prop · H603151 · 2019-06-25 00:00:00 — Regeringens proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten Prop. Regeringen överlämnar denna proposition till . Propositionen innehåller förslag till en ny lag som ska komplettera EU:s dataskyddsförordning när personuppgifter behandlas vid Myndigheten för arbetsmiljökunskap. Förslaget syftar till att ge myndigheten möjlighet att behandla de personuppgifter som är nödvändiga för att myndigheten ska kunna fullgöra sina arbetsuppgifter på ett effektivt sätt som enskildas personliga integritet värnas. Lagen föreslås omfatta behandling av personuppgifter i den del av myndighetens verksamhet som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. I denna verksamhet föreslås myndigheten få ha samlingar av personuppgifter. Den föreslagna lagen innehåller olika skyddsåtgärder och begränsningar som syftar till att värna enskildas personliga integritet. Den nya lagen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap ............................................... Ärendet och dess beredning .............................................................. En ny arbetsmiljömyndighet och ............ Myndigheten för arbetsmiljökunskap ................................. Anpassningar av svensk rätt till Behandling av personuppgifter vid Myndigheten för En ny lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap ............................... Lagens förhållande till annan reglering ............................ Lagens förhållande till dataskyddslagen.......... Undantag från rätten att göra invändningar ...................... Krav på medgivande när uppgifterna samlas in direkt från den enskilde .................................................... Myndigheten ska vara personuppgiftsansvarig ................ Ändamålen med behandlingen ........................ Lagen ska upplysa om att regeringen kan begränsa ändamålen och de uppgifter som Uppgifter som lämnas i överensstämmelse med lag Lagen ska innehålla en bestämmelse om Känsliga personuppgifter och krav på etikprövning......... Myndigheten ska få ha samlingar av personuppgifter ...... personuppgifter där kodnyckeln förvaras hos den myndighet uppgifterna kommer personuppgifter där kodnyckeln förvaras hos Myndigheten för arbetsmiljökunskap ....... Tillgången till personuppgifter ska begränsas .................. Det ska inte finnas några begränsningar av tillåtna Det bör inte införas bestämmelser om gallring ................ Det saknas behov av överklagandebestämmelser............. 7.2Konsekvenser för jämställdhet mellan kvinnor och Konsekvenser i övrigt...................................................... Sammanfattning av betänkandet Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap (SOU 2018:45) ................................ Förteckning över remissinstanserna (betänkandet).......... Sammanfattning av Kompletterande promemoria till betänkandet Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap .............................. Förteckning över remissinstanserna (promemorian) ....... Utdrag ur protokoll vid regeringssammanträde .......... 2018/19:151 1 antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. 2Förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Härigenom föreskrivs följande. 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet vid Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. Lagen tillämpas endast på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Förhållandet till annan reglering 2 § Denna lag kompletterar och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. 3 § Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte något annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar gäller dock när personuppgifterna samlas in direkt från den enskilde. Medgivande när uppgifter samlas in direkt från den enskilde 5 § Om personuppgifterna samlas in direkt från den enskilde, får de behandlas endast om personen har lämnat sitt uttryckliga medgivande till behandlingen. Den registrerade har rätt att när som helst återkalla ett lämnat medgivande. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. 6 § Myndigheten för arbetsmiljökunskap är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag. 7 § Personuppgifter får endast behandlas om det är nödvändigt för 1.insamling, sammanställning och spridning av kunskap om arbetsmiljö, 2.utvärdering och analys av statliga reformer och andra statliga initiativ, 3.bevakning och analys av utvecklingen på arbetsmiljöområdet, och 4.forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av ändamålen och om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. 8 § Personuppgifter som behandlas för de ändamål som anges i 7 § får också behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. 9 § Personuppgifter som behandlas enligt 7 § får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Behandling av känsliga personuppgifter 10 § I myndighetens samlingar av personuppgifter får endast sådana uppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning behandlas. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas. 11 § Myndigheten får ha samlingar av personuppgifter som behandlas automatiserat och som är försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Personuppgifter i sådana samlingar som avses i första stycket får inte behandlas i syfte att röja en persons identitet. 12 § Myndigheten får om det är nödvändigt för ett särskilt projekt även ha samlingar av personuppgifter som behandlas automatiserat och som är försedda med en beteckning som förvaras skilt från uppgifterna och som Prop. 2018/19:151 myndigheten kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. Personuppgifter i samlingar som avses i första stycket får inte sambearbetas med varandra. Denna begränsning gäller inte för en sådan sambearbetning av personuppgifter som är nödvändig för att myndigheten ska kunna upprepa eller följa upp ett tidigare genomfört projekt. 13 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Denna lag träder i kraft . 2018/19:151 3 Ärendet och dess beredning Regeringen beslutade att tillkalla en särskild utredare för att förbereda och genomföra bildandet av en ny myndighet, Myndigheten för arbetsmiljökunskap. I uppdraget ingick att lämna nödvändiga författningsförslag för myndighetens tillgång till och arbete med statistik och databaser. Regeringen beslutade därefter att förlänga tiden för denna del av utredningsuppdraget till . beslutade regeringen om tilläggsdirektiv till utredningen där utredarens uppdrag i fråga om författningsförslag utökades till att även beakta att myndigheten får bedriva den forskning som är nödvändig för att myndigheten ska kunna fullgöra vissa av sina uppgifter inom sitt ansvarsområde. Utredningen som antog namnet Utredningen om inrättande av Myndigheten för arbetsmiljökunskap presenterade betänkandet Be- handling av personuppgifter vid Myndigheten för arbetsmiljökunskap (SOU 2018:45). En sammanfattning av betänkandet finns i bilaga 1 och utredningens lagförslag finns i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. En remissammanställning finns tillgänglig i (A2018/01209/ARM). har det utarbetats en kompletterande promemoria till betänkandet med förslag om vilka kategorier av känsliga personuppgifter som myndigheten ska få behandla (A2018/01209/ARM). En sammanfattning av promemorian finns i bilaga 4 och promemorians lagförslag finns i bilaga 5. En förteckning över remissinstanserna finns i bilaga 6. En remissammanställning finns tillgänglig i (A2019/00356/ARM). Regeringen beslutade att inhämta Lagrådets yttrande över det förslag som finns i bilaga 7. Lagrådets yttrande finns i bilaga 8. Lagrådet har lämnat förslaget utan erinran. I förhållande till lagrådsremissens lagförslag har vissa språkliga och redaktionella ändringar gjorts. En ny arbetsmiljömyndighet och EU:s Myndigheten för arbetsmiljökunskap är en ny statlig myndighet på arbets- marknadsområdet som inledde sin verksamhet . heten är ett nationellt för arbetsmiljöfrågor och ska sammanställa och sprida kunskap om arbetsmiljö i syfte att bidra till att kunskap om arbetsmiljö kommer till användning i praktiken. har också till uppgift att följa och analysera utvecklingen på arbetsmiljö- området samt utvärdera och analysera statliga arbetsmiljöinsatser. uppdrag är att arbeta med företagshälsovårdens utveckling och arbets- Prop. 2018/19:151 miljöfrågor i Europeiska unionen (EU) och internationellt. och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen, utgör den generella regleringen av behandling av personuppgifter inom EU. Det huvudsakliga syftet med förordningen är bl.a. att säkerställa en enhetlig skyddsnivå i hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande och specificerade nationella bestämmelser av olika slag. 4.3Anpassningar av svensk rätt till dataskyddsförordningen , som dataskyddsförordningen började tillämpas, upphävdes personuppgiftslagen (1998:204) som lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här kallad dataskyddslagen, trädde i kraft. Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning. Detta innebär att om det finns avvikande bestämmelser i sektorsspecifika registerförfattningar ska de tillämpas framför motsvarande bestämmelser i dataskyddslagen. På arbetsmarknadsområdet har registerförfattningarna för , Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och utvärdering anpassats till dataskyddsförordningen, se propositionen Anpassningar av registerförfattningar på arbetsmarknadsområdet till EU:s dataskyddsförordning (prop. 2017/18:112). 5Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap 5.1En ny lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap Regeringens förslag: En särskild lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap ska införas. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna ställer sig positiva till förslaget. Till dessa hör Arbetsförmedlingen, , för hälsa, arbetsliv och välfärd (Forte), i , och Myndigheten för arbetsmiljökunskap. Förvaltningsrätten i anser att den föreslagna lagen bidrar till skyddet för den personliga integriteten genom att tydliggöra vad som gäller vid myndighetens behandling av personuppgifter. och Myndigheten för vård- och omsorgsanalys framför att det är viktigt att myndigheten får rättsligt stöd för att kunna genomföra sitt uppdrag. anser att personuppgiftshanteringen vid myndigheten bör omfattas av det generella dataskyddsregelverket. Även ifrågasätter att Myndigheten för arbetsmiljökunskap får sin behandling av personuppgifter reglerad i en särskild lag. anger att det hade varit önskvärt att invänta beredningen av förslag. pekar på att utredningens förslag kan komma att behöva anpassas till förslag. Skälen för regeringens förslag Behovet av att behandla personuppgifter i myndighetens verksamhet För att kunna utföra sina arbetsuppgifter är Myndigheten för arbetsmiljökunskap beroende av att kunna behandla olika typer av uppgifter. I vissa fall rör uppgifterna en identifierad eller identifierbar fysisk person och utgör därmed personuppgifter enligt dataskyddsförordningen. I andra fall handlar det om uppgifter som inte är personuppgifter i dataskyddsförordningens mening, t.ex. uppgifter om företag eller arbetsställen. En av myndighetens arbetsuppgifter är att sammanställa och sprida kunskap om arbetsmiljö och göra kunskap baserad på forskning lättillgänglig för de som arbetar praktiskt med arbetsmiljöarbete. För att kunna utföra uppgiften måste kunskapen kvalitetssäkras i syfte att säkerställa att den är relevant, tillförlitlig och av hög vetenskaplig kvalitet. Kvalitetssäkringen kommer att kräva att myndigheten har möjlighet att granska uppgifter som utgör underlag för olika utvärderingar och studier. Dessa uppgifter innefattar ofta personuppgifter. En annan arbetsuppgift för myndigheten är att utvärdera och analysera effekter av beslutade och genomförda statliga reformer och andra statliga initiativ. För att kunna utföra detta arbete behöver myndigheten studera olika orsakssamband, exempelvis mellan arbete och hälsa, samt göra studier genom att följa en individ genom olika skeenden och över långa tidsperioder, s.k. longitudinella studier. Även denna uppgift förutsätter att myndigheten har möjlighet att behandla personuppgifter. Mot bakgrund av myndighetens arbetsuppgifter och vad som krävs för att myndigheten ska kunna utföra dessa uppgifter står det klart att det finns behov av en relativt omfattande behandling av personuppgifter. Behandlingen av personuppgifter i myndighetens verksamhet ska regleras i lag Enligt 2 kap. 6 § andra stycket regeringsformen är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Om det rör sig om ett sådant betydande intrång i den personliga integriteten, krävs enligt 2 kap. 20 § regeringsformen lag för att begränsa skyddet mot övervakning och kartläggning av den enskildes personliga förhållanden. Eftersom myndighetens personuppgiftsbehandling enligt lagen kommer att ske för vissa avgränsade ändamål som inte kan anses medföra särskilda integritetsrisker och att uppgifterna inte bedöms komma att lämnas ut i någon mer omfattande utsträckning kan personuppgiftsbehandlingen i sig inte anses innebära ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen regleras i lag (se en mer utförlig grundlagsanalys när det gäller de samlingar av personuppgifter som myndigheten föreslås få ha i avsnitt 5.11.2). I svensk rätt har det länge varit en ambition att särskilt integritetskänslig registerföring ska regleras i lag, främst därför att en sådan normgivningsnivå säkerställer att det görs en grundlig utredning och en ingående avvägning mellan integritetsintresset och de intressen som talar för registerföringen, se t.ex. betänkandet Myndighetsdatalag (SOU 2015:39 s. 94). Lagreglering bidrar även till stabilitet och långsiktig förutsebarhet. I tidigare lagstiftningsarbeten finns principiella ställningstaganden om att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag, se t.ex. propositionen Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (prop. 2001/02:144 s. 16). Eftersom Myndigheten för arbetsmiljökunskap kommer att behöva samla in och bearbeta ett stort antal personuppgifter, uppgifter som ofta kommer att vara av integritetskänslig karaktär, anser regeringen att behandlingen av uppgifterna bör regleras i lag. Förslaget till lag om forskningsdatabaser överlämnade sitt slutbetänkande Rätt att forska – Långsiktig reglering av forskningsdatabaser (2018:36). Betänkandet bereds i . I betänkandet föreslås en ny lag, lagen om forskningsdatabaser, härefter 2018/19:151 kallad forskningsdatabaslagen. Den föreslagna lagen reglerar behandling av personuppgifter i forskningsdatabaser. pekar på att utredningens förslag kan komma att behöva anpassas till förslag. ifrågasätter inte att det finns ett behov av att reglera Myndigheten för arbetsmiljökunskaps behandling av personuppgifter, men anser att det hade varit önskvärt att invänta beredningen av förslag. En fråga som aktualiseras med anledning av och synpunkter är om den föreslagna forskningsdatabaslagen skulle kunna utgöra ett tillräckligt och lämpligt rättsligt stöd för den behandling av personuppgifter som Myndigheten för arbetsmiljökunskap behöver kunna utföra. En utgångspunkt för förslag är att en forskningsdatabas ska vara en nationell resurs för att tillhandahålla uppgifter till flera olika forskningsprojekt. Enligt regeringens bedömning kan det inte uteslutas att Myndigheten för arbetsmiljökunskap kan komma att bygga upp forskningsdatabaser som kan tillhandahålla uppgifter till olika forskningsprojekt utanför myndigheten. kan det konstateras att de databaser som myndigheten kommer att ha behov av inte nödvändigtvis kommer att vara sådana som utgör nationella resurser för registerbaserad forskning. förslag skulle därför inte vara en tillräcklig reglering av behandlingen av personuppgifter vid myndigheten. Det finns därmed inte anledning att avvakta den fortsatta beredningen av förslag. En särskild lag om behandling av personuppgifter vid myndigheten ska införas Flera remissinstanser har frågor om det är lämpligt att införa en särskild lag för Myndigheten för arbetsmiljökunskap eller om dess behandling av personuppgifter kan ske med stöd av det generella regelverk som finns i dataskyddsförordningen och dataskyddslagen. avstyrker förslaget med motiveringen att personuppgiftshanteringen vid myndigheten bör omfattas av det generella regelverk som redan är på plats. Om det trots allt anses finnas behov av ny reglering, bör den enligt få en mer generell utformning eller i vart fall behöver motiven till en särlagstiftning preciseras. anger att om endast vissa kunskapsmyndigheter får sin personuppgiftsbehandling reglerad i lag kan detta innebära en otydlighet och osäkerhet för både myndigheter och enskilda. Förvaltningsrätten i anger å andra sidan att den föreslagna lagen bidrar till skyddet för den personliga integriteten genom att tydliggöra vad som gäller vid myndighetens behandling av personuppgifter. Myndigheten för arbetsmiljökunskap framhåller att särskilt myndighetens uppdrag att utvärdera och analysera effekter av beslutade och genomförda statliga reformer inom arbetsmiljöområdet skulle vara ogenomförbart inom rimliga tidsramar utan en lag. Myndigheten anger också att införandet av en lag som ställer specifika krav på hur personuppgiftsbehandling får ske i myndighetens verksamhet innebär att andra aktörer får en tydligare insyn i hur personuppgifter får behandlas inom Även för hälsa, arbetsliv och välfärd (Forte) ställer sig bakom förslaget till en ny lag med motiveringen att det är viktigt att Myndigheten för arbetsmiljökunskap kan fullgöra sitt uppdrag att göra analyser av grunddata som används i forskning och göra uppföljningar på arbetsmiljöområdet. På arbetsmarknadsområdet finns fyra s.k. registerlagar som reglerar myndigheters behandling av personuppgifter, lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen, lagen (2012:741) om behandling av personuppgifter vid utvärdering och lagen (2018:258) om behandling av personuppgifter i informationssystem om arbetsskador. Registerlagarna bidrar till att myndigheterna kan fullgöra sina uppgifter på ett effektivt och ändamålsenligt sätt som de registrerades rättigheter och personliga integritet värnas. Detta eftersom registerlagarna å ena sidan innehåller en reglering som är anpassad till myndigheternas särskilda verksamhetsbehov och å andra sidan innehåller skyddsåtgärder som svarar mot de särskilda risker som finns inom myndigheternas respektive verksamheter. När det gäller Myndigheten för arbetsmiljökunskap har myndigheten behov av att kunna behandla ett relativt stort antal personuppgifter som dessutom behöver sparas för att kunna användas som underlag för utvärderingar och analyser utan långa ledtider. Myndigheten kommer vidare att vara beroende av att kunna ta del av personuppgifter från statistikansvariga myndigheter och andra aktörer som behöver veta i vilket syfte uppgifterna kommer att behandlas och vilka krav som gäller för personuppgiftsbehandlingen. Allt detta talar enligt regeringens uppfattning för att en särskild lag om behandling av personuppgifter vid myndigheten ska införas. Regeringen anser sammantaget att övervägande skäl talar för att en särskild lag bör införas. Rättslig grund enligt dataskyddsförordningen All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6 i dataskyddsförordningen. För Myndigheten för arbetsmiljökunskaps del kommer den rättsliga grunden i allmänhet att vara att behandlingen är nödvändig för att fullgöra en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen). I vissa fall kommer också den rättsliga grunden vara att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel När det gäller personuppgifter som behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål gäller särskilda bestämmelser om skyddsåtgärder och undantag för behandling (artikel 89). Enligt dataskyddsförordningen ska en uppgift av allmänt intresse eller en rättslig förpliktelse fastställas i unionsrätten eller i den nationella rätten för att kunna läggas till grund för personuppgiftsbehandlingen (artikel 6.3). Myndighetens uppgifter fastställs i förordningen (2018:254) med instruktion för Myndigheten för arbetsmiljökunskap, myndighetens årliga regleringsbrev och i särskilda uppdrag som regeringen ger myndigheten. De rättsliga förpliktelser som åvilar myndigheten följer av lag eller annan författning, av kollektivavtal 2018/19:151 eller av beslut som har meddelats med stöd av lag eller annan författning.