Grunden för behandlingen av personuppgifter

Lagstadgad skyldighet som grund för behandling

En av de behandlingsgrunder som dataskyddsförordningen tillåter är att behandlingen är nödvändig för att fullgöra en lagstadgad skyldighet.

Uppgifter i anslutning till verkställigheten av pensionsskyddet

Arbetspensionsanstaltens lagstadgade uppgift är att verkställa arbetspensionsskyddet. Arbetspensionsanstaltens lagstadgade uppgifter är bland annat

• beslut om penningförmåner och rehabilitering som fattas av aktörer inom arbetspensionsbranschen,
• justering av förmånsbeloppet,
• rättelse av beslut,
• ändring av förmånsslag,
• förpliktigande till undersökningar,
• avbrytande eller indragning av förmån eller rehabilitering,
• återkrav,
• fastställande av försäkringsavgift,
• tillsyn över arbetsgivarna,
• förpliktigande av arbetsgivare att iaktta ett månatligt förfarande,
• påförande av försummelseavgift och
• krav på uppgifter och utredningar av arbetsgivare och förmånstagare,
• uppgifter som hänför sig till en lagstadgad uppgift, såsom skötsel av kundrelationer och rådgivning,
• hantering av risken för arbetsoförmåga.

Pensionsskyddscentralens lagstadgade uppgifter är bland annat beslut om tillämpningsområde, tvångsförsäkringsbeslut, intyg till utsända arbetstagare och befrielser från försäkringsskyldigheten.

I skötseln av de lagstadgade uppgifterna inom arbetspensionsbranschen ingår ofta utövning av offentlig makt. Inom arbetspensionsbranschen sköts också sådana lagstadgade uppgifter som inte omfattar utövning av offentlig makt.

Uppgifter i anslutning till finansiering av pensionsskyddet och insamling av pensionsavgifter

Pensionsanstalten ska sköta de uppgifter som hänför sig till insamlingen av pensionsavgifter samt sköta de medel som inflyter till bolagen för verkställigheten av det lagstadgade pensionsskyddet på ett sätt som tryggar de förmåner som försäkringarna omfattar.

Aktuarietjänsterna ansvarar för att bereda beräkningsgrunderna och de årliga avgifterna samt producera nödvändiga experttjänster, uträkningar, prognoser och rapporter för pensionsanstaltens intressentgruppers behov. Hanteringen av aktuarietjänsten förutsätter till viss del användning av personuppgifter.

Forsknings- och utredningsuppgifter i anslutning till skötseln av lagstadgade uppgifter

Skötseln av lagstadgade uppgifter förutsätter också vissa forsknings- och utredningsuppgifter. Som sådana uppgifter kan betraktas olika utredningar och statistik om såväl försäkrade, anställningsförhållanden, pensionerade, påbörjade pensioner samt gällande pensioner. Oftast grundar sig skötseln av ovannämnda uppgifter på pensionsanstaltens egna registeruppgifter.

Den personuppgiftsansvarigas berättigade intresse som behandlingsgrund

Behandlingen är lagenlig för att tillgodose den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter åsidosätter dessa intressen, vilket kräver skydd av personuppgifter.

Aktörer inom arbetspensionssektorn

Verkställandet av arbetspensionsskyddet är en lagstadgad uppgift och där utövas offentlig makt. Då är behandlingsgrunden alltid en lagstadgad uppgift och ingen bedömning av behandlingsgrunden behöver göras. Arbetspensionsanstalterna kan också sköta andra än lagstadgade uppgifter.

Den av arbetspensionsanstalterna som är en myndighet är Keva. Även Keva kan dock bedriva privaträttslig verksamhet där ett berättigat intresse kan utgöra behandlingsgrund även för Kevas del.

Berättigat intresse inom arbetspensionssektorn

I motiveringen till dataskyddslagen konstateras att när privaträttsliga sammanslutningar sköter offentliga förvaltningsuppgifter utgörs den tillämpliga behandlingsgrunden enligt förordningen av antingen en lagstadgad skyldighet eller den personuppgiftsansvarigas berättigade intresse.

Uppgifter som är förenliga med det berättigade intresset kan till exempel vara pensionsanstaltens planerings- och utredningsuppgifter, till den del som behandlingsgrunden inte är en lagstadgad skyldighet.

Ett berättigat intresse kan också finnas när det finns ett betydelsefullt och lämpligt förhållande mellan den registrerade och den personuppgiftsansvarige, såsom när den registrerade är kund hos den personuppgiftsansvarige eller anställd hos denne.

Inom arbetspensionssektorn kan ett berättigat intresse utgöra behandlingsgrund också vid skötseln av av privaträttsliga uppgifter, bland annat vid marknadsföring och kundanskaffning.

Ett berättigat intresse som behandlingsgrund förutsätter att den registrerades intressen och rättigheter beaktas särskilt noggrant. I fråga om berättigat intresse innebär den personuppgiftsansvarigas ansvarsskyldighet att den personuppgiftsansvariga ska dokumentera och motivera för den registrerade varför den anser sig ha ett berättigat intresse i en viss behandling av personuppgifter.

I den bifogade anvisningen från dataombudsmannens byrå har man utrett vilka frågor som ska beaktas i fråga om huruvida ett berättigat intresse utgör grund för behandlingen.

Den registrerades samtycke som behandlingsgrund

Personuppgifter får behandlas om den registrerade har gett sitt samtycke till att personuppgifterna behandlas för ett eller flera ändamål. Inom arbetspensionssystemet behandlas personuppgifter i regel i med stöd av lagen. Samtycke som behandlingsgrund är ett undantag.

Ojämlikhet mellan den personuppgiftsansvariga och den registrerade

Samtycke bör inte utgöra giltig rättslig grund för behandling av personuppgifter i ett särskilt fall där det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet och det därför är osannolikt att samtycket har lämnats frivilligt när det gäller alla förhållanden som denna särskilda situation omfattar.

Den pensionsanstalt som verkställer arbetspensionsskyddet kan betraktas som en med myndighet jämförbar aktör som verkställare av lagstadgad arbetspension. Pensionsanstalten ska inte använda den registrerades samtycke som grund för behandlingen av personuppgifter annat än i sådana fall där samtycket lätt kan ges endast för en viss behandling.

Mera

Förutsättningarna för samtycke

För att samtycket ska vara giltigt måste det vara

• specificerat
• medvetet
• genuint frivilligt och
• en entydig viljeyttring.

Den registrerade kan ge sitt samtycke till ett på förhand bestämt, uttryckligt och lagligt ändamål. Om syftet med behandlingen av personuppgifter ändras ska ett nytt samtycke begäras innan behandlingen inleds.

Specifikation av samtycket

När samtycke begärs ska det ändamål för vilket uppgifterna samlas in specificeras. Om personuppgifter behandlas för flera olika ändamål, ska den registrerade kunna välja för vilka ändamål han eller hon vill ge sitt samtycke. Separata samtycken ska begäras för olika användningsändamål. För ett nytt användningsändamål ska i regel alltid ett nytt samtycke begäras.

Frivilligt samtycke och återkallande av samtycke

Samtycke ska kunna vägras.

Innan den registrerade ger sitt samtycke ska den personuppgiftsansvarige uppge

• rätten att återkalla samtycke,
• hur återkallandet görs i praktiken.

Samtycket ska kunna återkallas utan skadliga följder och det ska vara lika enkelt att återkalla samtycket som att ge sitt samtycke. Samtycket kan återkallas när som helst.

Samtycke för en viss behandling inom arbetspensionssektorn

För avgörande av ett förmånsärende kan en pensionsanstalt ha behov av att lämna uppgifter till vissa instanser även med pensionssökandens samtycke.

På ansökan om såväl invalidpension, arbetslivspension som rehabilitering kan den sökande redan under ansökningsskedet ge sitt samtycke till att arbetspensionsanstalten kan lämna ut uppgifter om den sökandes rehabiliteringsbeslut och andra frågor i anslutning till rehabiliteringen till de instanser som deltar i planeringen och genomförandet av rehabiliteringen.

Om ett rehabiliteringsärende måste utredas redan innan ansökan om rehabilitering eller invalidpension är anhängig, ska pensionsanstalten få personens skriftliga, specificerade samtycke till utbyte av uppgifter mellan de instanser som deltar i utredningen av rehabiliteringsärendet.

Den registrerades rättigheter när behandlingsgrunden är samtycke

Den registrerade har i regel mer omfattande rättigheter att utöva den registrerades rättigheter i en situation där behandlingsgrunden är samtycke än i en situation där behandlingsgrunden är en lagstadgad skyldighet.

När samtycke används i de ovan beskrivna lagstadgade uppgifterna i anslutning till skötseln av arbetspensionsskyddet kan den registrerades rättigheter till exempel i fråga om borttagning av uppgifter eller överföring av uppgifter från ett system till ett annat inte tillgodoses, eftersom samma uppgifter ofta också behandlas som en del av den lagstadgade uppgiften.

Avtal som behandlingsgrund

När den registrerade är part i avtalet får dennes personuppgifter behandlas i syfte att verkställa avtalet.

Det är viktigt att fastställa avtalets exakta innehåll och grundläggande mål, eftersom man utifrån dem bedömer om behandling är nödvändig. Behandlingen ska begränsas till endast nödvändiga personuppgifter.

I samband med en lagstadgad uppgift inom arbetspensionssektorn kan i enskilda fall även användas avtal. Om det i samband med lagstadgade uppgifter finns behov av att samla in även andra uppgifter, ska behandlingsgrunden vara någon annan än en lagstadgad skyldighet, till exempel ett avtal.

Med kunden kan man till exempel ingå ett nättjänstavtal, enligt vilket man även kan samla in annan information än vad som krävs för att sköta en lagstadgad uppgift. Då kan man till exempel samla in den registrerades e-postadress. Även handläggningen av uthyrningsverksamhet grundar sig på ett avtal som ingåtts med den registrerade.

Allmänt intresse eller utövande av offentlig makt som behandlingsgrund

Enligt dataskyddsförordningen kan personuppgifter behandlas om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller för att utöva offentlig makt som hör till den personuppgiftsansvariga.

Inom arbetspensionssektorn begränsas utövandet av offentlig makt till skötseln av en lagstadgad uppgift, varvid behandlingsgrunden är en lagstadgad skyldighet.

Allmänt intresse som behandlingsgrund

Enligt dataskyddsförordningen ska det stiftas i lag om allmänt intresse som behandlingsgrund.

Enligt dataskyddslagen kan allmänt intresse komma i fråga som behandlingsgrund av personuppgifter bland annat i följande fall:

• Det är fråga om uppgifter som beskriver en persons ställning samt uppdrag och skötseln av detta inom ett offentligt samfund, näringslivet, organisationsverksamhet eller någon annan motsvarande verksamhet, i den mån som syftet med behandlingen är förenligt med allmänt intresse och behandlingen står i proportion till det legitima mål som eftersträvas.
• Behandlingen behövs för vetenskaplig eller historisk forskning eller för statistikföring och den står i proportion till det mål av allmänt intresse som eftersträvas.
• Behandling av forskningsmaterial och kulturarvsmaterial som innehåller personuppgifter samt av personuppgifter som hänför sig till innehålls- och referensinformation som gäller sådant material behövs för arkivändamål och behandlingen står i proportion till det mål av allmänt intresse som eftersträvas och den registrerades rättigheter.

Syftet med bestämmelsen är att möjliggöra behandling av personuppgifter som sker av myndigheter när rätten till behandling inte direkt kan härledas från en uppgifts- eller behörighetsbestämmelse som gäller en myndighet eller annan specialreglering.

Allmänt intresse kan vara en behandlingsgrund enligt dataskyddslagen när behandlingen är nödvändig för vetenskaplig eller historisk forskning eller statistikföring.

Inom  arbetspensionssystemet är grunden för behandlingen av undersökningar och statistik dock oftast en lagstadgad skyldighet. Sådana uppgifter är bland annat att utarbeta olika undersökningar och statistik om såväl försäkrade, anställningsförhållanden, pensionerade, påbörjade pensioner samt gällande pensioner.

Allmänt intresse och den registrerades rättigheter

Om behandlingen grundar sig på ett allmänt intresse, behåller den registrerade vissa sådana rättigheter som han eller hon inte har i samband med en lagstadgad uppgift. En sådan rättighet är till exempel rätten att motsätta sig behandlingen av personuppgifter som gäller denne.

På grund av det ovannämnda ska det säkerställas när behandlingsgrunden i olika forsknings- och statistikföringsuppgifter är en lagstadgad skyldighet och när en uppgift är av allmänt intresse.

Oberoende av om behandlingsgrunden är en lagstadgad skyldighet eller ett allmänt intresse behåller den registrerade rätten att kontrollera sina uppgifter. Endast om forskningen eller statistikföringen uppfyller kraven i 31 § i dataskyddslagen har den registrerade inte tillgång till sina uppgifter och har inte heller andra rättigheter som har begränsats i lagrummet.

Mera