prop · GQ03135 · 2003-06-05 00:00:00 — Prövningstillstånd krävs vid överklagande till kammarrätten. Slutligen innehåller socialförsäkringsregisterlagen en bestämmelse om att regeringen eller den myndighet regeringen bestämmer får meddela säkerhetsföreskrifter för socialförsäkringsregister. 6En ny lag om behandling av personuppgifter inom socialförsäkringens administration överväganden och förslag Den snabba utvecklingen inom informationstekniken innebär i sig att de ramar till skydd för integriteten som ställs upp i lagstiftningen behöver anpassas för att garantera såväl ett fullgott integritetsskydd som en effektiv användning av tekniken. Ett exempel är utvecklingen av och övergången till system för elektro- niska akter för hantering av ärenden hos förvaltningsmyndigheter. Ett så- dant system innebär att dokumentation av personuppgifter m.m. på pap- per helt upphör. I stället lagras alla uppgifter i ett ärende på någon form av medium för automatiserad behandling. Detta innebär att även känsliga uppgifter behöver lagras och behandlas elektroniskt i större utsträckning än vad som är fallet i ett huvudsakligen pappersbaserat aktsystem. Den nya tekniken innebär även att tekniska förutsättningar föreligger för ett effektiviserat informationsutbyte genom överföring på medium för automatiserad behandling mellan myndigheter respektive mellan myn- digheter och andra aktörer. Detta kan i sin tur innebära bättre förutsätt- ningar för en effektiviserad handläggning eftersom information i sådana fall direkt kan användas i automatiserad behandling. Den grundläggande ambitionen bakom de förslag som lämnas är att med utgångspunkt i personuppgiftslagen och dataskyddsdirektivet samt de särskilda integritetsrisker som finns på området utforma en reglering som garanterar ett fullgott integritetsskydd och innebär en lämplig avvägning mellan intresset av skydd för enskildas personliga in- tegritet och andra intressen. Däribland kan nämnas intresset av effektivi- sering av myndigheternas handläggning av ärenden genom ianspråk- tagande av den nya tekniken. En annan faktor som beaktats är att rimliga förutsättningar bör ges för en utvecklad uppföljning och analys av ut- vecklingen inom ohälsoområdet. Regeringens förslag: Automatiserad behandling av personuppgifter inom socialförsäkringens administration skall regleras särskilt i lag. Lagen skall ges namnet lag om behandling av personuppgifter inom socialförsäkringens administration. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser har inte yttrat sig särskilt i frågan om särskild författningsreglering, men allmänt tillstyrkt de för- slag som lämnats i promemorian. ifrågasät- ter behovet av en särskild registerförfattning för ålderspensionsområdet, bl.a. med hänsyn till att de personuppgifter som förekommer inom ålderspensionssystemet relativt sett får anses mindre skyddsvärda utifrån integritetssynpunkt än de personuppgifter som förekommer inom andra delar av socialförsäkringens administration. Enligt myndighetens mening ger dessutom personuppgiftslagen ett mer generellt skydd i samband med behandling av personuppgifter jämfört med tidigare lagstiftning. Genom den prövning som ska göras i fråga om den sökandes behandling står i strid med personuppgiftslagen finns det vidare enligt myndighetens me- ning ett effektivt skydd för den personliga integriteten vid alla utlämnanden av personuppgifter enligt 2 kap. tryckfrihetsförord- ningen. Enligt myndighetens uppfattning skapas det onödiga hinder ge- nom den reglering som föreslås och myndigheternas ambitioner att ut- veckla 24-timmarsmyndigheten försvåras. Datainspektionen anför att ut- trycket socialförsäkringens administration snarare för tanken till sådan rent administrativ verksamhet som inte på något sätt omfattar sådan be- handling av personuppgifter som avser själva kärnverksamheten och som faller inom lagens tillämpningsområde. Skälen för regeringens förslag: Inom socialförsäkringens administ- ration behandlas en mängd uppgifter om i stort sett alla fysiska personer i och dessutom ett stort antal personer som är bosatta utomlands. Personuppgifterna som behandlas är i många fall av integritetskänslig natur. Särskilda författningar som reglerar särskilt känsliga behandlingar av personuppgifter innebär bättre förutsättningar för en ändamålsenlig ut- formning av integritetsskyddet. Sådan författningsreglering av person- register har skett utifrån det principiella ställningstagandet att myndig- hetsregister med ett stort antal registrerade personer och ett integritets- känsligt innehåll bör vara reglerade i lag (prop. 1990/91:60 om offentlig- het, integritet och ADB, s. 56 ff. och bet. 1990/91:KU11 s. 11), vilket också framhölls i förarbetena till personuppgiftslagen (prop. Därmed är inte sagt att skäl saknas för att i lag reglera en offentlig verksamhets behandling av personuppgifter även i de fall det inte är fråga om en verksamhet med stora inslag av behandling av i sig integritets- Om en verksamhet innefattar behandling av ett stort antal kategorier mindre integritetskänsliga uppgifter som samlats in för ett bestämt ändamål, kan just möjligheterna att för nytillkomna syften göra omfattande sammanställningar av uppgifter som var och en för sig kan betecknas som harmlös sammantaget innebära betydande risker för den personliga integriteten. Detta utgör enligt regeringens mening ett tungt vägande skäl för att i en särskild lag reglera en sådan verksamhet, med de ökade möjligheter till särskilda överväganden och lösningar som detta medför i förhållande till alternativet att inte ha någon registerför- fattning. En grundläggande princip i dataskyddsdirektivet och personuppgifts- lagen är att behandling av personuppgifter inte får vara oförenlig med de ändamål för vilka de samlats in. Ändamålen ges alltså en mycket central roll i såväl dataskyddsdirektivet som personuppgiftslagen, vilket med styrka talar för att ändamålen för behandlingen av personuppgifter inom en sådan verksamhet som ålderspensionssystemet bör regleras i lag. Där- utöver bör även de grundläggande begränsningar som skall gälla för be- handling av personuppgifter anges i lag. Ytterligare ett område som bör regleras i lag är frågan om personuppgiftsansvar och därmed samman- hängande frågor. Regeringen anser således att den behandling av personuppgifter som sker inom socialförsäkringens administration i sin helhet är av sådan ka- raktär och omfattning att de grundläggande principerna för hur person- uppgifterna får behandlas bör i likhet med vad som gäller regle- ras i lag. Vid utformningen av en ny författningsreglering som garanterar ett fullgott integritetsskydd bör emellertid en utgångspunkt vara att den i största möjliga utsträckning möjliggör successiva förändringar i syste- men utan att hela regelverket behöver ändras. Den lagstiftning som regle- rar behandlingen av personuppgifter måste alltså så långt intresset av ett fullgott integritetsskydd tillåter det vara teknikoberoende och flexibel, för att inte hindra den effektivisering av verksamheterna som pågår. kompletterade den generellt tillämpliga datalagen socialför- säkringsregisterlagen. är det personuppgiftslagen som fyller ut där det inte finns några särskilda bestämmelser i socialförsäkringsregis- terlagen. När personuppgiftslagens huvudsakliga reglering fullt ut trädde i kraft medförde detta betydande förändringar vad avser de rättsliga förutsättningarna för att behandla personuppgifter. Nu- mera regleras i princip all behandling av personuppgifter av personupp- giftslagen, såvida det inte finns en särskild registerförfattning som gäller för viss behandling av personuppgifter. Behovet av förändringar i förhållande till den nu gällande socialförsäk- ringsregisterlagen bedöms vara så stora att en ny lag bör införas. Den nya lagen föreslås få namnet lag om behandling av personuppgifter inom so- cialförsäkringens administration, vilket anknyter till ett inom socialför- säkringen etablerat språkbruk. 6.3Den nya lagens tillämpningsområde m.m. Regeringens förslag: Den föreslagna lagen skall tillämpas vid behand- ling av personuppgifter i den verksamhet avseende socialförsäkringsför- måner samt andra förmåner och ersättningar som enligt lag eller förord- ning eller särskilt beslut av regeringen ankommer på Riksförsäkringsver- ket, de allmänna försäkringskassorna eller (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i lagen om bl.a. ändamål, känsliga personuppgifter, databas, sökning av uppgifter och gallring skall i tillämpliga delar även gälla uppgifter om avlidna personer. Behandling av personuppgifter som enligt den föreslagna lagen är tillåten oberoende av den registrerades samtycke skall få utföras även om han eller hon motsätter sig behandlingen. I den föreslagna lagen skall ett förtydligande anges vad beträffar förhållandet till behandling av personuppgifter inom ramen för den officiella statistiken. uppgifter som med hjälp av automatiserad behandling används gemensamt inom socialförsäkringens administration skall be- nämnas socialförsäkringsdatabasen. Promemorians förslag: Överensstämmer i princip med regeringens. Remissinstanserna: anför att beskrivningen av gränsdragningen för lagens tillämpningsområde bör förtydligas med fler exempel på i vilka situationer respektive lag kan bli tillämplig. Enligt verkets uppfattning är det vidare inte lämpligt att i den nya lagen be- gränsa räckvidden för vissa bestämmelser i lagen om den officiella stati- stiken (2001:99) utan att en ändring görs i den lagen. Verket föredrar vi- dare att verkets framställning av annan statistik än den officiella statisti- ken regleras i lagen om den officiella statistiken, eftersom det inte kan uteslutas att den nya lagen begränsar möjligheterna att framställa annan statistik. och läns allmänna försäk- ringskassa anser att det är bra att den föreslagna lagen även gäller be- handling av uppgifter om avlidna personer. allmänna försäkringskassa anser att det hade varit önskvärt med en viss vägledning i fråga om vilken slags hantering av personuppgifter som faller in under lagens tillämpningsområde. läns allmänna för- säkringskassa m.fl. anför att det vore till stor fördel om det i förarbetena till den nya lagen tydligt framgick att den lagen är tillämplig även i fråga om användning av administrativa databaser som Agresso för verkställ- ning av utbetalning av ersättning till försäkrade eller betalning till en le- verantör vid köp av en tjänst eller mottagning av inbetalningar från för- säkrade. Datainspektionen har gjort gällande att 2 § personuppgiftslagen innebär att den lagen endast kan åsidosättas genom bestämmelser i lag eller förordning, dvs. inte genom myndighetsföreskrifter, och föreslår att lydelsen eller föreskrifter som meddelats i enlighet med denna lag eller med stöd av personuppgiftslagen i 4 § i den föreslagna lagen skall tas Vidare anför inspektionen att det vore önskvärt att det inledningsvis i den föreslagna lagen anges vilka bestämmelser i personuppgiftslagen som skall tillämpas. Statskontoret finner att förhållandet mellan den före- slagna lagen och personuppgiftslagen utformats på ett genomtänkt sätt. har inte något att erinra mot förslaget om i vilken ut- sträckning personuppgiftslagen skall vara tillämplig. Däremot föreslår verket att de bestämmelser i personuppgiftslagen som skall vara tillämp- liga anges genom uttrycklig hänvisning i den föreslagna lagen. Stats- kontoret tillstyrker förslaget att frångå registerbegreppet till förmån för det mer tidsenliga och korrekta uttrycket socialförsäkringsdatabasen. anför att övergången från registerbegreppet till databasbegreppet öppnar för en mer flexibel handläggning över kassa- gränserna. läns allmänna försäkringskassa ansluter sig till tanken att överge det s.k. registerbegreppet och i stället utgå från begrep- pet socialförsäkringsdatabasen. Detta skapar enligt kassan större flexibi- litet vid tekniska förändringar och är mera anpassat till bestämmelserna i personuppgiftslagen. Skälen för regeringens förslag Från socialförsäkringsregister till behandling av personuppgifter Regeringen föreslår att den nya lagen skall tillämpas vid behandling av personuppgifter i den verksamhet avseende socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen ankommer på , de allmänna försäkringskassorna eller (social- försäkringens administration). Lagen skall dock endast gälla om behand- lingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förslaget till reglering av tillämpningsområdet har utformats så att detta, i högre grad än vad som gäller enligt socialförsäkringsregister- lagen, genom att bygga på det i personuppgiftslagen (1998:204) använda begreppet behandling av personuppgifter ansluter till tillämpningsom- rådet för personuppgiftslagen. Socialförsäkringsregisterlagen är utformad med utgångspunkt i begreppet personregister, som kan härledas till datalagen (1973:289). Med personregister avsågs enligt datalagen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Registerbegreppet har kritiserats. Främst har kritiken avsett att registerbegreppet för tankarna till på visst sätt organi- serade eller systematiserade samlingar av uppgifter, som detta kan sägas vara ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. lagras helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effek- tiv hantering av uppgifterna för olika sammanställningar. Viktigast kan- ske det dock är att datorsystemen inom exempelvis myndigheter alltmer innefattar integrering av olika funktioner, löpande text och uppgiftssam- lingar och att således register i traditionell mening endast utgör en del av Prop. 2002/03:135 systemen. Givetvis innebär det föreslagna tillämpningsområdet att per- sonregister i socialförsäkringsregisterlagens mening omfattas av regler- ingen. Liksom socialförsäkringsregisterlagen och personuppgiftslagen bör den föreslagna lagen även omfatta viss behandling av personuppgif- ter, nämligen om de behandlade uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Eftersom den fö- reslagna lagens tillämpningsområde i denna del ansluter till personupp- giftslagens tillämpningsområde kan ledning för bedömningar av vilka behandlingar som omfattas sökas i förarbeten, doktrin och praxis rörande personuppgiftslagens bestämmelser, se t.ex. RÅ 2001 ref. 35. Enligt punkt 3 i övergångsbestämmelserna till personuppgiftslagen skall vissa av bestämmelserna i den lagen inte börja tillämpas förrän i fråga om sådan behandling av personuppgifter som påbörjats före ikraftträdandet eller be- handling av personuppgifter som utförs för ett visst bestämt ändamål om behandling för ändamålet påbörjats före ikraftträdandet. Person- uppgiftslagen är alltså tillämplig i fråga om sådan behandling av det slag som omfattas av lagen och som inletts eller . Övergångsbestämmelserna till de ändringar av socialförsäkringsregis- terlagen som medförde att även den lagen är tillämplig i fråga om vissa personregister innebar en motsvarande ordning, dvs. endast personregister som enligt vad som beskrivits ovan är undan- tagna från tillämpningen av personuppgiftslagen undantogs från tillämp- ningen av vissa regler i socialförsäkringsregisterlagen för tiden fram till . En motsvarande regel föreslås nu i den nya lagen. Den skall alltså från ikraftträdandet vara tillämplig på sådan behandling av personuppgifter som omfattas av personuppgiftslagen och som påbörjats eller . Sådan behand- ling av personuppgifter som enligt övergångsbestämmelserna till person- uppgiftslagen är undantagen från tillämpning av vissa regler fram till skall också vara undantagen från tillämpning av reglerna i den nu föreslagna lagen fram till . Kärnverksamhet och annan verksamhet Den kärnverksamhet som bedrivs av , de allmänna försäkringskassorna respektive tar sikte på administrationen av de förmåner m.m. som normalt går in under begrep- pet socialförsäkring. Det är också kärnverksamheten som tillämpnings- området för den föreslagna lagen i första hand omfattar. Definitionen av tillämpningsområdet i den föreslagna lagen tar sikte på behandling av personuppgifter i verksamhet som gäller socialförsäkrings- förmåner samt vissa andra förmåner eller ersättningar. Härigenom av- gränsas tillämpningsområdet i förhållande till rent administrativ verk- samhet utan någon koppling till förmånssystemet. Inom ramen för verk- samheterna hos de olika myndigheterna förekommer naturligtvis utöver den egentliga kärnverksamheten även en omfattande administrativ verk- samhet med avseende på den egna personalen, lokal- och materialför- sörjning m.m. I sådan verksamhet föreligger emellertid i regel inte en så- dan koppling till hantering av socialförsäkringsförmåner eller andra för- måner eller ersättningar att förekommande behandlingar av personupp- gifter kan anses hänförliga till den nya lagens tillämpningsområde. Na- turligtvis är personuppgiftslagen (1998:204) tillämplig i fråga om sådan administrativ verksamhet. Detta innebär dock på intet sätt någon begränsning av den föreslagna lagens tillämpningsområde till behandling av personuppgifter för endast sådana syften som tar sikte på kärnverksamheten inom socialförsäkring- ens administration. Även sådan behandling som utlämnanden av person- uppgifter till andra myndigheter etc. för syften som inte har direkt kopp- ling till handläggning av ärenden eller andra ändamål med sikte på behov inom socialförsäkringens administration omfattas av lagen. Av definitionen av den föreslagna lagens tillämpningsområde följer alltså en avgränsning i förhållande till den rent administrativa verksam- heten. Automatiserad behandling av personuppgifter för behörighetskon- troll, lagring av telefonnummer, passersystem, löneutbetalning, flextid, förslagsverksamhet m.m. kan hänföras till sådan rent administrativ verk- samhet som enbart avser exempelvis anställningsförhållanden m.m. och som det saknas anledning att reglera särskilt i en registerlag. I sådana fall är enbart personuppgiftslagen tillämplig i fråga om behandlingen. Det- samma gäller naturligtvis även behandling av personuppgifter som har sin grund i myndigheternas köp av tjänster eller varor. I de fall register eller programvara för administrativa rutiner såsom in- eller utbetalningar, exempelvis AGRESSO, används vid transaktioner som har sin grund i rättigheter eller skyldigheter i förmånssystemet omfattas dock behand- lingen av personuppgifter av den föreslagna lagen. När det gäller behand- ling av uppgifter för administrativ verkställighet i form av utbetalning, uppföljning eller utvärdering av handläggningen av de olika förmånss- lagen inom socialförsäkringen omfattas alltså behandlingen av den före- slagna lagen. Vid exempelvis integrering av funktioner för administrativ uppföljning av verksamheten i system för ärendehantering, kan det exempelvis före- komma gemensam behandling av uppgifter som är hänförliga till såväl kärnverksamheten som till den administrativa uppföljningen. Exempel på uppgifter av det senare slaget är uppgifter om vem som är ansvarig för ett visst ärende eller om vem som faktiskt utfört hand- läggningen av ett ärende m.m. Sådan administrativ uppföljning får ske med stöd av de i den föreslagna lagen angivna primära ändamålen. I så- dana fall är såväl personuppgiftslagen som de tillämpliga reglerna i den nu föreslagna lagen tillämpliga. Uppgifter om avlidna omfattas i vissa fall Socialförsäkringsregisterlagen är till skillnad från personuppgiftslagen tillämplig även i fråga om uppgifter som är hänförliga till avlidna perso- Ett skäl till detta är att det inom den verksamhet som bedrivs av socialförsäkringens administration förekommer en mängd uppgifter som är hänförliga till avlidna (se prop. 2000/01:69 s. 19 f.). I fråga om upp- gifter om avlidna personer har det vid utarbetandet av personuppgifts- lagen ansetts att integritetsintresset inte gör sig gällande på sådant sätt att dessa uppgifter bör omfattas av lagen (se SOU 1997:39 s. 337). sig dock alltjämt motiverat att vissa av de nu föreslagna reglerna omfattar även uppgifter om avlidna. Undantag från rätten att motsätta sig behandling Den registrerade skall enligt dataskyddsdirektivet i vissa fall, bl.a. när det gäller en behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgiften har lämnats ut, ha rätt att motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. lagen finns en bestämmelse om att en registrerad med ett par undantag inte har rätt att motsätta sig sådan behandling som är tillåten enligt per- Det finns behov av att i den utsträckning som anges i den föreslagna lagen kunna behandla personuppgifter inom socialförsäk- ringens administration oberoende av den registrerades inställning. bör det föreskrivas att sådan behandling av personuppgifter som enligt den föreslagna lagen får ske oberoende av den registrerades samtycke får utföras även om den registrerade motsätter sig behandlingen. Förtydligande vad avser den officiella statistiken En del av verksamhet rörande socialförsäkrings- förmåner utgörs av framställning av delar av den officiella statistiken. För denna verksamhet finns särskilda bestämmelser om behandling av personuppgifter i lagen (2001:99) om den officiella statistiken och till den lagen anslutande författningar. Den föreslagna lagen bör därför inte vara tillämplig i fråga om sådan verksamhet. Ett förtydligande av detta bör tas in i den föreslagna lagen. Av 1 § tredje stycket lagen (2001:99) om den officiella statistiken framgår att vissa bestämmelser i den lagen som rör behandling av käns- liga personuppgifter m.m. och om gallring skall tillämpas även vid fram- ställning av annan statistik än officiell hos en statistikansvarig Det är fråga om följande bestämmelser. myndighet får behandla personuppgifter för framställning av statistik. Känsliga personuppgifter och uppgifter om lagöverträdelser får dock behandlas bara om det följer av föreskrifter som regeringen meddelat. Däremot får behandlingen omfatta även uppgift om personnummer. statistikansvariga myndigheten är personuppgiftsansvarig enligt Personuppgifter skall gallras hos de statistik- ansvariga myndigheterna när uppgifterna inte längre behövs för Regeringen eller den myndighet som regeringen bestämmer får dock under vissa förutsättningar föreskriva om undantag från denna skyl- dighet. Material som inte gallras skall lämnas över till en arkivmyndighet. I lagrådsremissen föreslogs en bestämmelse om att den nämnda regeln i 1 § tredje stycket lagen om den officiella statistiken inte skall gälla i fråga om framställning av statistik inom socialförsäkringens administra- tion. Vad gällde synpunkt om att en sådan bestämmelse borde föranleda en ändring av bestämmelserna i lagen om den officiella statistiken konstaterade regeringen i remissen att en sådan ändring förutsätter en bredare översyn än vad som är möjligt i förevarande lagstiftningsärende.