sou · H7B319 · 2019-04-29 00:00:00 — Sekretessbrytande regler finns endast i lagen om belastningsregister, säkerhetsskyddslagen eller förordningar som har meddelats med stöd av dessa lagar. Direktåtkomst till en annan myndighets uppgifter anses generellt sett öka riskerna för intrång i den personliga integriteten, eftersom en sådan åtkomst typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Som framhållits innehåller ett belastningsregisterutdrag uppgifter som är av mycket känslig karaktär. Integritetsaspekterna är därför av central betydelse vid bedömningen av i vilken omfattning en myndig- het bör medges direktåtkomst till registret. Vid denna avvägning är det nödvändigt att vissa aspekter hos den mottagande myndigheten be- aktas, t.ex. sekretesskyddet för uppgifterna, hur uppgifterna sprids och används och om det finns ändamålsenliga bestämmelser om informa- tionssäkerhet (jfr prop. 1997/98:97 s. 88 och Behandling av personupp- gifter i polisens brottsbekämpande verksamhet, Ds 2007:43, s. 217 f.). Allmänna utgångspunkter för en författningsreglerad registerkontroll 6.3.5Obligatorisk eller fakultativ kontroll Som redogörs för i kapitel 5 kan en registerkontroll vara obligatorisk eller fakultativ. Med att en registerkontroll är obligatorisk avses att en arbetsgivare är skyldig att kontrollera om en arbetssökande före- kommer i belastningsregistret, medan kontrollen är fakultativ om det är frivilligt för arbetsgivaren att ta del av uppgifterna i registret. Om integritetsintrånget är störst vid en obligatorisk eller en fakultativ kontroll är inte alltid givet och beror på om man beaktar sammantaget integritetsintrång eller varje enskilt sådant intrång. En möjlighet för arbetsgivaren att begära att den arbetssökande lämnar ett utdrag ur belastningsregistret innebär inte ett lika stort integritets- intrång som en motsvarande skyldighet för arbetsgivaren, eftersom antalet kontrollerade då blir färre. En obligatorisk kontroll kan emel- lertid uppfattas som mindre känslig av de som blir föremål för kon- trollen, eftersom de enskilda i ett sådant fall inte riskerar att känna sig utpekade på grund av att den tilltänkta arbetsgivaren valt att kontrollera just dem. 6.3.6Hantering av inhämtade registerutdrag I avsnitt 3.4.3 har vi redogjort för att uppgifter i ett belastnings- registerutdrag som förekommer i ett anställningsärende normalt sak- nar sekretesskydd. Den enskilde har därför ett intresse av att regis- terutdrag inte hamnar i orätta händer eller används för något annat ändamål än det som motiverade kontrollen av belastningsregistret. Avseende enskilda verksamheter kan det för att minska integri- tetsintrånget regleras att arbetsgivaren inte har rätt att behålla ett registerutdrag eller en kopia av det, utan endast att göra en anteck- ning om att utdraget har kontrollerats. En sådan reglering bidrar till att minska risken för spridning av de integritetskänsliga uppgifterna (jfr t.ex. 3 kap. 5 § förordningen [2018:1231] om försäkringsdistri- bution och prop. 2017/18:216 s. 196). Ett annat sätt att skydda den registrerades integritet kan vara att reglera hur länge arbetsgivaren får bevara ett utdrag. Allmänna utgångspunkter för en författningsreglerad registerkontroll Dataskyddsregleringen, som bland annat syftar till att skydda den enskildes personliga integritet, motsvarar i många avseenden det integritetsskydd som har behandlats i avsnitt 6.3. Behandlingen av uppgifter i belastningsregisterutdrag behöver dock särskilt analys- eras i förhållande till dataskyddet. En fråga som vi kommer att behandla i det följande är i vilken utsträckning registerkontroll omfattas av datasskyddslagstiftningen. Innan vi går in på den bedömningen i avsnitt 6.4.3 kommer vi att analysera vilken dataskyddsreglering som är tillämplig vid registerkon- troll i ett ärende om anställning (avsnitt 6.4.2). Vi kommer också att behandla kravet på rättslig grund för en sådan personuppgiftsbehand- ling (avsnitt 6.4.4) och vilka krav som i övrigt måste vara uppfyllda för att behandlingen ska vara tillåten enligt dataskyddslagstiftningen (avsnitt 6.4.5 och 6.4.6). Utredningens bedömning: När mottagaren behandlar person- uppgifter i belastningsregistret vid lämplighetsprövning inför anställning faller behandlingen under dataskyddsförordningens tillämpningsområde. Skälen för utredningens bedömning: Som redogjorts för under avsnitt 4.3 har belastningsregistret flera ändamål. De ändamål som anges i 2 § första stycket 1–3 lagen om belastningsregister avser brottsbekämpning och lagföring av brott, vilket innebär att uttag ur registret för dessa ändamål faller under brottsdatalagens tillämpnings- område. Regeringen har bedömt att förandet av belastningsregist- ret i de syften som anges i 2 § första stycket 1–3 lagen om belast- ningsregister omfattas av dataskyddsdirektivets tillämpningsområde (Personuppgiftsbehandling i viss verksamhet som rör allmän ord- ning och säkerhet – anpassningar till EU:s dataskyddsreform, prop. 2018/19:65, s. 90). Enligt regeringen påverkas inte frågan om Allmänna utgångspunkter för en författningsreglerad registerkontroll registrets grundläggande syfte av att utlämnande av uppgifter ur registret även kan ske för andra ändamål, såsom olika lämplighets- prövningar (2 § första stycket 4). Frågan här är dock närmast vilken rättsakt om dataskydd som är tillämplig för mottagande myndigheter och enskilda verksamheter vid registerkontroll i ärenden om anställning. Utredningen om 2016 års dataskyddsdirektiv har i sitt betänkande behandlat olika gränsdrag- ningsfrågor och då angett att behandling för att tillgängliggöra upp- gifter från belastningsregisterutdrag i bl.a. anställningsärenden och tillståndsärenden samt vid olika former av lämplighetsprövningar ligger utanför brottsdatalagens tillämpningsområde (Brottsdatalag, SOU 2017:29, s. 216). I propositionen Brottsdatalag har regeringen anslutit sig till den bedömning som Utredningen om 2016 års dataskyddsdirektiv har gjort när det gäller tillvägagångssättet i gränsdragningsfrågor och hänvisat till utredningen (prop. 2017/18:232 s. 110 f.). Regeringen har även i den nämnda propositionen (prop. 2018/19:65 s. 90) hänvisat till dessa förarbetsuttalanden och konstaterat att det inte finns skäl att göra någon annan bedömning av frågan avseende hur man ska se på behandling för utlämnande ur belastningsregistret i syfte att ge underlag för olika tillstånds- och lämplighetsprövningar. Regering- ens bedömning är alltså att en sådan behandling av personuppgifter omfattas av dataskyddsförordningen. Detta resonemang bör enligt vår mening även gälla när uppgifter i registret behandlas av den mottagande parten i syfte att pröva om en arbetssökande eller en anställd är lämplig för en viss tjänst. En sådan behandling av personuppgifter faller således under dataskydds- förordningens tillämpningsområde. Frågan i vilken omfattning dataskyddsregleringen är tillämplig på den behandling som myndigheter och enskilda verksamheter gör när de får del av uppgifter ur belastningsregistret i ett ärende om anställ- ning är inte alltid enkel. Inledningsvis kan det konstateras att auto- matiserad behandling av uppgifter i belastningsregister, t.ex. en direkt- åtkomst till registret, givetvis omfattas av dataskyddsförordningen. I de fall enskilda visar upp för eller överlämnar ett belastningsregister Allmänna utgångspunkter för en författningsreglerad registerkontroll till arbetsgivaren eller arbetsgivaren hämtar in uppgifter från registret, uppkommer dock fråga om arbetsgivarens hantering av uppgifterna i registret nödvändigtvis faller under dataskyddsförordningen. En förutsättning för detta är att behandlingen av personuppgifterna är helt eller delvis automatiserad eller att en behandling av per- sonuppgifterna ingår i eller kommer att ingå i ett register (artikel 2.1). Med register avses en strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centra- liserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden (artikel 4.6). I vilken utsträckning som den numera upphävda personuppgifts- lagen var tillämplig på behandlingen av tidigare lagöverträdelser i anställningsärenden behandlades av Utredningen om integritets- skydd i arbetslivet i betänkandet SOU 2009:44. Utredningen gjorde bedömningen att om en arbetsgivare endast lägger ett registerutdrag om en arbetssökande, eller uppgifter ur ett sådant utdrag, i en mapp vilken sorteras i bokstavsordning efter namn, så utgjorde inte han- teringen personuppgiftsbehandling i personuppgiftslagens mening (s. 248). har i en dom (mål C-25/17 ang. förhandsbesked från i ), prövat innebörden av begreppet register i artikel 2 c i det tidigare gällande dataskyddsdirektivet . Målet var en begäran om förhands- besked från den finska högsta förvaltningsdomstolen och en fråga i målet var om personuppgifter som Jehovas vittne samlat in vid dörr- knackning genom att upprätta minnesanteckningar som innefattade bland annat de besökta personernas namn, adress och trosuppfatt- ning, ingår i eller kommer att ingå i ett register i den mening som avses i direktivet.1 Enligt måste inte personuppgifterna ingå i sär- skilda kartotek eller förteckningar eller någon form av sökbart system för att vara ett register i den mening som avses i direktivet. Dom- stolen menade att det avgörande i stället är om de insamlade uppgift- erna strukturerats enligt kriterier som är knutna till syftet med insam- lingen av uppgifterna och om kriterierna har valts ut på ett sådant 1Enligt artikel 3.1 gäller direktivet för annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Av artikel 2 c framgår att begreppet register omfattar varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oav- sett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Allmänna utgångspunkter för en författningsreglerad registerkontroll sätt att information om en bestämd person kan erhållas med lätthet. Det är enligt domstolen betydelselöst vilket kriterium och vilken form som valts för samlingen av personuppgifter för att uppnå en viss struktur, om det enkelt går att få information om en person ur samlingen. Domstolen kom därmed fram till att med begreppet register avses en samling personuppgifter när dessa i praktiken kan erhållas med lätthet för senare användning och att samlingen inte behöver innehålla register, särskilda förteckningar eller andra arrangemang för sökning för att omfattas av begreppet. Frågan är om dom kan innebära att även hantering av belastningsregisterutdrag omfattas av dataskyddsregler- ingen, till skillnad från den bedömning som Utredningen om integri- tetsskydd i arbetslivet gjort. Vi kan då till en början konstatera att den dataskyddsreform som har ägt rum inte bör ha någon betydelse för bedömningen. Formuleringen av tillämpningsområdet i nu aktuellt avseende i dataskyddsförordningen är detsamma som i det tidigare gäl- lande dataskyddsdirektivet. Även om personuppgiftslagen har en något avvikande formulering var lagen avsedd att ha samma tillämpnings- området som direktivet (jfr m.fl., Personuppgiftslagen, Zeteo , kommentaren till 5 § och SOU 2017:29 s. 173 f.). Däremot finns det anledning anta att uttalanden om register innebär att datasskyddslagstiftningen kommer att tillämpas på fler strukturerade uppgiftssamlingar än vad som har skett. behandling i dataskyddslagstiftningens mening har ofta tolkats på så sätt att det krävs att personuppgifterna är tillgängliga för sök- ning eller sammanställning genom något särskilt arrangemang för sök- ning, t.ex. i form av register eller sökmarkörer, och att registret måste vara sökbart på mer än ett kriterium, t.ex. namn och personnummer (jfr Integritet, Offentlighet, Informationsteknik, SOU 1997:39, s. 341 f., RÅ 2001 ref. 35 och m.fl., kommentaren till 5 § per- sonuppgiftslagen). Dessa krav framgår inte av dom. Allmänna utgångspunkter för en författningsreglerad registerkontroll 6.4.4Rättslig grund för personuppgiftsbehandling Varje behandling av personuppgifter måste ha en rättslig grund enligt artikel 6.1 i dataskyddsförordningen för att vara laglig. De rättsliga grunder som är aktuella när det gäller behandling av uppgifter i belast- ningsregister är rättslig förpliktelse, allmänt intresse, myndighetsutöv- ning och, såvitt avser enskilda, berättigat intresse (artikel 6.1.c, e och f). Den rättsliga grunden, förutom vad avser berättigat intresse, måste dessutom vara fastställd i unionsrätten eller i nationell rätt i enlighet med artikel 6.3. uttag av uppgifter ur belastningsregistret, i syfte att lämna uppgifterna till andra myndigheter eller enskilda verk- samheter för lämplighetsprövning inför anställning, är reglerat i för- fattning genom lagen om belastningsregister med tillhörande för- ordning. Det innebär att myndighetens behandling är nödvändig för att fullgöra en rättslig förpliktelse enligt artikel 6.1.c (se även 2 kap. 1 § lagen [2018:218] med kompletterande bestämmelser till EU:s data- skyddsförordning [dataskyddslagen] och prop. 2018/19:65 s. 95 f. och 101). Ett ärende om anställning av arbetstagare utgör hos myndigheter myndighetsutövning (se t.ex. Högsta domstolens avgörande NJA 1985 Begreppet myndighetsutövning i dataskyddsförordningens me- ning bör stämma överens med hur begreppet myndighetsutövning annars tolkas (Ny dataskyddslag, prop. 2017/18:105, s. 62). Behandling av registeruppgifter i ett ärende om anställning hos den mottagande myndigheten kan därmed ske med stöd av den rättsliga grunden myn- dighetsutövning enligt artikel 6.1.e (se även 2 kap. 2 § 2 dataskydds- lagen). En myndighet som tar emot registeruppgifter i ett ärende om anställning har ett intresse av att bedöma lämpligheten hos den som myndigheten avser att anställa för att förhindra en anställning som kan skada såväl själva kärnverksamheten som myndighetens anseen- de och förtroende. Det ligger därmed nära till hands att dra slutsatsen att myndighetens lämplighetsprövning inför anställning är ett sådant allmänt intresse som avses i dataskyddsförordningen. Motsvarande gäller även när privata aktörer utför offentlig verksamhet, t.ex. skola, hälso- och sjukvård samt stöd och service till personer med funk- tionsnedsättning, eller när de annars utför verksamhet som kan anses vara av allmänt intresse (jfr prop. 2017/18:105 s. 58 f. och Ds 2017:58 Allmänna utgångspunkter för en författningsreglerad registerkontroll Behandling av registeruppgifter i anställningsärenden kan där- med även ske för att utföra en uppgift av allmänt intresse enligt arti- kel 6.1.e (se även 2 kap. 2 § 1 dataskyddslagen). När det gäller tillhandahållande av vissa finansiella tjänster som har direkt betydelse för samhällsekonomin kan det göras gällande att även sådan verksamhet är att betrakta som ett allmänt intresse som avses i artikel 6.1.e (jfr Ny dataskyddslag, SOU 2017:39, s. 125 f.). Under alla förhållanden kan ett sådant företag behandla register- uppgifter i ett anställningsärende för att tillgodose ett berättigat in- tresse enligt artikel 6.1 f. En del av de myndigheter som tar emot registeruppgifter i ett ärende om anställning kan även behandla uppgifterna med stöd av artikel 6.1.c, eftersom behandlingen är nödvändig för att utföra en rättslig förpliktelse. Exempelvis finns det för och en författningsreglerad förpliktelse att kontrollera belastningsregistret inför anställning av notarier respektive domare och hyresråd, se 7 a § notarieförordningen (1990:469) och 4 § förord- ningen (2010:1793) med instruktion för . På mot- svarande sätt har även vissa enskilda verksamheter ålagts en författ- ningsreglerad skyldighet att utföra registerkontroll inför anställning och kan därför åberopa rättslig förpliktelse som grund för sin behand- ling, se lagen (2007:171) om registerkontroll av personal vid vissa boenden som tar emot barn och lagen (2010:479) om registerkontroll av personal som utför vissa insatser åt barn med funktionshinder. Personuppgiftsbehandlingen enligt dataskyddsförordningen ska även vara nödvändig, se artikel 6.1.c, e och f, men också artikel 6.3 andra stycket. Kravet på nödvändighet gäller såväl för myndigheter som för enskilda. Vad avser myndigheter, svarar kravet väl mot 7 § lagen om belastningsregister som anger att en myndighet i varje sär- skilt fall noga måste pröva behovet av uppgifter ur belastningsregistret. För aktörer som utför en rättslig förpliktelse att utföra registerkontroll ligger det i sakens natur att behandlingen av registeruppgifterna är nöd- vändig för att utföra förpliktelsen. När behandling av sådana uppgifter äger rum på grund av allmänt intresse får behandlingen anses nödvändig för verksamhetens förvaltning och funktion (jfr prop. 2017/18:105 s. 60 f.). Enligt artikel 6.3 andra stycket ska syftet med behandlingen, då den grundar sig på en rättslig förpliktelse, vara fastställd i den rätts- liga grunden. Det innebär att det ska vara möjligt att förstå varför Allmänna utgångspunkter för en författningsreglerad registerkontroll behandlingen av personuppgifter ska ske och att en förpliktelse inte kan läggas till grund för behandling av personuppgifter om syftet med behandlingen inte framgår (prop. 2017/18:105 s. 54). Den rätts- liga grunden för behandlingen av belastningsregisteruppgifter är, i enlighet med dataskyddsförordningens krav, fastställd i svensk rätt genom lagen om belastningsregister med tillhörande förordning. Re- gleringen anger tydligt i vilka fall och för vilka syften det föreligger rätt att ta del av uppgifterna. I flera fall finns det även, som framgått, en författningsreglerad skyldighet att kontrollera om en arbetssök- ande förekommer i belastningsregistret. 6.4.5Behandling av personuppgifter som rör lagöverträdelser I detta sammanhang bör även regleringen i artikel 10 i dataskydds- förordningen och 3 kap. 8 och 9 §§ dataskyddslagen om behandling av uppgifter i fällande domar i brottmål samt lagöverträdelser som innefattar brott beaktas. Enligt 3 kap. 8 § får endast myndigheter behandla sådana uppgifter. Regeringen eller den myndighet reger- ingen bestämmer kan emellertid enligt 3 kap. 9 § första stycket före- skriva att andra än myndigheter får behandla personuppgifter som rör lagöverträdelser. Enligt 5 § förordningen (2018:219) med kompletterande bestäm- melser till EU:s dataskyddsförordning får personuppgifter som rör lagöverträdelser behandlas av andra än myndigheter om behandlingen är nödvändig för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras eller en rättslig förpliktelse enligt lag eller förordning ska kunna fullgöras. Datainspektionen har enligt 6 § första stycket förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning rätt att meddela ytterligare föreskrifter på området. Inspektionen har även meddelat sådana föreskrifter (2018:2). Datainspektionen har även i enskilda fall fått rätt att besluta att andra än myndigheter får behandla uppgifter om lagöverträdelser (3 kap. 9 § andra stycket dataskyddslagen och 6 § andra stycket för- ordningen med kompletterande bestämmelser till EU:s dataskydds- förordning). Allmänna utgångspunkter för en författningsreglerad registerkontroll Den redovisade regleringen innebär alltså att en privat aktör, som har en författningsreglerad skyldighet att utföra registerkontroll, har rätt att behandla personuppgifter som rör lagöverträdelser enligt dataskyddslagstiftningen. När det saknas en författningsreglerad rätts- lig förpliktelse, får en privat aktör endast behandla sådana uppgifter om regeringen eller Datainspektionen uttryckligen i författning har medgett det. En betydelsefull begränsning i förbudet ligger emeller- tid i att det endast avser sådan behandling som är automatiserad eller ingår eller kommer att ingå i ett register i dataskyddsförordningens mening (jfr avsnitt 6.4.3). Om ett belastningsregisterutdrag endast visas upp i pappersform föreligger inte någon behandling av uppgift- erna i dataskyddsförordningens mening så länge mottagaren inte där- efter behandlar uppgifterna automatiserat eller i registerform. 6.4.6Grundläggande principer för personuppgiftsbehandling Dataskyddslagstiftningen utgör ett starkt och ändamålsenligt skydd för den enskilde när det gäller hur myndigheter och enskilda verk- samheter i sin roll som arbetsgivare behandlar uppgifter i belast- ningsregistret. Av artikel 5.1 i dataskyddsförordningen framgår att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt, att uppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Vidare ska uppgifterna vara adekvata och korrekta och får inte förvaras än vad som är nödvändigt. Dessa krav måste självfallet iakttas även vid en författningsreglerad registerkontroll av det slag som vi analyserar inom ramen för detta betänkande. Under utredningens arbete har fråga uppkommit om tolkningen av den bestämmelse i lagen (1998:620) om belastningsregister som regle- rar registrets ändamål när det gäller myndigheters tillgång till upp- gifter i registret för att pröva ärenden om anställning eller uppdrag. I detta kapitel analyserar vi därför om det finns behov av att för- tydliga ändamålsbestämmelsen. Ändamålet med belastningsregistret regleras i 2 § lagen om belast- ningsregister. Bestämmelsen har behandlats i avsnitt 4.3. Där fram- går att det övergripande syftet med belastningsregistret är att de brottsbekämpande och rättsvårdande myndigheterna ska få tillgång till de uppgifter som behövs i verksamheten, men också att tillgodo- se och andra myndigheters behov av uppgifter om belastningar vid vissa lämplighetsprövningar, tillståndsprövningar eller andra prövningar som anges i författning. Vidare framgår att registret också får användas för att lämna ut uppgifter till enskild som är av särskild betydelse i hans eller hennes verksamhet. För att myndigheter ska få tillgång till uppgifter ur registret vid prövningar ska det alltså vara fråga om sådana prövningar som anges i lag eller annan författning (prop. 1997/98:97 s. 73 f.). I författnings- kommentaren till paragrafen anges exempel på sådana prövningar. Där hänvisas till prövningar som ska göras av besökare till intagen i anstalt, enligt körkortslagstiftningen, i vårdnadsärenden och i ärenden enligt alkohollagen. Exempel på vad som avses med annan prövning är enligt kommentaren regeringens prövning i ärenden om nåd i brott- mål eller utlämning på grund av brott (prop. 1997/98:97 s. 158 f.). Utredningens förslag: Ändamålsbestämmelsen i lagen om belast- ningsregister ska ändras så att det klart framgår att ett ändamål med belastningsregistret är att och andra myn- digheter ska få tillgång till uppgifter i registret för att pröva lämp- ligheten av den som anställs eller anlitas för uppdrag, även i de fall en sådan prövning inte anges i annan författning. Skälen för utredningens förslag: ändamål styr behandlingen av personuppgifter i registret. När det gäller ändamålet att utföra lämplighetsprövningar i ärenden om anställning omnämns detta ändamål inte uttryckligt i förarbetena till lagen om belastnings- register (SOU 1997:65 och prop. 1997/98:97). Det torde dock vara lagstiftarens avsikt att sådana prövningar ska omfattas av ändamåls- bestämmelsen, eftersom förordningen om belastningsregister redan i dess ursprungliga lydelse , innehöll bestämmelser om rätt för t.ex. en polismyndighet, en kriminalvårdsmyndighet och Försvarsmak- ten att i ärenden om anställning få utlämnat uppgifter från belast- ningsregistret. Därefter har fler myndigheter getts en sådan rätt i ären- den om anställning.