sou · GOB397 · 2001-01-01 00:00:00 — Något sådant författningsstöd eller tillstånd behövs inte enligt personuppgiftslagen för att uppgifter i en databas skall kunna sambearbetas med uppgifter i en annan databas. Under förutsättning att insamlandet, utlämnandet och den senare behandlingen av uppgifterna överensstämmer med ändamålet med behandlingen av uppgifterna finns det inget hinder mot en sådan sambearbetning. Personuppgiftslagen ställer dock höga krav på att ändamålsbestäm- melserna i de lagar som reglerar behandling av personuppgifter i myndigheters verksamhet är utformade på ett sådant sätt att det tydligt framgår för vilka syften uppgifter får behandlas, oavsett om det gäller insamling, användning av uppgifter i den egna verksamheten eller utlämnande av uppgifter till andra. Anpassning till personuppgiftslagen 261 Särreglering för behandling av personuppgifter finns som vi närmare beskrivit i kapitel 7 vad gäller länsarbetsnämndernas verksamhet i lagen (1994:459) om arbetsförmedlingsregister och förordningen (1994:460) om arbetsförmedlingsregister. Särreglering för behandling- en av personuppgifter finns även vad gäller RFV:s och de allmänna försäkringskassornas verksamhet i socialförsäkringsregisterlagen (1997:934) och socialförsäkringsregisterförordningen (1998:1576). Någon motsvarande registerförfattning finns inte avseende behandlingen av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet. inrättades genom ett beslut av regeringen och för registret har Datainspektionen meddelat föreskrifter. Arbetslöshetskassornas register för behandling av person- uppgifter i arbetslöshetsersättningsärenden, det s.k. , bygger på ett tillstånd från Datainspektionen i vilket Datainspektionen meddelat föreskrifter om behandlingen. De av Datainspektionen meddelade föreskrifterna för studiestödsregistret och är meddelade enligt datalagens regler. Mot denna bakgrund lämnar vi endast förslag till reglering av behandling av personuppgifter i syfte att möjliggöra ett utökat informa- tionsutbyte när det gäller länsarbetsnämndernas samt RFV:s och de allmänna försäkringskassornas verksamhet. 15.1.3Primära och sekundära ändamål I den i utredningen aktuella registerlagstiftningen anges endast hur personuppgifter får behandlas i den egna verksamheten. Ändamålet för arbetsförmedlingsregister anges i 2 § lagen om arbetsförmedlings- register och ändamålet med socialförsäkringsregister i 3 § socialför- säkringsregisterlagen. Ändamålsbeskrivningarna är begränsade till användningen av register, och avser inte, som dataskyddsdirektivet och personuppgiftslagen, behandlingen av personuppgifter i sig. Ändamåls- beskrivningar är vidare begränsade till den verksamhet för vilken registret upprättats. Möjligheten att behandla uppgifter genom att lämna ut dem till andra anges i stället i andra bestämmelser, t.ex. i 17 § lagen om arbetsförmedlingsregister och 17 § socialförsäkringsregisterlagen. har i sitt betänkande Skatt tull, exekution Normer för behandling av personuppgifter (SOU 1999:05), mot bakgrund av personuppgiftslagens bestämmelser, förslagit att ändamålen med behandling av personuppgifter – såvitt gäller 262 Anpassning till personuppgiftslagen beskattnings-, tull- och exekutionsverksamheterna – indelas i primära och sekundära ändamål. Syftet är att det klart och tydligt skall framgå för vilka ändamål behandling av personuppgifter får ske. Den första kategorin uppgifter är de som avser den verksamhet som bedrivs av den personuppgiftsansvariga myndigheten. De primära ändamålen styr också vilka uppgifter som skall få föras in i en databas. Den andra kategorin uppgifter är de uppgifter som behandlas i syfte att lämnas ut till andra. Remissinstanserna har tillstyrkt eller har inte haft något att erinra mot förslaget och i lagrådsremissen Behandling av personuppgifter inom skatt, tull och exekution har regeringen intagit samma principiella ståndpunkt när det gäller uppdelningen i primära och sekundära ändamål (dnr Fi1999/4084). Från integritetssynpunkt är det viktigt att uppgiftslämnande inte sker utan att sådant utlämnande av uppgifter omfattas av ändamålet med behandlingen av personuppgifter i verksamheten. Det är därför enligt vår mening lämpligt att i här aktuella registerförfattningar dela upp ändamålen på det principiella sätt registerförfattningsutredningen föreslagit i primära och sekundära ändamål. Genom att såväl de primära som de sekundära ändamålen anges i registerförfattningen för en viss verksamhet blir det tydligt vilka uppgifter som endast får användas i den egna verksamheten och vilka uppgifter som dessutom får behandlas i syfte att lämna ut dem till andra myndigheter eller enskilda organ. 15.1.4Uppgifter som får behandlas Eftersom vår utredning endast tar sikte på informationsutbytet mellan arbetsförmedlings-, socialförsäkrings-, studiestöds- och arbetslöshets- försäkringssystemen begränsar vi våra förslag till att det införs sekundära ändamålsbestämmelser innebärande att uppgifter får behandlas i respektive verksamhet för utlämnande till övriga aktörer i detta informationsutbyte. Som framgår av vår beskrivning av informationsflödena i kapitel 5 och arbetslöshetskassornas behov av information i avsnitten 11.4.2 och 11.4.3 syftar informationsutbytena i första hand till att ge mottagaren ett korrekt underlag för beslut om rätt till en viss förmån. De syftar också till att undvika felaktiga utbetalningar. Uppgifter skall därför, enligt vår uppfattning, få lämnas ut till övriga aktörer i syfte att utgöra underlag för beslut i deras verksamhet samt för kontroll av förmåner, ersättningar och andra stöd. Det sekundära ändamålet för sådan behandling av personuppgifter i länsarbetsnämndernas verksamhet skall anges i en ny paragraf, 2 a §, Anpassning till personuppgiftslagen 263 lagen om arbetsförmedlingsregister. Där skall således föreskrivas att uppgifter får behandlas för att tillhandahålla allmänna försäkrings- kassor, RFV, CSN och arbetslöshetskassor information i syfte att utgöra underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd. För socialförsäkringsregistren bör det i en ny paragraf, 3 a §, socialförsäkringsregisterlagen, anges att uppgifter får behandlas i RFV:s och de allmänna försäkringskassornas verksamhet för att tillhandahålla CSN och arbetslöshetskassor information i syfte att utgöra underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd. Med behandling av personuppgifter avses sådan behandling som anges i 3 § personuppgiftslagen (avsnitten 15.1.1 och 7.3). Vi förutsätter att en generell översyn sker av registerförfattningarna i syfte att anpassa dem till personuppgiftslagen. Vid en sådan översyn bör det i den särskilda lagstiftning som reglerar behandling av personuppgifter i länsarbetsnämndernas samt RFV:s och de allmänna försäkringskassornas verksamhet definieras vad som avses med behandling. Någon särskild definition av begreppet endast på grund av våra förslag är därför inte nödvändig. De uppgifter som kan lämnas ut är t.ex. uppgift om anmälan eller ansökan om en socialförsäkringsförmån och aktuell tidsperiod, omfattning och utbetalat belopp av en beviljad förmån. Sådana uppgif- ter utgör s.k. särskilda ärendeuppgifter som får registreras enligt 7 § socialförsäkringsregisterlagen även om de skulle vara integritets- känsliga. I promemorian En begränsad översyn av socialförsäkrings- registerlagen (1997:934), (Ds 2000:44), föreslås att den nu gällande regleringen med en uppräkning bl.a. i 7 § andra stycket socialförsäk- ringsregisterlagen av vilka särskilda uppgifter som får registreras, med något undantag, bibehålls. Förslaget bygger på att sådana särskilda uppgifter som anges i nämnda paragraf utgör uppgifter om hälsa som är en känslig uppgift enligt 13 § andra stycket personuppgiftslagen. En sådan uppgift får enligt huvudregeln i denna paragraf inte behandlas. Behandling av känsliga personuppgifter får ske om behandlingen rör ett viktigt allmänt intresse. En sådan möjlighet framgår av art 8 dataskyddsdirektivet. Särreglering i lag eller förordning gäller enligt 2 § personuppgiftslagen framför sistnämnda lag. Vidare kan enligt 20 § personuppgiftslagen regeringen eller den myndighet regeringen 264 Anpassning till personuppgiftslagen bemyndigar meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter. Mot denna bakgrund får behandling av personuppgifter i socialförsäkringsärenden ske i enlighet med de föreskrifter som meddelats i socialförsäkringsregisterlagen och socialförsäkringsregisterförordningen även om dessa uppgifter är att bedöma som känsliga i personuppgiftslagens mening. I avsnitt 15.2.3 utvecklar vi närmare frågan om uppgift om medlemskap i en arbets- löshetskassa utgör en känslig uppgift i personuppgiftslagens mening. 15.2Behov av ytterligare anpassning till personuppgiftslagen Personuppgiftslagen gäller från även för behand- lingar som påbörjats före lagens ikraftträdande. Detta innebär att be- handlingen av personuppgifter i arbetsförmedlings-, socialförsäkrings-, studiestöds- och arbetslöshetsförsäkringssystemen skall vara anpassade till personuppgiftslagens och dataskyddsdirektivets regler senast från detta datum. Personuppgiftslagens bestämmelser gäller enligt 2 § personuppgifts- lagen om inte annat framgår av annan lag eller förordning. Sådan särreglering måste dock stå i överensstämmelse med dataskydds- direktivet. Som vi närmare utvecklat i avsnitt 7.3 omfattar personupp- giftslagen enligt bestämmelsen i 5 § all behandling av personuppgifter som är helt eller delvis automatiserad. Lagen gäller även för annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 15.2.2Socialförsäkringsregisterlagen och lagen om arbetsförmedlingsregister En generell översyn av lagen om arbetsförmedlingsregister och socialförsäkringsregisterlagen jämte tillämpliga registerförordningar är enligt vår mening nödvändig vad gäller exempelvis frågor om register- begreppet skall bibehållas, hur ändamålsbestämmelserna för behand- ling av personuppgifter i dessa verksamheter skall utformas och Anpassning till personuppgiftslagen 265 bestämmelserna om information. En översyn bör enligt vår mening omfatta de primära ändamålen som föreskrivs för verksamheterna och andra sekundära ändamål än de som omfattas av det i vår utredningen aktuella informationsutbyte. Vidare kan det finnas behov av att se över vilka uppgifter som får behandlas i register eller uppgiftssamlingar i verksamheten, t.ex. vilka uppgifter som får behandlas genom att inhämtas från andra. Sistnämnda fråga kan, beroende på hur övriga bestämmelser anpassas till personuppgiftslagen, vara avgörande för att möjliggöra det i utredningen aktuella informationsutbytet. I promemorian En begränsad översyn av socialförsäkringsregisterlagen (1997:934), (Ds 2000:44) har en översyn av lagen skett i syfte att anpassa den till personuppgiftslagen. I promemorian ifrågasattes i och för sig om inte registerbegreppet borde frångås i socialförsäkrings- registerlagen. I promemorian föreslogs dock inte någon ändring av registerbegreppet av det skälet att översynen begränsats till de mindre ingripande förändringar som ansågs nödvändiga med anledning av att den övergångsvisa tillämpningen av datalagen upphör att gälla. I promemorian lämnades bl.a. förslag till ändring av bestämmelserna om information i syfte att anpassa dessa bestämmelser till personuppgifts- lagens krav. regleras möjligheten för RFV och de allmänna försäkrings- kassorna att inhämta uppgifter till socialförsäkringsregister i 12 § socialförsäkringsregisterlagen. Av bestämmelsen framgår att uppgifter från CSN, länsarbetsnämnderna och arbetslöshetskassorna får tillföras socialförsäkringsregister. Detta innebär att ett informationsutbyte, även om det utökas till arbetslöshetskassorna, har stöd i denna paragraf, såvitt gäller RFV:s och de allmänna försäkringskassornas rätt att inhämta uppgifter. De uppgifter som inhämtas finns dock inte angivna i de särskilda bestämmelser som reglerar vilka uppgifter som får registreras, dvs. i 5–11 §§ socialförsäkringsregisterlagen. I 7 § samma lag är uppgifter om ansökan eller anmälan eller om tidpunkter, tidsperioder och belopp för ersättningar uttryckligen begränsade till ärenden som avses i 1 § första stycket, dvs. till ärenden om social- försäkringsförmåner och andra förmåner och ersättningar som ankommer på de allmänna försäkringskassorna, Premiepensions- myndigheten eller RFV. Enligt 3 § personuppgiftslagen anses inhämtande av uppgifter och även utlämnande av uppgifter utgöra 266 Anpassning till personuppgiftslagen behandling av personuppgifter på samma sätt som användning av uppgifterna i den interna verksamheten. Såvitt vi kan bedöma innebär en anpassning av socialförsäk- ringsregisterlagen till personuppgiftslagen att samtliga uppgifter som behandlas, dvs. även de uppgifter som inhämtas från andra, anges i den eller de paragrafer som reglerar vilka uppgifter som får behandlas i verksamheten. Det skulle t.ex. kunna innebära att bestämmelsen i 12 socialförsäkringsregisterlagen arbetades in i den bestämmelse som reglerar behandling av personuppgifter i RFV:s och de allmänna försäkringskassornas verksamhet. En sådan översyn ligger dock utanför vårt uppdrag. Inom har en översyn påbörjats av lagen (1994:459) om arbetsförmedlingsregister. Det i utredningen aktuella informationsutbytet avser inte uppgifter som inhämtas till arbets- förmedlingsregistret utan endast uppgifter som lämnas ut från detta register till övriga aktörer. Frågan om vilka uppgifter som får behandlas för det primära ändamålet med behandling av personuppgifter i länsarbetsnämndernas verksamhet ligger därför utanför utredningens uppdrag. Den fråga som är av betydelse i utredningen är om ändamålet med att samla in uppgifter till ett arbetsförmedlingsregister i syfte att lämna ut dem till andra som underlag för beslut eller för kontroll bör framgå av lag. De registrerade måste få en tydlig information om att de uppgifter som lämnas vid ansökan om bidrag och andra förmåner kan kontrolleras på sätt vi föreslagit i föregående avsnitt. Bestämmelser om informations- utbytet bör tas in i de olika registerförfattningarna som reglerar be- handlingen i den aktuella verksamheten. Det bör ske i samband med en generell anpassning av registerlagstiftningen till personuppgiftslagen. Anpassning till personuppgiftslagen 267 15.2.3Behandling av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet Möjligheten för CSN och arbetslöshetskassorna att behandla person- uppgifter, exempelvis för att lämna ut dem till andra, regleras endast av de föreskrifter som Datainspektionen meddelat för dessa register. Som vi redan påpekat i avsnitt 7.7.1 och 7.8.1 upphör dessa föreskrifter och det tillstånd som Datainspektionen meddelat för arbetslöshetskassornas OAS-register att gälla när personuppgiftslagen blir tillämplig lag för äldre behandlingar, dvs. Det är därför högst angeläget att regleringen av behandlingen av personuppgifter även i CSN:s och arbetslöshetskassornas verksamhet ses över. Det kan såvitt vi kan bedöma t.ex. finnas behov att ändra ändamålsbeskrivningarna för behandlingen och rutinerna för information till registrerade. Detta gäller inte bara för att möjliggöra ett utökat informationsutbyte utan för att över huvud taget behandla personuppgifter i dessa verksamheter och för att behandla personupp- gifter genom att lämna ut eller hämta in de uppgifter som redan är föremål för ett informationsutbyte . CSN och arbetslöshets- kassorna har också att överväga om en anmälan skall ske enligt personuppgiftslagen eller om ett personuppgiftsombud skall utses enligt denna lag. Personuppgiftslagen är visserligen subsidiär till annan lag eller förordning. Det regeringsbeslut varigenom studiestödsregistret inrätta- des 1974 är emellertid inte ett sådant beslut som tar över bestämmel- serna i personuppgiftslagen. Mot bakgrund av att avsikten är att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll skall regleras särskilt i lag (prop. 1997/98:44 s. 41, bet. 1997:98:KU18, rskr. 1997/98:180, prop. 1990/91:60 s. 50, bet. 1990/91:KU11 s. 11, rskr. 1990/91:160.) kan det enligt vår mening ifrågasättas om inte behandlingen av personuppgifter i CSN:s verksamhet bör vara reglerad i en särskild lag. I detta sammanhang kan nämnas att de uppgifter som arbetslöshets- kassorna lämnar ut till övriga aktörer i informationsutbytet innefattar bl.a. uppgifter om medlemskap i en arbetslöshetskassa. En sådan uppgift används som en administrativ uppgift vid den elektroniska överföringen för att identifiera var ärendet handläggs. Om uppgift om medlemskap i en arbetslöshetskassa är att bedöma som en uppgift om medlemskap i en fackförening får uppgiften, enligt dataskydds- direktivet och personuppgiftslagen, i regel inte behandlas utan den registrerades samtycke. Det förhållandet att en person kan vara medlem i en arbetslöshetskassa utan att vara medlem i en fackförening talar för 268 Anpassning till personuppgiftslagen att en uppgift om medlemskap i en arbetslöshetskassa inte är en uppgift om medlemskap i en fackförening uppgift om medlemskap i arbetslöshetskassa däremot är en uppgift om medlemskap i fackföre- ning kan det, enligt vår mening, finnas anledning att även se över möjligheten att i lag reglera arbetslöshetskassornas behandling av personuppgifter. Sammanfattningsvis kan konstateras att en allmän översyn av behand- lingen av personuppgifter är nödvändig i samtliga fyra system för att anpassa behandlingen till personuppgiftslagens och dataskydds- direktivets bestämmelser. Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Vidare kan dataskyddsdirektivet av komma att anses ha direkt effekt i den meningen att det kan ge upphov till rättigheter för enskilda gentemot det allmänna som kan åberopas direkt inför domstolar och andra myndigheter i medlemsstaten (målet 26/62 van Gend en Loos [1963] ECR 1, se SOU 1997:194 och , Juridisk 1998/99 s. 369 ff.). Statens överträdelse av en gemenskapsrättslig bestämmelse som har direkt effekt kan föranleda en EG-rättsligt grundad skadeståndsskyldighet för staten (när det gäller underlåtelse att genomföra direktiv, se förenade målen C-6/90 och C- 9/90 och mot (1991] ECR I-5357). Detta kan ske såväl när staten handlar i egenskap av lagstiftare som i egenskap av rättstillämpare (förenade målen C-46/93 och C-48/93 [1996] ECR I-1029 Brasserie du Pecheur och Factortame III). Företrädare för staten är t.ex. CSN, RFV och länsarbetsnämnderna och det kan inte uteslutas att även arbetslöshetskassorna kan betraktas som representant för staten i EG-rättslig mening. Den EG-rättsligt grundade skadeståndsskyldigheten kompletterar den som gäller enligt svenska regler. Detta innebär att en underlåtenhet av myndigheterna eller arbetslöshetskassorna att iaktta bestämmelserna i dataskydds- direktivet kan föranleda skadeståndsskyldighet för staten gentemot enskilda som drabbas med anledning härav och att en sådan skade- ståndsskyldighet kan grunda sig på såväl svenska som EG-rättsliga regler. 16Överföring av information på ADB-medium I föregående kapitel lämnade vi förslag till ändamålsbestämmelser i lagen (1994:459) om arbetsförmedlingsregister och socialförsäkrings- registerlagen (1997:934) i syfte att möjliggöra ett ökat informations- utbyte mellan arbetsförmedlings- och socialförsäkringssystemen och övriga system i utredningen. Vi redogjorde även för våra överväganden avseende behandling av personuppgifter i de fyra systemen i allmänhet. I detta kapitel redogör vi för våra överväganden vad gäller frågan om utlämnande av information på automatiserad väg. I avsnitt 16.1 redovisar vi de principiella utgångspunkterna för våra förslag. I avsnitt 16.2 redovisar vi våra överväganden vad gäller möjligheten för länsarbetsnämnderna att lämna ut uppgifter från arbetsförmedlings- systemet till arbetslöshetskassorna på ADB-medium. I avsnitt 16.3 redovisar vi våra överväganden vad gäller möjligheten för RFV och de allmänna försäkringskassorna att lämna ut uppgifter från socialförsäkringssystemet till CSN och arbetslöshetskassorna på ADB-medium. I avsnitt 16.4 redovisar vi våra överväganden vad gäller möjligheten för CSN och arbetslöshetskassorna att lämna ut information till varandra och till RFV och de allmänna försäkringskassorna på ADB- medium. I avsnitt 16.5 lämnar vi några avslutande synpunkter. I dagens registerförfattningar anges ofta i vilka fall uppgifter ur ett personregister får lämnas ut till andra myndigheter eller enskilda med hjälp av automatiserad behandling. Dataskyddsdirektivet och person- uppgiftslagen innehåller emellertid inte några särskilda bestämmelser som direkt tar sikte just på sättet för att lämna ut personuppgifter, dvs. om det sker manuellt eller på medium för automatiserad behandling. 270 Överföring av information på ADB-medium I betänkandet Skatt för behandling av personuppgifter (SOU 1999:105) föreslås, med undantag för direkt- åkomst, inte någon särskild reglering av uppgiftslämnande på medium för automatiserad behandling till andra myndigheter. Det argument som anförs är att behandlingen av uppgifterna i regel är föreskriven i en särskild författning för mottagande myndighet. Mottagande myndighet har i regel inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Register- författningsutredningen har mot denna bakgrund ansett att det inte innebär några större risker att uppgifterna behandlas på ett icke avsett sätt hos mottagande myndighet om uppgifter lämnas ut på medium för automatiserad behandling än om uppgifter lämnas ut manuellt. Utredningen gör dock undantag för direktåtkomst som den anser bör vara reglerad. Regeringens lagrådsremiss behandling av personuppgifter inom skatt, tull och exekution (dnr Fi1999/4084) bygger på samma principiella ställningstagande. Vi hyser förståelse för den lösning som valts i det ovan nämnda betänkandet. Förevarande utredning har dock inte i uppdrag att göra en allmän översyn av aktuella registerförfattningar, dvs. de som gäller för arbetsförmedlings- och socialförsäkringssystemen. I våra förslag utgår vi därför från de givna förutsättningarna för utlämnande av uppgifter på medium för automatisk databehandling, dvs. att de regleras särskilt i registerförfattningarna. Våra förslag: Länsarbetsnämnderna skall få lämna ut uppgifter till arbetslöshetskassorna på medium för automatisk databehandling. De uppgifter som får lämnas ut är uppgifter om arbetssökandes namn, personnummer och arbetslöshet, tidpunkter och händelser vid kontakt med arbetsförmedlingen och samt beslut om arbetsmarknadspolitisk åtgärd. 16.2.1ADB-överföring skall få ske till arbetslöshetskassorna Bestämmelsen i 17 § lagen om arbetsförmedlingsregister om utlämnan- de av uppgifter på ADB-medium anger till vilka mottagare uppgifter får lämnas ur arbetsförmedlingsregistret på elektronisk väg. Där föreskrivs bl.a. att i den utsträckning regeringen föreskriver får de Överföring av information på ADB-medium 271 uppgifter som avses i 5 och 11 §§ lagen om arbetsförmedlingsregister lämnas ut på ADB-medium till de allmänna försäkringskassorna, RFV och CSN. Vi har närmare beskrivit bestämmelserna i avsnitt 7.5.1. Arbetslöshetskassorna är däremot inte angivna som mottagare av information från länsarbetsnämnderna. Detta innebär att den elektronis- ka informationsöverföring som sker från länsarbetsnämnderna till arbetslöshetskassorna (avsnitt 5.2) saknar stöd i bestämmelsen. Informationsutbytet bygger i stället på det tillstånd som Datainspektionen meddelat för arbetslöshetskassornas register (se avsnitt 7.8). Detta tillstånd upphör dock att gälla .