Uppgiftsskyldighet för leverantörer
Integritetsskyddsmyndigheten (IMY) har granskat förslaget huvudsakligen utifrån myndighetens uppgift att arbeta för att människors grundläggande fri- och rättigheter skyddas i samband med behandling av personuppgifter.
IMY har följande synpunkter.
Arbetsförmedlingen uppger att föreskrifterna reglerar uppgiftsskyldigheten på en övergripande nivå och att en mer detaljerad information om vilka uppgifter en leverantör ska lämna framgår av dokumentet Uppgifter Arbetsförmedlingen behöver om enskild och insats, version 1.0. Dokumentet har dock enligt uppgift från Arbetsförmedlingen ännu inte upprättats och ingår följaktligen inte i det remitterade underlaget. I föreskrifterna hänvisas till detta dokument och därutöver anges exempelvis att en leverantör ska lämna övriga uppgifter som Arbetsförmedlingen behöver för att stärka den enskildes möjligheter till arbete (8 §). En leverantör ska också på begäran av myndigheten lämna övriga uppgifter som myndigheten behöver i ärenden och varning eller avstängning från individersättning eller återkallelse av anvisning (10 §). IMY konstaterar att det är otydligt och oförutsägbart vad det är för personuppgifter som kommer att behandlas på grund av leverantörers uppgiftsskyldighet och i vilken utsträckning det kan röra sig om behandling av känsliga uppgifter.
Enligt konsekvensutredningen deltog 83 762 arbetssökande i arbetsmarknadspolitiska insatser under september 2022 och Arbetsförmedlingen hade avtal med 290 leverantörer detta år. IMY konstaterar därför att förslaget kommer att innebära en omfattande behandling av personuppgifter om arbetssökande. Arbetsförmedlingen framhåller i konsekvensutredningen behovet av uppgifter om den arbetssökande både i den egna arbetsmarknadspolitiska verksamheten och för att samverka med andra myndigheter. Arbetsförmedlingen har dock inte gjort någon utredning och analys av förslagens konsekvenser för enskildas personliga integritet.
Dataskyddsförordningen (1) förutsätter kompletterande nationella bestämmelser när grunden för behandlingen utgörs av en uppgift av allmänt intresse. När nationella bestämmelser föreslås måste det utredas om innehållet i förslagen överensstämmer med förordningens krav. Dessa krav anges bland annat i artikel 6 och när det gäller känsliga personuppgifter i artikel 9.
Av artikel 6.3 i dataskyddsförordningen framgår att när grunden för en behandling fastställs i nationell rätt ska den uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Enligt skäl 41 i dataskyddsförordningen bör en rättslig grund eller lagstiftningsåtgärd vara tydlig och precis och dess tillämpning förutsägbar för personer som omfattas av den. Det innebär enligt IMY att den rättsliga grunden måste utformas utifrån de krav som förordningen ställer på tydlighet, precision, förutsägbarhet och proportionalitet. Vidare innebär det att kravet på förutsägbarhet ska ses från den registrerades perspektiv – och inte från den personuppgiftsansvariges.
En proportionalitetsbedömning gällande dataskydd innebär att integritetsriskerna med en viss personuppgiftsbehandling vägs mot de fördelar som behandlingen bidrar med till det ändamål som förslaget avser att uppfylla. För att behandlingen ska vara tillåten måste fördelarna stå i rimlig proportion till nackdelarna. Intrånget som sker i den enskildes privata sfär måste vara befogat och begränsas till vad som är nödvändigt.
För att Arbetsförmedlingen ska kunna göra en proportionalitetsbedömning behöver myndigheten utföra ett systematiskt arbete med att beskriva den planerade personuppgiftsbehandlingen och integritetsriskerna. Det innebär bl.a. att beskriva vilken typ av personuppgifter som ska behandlas, vilka registrerade som berörs, antalet registrerade som berörs och hur många uppgifter om varje person som kommer att behandlas. För att uppfylla kraven i dataskyddsförordningen behöver säkerställas att intrånget i den personliga integriteten är proportionellt i förhållande till vad som ska uppnås med behandlingen. Det innebär att en bedömning måste göras av vilken behandling som är nödvändig utifrån de avsedda ändamålen och om det finns alternativ som är mindre integritetskänsliga. Integritetsintrånget måste balanseras av integritetshöjande bestämmelser till förmån för den enskilde vars uppgifter behandlas. Analys av intrånget måste också göras utifrån den enskilde registrerades perspektiv och ta hänsyn till samtliga risker som förslaget kan innebära för den enskilde.
IMY anser att Arbetsförmedlingen i det fortsatta arbetet med föreskrifterna bör göra en utredning och analys enligt de krav som dataskyddsförordningen ställer på bl.a. tydlighet, förutsägbarhet och proportionalitet samt därefter utforma föreskrifterna utifrån detta.
Fotnot
(1) 1 EUROPAPARLAMENTETS OCH RÅDETS FÖRORDNING (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning).
Detta yttrande har beslutats av avdelningsdirektören Suzanne Isberg efter föredragning av juristen Caroline Cruz Julander.
Suzanne Isberg, 2022-11-25 (Det här är en elektronisk signatur)