagen för att uppfylla kraven på proportionalitet i EU:s dataskyddsförordning och regeringsformen. Skälen för regeringens bedömning: I vissa registerförfattningar finns bestämmelser som reglerar om, i vilka fall och på vilket sätt personuppgifter får lämnas ut elektroniskt. Syftet med sådana bestämmelser är att inskränka möjligheterna för utomstående att genom överföringar av uppgifter i personregister förfoga över uppgifterna på ett sätt som innebär risker i integritetshänseende. I lagstiftningen görs i detta sammanhang ofta åtskillnad mellan utlämnande av uppgifter genom direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling. Med direktåtkomst kan den som använder databasen via en dator på egen hand söka i denna och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet i databasen. Direktåtkomst kan även innebära att användaren ges möjlighet att hämta hem information till sitt eget system och bearbeta den där. Direktåtkomst har vidare ansetts innebära att uppgifter ur databasen lämnas ut utan att den utlämnande myndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut. Direktåtkomst innebär också ofta att mottagaren rent tekniskt ges tillgång till fler uppgifter än som faktiskt behövs för att uppnå ändamålen. För att detta ska vara tillåtet enligt offentlighets- och sekretesslagen krävs normalt att det finns sekretessbrytande bestämmelser med ett relativt omfattande tillämpningsområde, som inte endast reglerar vilka uppgifter som får behandlas, utan som även bryter sekretessen för sådana uppgifter som endast gjorts tekniskt tillgängliga. Utlämnande av uppgifter på medium för automatiserad behandling kan exempelvis innebära att elektronisk information överförs via e-post, genom utlämnande av uppgifter på ett flyttbart lagringsmedium, t.ex. flashminne (s.k. USB-minne), eller genom en direkt överföring från ett datorsystem till ett annat. har i ett rättsfall dragit slutsatsen att den avgränsning som görs av begreppet direktåtkomst genom tillämpningen av tryckfrihetsförordningens bestämmelser om allmänna handlingars offentlighet kan användas även för att bestämma detta begrepp i andra sammanhang. Det avgörande för att det ska vara fråga om direktåtkomst blir därmed om upptagningen kan anses förvarad 2018/19:118 hos en myndighet i tryckfrihetsförordningens mening. I princip samtliga uppgifter som finns i Fasit behandlas elektroniskt av SCB. Utlämnande av urvalet av uppgifter sker normalt genom fjärranslutning till myndighetens MONA-system (se avsnitt 4). Ett utlämnande på annat sätt kräver enligt den beslutsordning som gäller vid myndigheten ett beslut av myndighetens generaldirektör. Det bör i detta sammanhang framhållas att mottagaren av uppgifterna i MONA-systemet inte har någon möjlighet att påverka innehållet i databasen. Innan varje utlämnande sker en noggrann prövning av om uppgifterna kan lämnas ut och varje utlämnande kräver ett godkännande av ansvarig avdelningschef vid . Eftersom urvalet måste vara komplett för att modellen ska fungera kan användarna inte anses ha tillgång till fler uppgifter än nödvändigt. Rent tekniskt går utlämnandet till på det sättet att det skapas en kopia av det urval av databasen som ska lämnas ut och det är till den kopian som fjärranslutningen sker. Anslutningen sker således inte till själva grunddatabasen. De myndigheter som använder sig av urvalet kan således inte på egen hand söka information i Fasitdatabasen, utan ett utlämnande förutsätter ett aktivt ställningstagande från SCB. Myndigheten får därigenom anses förfoga över frågan om och i så fall vilka uppgifter som ska lämnas ut. Det saknas därför behov av en sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Vidare kan konstateras att SCB har väl utvecklade rutiner för utlämnandet av uppgifter och att utlämnandet sker på ett datatekniskt säkert sätt. Utlämnande i någon annan än elektronisk form är inte aktuellt. Regeringen delar mot denna bakgrund inte Datainspektionens bedömning att det finns behov av särskilda bestämmelser om elektroniskt tillgängliggörande av Fasit. 8.6Undantag från vissa av den registrerades rättigheter Regeringens förslag: Rätten till rättelse och rätten till begränsning av behandlingen av personuppgifter enligt EU:s dataskyddsförordning ska inte gälla vid behandling av personuppgifter i Fasit. Regeringens bedömning: Fasitlagen bör inte innehålla några särskilda bestämmelser om rätten till information, tillgång till personuppgifter, radering eller rätten att göra invändningar enligt dataskyddsförordningen. Promemorians förslag och bedömning överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser som har yttrat sig i frågan tillstyrker förslaget och instämmer i bedömningen eller har inga synpunkter på dem. Skälen för regeringens förslag och bedömning I EU:s dataskyddsförordning har den registrerades rättigheter förstärkts i syfte att ge den registrerade ökad kontroll över sina personuppgifter. Den information som ska tillhandahållas den registrerade har preciserats och utvidgats och det anges uttryckligen att den personuppgiftsansvarige ska tillhandahålla informationen i en begriplig och lättillgänglig form. Enligt artiklarna 13 och 14 är den personuppgiftsansvarige skyldig att självmant tillhandahålla den registrerade information om behandlingen av personuppgifter. Den registrerade har vidare enligt artikel 15 rätt att på begäran få tillgång till de personuppgifter som behandlas och viss information. Enligt artikel 16 har den registrerade även rätt att på begäran få felaktiga personuppgifter rättade. Förutsättningarna för att den registrerade ska få sina personuppgifter raderade anges i artikel 17 (rätten att bli bortglömd). Vidare anges i artikel 18 att den registrerade under vissa omständigheter har rätt att kräva att behandlingen begränsas. Förordningen innehåller i artikel 20 en bestämmelse som ger den registrerade rätt att få åtkomst till sina personuppgifter i syfte att föra över dem till en annan leverantör av elektroniska tjänster, s.k. dataportabilitet, om behandlingen grundar sig på den registrerades samtycke eller avtal med denne. Enligt artikel 21 har den registrerade rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e eller f, dvs. som sker för att utföra en uppgift av allmänt intresse, i myndighetsutövning eller efter en intresseavvägning. Slutligen har den registrerade enligt huvudregeln i artikel 22 rätt att inte bli föremål för ett automatiserat individuellt beslutsfattande, inbegripet profilering. I artikel 23.1 i dataskyddsförordningen anges att såväl unionsrätten som en medlemsstats nationella rätt får begränsa tillämpningsområdet för vissa skyldigheter och rättigheter som föreskrivs i förordningen, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa särskilt angivna mål. Bestämmelsen motsvarar delvis artikel 13.1 i dataskyddsdirektivet. Möjlighet att begränsa vissa av de registrerades rättigheter ges även i artikel 89.2 i förordningen, i fråga om behandling av personuppgifter för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt artikel 89.3 får vissa rättigheter också begränsas vid behandling av personuppgifter för arkivändamål av allmänt intresse. Sådana begränsningar måste ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa vissa angivna viktiga intressen. Dataskyddslagen innehåller vissa särskilda bestämmelser om tillämpningen av dataskyddsförordningens artiklar om de registrerades rättigheter. Enligt 5 kap. 1 § dataskyddslagen gäller inte artiklarna 13–15 i dataskyddsförordningen om information och tillgång till personuppgifter sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som meddelats med stöd av författning. Om den personuppgiftsansvarige inte är en myndighet gäller undantaget för uppgifter som hos en myndighet skulle ha varit sekretessbelagda enligt offentlighets- och sekretesslagen (2009:400). Artikel 15 i dataskyddsförordningen om den registrerades rätt till tillgång gäller inte personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande (5 kap. 2 § dataskyddslagen). Regeringen får meddela ytterligare föreskrifter om begränsningar enligt artiklarna 23, 89.2 och 89.3 i dataskyddsförordningen (5 kap. 3 § dataskyddslagen). För att kunna förvalta och utveckla Fasit behöver SCB behandla personuppgifter med uppgift om identitet. Övriga användare kommer endast ha tillgång till anonymiserade uppgifter. Detta bör beaktas vid bedömningen av om det behövs inskränkningar av de rättigheter som den registrerade har enligt EU:s dataskyddsförordning. En viktig utgångspunkt är att de registrerades rättigheter inte bör inskränkas i större utsträckning än vad som är absolut nödvändigt för att fullgöra verksamheten. SCB hanterar personuppgifterna i Fasit delvis för statistiska ändamål. Det finns därför anledning att låta den lagstiftning som gäller för framställning av officiell statistik vara vägledande vid bedömningen av om och i sådana fall vilka undantag som det kan finnas skäl att införa för behandlingen av personuppgifter i Fasit och i det urval som lämnas ut. Rättigheter vid SCB:s behandling av uppgifter Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige enligt artikel 13 i EU:s dataskyddsförordning självmant lämna viss information till den registrerade, bl.a. om ändamålen med och den rättsliga grunden för behandlingen. Den personuppgiftsansvariges skyldighet att förse den registrerade med sådan information i de fall personuppgifterna inte har erhållits från den registrerade anges i artikel 14. Enligt artikel 13.4 och 14.5gäller vissa undantag från skyldigheten att lämna information. Rätten till information har inte särskilt reglerats i lagen om den officiella statistiken, vilket innebär att dataskyddsförordningens och dataskyddslagens bestämmelser är tillämpliga i nu aktuella delar. Med anledning av detta bedöms det inte finnas behov av att i Fasitlagen införa särskilda bestämmelser som begränsar den registrerades rätt till information när personuppgifterna behandlas hos SCB. Enligt artikel 15 ska den registrerade ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne behandlas. Om så är fallet har den registrerade rätt att få tillgång till personuppgifterna och information om behandlingen, bl.a. om ändamålen med behandlingen och de kategorier av personuppgifter som behandlingen gäller. Rättigheten motsvarar i stora delar vad som tidigare följde av 26 § första stycket personuppgiftslagen (1998:204) om rätten till s.k. registerutdrag. Den regleringen gällde även vid sådana behandlingar av personuppgifter som omfattas av lagen om den officiella statistiken. Det kan konstateras att bestämmelserna om registerutdrag i det sammanhanget har tillämpats . I samband med dataskyddsförordningens ikraftträdande har inte heller frågan om den registrerades rätt till tillgång enligt artikel 15 särskilt reglerats i lagen om den officiella statistiken. Med hänsyn till detta bedömer regeringen att det inte finns behov av att i Fasitlagen införa något undantag från denna rättighet. Artikel 16 anger att den registrerade ska ha rätt att utan onödigt dröjsmål få felaktiga personuppgifter som rör honom eller henne rättade. Utöver rättelse ska dock den registrerade också enligt artikel 16, med beaktande av ändamålet med behandlingen, ha rätt att komplettera ofullständiga personuppgifter, bl.a. genom ett kompletterande utlåtande. Vidare framgår av artikel 18 att den registrerade har rätt att under vissa förutsättningar kräva att behandlingen av personuppgifter begränsas, bl.a. om den registrerade bestrider personuppgifternas korrekthet (som ger den personuppgiftsansvarige möjlighet att kontrollera uppgifterna). Behandlingen kan också begränsas om den är olaglig och den registrerade motsätter sig att personuppgifterna raderas och i stället begär en begränsning av deras användning. På motsvarande sätt kan behandlingen begränsas om den personuppgiftsansvarige inte längre behöver personuppgifterna för ändamålen med behandlingen, men den registrerade behöver dem för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Begränsning kan även aktualiseras i situationer då den registrerade i enlighet med artikel 21.1 har invänt mot en behandling av personuppgifter i väntan på kontroll av huruvida den personuppgiftsansvariges berättigade skäl väger tyngre än den registrerades skäl. Av artikel 89.2 framgår att undantag från rättigheterna i artikel 16 och 18 får föreskrivas i medlemsstaternas nationella rätt vid behandling för statistiska ändamål, om sådana rättigheter sannolikt kommer att göra det omöjligt eller mycket svårare att uppfylla de särskilda ändamålen, och undantagen krävs för att uppnå dessa ändamål. Enligt artikel 23.1 e kan också tillämpningsområdet för rättigheterna enligt bl.a. artiklarna 16 och 18 begränsas i syfte att säkerställa andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. En sådan begränsning måste enligt samma artikel ske med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. av personuppgifter för att upprätta Fasits urval, förvalta Fasit och lämna ut Fasits urval är nödvändig bl.a. för de statistikuttag som Fasits användare kan göra med hjälp av urvalet. Behandlingen innebär därmed en behandling för statistiska ändamål. Vidare tillgodoser SCB:s förvaltning och utveckling av Fasit samt utlämnande till myndigheter viktiga allmänna intressen, exempelvis att kvalitetssäkra lagstiftning inom skatteområdet och social trygghet. Uppgifterna i Fasit får inte behandlas i syfte att kartlägga eller vidta åtgärder i fråga om enskilda individer. Den registrerades intresse av att begränsa behandlingen av vissa uppgifter eller att rätta en felaktig uppgift bör därför vara högst begränsat. En sådan ordning skulle vidare riskera att göra det omöjligt eller mycket svårare för SCB att förvalta och utveckla Fasit med god kvalitet. Regeringen bedömer mot denna bakgrund att det finns förutsättningar för att med stöd av artikel 23.1e och 89.2 göra undantag från rättigheterna i artikel 16 och 18 vid SCB:s personuppgiftsbehandling i Fasit. I artikel 17 i dataskyddsförordningen finns bestämmelser om rätt till radering ("rätten att bli bortglömd") som innebär att den registrerade under vissa förhållanden ska ha rätt att av den personuppgiftsansvarige få sina personuppgifter raderade och den personuppgiftsansvarige ska vara skyldig att utan onödigt dröjsmål radera personuppgifter. Av artikel 17.3 b framgår att rätten till radering inte gäller i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse, utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Rätten till radering gäller inte heller om behandlingen är nödvändig för statistiska ändamål enligt artikel 89.1, i den utsträckning som rätten omöjliggör eller avsevärt försvårar uppnåendet av syftet med den behandlingen (artikel 17.3 d). Behandlingen av personuppgifter i Fasit får anses ske under sådana förhållanden som avses i artikel 17.3 b och d. Under dessa omständigheter, och med beaktande av att någon begränsning i fråga om utplåning av uppgifter inte har införts i lagen om den officiella statistiken, finns det inte anledning att i Fasitlagen begränsa rätten till radering. Av artikel 21.1 i dataskyddsförordningen framgår att den registrerade ska ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1e eller f. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa avgörande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. En möjlighet för den registrerade att invända mot behandlingen av personuppgifter skulle, på samma sätt som rätten till rättelse och begränsning, kunna begränsa SCB:s möjligheter att upprätta och förvalta Fasit. Som utgångspunkt finns det därför anledning att begränsa den registrerades möjlighet att göra invändningar. Eftersom SCB enligt sin instruktion kommer att vara skyldig att förvalta och utveckla Fasit utför myndigheten en nödvändig personuppgiftsbehandling för att fullgöra en rättslig förpliktelse enligt artikel 6.1 c. I de fallen gäller inte rätten att göra invändningar i artikel 21 i dataskyddsförordningen. Sammantaget behöver något undantag från artikel 21 vid SCB:s behandling inte införas i Fasitlagen. Rättigheter vid användarnas behandling Myndigheter som använder Fasit kommer till skillnad från SCB inte att ha möjlighet att vidta någon åtgärd för att identifiera den registrerade eftersom uppgifterna lämnas ut i avidentifierat skick. Detta får betydelse för de registrerades rättigheter enligt dataskyddsförordningen. Myndigheterna kan för det första inte tillhandahålla sådan information till den registrerade som avses i artikel 14. Det finns således inte någon anledning att göra undantag från rättigheterna i artikel 14 vid den behandling som sker hos Fasits användare. Att Fasits användare inte kan identifiera den registrerade innebär även att användarna kommer sakna möjlighet att rätta, komplettera eller radera personuppgifterna eller att begränsa personuppgiftsbehandlingen. Användaren kommer inte heller kunna ge en registrerad tillgång till de personuppgifter som behandlas. Det följer därmed av artikel 11.2 att artiklarna 15–18 inte gäller vid behandlingen av personuppgifter i Fasits urval. Det behövs således inte någon särskild reglering för att göra undantag från dessa artiklar. Rätten att göra invändningar enligt artikel 21 i dataskyddsförordningen Prop. 2018/19:118 omfattas inte av det direkt tillämpliga undantaget i artikel 11.2. artikel 21.6 gäller rätten dock inte vid behandling för statistiska ändamål i enlighet med artikel 89.1, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse, dvs. med rättslig grund i artikel 6.1 e. 8.1görs bedömningen att artikel 6.1 e i huvudsak kommer utgöra den rättsliga grunden för användarna vid behandling av personuppgifter i Fasit. För behandling hos användarna som sker för statistiska ändamål gäller således inte rätten att göra invändningar. När behandling sker för att simulera och beräkna effekter av befintliga och nya regelverk samt andra förändringar inom skatte-, avgifts- och bidragssystemen och de offentliga välfärdstjänsterna är det inte lika tydligt att det är fråga om behandling för statistiska ändamål. Om det inte införs något undantag kan därmed rätten att göra invändningar gälla vid den behandlingen. Användarna av urvalet kan dock som konstaterats inte identifiera de registrerade och de ändamål som behandlingen sker för kräver inte heller att de registrerade identifieras.