sou · GOB397 · 2001-01-01 00:00:00 — Eftersom utgångspunkten att myndigheters behandling av uppgif- ter skall vara reglerad i lag (prop 1997/98:44 s. 41, bet. 1997/98:KU18, rskr. 1997/98:180, prop. 1990/91:60 s. 50, bet. 1990/91:KU11 s. 11, rskr. 1990/91:160) anser vi att det bör införas en föreskrift i nämnda bestämmelse så att länsarbetsnämnderna, på sätt som sker , får lämna uppgifter på ADB-medium till arbetslöshetskassorna. Uppgifter bör kunna lämnas ut i samma utsträckning som sker till de allmänna försäkringskassorna och CSN. 16.2.2Uppgifter som får lämnas ut Enligt vår mening bör, av hänsyn till den enskildes integritet, utlämnandet endast avse de uppgifter i 5 och 11 §§ lagen om arbetsför- medlingsregister som regeringen föreskriver. Detta överensstämmer med vad som gäller för utlämnande till de allmänna försäkrings- kassorna, RFV och CSN. Enligt vår mening bör det därför, utöver ändringarna i 17 § lagen om arbetsförmedlingsregister, göras ändringar i 4 § förordningen (1994:460) om arbetsförmedlingsregister. Bestämmelsen bör ändras så att det föreskrivs att de uppgifter som får lämnas ut på ADB-medium till allmänna försäkringskassor, RFV och CSN även får lämnas ut till arbetslöshetskassorna. Detta är uppgifter i 5 § första stycket 1, 3, 13 och 14 lagen om arbetsförmedlingsregister, dvs. uppgifter om namn, personnummer, arbetslöshet, tidpunkter och händelser vid kontakt med arbetsförmedlingen och samt beslut om arbetsmarknadspolitisk åtgärd. Begreppet arbetsmarknadspolitisk åtgärd har ersatts av begreppet arbetsmarknadspolitiskt program. Vi förut- sätter dock att bestämmelserna om vilka uppgifter som får registreras i bl.a. arbetsförmedlingsregister ses över senast till . Vi har därför inte funnit anledning att ändra begreppet i 5 § lagen om 272 Överföring av information på ADB-medium arbetsförmedlingsregister eftersom vi inte gör en översyn av paragrafen i övrigt. De uppgifter länsarbetsnämnderna är skyldiga att lämna ut till allmänna försäkringskassor, CSN och, enligt vårt förslag, även arbetslöshetskassor är endast de uppgifter som framgår av en författningsreglerad uppgiftsskyldighet i lag eller förordning. När det gäller informationsutbytet med arbetslöshetskassorna styrs uppgifts- skyldigheten av bestämmelserna i våra förslag till 48 a lagen om arbetslöshetsförsäkring och 25 § förordningen om arbetslöshets- försäkring. Detta innebär att även om uppgifter om t.ex. arbetslöshet får lämnas ut på ADB-medium till arbetslöshetskassorna enligt lagen om arbetsförmedlingsregister och förordningen om arbetsförmedlings- register så begränsas denna möjlighet till de uppgifter som skall lämnas ut med stöd av nämnda bestämmelser. Andra uppgifter om den sökandes arbetslöshet än de som framgår av vårt förslag till förordning kan endast lämnas ut på ADB-medium till arbetslöshetskassorna efter det att en sekretessprövning gjorts enligt 7 kap. 10 § sekretesslagen eller efter en tillämpning av bestämmelserna i 1 kap. 5 § eller 14 kap. 3 § samma lag. 16.2.3Administrativa och tekniska uppgifter Från uppgifter om personer som är registrerade hos den personupp- giftsansvariga myndigheten eller organet får man skilja administrativa och tekniska uppgifter. Administrativa uppgifter är t.ex. uppgift om handläggare av ärendet eller uppgift om den enhet hos mottagaren där ärendet handläggs. Tekniska uppgifter är sådana uppgifter som är nödvändiga att överföra för att datasystemet skall fungera. Av personuppgiftslagens reglering följer att administrativa och tekniska uppgifter får behandlas tillsammans med personuppgifter förutsatt att det överensstämmer med ändamålet med behandlingen i uppgiftssamlingen eller registret. Av 4 § förordningen om arbetsförmedlingsregister framgår att sådana uppgifter får lämnas ut på ADB-medium till RFV, de allmänna försäkringskassorna och CSN. Genom vårt förslag till ändringar av 4 § första stycket får sådana uppgifter även lämnas ut på ADB-medium till arbetslöshetskassorna. Överföring av information på ADB-medium 273 16.3.1Uppgifter kan lämnas ut till arbetslöshetskassorna När det gäller RFV och de allmänna försäkringskassornas möjlighet att lämna ut uppgifter är det endast deras möjlighet att lämna ut uppgifter till CSN och arbetslöshetskassorna som är intressant för oss. Information som lämnas till länsarbetsnämnderna ingår inte i vårt uppdrag. Enligt 17 § socialförsäkringsregisterlagen första meningen får uppgifter som lämnas ut med stöd av en särskild bestämmelse i lag eller förordning även lämnas ut på medium för automatiserad behandling. Uppgiftslämnande som inte är författningsreglerat kan enligt andra meningen i bestämmelsen ske på ADB-medium endast om detta utlämningssätt är föreskrivet i lag eller förordning. Detta innebär att de uppgifter som RFV och de allmänna försäkringskassorna lämnar ut till CSN, och som vi föreslår att de skall vara skyldiga att lämna ut även till arbetslöshetskassorna i förslaget till 48 b § lagen om arbetslöshetsförsäkring, kan utlämnas på ADB-medium med stöd av 17 § socialförsäkringsregisterlagen med den lydelse bestämmelsen har . Någon ändring av sistnämnda bestämmelse för att möjliggöra utlämnande på automatiserad väg från socialförsäkringssystemet till studiestöds- och arbetslöshetsförsäkringssystemen är därför inte nödvändig. Som vi närmare utvecklar i avsnitt 17.3.7 föreslår vi att det införs en ny paragraf, 5 a §, i socialförsäkringsregisterförordningen. I första stycket skall föreskrivas att uppgifter om enskilds namn och adress samt de uppgifter som avses i 7 § 1, 2 och 16 socialförsäkrings- registerlagen får lämnas ut på ADB-medium till CSN och arbetslöshetskassorna. Detta sker i syfte att tydliggöra vilka uppgifter som får lämnas ut från socialförsäkringsregister på medium för automatiserad behandling, oavsett om utlämnandet sker genom att andra har direktåtkomst till uppgifterna eller på ADB-medium i annan form. 16.3.2Administrativa och tekniska uppgifter Av 10 § socialförsäkringsregisterförordningen framgår att nödvändiga identifieringsuppgifter får lämnas ut på ADB-medium i det fall socialförsäkringsregister får tillföras uppgifter. Som vi nämnt i avsnitt 7.6.2 får socialförsäkringsregister tillföras uppgifter från såväl 274 Överföring av information på ADB-medium länsarbetsnämnder och CSN som arbetslöshetskassor enligt 3 § samma förordning. Av 4 § socialförsäkringsregisterförordningen följer vidare att nödvändiga identifieringsuppgifter får tillföras ett socialförsäkrings- register förutsatt att uppgifter får lämnas ut därifrån på ADB-medium. Uppgifter får som vi nämnt ovan lämnas ut på ADB-medium från socialförsäkringsregister till såväl CSN som, enligt våra förslag, till arbetslöshetskassor. Det finns således en rätt att med stöd av lagen om arbetsförmedlingsregister och socialförsäkringsregisterlagen hämta in och lämna ut nödvändiga administrativa och tekniska uppgifter från arbetsförmedlings- och socialförsäkringssystemen för att möjliggöra ett informationsutbyte med övriga system. 16.4Uppgifter i studiestöds- och arbetslöshetsförsäkringssystemen Eftersom behandlingen av personuppgifter i CSN:s och arbetslös- hetskassornas verksamhet inte regleras av särskilda författningar, utan av Datainspektionens föreskrifter, saknas möjlighet för oss att föreslå en reglering av möjligheterna till utlämnande av uppgifter från dessa verksamheter på ADB-medium till övriga aktörer i informationsutbytet. I avsnitt 15.2.3 har vi närmare redogjort för behovet av en översyn av behandlingen av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet. En anpassning till personuppgiftslagen kan medföra ett behov av att se över ändamålsbeskrivningarna för studiestödsregistret och arbetslöshetskassornas s.k. OAS-register vad gäller möjligheten att lämna ut uppgifter till varandra och till de allmänna försäkrings- kassorna och RFV på ADB-medium. Sammanfattningsvis kan konstateras att genom vårt förslag till ändring av 17 § lagen om arbetsförmedlingsregister och med den lydelse socialförsäkringsregisterlagen har kan uppgifter lämnas ut av länsarbetsnämnderna samt RFV och de allmänna försäkringskassorna till övriga aktörer i informationsutbytet. Möjligheten för CSN och arbetslöshetskassorna att lämna ut uppgifter till varandra och till RFV och de allmänna försäkringskassorna regleras av ändamålsbeskriv- ningarna för behandlingen av personuppgifter i respektive verksamhet. Överföring av information på ADB-medium 275 Som vi angett i avsnitt 15.2.4 förutsätter inte bara ett ökat informationsutbyte utan även en behandling av personuppgifter över huvud taget i respektive verksamhet och det pågående informa- tionsutbytet att lagen om arbetsförmedlingsregister och socialförsäk- ringsregisterlagen samt regleringen av behandling av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet ses över med anledning av att personuppgiftslagen blir tillämplig lag för all behandling . 17Direktåtkomst till elektroniskt lagrad information I föregående kapitel redovisade vi våra överväganden när det gäller möjligheten att lämna ut uppgifter på medium för automatiserad databehandling. I detta kapitel redovisar vi våra överväganden vad avser möjligheten att lämna ut information till övriga aktörer i informationsutbytet genom att dessa får direktåtkomst till elektroniskt lagrad information hos länsarbetsnämnderna samt RFV och de allmänna försäkringskassorna. Våra förslag: RFV, de allmänna försäkringskassorna, CSN och arbetslöshetskassorna får ha direktåtkomst till uppgifter i länsarbets- nämndernas verksamhet. CSN och arbetslöshetskassorna får ha direktåtkomst till uppgifter i RFV:s och de allmänna försäkringskassornas verksamhet. Direktåtkomsten får endast ske för det ändamål som uppställts för behandling av personuppgifter i utlämnarens verksamhet. Regeringen skall meddela närmare föreskrifter om vilka uppgif- ter direktåtkomsten får omfatta. Med direktåtkomst avses, som närmare utvecklats i avsnitt 7.1, att information är tillgänglig för en användare för att på egen hand söka i detta och få svar på frågor, dock utan att själv kunna påverka inne- hållet. Direktåtkomsten kan ge användaren en möjlighet att även hämta hem informationen till sitt eget system och bearbeta den där. I register- författningar har direktåtkomst i regel beskrivits som en möjlighet till direktåtkomst till uppgifter i register. Detta gäller exempelvis i de registerförfattningar som är aktuella i utredningen. finns det dock i viss utsträckning även föreskrifter om direktåtkomst till uppgifter 278 Direktåtkomst till elektroniskt lagrad information eller uppgiftssamlingar i sig. I utredningen är det endast direktåtkomst till särskilt utvalda uppgifter som är aktuellt. Direktåtkomsten avser framför allt de uppgifter som varje aktör i informationsutbytet har rätt att inhämta med stöd av en författningsreglering. 17.1.2Behöver direktåtkomst regleras särskilt? Direktåtkomst innebär att uppgifter lämnas ut utan att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut. Det har därför från integritetssynpunkt ansetts vara av stor betydelse att särskilt reglera frågor om tillgång till uppgifterna genom direktåtkomst i register- lagstiftning. och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskydds- direktivet) och personuppgiftslagen (1998:204) innehåller däremot inte några särskilda bestämmelser som tar sikte just på sättet för att lämna ut personuppgifter, vare sig det sker manuellt, på medium för automatiserad behandling eller genom att mottagaren har direktåtkomst till elektroniskt lagrade uppgifter hos utlämnaren. Dataskyddsdirektivet och personuppgiftslagen innehåller dock bestämmelser som anses innebära begränsningar i möjligheten att lämna ut uppgifter genom direktåtkomst. Dessa begränsningar finns särskilt i personuppgiftlagens 9 § första stycket d, e och f som anger att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ända- målen med behandlingen samt att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Den teknik som används för överföringen på ADB-medium innebär att data utbyts och att begärd information skickas från de interna registren till en brevlåda hos uppgiftslämnaren. Den fördröjning i uppgiftslämnandet som är inbyggd i tekniken innebär en teoretisk möjlighet för utlämnaren att kontrollera vilken information som skall lämnas ut. Den tekniska utvecklingen har emellertid lett till att skillnaderna mellan direktåtkomst och annat uppgiftslämnande på automatiserad väg blir så små att det kan vara svårt att motivera särskilda regler för direktåtkomst. I remissvaren (dnr Fi1999/4084) till utredningen för behandling av personuppgifter (SOU 1999:105) har frågan om det föreligger några skillnader mellan olika former av uppgiftslämnande på automatiserad Direktåtkomst till elektroniskt lagrad information 279 väg väckts av Statskontoret och RSV. RSV ifrågasätter även om t.ex. sådana fasta uppkopplingar som sker på telenätet omfattas av begreppet direktåtkomst. Sekretessprövningen, eller prövningen av vilka uppgifter som omfattas av en författningsreglerad uppgiftsskyldighet och därmed skall lämnas ut utan någon sekretessprövning, sker i praktiken i samband med att förbindelsen upprättas. Detta gäller såväl vid direktåtkomst som vid sådant utlämnande på automatiserad väg som sker via telenätet. Någon ytterligare prövning av uppgifterna i samband med utlämnandet sker inte vid dagens överföringar över telenätet, även om det på grund av fördröjningen i systemen är teoretiskt möjligt att göra en sådan prövning. Mot denna bakgrund kan det enligt vår mening ifrågasättas om det finns någon egentlig anledning att reglera direktåtkomst särskilt. Med hänsyn till vad som anförts ovan finner vi det i och för sig svårt att motivera att särskilda regler bör införas för direktåtkomst. Eftersom vårt uppdrag är begränsat och endast avser möjligheterna till direktåtkomst i det aktuella informationsutbytet, och inte en total översyn av reglerna om direktåtkomst i de olika verksamheterna, utgår vi dock från den systematik som gäller . Våra överväganden bygger därför på det förhållandet att det görs en åtskillnad mellan direktåtkomst och annan form av uppgiftslämnande på automatiserad väg i lagen om arbetsförmedlingsregister och i socialförsäkrings- registerlagen. Som vi närmare utvecklat i kapitel 7 regleras behandlingen av person- uppgifter i länsarbetsnämndernas samt RFV:s och de allmänna försäkringskassornas verksamhet av registerlagstiftning medan behandlingen av personuppgifter i CSN:s och arbetslöshetskassornas verksamhet styrs av de föreskrifter Datainspektionen meddelat för denna behandling i enlighet med datalagens reglering. Direktåtkomst till de olika socialförsäkringsregistren är reglerat i 14 § socialförsäkringsregisterlagen, men det begrepp som används är direkt åtkomst. I lagen om arbetsförmedlingsregister används i stället begreppet terminalåtkomst. Terminalåtkomst regleras i 16 § lagen om arbetsförmedlingsregister. Direktåtkomsten till dessa register är kraftigt begränsade. Uppgifter som förs gemensamt för RFV och de allmänna försäkringskassorna får enligt 14 § lagen om arbetsförmedlingsregister i princip endast RFV respektive kassorna ha direktåtkomst till. 280 Direktåtkomst till elektroniskt lagrad information vissa förutsättningar får även ha direkt- åtkomst till sådan register. Enligt 16 § lagen om arbetsförmedlingsregister får endast den offentliga arbetsförmedlingen eller det som får föra ett arbetsförmedlingsregister ha terminalåtkomst till registret. Som vi närmare har redovisat i avsnitt 7.5.4 och 7.6.4 har regleringen i bägge registerförfattningarna skett mot bakgrund av ståndpunkten att åtkomsten av integritetshänsyn inte bör vara vidare än vad som behövs med hänsyn till den verksamhet för vilken registret förs. Ett exempel på den kraftiga begränsningen vad gäller åtkomst är att AMS inte har direktåtkomst till uppgifter i arbetsförmedlingsregister utan endast till styrelsens centrala statistikregister. Det finns dock anledning att betona att dessa begränsade möjlig- heter till direktåtkomst avser i såväl lagen om arbetsförmedlingsregister som i socialförsäkringsregisterlagen åtkomsten till hela register. Någon direktåtkomst till ett begränsat antal, särskilt utvalda och mindre integritetskänsliga uppgifter – vilket är vad övervägandena gäller i förevarande utredning – regleras inte i lagen. För att bedöma om en myndighet eller ett organ utanför en viss verksamhet bör få direktåtkomst till information i verksamheten måste – på sätt som har skett i kapitel 12 – en avvägning göras mellan de skäl som talar för en sådan åtkomst och de integritetsskäl som talar mot denna. Vid denna bedömning får den personliga integriteten vägas mot behovet av en ökad effektivitet hos myndigheterna, de allmänna försäkringskassorna och arbetslöshetskassorna, möjligheten att kunna ge den enskilde bättre service och intresset av att välfärdssystemen inte undergrävs av fusk och överutnyttjande (se kapitel 11). I kapitel 12 har vi på ett samlat sätt tagit ställning till frågan om personlig integritet och gjort en avvägning mellan det intresset och de allmänintressen som talar för ett utökat informationsutbyte. Vi har i det kapitlet gjort bedömningen att ett ökat utbyte av information går att förena med kraven på skydd mot oacceptabla intrång i den personliga integriteten. De överväganden vi där gjorde har i stor utsträckning giltighet även vid bedömande av frågan om ökade möjligheter till direktåtkomst är förenligt med dessa krav. Därutöver vill vi i de följande avsnitten särskilt ange våra överväganden vad gäller Direktåtkomst till elektroniskt lagrad information 281 avvägningen mellan skyddet för den enskildes integritet och behovet av att kunna inhämta uppgifter genom direktåtkomst. Det i vår utredning aktuella informationsutbytet är i stor utsträckning föranlett av att de materiella regelverken i de olika systemen är uppbyggda så att ett beslut i ett system förutsätter kunskap om uppgifter som finns i de andra systemen. För att dubbla utbetalningar och andra felaktiga utbetalningar skall kunna undvikas krävs att den handläggare som har att fatta beslut om en förmån på ett enkelt och snabbt sätt kan förvissa sig om att ett korrekt beslut meddelas. Därför måste relevanta uppgifter i så stor utsträckning som möjligt finnas till hands vid beslutsfattandet. I den mån en handläggare kontrollerar uppgifter som lämnats av den sökande sker detta på väg genom att denne tar en telefonkontakt med handläggaren på utlämnande myndighet eller organ. En kontakt tar förhållandevis i anspråk, dels genom den tidsfördröjning som kan uppstå genom att den handläggare som söks inte alltid är anträffbar, dels genom att den fråge- rutinen tar tid i anspråk. Förutom för handläggaren på den myndighet eller det organ som behöver uppgiften gäller detta även för handläggaren på den utlämnande myndigheten eller organet. Det förhållandet att kontroller är tidsödande och omständliga kan innebära att nödvändig information inte alls tas fram. Dagens ADB-överföringar sker genom s.k. batch-körningar och har en tidsfördröjning . Detta innebär att de uppgifter som inhämtats från ett annat system är gamla när handläggaren av ett ärende fattar beslut med stöd av dessa. Om det inträffat en förändring från den dag då uppgifterna inhämtades (dag 1) och den dag då beslutet fattades (dag 2) får mottagande myndighet kännedom om det först vid den batch-körning som sker dagen efter det att ett beslut i ett ärende har fattats (dag 3). Det förhållandet att uppgifterna vid beslutstillfället var inaktuella, exempelvis genom att en förmån redan beviljats i ett annat system, kan hos RFV och de allmänna försäkringskassorna få till följd att ett ärende om återkrav inleds. Efterhandskontrollen innebär även att om den sökande fått för litet belopp utbetalt så sker en tilläggsutbetal- ning i efterhand. I kapitel 5 har vi redogjort för olika syften med dagens elektroniska informationsutbyten. I de flesta fall sker en informationsinhämtning för att mottagaren skall få underlag för att kunna fatta beslut i ett ärende. Endast i några få fall syftar informationsutbytet till att förhindra dubbla 282 Direktåtkomst till elektroniskt lagrad information och andra felaktiga utbetalningar. I enstaka fall sker en kontinuerlig kontroll av riktigheten i beslutsunderlaget i ett system genom att ändringsuppgifter skickas från ett annat system. Av detta kan vi dra slutsatsen att dagens elektroniska informationsutbyte inte i någon större utsträckning har inneburit att rutiner för önskvärd kontroll har skapats. Genom direktåtkomst till uppgifter i en annan myndighets eller organs verksamhet kan en handläggare av ett ärende inför ett beslut om rätt till eller utbetalning av en förmån, ersättning eller annat stöd inhämta de uppgifter som är av betydelse för att fatta ett riktigt beslut. Eftersom uppgifterna inhämtas i nutid är de aktuella. Genom direktåtkomst till informationen kan dagens ärendehantering ytterligare effektiviseras och framför allt kan servicen mot den enskilde förbättras. Möjligheten att snabbt erhålla ett beslut är av avgörande betydelse för den sökande där förmånen i fråga kan vara den enda eller största inkomstkällan. Förseningar i beslutsfattandet på grund av den fördröjning som inhämtandet av informationen innebär kan därför få långtgående konsekvenser för den enskilde. Framför allt blir det genom direktåtkomst möjligt att utforma effektiva rutiner för kontroll i pågående ärenden av lämnade uppgifter. För att den kontroll som är nödvändig skall bli möjlig krävs ett informationsutbyte som inte har den tidsutdräkt som dagens överföringar medför. För att dubbla utbetalningar och andra felaktiga utbetalningar skall kunna undvikas krävs, enligt vår uppfattning, att den handläggare som har att fatta beslut om en förmån inför beslutsfattan- det på ett enkelt och snabbt sätt kan förvissa sig om att ett korrekt beslut meddelas. Detta förutsätter att relevanta uppgifter i så stor utsträckning som möjligt blir åtkomliga genom direktåtkomst. En kontroll i motsvarande omfattning är inte realistisk med dagens överföringar, särskilt med tanke på de stora informationsmängder som skulle behöva överföras. Direktåtkomst ger enligt vår uppfattning en möjlighet för myndig- heterna att på ett enkelt och tidseffektivt sätt förverkliga och regeringens krav på stärkt kontroll av utbetalningen av statliga medel. Det myndighetsövergripande behovet att kontrollera att inte dubbla utbetalningar och andra felaktiga utbetalningar sker har, som framgår av vår genomgång av dagens elektroniska informationsutbyten (se kapitel 5), inte varit det primära målet med informationsöverföringarna. Sammanfattningsvis talar starka effektivitetsskäl för en utökad möjlighet till direktåtkomst när det gäller informationsutbytet mellan de allmänna försäkringskassorna, RFV, CSN, länsarbetsnämnderna och arbetslöshetskassorna. Genom att uppgifter kan lämnas på detta sätt kan ärendehanteringen hos såväl utlämnaren som mottagaren förenklas och handläggningstiderna förkortas avsevärt. Direktåtkomst till elektroniskt lagrad information 283 direktåtkomst avsevärda tids- och kostnadsbesparingar. Möjligheten till direktåtkomst är, enligt vad vi anfört, särskilt viktig vid kontroll av att felaktiga utbetalningar inte utgår. 17.3.3Uppgifter som skall omfattas av direktåtkomst Inledningsvis är det viktigt att ha klart för sig att den form av direktåtkomst som här är aktuell är inte en åtkomst till alla uppgifter i ett register. Åtkomsten avser endast ett begränsat antal särskilt utvalda och mindre integritetskänsliga uppgifter.