prop · GP03144 · 2002-03-14 00:00:00 — Utgångspunkten är i ställetatt utforma regleringen så att den myndighet på vilken det ankommer att utföraen viss behandling skall vara ansvarig för just den behandlingen.I likhet med regeringens uppfattning i den ovannämnda propositionen är det svårt att för den arbetsmarknadspolitiska verksamheten i lag närmare bestämma vilkenmyndighet som bör vara ansvarig för olika specifika behandlingar avpersonuppgifter. De myndigheter som kan komma i fråga för personuppgiftsansvaret är AMS och länsarbetsnämnderna.Riksdagens ombudsmän har ifrågasatt det lämpliga i att personuppgiftsansvaretbegränsas till behandling av personuppgifter som det ankommer på en myndighetatt utföra, eftersom oklarhet då uppkommer om vem som är personuppgiftsansvarigför en behandling som myndigheten utför i strid mot gällande regler och som detdärmed inte ankommer på myndigheten att utföra. Med hänsyn härtill anserregeringen att personuppgiftsansvaret bör utformas så att den myndighet somutför en viss behandling är ansvarig för den behandlingen, oavsett om det ankompå myndigheten att utföra behandlingen eller inte.När det gäller frågan vilken myndighet som har personuppgiftsansvaret kanföljande synpunkter vara en lämplig utgångspunkt. Den behandling avpersonuppgifter som sker vid till exempel ordbehandling bör den myndighet inomArbetsmarknadsverket hos vilken behandlingen faktiskt sker varapersonuppgiftsansvarig för. När uppgifter behandlas i en databas bör denmyndighet som avgör om en viss uppgift skall föras in i databasen vara ansvarigför att den lagrade uppgiften är korrekt, eftersom det i praktiken endast tordevara den myndigheten som har möjlighet att garantera uppgiftens riktighet. Denbehandling av uppgiften som sker därefter kan emellertid andra myndigheter bliansvariga för, eftersom varje myndighet ansvarar för sin behandling. När detgäller frågor av mer övergripande natur får personuppgiftsansvarets fördelninggrundas på vilken myndighet som har befogenhet och skyldighet att utföra dessaåtgärder. Enligt regeringens bedömning bör det i praktiken inte behöva uppstånågra problem i fråga om vem som är personuppgiftsansvarig för olikabehandlingar. En förutsättning är emellertid att det går att fastställa vilkenmyndighet inom som har behandlat en viss uppgift och hurdenna uppgift har behandlats.5.5Ändamålen med behandlingen m.m.Regeringens förslag: och länsarbetsnämnderna fårbehandla personuppgifter inom den arbetsmarknadspolitiska verksamheten bara omdet behövs för1. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten,2. publicering av platsinformation,3. planering, metodutveckling, tillsyn, uppföljning, resultatredovisning ochutvärdering av den arbetsmarknadspolitiska verksamheten,4. framställning av avidentifierad statistik, och5. samarbete på det arbetsmarknadspolitiska området inom Europeiska unionen ochEuropeiska ekonomiska samarbetsområdet samt enligt överenskommelsen den 6 mars1982 om en gemensam nordisk arbetsmarknad (primära ändamål).Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla personuppgifter för tillhandahållande av information som behövs inom1. , de allmänna försäkringskassornas, eller arbetslöshetskassornas verksamhet, som underlag förbeslut om och kontroll av förmåner, ersättningar och andra stöd, samt2. och skattemyndigheternas verksamhet som underlag för beslut om och kontroll av skatt (sekundära ändamål).Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter sombegränsar dels de primära ändamål för vilka behandling är tillåten, dels vilkapersonuppgifter som får behandlas för ett visst ändamål.Promemorians förslag: Överensstämmer med regeringens förslag förutom att ipromemorian föreslås att det i lagen skall anges vilka uppgifterarbetsmarknadsmyndigheterna får inhämta från bl.a. myndigheter.Remissinstanserna: Flertalet remissinstanser tillstyrker eller lämnar förslagetutan invändningar. Datainspektionen föreslår att regeringen i det fortsattaförfattningsarbetet anger deländamål för hur uppgifter får användas.Riksskatteverket (), () och LO föreslår attarbetsmarknadsmyndigheterna skall få behandla personuppgifter för att äventillhandahålla kronofogdemyndigheter, kommuner, förstudiestöd respektive fackliga organisationer med information som de behöver för sin verksamhet. önskar attforskningsändamål skall få påverka insamlandet av data. LO har även påpekat attdet är av vikt att en tydlig avgränsning görs beträffande vilka uppgifter somfår registreras.Skälen för regeringens förslag: Enligt 9 § personuppgiftslagen fårpersonuppgifter samlas in bara för särskilda, uttryckligt angivna ochberättigade ändamål och uppgifterna får inte senare behandlas för något ändamålsom är oförenligt med det för vilket uppgifterna samlades in. De särskildaändamål som den personuppgiftsansvarige skall ha angett när insamlingen avuppgifter sker - eller som framgår av en särskild registerlagstiftning - ochregleringen av vilka uppgifter som får registreras anger således ramen förbehandlingen av personuppgifter. Med behandling av personuppgifter avses enligt 3 § personuppgiftslagen varje åtgärd som vidtas i fråga om personuppgifter,vare sig det sker på automatisk väg eller inte. Detta innebär att utlämnande avuppgifter från ett register eller en databas i en verksamhet till en annanverksamhet utgör behandling i personuppgiftslagens mening.Primära ändamålI dag får arbetsförmedlingsregistret och AMS centrala statistikregister förasför vissa särskilt angivna primära ändamål. handläggning av ärenden som rör platsförmedling, arbetsförberedande åtgärderi form av vägledning, utbildning och arbetslivsinriktad rehabilitering samtandra arbetsmarknadspolitiska program som föreskrivs i lag eller förordning,2. publicering av platsinformation,3. planering, metodutveckling, tillsyn, uppföljning och utvärdering avverksamheten,4. framställning av statistik, och5. arbetsförmedlingssamarbete enligt överenskommelsen om engemensam nordisk arbetsmarknad och inom ramen för avtalet om Europeiskaekonomiska samarbetsområdet (2 § lagen om arbetsförmedlingsregister).AMS centrala statistikregister får användas för att framställa avidentifieradstatistik som underlag för planering, metodutveckling, tillsyn, uppföljning ochresultatredovisning (3 § lagen om arbetsförmedlingsregister).Även i fortsättningen bör en behandling av uppgifter få ske för ovan angivnaändamål. Den nya lagen bör därför ha samma ändamål dock med det tillägget atthandläggning av ärenden bör omfatta hela den arbetsmarknadspolitiskaverksamheten och inte begränsas till de i punkten 1 angivna ärendena.Sekundära ändamålI propositionen Ökat informationsutbyte mellan arbetslöshetsförsäkringen,socialförsäkringen och studiestödet (prop. 2000/01:129 s. 67 f och 73 ff)behandlas frågan om möjligheten att lämna ut uppgifter mellan myndigheter påelektronisk väg och direktåtkomst till elektroniskt lagrad information. Enligtpersonuppgiftslagen får ett utlämnande av uppgifter inte ske utan att detomfattas av ändamålet med behandlingen av personuppgifter i verksamheten. Ipropositionen föreslås att det görs en uppdelning av ändamålen iarbetsförmedlingsregistret i primära och sekundära ändamål. En sådan uppdelninghar även gjorts i de olika lagarna om behandling av personuppgifter inom skatt,tull och exekution. Syftet med uppdelningen är att göra tydligt hur uppgifternafår användas i den egna verksamheten och hur de får behandlas för att lämnas uttill andra.Riksdagen har beslutat om de föreslagna lagändringarna vilkaträder i kraft . Från denna tidpunkt kommer således i lagen omarbetsförmedlingsregister att gälla ytterligare ett ändamål (sekundärt) förvilket uppgifter i ett arbetsförmedlingsregister får behandlas. Uppgifter kommer att få behandlas i registret av länsarbetsnämnder för tillhandahållande avinformation som behövs i , de allmännaförsäkringskassornas, Centrala och arbetslöshetskassornasverksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild (2 a §). Uppdelningen av ändamål i primära och sekundärabör finnas även i den nu föreslagna lagen. Regeln i 2 a § bör därför föras övertill den nya lagen.Redan i dag får regeringen föreskriva att vissa uppgifter får lämnas ut påmedium för automatisk databehandling till ochskattemyndigheterna (17 § tredje stycket lagen om arbetsförmedlingsregister samt 4 § andra stycket förordningen [1994:460] om arbetsförmedlingsregister).Eftersom sådant utlämnande av uppgifter är vanligt förekommande och utgörbehandling av uppgifter enligt personuppgiftslagen, bör även tillhandahållandeav uppgifter till och skattemyndigheterna omfattas av desekundära ändamålen.Inhämtande av uppgifterI promemorians lagförslag föreslås att arbetsmarknadsmyndigheterna skall fåinhämta uppgifter om vissa utbetalda medel från bl.a. myndigheter för behandling i databasen i enlighet med den nuvarande regleringen i 14 §arbetsförmedlingsregisterlagen. Regeringen gör dock bedömningen att depersonuppgifter som arbetsmarknadsmyndigheterna enligt 14 § lagen omarbetsförmedlingsregister och 21 § förordningen (1997:835) omarbetslöshetsförsäkring i dess lydelse från får inhämta omfattas av de primära ändamålen. Dessa personuppgifter får därmed behandlas i denarbetsmarknadspolitiska verksamheten. Någon särskild lagregel erfordras därförinte.Ytterligare föreskrifter m.m.I 9 § personuppgiftslagen anges grundläggande krav på behandling avpersonuppgifter.Av 9 § a, d-f framgår att personuppgifter får behandlas bara om det är lagligt,att de inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall varaadekvata och relevanta i förhållande till ändamålen med behandlingen och attinte fler uppgifter får behandlas än vad som är nödvändigt med hänsyn tilländamålet med behandlingen. De ändamål för vilka uppgifterna får behandlas utgör därför ramen för vilka uppgifter som får behandlas och hur de får användas.LO har anfört att det i lagen bör preciseras vilka uppgifter som får behandlasför de olika ändamålen. Enligt regeringens uppfattning är det tillräckligt attlagen genom ändamålsbestämmelserna och bestämmelserna om behandling av känsligaoch ömtåliga personuppgifter anger ramarna för den tillåtna behandlingen. Detbör enligt regeringens bedömning inte utgöra någon risk för intrång i denpersonliga integriteten att låta regeringen, eller den myndighet regeringenbestämmer, meddela föreskrifter om begränsningar av de primära ändamål för vilka behandling är tillåten och begränsningar av vilka personuppgifter som fårbehandlas för ett visst ändamål. Lagrådet har i samband med sin behandling avbestämmelsen om behandling av känsliga personuppgifter anfört att Lagrådetförutsätter att regeringen utnyttjar sin befogenhet att meddela föreskrifter omvilka personuppgifter som får behandlas för ett viss ändamål till att angebestämda restriktioner för behandling av känsliga personuppgifter (se avsnitt5.7).En del av de uppgifter som behandlas av myndigheterna inom Arbetsmarknadsverketär av integritetskänslig natur. Utgångspunkten är att alla uppgifter som ärnödvändiga för det ändamål för vilket behandlingen får utföras får behandlas iden arbetsmarknadspolitiska verksamheten. Det innebär i sin tur inte att varjeuppgift hos myndigheterna inom skall få behandlasautomatiserat och få vara sökbar av vem som helst. Personuppgiftslagens krav påatt den personuppgiftsansvarige skall vidta lämpliga tekniska ochorganisatoriska åtgärder för att skydda de uppgifter som behandlas (31 §) äravsedda att förebygga missbruk. Systemet för behandling av personuppgifter inomden arbetsmarknadspolitiska verksamheten måste därför bygga på en hög grad avsäkerhet och förutsätta att det finns behörighetskoder för användarna. Ävenandra tekniska begränsningar i åtkomsten måste övervägas i det fortsattaförfattningsarbetet. Regeringen avser att vid det fortsatta författningsarbetetta ställning till Datainspektionens förslag att ange deländamål för huruppgifter i databaser får användas.Beträffande RSV:s, CSN:s och LO:s förslag att arbetsmarknadsmyndigheterna ävenskall få behandla personuppgifter för att tillhandahålla kronofogdemyndigheter,kommuner, respektive fackliga organisationerden information de behöver i sin verksamhet är det regeringens uppfattning atten sådan utökning av informationsutbytet bör övervägas ytterligare innan ettsådant förslag lämnas. Detsamma gäller för önskemål att forskningsändamål skall få påverka insamlandet avdata.5.6 Databaser i stället för registerRegeringens förslag: I den arbetsmarknadspolitiska verksamheten får det finnasen samling personuppgifter som med hjälp av automatiserad behandling användsgemensamt i verksamheten för de primära och sekundära ändamålen(arbetsmarknadspolitisk databas).Regeringen meddelar ytterligare föreskrifter om vilka personuppgifter som fårbehandlas i en arbetsmarknadspolitisk databas. Regeringen, eller den myndighetregeringen bestämmer, meddelar föreskrifter om begränsningar av depersonuppgifter som får behandlas i en arbetsmarknadspolitisk databas.Promemorians förslag: Överensstämmer med regeringens.Remissinstanserna: Remissinstanserna har inte haft några invändningar motförslaget. Datainspektionen har framhållit att begreppet databas är praktisktanvändbart endast om den som skall hantera personuppgifter har möjlighet attbedöma huruvida en uppgift används gemensamt eller inte.Skälen för regeringens förslagBegreppet databas i den arbetsmarknadspolitiska verksamhetenI personuppgiftslagen används inte begreppet register överhuvudtaget för olikasamlingar av uppgifter. I stället talas det om behandling av personuppgifter. nya lagarna om behandling av personuppgifter inom beskattnings-, tull- ochexekutionsverksamheterna har begreppet databas införts för de elektroniskasammanställningar av personuppgifter som sker i dessa verksamheter. Iförarbetena till dessa lagar (prop. 2000/01:33, s. 88 ff) redogörs för argumentför och emot begreppen register och databas som benämning på ADB-baseradesamlingar av bland annat personuppgifter. Regeringens skäl för att införabegreppet databas för den elektroniska behandling av personuppgifter som sker ibeskattnings-, tull- och exekutionsverksamheter i stället för register kansammanfattas enligt följande. Begreppet register är inte så väl lämpat attanvändas på datasystem som innefattar elektronisk ärendehantering där inkomnahandlingar bildfångas och beslut upprättas med automatiserad behandling för attsedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Begreppet databas har rent språkligt en mer naturlig anknytning tillautomatiserade sammanställningar av uppgifter. Begreppet register bör i ställetförbehållas sådana automatiserade uppgiftssamlingar som faktiskt utgör registeri en mer strikt betydelse, nämligen när uppgifterna är organiserade på ettsystematiserat sätt enligt fastställda kriterier. En sådan definition avbegreppet databas utesluter register och gör det möjligt att särskiljatillfälliga behandlingar av personuppgifter i en dator från behandlingar idatabaser som är särskilt reglerade till sitt innehåll och användning.Definitionen har även den fördelen att den inte tekniskt avgränsar hur ensamling uppgifter är uppbyggd eller organiserad. Det innebär att om fleraregister - i egentlig bemärkelse - är sammanlänkade och samtliga uppgifter i deolika registren på ett gemensamt sätt är tillgängliga för sökning medautomatiserad behandling inom en avgränsad verksamhet så utgör dessa register en databas. En databas kan således innehålla flera mindre databaser, varav en delkan vara regelrätta register.Den elektroniska hanteringen av personuppgifter inom sker,utöver traditionellt upprättade handlingar i löptext, såsom tjänsteanteckningarm.m., i arbetsförmedlingsregistret och i AMS centrala statistikregister. Vidarekan uppgifterna i arbetsförmedlingsregistret vara knutna till en personakt, sominte förs i automatiserad form, på sätt som beskrivits ovan i avsnitt 5.2. Deuppgifter som får föras in registret i form av daganteckningar gör att gränsenmellan en ärendehantering och en elektronisk sådan kan vara flytande.Det finns också skäl att anta att en ärendehantering där allt behandlaselektroniskt kommer att öka i betydelse . Det är bland annat mot dennabakgrund viktigt att det finns gemensamma regler för den behandling avpersonuppgifter som sker genom automatiserad behandling, i synnerhet beträffande uppgifter som anses vara av känslig eller ömtålig natur.De överväganden som legat till grund för att införa begreppet databas ibeskattnings-, tull- och exekutionsverksamheterna bör enligt regeringens meningkunna ligga till grund för att införa begreppet databas även för deautomatiserade sammanställningar av personuppgifter som förekommer i denarbetsmarknadspolitiska verksamheten. Begreppet databas återspeglar i störreutsträckning den elektroniska verklighet med behandling av personuppgifter somsker i än ett register gör. Regeringen anser därföratt detta begrepp bör införas även i denna verksamhet som en juridisk beteckning på en samling uppgifter som med hjälp av automatiserad behandling användsgemensamt i verksamheten och ersätta det tidigare registerbegreppet.En uppgift anses - i likhet med vad som anförs i förarbetena till lagarna ombehandling av personuppgifter inom skatt, tull och exekution - gemensamttillgänglig och därmed utgörande del av en databas om den registreras och lagras i ett datasystem på ett sådant sätt att en tjänsteman inom en eller fleramyndigheter har möjlighet att vid behov och i olika sammanhang ta del avuppgiften direkt eller på automatiserad väg.En sådan definition av begreppet databas utesluter - i likhet med vad som gäller vid behandling av personuppgifter inom skatt, tull och exekution - manuellaregister och gör det enligt regeringens bedömning möjligt att särskiljatillfälliga behandlingar av personuppgifter i en dator från behandlingar idatabaser som är särskilt reglerade till sitt innehåll och användning.Av integritetsskäl bör stora uppgiftssamlingar som hanteras av myndigheter ochsom ger möjligheter till sammanställningar av en rad olika uppgifter om enskilda personer omgärdas av särskilda skyddsregler. Särskilda bestämmelser bör således gälla för behandling av uppgifter i databaser i den arbetsmarknadspolitiskaverksamheten, bland annat vilka uppgifter som får behandlas i databasen, vilkenåtkomst andra myndigheter och andra skall ha till uppgifterna samt vad somgäller vid bevarande och gallring.Behandling av personuppgifter i databasenUtgångspunkten vid utformningen av en ny författningsreglering om behandling avpersonuppgifter i den arbetsmarknadspolitiska verksamheten bör bland annat varaatt denna i största möjliga utsträckning möjliggör successiva förändringar isystemen utan att hela regelverket behöver ändras. Den lagstiftning som reglerar användandet av datorstöd måste således vara teknikoberoende och flexibel föratt inte hindra pågående och framtida effektiviseringar av verksamheter. Det kan därför vara behäftat med betydande nackdelar att reglera alla frågor i lag. Mot bakgrund av att en grundläggande princip i dataskyddsdirektivet ochpersonuppgiftslagen är att behandling av personuppgifter inte får vara oförenlig med de ändamål för vilka de har samlats in bör emellertid klart angivna ändamål med behandlingen av personuppgifter i lagen ge en tillräcklig garanti för denpersonliga integriteten utan att en närmare reglering av dessa uppgifter behövsi själva lagen. En reglering av vilka känsliga och ömtåliga personuppgifter somskall få behandlas bör dock regleras närmare i lagen (se avsnitt 5.7). Vilkaövriga personuppgifter som får föras in i databasen samt närmare föreskrifter om känsliga och ömtåliga personuppgifter får uttömmande preciseras i annanförfattning. Dessa uppgifter torde vara desamma som får registreras i deolika registren. Av integritetsskäl bör det dock enbart ankomma på regeringenatt föreskriva vilka uppgifter som får behandlas i databasen. Den myndighetregeringen bestämmer bör dock ges möjlighet att göra ytterligare begränsningarav uppgifterna om behov föreligger. Detta arbete bör i den mån det behövs ske isamråd med Datainspektionen.5.7 Behandling av känsliga personuppgifter m.m.Regeringens förslag: och länsarbetsnämnderna fårbehandla känsliga personuppgifter som avses i 13 § personuppgiftslagen(1998:204) och personuppgifter om lagöverträdelser m.m. som avses i 21 § sammalag om uppgifterna har lämnats i ett ärende eller är nödvändiga förhandläggningen av det.I en arbetsmarknadspolitisk databas får inga andra känsliga personuppgifter somavses i 13 § personuppgiftslagen (1998:204) behandlas än sådana som avslöjaretniskt ursprung eller rör hälsa.Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa,personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andravärderande upplysningar om en enskild, får behandlas i en databas endast om dehar lämnats i ett ärende eller är nödvändiga för handläggningen av det och denenskilde skriftligen har samtyckt till detta. Angående återkallelse av ettsådant samtycke gäller vad som föreskrivs i 12 § första stycketpersonuppgiftslagen.Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samtuppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen(2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) fårinte behandlas i en arbetsmarknadspolitisk databas.Promemorians förslag: Överensstämmer huvudsakligen med regeringens. Ipromemorian föreslås dock att sådana personuppgifter som avslöjar ras skall fåbehandlas i en arbetsmarknadspolitisk databas, att personuppgifter om enenskilds ekonomiska förhållanden skall få behandlas i en databas endast om dehar lämnats i ett ärende eller är nödvändigt för handläggningen av det och medsamtycke samt att den enskilde uttryckligen skall samtycka till behandling avkänsliga och ömtåliga personuppgifter till skillnad från regeringens förslag omskriftligt samtycke.Remissinstanserna: Flertalet remissinstanser har inte yttrat sig särskilt överförslaget. Av de som yttrat sig har AMS tillstyrkt förslaget. Datainspektionenhar motsatt sig att utrymmet att behandla känsliga personuppgifter utvidgas, omdet är vad som avses. Justitiekanslern har ifrågasatt huruvida uppgifter om rasi något sammanhang kan vara av betydelse i den arbetsmarknadspolitiskaverksamheten. Statskontoret, och Institutet förArbetsmarknadspolitisk utvärdering har motsatt sig att den enskilde skallsamtycka till behandling av känsliga och ömtåliga personuppgifter. Riksdagensombudsmän anser att det inte är tillräckligt att inhämta den enskildesuttryckliga samtycke utan förordar att nuvarande krav på skriftligt samtyckebehålls. LO har angivit att det tydligare bör komma till uttryck i lagtexten att stor restriktivitet bör iakttas vid användning av känsliga och ömtåligapersonuppgifter. Justitiekanslern och ombudsmän har framförtsynpunkter på utformningen av lagtexten.Skälen för regeringens förslag: Känsliga personuppgifter får som huvudregel inte behandlas enligt personuppgiftslagen. Myndigheternas inom Arbetsmarknadsverketbehandling av sådana uppgifter utgör ett avsteg från detta förbud. I dennu gällande registerlagen förekommer även att andra uppgifter av ömtålig naturregistreras i registret, såsom t.ex. uppgifter om sociala förhållanden. Vidarefår vissa uppgifter om lagöverträdelser m.m. inte registreras i registretöverhuvudtaget.