prop · H90392 · 2022-02-02 00:00:00 — I förarbetena till bestämmelsen nämns att information om enskildas personliga förhållanden finns lagrad hos en rad olika myndigheter, bl.a. hos SCB och andra statistikansvariga myndigheter, samt att lagringen och behandlingen av uppgifterna i flertalet fall kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat (prop. 2009/10:80 s. 180 och 181). Skyddet för den personliga integriteten är inte absolut, utan kan under vissa förutsättningar begränsas med hänsyn till andra motstående intressen. Begränsningen måste dock ske genom lag (2 kap. 20 § första stycket 2 regeringsformen). Denna begränsning får vidare ske endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle, och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den, och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 21 § regeringsformen). Regleringen avser enligt förarbetena att understryka kravet på att lagstiftaren, när en fri- och rättighetsinskränkande lag beslutas, noga redovisar sina syften. Eftersom begränsningen inte får gå utöver vad som är nödvändigt med hänsyn till ändamålet, måste ett lagstiftningsarbete som påverkar skyddet av den personliga integriteten inkludera en integritetsanalys. Det intrång som sker i den enskildes personliga integritet måste vidare vara befogat och stå i rimlig proportion till de fördelar som intrånget bidrar med till det motstående intresset (prop. 1975/76:209 s. 53). 5.3.2Regleringen i EU:s dataskyddsförordning EU:s dataskyddsförordning är direkt tillämplig i medlemsstaterna, men både förutsätter och möjliggör kompletterande nationella bestämmelser. Det huvudsakliga syftet med dataskyddsförordningen är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. Förordningen är bl.a. avsedd att tillämpas på behandling av personuppgifter för statistiska ändamål (skäl 162 till förordningen). För att dataskyddsförordningen ska vara tillämplig krävs att den personuppgiftsansvariga eller personuppgiftsbiträdet är etablerad i EU eller EES eller att de behandlar personuppgifter som har anknytning till varor och tjänster till personer i EU eller EES eller behandlar personuppgifter i samband med övervakning av människors beteende inom EU eller EES (artikel 3). Dataskyddsförordningen innehåller en rad definitioner av olika begrepp som används i förordningen (artikel 4). Personuppgifter är varje upplysning som avser en identifierad eller identifierbar levande fysisk person (kallad registrerad). Den registrerade kan identifieras av namn, identifikationsnummer, lokaliseringsuppgift eller onlineidentifikatorer samt av en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet. Behandling av personuppgifter är en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring. Pseudonymisering avser behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under förutsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifierbar fysisk person. Med statistiska ändamål avses enligt skäl 162 till förordningen varje åtgärd som vidtas för den insamling och behandling av personuppgifter som är nödvändig för statistiska undersökningar eller för framställning av statistiska resultat. De statistiska resultaten kan vidare användas för olika ändamål, inbegripet vetenskapliga forskningsändamål. Resultatet av behandlingen för statistiska ändamål består inte av personuppgifter, utan av aggregerade personuppgifter. Varken personuppgifterna eller resultatet av behandlingen får användas till stöd för åtgärder eller beslut som avser någon särskild fysisk person. För all behandling av personuppgifter enligt EU:s dataskyddsförordning gäller ett antal grundläggande principer (artikel 5). Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt och de ska samlas in för på förhand bestämda och berättigade ändamål, som tydligt har angivits. Personuppgifterna ska vara riktiga. Alla rimliga åtgärder ska vidtas för att felaktiga uppgifter rättas eller raderas. Personuppgifter ska enligt den s.k. principen om uppgiftsminimering dessutom vara adekvata, relevanta och inte för omfattande i förhållande till ändamålet. Behandlingen av personuppgifter ska ske på ett säkert sätt, och inte pågå än vad som är nödvändigt med hänsyn till ändamålet. Personuppgifter kan dock under vissa förutsättningar lagras , i den mån uppgifterna enbart behandlas för bl.a. vetenskapliga forskningsändamål eller statistiska ändamål. Personuppgifter får som huvudregel samlas in endast för ett visst ändamål och får inte behandlas för något ändamål som strider mot det ursprungliga ändamålet, s.k. ändamålsbegränsning. Ytterligare behandling för bl.a. vetenskapliga forskningsändamål och statistiska ändamål ska dock inte anses vara oförenlig med de ursprungliga ändamålen (artikel 5.1 b). Vid en sådan vidarebehandling som inte hindras av principen om ändamålsbegränsning krävs det inte någon annan separat rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50 till förordningen). Behandling för bl.a. vetenskapliga forskningsändamål och statistiska ändamål ska enligt artikel 89 i förordningen omfattas av lämp- liga skyddsåtgärder för den registrerades rättigheter och friheter. 2021/22:92 åtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Skyddsåtgärderna får inbegripa pseudonymisering, under förutsättning att ändamålen kan uppfyllas efter en sådan åtgärd. I dataskyddsförordningen föreskrivs ett antal rättigheter för den regi- strerade och motsvarande skyldigheter för den personuppgiftsansvarige Om personuppgifter behandlas för bl.a. vetenskapliga forskningsändamål eller statistiska ändamål, får det i eller i medlemsstaternas natio- nella rätt föreskrivas undantag från vissa av den registrerades rättigheter (artikel 89.2). Laglig grund för behandling av personuppgifter För att en behandling av personuppgifter över huvud taget ska vara tillåten, krävs det enligt EU:s dataskyddsförordning att det finns en laglig grund för behandlingen (artikel 6). Minst ett av de i artikel 6 angivna villkoren måste vara uppfyllt. Det första villkoret är att den registrerade har lämnat sitt samtycke till behandlingen. Behandling kan också ske om den är nödvändig för att fullgöra ett avtal eller en rättslig förpliktelse, för att skydda intressen som är av grundläggande betydelse för en fysisk person eller för att utföra en arbetsuppgift av allmänt intresse eller som ett led i Personuppgifter kan slutligen behandlas med stöd av Offentliga myndigheter får, när de fullgör sina uppgifter, inte stödja sin behandling av personuppgifter på en intresseav- Grunden för sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig förpliktelse enligt artikel 6.1 c, utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 e, måste fastställas i nationell rätt eller EU-rätt (artikel 6.3). Ytterligare ett krav när det gäller behandling med stöd av grunderna i artikel 6.1 c och artikel 6.1 e är att syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, att syftet med behandlingen ska vara nödvändigt för att utföra en arbets- uppgift av allmänt intresse eller som ett led i myndighetsutövning. Det finns också möjlighet att i nationell rätt mer detaljerat reglera olika krav på sådan behandling av personuppgifter som är nödvändig för att den personuppgiftsansvarige ska kunna uppfylla en rättslig skyldighet, utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.2 i EU:s dataskyddsförordning). I artikel 6.3 i förordningen anges dessutom att den rättsliga grunden kan innehålla särskilda bestäm- melser för att anpassa tillämpningen av förordningen. utrymme för s.k. registerförfattningar för bl.a. myndigheter. Dataskyddslagen innehåller kompletterande bestämmelser till EU:s Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning (1 kap. 6 §). Det möjliggör avvikande bestäm- melser i registerförfattningar. Av artikel 9.1 i EU:s dataskyddsförordning framgår att behandling av vissa känsliga personuppgifter, bl.a. uppgifter om hälsa, som huvudregel 2021/22:92 I 2 kap. dataskyddslagen finns bestämmelser som förtydligar när behandling av personuppgifter är laglig enligt dataskyddsförordningen. Behandling av personuppgifter för statistikändamål Den grundläggande regleringen av statistikansvariga myndigheters rätt att behandla personuppgifter för framställning av statistik finns i 14 och 15 §§ lagen om den officiella statistiken. I 14 § första stycket ges en generell rätt att, utan samtycke av den registrerade, behandla personuppgifter för framställning av statistik. För sådan behandling är den statistikansvariga myndigheten personuppgiftsansvarig. Bestämmelsen gäller även vid framställning av annan statistik hos en statistikansvarig myndighet än officiell statistik (1 § tredje stycket). Den officiella statistiken och annan reglerad statistik framställs av särskilt utpekade myndigheter, som genom författning har tilldelats en uppgift av allmänt intresse. Statistikansvariga myndigheter har således en generell rätt att utan samtycke behandla personuppgifter för framställning av statistik (se prop. 2017/18:107 s. 26 och 27). Genom regleringen i lagen och förordningen om den officiella statistiken har statistikansvariga myndigheter en rättslig grund för att i enlighet med artikel 6.1 e i EU:s dataskyddsförordning behandla personuppgifter för statistikändamål. Enligt 15 § första stycket lagen om den officiella statistiken får sådana känsliga personuppgifter som omfattas av artikel 9.1 i EU:s dataskyddsförordning endast behandlas om det följer av föreskrifter som regeringen meddelat. Statliga myndigheter kan enligt svensk rätt tilldelas rättsliga förpliktelser och uppgifter av allmänt intresse även genom regeringsbeslut (se prop. 2017/18:105 s. 51 och 52). Den rättsliga grunden för behandling av personuppgifter kan således preciseras i de statistikansvariga myndigheternas instruktioner och regleringsbrev. Som exempel kan nämnas den ovan nämnda förordningen med instruktion för . Av förordningen framgår att SCB ansvarar för att utveckla, framställa och sprida officiell statistik och annan statlig statistik, samt att myndigheten inom ramen för sin statistikverksamhet ska utföra uppdrag åt andra myndigheter, i den utsträckning som den har tillgängliga resurser för det. SCB har därmed en rättslig grund enligt artikel 6.1 e i EU:s dataskyddsförordning för att, också utanför de statistikområden inom vilka myndigheten ska producera officiell statistik, samla in och i övrigt behandla personuppgifter för statistiska ändamål utan samtycke från de registrerade (se prop. 2017/18:107 s. 26 f). Överföring av personuppgifter till tredjeländer Genom EU:s dataskyddsförordning har alla medlemsstater ett skydd för personuppgifter. Detta gäller även EES-länderna. Därför kan personuppgifter överföras fritt mellan länder inom detta område, om behandlingen sker i enlighet med dataskyddsförordningen. För länder utanför EU eller EES, s.k. tredjeländer, finns däremot inga generella regler som ger motsvarande garantier. I kapitel V i förordningen (artiklarna 44–50) har det därför införts särskilda bestämmelser om att överföring av personuppgifter till sådana länder kan ske under vissa förutsättningar. Dataskyddsförordningen tillåter överföring av personuppgifter till ett Prop. 2021/22:92 tredjeland bl.a. om •det finns ett beslut från Europeiska kommissionen om att det aktuella landet, en internationell organisation eller en eller flera sektorer i ett tredjeland säkerställer en s.k. adekvat skyddsnivå (artikel 45), •lämpliga skyddsåtgärder vidtas, t.ex. standardiserade dataskyddsbestämmelser och bindande företagsbestämmelser (artiklarna 46 och 47), eller •ett undantag är tillämpligt i särskilda situationer och enstaka fall (artikel 49), t.ex. om den registrerade uttryckligen har samtyckt till att uppgifterna får överföras efter att först ha blivit informerad om de eventuella riskerna med sådana överföringar, om överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige eller för att genomföra åtgärder som föregår ett sådant avtal på den registrerades begäran eller om överföringen är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk. Vad som närmare ska förstås med att personuppgifter överförs till tredjeland är inte reglerat i dataskyddsförordningen. I skäl 101 till förordningen anges dock att ”[d]et är viktigt att den skyddsnivå som fysiska personer säkerställs inom unionen genom denna förordning inte undergrävs när personuppgifter överförs från unionen till personuppgiftsansvariga, personuppgiftsbiträden eller andra mottagare i tredjeland […] vilket inbegriper vidarebefordran av personuppgifter från tredjelandet […] till personuppgiftsansvariga, personuppgiftsbiträden i samma eller ett annat tredjeland”. har uttalat att åtgärden att låta överföra personuppgifter från en medlemsstat till ett tredjeland i sig utgör en behandling av personuppgifter (dom , Schrems, C-362/14, EU:C:2015:650, punkt 45). Med sekretess avses ett förbud att röja en uppgift, vare sig det sker muntligen, genom att en allmän handling lämnas ut eller på något annat sätt (3 kap. 1 § OSL). I OSL regleras också sekretess mellan myndigheter. En uppgift för vilken sekretess gäller får inte röjas för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till (8 kap. 1 § OSL). Enligt 24 kap 8 § OSL gäller sekretess i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. För en uppgift i en allmän handling gäller sekre- tessen i högst om uppgiften avser en enskilds personliga förhållan- den, och annars i högst (24 kap. 8 § fjärde stycket OSL). Sekretessens föremål utgörs av uppgifter som avser en enskilds person- liga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Härigenom skyddas inte bara sådana uppgifter som innehåller identitets- beteckningar som namn och personnummer på en enskild, utan även uppgifter som över huvud taget kan – direkt eller indirekt – hänföras till en viss enskild. Uttrycket statistik definieras varken i OSL eller i någon annan lag- I allmänt språkbruk används ordet ”statistik” huvudsakligen i två Ordet kan för det första användas som en beteckning på en vetenskaplig disciplin. Ursprungligen avsågs med statistik en vetenskap som behandlade rådande förhållanden, i synnerhet politiska, sociala och ekonomiska förhållanden, inom en stat eller olika stater. vetenskaplig disciplin kom senare att, även inom fler områden, behandla metoder för insamling, bearbetning, redovisning och analys av data. statistik kan för det andra även avse sammanställningar av data som ofta åstadkoms med de olika metoder för insamling, bearbetning, redovisning och analys som utvecklats inom den statistiska vetenskapen. I 24 kap. 8 § OSL nämns uttrycket framställning av statistik. Med statistik avses således i detta sammanhang den senare av de nämnda betydelserna, dvs. ställning av data. All statistikframställning omfattas emellertid inte av bestämmelsen om Det beror på att regleringen i 24 kap. 8 § OSL endast är tillämplig i viss verksamhet som avser framställning av statistik. melserna om statistiksekretess gäller i första hand i ”särskild verksamhet för framställning av statistik”. Ett typexempel på detta utgörs av den verk- samhet som avser framställning av den officiella statistiken, som enligt 3 § lagen om den officiella statistiken ska finnas för allmän information, utred- ningsverksamhet och forskning. SCB ägnar sig huvudsakligen åt framställning av statistik. digheter, framför allt de som är statistikansvariga myndigheter enligt stati- stikförordningen, framställer av statistik vid sidan av sin övriga verksam- Eftersom uppgifter som omfattas av statistiksekretess har ett så starkt skydd innebär ett utlämnande som medför att uppgifterna kommer att omfattas av ett svagare sekretesskydd i sig en risk för skada. användningen av uppgifterna hos mottagaren inte medför någon skada kan nämligen det svagare sekretesskyddet hos mottagaren medföra att upp- gifterna lämnas vidare på ett sätt som medför skada. gifter till någon annan myndighet som tillämpar statistiksekretess torde normalt kunna ske. Omvänt torde ett utlämnande som innebär att upp- gifterna inte längre omfattas av statistiksekretess ofta medföra en skade- Sekretess enligt 21 kap. 7 § OSL gäller för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med EU:s dataskyddsförordning, dataskyddslagen eller 6 § lagen (2003:460) om etikprövning av forskning som avser människor. des i samband med att dataskyddsförordningen trädde i kraft. hänvisningen i paragrafen till personuppgiftslagen ersattes med en hän- visning till EU:s dataskyddsförordning och dataskyddslagen. gällde sekretess enligt den aktuella bestämmelsen inte om de utlämnade Prop. 2021/22:92 uppgifterna skulle behandlas av personuppgiftsansvariga etablerade utom- Genom hänvisningen till dataskyddsförordningen gäller bestämmelsen numera även utlämnanden till utländska mottagare som omfattas av förordningens tillämpningsområde (prop. 2017/18:105 s. 136). 6.1 Behovet av att kunna lämna uppgifter till Regeringens bedömning: Det finns ett stort behov av att uppgifter om svenska förhållande kan lämnas ut till Income Study () för att behandlas i de databaser som organisationen tillhandahåller. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna ifrågasätter behovet av att kunna lämna ut uppgifter till . Skälen för regeringens bedömning: har det funnits en trend med stigande inkomstskillnader i många utvecklade länder. Utvecklingen har medfört att flera internationella organisationer, såsom IMF, och , i större utsträckning än har intres- serat sig för frågor som rör inkomstfördelning. FN och EU har därutöver satt upp mål som handlar om fattigdom och inkomstspridning. Forskning om inkomstfördelning och anslutande frågeställningar bedrivs inom flera vetenskapliga discipliner, såsom nationalekonomi, sociologi, statskunskap och folkhälsovetenskap. Som exempel på frågor som behandlas kan nämnas hur skatte- och transfereringssystemet påver- kar inkomstspridningen, hur stor andel av befolkningen som kan betraktas som fattig i jämförelse med den övriga befolkningen, vilka skillnader det innebär för inkomsttagare på olika nivåer om ekonomiskt stöd ges i form av bidrag eller genom nedsatt skatt eller hur inkomstskillnaderna påverkas av en åldrande befolkning eller av migration. En annan fråga som har fått allt mer uppmärksamhet är penningpolitikens effekter på fördelningen av inkomster och förmögenheter. För att en sådan analys ska kunna genomföras behövs data på mikronivå, dvs. på individ- eller hus- Mikrodata ger en mer komplett bild och förbättrar möjligheten att göra djupare analyser och utvärdera effekter av ekonomisk-politiska beslut. Utöver tillhandahåller en databas () med mikrodata över hushållens inkomster och levnadsförhållanden. Till skillnad från LIS- databasen ingår dock endast EU-länder i denna databas, och data finns tillgänglig endast från den tidpunkt då respektive land blev medlem i EU. Detta innebär bl.a. att det är svårt att belysa frågor kopplade till hur EU- medlemskapet påverkar inkomstnivåer m.m. Det är inte heller möjligt att göra jämförande analyser med länder utanför EU. håller uppgifter från ett större antal länder både inom och utanför EU, vilket möjliggör andra typer av studier. Därtill innehåller databasen längre 2021/22:92 De svenska uppgifter som enligt regeringens bedömning närmast torde vara av betydelse för LIS-databasen avser uppgifter om följande förhållanden för respektive person eller hushåll: •fastställd inkomst av tjänst, kapital och näringsverksamhet, •skatter och sociala avgifter, •typ av anställning, anställningsform, lön, branschtillhörighet, m.m., •utbetalningar till följd av socialförsäkringar och andra offentliga transfereringar såsom barnbidrag, sjukpenning, föräldrapenning, a- kassa, m.m., •utbetalningar till följd av allmän pension, tjänstepension och privat pensionssparande, •utbetalningar till följd av privata transfereringar såsom underhållsbidrag och stipendium, •kön, civilstånd, ålder, antal medlemmar i hushållet och övriga förhållanden vad gäller hushållens sammansättning, •boende, däribland boendeform (hyresrätt eller äganderätt i vid mening), räntebetalningar och amorteringar, och •levnadsomkostnader, bl.a. vad gäller utgifter för livsmedel, kläder, hyror, transport, hälsa, kommunikation, fritidsaktiviteter och kultur samt utbildning. De uppgifter som torde vara av betydelse för LWS-databasen avser uppgifter om följande förhållanden för respektive person eller hushåll: •reala och finansiella tillgångar, •bostadslån, studieskulder och övriga skulder, •bostadsköp såsom köpesumma och förvärvstidpunkt, och För att jämförande studier ska vara möjliga krävs att inkomst- och förmögenhetsuppgifter från olika länder regelbundet sammanställs på ett systematiskt sätt, enligt en viss mall, så att de blir jämförbara. Det är inte tillräckligt att uppgifterna finns tillgängliga hos respektive lands statistikmyndighet. Det räcker alltså inte med att forskare under vissa förutsättningar, i enlighet med vad som anges i 24 kap. 8 § tredje stycket OSL, kan få ta del av svenska uppgifter från SCB för ett specifikt forskningsprojekt. Som framgår av avsnitt 4.4 är det av stor betydelse för samhället i stort, för såväl forsknings- och undervisningsändamål som för den offentliga debatten om exempelvis ekonomisk politik i vid mening, att fördelningen av inkomster samt inkomstutvecklingen generellt, och inom olika grupper av befolkningen, kan studeras och analyseras. Regeringen bedömer mot denna bakgrund att det finns ett stort behov av att kunna lämna statistiska uppgifter om svenska förhållanden till , i syfte att de därefter ska kunna behandlas i LIS-databasen och LWS- databasen. En ny uppgiftsskyldighet införs Regeringens förslag: Den statistikansvariga myndighet som rege- ringen bestämmer ska lämna ut uppgifter om inkomstförhållanden, skulder och förmögenhet som den behandlar enligt lagen om den offi- ciella statistiken till i den utsträckning som krävs för att svenska förhållanden ska återspeglas i de forskningsdatabaser som organisa- Dessa uppgifter ska inte direkt kunna hänföras till någon enskild. Känsliga personuppgifter ska dock inte lämnas ut, bortsett från upp-