prop · H903216 · 2022-04-12 00:00:00 — Det kan även finnas ett behov för leverantören att få del av uppgifter i den individuella handlingsplan som Arbetsförmedlingen upprättar för den arbetssökande. Det kan handla om uppgifter om hans eller hennes förutsättningar att delta i insatsen hos leverantören, uppgifter om utbildningsbakgrund och yrkeserfarenhet samt uppgifter om behov av vissa arbetshjälpmedel. Det kan även handla om uppgifter om de skyldigheter som gäller för den enskilde, t.ex. att aktivt söka arbeten eller att delta i den anvisade insatsen. Om han eller hon kommer att delta i andra insatser hos andra aktörer kan leverantören behöva få kännedom även om detta. Arbetsförmedlingen kan t.ex. behöva lämna uppgifter om att en arbetsgivare får eller har fått stöd kopplat till den enskilde i form av en arbetspraktik eller en subventionerad anställning. Regeringen anser att det är rimligt att Arbetsförmedlingen får möjlighet att behandla personuppgifter i syfte att tillhandahålla de uppgifter som leverantörer av arbetsmarknadspolitiska insatser behöver för att kunna fullgöra sina uppdrag. Den sekundära ändamålsbestämmelsen som reglerar tillhandahållande av uppgifter till en kompletterande aktör bör ändras till att Arbetsförmedlingen ska få behandla personuppgifter för tillhandahållande av information som behövs inom en leverantörs 2021/22:216 verksamhet att utföra arbetsmarknadspolitiska insatser på uppdrag av kommun framhåller att det är av största vikt att skydda den enskildes integritet och uppgifter om personliga förhållanden. har en liknande synpunkt och anför bl.a. att den enskilde inte kommer att ha full kontroll över var personuppgifterna hamnar eftersom det ska finnas en möjlighet för Arbetsförmedlingen att anvisa enskilda till en leverantör som den enskilde inte har valt, t.ex. när den arbetssökande har avstått från att välja. I artikel 5 i dataskyddsförordningen anges de allmänna krav som gäller för behandling av personuppgifter. Det handlar bl.a. om att uppgifterna inte ska vara för omfattande i förhållande till de ändamål för vilka de behandlas, att uppgifterna inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt och att uppgifterna ska behandlas på ett sätt som säkerställer Dessa krav gäller all personuppgiftsbehandling, dvs. oberoende av om den görs av en myndighet eller en privaträttslig aktör. uppgift ska endast lämnas av Arbetsförmedlingen till en leverantör om det är nödvändigt för att leverantören ska kunna fullgöra sitt uppdrag. att säkerställa ett fullgott skydd för uppgifter som hanteras av leverantörer föreslås även att det införs en straffsanktionerad tystnadsplikt hos leverantörer och underleverantörer. I samband med införandet av den nu gällande bestämmelsen i 5 § lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten anförde regeringen att intresset av att Arbetsförmedlingen får möjlighet att behandla personuppgifter i syfte att tillhandahålla de uppgifter som de kompletterande aktörerna behöver för att kunna fullgöra sina uppdrag får anses väga tyngre än intresset av att skydda den enskildes integritet (prop. 2010/11:1 utg. omr. 14 s. 76). Liksom när det gäller Arbetsförmedlingens möjlighet att behandla personuppgifter för publicering av information om leverantörer, anser regeringen att samma bedömning, utifrån ett integritetsperspektiv, gör sig gällande även här. Intresset av att Arbetsförmedlingen ska kunna lämna information om en sökande till en leverantör för att leverantören ska kunna fullgöra sitt uppdrag på ett ändamålsenligt sätt får alltså anses väga tyngre än intresset av att skydda den enskildes integritet. Regeringen anser vidare att dataskyddsförordningens bestämmelser och den föreslagna tystnadsplikts- bestämmelsen ger ett fullgott skydd för de uppgifter som kan komma att hanteras av leverantörer. anser också att det behöver beaktas bl.a. hur det säkerställs att personuppgifter inte missbrukas vid lagring i molntjänster motsätter sig förslag som medför att persondata lagras av de fristående aktörerna själva i egna datasystem, i t.ex. molntjänster där det inte kan säkerställas att lagring sker i och där risken för intrång är stort. Regeringen konstaterar att data- skyddsförordningen gäller i hela EU och att det skydd för personuppgifter som förordningen medför därför får anses vara likvärdigt i samtliga EU- Vidare följer det av dataskyddsförordningens bestämmelser att överföring av personuppgifter till ett land utanför EU endast får ske under myndighet enligt dataskyddsförordningen och dataskyddslagen. Anpassningar för att arbetssökande ska få direktåtkomst till För att den arbetssökande ska få möjlighet att påverka valet av leverantör av en arbetsmarknadspolitisk insats krävs att Arbetsförmedlingen upp- rättar och tillhandahåller register eller sammanställningar över samtliga valbara leverantörer, t.ex. i en sökbar databas. För att kunna fullgöra sitt uppdrag att tillhandahålla ett valfrihetssystem eller ett annat system där enskilda ska kunna påverka valet av en leverantör bör det förtydligas i lagen att Arbetsförmedlingen ska få möjlighet att bevilja den enskilde direktåtkomst till Arbetsförmedlingens register eller sammanställningar av exempelvis rating över olika leverantörer som utför arbetsmarknads- politiska insatser på uppdrag av Arbetsförmedlingen. I samband med införandet av den aktuella bestämmelsen anförde regeringen att det inte kan anses vara förenat med några särskilda integritetsrisker att bevilja de enskilda direktåtkomst till samman- ställningar över valbara kompletterande aktörer och att det tvärtom borde ligga i aktörernas eget intresse att den enskilde kan beredas tillgång till dessa sammanställningar (se prop. 2010/11:1 utg. omr. 14 s. 81). integritetsperspektiv gör sig samma bedömning gällande . inte anses vara förenat med några särskilda integritetsrisker att bevilja de enskilda direktåtkomst till sammanställningar över valbara leverantörer. Famna – för idéburen välfärd och Forum – Idéburna organisationer med social inriktning ser en risk att förslagen ska signalera att upphandlingar enbart bör gå till privata företag. vill därför förtydliga att uttrycket leverantör inte medför någon sådan 7.3Personuppgiftsbehandling hos leverantörer som utför arbetsmarknadspolitiska insatser Regeringens bedömning: EU:s dataskyddsförordning, lagen med kompletterande bestämmelser till EU:s dataskyddsförordning och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning utgör tillräcklig reglering för den personuppgiftsbehandling som kan komma att ske hos leverantörer som utför insatser på uppdrag av Arbetsförmedlingen. Det behöver således inte införas någon ytterligare lagreglering om denna behandling. Promemorians (Ds 2021:27) bedömning överensstämmer med regeringens bedömning. Remissinstanserna: Det stora flertalet av remissinstanserna, bl.a. , , , och Kammarrätten i , har inget att invända mot eller har inga synpunkter på promemorians bedömning. Arbetsförmedlingen, Coompanion och Randstad instämmer i eller delar promemorians bedömning. Randstad framhåller att leverantörer av förmedlingstjänster inte kan anses vara personuppgiftsbiträde åt Arbetsförmedlingen inom ramen för utförande av förmedlingsinsatser. Kompetensföretagen för fram att leverantörer i undantagsfall kan vara 2021/22:216 personuppgiftsbiträde i rekryterings- och omställningsuppdrag och anser att leverantörers roll som personuppgiftsbiträde behöver förtydligas. Skälen för regeringens bedömning Behandling av personuppgifter hos leverantörer Enligt regeringens inriktning kommer arbetsmarknadspolitiska insatser i större utsträckning än att utföras av leverantörer på uppdrag av Arbetsförmedlingen. För att leverantörer ska kunna utföra sitt uppdrag på ett ändamålsenligt sätt behövs vissa uppgifter om enskilda som ska ta del av de insatser som leverantören utför. Som framgår ovan handlar det främst om kontakt- och identifieringsuppgifter samt om uppgifter om utbildningsbakgrund, yrkeserfarenhet och andra meriter. Beroende på vilken insats en leverantör ska utföra kan det finnas behov av exempelvis uppgifter om anvisningar till arbete och arbetsmarknadspolitiska program samt annat som kan finnas i en individuell handlingsplan som Arbetsförmedlingen har upprättat för den enskilde. Dessa uppgifter kan en leverantör få både från den enskilde själv och från Arbetsförmedlingen. För att Arbetsförmedlingen ska kunna fullgöra sitt uppdrag, t.ex. att besluta om insatser och kontrollera att enskilda är aktivt arbetssökande, behöver leverantörerna lämna uppgifter om enskilda som får insatser hos leverantören. I syfte att uppnå detta föreslås i avsnitt 6 en bestämmelse om uppgiftsskyldighet, enligt vilken regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om skyldighet för en leverantör som bedriver arbetsmarknadspolitiska insatser på uppdrag av Arbetsförmedlingen att till Arbetsförmedlingen lämna uppgifter som myndigheten behöver i den arbetsmarknadspolitiska verksamheten. Som framgår ovan avses med behandling av personuppgifter enligt artikel 4.2 i dataskyddsförordningen en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstörning. I skäl 15 till förordningen anges att skyddet för fysiska personer bör vara tillämpligt på både automatiserad och behandling av personuppgifter, om personuppgifterna ingår i eller är avsedda att ingå i ett register. Mot denna bakgrund är det sannolikt att leverantörer som utför arbetsmarknadspolitiska insatser på uppdrag av Arbetsförmedlingen kommer att utföra sådan personuppgiftsbehandling som omfattas av dataskyddsförordningen. Uttrycket personuppgiftsansvarig definieras i artikel 4.7 i dataskyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Uttrycket personuppgiftsbiträde definieras i artikel 4.8 i dataskyddsförordningen som en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Det förekommer situationer där det kan vara svårt att avgöra om den som behandlar personuppgifter gör det i egenskap av personuppgiftsansvarig eller personuppgiftsbiträde. Europeiska dataskyddsstyrelsen (EDPB) har tagit fram en vägledning rörande uttrycken personuppgiftsansvarig och personuppgiftsbiträde. I vägledningen framhålls att bedömningen av om det är fråga om ett biträdesförhållande beror på vilka konkreta aktiviteter som vidtas med personuppgifter i en specifik kontext. Bedömningen ska utgå från den tjänst som erbjuds. När tjänsten som erbjuds inte är specifikt inriktad på behandling av personuppgifter, eller där personuppgiftsbehandlingen inte utgör ett kärnelement i den tjänst som erbjuds, kan tjänsteleverantören vara personuppgiftsansvarig för den personuppgiftsbehandling som tjänsteleverantören utför, beroende på att det då är mer troligt att det är tjänsteleverantören själv som bestämmer ändamål och medel för personuppgiftsbehandlingen (EDPB, Guidelines 07/2020 on the concepts of controller and processor in the GDPR, version 2.0, beslutad , s. 26–27.) Arbetsförmedlingen och Randstad anser att leverantörerna är personuppgiftsansvariga för de personuppgifter som de behandlar. Enligt Kompetensföretagen behövs ett förtydligande i frågan, eftersom leverantörer i rekryterings- och omställningsuppdrag i undantagsfall kan vara att anse som personuppgiftsbiträde. Som ovan anförs kommer leverantörer att utföra arbetsmarknadspolitiska insatser på uppdrag av Arbetsförmedlingen. Leverantörerna kommer därmed själva i normalfallet att bestämma ändamål och medel för den personuppgiftsbehandling som behövs för att utföra uppdragen. Det medför enligt regeringen att leverantören i sådant fall blir personuppgiftsansvarig för denna behandling. Regeringen anser dock att frågan om en leverantör kan vara att anse som personuppgiftsansvarig eller personuppgiftsbiträde ytterst får bedömas utifrån de konkreta omständigheterna i det enskilda fallet och i enlighet med gällande dataskyddsregler. I normalfallet bör dock leverantören vara att anse som personuppgiftsansvarig för den behandling av personuppgifter som utförs. Dataskyddsförordningen ställer krav på att den personuppgiftsansvarige ska kunna visa att en behandling av personuppgifter utförs i enlighet med dess bestämmelser. Ur ett säkerhetsperspektiv kan det t.ex. medföra att en personuppgiftsansvarig ska kunna visa att lämpliga tekniska och organisatoriska åtgärder har vidtagits för att upprätthålla rätt nivå av skydd för personuppgifterna. För att identifiera vilka säkerhetsåtgärder som aktualiseras vid behandling av en viss mängd uppgifter behöver den personuppgiftsansvarige göra en analys där hänsyn tas till vilka risker och hot som finns för behandlingen. I artikel 32 i dataskyddsförordningen anges det vilka typer av säkerhetshöjande åtgärder det kan röra sig om. Rättslig grund för personuppgiftsbehandlingen Som framgår ovan måste en myndighet eller annan aktör kunna stödja sin behandling av personuppgifter på någon av de grunder som anges i artikel 6.1 a–f i dataskyddsförordningen. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den också vara nödvändig för att fullgöra, skydda eller utföra den rättsliga grunden. I normalfallet torde som nämns ovan myndigheternas uppdrag i första hand utgöra en rättslig grund för behandling av personuppgifter med stöd av artikel 6.1 e, dvs. på grundval av att uppdraget avser en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Enligt artikel 6.1 c i förordningen kan behandlingen av personuppgifter även vara laglig om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt artikel 6.3 i förordningen ska den grund för behandlingen som avses i artikel 6.1 c och e vara fastställd i unionsrätten eller medlemsstaternas nationella rätt. När det gäller artikel 6.1 c ska även syftet med behandlingen fastställas i den rättsliga grunden. I 2 kap. 1 och 2 §§ dataskyddslagen föreskrivs under vilka förutsättningar artikel 6.1 c och e i dataskyddsförordningen tillämpas. När det gäller den personuppgiftsbehandling som kan komma att ske hos leverantörer som utför arbetsmarknadspolitiska insatser kan det konstateras att leverantörerna kommer att utföra insatserna på uppdrag av Arbetsförmedlingen. Insatserna som sådana regleras i förordning. Även om leverantörerna inte är myndigheter eller har ett uppdrag som följer direkt av lag eller förordning får de ändå anses utföra uppgifter av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. I avsnitt 6 föreslås att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om skyldighet för leverantörer att lämna uppgifter till Arbetsförmedlingen som myndigheten behöver i den arbetsmarknadspolitiska verksamheten. Skyldigheten att lämna uppgifter till Arbetsförmedlingen kommer därmed att författningsregleras och blir då en rättslig förpliktelse för leverantörerna. Syftet med regleringen är bl.a. att Arbetsförmedlingen med hjälp av uppgifterna dels ska kunna göra bästa möjliga bedömning av den enskildes behov och fatta beslut om insatser, dels ska kunna kontrollera att den enskilde uppfyller vissa skyldigheter i förhållande till arbetslöshetsförsäkringen och övriga individersättningar. Regleringen syftar även till att Arbetsförmedlingen ska kunna följa upp och kontrollera att ingångna avtal efterlevs samt följa upp och utvärdera de tjänster som leverantörerna tillhandahåller. I vissa fall kommer personuppgiftsbehandlingen hos leverantörerna därför även att ha stöd i artikel 6.1 c i förordningen, dvs. behandling av personuppgifter för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. kan erbjuda den enskilde arbetsmarknadspolitiskt motiverade insatser för att komma i arbete och utföra sitt kontrolluppdrag i förhållande till arbetslöshetsförsäkringen och andra individersättningar är viktigt både för att det bidrar till att göra den arbetssökandes tid i arbetslöshet så kort som möjligt och till de statliga insatsernas legitimitet. Sammantaget överväger detta intresse det eventuella integritetsintrång som leverantörernas behandling av personuppgifter möjligen skulle kunna leda till för den enskilde. är därför att den behandling av personuppgifter som kan komma att Prop. 2021/22:216 behövas hos leverantörer, både när det gäller behandlingen som behövs för att utföra själva insatsen på uppdrag av Arbetsförmedlingen och för att lämna uppgifter till myndigheten, är proportionell i förhållande till målet med uppdraget och uppgiftsskyldigheten. Kraven på att den nationella rätten ska uppfylla ett mål av allmänt intresse och vara proportionell i förhållande till det legitima mål som eftersträvas i artikel 6.3 i dataskyddsförordningen får därmed anses vara uppfyllt. Behandling av känsliga personuppgifter Enligt artikel 9.1 i dataskyddsförordningen är det förbjudet att behandla känsliga personuppgifter. Förbudet ska dock inte tillämpas i vissa fall som närmare regleras i artikel 9.2 i förordningen. Av artikel framgår att förbudet mot behandling av känsliga personuppgifter inte gäller om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. De personuppgifter som en leverantör främst kommer att behöva behandla för att utföra sitt uppdrag är kontakt- och identifieringsuppgifter samt uppgifter om utbildningsbakgrund, yrkeserfarenhet och andra meriter. Även andra nödvändiga uppgifter kan behöva behandlas för uppdragets fullgörande, t.ex. inriktning på den enskildes arbetssökande som Arbetsförmedlingen har bestämt och om hon eller han är anvisad till andra insatser. Dessa uppgifter bedöms inte vara känsliga i dataskyddsförordningens mening. Leverantörer kan emellertid även behöva behandla vissa känsliga personuppgifter om den enskilde, t.ex. om hon eller han blir sjuk under en pågående arbetsmarknadspolitisk insats eller uppgifter om en funktionsnedsättning hos en enskild. Sådana uppgifter kan komma både från den enskilde själv och från Arbetsförmedlingen. En leverantör kan också behöva lämna vissa känsliga uppgifter om en enskild till Arbetsförmedlingen för att myndigheten ska kunna utföra sitt uppdrag, t.ex. uppgifter som kan påverka den enskildes rätt till ersättning eller som kan leda till att Arbetsförmedlingen återkallar en anvisning. Bedömningen är att det måste anses utgöra ett viktigt allmänt intresse att en leverantör ska kunna utföra arbetsmarknadspolitiska insatser på ett korrekt, rättssäkert och effektivt sätt även om leverantören behöver behandla vissa känsliga personuppgifter. Som framgår ovan är en förutsättning för att undantaget i artikel i dataskyddsförordningen ska vara tillämpligt att behandlingen sker på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet. För att behandling av känsliga personuppgifter ska få ske ställs särskilda krav på det rättsliga stödet. Detta måste vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. Av 3 kap. 4 § dataskyddslagen framgår att regeringen får meddela ytterligare föreskrifter om sådan behandling av känsliga personuppgifter som är nödvändig med 2021/22:216 hänsyn till ett viktigt allmänt intresse. Regeringens bedömning är att de bestämmelser som kan behövas för att leverantörer ska kunna behandla känsliga personuppgifter för ett viktigt allmänt intresse kan meddelas i förordning (jfr prop. 2017/18:105 s. 92). Sammantaget bedömer regeringen att dataskyddsförordningen, dataskyddslagen och förordningen med kompletterande bestämmelser till EU:s dataskyddsförordning inte behöver kompletteras med någon ytterligare lagreglering. 7.4 Bestämmelsen om gallring i Arbetsförmedlingens registerlag 7.4.1 Statistikuppgifter ska gallras när de är nödvändiga Regeringens förslag: Uppgifter som har avskilts för statistikändamål hos Arbetsförmedlingen ska gallras när de är nödvändiga för detta ändamål. Promemorians (Ds 2019:13) förslag överensstämmer med regeringens Remissinstanserna: Det stora flertalet av remissinstanserna har inte haft några synpunkter på promemorians förslag. Arbetsförmedlingen och är positiva till promemorians förslag. kan inte tillstyrka förslaget och hänvisar till att det krävs en tydligare utredning och analys av de integritetsrisker som förslaget kan leda till för att en korrekt proportionalitetsbedömning ska kunna genomföras. anser att förslaget är positivt eftersom det kan vara värdefullt ur journalistisk synpunkt att det öppnar upp för att spara uppgifter längre än men att det finns en risk att bestämmelsen tolkas som att uppgifter ska gallras i högre utsträckning än . Förbundet påpekar även att promemorians resonemang uteslutande bygger på dataskyddsförordningen och anser att offentlighetsprincipen är minst lika viktig när behovet av gallring utreds. Även TU – Medier har synpunkter på att promemorians överväganden baseras på dataskyddsförordningen och anser att de förpliktelser i fråga om bevarandeskyldighet och gallring som följer av TF, offentlighetsprincipen och arkivlagen (1990:782) måste beaktas. Skälen för regeringens förslag Nuvarande gallringsbestämmelser i den arbetsmarknadspolitiska Enligt 16 § första stycket lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska uppgifter om arbetssökande i en arbetsmarknadspolitisk databas gallras senast efter utgången av det år när behandlingen av uppgifterna har avslutats i ett ärende hos Enligt andra stycket ska uppgifter som har avskilts för statistikändamål gallras efter avskiljandet. stycke finns ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från Prop. 2021/22:216 gallringstiderna. Denna föreskriftsrätt avser dock endast uppgifter som bevaras för forskningsändamål. De uppgifter som används inom Arbetsförmedlingens produktion av statistik behandlas inte endast för forskningsändamål. Principen om lagringsminimering i dataskyddsförordningen och i lagen om den officiella statistiken En grundläggande princip enligt dataskyddsförordningen är att personuppgifter inte får bevaras än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 e i dataskyddsförordningen). Denna princip om lagringsminimering gäller inom den arbetsmarknadspolitiska verksamheten direkt med stöd av dataskyddsförordningen. Personuppgifter får lagras i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.