Allmänt

I lagförslaget beaktas den ändrade dataskyddslagstiftningen. Det betyder att hänvisningarna till den upphävda personuppgiftslagen (523/1999) stryks i statistiklagen (280/2004) och att hänvisningar till EU:s allmänna dataskyddsförordning (EU) 2016/679 och vår nationella dataskyddslag (1050/2018) i stället fogas till lagen. Dessutom ska statistiklagen föreskriva om fyra nya offentliga uppgifter som ska läggas till uppgifterna i Statistikcentralens statistiska register över företag och arbetsställen (företagsenhet, tillväxtföretag, sektorindelning och LEI-nummer). Det gör registret mer användbart i kundservicen och gör att data som samlas in med offentliga medel kan användas mer effektivt och verkningsfullt. Ett syfte med ändringen är också att förbättra systematiken i lagen och att korrigera vissa termer. 

Bestämmelsen med hänvisning till den allmänna dataskyddsförordningen (1 §)

Vid utfrågningen av sakkunniga kom det fram att det inte är nödvändigt att hänvisa till EU:s allmänna dataskyddsförordning i 1 § om tillämpningsområdet. Statistiklagen, EU:s allmänna dataskyddsförordning och den nationella dataskyddslagen utgör en relativt komplicerad ram för statistik och information som används för forskningsändamål, påpekar utskottet. Den personuppgiftsansvariges skyldigheter och den registrerades rättigheter samt undantagen från dessa måste nämligen bedömas med avseende på de inbördes relationerna mellan förordningen och lagen. Statistiklagen innefattar både statistikverksamhet och forskningsverksamhet och de har i flera hänseenden en särställning i dataskyddsförordningen. Därför är det enligt utskottet motiverat att lyfta fram de inbördes relationerna mellan förordningen och lagen. Utskottet menar att en informativ hänvisning till att den allmänna dataskyddsförordningen bör tas in i paragrafen om lagens tilllämpningsområde precis som regeringen föreslår. 

Personuppgiftsansvarig och personuppgiftsbiträde (17 §)

I 17 § föreskrivs det om användning av uppgiftsmaterial. Vid utfrågningen av sakkunniga påpekades det att av 17 § inte tydligt framgår vem som är registeransvarig och vem som anses vara personuppgiftsbiträde. Till detta påpekar utskottet för det första att ändringen av 17 § är av rent teknisk natur och gäller stavningen av Statistikcentralen. Därför redogörs det inte närmare för ändringen i detaljmotiveringen till paragrafen. 

I artikel 4 i den allmänna dataskyddsförordningen definieras behandling, personuppgiftsansvarig och personuppgiftsbiträde. Enligt uppgifter till utskottet kräver inte den allmänna dataskyddsförordningen att den nationella lagstiftningen innehåller vare sig explicita eller kompletterande bestämmelser om personuppgiftsansvarig eller personuppgiftsbiträde, utan förordningen kan tilllämpas direkt på behandling av personuppgifter. Det räcker för att bedöma om den en myndighet eller någon annan i sin verksamhet uppfyller kriterierna i definitionen av personuppgiftsansvarig respektive personuppgiftsbiträde. 

I annat fall måste statistiklagen ses över i sin helhet när ny lagstiftning bereds, om det mot förmodan i tillämpningen visar sig att den personuppgiftsansvariges roll inom statistikverksamheten till någon del inte kan bedömas med hjälp av den allmänna dataskyddsförordningen. 

Bevarande av uppgifter (10 a §)

Av 10 a § framgår det bland annat att statistikmyndigheten får bevara uppgifter insamlade för statistiska ändamål så länge som det är nödvändigt för att nå syftet med lagen, om inte någon annan lag föreskriver något annat om att bevara uppgifter. Hänvisningen till 12 § 2 mom. i den upphävda personuppgiftslagen föreslås bli struken. Vid utfrågningen av sakkunniga framfördes det kritik mot att bestämmelsen överlåter till den personuppgiftsansvarige att bestämma hur länge uppgifter bevaras. 

Enligt artikel 5.1 e i den allmänna dataskyddsförordningen får personuppgifter inte förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas. Personuppgifter får emellertid lagras under längre perioder i den mån som personuppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, under förutsättning att de lämpliga tekniska och organisatoriska åtgärder som krävs enligt förordningen genomförs för att säkerställa den registrerades rättigheter och friheter. 

Enligt vad utskottet erfar kan man enligt den allmänna dataskyddsförordningen också i den nationella lagstiftningen precisera förordningens allmänna villkor om lagligheten i behandlingen av personuppgifter samt lägga fast ingående krav för att ange personuppgiftsansvarig, typ av personuppgifter som behandlas, berörda registrerade, sammanslutningar till vilka personuppgifter får lämnas ut, ändamålsbegränsningar, lagringstid och andra åtgärder för att säkerställa laglig och korrekt behandling. 

I överensstämmelse med syftet med statistiklagen får uppgifterna uteslutande behandlas för statistiska ändamål eller för vetenskapliga eller historiska forskningsändamål. Enligt uppgifter till utskottet har de lämpliga tekniska och organisatoriska åtgärder som krävs i den allmänna dataskyddsförordningen genomförts för att säkerställa de registrerades rättigheter och friheter. Samtidigt konstaterar utskottet att den gällande lagen lägger fast tiden för att bevara uppgifter utifrån nödvändigheten, som ska bedömas i förhållande till vilken roll statistikföringen eller användningen för forskningsändamål spelar för lagringen av uppgifterna. Att bedöma lagringstiden utifrån nödvändigheten kan anses vara en mer korrekt utgångspunkt än att utgå från formuleringen i den allmänna dataskyddsförordningen. Med hänvisning till tillgänglig information anser utskottet att den föreslagna regleringen är möjlig med beaktande av artikel 5 i den allmänna dataskyddsförordningen och av inkommen information det nationella handlingsutrymme som förordningen medger. 

Sammanfattning

Sammantaget sett anser utskottet propositionen vara behövlig och lämplig. Utskottet tillstyrker lagförslaget utan ändringar. Dessutom framhåller utskottet att det ytterligare behövs en närmare bedömning av vilka konsekvenser EU:s allmänna dataskyddslagstiftning har för vår statistiklag och att man vid behov måste vidta lagberedningsåtgärder för att revidera statistiklagen.