prop · GQ03135 · 2003-06-05 00:00:00 — En myndighet som tar emot uppgifter från andra myndigheter har inte rättsligt stöd för att behandla uppgifterna på annat sätt än i enlig- het med de för myndigheten gällande författningarna. Risken för att en mottagande myndighet skulle behandla personuppgifter som mottas på medium för automatiserad behandling på ett sätt som avviker från de för myndigheten gällande författningarna måste anses liten. finns det skäl att i detta sammanhang erinra om den s.k. finalitetsprincipen i personuppgiftslagen, som innebär att uppgifter som samlats in för ett visst ändamål därefter inte får behandlas för något annat ändamål som är oförenligt med det ursprungliga ändamålet. Om uppgifter som inhämtats för socialförsäkringens behov utan begränsning får spridas till andra myndigheter finns alltid en risk för att efterkommande behandlingar kan komma att strida mot finalitetsprincipen. Detta talar för att utlämnandet av uppgifter på medium för automatiserad till andra myndigheter bör in- skränkas till vad som faller inom ramen för de i den föreslagna lagen an- givna ändamålen. Den lösning som föreslås torde dessutom enligt reger- ingens uppfattning innebära goda möjligheter att tillgodose i princip alla rimliga behov av informationsöverföring mellan myndigheterna. I de fall det föreligger en skyldighet att lämna ut uppgifter enligt en särskild sekretessbrytande regel bör det således vara tillåtet att lämna ut informationen på medium för automatiserad behandling. Därutöver bör uppgifter få lämnas ut till myndigheter på medium för automatiserad be- handling i de fall det i lag eller förordning finns särskilda föreskrifter som medger att utlämnande av uppgifter får ske på sådant medium. Ett annat exempel är bestämmelsen i 19 § tredje stycket personuppgiftslagen om att personuppgifter får lämnas ut för att användas i forsknings- eller statistikprojekt (i prop. 2002/03:50 föreslås vissa ändringar av denna be- stämmelse). När det gäller utlämnande av personuppgifter till andra enskilda än den registrerade, varmed avses även privaträttsliga subjekt såsom företag och organisationer, kan konstateras att den behandling som kan komma att ske hos andra än privatpersoner är underkastad personuppgiftslagens regler. Det innebär att ett visst skydd mot integritetshotande behandling hos mottagaren föreligger, men generellt sett torde detta skydd inte vara lika starkt som det som gäller för myndigheters behandling av person- uppgifter. Utlämnande av personuppgifter på medium för automatiserad behand- ling till andra enskilda än den registrerade bör emellertid medges i sär- skilt reglerade fall. Ett rimligt hänsynstagande till de ovan berörda aspekterna ger vid handen att utlämnande på medium för automatiserad behandling till enskilda får ske i de fall det finns särskilda sekretessbry- tande bestämmelser som medger att vissa uppgifter lämnas ut. Enligt den här föreslagna regeln om utlämnande av uppgifter på sådant medium i förening med punkten 2 i de sekundära ändamålen får således utläm- nande ske på medium för automatiserad behandling i de fall utlämnade sker med stöd av en sådan särskild sekretessbrytande regel som tar sikte på enskilda (exempelvis 20 kap. 9 a § lagen [1962:381] om allmän för- säkring) eller med stöd av exempelvis 19 § tredje stycket personupp- Prop. 2002/03:135 giftslagen. (I prop. 2002/03:50 lämnas emellertid vissa förslag till änd- ring av bestämmelsen i personuppgiftslagen och att bestämmelsen om utlämnande för forskning skall föras över till en särskild lag, lagen om etikprövning av forskning som avser människor, som föreslås träda i kraft .) Enligt 17 § socialförsäkringsregisterlagen får uppgift lämnas ut på medium för automatiserad behandling även i de fall uppgiften skall användas för framställning av statistik. Regeringen har inte för avsikt att genom den nu föreslagna lagen begränsa möjligheterna att lämna ut uppgifter på medium för automatiserad behandling för så- dana ändamål i förhållande till hur den bestämmelsen tillämpas . I huvudsak torde utlämnande för sådana ändamål omfattas av antingen sekretessbrytande bestämmelser eller bestämmelser om utlämnande på medium för automatiserad behandling i nu gällande författningar. I den mån det visar sig behövas kan det dock förutsättas att erforderliga kom- pletteringar kommer till stånd genom förordningar meddelade av reger- ingen. Att utlämnande av uppgifter på medium för automatiserad behandling får ske till myndighet i de fall det finns en särskild bestämmelse i lag eller förordning som medger utlämnande på sådant medium har berörts ovan. Sådana bestämmelser kan dock även ta sikte på utlämnanden till enskilda. Ett exempel är vissa av bestämmelserna i socialförsäkrings- registerförordningen (1998:1576). Även i de fall ett utlämnande av personuppgifter sker på grund av ge- menskapsrätten eller i anledning av olika internationella åtaganden bör utlämnande på medium för automatiserad behandling få ske. 6.11.2Utlämnande för direkt marknadsföring Regeringens bedömning: Personuppgifter bör inte få lämnas ut från socialförsäkringens administration på medium för automatiserad be- handling för direkt marknadsföring. Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen instämmer med de argument som anförs i promemorian och det restriktiva förhållningssätt som inta- gits beträffande huruvida det skall införas en bestämmelse om att per- sonuppgifter skall få lämnas ut på medium för automatiserad behandling för direkt marknadsföring. föreslår att myn- digheten bör ges en generell möjlighet att efter sekretessprövning avgöra på vilket sätt begärda uppgifter ska lämnas ut. Myndigheten anser att den tekniska metoden inte ska få medföra någon skillnad när det gäller frågan i vilken utsträckning som personuppgifter får behandlas. Försäkringsför- bundet anför att försäkringsbolagen på samma sätt som gällt enligt tidi- gare beslut av Datainspektion måste kunna få del av vissa uppgifter från myndigheterna. Med stöd av sådana uppgifter kan försäkringsbolagen på ett rationellt sätt komplettera den information som lämnas av t.ex. beträffande vad som erbjuds av de olika fondförvaltarna. De uppgifter som avsetts med framställan till är av sådan karaktär att de rimligen kan lämnas ut på medium för automatiserad behandling utan samtycke från de registrerade. Ett krav på samtycke skulle försvåra den enskildes möjligheter att på ett tidigt stadium få information om de olika placer- ingsalternativ som står till buds. Om ett krav på samtycke skulle ställas menar förbundet att det är en naturlig ordning att ett samtycke skall kunna lämnas till liksom till annan myndig- het som kan ha tillgång till information av aktuellt slag. Om utlämnandet av personuppgifter på medium för automatiserad behandling för direkt- marknadsföringsändamål inte medges måste försäkringsbolagens mark- nadsföring grundas på att bolagen införskaffar de nödvändiga uppgif- terna på papper. De synnerligen stora resurskrav som detta ställer på så- väl myndigheterna som försäkringsbolagen kan enligt förbundets mening inte försvaras. Skälen för regeringens bedömning: 17 § socialförsäkringsregister- lagen innebär i princip ett förbud mot utlämnande av uppgifter i social- försäkringsregister på medium för automatiserad behandling om det inte framgår av särskild lag eller förordning att uppgifterna får lämnas ut. Fram till kunde Datainspektionen ge tillstånd till så- dant utlämnande i enstaka fall (se prop. 1996/97:155 s. 84). Datainspektionen meddelade även sådana tillstånd. Bl.a. gavs tillstånd till försäkringsbolag m.fl. att få ut urval av personuppgifter på medium för automatiserad behandling för användning vid direkt marknadsföring. Denna möjlighet har emellertid nu upphört. I anledning av detta har inkommit till med en framställan (dnr S2001/4669/SF) om lagstiftning om att t.ex. försäk- ringsbolag skall kunna få uppgifter utlämnade på medium för automatise- rad behandling i samma omfattning som tidigare medgetts av Data- inspektionen. har i efterhand förtydligat att de uppgifter man önskar få ut är uppgifter om pensionsspararnas namn, postadress och de sex första siffrorna i personnumret samt, om det är möjligt ur sekretessynpunkt, även de sista fyra siffrorna i personnumret och information om intjänad pensionsrätt. Det finns möjlighet att med stöd av tryckfrihetsförordningen få ut per- sonuppgifter för direkt marknadsföring på papper. Med hänsyn till den omedelbara tillgängligheten till stora mängder information som utläm- nande på medium för automatiserad behandling innebär, finns det en be- aktansvärd skillnad i integritetshänseende om personuppgifter också skulle få lämnas ut från en myndighet på medium för automatiserad be- handling för direkt marknadsföring. Det är därför viktigt att särskilt beakta integritetshänsyn i detta fall. En viktig aspekt är därvid att de ändamål för vilka personuppgifterna i pre- miepensionssystemet samlats in relativt markant avviker från ändamålet direkt marknadsföring. Det är dessutom av betydelse att uppgifterna i fråga har samlats in utan samtycke från de registrerade. Mot den bak- grunden finns det skäl att inta ett relativt restriktivt förhållningssätt i fråga om utlämnande av de aktuella personuppgifterna på medium för automatiserad behandling för direkt marknadsföring. Något förslag om att sådant utlämnande skall vara tillåtet lämnas därför inte. Regeringens förslag: Personuppgifter i socialförsäkringsdatabasen skall få lämnas ut på medium för automatiserad behandling för sammanställ- ning av gemensam pensionsinformation om den registrerade samtyckt till det. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen anför i fråga om förslaget till bestämmelse om gemensam pensionsinformation att det inte framgår till vem uppgifter skall lämnas ut och vem som är personuppgiftsansvarig för sådana behandlingar av personuppgifter. Inspektionen förutsätter vidare att det går att säkerställa att uppgifterna lämnas ut till rätt person. anför att den föreslagna regeln om Pen- sionsportalen bör göras mer oberoende av teknisk lösning. aka- demikers centralorganisation (), läns allmänna försäkringskassa och läns allmänna försäkringskassa tillstyr- ker förslaget om utlämnande av uppgifter för gemensam pensionsinfor- mation. har inte något att erinra mot en lagstiftning enligt vilket det krävs ett samtycke från den enskilde för att personupp- gifter i socialförsäkringsdatabasen skall kunna lämnas ut på medium för automatiserad behandling för gemensam pensionsinformation. Förbundet utgår från att ett samtycke skall kunna lämnas genom att den enskilde på Internet redovisar sin inställning. Med hänsyn till kravet på samtycke ifrågasätter förbundet behovet av de kompletterande regler som föreslås. () tillstyrker att personuppgifter får lämnas ut på medium för automatiserad behandling för sammanställ- ning av gemensam pensionsinformation om den registrerade samtyckt till det. PRO framhåller att det är angeläget att enskilda kan få så god infor- mation som möjligt över sina samlade pensionsrättigheter och instämmer i den i promemorian redovisade uppfattningen att en säker metod för identifiering av den registrerade måste tillämpas för att ett utlämnande skall få ske. Skälen för regeringens förslag: I syfte att förbättra allmänhetens kunskaper och den enskildes möjligheter att skaffa sig en god bild av sin framtida pension har regeringen gett i uppdrag att redogöra för hur arbetet med att ta fram en portal på Internet för pen- sionsinformation, Pensionsportalen, fortskrider. Om en portal inte be- döms kunna genomföras genom samverkan på frivillig väg med andra parter skall verket även lämna förslag om hur en lagreglering av hur del- tagandet i en sådan portal skulle kunna utformas. Avsikten är att infor- mationen som lämnas via en portal skall bl.a. innefatta uppskattningar av den framtida totala pensionen under vissa antaganden om tillväxt, pen- sionsålder m.m. Målsättningen med Pensionsportalen är att ge en hel- täckande bild av individens samlade framtida ålderspensionsförmåner, inklusive de förmåner som utbetalas i anledning av såväl kollektivavtal som individuella avtal om pensionsförsäkring. Det är alltså frågan om en sammanställning för gemensam pensionsinformation. I ett första steg är dock avsikten att endast offentlig ålderspension och tjänstepensioner skall ingå. Avsikten är att den enskilde efter att via Internet ha kopplat upp sig mot den aktuella hemsidan och på ett säkert sätt identifierat sig genom en enkel funktion på hemsidan skall sända ut förfrågningar i elektronisk form till , och försäk- ringsbolag m.fl. som kan tänkas ha uppgifter att lämna om hans eller hennes framtida ålderspension. Enligt regeringens bedömning måste ett samtycke från den enskilde till det utlämnande det är fråga om kunna lämnas via Internet. De tillfrågade organen svarar sedan på förfrågning- arna genom automatiserad behandling på så sätt att en fil med individ- relaterad pensionsinformation sänds till den server som hanterar Pen- sionsportalen. Där sammanställs sedan automatiskt en översikt av den registrerades pensionssituation som baseras på uppgifterna från de olika organ från vilka uppgifter inhämtats. Den registrerade kan sedan via Internet ta del av översikten. I de fall individrelaterad pensionsinforma- tion på fil översänds från eller Premiepensions- myndigheten till en server som disponeras av ett annat organ är det emellertid utan tvivel frågan om utlämnande av personuppgifter på medium för automatiserad behandling. Däremot torde förfarandet inte kunna gå in under begreppet direktåtkomst. Något sådant utlämnande på medium för automatiserad behandling från eller är inte tillåtet enligt socialförsäkrings- registerlagen. Inte heller skulle ett sådant utlämnande av uppgifter vara tillåtet enligt den här föreslagna lagen om det inte fanns en särskild be- stämmelse som medgav att ett sådant utlämnande fick ske. I någon mening kan hävdas att informationen genom det beskrivna för- farandet egentligen inte lämnas ut till någon annan än den registrerade själv, eftersom sammanställningen sker automatiskt med hjälp av pro- gramvara på den server som hanterar Pensionsportalen. Utlämnandet skulle då kunna ske med stöd av den ovan föreslagna regeln som innebär att uppgifter om den registrerade själv alltid skall kunna lämnas ut till denne på medium för automatiserad behandling. är det egentli- gen inte de uppgifter som lämnas ut från , Premie- pensionsmyndigheten m.fl. som utlämnas till den registre- rade, utan det sker en viss bearbetning av dessa innan utlämnandet sker till den registrerade, vilket närmast talar för att det ursprungliga utläm- nandet från myndigheterna sker till annan än den registrerade. Reger- ingen föreslår därför en särskild regel om utlämnande av uppgifter till Pensionsportalen. har framfört ståndpunk- ten att förslaget i promemorian skulle vara beroende av någon viss tek- nisk lösning utan att över huvud taget precisera vad myndigheten bygger sin uppfattning på. Enligt regeringens bedömning kan det utlämnande av uppgifter som kommer att ske inte betecknas som direktåtkomst. Som Datainspektionen anmärkt är det ännu inte klarlagt vilket organ som kommer att bli huvudman för hanteringen av Pensionsportalen och såle- des vara mottagare av de uppgifter som hämtas in från olika håll. Om nå- gon av myndigheterna inom socialförsäkringens administration skulle komma att bli huvudman skulle det i fråga om de fall då den myndighe- ten tillför uppgifter för gemensam pensionsinformation kunna sägas att det inte är fråga om utlämnande på medium för automatiserad behand- Prop. 2002/03:135 ling. Emellertid torde Pensionsportalen även i sådant fall förutsätta en regel av det slag som föreslås när det gäller utlämnande av uppgifter från en annan myndighet inom socialförsäkringens administration. En grundläggande förutsättning för att ett utlämnande av uppgifter om offentlig pension skall få ske är emellertid att metoder för säker identifie- ring av den enskilde tillämpas vid uppkopplingen till den aktuella hemsi- dan. Detta gäller inte minst med hänsyn till att det inte kan uteslutas att sekretess kan gälla för vissa av de aktuella uppgifterna i förhållande till annan än den registrerade. Under denna förutsättning bör utlämnanden av det aktuella slaget tillåtas. Här föreslås därför en bestämmelse som med- ger utlämnande av uppgifter på det sätt som planeras. Närmare föreskrifter om vilka uppgifter som skall få lämnas ut på medium för automatiserad behandling för det här aktuella ändamålet bör lämnas av regeringen eller den myndighet regeringen bestämmer. 6.12.2Utökning av möjlighet till utlämnande av uppgifter för skadereglering Regeringens förslag: Personuppgifter som behövs för skadereglering skall få lämnas ut på medium för automatiserad behandling till organ som driver försäkringsrörelse. En förutsättning skall dock vara att den försäkrade samtyckt till att mottagaren får del av uppgifterna. Om utläm- nandet avser känsliga personuppgifter enligt 13 § personuppgiftslagen skall samtycket vara uttryckligt. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som skall få lämnas ut. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: tillstyrker förslaget om ut- lämnande av personuppgifter för skadereglering på medium för automa- tiserad behandling till organ som driver försäkringsrörelse. Verket anser dock att det bör förtydligas vad som menas med skadereglering. Vidare ifrågasätter verket användandet av uttrycket uttryckligen. I kommenta- ren till personuppgiftslagen sägs att det är något oklart vad som menas med att samtycket skall vara uttryckligt. Ett samtycke måste alltid till- komma på ett sådant sätt att en utomstående kan iaktta det, och sam- tycket måste då på något sätt vara uttryckligt. Enligt verkets uppfattning ger användningen av begreppet intryck av att något annat avses än då be- greppet samtycke används i personuppgiftslagen. Eftersom detta knap- past är avsikten bör begreppet samtycke användas i detta fall. välkomnar att personuppgifter skall få lämnas till försäk- ringsbolag på medium för automatiserad behandling. I detta sammanhang har förbundet inte något att erinra mot kravet på uttryckligt samtycke, men ifrågasätter behovet av kompletterande regler mot bakgrund av att samtycke från den registrerade krävs. akademikers centralorga- nisation () ställer sig bakom förslaget om utökade möjligheter till utlämnande av uppgifter för skadereglering. läns allmänna för- säkringskassa anför att det vore att föredra att överföring av personupp- gifter för skadereglering kunde ske utan den registrerades samtycke samt invänder mot den i promemorian redovisade uppfattningen att tillämp- ningsområdet för 20 kap. 9 a § lagen om allmän försäkring skulle kunna inskränkas som följd av förslagen i promemorian. anser att försla- gen om utökning av möjligheter till utlämnande av uppgifter för skadere- glering är invändningsfria och att ett genomförande av förslagen leder till administrativa förenklingar i kontakterna mellan och socialförsäk- ringens administration. Skälen för regeringens förslag: och försäk- ringskassorna lämnar regelbundet ut personuppgifter till olika försäk- ringsbolag, bl.a. till Sjukförsäkring och Trygghetsförsäkring, dels på medium för automatiserad behandling (när det gäller utlämnande av uppgifter till finns ett system för utlämnande av uppgifter på fil med fråga/svar-rutiner som utarbetats i samråd mellan och Riksför- säkringsverket), dels på papper. Utlämnandet sker med stöd av två be- stämmelser i lagen (1962:381) om allmän försäkring. I det ena fallet, som gäller överföring på medium för automatiserad behandling, sker behandlingen med stöd av en sekretessbrytande be- stämmelser i 20 kap. 9 a § lagen om allmän försäkring. Enligt denna be- stämmelse får en allmän försäkringskassa, och en domstol utan hinder av sekretess lämna ut uppgifter om sådana ersätt- ningar åt enskilda, som utbetalas enligt lagstiftningen om allmän försäk- ring eller arbetsskadeförsäkring eller enligt lagstiftning om annan jäm- förbar ekonomisk förmån för enskilda, under förutsättning att en försäk- ringsinrättning, ett försäkringsbolag eller en arbetsgivare behöver upp- giften för samordning med ersättning därifrån. Av 17 § socialförsäkrings- registerlagen följer att utlämnande på medium för automatiserad behand- ling i nu nämnda fall får ske av uppgifter som behövs för samordning. Övrigt utlämnande av personuppgifter sker med stöd av 18 kap. 2 § första stycket punkt 4 lagen om allmän försäkring, enligt vilken försäk- ringskassan skall lämna hjälp vid handhavandet av annan verksamhet enligt vad regeringen bestämmer. I beslut har regeringen föreskrivit att försäkringskassorna skall tillhandahålla AMF-Trygghets- försäkring vissa uppgifter i arbetsskadeärenden enligt anvisningar som utfärdas av RFV. AMF skall betala försäkringskassornas kostnader för verksamheten enligt grunder som kan överenskommas mellan RFV och AMF. RFV har med stöd av regeringsbeslutet utfärdat föreskrifter (RFFS 1979:20) om tillhandahållande av de aktuella uppgifterna. Trygghetsförsäkring och Sjukförsäkring (nedan anges bola- gen gemensamt under det gemensamma begreppet ) har vid kon- takter med aktualiserat frågan om inte allt utläm- nande av personuppgifter, alltså även sådant utlämnande som inte avser samordning av ersättning, skulle kunna ske på medium för automatiserad behandling. har därvid framhållit att man utöver behovet av upp- gifter för samordning har behov av en rad olika typer av uppgifter för annan skadereglering än samordning. För samordningsändamål behöver uppgifter om bl.a. insjuknandedag, ersättningshistorik, sjukpenning, livränta, arbetsoförmågans omfattning, rehabiliteringsersättning vid arbetsskada och sjukpenninggrundande inkomst. När det gäller annan skadereglering finns även behov av andra uppgifter. 20 kap. 9 a § lagen om allmän försäkring torde emellertid till följd av den i bestämmelsen angivna begränsningen till samordningsfall inte kunna omfatta ett utlämnande av uppgifter i flertalet av dessa fall. De framställningar som gjort om en utökning av möjligheterna till utlämnande av uppgifter på medium för automatiserad behandling aktualiserar en generell frågeställning om utlämnande av sådana person- uppgifter från socialförsäkringens administration som försäkringsgivare behöver för sin skadereglering. Även andra försäkringsgivare har lik- nande behov av uppgifter och får också ut uppgifter från socialförsäk- ringens administration. Det finns naturligtvis inte någon rimlig anledning att särbehandla i detta avseende. En utökning av möjligheterna att få ut uppgifter på medium för automatiserad behandling bör således avse försäkringsgivare i allmänhet. I effektivitetshänseende torde det vara en betydande fördel för såväl försäkringsgivare som socialförsäkringens administration att de person- uppgifter som socialförsäkringens administration förfogar över och som försäkringsgivare behöver för sin skadereglering i så stor utsträckning som möjligt lämnas ut på medium för automatiserad behandling. Inte minst gäller detta eftersom systemet med fråga/svar-rutiner torde inne- bära ett minimum av hantering. En utökning av möjligheterna att lämna ut uppgifter på medium för automatiserad behandling för skade- reglering måste förutsättas minska den hanteringen av person- uppgifter. De uppgifter som skulle kunna tänkas komma att lämnas ut på medium för automatiserad behandling vid en sådan förändring som påkallats av kan i vissa fall vara mycket integritetskänsliga.