prop · H603151 · 2019-06-25 00:00:00 — För att undvika sådana oklarheter bör lagen innehålla en bestämmelse som klargör att personuppgifter får behandlas för forskningsändamål. Eftersom forskning inte är en central arbetsuppgift för myndigheten bör bestämmelsen utformas så att det framgår att personuppgifter får behandlas om det är nödvändigt för forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete. Kammarrätten i förespråkar att bestämmelsen placeras tidigare i lagen eftersom den anger den yttre ramen för vilken behandling av personuppgifter som är tillåten. Vad gäller bestämmelsens placering i lagen kan det konstateras att strukturen i den föreslagna lagen följer strukturen i de fyra registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen, utvärdering och . Det finns ett värde i att bestämmelsernas ordning är likartad i registerlagarna. 5.7.2Lagen ska upplysa om att regeringen kan begränsa ändamålen och de uppgifter som får behandlas Regeringens förslag: Det ska införas en upplysningsbestämmelse som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka uppgifter som får behandlas för ett visst ändamål. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: ifrågasätter lämpligheten i att ändringar i ändamålsregleringen kan komma att ske i myndighetsföreskrifter som myndighetens instruktion regleras i förordning. I övrigt har inte remissinstanserna några synpunkter på förslaget. Skälen för regeringens förslag: Den primära ändamålsbestämmelsen i den föreslagna lagen fastställer den yttersta ramen för myndighetens personuppgiftsbehandling inom lagens tillämpningsområde. Det kan emellertid finnas skäl att införa mer detaljerade bestämmelser som begränsar ändamålen och vilka uppgifter som får behandlas. Utredningen föreslår mot den bakgrunden att det i lagen införs en bestämmelse som upplyser om möjligheten att begränsa ändamålen och vilka personupp- gifter som får behandlas. Eftersom det är frågan om en upplysnings- Prop. 2018/19:151 bestämmelse om möjligheten att begränsa ändamålen och vilka personuppgifter som får behandlas kommer det inte med stöd av bestämmelsen att vara möjligt att utvidga eller ändra ändamålen i lagen. 5.8Uppgifter som lämnas i överensstämmelse med lag eller förordning Regeringens förslag: Personuppgifter som behandlas för de primära ändamålen ska också få behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på förslaget. Skälen för regeringens förslag: I vissa fall finns behov av att lämna ut personuppgifter till en annan myndighet eller någon annan i enlighet med författning. Exempel på detta är när uppgifter behöver lämnas ut för att myndigheten ska uppfylla krav enligt offentlighets- och sekretesslagen. Myndigheten för arbetsmiljökunskap kommer med stöd av dataskyddsförordningen att kunna behandla personuppgifter för att kunna lämna ut uppgifter enligt lag eller förordning, antingen med stöd av artikel 6.1 c (rättslig förpliktelse) eller med stöd av 6.1 e (uppgift av allmänt intresse). Frågan är då om det ändå behövs en bestämmelse som anger att personuppgifter får behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. En sådan bestämmelse gör det tydligare för den registrerade att uppgifterna kan behandlas även för detta ändamål och kan därmed ses som en integritetshöjande åtgärd i förhållande till dataskyddsförordningen. Med anledning av intresset av att det ska vara tydligt för den registrerade att uppgifter kan komma att lämnas ut bör det i lagen införas en sådan bestämmelse. Som flera remissinstanser påpekar använder utredningen uttrycket utlämnande av uppgifter i sitt förslag till lagtext medan ordet uppgiftslämnande används i författningskommentaren. Enligt regeringens uppfattning bör, liksom i andra registerlagar på arbetsmarknadsområdet, ordet uppgiftslämnande användas i lagtexten. 5.9 Lagen ska innehålla en bestämmelse om finalitetsprincipen Regeringens förslag: Det ska i lagen införas en bestämmelse om att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål, under förutsättning att dessa inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på 2018/19:151 Skälen för regeringens förslag: Enligt artikel 5.1 b i dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. I artikel 6.4 i förordningen beskrivs vad den personuppgiftsansvarige bör beakta för att fastställa om behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in. Principen om att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål brukar kallas finalitetsprincipen. Finalitetsprincipen enligt artikel 5.1 b i dataskyddsförordningen gäller även vid behandling enligt den föreslagna lagen. Tydlighetsskäl talar dock för att det i den föreslagna lagen bör införas en bestämmelse som klargör att det är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med insamlingsändamålen. Denna bestämmelse utgör tillsammans med uppräkningen av tillåtna ändamål en sådan ändamålsbegränsning som avses i artikel 6.3 i dataskyddsförordningen. 5.10Känsliga personuppgifter och krav på etikprövning Regeringens förslag: I myndighetens samlingar av personuppgifter ska endast sådana uppgifter som avses i artikel 9.1 i dataskyddsförordningen (känsliga personuppgifter) som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning få behandlas. Lagen ska innehålla en upplysningsbestämmelse om att forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen föreslår att endast personuppgifter som avslöjar etniskt ursprung eller medlemskap i fackförening och om hälsa ska få behandlas. Remissinstanserna: De flesta remissinstanser som yttrar sig över utredningens förslag är positiva till att myndigheten får möjlighet att behandla känsliga personuppgifter om hälsa, etniskt ursprung och medlemskap i fackförening. Ett par remissinstanser efterlyser dock ett mer fördjupat resonemang när det gäller vilka känsliga personuppgifter som myndigheten ska kunna behandla. anser att regeringen bör överväga om myndigheten ska få behandla även uppgifter om sexuell läggning och religiös eller filosofisk övertygelse. och Trafikanalys anger att andra uppgifter som är kopplade till diskrimineringsgrunder enligt diskrimineringslagen (2008:567) kan vara relevanta för studier om kränkande särbehandling i arbetslivet. anger att Myndigheten för arbetsmiljökunskap kan behandla känsliga personuppgifter i ärendehandläggning med stöd av dataskyddslagen. Den kompletterande promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Flertalet av de som har yttrat sig över förslaget i promemorian är positiva till det eller saknar invändningar mot det, bl.a. i ställer sig positiv till att myndigheten även ska få behandla känsliga personuppgifter som rör religiös och filosofisk övertygelse och en persons sexuella läggning. Med den föreslagna ändringen kan myndigheten, enligt organisationen, genomlysa samtliga diskrimineringslagens diskrimineringsgrunder vilket enligt organisationen är väsentligt för att på ett relevant sätt bidra med underlag för arbetsmarknadens parters och lagstiftarens arbete med att förbättra arbetsmiljön. framhåller att de föreslagna förändringarna i den kompletterande promemorian utgör en viktig förutsättning för att Myndigheten för arbetsmiljökunskap ska kunna utföra sitt uppdrag och bidra med värdefull kunskap som berör jämställdhet. anger att det inte tydligt framgår varför det behövs en särskild reglering och begränsning av personuppgiftsanvändningen i myndigheten. ifrågasätter också om bestämmelsen om känsliga personuppgifter bidrar till avsedd tydlighet. framhåller att det finns anledning att utgå från att behandling av uppgifter om såväl sexuell läggning som religiös övertygelse kan vara av relevans vid studier om t.ex. kränkande särbehandling och därigenom för kunskapen om organisatorisk och social arbetsmiljö. En förutsättning för att en sådan behandling ska vara godtagbar är dock, enligt ombudsmannen, att den sker på ett sätt som säkerställer skyddet för den personliga integriteten och med upprätthållande av grundläggande principer om anonymitet, frivillighet och självklassificering. Datainspektionen avstyrker förslaget, bl.a. med hänvisning till att det enligt inspektionen inte redovisas någon konsekvens- eller proportionalitetsbedömning. Skälen för regeringens förslag Dataskyddsförordningens förbud mot behandling av känsliga personuppgifter och vissa undantag från förbudet Det finns ett förbud mot att behandla särskilda kategorier av personuppgifter (känsliga personuppgifter) i artikel 9.1 i dataskyddsförordningen. Förbudet omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet sexualliv, se t.ex. propositionen Behandling av personuppgifter inom (prop. 2000/01:126 s. 31) och propositionen Ett starkare skydd mot diskriminering (prop. 2007/08:95 s. 125–129). 2018/19:151 I artikel 9.2 i dataskyddsförordningen anges ett antal uttömmande undantag från förbudet mot att behandla känsliga personuppgifter. Ett sådant undantag gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Denna rätt ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Ett annat undantag gäller bl.a. vid behandling för forskningsändamål. Undantagsbestämmelsen anger att förbudet mot att behandla känsliga personuppgifter inte ska tillämpas om behandlingen är nödvändig för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, på grundval av unionsrätten eller medlemsstaternas nationella rätt. Rätten ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 j). Behövs en särskild reglering om myndighetens behandling av känsliga personuppgifter? anger att den verksamhet som omfattas av den föreslagna lagen mycket väl kan utgöra ärendehandläggning och därmed omfattas av det generella stödet för att behandla känsliga personuppgifter i dataskyddslagen. Som påpekar kan den verksamhet vid Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys utgöra handläggning av ärenden i förvaltningsrättslig mening. Myndigheten kan därmed även utan stöd i en särskild registerlag behandla känsliga personuppgifter med stöd av 3 kap. 3 § 2 dataskyddslagen, under förutsättning att behandlingen är nödvändig för handläggningen av ett ärende. Myndigheten kan också behandla känsliga personuppgifter med stöd av 3 kap. 3 § 1 och 3 om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt dataskyddslagen, och i annat fall om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Det kan konstateras att bestämmelser i lag eller förordning som avviker från bestämmelserna i dataskyddslagen ska tillämpas framför bestämmelserna i dataskyddslagen. Förslaget till bestämmelse om att endast vissa kategorier av känsliga personuppgifter ska få behandlas ska därför tillämpas framför dataskyddslagens bestämmelser om behandling av känsliga personuppgifter. Genom den generella reglering som i kompletterar dataskyddsförordningen finns således stöd för myndigheter att behandla känsliga personuppgifter, bl.a. i myndigheters ärendehantering. En särskild reglering som gäller för myndigheten är därför, strikt talat, inte en förutsättning för att myndigheten ska kunna behandla känsliga personuppgifter. Även om Myndigheten för arbetsmiljökunskap kan behandla känsliga personuppgifter direkt med stöd av dataskyddslagen bör det dock finnas en bestämmelse i den föreslagna lagen som anger vilka kategorier av känsliga personuppgifter som får behandlas. Bestämmelsen bidrar till Prop. 2018/19:151 tydlighet både för myndigheten och andra om vilka kategorier av känsliga personuppgifter som får behandlas. En lagbestämmelse sätter också gränser för behandlingen av känsliga personuppgifter, gränser som fastställs av och som är motiverade med anledning av de relativt stora mängder av personuppgifter som kan komma att behöva samlas vid myndigheten. pekar även på att regleringen kan leda till otydlighet om myndigheten upptäcker att ett dokument innehåller någon enstaka uppgift som tillhör någon av de kategorier av känsliga personuppgifter som myndigheten inte får behandla. I sådana situationer kan det enligt uppkomma en osäkerhet om myndigheten får ta del av dokumentet. Dataskyddslagen är subsidiär, dvs. bestämmelser i lag eller förordning som avviker från bestämmelserna i dataskyddslagen ska tillämpas framför bestämmelserna i dataskyddslagen. I vissa konkreta fall skulle det dock, som påpekar, kunna uppstå en osäkerhet om bestämmelserna i den föreslagna lagen ska tillämpas eller om bestämmelserna i dataskyddslagen ska tillämpas, t.ex. om myndigheten får ta del av känsliga personuppgifter som enskilda respondenter har lämnat i en enkätstudie eller som enskilda har sänt till myndigheten i ett e- postmeddelande. synpunkt väcker således frågan om förhållandet mellan dataskyddslagen och den nu föreslagna lagen när det gäller behandling av känsliga personuppgifter. Det generella stöd som finns i dataskyddslagen för myndigheters behandling av känsliga personuppgifter bör kunna tillämpas även inom den nu föreslagna lagens tillämpningsområde. I annat fall skulle myndigheten inte kunna behandla alla kategorier av känsliga personuppgifter som myndigheten får ta del av utan att ha efterfrågat uppgifterna, t.ex. uppgifter som finns i handlingar som myndigheten får sig tillsända och som myndigheten enligt lag behöver diarieföra, bevara eller besvara. bör enligt regeringens uppfattning den föreslagna lagens reglering tillämpas framför dataskyddslagens bestämmelser när det är fråga om en sådan behandling av känsliga personuppgifter som medför stora integritetsrisker. I de samlingar som myndigheten föreslås få ha är integritetsriskerna särskilt påtagliga eftersom det i samlingarna finns ett stort antal personuppgifter som behandlas automatiserat och som det enkelt går att söka i. I dessa samlingar råder dessutom myndigheten självständigt, inom de ramar som det gällande regelverket uppställer, över vilka personuppgifter som ska tillföras och bevaras i samlingarna. Av dessa skäl är det enligt regeringens mening lämpligt att den nu föreslagna begränsningen av vilka känsliga personuppgifter som myndigheten ska få behandla ska gälla vid behandling i myndighetens samlingar av personuppgifter. Detta bör också framgå av lagtexten. Med en sådan avgränsning och ett sådant klargörande i lagtexten minimeras den osäkerhet som skulle kunna uppstå om myndigheten upptäcker att ett dokument som myndigheten fått sig tillsänt innehåller någon enstaka uppgift som tillhör en av de kategorier av känsliga personuppgifter som myndigheten inte får behandla enligt det nu aktuella förslaget. Vilket behov av behandling av känsliga personuppgifter har myndigheten? Myndigheten för arbetsmiljökunskap har ett behov av att behandla personuppgifter som rör hälsa. Myndigheten behöver t.ex. kunna behandla uppgifter om individer i ärenden om arbetsskador och arbetssjukdomar, uppgifter om enskilda arbetstagares exponering för kemikalier och studier där fysiska personer redogör för sin uppfattning om arbetsmiljörelaterade besvär. Myndigheten kommer även att behöva behandla uppgifter om arbetstagares funktionsnedsättningar för att utföra sitt uppdrag. Det är viktigt att myndigheten har möjlighet att studera skillnader i arbetsmiljö på individnivå. Till exempel finns det skillnader i arbetsmiljörelaterade problem mellan kvinnor och män, vilket till stor del beror på den könssegregerade arbetsmarknaden. Det är vanligare med stress och psykiska påfrestningar i arbetet hos kvinnor medan män är överrepresenterade i statistiken över arbetsrelaterade olyckor och dödsolyckor. Det finns också andra individuella faktorer än kön som det kan vara relevant att studera för att förstå sambanden mellan arbete och hälsa. Exempelvis kan det vara nödvändigt att studera om det finns skillnader i arbetsmiljö mellan arbetstagare med tidsbegränsad anställning och tillsvidareanställning. En ökad kunskap om vilka faktorer som påverkar situationen på arbetsplatser är betydelsefull för att målen om en god arbetsmiljö och jämställd hälsa ska kunna uppnås. I regleras villkoren på arbetsmarknaden i stor utsträckning genom kollektivavtal. Den svenska arbetsmarknaden bygger på en ansvarsfördelning mellan staten och arbetsmarknadens parter. Statens roll är att bidra till ett ändamålsenligt regelverk och andra styrmedel för att säkra goda arbetsvillkor och tillkomst av nya jobb, som förutsättningar skapas för arbetsmarknadens parter att i kollektivavtal ta ansvar för villkorens närmare utformning. Av arbetsmiljölagen (1977:1160) framgår det att det är arbetsgivaren som ansvarar för arbetsmiljön och samverkar med arbetstagare för att åstadkomma en god arbetsmiljö. Arbetsmarknadens parter är av den anledningen i högsta grad en del av det arbetsmiljöarbete som bedrivs på arbetsplatserna. Mot bakgrund av arbetstagarorganisationernas viktiga roll i att skapa en god arbetsmiljö finns det, som utredningen påpekar, behov för myndigheten att t.ex. studera sambandet mellan å ena sidan arbetsmiljön och hur den upplevs och å andra sidan organisationsgraden och arbetstagarinflytandet över skyddsarbetet på den aktuella arbetsplatsen. Av dessa skäl behöver myndigheten kunna behandla uppgifter om medlemskap i fackförening. När det gäller möjligheten att behandla känsliga personuppgifter som avslöjar etniskt ursprung kan arbetsmarknadssituationen skilja sig mellan inrikes och utrikes födda. Det finns också en rörlighet på arbetsmarknaden i och med den ökade globaliseringen och medlemskap i . Av dessa skäl kan det som utredningen framhåller vara nödvändigt för myndigheten att behandla personuppgifter om födelseland och medborgarskap, dvs. uppgifter som direkt eller indirekt kan avslöja en persons etniska ursprung. Det kan också finnas anledning att behandla personuppgifter om etniskt ursprung vid studier om kränkande särbehandling i arbetslivet. Vissa remissinstanser, däribland och , framhåller att även andra känsliga personuppgifter kan vara relevanta för studier om kränkande särbehandling i arbetslivet och ställer sig frågande till utredningens motivering av gränsdragningen. I betänkandet anges att det inom arbetsmiljöforskning förekommer studier om kränkande särbehandling i arbetslivet och att utredningen därför har övervägt om den nya myndigheten även bör ha möjlighet att behandla vissa andra känsliga uppgifter som är kopplade till diskrimineringsgrunder enligt diskrimineringslagen, såsom uppgifter om sexuell läggning och religiös eller filosofisk övertygelse. Utredningen kommer dock till slutsatsen att myndigheten inte bör få behandla sådana kategorier av personuppgifter. En reglering som möjliggör vissa studier om kränkande särbehandling i arbetslivet, men inte andra, skulle dock kunna leda till sämre förutsättningar för myndigheten att bidra till kunskapen om arbetssjukdomar. En av de vanligaste orsakerna till anmälda arbetssjukdomar är faktorer som beror på den organisatoriska och sociala arbetsmiljön. har antalet anmälda arbetssjukdomar på grund av den organisatoriska och sociala arbetsmiljön fördubblats. Det är också den främsta orsaken till anmäld arbetssjukdom bland kvinnor. Kränkande särbehandling har, som påpekar, direkt inverkan på den organisatoriska och sociala arbetsmiljön och studier om olika former av kränkande särbehandling är av betydelse för kunskap om den organisatoriska och sociala arbetsmiljön i stort. Det kan därför vara relevant för myndigheten att, i t.ex. en enkätstudie eller liknande, ställa frågor som handlar om kränkningar kopplade till t.ex. trosuppfattning eller sexuell läggning. Utöver de kategorier av känsliga personuppgifter som Myndigheten för arbetsmiljökunskap har behov av att kunna behandla finns i dataskyddsförordningen ytterligare ett antal kategorier av känsliga personuppgifter. Dessa är personuppgifter som avslöjar ras eller politiska åsikter, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person och uppgifter om en fysisk persons sexualliv. När det gäller dessa kategorier är behovet av att myndigheten ska kunna behandla sådana uppgifter litet eller obefintligt och de bör därmed inte ingå i uppräkningen i den föreslagna bestämmelsen. Myndigheten har således behov av att kunna behandla fem kategorier av känsliga personuppgifter. Dessa kategorier är personuppgifter som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning. Dataskyddsförordningens krav på proportionalitetsbedömning När nationell lagstiftning som kompletterar dataskyddsförordningen införs måste en proportionalitetsbedömning göras (artikel 6.3 andra stycket i dataskyddsförordningen). Det finns även ett krav på proportionalitetsbedömning när undantag från förbudet mot behandling av känsliga personuppgifter görs i de nu aktuella fallen (artikel och j). Datainspektionen anger att det i en proportionalitetsbedömning måste framgå hur det allmänna intresset har vägts mot integritetsintresset i det aktuella lagstiftningsärendet. Inspektionen framhåller också att när det är fråga om en omfattande behandling av känsliga personuppgifter bör även en konsekvensbedömning enligt artikel 35 i dataskyddsförordningen göras. Enligt Datainspektionen redovisas inte någon proportionalitetsbedömning i promemorian och inspektionen anger att det därför inte är möjligt att ta ställning till om förslaget är förenligt med dataskyddsförordningen. Datainspektionen efterfrågar i det fortsatta lagstiftningsarbetet en sådan proportionalitetsbedömning.