prop · GO03129 · 2001-05-30 00:00:00 — Möjligheten att behandla uppgifter genom att lämna ut dem till andra anges i stället i andra bestämmelser, t.ex. i 17 § lagen om arbetsförmedlingsregister och 17 § socialförsäkringsregisterlagen. Nämnda bestämmelser behandlas närmare i kapitel 10. har beslutat (prop. 2000/01:33, bet. 2000/01:SkU20, rskr. 2000/01:176), mot bakgrund av personuppgifts- lagens bestämmelser, att ändamålen med behandling av personuppgifter - såvitt gäller beskattnings-, tull- och exekutionsverksamheterna - indelas i primära och sekundära ändamål. Syftet är att det klart och tydligt skall framgå för vilka ändamål behandling av personuppgifter får ske. Den första kategorin uppgifter är de som avser den verksamhet som bedrivs av den personuppgiftsansvariga myndigheten. De primära ändamålen styr även vilka uppgifter som skall få föras in i en databas. Den andra kategorin uppgifter är de som behandlas i syfte att lämnas ut till andra. Skälen för regeringens förslag: Enligt personuppgiftslagen får ett utlämnande av uppgifter inte ske utan att det omfattas av ändamålet med behandlingen av personuppgifter i verksamheten. Det är därför, enligt regeringens uppfattning, lämpligt att även i här aktuella register- författningar dela upp ändamålen på det principiella sätt som skett för behandlingen av personuppgifter i skattemyndigheternas, tullens och kronofogdemyndigheternas verksamheter i primära och sekundära ändamål. Genom att såväl de primära som de sekundära ändamålen anges i registerförfattningen för en viss verksamhet blir det tydligt vilka uppgifter som endast får användas i den egna verksamheten och vilka uppgifter som dessutom får behandlas i syfte att lämna ut dem till andra myndigheter eller enskilda organ. De förslag som läggs fram här är dock begränsade till sådana sekundära ändamålsbestämmelser som innebär att uppgifter får behandlas i respektive verksamhet för utlämnande till övriga aktörer i det här aktuella informationsutbytet. Informationsutbytet syftar i första hand till att ge mottagaren ett korrekt underlag för beslut om rätt till en viss förmån (se bet. s. 105- 121). Det syftar också till att undvika felaktiga utbetalningar. Här föreslås vidare att uppgifter skall lämnas på eget initiativ från och till arbetslöshetskassorna om det har betydelse i ett ärende hos mottagaren. Denna möjlighet till uppgiftslämnande på eget initiativ ger stöd för ett utökat informationsutbyte i syfte att kontrollera riktigheten av gjorda utbetalningar. Uppgifter bör därför få lämnas ut till övriga aktörer i syfte att utgöra underlag för beslut i deras verksamhet samt för kontroll av förmåner, ersättningar och andra stöd åt enskild. Det sekundära ändamålet för sådan behandling av personuppgifter i länsarbetsnämndernas verksamhet föreslås i en ny paragraf, 2 a §, lagen om arbetsförmedlingsregister. Där föreskrivs således att uppgifter får behandlas för att tillhandahålla allmänna försäkringskassor, RFV, CSN och arbetslöshetskassor information i syfte att utgöra underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. För socialförsäkringsregistren bör det i en ny paragraf, 3 a §, i socialförsäkringsregisterlagen anges att uppgifter får behandlas i RFV:s och de allmänna försäkringskassornas verksamhet för att tillhandahålla CSN och arbetslöshetskassor information i syfte att utgöra underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. I detta sammanhang är det inte aktuellt med någon reglering av informationsöverföringar från de allmänna försäkringskassorna och RFV till länsarbetsnämnderna. De uppgifter som kan lämnas ut från de allmänna försäkringskassorna är t.ex. uppgift om anmälan eller ansökan om en socialförsäkringsförmån och aktuell tidsperiod, omfattning och utbetalat belopp av en beviljad Sådana uppgifter utgör s.k. särskilda ärendeuppgifter som får registreras enligt 7 § socialförsäkringsregisterlagen även om de skulle De i bestämmelsen angivna uppgifterna utgör uppgifter om hälsa som är en känslig uppgift enligt 13 § andra stycket En sådan uppgift får enligt huvudregeln i sistnämnda paragraf inte behandlas. Särreglering i lag eller förordning gäller dock enligt 2 § personuppgiftslagen framför sistnämnda lag. Vidare kan enligt 20 § personuppgiftslagen regeringen eller den myndig- het regeringen bemyndigar meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter. får behandling av personuppgifter i socialförsäkringsärenden ske i enlighet med de föreskrifter som meddelats i socialförsäkringsregister- lagen och socialförsäkringsregisterförordningen även om dessa uppgifter är att bedöma som känsliga i personuppgiftslagens mening. Behov av en generell översyn I detta sammanhang är det endast aktuellt att föreslå ändringar som innebär att behandling av personuppgifter får ske i länsarbetsnämndernas samt RFV:s och de allmänna försäkringskassornas verksamhet genom att uppgifter lämnas ut till övriga aktörer i informationsutbytet. har påtalat att det är angeläget att de aktuella registerlagarna, dvs. om arbetsförmedlingsregister och socialförsäkringsregisterlagen jämte tillämpliga registerförordningar i sin helhet anpassas till person- uppgiftslagens bestämmelser (bet. s. 259-268). Det finns behov av att se över om registerbegreppet skall bibehållas, hur ändamålsbestämmelserna för behandling av personuppgifter i dessa verksamheter skall utformas, vilka uppgifter som skall få behandlas i register eller uppgiftssamlingar i respektive verksamhet, t.ex. vilka uppgifter som får behandlas genom att inhämtas från andra, och att se över hur bestämmelserna om information skall vara utformade. Inom har en översyn påbörjats av social- I propositionen 2000/01:69 En begränsad översyn av socialförsäkringsregisterlagen (1997:934) föreslås vissa ändringar i syfte att anpassa lagen till personuppgiftslagen. har påbörjat en översyn av registerlagstiftningen inom socialförsäkringens administration i ett vidare perspektiv. Inom har en översyn påbörjats av lagen om Avsikten är att anpassa lagen till person- Inom sker en översyn om behandlingen av personuppgifter i CSN:s verksamhet skall regleras i en särskild lag. Så länge särlagstiftning saknas för behandlingen av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet gäller personuppgiftslagen fullt ut för dessa verksamheter. Det kan därför finnas behov bl.a. av ändrade ändamålsbeskrivningar för behandlingen och av rutinerna för information till registrerade i respektive verksamhet. Detta gäller inte Prop. 2000/01:129 bara för att möjliggöra ett utökat informationsutbyte utan för att över huvud taget behandla personuppgifter i dessa verksamheter och för att behandla personuppgifter genom att lämna ut eller hämta in de uppgifter som redan är föremål för ett informationsutbyte . Överföring av information på ADB-medium Regeringens förslag: Länsarbetsnämnderna får lämna ut uppgifter som avses i 5 och 11 §§ lagen (1994:459) om arbets- förmedlingsregister till arbetslöshetskassorna på medium för Utredningens förslag överensstämmer med regeringens. Remissinstanserna tillstyrker eller har inget att erinra mot förslaget. Skälen för regeringens förslag: I dagens registerförfattningar anges ofta i vilka fall uppgifter ur ett personregister får lämnas ut till andra myndigheter eller enskilda med hjälp av automatiserad behandling. Personuppgiftslagen (1998:204) innehåller emellertid inte några sär- skilda bestämmelser som direkt tar sikte just på sättet för att lämna ut personuppgifter, dvs. om det sker manuellt eller på medium för Vad gäller behandling av personuppgifter inom skatt, tull och exekution har, med undantag för direktåkomst, inte någon särskild reglering skett av uppgiftslämnande på medium för automatiserad behandling till andra myndigheter. Bakgrunden till detta är att behandlingen av uppgifterna i regel är föreskriven i en särskild författning för mottagande myndighet. Mottagande myndighet har i regel inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Risken är därför liten att en mottagande myndighet skulle behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett. Därför saknas det anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. Undantag har dock skett för direktåtkomst som regleras särskilt. På motsvarande sätt gjorde regeringen i propositionen 2000/01:80 Ny socialtjänstlag m.m. den bedömningen att någon regel som tillåter att personuppgifter inom får lämnas ut på medium för automatiserad behandling inte behöver införas i den föreslagna lagen om behandling av personuppgifter inom . 2000/01:95 Lag om vägtrafikregister, m.m., föreslogs endast att utlämnande genom direktåtkomst regleras. I detta sammanhang är det endast aktuellt att föreslå de ändringar som är nödvändiga för att möjliggöra ett utökat elektroniskt Det är därvid lämpligt att utgå från de givna förutsättningarna för utlämnande av uppgifter på medium för automatiserad behandling i registerlagstiftningen. (se kapitel 9) av lagen (1994:459) om arbetsför- medlingsregister och socialförsäkringsregisterlagen (1997:934) kommer regeringen dock att ta ställning till om en sådan reglering behövs när det gäller sådant utlämnande mellan myndigheter och mellan myndigheter och sådana organ som i sekretesslagens (1980:100) mening är att jäm- ställa med myndigheter. De allmänna försäkringskassornas och () inhämtande och utlämnande av personuppgifter från och till övriga aktörer i informationsutbytet har stöd i 12 och 17 §§ Enligt dessa bestämmelser får uppgifter hämtas in till socialförsäkringsregister från övriga aktörer i informations- utbytet och lämnas ut från ett sådant register till dem om det finns en bestämmelse om sådant uppgiftslämnande i annan lag eller i förordning. Det finns däremot behov av att göra mindre ändringar i lagen om arbetsförmedlingsregister i syfte att möjliggöra ett utökat elektroniskt informationsutbyte mellan länsarbetsnämnderna och arbetslöshets- får uppgifter enligt den lagen, såvitt är aktuellt i detta sammanhang, endast utbytas mellan länsarbetsnämnder och allmänna försäkringskassor, RFV och Centrala (). Eftersom behandlingen av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet inte regleras av särskilda författningar, utan av Datainspektionens föreskrifter, saknas möjlighet att vid denna översyn föreslå en reglering av möjligheterna till utlämnande av uppgifter från dessa verksamheter på medium för automatiserad behandling till övriga aktörer i informationsutbytet. och arbetslöshetskassorna att lämna ut uppgifter till varandra eller till RFV, de allmänna försäkringskassorna och länsarbetsnämnderna regleras av ändamålsbeskrivningarna för behandlingen av personuppgifter i Bestämmelsen i 17 § lagen om arbetsförmedlingsregister om utlämnande av uppgifter på medium för automatisk databehandling anger till vilka mottagare uppgifter får lämnas ur arbetsförmedlingsregistret på Där föreskrivs bl.a. att i den utsträckning regeringen föreskriver får de uppgifter som avses i 5 och 11 §§ samma lag lämnas ut på medium för automatisk databehandling till de allmänna försäkringskassorna, RFV och CSN. I 5 § anges att bl.a. uppgifter om namn och personnummer, arbetslöshet, tidpunkter och händelser vid kontakt med arbetsförmedlingen och samt beslut om arbetsmarknadspolitisk åtgärd får registreras. meddelat föreskrifter i 4 § förordningen (1994:460) om arbetsförmedlingsregister som innebär att vissa angivna uppgifter får lämnas ut till RFV, de allmänna försäkringskassorna och CSN. § lagen om arbetsförmedlingsregister får ett arbetsförmedlingsregister innehålla även tidsuppgifter om registrerade förhållanden samt de tekniska och administrativa uppgifter som behövs för att tillgodose ändamålen med registret. Arbetslöshetskassorna är däremot inte angivna som mottagare av information från länsarbetsnämnderna. Detta innebär att den elektroniska informationsöverföring som sker från länsarbetsnämnderna till arbetslöshetskassorna rörande de som är anmälda som arbetssökande, avanmälda som arbetssökande eller som anvisats ett arbetsmarknadspolitiskt program (se bet. s. 107-109) saknar stöd i bestämmelsen. Informationsutbytet bygger i stället på det tillstånd som Datainspektionen meddelat för arbetslöshetskassornas register. Detta tillstånd upphör dock att gälla . Eftersom utgångspunkten är att myndigheters behandling av uppgifter skall vara reglerad i lag (prop. 1997/98:44 s. 41, bet. 1997/98:KU18, rskr. 1997/98:180, prop. 1990/91:60 s. 50, bet. 1990/91:KU11 s. 11, rskr. 1990/91:160) bör det införas en föreskrift i 17 § lagen om arbetsförmedlingsregister som ger länsarbetsnämnderna en möjlighet att på sätt som sker , lämna uppgifter på medium för automatisk databehandling till arbetslöshetskassorna. Uppgifter bör kunna lämnas ut till arbetslöshetskassorna i den utsträckning som sker till de allmänna försäkringskassorna och CSN. De uppgifter som får lämnas ut till de allmänna försäkringskassorna och CSN är, som redan nämnts, de uppgifter i 5 och 11 §§ lagen om arbetsförmedlingsregister som regeringen föreskriver. Regeringen har för avsikt att anpassa bestämmelsen i 4 § förordningen om arbetsförmedlingsregister så att det föreskrivs att de uppgifter som, i enlighet med vad som beskrivits ovan, får lämnas ut på medium för automatisk databehandling till allmänna försäkringskassor, RFV och CSN även får lämnas ut till arbetslöshetskassorna. De uppgifter länsarbetsnämnderna är skyldiga att lämna ut till allmänna försäkringskassor, CSN och, enligt här lämnade förslag, även till arbetslöshetskassor är endast de uppgifter som framgår av en författningsreglerad uppgiftsskyldighet i lag eller förordning. När det gäller informationsutbytet med arbetslöshetskassorna styrs uppgifts- skyldigheten av bestämmelserna i förslaget till 48 a § lagen om arbetslöshetsförsäkring. Detta innebär att även om uppgifter om t.ex. arbetslöshet får lämnas ut på medium för automatiserad behandling till arbetslöshetskassorna enligt lagen om arbetsförmedlingsregister och förordningen om arbetsförmedlingsregister så begränsas denna möjlighet till de uppgifter som skall lämnas ut med stöd av 48 a § lagen om arbetslöshetsförsäkring och de föreskrifter regeringen meddelar med stöd av denna paragraf. Andra uppgifter om den sökandes arbetslöshet än de som länsarbetsnämnderna är skyldiga att lämna ut till arbetslöshetskassorna kan endast lämnas ut på medium för automatiserad behandling efter det att en sekretessprövning gjorts enligt 7 kap. 10 § sekretesslagen eller efter en tillämpning av bestämmelserna i 1 kap. 5 § eller 14 kap. 3 § samma lag. Regeringen gör bedömningen att de uppgifter som i det aktuella informationsutbytet hämtas in till arbetsförmedlingsregistren har stöd i 14 § lagen om arbetsförmedlingsregister. Enligt den bestämmelsen får uppgifter om utbetalningar hämtas in från RFV, de allmänna försäkrings- kassorna, CSN och arbetslöshetskassorna. 11Direktåtkomst till elektroniskt lagrad information Regeringens förslag: , de allmänna försäkrings- kassorna, och arbetslöshetskassorna får ha direktåtkomst till uppgifter i länsarbetsnämndernas verksamhet. och arbetslöshetskassorna får ha direktåtkomst till uppgifter i och de allmänna försäkringskassornas verksamhet. Direktåtkomsten får endast ske för det ändamål som uppställts för behandling av personuppgifter i utlämnarens verksamhet. Regeringen meddelar föreskrifter om vilka uppgifter direktåtkoms- ten får omfatta. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Det stora flertalet remissinstanser tillstyrker eller har inget att erinra mot utredningens förslag om direktåtkomst. De enda remissinstanser som motsätter sig direktåtkomst är Justitiekanslern (), Arbetares Arbetslöshetskassa och Lokala av Arbetares . JK anser att förslagen om direktåtkomst ur principiell synpunkt inte kan godtas. Enligt JK utgör direktåtkomst till uppgifter en särskilt integritetskänslig åtgärd genom den utlämnande myndighetens totala avsaknad av kontroll över uppgiftslämnandet. Direktåtkomst är, enligt JK, inte förenligt med sekretesslagens bestämmelser att det är den utlämnande myndigheten som har att pröva om en uppgift kan lämnas ut. Denna huvudprincip påverkas, enligt JK, inte av att sekretessen bryts när uppgiftsskyldighet följer av författning. Datainspektionen anser att det ur integritets- synpunkt kan vara acceptabelt att uppgifterna görs tillgängliga för mottagaren genom s.k. direktåtkomst under förutsättning att informationsöverföringen begränsas till mindre integritetskänsliga uppgifter. Kammarrätten i anser att integriteten kommer att kunna upprätthållas vid dem föreslagna författningsändringarna. Enligt förutsätter utvecklingen av ärendehanterings- systemen hos de allmänna försäkringskassorna att informationsutbyte kan ske genom direktåtkomst. Skälen för regeringens förslag: Med direktåtkomst avses att information är tillgänglig för en användare för att på egen hand söka i den och få svar på frågor, dock utan att själv kunna påverka innehållet. Direktåtkomsten kan ge användaren en möjlighet att även hämta hem informationen till sitt eget system och bearbeta den där. I registerförfattningar har direktåtkomst i regel beskrivits som en möjlighet till direktåtkomst till uppgifter i register. Detta gäller exempelvis i här aktuella registerförfattningar, dvs. lagen om arbetsförmedlingsregister (1994:459) och socialförsäkringsregisterlagen (1997:934). finns det dock i viss utsträckning även föreskrifter om direktåtkomst till uppgifter eller uppgiftssamlingar i sig. I informationsutbytet mellan de allmänna försäkringskassorna, (), (), länsarbetsnämnderna och arbetslöshetskassorna är det endast direktåtkomst till särskilt utvalda och mindre integritetskänsliga uppgifter som är aktuellt. Direktåtkomsten avser framför allt de uppgifter som varje aktör i informationsutbytet har rätt att inhämta med stöd av en författningsreglering. Direktåtkomst har traditionellt sett ansetts innebära att uppgifter lämnas ut utan att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut, varför det från integritetsskyddssynpunkt ansetts vara av stor betydelse att särskilt reglera frågor om tillgång till uppgifterna genom direktåtkomst i registerlagstiftning. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) och personuppgiftslagen (1998:204) innehåller däremot inte några särskilda bestämmelser som tar sikte just på sättet för att lämna ut personuppgifter, vare sig det sker manuellt, på medium för automatiserad behandling eller genom att mottagaren har direktåtkomst till elektroniskt lagrade uppgifter hos utlämnaren. Dataskyddsdirektivet och personuppgiftslagen innehåller dock bestämmelser som anses innebära begränsningar i möjligheten att lämna ut uppgifter genom direktåtkomst. Dessa begränsningar finns särskilt i personuppgiftlagens 9 § första stycket d, e och f som anger att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Den teknik som används för överföring på medium för automatiserad behandling innebär att data utbyts och att begärd information skickas från de interna registren till en brevlåda hos uppgiftslämnaren. Den fördröjning i uppgiftslämnandet som är inbyggd i tekniken innebär en teoretisk möjlighet för utlämnaren att kontrollera vilken information som skall lämnas ut. Sekretessprövningen, eller prövningen av vilka uppgifter som omfattas av en författningsreglerad uppgiftsskyldighet och därmed skall lämnas ut utan någon sekretessprövning, sker dock i praktiken i samband med att förbindelsen upprättas. Detta gäller såväl vid direktåtkomst som vid sådant utlämnande på automatiserad väg som sker via telenätet. Någon ytterligare prövning av uppgifterna i samband med utlämnandet sker inte vid dagens överföringar över telenätet, även om det på grund av fördröjningen i systemen är teoretiskt möjligt att göra en sådan prövning. Det kan således, som regeringen redan angett i propositionen 2000/01:33 Behandling av personuppgifter inom skatt, tull och exekution, vara svårt att dra en gräns mellan direktåtkomst och andra former för utlämnande. Den tekniska utvecklingen har lett till att skillnaderna mellan direktåtkomst och annat uppgiftslämnande på automatiserad väg blir så små att det kan vara svårt att motivera särskilda regler för direktåtkomst. I nämnda proposition gjorde regeringen dock den bedömningen att det inte fanns skäl att frångå den princip som gäller . Regeringen gör samma bedömning när det gäller den översyn av Prop. 2000/01:129 registerlagstiftningen som det är fråga om i detta sammanhang. föreslås därför att det görs en åtskillnad mellan direktåtkomst och annan form av uppgiftslämnande på automatiserad väg i lagen om arbetsförmedlingsregister och i socialförsäkringsregisterlagen. Direktåtkomst till de olika socialförsäkringsregistren är reglerat i 14 § socialförsäkringsregisterlagen, men det begrepp som används är direkt åtkomst. I lagen om arbetsförmedlingsregister används i stället begreppet terminalåtkomst. Terminalåtkomst regleras i 16 § lagen om arbetsför- medlingsregister. Direktåtkomsten till dessa register är kraftigt begränsade. Uppgifter som förs gemensamt för RFV och de allmänna försäkringskassorna får enligt 14 § socialförsäkringsregisterlagen i princip endast RFV respektive de allmänna försäkringskassorna ha direktåtkomst till. Under vissa förutsättningar får dock även ha direktåtkomst till sådan register. Enligt 16 § lagen om arbetsförmedlingsregister får endast den offentliga arbetsförmedlingen eller det som får föra ett arbetsförmedlingsregister ha terminalåtkomst till registret. Regleringen i bägge registerförfattningarna har skett mot bakgrund av ståndpunkten att åtkomsten av integritetshänsyn inte bör vara vidare än vad som behövs med hänsyn till den verksamhet för vilken registret förs (prop. 1993/94:235 s. 29, bet. 1993/94:AU24, rskr. 1993/94:330 och prop. 1996/97:155 s. 58-59, bet. 1997/98:SfU5, rskr. 1997/98:52). Ett exempel på den kraftiga begränsningen vad gäller åtkomst är att AMS inte har direktåtkomst till uppgifter i arbetsförmedlingsregister utan endast till styrelsens centrala statistikregister. Det finns dock anledning att här betona att dessa begränsade möjligheter till direktåtkomst avser i såväl lagen om arbetsför- medlingsregister som i socialförsäkringsregisterlagen åtkomsten till hela register. Någon direktåtkomst till ett begränsat antal, särskilt utvalda och mindre integritetskänsliga uppgifter - vilket är vad som avses i detta sammanhang - regleras inte i någon av lagarna. Enligt regeringens uppfattning bör de uppgifter i en databas som en myndighet eller, i sekretesslagens mening, med myndighet jämställt organ rutinmässigt får ta del av enligt bestämmelser i lag eller förordning också kunna göras tillgängliga på elektronisk väg. I det fall uppgiftslämnandet är författningsreglerat och förutsatt att ett elektroniskt uppgiftslämnande på medium för automatiserad behandling, t.ex. genom direktåtkomst, medges i den särlagstiftning som gäller för behandling av personuppgifter i en viss verksamhet, är det upp till myndigheten eller organet att avgöra mediet för utlämnande. Detta gäller naturligtvis med den begränsningen att myndigheternas tillgång till information om enskilda begränsas till vad som är nödvändigt för att de skall kunna utföra sina uppgifter.