prop · GI038 · 1995-01-01 00:00:00 — Vi kan således konstatera att det redan finns sekretessbestämmelser som är tillämpliga på uppgifterna i ett socialförsäkringsregister. Enligt vår mening har det heller inte framkommit något som ger anledning att överväga en ändring av sekretessbestämmelserna. De uppgifter som anför som skäl för en skärpning av sekretessen får enligt vårt förslag om registerinnehåll överhuvudtaget inte ingå i ett socialförsäkringsregister. Den nuvarande utformningen av sekretessreglerna får anses ge de registrerade personerna ett tillfredsställande skydd. Regeringens förslag: Den som är registeransvarig för ett socialförsäkringsregister skall se till att allmänheten får information om registret. Informationen skall omfatta ändamålet med registret och vad registret får innehålla. Informationen skall vidare innehålla upplysning om de sekretess- och säkerhetsbestämmelser som gäller och om rätten att få registerutdrag och vid behov rättelse enligt datalagen. I övrigt skall informationen innehålla upplysning om de begränsningar beträffande terminalåtkomst, utlämnande av uppgifter på ADB-me- dium, sökbegrepp och bevarande av uppgifter som gäller i fråga om ett socialförsäkringsregister. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: De remissinstanser som berört frågan om information har i allmänhet understrykt behovet av information. har dock anfört tveksamhet mot att i lagen ta in bestämmelser om särskild information avseende socialförsäkringsregister. Skälen för regeringens förslag: Informationen till allmänheten om registren är enligt vår mening mycket viktig. Härigenom skapas en nödvändig grund för att få förtroende för registren. De registrerade behöver få kunskap om dels användningen av inhämtade uppgifter, dels de sekretess- och säkerhetsbestämmelser som gäller och hur bestämmelserna tillämpas. Vidare skall upplysning lämnas om vilka rättigheter den enskilde har. Det gäller främst rätten enligt datalagen att få registerutdrag och möjligheten att få rättelse till stånd om någon uppgift i registret skulle visa sig vara felaktig. Informationen skall också omfatta en orientering om de begränsningar i fråga om terminalåtkomst, utlämnande av uppgifter på ADB-medium, sökbegrepp och bevarande av uppgifter som skall gälla. Informationsskyldigheten bör ligga på den registeransvarige. Dessa bestämmelser överensstämmer med vad som gäller för de lokala sjukförsäkringsregistren. Informationen behöver inte ges individuellt till varje registrerad person utan kan ske genom t.ex. annonser, broschyrer eller anslag i RFV:s och . Regeringens förslag: Några särskilda regler om ADB-säkerhet införs inte i lagen om socialförsäk- ringsregister. Datainspektionen får med stöd av datalagen meddela de föreskrifter som behövs från säkerhetssynpunkt. Utredningens förslag: Överensstämmer med regeringens. Remissinstanserna: Endast några få remissinstanser har berört säker- hetsfrågorna. Justitiekanslern anser att en analys av säkerhetsfrågorna borde gjorts. föreslår reglering av hur säkerheten kring registren skall utformas. Skälen för regeringens förslag: Enligt 6 § datalagen ankommer det på Datainspektionen att meddela föreskrifter om bl.a. kontroll och säkerhet vid förande av personregister i den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet. Datainspektionens skyldighet att meddela föreskrifter gäller enligt 6 a § datalagen också i fråga om personregister som har inrättats av eller regeringen (s.k. statsmaktsregister) i den mån eller regeringen inte meddelat föreskrift i samma hänseende. I den registeransvariges skyldigheter enligt datalagen ingår att se till att uppgifterna i registret skyddas mot oavsiktlig eller otillåten förstörelse eller mot otillåten ändring eller spridning (7 § 5 datalagen). I anslutning till denna bestämmelse har Datainspektionen utfärdat allmänna råd om ADB-säkerhet för personregister. Råden är inte bindande men ligger till grund för de föreskrifter om ADB-säkerhet som Datainspektionen meddelar. Utöver Datainspektionens föreskrifter gäller inom socialförsäkrings- administrationen särskilda föreskrifter utfärdade av RFV. I föreskrifterna behandlas bl.a. frågor om åtkomstskydd, ansvar och bevakning av säkerheten. Enligt RFV:s föreskrifter skall de ADB-system som innehåller personuppgifter eller är av väsentlig betydelse för verksamheten skyddas av behörighetskontrollsystem om det inte är uppenbart obehövligt. Den anställde skall inte ha vidare behörighet än han behöver för att kunna sköta sina arbetsuppgifter. Omfattningen av de anställdas behörighet skall vara skriftligen dokumenterad. För vissa tillämpningssystem med personregister finns krav i Datainspektionens tillstånd att det skall finnas integritetsloggning. En sådan loggning skall innehålla uppgifter om vem som gjorde vad och . RFV rekommenderar integritetsloggning även för övriga system där behörighetskontrollsystem gäller. I fråga om personidentifiering föreskriver RFV att behörighetskort kompletterat med ett lösenord bör krävas. I fråga om risken för störningar i driftmiljön gäller att en analys skall göras innan ett tillämpningssystem som är nytt eller ändrat införs. Sä- kerhetsanalyser skall också göras regelbundet. RFV rekommenderar att säkerhetsanalys görs minst för sådana tillämpningssystem som är i drift. Alla säkerhetsanalyser skall dokumenteras. Förutom det ADB-säkerhetsansvar som är knutet till verksamheten finns särskilda resurser för stöd, samordning och uppföljning av säkerheten. En ADB-säkerhetschef finns vid RFV och ADB-säkerhetssamordnare finns hos försäkringskassorna och verket. Det kan konstateras att RFV bedriver ett omfattande säkerhetsarbete på ADB-området. Vidare är enligt vår mening Datainspektionens allmänna råd och inspektionens möjligheter att meddela föreskrifter en tillräcklig garanti för att en god ADB-säkerhet kommer att kunna upprätthållas för socialförsäkringsregistren. Detta är också vad som gäller såvitt avser de lokala registren. Det är därför inte nödvändigt att eller regeringen meddelar särskilda föreskrifter om ADB-säkerheten. Regeringens bedömning: Förslaget till lag om socialförsäkringsregister stämmer överens med de internationella regler, riktlinjer och rekom- mendationer om dataskydd för enskilda vid ADB-be- handling av personuppgifter som åtagit sig att följa. Förslaget till lag om socialförsäkringsregister ligger vidare i linje med den reglering av integritetsskyddet som föreslås i det förslag till direktiv om skydd för enskilda vid behandling av personuppgifter som lagts fram av . Utredningens bedömning: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har anfört invändningar mot utredningens bedömning. Skälen för regeringens bedömning: I det internationella samarbetet har utarbetats vissa regler och riktlinjer m.m. i fråga om skydd för den enskilde vid ADB-behandling av personuppgifter. Av betydelse i detta sammanhang är dataskyddskonvention som trädde 1985 och riktlinjer om dataskydd, med anslutande rekommendation till medlemsländerna om att riktlinjerna skall beaktas i nationell lagstiftning. Av intresse är också rekommendation om skydd för personuppgifter som används för socialförsäkringsändamål, Recommendation No. R (86) 1. har tillträtt dataskyddskonventionen och har utfäst sig att följa övriga riktlinjer och rekommendationer. Dataskyddskonventionen avser personregister och ADB-behandling av personregister i allmän och enskild verksamhet. Den centrala delen av konventionen innehåller bestämmelser om krav och beskaffenhet av personuppgifter som är föremål för ADB-behandling. Kraven innebär bl.a. att uppgifterna skall hämtas in och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte ADB-behandlas om inte den na- lagen ger ett ändamålsenligt skydd. Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerhetsåtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. Vidare föreskrivs vissa ytterligare skyddsåtgärder för registrerade personer, bl.a. att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Vissa undantag får göras i fråga om kraven på uppgifternas beskaffenhet. OECD-riktlinjerna innehåller i huvudsak samma grundläggande bestämmelser som dataskyddskonventionen. Här kan särskilt nämnas den grundläggande principen att personuppgifter inte får röjas, göras tillgängliga eller på annat sätt användas för andra ändamål än de preciserade, om det inte sker med den registrerades medgivande eller med stöd av författning. rekommendation om skydd för personuppgifter som används för socialförsäkringsändamål är tillämplig på personuppgifter som används för sådana ändamål både inom den allmänna och den enskilda sektorn och avser uppgifter som förs med hjälp av ADB. Enligt rekommendationen skall respekten för den enskildes personliga integritet garanteras vid insamling, lagring, användning, överföring och bevarande av personuppgifter. Insamling och lagring av personuppgifter skall begränsas till sådant som är nödvändigt för att socialförsäkringsinstitutionerna skall kunna fullgöra sina uppgifter. Insamling och lagring av känsliga uppgifter får ske endast inom de gränser som fastställts av inhemsk lag. Det förslag som här läggs fram tillgodoser enligt regeringens bedömning väl de krav på garantier för ett ändamålsenligt skydd för registrerade uppgifter som ställs upp i dataskyddskonventionen och de rekommendationer i övrigt om dataskydd för uppgifter om enskilda som berörts. Inom EU finns ingen gemensam ordning när det gäller användningen av ADB inom den offentliga förvaltningen. Ett arbete med att ta fram direktiv om skydd för enskilda vid behandling av personuppgifter pågår dock. Syftet med ett sådant direktiv är att skapa en gemensam hög nivå för skydd mot integritetskränkning i samband med automatisk eller elek-tronisk behandling av personuppgifter och därigenom möjliggöra det önskade fria flödet av information mellan medlemsländerna. lämnade ett förslag till direktiv på området (Proposal for a Council Directive on the protection of individuals with regard to the processing of personal data and on the free movement of such data, COM(92) 422 final - SYN 287). har ännu inte tagit ställning till förslaget. En sammanfattning av direktivförslaget finns bifogat till prop. 1992/93:193 om sjukförsäkringsregister hos de allmänna försäkringskassorna (bilaga 8). slutbetänkande (SOU 1993:10) En ny datalag innehåller en genomgång av förslaget till direktiv. Den reglering av integritetsskyddet som finns i direktivförslaget ligger enligt regeringens bedömning väl i linje med det här aktuella förslaget till socialförsäkringsregisterlag. 7.15 Utbildning och kompetens Socialförsäkringen har genomgått många förändringar, och försäkringskassorna har efter hand fått allt mer kvalificerade uppgifter. Detta gäller inte minst lokalkontoren som skall handlägga i princip alla individrelaterade ärenden. Vid försäkringskassorna bedrivs en omfattande internutbildning, bl.a. beroende på att det inte finns någon allmän högskoleutbildning anpassad till handläggning av socialförsäkringsfrågor. har de anställda erbjudits särskilt utformad högskoleutbildning, främst inom det beteendevetenskapliga området. Försäkringskassornas personal behöver en god kompetens när det gäller hantering av integritets- och sekretessfrågor. Tillkomsten av en socialför- säkringsregisterlag kommer i sig inte att innebära någon förändring av sekre- tessreglerna, men kompetensen i detta avseende behöver förstärkas. Det är viktigt att utbildningen påbörjas så att personalen har tillräcklig kompe- tens i dessa frågor redan när de nya reglerna träder i kraft. Personalens kompetens bör därefter upprätthållas genom kontinuerlig vidareutbildning. Socialförsäkringsregisterlagen föreslås träda i kraft . I författningskommentaren kommenteras närmare vissa ikraftträdandebestämmelser. 1 § Paragrafen anger lagens tillämpningsområde. Lagen skall tillämpas på personregister som förs hos de allmänna försäkringskassorna och Riksförsäk- ringsverket. De personregister som lagen skall tillämpas på är sådana som behövs för handläggning av ärenden om socialförsäkringsförmåner och andra förmåner enligt lag eller förordning. Till stor del gäller det förmåner som regleras i lagen (1962:381) om allmän försäkring och angränsande författningar. För att den nu aktuella lagen skall vara tillämplig krävs att det skall vara fråga om handläggning som enligt författningarna ankommer på de allmänna försäk- ringskassorna eller . Lagen gäller således en synnerligen stor mängd ärenden, som på olika sätt rör nästan alla som bor i riket. Vilka ärenden som det kan bli fråga om avgörs av de materiella regler som reglerar förmånerna på området. I den allmänna motiveringen (avsnitt 7.2) anges närmare vilka författningar som avses. De personregister som lagen skall tillämpas på får genom paragrafen benämningen socialförsäkringsregister. Av första stycket framgår att lagen tar sikte på försäkringskassornas och handläggning av ärenden om socialförsäkringsförmåner och andra förmåner. Det bör i sammanhanget understrykas att det inte är fråga om sådan handläggning som ankommer på kassorna och verket i deras egenskap av arbetsgivare. Lagen gäller alltså inte personregister som förs hos kassorna och verket för löne- och personaladministrativa ändamål. Lagen omfattar inte heller forsknings- och statistikregister. Sådana register får även i fortsättningen föras med stöd av tillstånd från Datainspektionen eller om det förslag till ändringar i datalagen (prop. 1993/94:217) som avgetts till antas, med stöd av sådana generella föreskrifter som regeringen eller efter regeringens bemyndigande, Datainspektionen, får meddela enligt förslaget. I andra stycket klargörs att begreppet personregister har samma innebörd som i datalagen (1973:289). Enligt 1 § datalagen avses med personregister register, förteckning eller andra anteckningar som förs med hjälp av automatisk data- behandling och som innehåller personuppgifter som kan hänföras till den som avses med uppgiften. Från lagens tillämpningsområde görs i tredje stycket undantag för vissa personregister. Först undantas sådana personregister för vilka det inte krävs tillstånd enligt datalagen. Utanför lagens tillämpningsområde faller enligt tredje stycket vidare personregister som har inrättats med stöd av annan lag. En sådan lag är lagen (1993:747) om sjukförsäkringsregister hos de allmänna för- säkringskassorna. Enligt den lagen skall varje lokalkontor inom en allmän försäkringskassa för vissa i lagen närmare angivna ändamål föra ett sjukförsäkringsregister för sitt verksamhetsområde. Uttrycket "med stöd av annan lag" innebär att registret skall ha ett uttryckligt stöd i lag. Ett tillstånd enligt datalagen uppfyller således inte detta krav. Som anförs i den allmänna motiveringen skall lagen inte omfatta s.k. vårdersättningsregister dvs. sådana register som tjänar som hjälpmedel vid de allmänna försäkringskassornas utbetalning av ersättning till vårdgivare såsom privatpraktiserande läkare, tandläkare och sjukgymnaster. Bestämmelserna i lagen om socialförsäkringsregister utgör en speciell reglering i förhållande till den allmänna reglering som finns i datalagen. Vid en konflikt mellan en bestämmelse i datalagen och en bestämmelse i lagen om socialförsäkringsregister har den sistnämnda bestämmelsen företräde. Detta hindrar dock inte att datalagen i andra hänseenden ändå är tillämplig på ett socialförsäkringsregister. I den mån lagen om socialförsäkringsregister eller med stöd av lagen utfärdade förordningar inte reglerar ett förhållande om vilket det finns bestämmelser i datalagen skall nämligen dessa bestämmelser tillämpas. Även detta följer av nämnda princip för normgivningen. Som exempel på regler i datalagen som skall tillämpas på socialförsäkringsregister kan här näm- nas bestämmelserna om den registeransvariges skyldigheter. Av kommentaren till 2 § framgår att lagen inte inskränker Datainspektionens befogenhet att meddela föreskrifter enligt 6 a § datalagen. Sådana föreskrifter kan t.ex. avse ADB-säkerhetsfrågor. 2 § Paragrafen reglerar förutsättningarna för att föra ett socialförsäkrings- register. Lagen innebär inte att några socialförsäkringsregister inrättas. I stället överlämnas åt regeringen att besluta härom i varje särskilt fall. För att det skall vara tillåtet att föra ett socialförsäkringsregister fordras nämligen - utöver att det är fråga om ärenden enligt 1 § första stycket - att regeringen har beslutat om registrets inrättande. Regeringen har möjlighet att själv - inom de gränser som lagen anger - avgöra vilka register som skall inrättas och hur de skall utformas. Av 3 § följer att ett sådant register får användas för de allmänna försäkringskassornas eller handläggning av ärenden om socialförsäkringsförmåner och andra förmåner som enligt lag eller förordning ankommer på försäkringskassorna eller verket. Ett sålunda inrättat register kan användas för de ytterligare ändamål som beskrivs i 4 och 5 §§. Lagens ämne faller i och för sig inom regeringens restkompetens enligt 8 kap. 13 § första stycket 2 regeringsformen. Detta hindrar emellertid inte att ämnet regleras genom lag. Även om uttömmande föreskrifter meddelas i lagen beträffande vissa särskilda frågor innebär lagen inte någon fullständig reglering. Detta kommer till uttryck i andra meningen förevarande paragraf. Av vad som där sägs följer att regeringen kan meddela föreskrifter om förande av register som omfattas av lagen, i den mån lagen inte innehåller föreskrifter i samma hänseende. Lagregleringen är således begränsad. Det som inte är reglerat i lagen lämnas kvar åt regeringen att reglera med stöd av regeringens restkompetens. Enligt 5 och 6 §§ datalagen har Datainspektionen skyldighet att i särskilda fall meddela föreskrifter för personregister som förs på ADB-medium. Denna skyldighet gäller också s.k. statsmaktsregister, dvs. register som inrättas av eller regeringen. Om regeringen eller har meddelat föreskrift i fråga om ett personregister får dock inte Datainspektonen meddela föreskrift i samma hänseende (6 a § datalagen). De register som regeringen inrättar med stöd av paragrafen är s.k. statsmaktsregister. För sådana krävs enligt 2 a § datalagen (1973:289) inte Datainspektionens tillstånd. Datainspektionen har enligt 6 a § och 18 § datalagen befogenhet att meddela föreskrifter till skydd för den personliga integriteten för statsmaktsregister, om statsmakterna själva inte har meddelat föreskrifter i samma hänseende eller inspektionens åtgärd inte står i strid med beslut av statsmakterna. Utan hinder av vad som sägs i förevarande paragraf om föreskrifter som regeringen meddelar har Datainspektionen kvar sin nämnda befogenhet att meddela föreskrifter. I kommentaren till 1 § har som exempel redan nämnts föreskrifter om ADB-säkerhet. 3 § Som framgår av kommentaren till 2 § kan register som regeringen inrättar enligt lagen användas för ändamål som anges i såväl denna paragraf som i 4 och 5 §§. I denna paragraf anges ändamålet med ett socialförsäkringsregister genom en hänvisning till 1 § första stycket. Ändamålet är alltså de allmänna försäkringskassornas och handläggning av ärenden om socialförsäkringsförmåner och liknande förmåner som enligt lag eller författning ankommer på försäkringskassorna och verket. Av 1 § framgår vilka ärenden som det kan vara fråga om. Av utformningen av den nu aktuella paragrafen följer att regeringen - inom de ramar som paragrafen ställer upp - måste ange de ändamål för vilka registret skall användas. Registret får nämligen användas endast i enlighet med de föreskrifter som regeringen meddelar. Regeringen avses sålunda besluta att inrätta varje register för sig varvid ändamålet för registret kan begränsas till att avse endast en del av det som lagen om socialför- säkringsregister tillåter. Regeringen kan besluta om andra begränsningar t.ex. om vilka uppgifter som får registreras. I vissa fall kan det vara aktuellt att vidta förberedande åtgärder innan den egentliga handläggningen av ett ärende påbörjas. Det kan t.ex. gälla registrering av identitetsuppgifter såsom namn, personnummer, adress, folkbokföringsort och folkbokföringsfastighet. Enligt paragrafen får ett socialförsäkringsregister också användas för sådana förberedande åtgärder. Åtgärderna får utgöra förberedelser endast för sådan handläggning som avses i 1 § första stycket. Som förberedande åtgärder för handläggningen bör även räknas utsändande av information till en försäkrad eller grupper av försäkrade om t.ex. de pensionsvillkor som kommer att gälla för dem vid framtida pensionering. I andra stycket i förevarande paragraf föreskrivs att ett socialförsäk- ringsregister får användas för utbetalning av de förmåner och ersättningar som anges i 2 § lagen om sjukförsäkringsregister hos de allmänna för- säkringskassorna. Som förutsättning för att ett socialförsäkringsregister skall få användas i nu nämnda fall gäller dock att regeringen har föreskrivit att registret får användas för dessa ändamål. Ett socialförsäkringsregister får också användas för inbetalning av avgifter för frivillig sjukpenningförsäkring (21 kap. AFL) och för sådan försäkring som avses i 6 § lagen om sjukförsäkringsregister, dvs. vissa arbetsgivarkostnader för sjuklön eller semesterlön (17 § lagen (1991:1047) om sjuklön och enligt lagen (1993:16) om försäkring mot vissa semesterlönekostnader). Även denna användning får ske i den utsträckning regeringen föreskriver. 4 § I paragrafen anges ytterligare ändamål för vilket ett register får användas. Användningen har i likhet med vad som gäller enligt 3 § gjorts beroende av föreskrifter som regeringen meddelar. Regeringen kan sålunda föreskriva att ett socialförsäkringsregister får användas för handläggning av vissa ärenden hos Statens löne- och pensionsverk och Kommunernas pensionsanstalt. Det ligger i sakens natur att regeringen kan föreskriva detta endast i fråga om ett register som innehåller sådana uppgifter som Statens löne- och pensionsverk och Kommu- nernas pensionsanstalt behöver för handläggningen där. Vidare förutsätts att dessa organ har anförtrotts sådana uppgifter beträffande socialförsäkringsför- måner. Den handläggning som kan komma i fråga för pensionsverket framgår av förordningen (1980:759) om utbetalning av statliga tjänstepensionsförmåner och vissa socialförsäkringsförmåner, m.m. Beträffande pensionsanstalten finns bestämmelser i förordningen (1980:624) om sättet och tiden för utbetalning av pension enligt lagen om allmän försäkring, m.m. 5 § Paragrafen anger sådana registerändamål som inte avser handläggning av ärenden. Den skiljer sig från de tidigare ändamålsparagraferna också genom att användningen av registret i detta fall har gjorts oberoende av föreskrifter från regeringen. Som enda förutsättning för att registret skall få användas för de ändamål som beskrivs i paragrafen gäller att registret har inrättats av regeringen enligt 2 §. Paragrafen gör det möjligt för försäkringskassorna och att använda ett socialförsäkringsregister för uppföljning, utvärdering, framställning av statistik och tillsyn. En av uppgifter är att följa och utvärdera socialförsäkringsverksamheten inom sitt verksamhetsområde. har en sådan upp-gift när det gäller socialförsäkringsverksamheten i hela landet. Genom denna paragraf blir det möjligt att använda ett socialförsäkringsregister för uppföljning och utvärdering av verksamhet enligt 3 §. Registret får också användas för framställning av statistik över denna verksamhet. Enligt 18 kap 2 § lagen om allmän försäkring utövar tillsyn över de allmänna försäkringskassorna som har att rätta sig efter verkets anvisningar. Inom leds arbetet från ett centralkontor enligt de anvisningar som styrelsen för meddelar.