sou · GOB397 · 2001-01-01 00:00:00 — Detta gäller t.ex. om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra en rättslig förpliktelse som åvilar honom eller om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller för att utföra en arbetsuppgift i samband med myndighetsutövning. Personuppgifter får också behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en sådan behandling väger tyngre än den registrerades intresse av skydd. Personuppgiftslagen innehåller ett principiellt förbud mot att behandla känsliga personuppgifter och särskilda restriktioner för användning av uppgifter om lagöverträdelser m.m. och personnummer. föreskrivs en rad undantag från detta principiella förbud. Personuppgiftslagen innehåller vidare bestämmelser om den uppgiftsansvariges skyldighet att informera den registrerade om behandling som rör honom. Den personuppgiftsansvarige skall självmant enligt 23 § personuppgiftslagen lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv. Har uppgifterna samlats in från en annan källa skall den registrerade enligt 24 § personuppgiftslagen informeras när uppgifterna registrerats eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut . Information behöver inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade skall dock information lämnas senast i samband med detta. Information behöver aldrig lämnas om sådant som den registrerade redan känner till. Vidare går regler om sekretess och tystnadsplikt före informationsskyldigheten. Informatio- nen enligt 23 och 24 §§ personuppgiftslagen lämnas lämpligast om hela behandlingen av personuppgifter vid ett enda tillfälle och det tidigast när informationen måste lämnas enligt någon av bestämmelserna. Den personuppgiftsansvarige är vidare skyldig att efter ansökan, gratis en gång per kalenderår, informera om uppgifter som rör sökanden behandlas eller inte, ändamålet med behandlingen, vilka 142 Behandling av personuppgifter uppgifter som behandlas, varifrån dessa kommer och till vem de lämnas ut. Datainspektionen har utarbetat allmänna råd om information till registrerade enligt personuppgiftslagen. I lagen finns också bestämmelser om rättelse, säkerhet vid behand- lingen, överföring av personuppgifter till tredje land, Datainspektionens tillsyn och sanktioner. Enligt 36 § personuppgiftslagen omfattas all behandling av personuppgifter som är helt eller delvis automatiserad av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. I 37 § personuppgiftslagen föreskrivs dock att någon anmälan inte behöver göras om den personuppgiftsansvarige till tillsynsmyndigheten anmält att ett personuppgiftsombud utsetts och vem det är. Enligt 36 § tredje stycket får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Enligt 3 § 3 personuppgiftsförordningen (1998:1191) gäller anmälningsskyldigheten inte för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Detta innebär att anmälningsskyldigheten inte gäller för behandling av personuppgifter som framgår av en särskild registerförfattning. Ytterligare undantag från anmälningsskyldigheten finns i föreskrifter som Datainspektionen utfärdat (se 1998:2). Den anmälan som en registeransvarig gjort enligt datalagen har inte någon verkan enligt personuppgiftslagen. När personuppgiftslagen träder i kraft beträffande en behandling som tidigare omfattades av datalagen, dvs. , får de tillstånd och före- skrifter som Datainspektionen kan ha meddelat för de aktuella person- registren anses förlora sin verkan per ikraftträdandedagen (, Personuppgiftslagen, En kommentar, 1998, s. 233). I den utsträckning en anmälan behövs enligt personuppgiftslagen måste en sådan anmälan göras om. Det kan ske även före ikraftträdandet. Datalagen har ersatts av personupp- giftslagen. Datalagen skall dock fortfarande tillämpas på behandling av personuppgifter som påbörjades före , dock längst intill utgången av . Behandling av personuppgifter 143 Datalagen avser användningen av personregister som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgifterna. Lagen syftade till att förhindra att hantering av sådana personregister medförde otillbörligt intrång i den personliga integriteten. Lagen innehåller regler om tillstånd, registeransvarigas skyldigheter, tillsyn och sanktioner i form av straff och skadestånd. Endast den som anmält sig till Datainspek- tionen och fått licens får enligt datalagen föra personregister som omfattades av lagen. I vissa fall, t.ex. då personuppgifter inhämtats från andra register och sambearbetats, erfordras även tillstånd från Datainspektionen för detta. Personregister vars inrättande beslutats av eller regeringen, s.k. statsmaktsregister, är undantagna från tillståndsplikt. Till sådana register räknas bl.a. arbetsförmedlings- registret som regleras i lagen om arbetsförmedlingsregister, socialför- säkringsregister som regleras genom socialförsäkringsregisterlagen och studiestödsregistret som inrättades genom ett beslut av regeringen . 7.5Behandling av personuppgifter i länsarbetsnämndernas verksamhet De registerförfattningar som reglerar AMS, länsarbetsnämndernas, inklusive arbetsförmedlingarnas behandling, av elektroniska uppgifter är lagen om arbetsförmedlingsregister och förordningen (1994:460) om arbetsförmedlingsregister. Författningarna är utformade mot bakgrund av datalagens regler. Personuppgiftslagen blir tillämplig även för äldre behandlingar . En översyn har påbörjats inom i syfte att anpassa reglerna om behandling av personuppgifter i länsarbetsnämndernas och AMS verksamhet till personuppgiftslagen. Av 1 § lagen om arbetsförmedlingsregister framgår att varje arbetsförmedling och hos en verksamhetsområde och för de ändamål som anges i 2 § får föra arbetsgivar- och arbetssökanderegister med hjälp av automatisk databehandling. Ett sådant register är arbetsförmedlingsregistren. Av lagen framgår att AMS endast får föra statistikregister. Här kommer vi endast att beskriva regleringen av arbetsförmedlingsregister eftersom det bara är uppgifter i dessa register avseende arbetssökande som omfattas av utredningens uppdrag. 144 Behandling av personuppgifter Av 2 § lagen om arbetsförmedlingsregister framgår vilka ärenden som arbetsförmedlingsregistren får användas för. Det är bl.a. ärenden som rör platsförmedling, arbetsförberedande åtgärder som vägledning, utbildning och yrkesinriktad rehabilitering samt för andra arbetsmark- nadspolitiska åtgärder som föreskrivs i lag eller förordning. I 4–11 §§ lagen om arbetsförmedlingsregister regleras vilka uppgif- ter som får förekomma i ett arbetsförmedlingsregister. Enligt 4 § lagen om arbetsförmedlingsregister får ett arbetsförmedlingsregister bl.a. innehålla uppgifter om den som är eller har varit anmäld som arbetssökande vid den offentliga arbetsförmedlingen eller inskriven vid ett , de arbetsgivare som anmält lediga platser, som medverkar eller har medverkat i arbetsmarknadspolitiska åtgärder eller som en arbetssökande har lämnat uppgifter om samt om kontaktpersoner. Av 5 § lagen om arbetsförmedlingsregister framgår att följande uppgifter om en arbetssökande får registreras. Det är uppgifter om arbetssökande avseende namn, personnummer, arbetslöshet, tillhörighet till arbetslöshetskassa, arbets- och uppehållstillstånd, kod för medborgarskap, körkort och tillgång till bil, utbildning, arbetslivserfarenhet, arbetsgivare, speciell kompetens, sökt arbete, önskemål om arbetstid, arbetets varaktighet, önskemål om arbetsplatsens belägenhet, tidpunkter och händelser vid kontakter med arbetsförmedlingen eller , beslut om arbetsmarknadspolitisk åtgärd och utbetalda belopp avseende sådana åtgärder. Vidare får kod för arbetshandikapp registreras med den arbetssökandes skriftliga samtycke. Ett arbetsförmedlingsregister får vidare enligt 11 § lagen om arbetsförmedlingsregister innehålla tidsuppgifter om registrerade förhållanden samt de tekniska och administrativa uppgifter som behövs för att tillgodose ändamålen med registret. I 6–10 §§ lagen om arbets- förmedlingsregister regleras i vilka fall mer känsliga uppgifter får registreras. Det är bl.a. sådana uppgifter som framgår av 6 §, dvs. förekomst av intyg, läkarutlåtande, skrivelse från annan myndighet redovisade arbetshinder, sociala eller ekonomiska förhållanden, den arbetssökandes och handläggarens slutsatser av utredande samtal och handlingsplaner. Av 15 § lagen om arbetsförmedlingsregister framgår att en länsarbetsnämnd är registeransvarig för det arbetsförmedlingsregister som förs inom det egna ansvarsområdet. Vidare framgår att varje länsarbetsnämnd är registeransvarig för uppgifter som registreras eller bearbetas hos nämndens förmedlingar och institut om registret förs gemensamt för arbetsförmedlingar eller inom Behandling av personuppgifter 145 två eller flera länsarbetsnämnders ansvarsområden. AMS är register- ansvarig för det centrala statistikregistret. Enligt 22 § lagen om arbetsförmedlingsregister skall en arbetssökande som kan komma att registreras underrättas om ändamålen med registret, de uppgifter som registret får innehålla, innebörden av ett samtycke, de sekretess- och säkerhetsbestämmelser som gäller för registret, rätten att få information och möjligheten att få rättelse till stånd enligt personuppgiftslagen samt de begränsningar i fråga om terminalåtkomst, utlämnande av uppgifter på ADB-medium, sökbegrepp och bevarande av uppgifter som gäller för registret. Informationen skall lämnas innan uppgifter förs in i arbetsförmedlingsregistret. 7.5.2Uppgifter som får lämnas från arbetsförmedlingsregistren Av 17 § första och andra styckena lagen om arbetsförmedlingsregister framgår att uppgifter i ett arbetsförmedlingsregister, under vissa förutsättningar, får lämnas ut på medium för automatisk databehandling till en annan arbetsförmedling, ett annat , till centralt kansli vid länsarbetsnämnd eller till AMS. Enligt bestämmel- sens tredje stycke får de uppgifter som avses i 5 och 11 §§ lämnas ut på medium för automatisk databehandling, i den utsträckning regeringen föreskriver, till RFV, de allmänna försäkringskassorna och CSN (jfr avsnitten 5.6 och 5.3). Vidare framgår att vissa uppgifter får lämnas ut till eller de lokala skattemyndigheterna. Arbetslöshetskassorna finns inte upptagna i denna bestämmelse. Den utlämning som sker från länsarbetsnämnderna till arbetslöshetskassorna på elektronisk väg (avsnitt 5.2) har således inte stöd i bestämmelsen. Uppgiftslämnandet bygger i stället på det tillstånd som Datainspektionen meddelat för arbetslöshetskassorna (se avsnitt 7.8.3). De uppgifter som får lämnas ut till RFV, de allmänna försäkrings- kassorna och CSN är enligt 4 § förordningen om arbetsförmedlings- register uppgifter om namn, personnummer, arbetslöshet, tidpunkter och händelser vid kontakt med arbetsförmedlingen och arbetsmark- nadsinstitutet samt beslut om arbetsmarknadspolitisk åtgärd. Sistnämn- da begrepp har i de materiella regelverken ersatts av begreppet arbetsmarknadspolitiskt program. Vidare får de tidsuppgifter och tekniska och administrativa uppgifter som har samband med dessa uppgifter lämnas ut. 146 Behandling av personuppgifter Bestämmelsen i 17 § lagen om arbetsförmedlingsregister är en sådan bestämmelse som enligt 24 § personuppgiftslagen innebär att information inte behöver lämnas av RFV, de allmänna försäkrings- kassorna och CSN om deras behandling i samband med att uppgifterna registreras hos dem. Utlämnaren, dvs. i detta fall länsarbetsnämnderna, är däremot skyldiga att lämna information till den registrerade i samband med att informationen samlas in dit. 7.5.3Uppgifter som får hämtas till arbetsförmedlingsregistren Av 14 § lagen om arbetsförmedlingsregister framgår att uppgifter om utbetalning av medel för arbetsmarknadspolitiska åtgärder får inhämtas från RFV, de allmänna försäkringskassorna och CSN till arbetsför- medlingsregister och AMS centrala statistikregister, i den utsträckning regeringen föreskriver, och att uppgifter om utbetald arbetslöshets- ersättning får inhämtas från arbetslöshetskassorna till nämnda register. Av 3 § förordningen om arbetsförmedlingsregister framgår att sådana uppgifter om utbetalning endast får avse utbetalda belopp, aktuell tidsperiod, eventuell samordning med andra förmåner samt typ av åtgärd och uppgift om viss person. I utredningen är emellertid inte uppgiftslämnande till arbetsförmedlingsregister aktuellt och vi kommer inte närmare att beröra detta. I 16 § lagen om arbetsförmedlingsregister regleras vilka som får ha terminalåtkomst till registren. Enligt bestämmelsen är det endast den offentliga arbetsförmedlingen eller det som enligt 1 § får föra ett arbetsförmedlingsregister som får ha sådan åtkomst till arbetsförmedlingsregistret. AMS har endast terminal- åtkomst till styrelsens centrala statistikregister. Terminalåtkomst är som vi tidigare angett (avsnitt 7.1) en form av direktåtkomst. Enligt förarbetena till lagen om arbetsförmedlingsregis- ter (prop. 1993/94:235 s. 29, bet. 1993/94:AU24, rskr. 1993/94:330) innebär terminalåtkomst till ett ADB-register att användaren kan ta del av registerinnehållet med hjälp av bildskärm eller persondator. Från integritetssynpunkt ansågs regeringen det angeläget (a. prop. s. 29) att inte låta åtkomsten till ett arbetsförmedlingsregister omfatta fler användare än som behövs med hänsyn till den verksamhet för vilken registret förs. Behandling av personuppgifter 147 7.6Behandling av personuppgifter i socialförsäkringsverksamheten regleras RFV:s och de allmänna försäkrings- kassornas elektroniska hantering av personuppgifter av socialför- säkringsregisterlagen (1997:934) och socialförsäkringsregisterförord- ningen (1998:1576). Med socialförsäkringsregister avses enligt 1 § första stycket social- försäkringsregisterlagen personregister för sådan verksamhet i fråga om socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen ankommer på de allmänna försäkringskassorna, () eller RFV. Ändamålen med socialförsäkringsregister som förs av de allmänna försäkringskassorna, PPM och RFV framgår av 3 § socialförsäk- ringsregisterlagen. Enligt bestämmelsen får registren användas för att handlägga ärenden för vilka socialförsäkringsregister får föras, för förberedande åtgärder för sådan handläggning samt för uppföljning, utvärdering, tillsyn och framställning av statistik avseende sådan verksamhet. I 5–11 §§ socialförsäkringsregisterlagen regleras de uppgifter som får förekomma i socialförsäkringsregistren. Av 5 § framgår att social- försäkringsregister får innehålla uppgift om en person, om denne förekommer i ett ärende för vilket socialförsäkringsregister får föras eller om förberedande åtgärder för handläggning av ett sådant ärende vidtas, förutsatt att uppgiften i fråga har betydelse för handläggningen av ärendet. Av 6 § framgår att allmänna och särskilda ärendeuppgifter får registreras beträffande de personer som får förekomma i socialförsäkringsregister. Allmänna ärendeuppgifter är identifierings- och adressuppgifter samt uppgifter om kön, civilstånd, medborgarskap och födelseort. Särskilda ärendeuppgifter är uppgifter om sådana 148 Behandling av personuppgifter ekonomiska och personliga förhållanden som har betydelse för den handläggning av ärenden som får föras i socialförsäkringsregister. Bestämmelserna i 7–11 §§ socialförsäkringsregisterlagen reglerar i vilka fall särskilda ärendeuppgifter som är känsliga får registreras. I 7 § anges att uppgifter får registreras bl.a. vad avser ansökan eller anmälan i ärenden, tidpunkter, tidsperioder och belopp dels för ersättningar, dels för ersättningsgrundande förhållanden i sådana ärenden. Vidare får registrering ske av att den registrerade är berättigad till dagpenning enligt 3 § förordningen (1996:1100) om aktivitetsstöd och anledningen till att ett ärende avslutats. Enligt 2 § socialförsäkringsregisterlagen är det de allmänna försäkringskassorna, PPM och RFV som får föra socialförsäkrings- register enligt lagen. Enligt 4 § socialförsäkringsregisterlagen får sådant register också användas av Statens löne- och pensionsverk och det organ för administration av personalpensioner som är gemensamt för kommunerna och landstingen i vissa fall. Av 13 § socialförsäk- ringsregisterlagen framgår att registeransvariga för socialförsäkrings- register som förs gemensamt för RFV och de allmänna försäkrings- kassorna är verket och varje försäkringskassa när det gäller behandling av uppgifter hos den . För register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna är registeransvarig och för register som förs särskilt för RFV eller PPM är verket respektive PPM ansvarigt. Enligt 21 § socialförsäkringsregisterlagen skall den som är registeransvarig för ett socialförsäkringsregister se till att den som är eller avses bli registrerad på lämpligt sätt får information om registret. Informationen skall innehålla en beskrivning av de uppgifter som registret får innehålla samt upplysning om ändamålen med registret, de sekretess- och säkerhetsbestämmelser som gäller för registret, rätten att få registerutdrag och rättelse enligt datalagen samt de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på ADB-medium, sökbegrepp och bevarande av uppgifter som gäller för registret. I 20 § socialförsäkringsregisterlagen föreskrivs att registerutdrag skall lämnas av . En översyn av lagen har gjorts i promemorian En begränsad översyn av socialförsäkringsregisterlagen (1997:934), (Ds 2000:44). Översy- nens syfte är att anpassa lagen till personuppgiftslagen och de föreslagna ändringarna föreslås träda i kraft då personuppgiftslagen blir tillämplig ramlag även för äldre behandlingar inom socialförsäkringsverksamheten. Socialförsäkringsregisterlagen skall enligt promemorian, i likhet med personuppgiftslagen, gälla även viss hantering. Vissa begrepp som definieras i personupp- giftslagen föreslås få motsvarande betydelse i socialförsäkrings- Behandling av personuppgifter 149 Den personuppgiftsansvariges ansvar för rättelse m.m. och skadeståndsansvar mot den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgiftslagen har orsakat föreslås även gälla när personuppgifter behandlats i strid med de mer preciserade reglerna i socialförsäkringsregisterlagen. Ändringar föreslås även av bestämmel- sen om information till de registrerade. I översynen föreslås dock inte någon ändring vad gäller register- begreppet eller någon ändring av det angivna ändamålet med socialför- säkringsregistret. I fråga om vilka uppgifter som får registreras i ett socialförsäkringsregister föreslås inte någon ändring i socialförsäk- ringsregisterlagens systematik. Vi återkommer till betydelsen av registrets ändamål vid våra överväganden angående möjlighet till direktåtkomst till socialförsäkringsregister (avsnitt 17.3.7, se även avsnitt 15.1). 7.6.2Uppgifter som får lämnas från socialförsäkringsregistren Enligt 17 § socialförsäkringsregisterlagen får uppgifter i socialförsäk- ringsregister som lämnas ut med stöd av en särskild bestämmelse i lag eller förordning lämnas ut på medium för automatisk databehandling. Sådana bestämmelser återfinns i exempelvis socialförsäkringsregister- förordningen, uppgiftslämnarförordningen (1980:995), studiestödslag- stiftningen samt i 20 kap. 9 a § lagen (1962:381) om allmän försäkring och 15 kap. 15 § lagen (1998:674) om inkomstgrundad ålderspension. I övrigt får uppgifter enligt 17 § socialförsäkringsregisterlagen lämnas ut på medium för automatisk databehandling, endast om sådant utlämningssätt följer av lag eller förordning eller beslut av Datainspek- tionen eller om uppgiften skall användas för forskning eller framställ- ning av statistik. I den nämnda promemorian (Ds 2000:44) föreslås att lydelsen anpassas till personuppgiftslagens begrepp på så sätt att medium för automatisk databehandling ersatts med automatiserat hjälpmedel. Dessutom föreslås några redaktionella ändringar. Av 10 § socialförsäkringsregisterförordningen framgår vidare att nödvändiga identifieringsuppgifter får lämnas ut på medium för automatisk databehandling i de fall uppgift får tillföras socialförsäk- ringsregister genom sambearbetning. Eftersom de allmänna försäkringskassornas informationsutbyte med länsarbetsnämnderna och CSN är författningsreglerat får uppgifter lämnas ut från socialförsäkringsregister till dessa myndigheter. Bestäm- melsen i 17 § socialförsäkringsregisterlagen är en sådan bestämmelse 150 Behandling av personuppgifter som innebär att information enligt 24 § första stycket personuppgifts- lagen (se avsnitt 7.3) inte behöver lämnas till den registrerade av länsarbetsnämnderna eller CSN vad gäller efterföljande behandling av uppgifterna. Utlämnaren, dvs. i detta fall RFV eller de allmänna försäkringskassorna, är däremot skyldiga att lämna information till den registrerade i samband med att informationen samlas in (a.a. s. 127 och 128). 7.6.3Uppgifter som får hämtas till socialförsäkringsregistren Av 12 § första stycket socialförsäkringsregisterlagen framgår att till socialförsäkringsregister får lämnas uppgifter från andra socialför- säkringsregister eller uppgifter som lämnas till en allmän försäkrings- kassa, PPM eller RFV med stöd av en särskild bestämmelse i lag eller förordning om lämnande av uppgifter. Exempel på sådan uppgifts- skyldighet är den som föreskrivs i 20 kap. 9 § lagen om allmän försäkring och 15 kap. 13 § lagen om inkomstgrundad ålderspension. Av 3 § 3 och 5 socialförsäkringsregisterförordningen framgår att socialförsäkringsregister får tillföras uppgifter från bland andra CSN, AMS, länsarbetsnämnder och arbetslöshetskassor. I 12 § andra stycket socialförsäkringsregisterlagen erinras att det av föreskrifter i lag eller förordning eller av beslut av Datainspektionen kan följa att social- försäkringsregister får tillföras uppgifter genom sambearbetning utöver vad som föreskrivs i bestämmelsens första stycke. I ovan nämnda promemoria (Ds 2000:44) föreslås inte några ändringar i sistnämnda bestämmelse. Av 4 § socialförsäkringsregisterförordningen framgår att nödvän- diga identifieringsuppgifter får tillföras registret genom sambearbetning för att uppgifter i registren skall kunna lämnas ut på medium för automatisk databehandling. Bestämmelsen i 12 § socialförsäkringsregisterlagen innebär att socialförsäkringsadministrationen inte behöver lämna information om uppgifter som inhämtats från övriga aktörer i informationsutbytet. Som vi nämnt i avsnitt 7.3 behöver information inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Behandling av personuppgifter 151 Direktåtkomst, eller – för att använda begreppet i socialförsäkrings- registerlagen – direkt åtkomst, till uppgifter i socialförsäkringsregister regleras i 14–16 §§ socialförsäkringsregisterlagen.