prop · H603151 · 2019-06-25 00:00:00 — Den nu föreslagna lagen kommer att närmare fastställa den rättsliga grunden i den nationella rätten, bl.a. när det gäller de allmänna villkoren för behandling av personuppgifter, för vilka ändamål personuppgifter får behandlas och åtgärder för att tillförsäkra en laglig och rättvis behandling. Lagen kommer även att innehålla sådana skyddsåtgärder som enligt dataskyddsförordningen ska omfatta behandling av personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Regeringens förslag: Lagen ska gälla vid behandling av personuppgifter i verksamhet vid myndigheten som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. Lagen ska endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på förslaget. Skälen för regeringens förslag Lagen ska endast gälla kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys vid myndigheten I förordningen med instruktion för Myndigheten för arbetsmiljökunskap anges myndighetens centrala arbetsuppgifter. Myndigheten ska inom sitt ansvarsområde samla in, sammanställa och sprida kunskap baserad på forskning på ett begripligt och lättillgängligt sätt, utvärdera och analysera effekter av beslutade och genomförda statliga reformer och andra statliga initiativ samt följa och analysera utvecklingen i syfte att stärka sitt kunskaps-, analys- och utvärderingsarbete. Myndigheten får bedriva den forskning som är nödvändig för att dessa uppgifter ska kunna fullgöras. För denna verksamhet kommer myndigheten att ha behov av att behandla många, däribland känsliga, personuppgifter, varför behandling av person- uppgifter inom dessa områden bör regleras i den nya lagen. Myndigheten har även andra arbetsuppgifter. Myndigheten ska följa och främja kunskapsuppbyggnad om arbetsmiljöfrågor i EU och internationellt samt följa och främja företagshälsovårdens utveckling. För att utföra dessa uppgifter behöver myndigheten behandla personuppgifter, t.ex. kontakt- uppgifter till personer på myndigheter, EU-institutioner, internationella organisationer och till enskilda forskare och andra som är intresserade av Även inom ramen för myndighetens uppdrag att sprida kunskap i syfte att bidra till att kunskap om arbetsmiljö kommer till användning i praktiken kommer myndigheten att behöva behandla person- I dessa verksamheter är dock behovet av behandling av person- uppgifter inte lika omfattande och innefattar känsliga personuppgifter som myndighetens kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. I dessa Prop. 2018/19:151 delar finns därför tillräckligt rättsligt stöd och tillräckliga skydds- och säkerhetsåtgärder för behandlingen av personuppgifter i det generella dataskyddsregelverket och i förordningen med instruktion för Myndig- heten för arbetsmiljökunskap. Lagens tillämpningsområde bör av dessa skäl avgränsas till behandling av personuppgifter i verksamhet vid myndigheten som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. Lagens tillämpningsområde ska motsvara dataskyddsförordningens materiella tillämpningsområde Dataskyddsförordningens materiella tillämpningsområde omfattar, enligt artikel 2.1, sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt på annan behandling än automatisk behandling av personuppgifter som ingår i eller kommer att ingå i ett register. Det bedöms lämpligt att den föreslagna lagens tillämpningsområde är detsamma som dataskyddsförordningens tillämpningsområde. 5.3Lagens förhållande till annan reglering Lagens förhållande till dataskyddsförordningen Regeringens förslag: Lagen ska innehålla en bestämmelse som tydliggör att lagen kompletterar dataskyddsförordningen. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Förvaltningsrätten i efterfrågar definitioner i den föreslagna lagen. I övrigt har ingen av remissinstanserna synpunkter på förslaget. Skälen för regeringens förslag: Dataskyddsförordningen är direkt bindande och tillämplig i och ska inte genomföras i svensk rätt. Dataskyddsförordningen gäller oavsett om det i den föreslagna lagen införs en bestämmelse som hänvisar till förordningen eller inte. eringen anser dock att det på samma sätt som i övriga registerlagar på arbetsmarknadsområdet bör införas en bestämmelse i lagen som tydliggör att den innehåller kompletterande bestämmelser till dataskyddsförord- Hänvisningar till EU-rättsakter kan göras antingen statiska eller Dataskyddsförordningen är direkt tillämplig och är den huvud- sakliga rättsakten på området för dataskydd. De hänvisningar till data- skyddsförordningen som föreslås i lagen avser klargörandet av förhåll- andet mellan lagen och dataskyddsförordningen, bestämmelser av upplys- ningskaraktär samt hänvisningar till definitioner i och undantag från data- Hänvisningarna föreslås vara dynamiska, dvs. förordningen gällande lydelse. Valet av dynamiska hän- visningar innebär att de kommer att omfatta eventuella ändringar i data- Förvaltningsrätten i anser att den föreslagna lagen skulle bli tydligare om det fanns en bestämmelse som angav definitioner av de olika och uttrycken i lagen, t.ex. en definition av termen register. 2018/19:151 Regeringen vill med anledning av denna synpunkt understryka att den nya lagen kompletterar dataskyddsförordningen och att termer och uttryck i lagen bör tolkas i enlighet med dataskyddsförordningens terminologi. Mot bakgrund av detta anser regeringen att det inte är nödvändigt eller lämpligt att införa legaldefinitioner av termer och uttryck i lagen. 5.3.2Lagens förhållande till dataskyddslagen Regeringens förslag: Lagen ska innehålla en bestämmelse som anger att dataskyddslagen och föreskrifter som har meddelats i anslutning till dataskyddslagen gäller, om inte något annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har synpunkter på förslaget. Skälen för regeringens förslag: Dataskyddslagen kompletterar dataskyddsförordningen på en generell nivå i . I dataskyddslagen finns det generella bestämmelser som utgör tillåtna specificeringar av och undantag från dataskyddsförordningen. I 1 kap. 6 § dataskyddslagen anges att om en annan lag eller förordning innehåller en bestämmelse som avviker från den lagen, tillämpas den bestämmelsen. Dataskyddslagen är alltså subsidiär och dess bestämmelser kommer därmed att gälla för Myndigheten för arbetsmiljökunskap om inte den föreslagna lagen eller annan författning föreskriver något annat. Det är således inte en rättslig nödvändighet att införa en hänvisningsbestämmelse till dataskyddslagen. En bestämmelse som klargör att lagen inte utgör en uttömmande nationell reglering under dataskyddsförordningen har dock enligt regeringens bedömning ett pedagogiskt värde och underlättar för den som ska tillämpa regelverket. Motsvarande bestämmelse finns även i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen, utvärdering och . 5.4Undantag från rätten att göra invändningar Regeringens förslag: Artikel 21.1 i dataskyddsförordningen om rätten att göra invändningar ska inte gälla vid sådan behandling som är tillåten enligt den föreslagna lagen eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar ska dock gälla när personuppgifterna samlas in direkt från den enskilde. Utredningens förslag: Överensstämmer delvis med regeringens. Utredningen föreslår inte att rätten att göra invändningar ska gälla när personuppgifterna samlas in direkt från den enskilde. Remissinstanserna: Datainspektionen anser att i de fall enskilda återkallar sitt samtycke till behandlingen bör de även ha rätt att invända mot behandlingen. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag Dataskyddsförordningen innehåller en rätt att göra invändningar Enligt dataskyddsförordningen har den registrerade rätt att göra invänd- ningar mot behandling av personuppgifter avseende honom eller henne (artikel 21.1). För myndigheter begränsar sig rätten att göra invändningar enligt denna bestämmelse till behandling av personuppgifter som grundar sig på att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighets- utövning (artikel 6.1 e). Rätten att göra invändningar ska senast vid den första kommunikationen med den registrerade uttryckligen meddelas den registrerade och redovisas tydligt, klart och åtskilt från eventuell annan information (artikel 21.4). Rätten att invända mot behandlingen av personuppgifter är begränsad om det rör sig om personuppgifter som behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1. I sådana fall har den registrerade rätt att göra invändningar mot behandling av personuppgifter avseende honom eller henne om inte behandlingen är nödvändig för att utföra en uppgift av allmänt intresse (artikel 21.6). ordningen lämnar även utrymme för medlemsstaterna att specificera och göra undantag från rätten att göra invändningar när personuppgifter behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål under förutsättning att det finns lämpliga skyddsåtgärder för de registrerade (skäl 156). Rätten att göra invändningar innebär att den registrerade har en möjlighet att få till stånd en överprövning av behandlingens tillåtlighet. Överprövningen innebär att den personuppgiftsansvarige måste kunna visa att dennes tvingande berättigade intressen väger tyngre än den registrerades intressen (artikel 21.1). den registrerade rätt att kräva att behandlingen av personuppgifterna beg- ränsas (artikel 18.1 d). Om det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderade (artikel 17.1 c). Det är den person- uppgiftsansvarige som ska kunna redogöra för varför behandlingen ska få Rätten att göra invändningar kan begränsas i unionsrätten eller i nationell rätt, men då måste begränsningen uppfylla krav på nödvändighet, proportionalitet och legitimt ändamål (artikel 23.1). begränsning ska det, när så är relevant, finnas vissa specifika bestämmelser, bl.a. om omfattningen av begränsningen skyddsåtgärder för att förhindra missbruk (artikel 23.2). Det finns skäl att göra undantag från rätten att göra invändningar Myndigheten för arbetsmiljökunskaps behov av att behandla personupp- gifter innefattar bl.a. behandling som sker för forskningsändamål i enlighet med artikel 89.1. Som framgår ovan har de registrerade inte rätt att invända mot sådan behandling i den utsträckning det är nödvändigt att behandla personuppgifterna för att utföra en uppgift av allmänt intresse. rätten att invända enligt dataskyddsförordningen får en begränsad betydelse finns det ändå skäl att göra undantag från den. skälet är att myndigheten annars i enskilda fall skulle behöva påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter innan myndigheten 2018/19:151 fortsätta behandla personuppgifterna (artikel 21.1). En sådan prövning i enskilda fall kan inte anses motiverad eftersom de tvingande berättigade skälen till att behandla personuppgifter för att öka och sprida kunskap om arbetsmiljö i regel får anses väga tyngre än enskildas intressen. Vidare skulle det vara svårt för både de registrerade och för myndigheten att avgöra när rätten att göra invändningar skulle gälla eftersom behandlingen av personuppgifter i stor omfattning sker för forskningsändamål. En begränsning av rätten att invända kan under vissa förutsättningar göras enligt artikel 23 i dataskyddsförordningen. Arbetet med kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys i syfte att bidra till en ökad kunskap om arbetsmiljö är ett viktigt mål för både EU och och som rör folkhälsa och social trygghet (artikel 23.1 e). Begränsningen är både nödvändig för att undvika ett oklart rättsläge och proportionell eftersom begränsningen i praktiken rör ett begränsat antal registrerade. Därför anser regeringen, i likhet med utredningen, att det i den föreslagna lagen bör finnas en bestämmelse där det anges att artikel 21.1i dataskyddsförordningen om rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den. Begränsningen av rätten att göra invändningar bör inte gälla när personuppgifter samlas in direkt från den enskilde När det gäller uppgifter som samlas in direkt från den enskilde, t.ex. genom enkät- eller intervjuförfaranden, kommer det i allmänhet att finnas större integritetsrisker än när uppgifterna samlas in från myndigheter eller andra källor. Det har att göra med att uppgifter som samlas in från andra myndigheter i regel inte kommer att kunna hänföras direkt till en person. Därför delar regeringen bedömning att skälen för ett undantag från rätten att göra invändningar inte väger lika tungt i förhållande till de integritetsrisker som är förenade med behandling av personuppgifter som direkt kan hänföras till en person. Därför bör rätten att göra invändningar enligt artikel 21.1 i dataskyddsförordningen gälla när uppgifterna samlas in direkt från den enskilde. Krav på medgivande när uppgifterna samlas in direkt från den enskilde Regeringens förslag: Om personuppgifter samlas in direkt från den enskilde ska de endast få behandlas om personen har lämnat sitt uttryckliga medgivande till behandlingen. Den registrerade ska ha rätt att när som helst återkalla ett lämnat med- Ytterligare personuppgifter om den registrerade ska därefter inte få behandlas. Utredningens förslag: Överensstämmer i huvudsak med regeringens. utredningens förslag används ordet samtycke i stället för medgivande. Remissinstanserna: Förvaltningsrätten i har synpunkter på I övrigt har remissinstanserna inga synpunkter Skälen för regeringens förslag: Vid Myndigheten för arbetsmiljö- Prop. 2018/19:151 kunskap kan det bli aktuellt att samla in uppgifter direkt från enskilda personer, t.ex. i enkät- eller intervjustudier. Utredningen föreslår en bestämmelse om att i de fall personuppgifterna har samlats in direkt från den enskilde får de endast behandlas om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. Den registrerade ska, enligt utredningens förslag, ha rätt att när som helst återkalla ett lämnat samtycke och därefter får, enligt förslaget, inga ytterligare personuppgifter om den registrerade behandlas. Enligt Förvaltningsrätten i har utredningens förslag till bestämmelse utformats som en rättslig grund trots att det i författningskommentaren anges att samtycke inte kommer att vara den rättsliga grund enligt vilken personuppgifterna behandlas. Dataskyddsförordningen är direkt tillämplig i medlemsstaterna och förordningens krav på att varje behandling av personuppgifter måste ha en rättslig grund gäller alltid. Likaså gäller de krav som ställs för att samtycke ska kunna användas som rättslig grund. Myndigheten för arbetsmiljökunskap får således inte behandla personuppgifter med stöd av samtycke som rättslig grund i fall det råder en betydande ojämlikhet mellan myndigheten och den registrerade (skäl 43 i dataskyddsförordningen). I syfte att minimera risken för att den nu aktuella bestämmelsen uppfattas som den rättsliga grunden för behandlingen av personuppgifter bör ordet medgivande användas i stället för ordet samtycke i den föreslagna bestämmelsen. Av bestämmelsen bör även framgå att ett lämnat medgivande kan återkallas när som helst och att ett återkallat medgivande innebär att inga ytterligare uppgifter om den enskilde får behandlas. Innehållet i bestämmelsen motsvarar det som föreskrivs i artikel 7 i dataskyddsförordningen som avser behandling som stödjer sig på samtycke som rättslig grund. Det är enligt regeringens uppfattning lämpligt att motsvarande krav ska gälla i detta fall då bestämmelsen utgör en integritetshöjande åtgärd. 5.6Myndigheten ska vara personuppgiftsansvarig Regeringens förslag: Myndigheten för arbetsmiljökunskap ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: anser att myndigheten inte bör utpekas som personuppgiftsansvarig. I övrigt har remissinstanserna inga synpunkter på förslaget. Skälen för regeringens förslag: I artikel 4.7 i dataskyddsförordningen definieras personuppgiftsansvarig som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Bedömningen av vem som är personuppgiftsansvarig för en viss behandling ska därmed enligt huvudregeln göras utifrån dataskyddsförordningen och med utgångspunkt i de faktiska omständigheterna 2018/19:151 i varje enskilt fall. Medlemsstaterna kan dock enligt artikel 4.7 i dataskyddsförordningen ange vem som är personuppgiftsansvarig i den nationella rätten om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt. Utredningen föreslår att myndigheten ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen eftersom ett sådant utpekande bidrar till tydlighet om ansvaret för behandlingen. anger att bestämmelsen som utredningen föreslår om att Myndigheten för arbetsmiljökunskap ska vara personuppgiftsansvarig kan få till följd att myndigheten inte kan vara personuppgiftsbiträde vid behandling av personuppgifter inom lagens tillämpningsområde. Detta kan enligt leda till problem i myndighetens administrativa arbete och samarbeten med andra myndigheter och forskare. Enligt regeringens bedömning bidrar den föreslagna bestämmelsen om personuppgiftsansvar till tydlighet både för myndigheten och de som registreras av myndigheten. Motsvarande bestämmelse finns i registerlagarna för Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen, utvärdering och och det har inte framkommit något som tyder på att dessa bestämmelser har skapat den typ av svårigheter som pekar på. Det bör därför framgå av den nya lagen att Myndigheten för arbetsmiljökunskap ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen. Regeringens förslag: Personuppgifter ska få behandlas om det är nödvändigt för 1.insamling, sammanställning och spridning av kunskap om arbetsmiljö, 2.utvärdering och analys av statliga reformer och andra statliga initiativ, 3.bevakning och analys av utvecklingen på arbetsmiljöområdet, och 4.forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete. Utredningens förslag: Överensstämmer i sak med regeringens. Utredningen föreslår dock inte att det ska införas en bestämmelse som klargör att personuppgifter får behandlas för forskning. Utredningen föreslår även en annan redaktionell utformning av bestämmelsen. Remissinstanserna: uppger att det saknas behov av ändamålsbestämmelsen och föreslår att den ska tas bort eller ändras så att det framgår att myndigheten får behandla personuppgifter för att uppfylla sitt uppdrag. Kammarrätten i förespråkar att bestämmelsen placeras tidigare i lagen eftersom den anger den yttre ramen för vilken behandling av personuppgifter som är tillåten. Enligt är det av största vikt att forskningsuppdraget är tydligt i den nya Skälen för regeringens förslag De primära ändamålen med behandlingen ska anges Det är en allmän dataskyddsrättslig princip att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Det är också vanligt att ändamålsbestämmelser tas in i registerförfattningar för att sätta den yttersta ramen för behandlingen av personuppgifter. Utredningen föreslår sådana ändamålsbestämmelser. En bestämmelse som anger de primära ändamålen innebär att ramen för behandlingen av personuppgifter inom lagens tillämpningsområde fastställs av . En ändamålsbestämmelse ger vidare möjlighet att på ett övergripande plan balansera intresset av myndighetens personuppgiftsbehandling mot intresset av det intrång i den personliga integriteten som behandlingen kan innebära. noterar att den föreslagna ändamålsbestämmelsen inte fullt ut motsvarar 2 § förordningen med instruktion för Myndigheten för arbetsmiljökunskap som reglerar myndighetens centrala arbetsuppgifter. uppger att detta skapar risker för oklara förutsättningar för behandlingen av personuppgifter. Det saknas enligt behov av ändamålsbestämmelsen och föreslår därför att den tas bort eller ändras så att det i stället framgår att myndigheten får behandla personuppgifter för att uppfylla sitt uppdrag. All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunder som anges i artikel 6 i dataskyddsförordningen. För Myndigheten för arbetsmiljökunskaps del kommer den rättsliga grunden i allmänhet att vara att behandlingen är nödvändig för en fullgöra en uppgift av allmänt intresse (artikel 6.1 e i dataskyddsförordningen) eller rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). Enligt dataskyddsförordningen ska en uppgift av allmänt intresse eller en rättslig förpliktelse fastställas i unionsrätten eller i den nationella rätten för att kunna läggas till grund för personuppgiftsbehandlingen (artikel 6.3). Myndighetens uppgifter fastställs i förordningen med instruktion för Myndigheten för arbetsmiljökunskap, myndighetens årliga regleringsbrev och i särskilda uppdrag som regeringen ger myndigheten. Den nu föreslagna ändamålsbestämmelsen syftar till att i lag sätta en yttre ram för behandlingen av personuppgifter som gör att det finns tydliga och förutsebara gränser för vilken behandling som kan utföras med stöd av de uppgifter som regeringen ger myndigheten. Att ta bort denna ram alternativt att i lagen ange att myndigheten får behandla personuppgifter för att fullgöra sina arbetsuppgifter enligt förordningen med instruktion för Myndigheten för arbetsmiljökunskap är därför inte lämpligt enligt regeringens uppfattning. Det skulle nämligen medföra att ramarna för myndighetens behandling av personuppgifter inte fastställdes i lag utan i förordning eller regeringsbeslut. Enligt är det av största vikt att forskningsuppdraget är tydligt i den nya lagen eftersom inte bara utlämnande av uppgifter som är direkt hänförliga till enskilda enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400) utan även statistikansvariga myndigheters utlämnande av uppgifter med en s.k. kodnyckel förutsätter att uppgifterna ska användas för forskning eller statistik. 2018/19:151 Myndigheten för arbetsmiljökunskap kommer att ha ett betydande behov av att kunna inhämta personuppgifter från statistikansvariga myndigheter. Statistikansvariga myndigheter får enligt 24 kap. 8 § tredje stycket offentlighets- och sekretesslagen lämna ut en personuppgift som omfattas av statistiksekretess om uppgiften behövs för forsknings- eller statistikändamål och om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Eftersom utredningens lagförslag inte innehåller någon bestämmelse som uttryckligen medger att myndigheten får behandla personuppgifter för forsknings- eller statistikändamål kan det uppfattas oklart om statistikansvariga myndigheter får lämna ut personuppgifter som omfattas av statistiksekretess till Myndigheten för arbetsmiljökunskap.