Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap

Betänkande 2019/20:AU3

Arbetsmarknadsutskottets betänkande

2019/20:AU3

Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap

Sammanfattning

Utskottet ställer sig bakom regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap.

Syftet med förslaget är att ge Myndigheten för arbetsmiljökunskap möjlighet att behandla de personuppgifter som är nödvändiga för att myndigheten ska kunna fullgöra sina uppgifter på ett effektivt sätt samtidigt som enskildas personliga integritet värnas. Lagen föreslås omfatta behandling av personuppgifter i den del av myndighetens verksamhet som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys. I denna verksamhet föreslås myndigheten få ha samlingar av personuppgifter. Den föreslagna lagen innehåller olika skyddsåtgärder och begränsningar som syftar till att värna enskildas personliga integritet.

Lagen föreslås träda i kraft den 1 mars 2020.

Behandlade förslag

Proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap.

Innehållsförteckning

Utskottets förslag till riksdagsbeslut

Redogörelse för ärendet

Utskottets överväganden

Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap

Bilaga 1
Förteckning över behandlade förslag

Propositionen

Bilaga 2
Regeringens lagförslag

Utskottets förslag till riksdagsbeslut

Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap

Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap.

Därmed bifaller riksdagen proposition 2018/19:151.

Stockholm den 15 oktober 2019

På arbetsmarknadsutskottets vägnar

Anna Johansson

Följande ledamöter har deltagit i beslutet: Anna Johansson (S), Gulan Avci (L), Mats Green (M), Patrik Björck (S), Saila Quicklund (M), Magnus Persson (SD), Martin Ådahl (C), Ali Esbati (V), Josefin Malmqvist (M), Ebba Hermansson (SD), Johan Andersson (S), Sofia Damm (KD), Serkan Köse (S), Alexander Christiansson (SD), Leila Ali-Elmi (MP), Maria Nilsson (L) och Johanna Haraldsson (S).

Redogörelse för ärendet

I betänkandet behandlar utskottet proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. Regeringens förslag till riksdagsbeslut återges i bilaga 1. Regeringens lagförslag finns i bilaga 2. I propositionen finns en redogörelse för ärendets beredning fram till regeringens beslut om propositionen.

Ingen motion har väckts med anledning av propositionen.

Utskottets överväganden

Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap

Utskottets förslag i korthet

Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap.

Bakgrund

Myndigheten för arbetsmiljökunskap

Myndigheten för arbetsmiljökunskap inledde sin verksamhet den 1 juni 2018. Myndigheten är ett nationellt kunskapscentrum för arbetsmiljöfrågor och har till uppgift att sammanställa och sprida kunskap om arbetsmiljö i syfte att bidra till att kunskap om arbetsmiljö kommer till användning i praktiken. Myndigheten har också till uppgift att följa och analysera utvecklingen på arbetsmiljöområdet samt utvärdera och analysera statliga arbetsmiljöinsatser. Andra uppdrag är att arbeta med företagshälsovårdens utveckling och arbetsmiljöfrågor i Europeiska unionen (EU) och internationellt.

EU:s dataskyddsförordning

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), härefter kallad dataskyddsförordningen, utgör fr.o.m. den 25 maj 2018 den generella regleringen av behandling av personuppgifter inom EU. Det huvudsakliga syftet med förordningen är att säkerställa en enhetlig skyddsnivå i hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen är direkt tillämplig i alla EU:s medlemsstater. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag.

Anpassningar av svensk rätt till dataskyddsförordningen

Den 25 maj 2018, samma dag som dataskyddsförordningen började tillämpas, upphävdes personuppgiftslagen (1998:204) samtidigt som lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, härefter kallad dataskyddslagen, trädde i kraft. Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning. Detta innebär att om det finns avvikande bestämmelser i sektorsspecifika registerförfattningar ska de tillämpas framför motsvarande bestämmelser i dataskyddslagen.

På arbetsmarknadsområdet har registerförfattningarna för Arbetsmiljö-verket, Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och Institutet för arbetsmarknads- och utbildningspolitisk utvärdering anpassats till dataskyddsförordningen (prop. 2017/18:112, bet. 2017/18:AU12, rskr. 2017/18:235).

Propositionen

En särskild lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap

Regeringen framhåller att Myndigheten för arbetsmiljökunskap har behov av att kunna behandla ett relativt stort antal personuppgifter som dessutom behöver sparas under en längre tid för att kunna användas som underlag för utvärderingar och analyser under långa ledtider. Regeringen anför vidare att myndigheten kommer att vara beroende av att kunna ta del av personuppgifter från statistikansvariga myndigheter och andra aktörer som behöver veta i vilket syfte uppgifterna kommer att behandlas och vilka krav som gäller för personuppgiftsbehandlingen. Enligt regeringens uppfattning talar detta för att en särskild lag om behandling av personuppgifter vid myndigheten bör införas.

Lagens tillämpningsområde

Lagen föreslås vara avgränsad till att gälla behandling av personuppgifter i verksamhet vid Myndigheten för arbetsmiljökunskap som avser kunskapsuppbyggnad, kunskapsspridning, utvärdering och analys (1 § första stycket). För att utföra övriga delar av myndighetens uppdrag bedömer regeringen att det finns tillräckligt rättsligt stöd och tillräckliga skydds- och säkerhetsåtgärder i det generella dataskyddsregelverket och i förordningen med instruktion för Myndigheten för arbetsmiljökunskap.

Tillämpningsområdet för den föreslagna lagen föreslås motsvara dataskyddsförordningens materiella tillämpningsområde, dvs. lagen ska endast tillämpas på helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter som ingår eller kommer att ingå i ett register (1 § andra stycket). Manuell behandling av personuppgifter som inte ingår eller kommer att ingå i ett register faller således utanför lagens tillämpningsområde.

Förhållandet till annan reglering

När det gäller lagens förhållande till annan reglering föreslår regeringen att lagen ska innehålla bestämmelser som anger lagens förhållande till dataskyddsförordningen och dataskyddslagen (2 och 3 §§). Av 2 § framgår att lagen innehåller kompletterande bestämmelser till dataskyddsförordningen, vilket innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med dataskyddsförordningen. När det gäller hänvisningsbestämmelsen till dataskyddslagen (3 §) syftar denna till att klargöra att den föreslagna lagen inte utgör en uttömmande nationell reglering under dataskyddsförordningen, utan att dataskyddslagen och dess bestämmelser kommer att gälla för Myndigheten för arbetsmiljökunskap om inte den föreslagna lagen eller annan författning föreskriver något annat.

Rätten att göra invändningar och krav på medgivande

När det gäller den registrerades möjlighet att göra invändningar mot behandling av personuppgifter avseende honom eller henne finns en sådan rätt i artikel 21.1 i dataskyddsförordningen. Dataskyddsförordningen tillåter emellertid att denna rätt begränsas under vissa omständigheter, och regeringen bedömer att det finns skäl att införa en bestämmelse i lagen där det anges att rätten att göra invändningar inte gäller vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den (4 § första stycket). Begränsningen av rätten att göra invändningar bör dock inte gälla när personuppgifterna samlas in direkt från den enskilde (4 § andra stycket). Om personuppgifter samlas in direkt från den enskilde ska de endast få behandlas om personen har lämnat sitt uttryckliga medgivande till behandlingen (5 § första stycket). Den registrerade ska ha rätt att när som helst återkalla ett medgivande. Ytterligare personuppgifter om den registrerade ska därefter inte få behandlas (5 § andra stycket).

Personuppgiftsansvar

Regeringen föreslår att Myndigheten för arbetsmiljökunskap ska vara personuppgiftsansvarig för behandling av personuppgifter enligt lagen (6 §).

Ändamål med behandlingen

När det gäller ändamålen med behandlingen föreslår regeringen att det tas in en s.k. ändamålsbestämmelse i lagen som sätter den yttersta ramen för behandlingen (7 § första stycket). Myndigheten ska enligt bestämmelsen få behandla personuppgifter om det är nödvändigt för

•       insamling, sammanställning och spridning av kunskap om arbetsmiljö

•       utvärdering och analys av statliga reformer och andra statliga initiativ

•       bevakning och analys av utvecklingen på arbetsmiljöområdet

•       forskning som myndigheten får bedriva för att utföra sitt kunskaps-, utvärderings- och analysarbete.

Regeringen föreslår vidare att det ska föras in en upplysningsbestämmelse i lagen om att regeringen kan begränsa ändamålen och de uppgifter som får behandlas (7 § andra stycket).

Personuppgifter som behandlas för de primära ändamålen ska också få behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning (8 §).

Regeringen föreslår vidare en bestämmelse om att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål, under förutsättning att dessa inte är oförenliga med de ändamål för vilka uppgifterna samlades in (9 §). Sistnämnda bestämmelse tydliggör att den s.k. finalitetsprincipen, dvs. att personuppgifter endast får behandlas för de ändamål som angavs när uppgifterna samlades in, gäller vid behandling av personuppgifter enligt lagen.

Behandling av känsliga personuppgifter

I fråga om vilka personuppgifter som får behandlas finns i artikel 9.1 i dataskyddsförordningen ett förbud mot att behandla särskilda kategorier av personuppgifter (känsliga personuppgifter). Förbudet kompletteras emellertid med en rad undantag som tillåter sådan behandling i vissa fall. Regeringen föreslår att Myndigheten för arbetsmiljökunskap ska få behandla fem kategorier av känsliga personuppgifter. Dessa kategorier är personuppgifter som avslöjar etniskt ursprung, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning (10 § första stycket).

Regeringen föreslår också att det tas in en upplysningsbestämmelse i lagen om att forskning som innefattar behandling av känsliga personuppgifter och personuppgifter om vissa lagöverträdelser måste etikprövas (10 § andra stycket).

Samlingar av personuppgifter

Regeringen föreslår att myndigheten ska få ha samlingar av personuppgifter. Det handlar om dels samlingar av pseudonymiserade personuppgifter där kodnyckeln förvaras hos den myndighet uppgifterna kommer från (11 §), dels samlingar av pseudonymiserade personuppgifter där kodnyckeln förvaras hos Myndigheten för arbetsmiljökunskap (12 §). Den första kategorin av samlingar behöver inte nödvändigtvis vara knutna till ett särskilt projekt, vilket däremot är ett krav för den senare. Båda de aktuella paragraferna föreslås innehålla vissa skydds- och säkerhetsåtgärder för att värna enskildas personliga integritet.

Tillgång till personuppgifter

Regeringen konstaterar att spridning av personuppgifter är en viktig faktor vid bedömning av integritetsrisker med behandling av personuppgifter. Regeringen föreslår därför att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (13 §).

Ikraftträdande

Lagen om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap föreslås träda i kraft den 1 mars 2020.

Utskottets ställningstagande

Utskottet konstaterar att det inte har väckts några motioner med anledning av propositionen. Det har inte heller förts fram några yrkanden under utskottsbehandlingen. Utskottet anser att regeringens lagförslag är ändamålsenligt utformat och att det bör antas av de skäl som anförs i propositionen. Med detta föreslår utskottet att riksdagen antar det förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap som läggs fram i propositionen.

Bilaga 1

Förteckning över behandlade förslag

Propositionen

Proposition 2018/19:151 Behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap:

Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap.

Bilaga 2

Regeringens lagförslag