sou · H8B335 · 2020-06-08 00:00:00 — Utredningens förslag: Syftet med den nya lagen ska vara att ge Myndigheten för utbetalningskontroll möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin verksamhet och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Skälen för utredningens förslag: Vi anser att det ska tas in en bestämmelse om lagens syfte. En sådan bestämmelse saknar i och för sig egentligen materiellt innehåll men ger vägledning för tolkningen av de materiella bestämmelserna i lagen.33 Den föreslagna bestämmelsen tydliggör att regleringen har dubbla syften. Som vi konstaterat ovan är det nödvändigt med vissa intrång i den personliga integriteten för att Myndigheten för utbetal- ningskontroll ska kunna utföra sina uppdrag. är en central målsättning för regleringen att fysiska personers rättigheter och friheter ska skyddas vid myndighetens personuppgiftsbehandling. Regleringen behöver därför ge uttryck för en väl avvägd balans mellan dessa intressen. Genom att ange att lagens syfte är att ge Myndigheten för utbetalningskontroll möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i verksamheten och att skydda människor mot att deras personliga integritet kränks vid sådan behandling kommer detta till uttryck. 10.2.4Rättslig grund för behandlingen Utredningens bedömning: Myndighetens behandling av person- uppgifter vid administrationen av systemet med transaktionskonto och i verksamheten med att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndig- hetsutövning. Delar av myndighetens personuppgiftsbehandling är även nödvändig för att fullgöra en rättslig förpliktelse som åvilar myndigheten. 2018/19:163, Ny lag om Säkerhetspolisens behandling av personuppgifter, s. 51. En ny lag om personuppgiftsbehandling Skälen för utredningens bedömning: En grundläggande förutsätt- ning för att behandlingen av personuppgifter ska vara laglig och tillåten är att den ryms inom någon av de rättsliga grunderna för behandling som finns i artikel 6.1 dataskyddsförordningen. Enligt våra förslag som presenterats i tidigare kapitel ska Myndigheten för utbetalningskon- troll administrera systemet med transaktionskonto, genomföra data- analyser och urval, genomföra granskningar och stödja och följa arbetet med att motverka felaktiga utbetalningar. Vi bedömer att den behandling av personuppgifter som är nödvändig för att Myndig- heten för utbetalningskontroll ska kunna utföra dessa uppdrag bör rymmas inom den rättsliga grunden uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1 e). Delar av behand- lingen bör även vara nödvändig för att fullgöra en rättslig förpliktelse (artikel 6.1 c).34 Artikel 6.1 e gäller behandling som är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgifts- ansvariges myndighetsutövning. Av förarbetena till dataskyddslagen framgår att alla uppgifter som riksdag eller regering har gett i upp- drag åt statliga myndigheter att utföra är av allmänt intresse. Därav följer att den verksamhet som en statlig eller myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse. Den rättsliga grunden i artikel 6.1 e bör därmed vanligen tillämpas av myndigheter, även utanför området för myndighetsutövning. Detta utesluter dock inte att också andra rättsliga grunder kan vara tillämpliga i vissa situationer.35 Uppdragen för Myndigheten för utbetalningskontroll framgår av förordning med myndighetens instruktion liksom av de materiella regler vi föreslår i lag om transaktionskonto (se kapitel 5) och lag om granskningar för att upptäcka och förhindra felaktiga utbetal- ningar från välfärdssystemen (se kapitel 7). Syftet med uppdragen är att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen och därmed även långsiktigt bevara förtroendet för välfärdssystemen samt att underlätta hanteringen av statliga utbetal- ningar. All behandling av personuppgifter som är nödvändig för att 34De rättsliga grunderna i artikel 6.1 c och e ska vara fastställda i enlighet med unionsrätten eller den nationella rätten Med detta avses dock inte att den rättsliga grunden måste vara fastställd i lag stiftad av , se skäl 41 i preambeln till dataskyddsförordningen. 1 och 2 §§ dataskyddslagen följer att den rättsliga grunden eller det allmänna intresset kan följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. 2017/18:105, Ny dataskyddslag, s. 56–57. En ny lag om personuppgiftsbehandling Myndigheten för utbetalningskontroll ska kunna utföra sina upp- drag utgör en uppgift av allmänt intresse och ryms således inom den rättsliga grunden. Viss personuppgiftsbehandling kan även komma att innefatta myndighetsutövning, typiskt sett inom ramen för admi- nistrationen av transaktionskontosystemet. Artikel 6.1 c gäller behandling som är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Det kan exempelvis handla om författningar som anger en skyldighet för en myndighet att lämna personuppgifter till en annan myndighet.36 Myndigheten för utbetalningskontroll föreslås omfattas av sådan informationsskyldighet t.ex. enligt lagen (2008:206) om underrättelse- skyldighet vid felaktiga utbetalningar från välfärdssystemen och behandlingen är då även nödvändig för att fullgöra en rättslig för- pliktelse. Utredningens förslag: Den nya lagen ska tillämpas vid behand- ling av personuppgifter vid Myndigheten för utbetalningskon- troll i dess verksamhet med att administrera systemet med trans- aktionskonto och att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen. Lagen ska endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och personuppgifter som ingår i eller kommer att ingå i register. Lagen ska i vissa fall gälla även vid behandlingen av uppgifter om juridiska personer och avlidna. Detsamma gäller även av- seende den anslutande förordningen. Skälen för utredningens förslag Lagen är tillämplig i myndighetens kärnverksamhet Den föreslagna lagens tillämpningsområde bör enligt vår bedömning avgränsas till behandling av personuppgifter i myndighetens huvud- verksamhet, dvs. de uppgifter myndigheten ska utföra enligt sin 36Se , (2019), Dataskyddsförordningen (GDPR) m.m., s. 158. En ny lag om personuppgiftsbehandling Dessa uppgifter är att administrera systemet med trans- aktionskonto och att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen. I det senare ingår uppdragen dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen, inledande och fördjupade gransk- ningar samt att stödja och följa statliga myndigheters och arbetslös- hetskassors arbete med att motverka felaktiga utbetalningar. Löpande administration vid myndigheten, såsom hantering av uppgifter om personal, innefattar personuppgiftsbehandling. Denna typ av verksamhet förekommer hos alla myndigheter och vi bedömer att sådan behandling kan grundas direkt på dataskyddsförordningen och dataskyddslagen och omfattas alltså inte av denna lag. Automatiserad behandling och register Den föreslagna lagen bör begränsas till att omfatta helt eller delvis automatiserad behandling av personuppgifter samt annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register.37 Tillämpningsområdet ansluter därmed till dataskyddsförordningens, dataskyddslagens och flertalet andra registerförfattningars tillämp- ningsområde. Exempel på behandling som därmed inte omfattas av lagen är minnesanteckningar som enbart förs på papper. Uppgifter om juridiska personer och avlidna Dataskyddsförordningen och dataskyddslagen reglerar behandlingen av personuppgifter, dvs. uppgifter om fysiska personer som är i livet. Det finns inte någon liknande generell reglering för behandling av uppgifter rörande juridiska personer.38 Såväl uppgifter om fysiska som juridiska personer behöver behandlas av myndigheten. Upp- gifter som anknyter till juridiska personer är en blandning av person- uppgifter och annan data och det är svårt att skilja på dessa uppgifter. Som exempel kan uppgifter som rör juridiska perso- ner innehålla namn på styrelseledamöter och företrädare vilket är 37Register innebär en strukturerad samling av personuppgifter som är tillgänglig enligt sär- skilda kriterier, se artikel 4.6 dataskyddsförordningen. 38Dock finns vissa bestämmelser om hanteringen av data som inte är personuppgifter i och rådets förordning (EU) 2018/1807 av om en ram för det fria flödet av andra data än personuppgifter i Europeiska unionen. En ny lag om personuppgiftsbehandling Gemensamma bestämmelser för dessa uppgifts- kategorier innebär att systemet blir enklare att hantera. Behand- lingen av uppgifter om fysiska och juridiska personer blir då också densamma vid t.ex. sökningar. Myndigheten för utbetalnings- kontroll behöver få uppgifter från andra myndigheter rörande både fysiska och juridiska personer. Myndigheter vars utbetalningar administreras via transaktionskontosystemet har å sin sida behov av att ta del av uppgifter som rör både fysiska och juridiska personer. Vi anser därför att övervägande skäl talar för att den föreslagna lagens bestämmelser om ändamål, vilken typ av uppgifter som ska behandlas, skydds- och säkerhetsåtgärder, direktåtkomst och gallring även bör omfatta uppgifter om juridiska personer. Detsamma bör gälla för avlidna. Detsamma ska även gälla avseende den anslutande förord- ningen. Denna ordning förekommer även i ett antal andra register- författningar.39 Vad gäller uppgifter hänförliga till avlidna anser vi att den regel om sökbegränsningar för känsliga personuppgifter och upp- gifter om lagöverträdelser, som vi föreslår i avsnitt 10.5.2, ska omfatta även dessa uppgifter. En motsvarande reglering finns för behandlingen av personuppgifter i socialförsäkringsdatabasen40 och motiveras av den mängd uppgifter hänförliga till avlidna som förekommer i databasen.41 10.2.6Lagen är ett komplement till annan reglering Utredningens förslag: Den nya lagen ska innehålla en bestäm- melse som tydliggör att den kompletterar dataskyddsförord- ningen. Dataskyddslagen och föreskrifter som har meddelats i anslut- ning till den lagen ska gälla vid behandlingen av personuppgifter hos Myndigheten för utbetalningskontroll, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslut- ning till lagen. 39Se t.ex. 1 kap. 3 § lagen (2018:1696) om behandling av personuppgifter inom brottsdatalagens område, 1 kap. 1 § andra stycket lagen (2001:181) om behandling av upp- gifter i beskattningsverksamhet och 1 kap. 1 § andra stycket lagen (2001:184) om behandling av uppgifter i verksamhet. 40Se 114 kap. 2 § tredje stycket och 27 § socialförsäkringsbalken. 2002/03:135, Behandling av personuppgifter inom socialförsäkringens administration, s. 45. En ny lag om personuppgiftsbehandling Skälen för utredningens förslag Av följer att dataskyddsförordningen är direkt tillämplig och har företräde framför nationell lagstiftning. Medlemsstaterna kan dock införa mer specifika bestämmelser för att anpassa tillämp- ningen av bestämmelserna i förordningen. Detta kan ske när det gäller behandling av personuppgifter som är nödvändig för att full- göra en rättslig förpliktelse samt vid behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning.42 Av avsnitt 10.2.4 framgår att vi anser att den personuppgiftsbehandling som omfattas av den föreslagna lagen utgör en uppgift av allmänt intresse (artikel 6.1 e) och att viss personupp- giftsbehandling även kan komma att utgöra en rättslig förpliktelse (artikel 6.1 c). Det är således möjligt att införa vissa kompletterande bestämmelser till dataskyddsförordningen. Den nya registerlagen innehåller endast bestämmelser som kompletterar eller tar över för- ordningen, när det är tillåtet. För att tillämparen ska få en fullständig bild av vilken reglering som gäller bör den föreslagna lagen innehålla en bestämmelse som upplyser om att dataskyddsförordningen gäller. Bestämmelsen bör formuleras på samma sätt som i andra registerlagar som komplette- rar dataskyddsförordningen.43 Dataskyddslagen innehåller nationella kompletterande bestämmel- ser till dataskyddsförordningen. Dataskyddslagen är subsidiär i för- hållande till annan lagstiftning om behandling av personuppgifter.44 Det behövs därför egentligen inte någon materiell bestämmelse för att den nya lagen ska gälla utöver dataskyddslagen. 42Artikel 6.2 dataskyddsförordningen. Som exempel på bestämmelser för att anpassa tillämp- ningen av dataskyddsförordningen anges bl.a. allmänna villkor som ska gälla för den person- uppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut, ändamålsbegränsningar och lagringstid, se artikel 6.3 dataskyddsförordningen. 43Se t.ex. 2 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknads- politiska verksamheten. 441 kap. 6 § dataskyddslagen. En ny lag om personuppgiftsbehandling föreslår vi dock en bestämmelse som innebär att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska gälla vid behandlingen av personuppgifter hos Myndigheten för utbetalningskontroll, om inte annat följer av den nya registerlagen eller föreskrifter som har meddelats i anslutning till den. Detta är i enlighet med hur förhållandet till dataskyddslagen och dess förord- ning brukar formuleras i andra registerlagar.45 10.2.7Rätten att göra invändningar ska inte gälla Utredningens förslag: Rätten för registrerade att göra invänd- ningar enligt artikel 21.1 i dataskyddsförordningen ska inte gälla vid sådan behandling av personuppgifter som är tillåten enligt den nya lagen eller föreskrifter som har meddelats i anslutning till lagen. Skälen för utredningens förslag: Det är nödvändigt att person- uppgifter får behandlas i verksamhet vid Myndigheten för utbetal- ningskontroll oberoende av den registrerades inställning. Om en- skilda skulle ha möjlighet att undantas från behandlingen skulle det kunna undergräva själva syftet med behandlingen. De som på ett organiserat sätt utnyttjar välfärdssystemen för att få felaktiga utbetal- ningar skulle kunna försvåra myndighetens möjlighet att genom behandling av personuppgifter upptäcka de felaktigheter som rör dem. Den registrerade har enligt dataskyddsförordningen rätt att göra invändningar mot behandling av personuppgifter avseende hen i myndighetens verksamhet.46 Medlemsstaterna har möjlighet att 45Se t.ex. 2 § lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. 46Av artikel 21.1 framgår att en registrerad har rätt att göra invändningar mot personuppgifts- behandling som grundar sig på artikel 6.1 e. Den personuppgiftsansvarige får då inte längre behandla personuppgifterna, om denne inte kan påvisa tvingande berättigade skäl för behand- lingen, som väger tyngre än en registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Rätten att göra invändningar innebär att den registrerade har möjlighet att få till stånd en kontroll av om uppgifterna får behandlas. prövningen pågår har den registrerade rätt att kräva att behandlingen av personuppgifterna begränsas. Om bedömningen är att det saknas berättigade skäl har den registrerade rätt att få personuppgifterna raderad, se artikel 18.1 d och 17.1 c dataskydds- förordningen. En ny lag om personuppgiftsbehandling begränsa rätten att göra invändningar.47 Rätten att göra invändningar har begränsats i ett flertal myndigheters registerförfattningar.48 Ett huvudsakligt skäl till detta är att det ansetts vara av stor betydelse att personuppgifter får behandlas i myndigheternas verksamheter oberoende av den registrerades inställning. Vidare har bedömningen gjorts att den personuppgiftsansvarige närmast undantagslöst skulle kunna påvisa skäl för fortsatt behandling som väger tyngre än den registrerades intressen i det enskilda fallet.49 Personuppgiftsbehandlingen som tillåts enligt den föreslagna lagen om behandling av personuppgifter vid Myndigheten för utbetal- ningskontroll är en förutsättning för att myndigheten ska kunna utföra sina uppgifter på ett korrekt och effektivt sätt. Dessutom är det troligt att Myndigheten för utbetalningskontroll i det närmaste undantagslöst kan visa skäl för att fortsatt behandling av person- uppgiften väger tyngre än den registrerades intressen i det enskilda fallet. För att fullt ut säkerställa förutsättningarna för myndigheten att behandla relevanta personuppgifter bör den registrerade inte ha någon rätt att motsätta sig sådan personuppgiftsbehandling som är tillåten enligt lagen. En sådan begränsning anser vi utgör en nöd- vändig och proportionell åtgärd i syfte att säkerställa ett viktigt mål av generellt allmänt intresse, nämligen att förebygga, förhindra och upptäcka felaktiga utbetalningar. Därigenom minskar också risken för brottsligt utnyttjande av välfärdssystemen. Regleringen i registerlagen innebär en förhållandevis snäv ram för personuppgiftsbehandlingen vilket minimerar risken för kränkning av den registrerades rättigheter och friheter. Vårt förslag till lag innehåller även bl.a. sökbegräns- ningar och andra bestämmelser om skyddsåtgärder. Införandet av en begränsning av rätten att göra invändningar är därmed förenlig med dataskyddsförordningen. 47En sådan begränsning får göras om den sker med respekt för de grundläggande rättigheterna och friheterna. Begränsningen ska utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa olika uppräknade intressen, bl.a. viktiga mål av generellt allmänt intresse (däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet). Sådana lagstiftnings- åtgärder ska innehålla specifika bestämmelser när så är relevant, avseende bl.a. ändamålen med behandlingen, lagringstiden samt tillgängliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål, artikel 23 dataskyddsförordningen. 48Skatteverket och de välfärdsmyndigheter som främst berörs av vårt förslag har denna begränsning, se 114 kap. 3 § socialförsäkringsbalken, 3 kap. 3 § lagen om behandling av upp- gifter i beskattningsverksamhet, 3 kap. 1 § lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet, 2 a § lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och 5 § (2009:287) studiestöds- datalagen. 49Se t.ex. prop. 2017/18:254, Anpassning av utlänningsdatalagen till EU:s dataskyddsförordning, s. 45. En ny lag om personuppgiftsbehandling 10.2.8Myndigheten ska vara personuppgiftsansvarig Utredningens förslag: Myndigheten för utbetalningskontroll ska vara personuppgiftsansvarig för den behandling av person- uppgifter som myndigheten utför enligt den nya lagen. Skälen för utredningens förslag: Begreppet personuppgiftsansvarig är centralt i dataskyddsförordningen. Personuppgiftsansvarig definie- ras som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan det däri föreskrivas vem som ska vara personuppgiftsansvarig.50 Vi bedömer att möjligheten att i nationell rätt ange vem som är personuppgiftsansvarig bör användas i den föreslagna lagen eftersom det bidrar till tydlighet om vem som har ansvaret för den behandling av personuppgifter som lagen föreslås omfatta. Vi föreslår därför att det i lagen ska framgå att Myndigheten för utbetalningskontroll är personuppgiftsansvarig för den behandling myndigheten utför enligt lagen. 10.3.1Ändamålen ska regleras i lagen Utredningens förslag: Den nya lagen ska innehålla ändamåls- bestämmelser. De tillåtna ändamålen för behandling av person- uppgifter vid Myndigheten för utbetalningskontroll ska av- gränsas till sådan behandling som är nödvändig för att utföra vissa uppgifter. Skälen för utredningens förslag: En allmän dataskyddsprincip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål.51 Ändamålsbestämmelser kan sägas anpassa tillämpningen av dataskyddsförordningen och säkerställa en laglig 50Artikel 4.7 dataskyddsförordningen. 51Principen kommer i dataskyddsförordningen till uttryck i artikel 5.1 b. En ny lag om personuppgiftsbehandling och rättvis behandling. Dataskyddsförordningen ger utrymme för att införa bestämmelser om tillåtna ändamål i nationella registerförfatt- ningar.52 Det är i registerförfattningar vanligt med bestämmelser som anger för vilka ändamål personuppgifter får behandlas.53 Vi menar att den lag vi föreslår också bör innehålla ändamålsbestämmelser. Ända- målsbestämmelser tydliggör och begränsar vilken personuppgifts- behandling som får genomföras vid myndigheten och i vilket syfte. Att ändamålen regleras i lag innebär att ramen för behandlingen av personuppgifter vid Myndigheten för utbetalningskontroll fast- ställs av . Bestämda ändamål begränsar myndighetens handlingsfrihet, vilket ger ett skydd för den enskildes personliga integritet.54 Sådana bestämmelser tydliggör också för enskilda vilken behandling av personuppgifter som Myndigheten för utbetalnings- kontroll får göra. Avgränsningen av de ändamål för vilka myndigheten får behandla personuppgifter är av stor betydelse när det gäller skyddet för den personliga integriteten. De tillåtna ändamålen för personuppgifts- behandlingen bör därför i lagen preciseras så noga som möjligt. Det ligger dock i sakens natur att när ändamål regleras i en författning så måste dessa formuleras ganska generellt. Lagstiftningen är också avsedd att gälla och måste därför ta höjd för att förändringar kan komma att ske i samhället och i myndighetens verksamhet. En balans behöver därför uppnås mellan dessa olika intressen vid utformningen av ändamålsbestämmelserna. Vi har gjort bedömningen att behandlingen av personuppgifter i verksamheten vid Myndigheten för utbetalningskontroll faller in under den rättsliga grunden uppgift av allmänt intresse eller som ett led i myndighetsutövning och till viss del under den rättsliga grun- den rättslig förpliktelse (avsnitt 10.2.4). Sådan behandling är laglig endast om behandlingen är nödvändig.55 De tillåtna ändamålen för behandling av personuppgifter vid Myndigheten för utbetalnings- 52Se artikel 6.2 och 6.3 dataskyddsförordningen. Enligt artikel 23.2 a ska dessutom lagstiftning som begränsar tillämpningsområdet för förordningens rättigheter och skyldigheter innehålla specifika ändamålsbestämmelser, när så är relevant. 53Regeringen har, t.ex. i motiven till studiestödsdatalagen, angett att det i en speciallag som riktar sig mot en särskilt angiven verksamhet faller sig naturligt att direkt i lagen ange för vilka ändamål personuppgifter får behandlas på det mer avgränsade området lagen avser att täcka, se prop. 2008/09:96, Behandling av personuppgifter inom studiestödsområdet, s. 40. 2015/16:65, Utlänningsdatalag, s. 58. 55Artikel 6.1 c och e dataskyddsförordningen. En ny lag om personuppgiftsbehandling kontroll bör därför avgränsas till sådan behandling som är nödvändig för att utföra vissa uppgifter. Kravet på nödvändighet innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig.56 I kravet på nödvändighet ligger att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna.57 10.3.2De primära ändamålen för myndighetens personuppgiftsbehandling