prop · GQ03135 · 2003-06-05 00:00:00 — Regeringens proposition 2002/03:135 Behandling av personuppgifter inom Regeringen överlämnar denna proposition till . Regeringen föreslår en ny lag om behandling av personuppgifter inom socialförsäkringens administration. Den föreslagna lagen är en s.k. re- gisterlag, som utgör ett komplement till personuppgiftslagens (1998:204) bestämmelser om skydd för den personliga integriteten vid behandling av personuppgifter. Den nya lagen ersätter socialförsäkringsregisterlagen (1997:934). Den föreslagna lagen innehåller i huvudsak följande. Lagen skall tillämpas vid behandling av personuppgifter vid , de allmänna försäkringskassorna eller (socialförsäkringens administration). Lagen gäller dock endast om be- handlingen är helt eller delvis automatiserad eller om personuppgifter in- går i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda krite- rier. Bestämmelserna i lagen skall i vissa fall även gälla uppgifter om av- lidna personer. I lagen anges ändamål för behandling av personuppgifter. Ändamålen delas in i primära ändamål och sekundära ändamål. De pri- mära ändamålen avser behandling av personuppgifter för tillgodoseende av de behov som finns inom socialförsäkringens administration. De se- kundära ändamålen avser utlämnande av personuppgifter från myndig- heter inom socialförsäkringens administration. I lagen regleras behand- lingen av känsliga personuppgifter som avses i 13 § personuppgiftslagen respektive uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen. Den övergripande regleringen av de mer integritetskäns- liga typerna av behandlingar utgår från begreppet socialförsäkringsdata- basen. Socialförsäkringsdatabasen avser den samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom socialför- I syfte att möta de integritetsrisker som följer med ett ökat inslag av informationsteknik inom förvaltningen föreslås även vissa regler om ökad datasäkerhet. Tilldelning av behörighet för åt- komst till socialförsäkringsdatabasen skall endast ske genom en särskild handling. Behörighet för åtkomst till socialförsäkringsdatabasen skall alltid begränsas till den åtkomst till uppgifter som behövs för den enskil- des fullgörande av sina arbetsuppgifter. Vidare regleras direktåtkomst till uppgifter i socialförsäkringsdatabasen samt utlämnande av sådana upp- gifter på medium för automatiserad behandling. Känsliga personuppgif- ter eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § per- sonuppgiftslagen skall inte få användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Utan hinder av begränsningarna för sökning i den föreslagna lagen skall dock personuppgifter som rör hälsa få användas som urvalskriterium vid sammanställningar om reger- ingen har meddelat föreskrifter om det. Överföring av personuppgifter till tredje land som är nödvändig på grund av åtaganden i avtal om social trygghet som ingått med andra stater skall få ske utan hinder av 33 § personuppgiftslagen. I fråga om automatiserad behandling av per- sonuppgifter som omfattas av den nya lagen skall bestämmelserna om in- formation till den registrerade i 23 och 2527 §§ personuppgiftslagen tillämpas, dock med den begränsningen att uppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende inte behöver tas med i information enligt 26 § personuppgiftslagen om den registrerade tagit del av handlingens innehåll. Av informationen skall dock framgå vilka så- dana handlingar som behandlas. Om den registrerade begär det och anger vilken handling som avses skall dock informationen, om inte annat följer av bestämmelser om sekretess, även omfatta uppgifter i en sådan hand- ling. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Vid behandling av personuppgifter i strid med den nya lagen skall gälla en motsvarande skyldighet till skadestånd som en- ligt personuppgiftslagen gäller vid behandling av personuppgifter i strid med den lagen. Personuppgift som behandlas automatiserat skall gallras när det inte är längre är nödvändigt med hänsyn till de primära ändamå- len att bevara den. Regeringen eller den myndighet regeringen bestäm- mer får dock föreskriva att personuppgifter får bevaras för historiska, statistiska och vetenskapliga ändamål. De allmänna försäkringskassorna, och åläggs att genom särskilda åtgärder kontrollera efterlevnaden av den nya lagen, enligt vad som föreskrivs av regeringen eller den myndighet regeringen bestämmer. Lagen föreslås träda i kraft . Förslag till riksdagsbeslut.................................................................. Förslag till lag om behandling av personuppgifter inom Ärendet och dess beredning............................................................. Behandling av personuppgifter inom socialförsäkringens Uppgifterna för socialförsäkringens administration ......... 4.2Automatiserad behandling av personuppgifter inom socialförsäkringens administration .......................... Register som förs gemensamt för Register som förs särskilt för Register som förs särskilt för de Register som förs särskilt för Gällande rätt vid behandling av personuppgifter inom 5.1Grundläggande regler för behandling av personuppgifter finns i personuppgiftslagen..................... Socialförsäkringsregisterlagen (1997:934) ....................... En ny lag om behandling av personuppgifter inom Den nya lagens tillämpningsområde m.m......................... Utlämnande till organ utanför som har direktåtkomst..................................... Utlämnande till övriga organ .......................... Behandling av känsliga personuppgifter m.m. ................. uppgifter om lagöverträdelser m.m................. Generella regler om behandling av Generella regler om behandling av uppgifter om lagöverträdelser m.m. inom socialförsäkringens administration........ Behandling av personuppgifter i Endast personuppgifter som är relevanta för de primära ändamålen bör ingå i En regel om behandling av vissa kategorier av uppgifter i En särskild regel om inkomna Behörighet för behandling av Särskilda regleringar av utlämnande av uppgifter i registerlagstiftning ........................ Direktåtkomst till uppgifter och handlingar i socialförsäkringsdatabasen ......... 6.11Utlämnande av uppgifter på medium för Utlämnande får ske till den registrerade samt enligt de sekundära ändamålen .............. Utlämnande för direkt marknadsföring ........ Särskilt reglerade behandlingar....................................... Utökning av möjlighet till utlämnande av uppgifter för Begränsningar för vissa fall .......................... Sammanställningar av uppgifter ................... Överföring av personuppgifter till tredje land ................ Ikraftträdande- och övergångsbestämmelser .................. Konsekvenser av förslagen............................................................ Sammanfattning av förslagen i departements- promemorian En ny lag om behandling av administration (Ds 2002:60) ........................................... Lagförslag i departementspromemorian En ny lag om behandling av personuppgifter inom socialför- säkringens administration (Ds 2002:60) ......................... Förteckning över remissinstanser som avgett En ny lag om behandling av personuppgifter inom socialförsäkringens administration (Ds 2002:60) ........... Utdrag ur protokoll vid regeringssammanträde ......... 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till lag om behandling av personuppgifter inom socialförsäkringens administration. 2 Förslag till lag om behandling av Prop. 2002/03:135 personuppgifter inom socialförsäkringens Härigenom föreskrivs följande. 1 § Denna lag tillämpas vid behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersätt- ningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av , de allmänna försäkringskassorna eller (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Bestämmelserna i 715, 2425 och 28 §§ gäller i tillämpliga delar även uppgifter om avlidna personer. 2 § Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. 3 § I fråga om behandling av personuppgifter inom ramen för den offici- ella statistiken finns särskilda bestämmelser i lagen (2001:99) om den of- ficiella statistiken och i författningar som ansluter till den lagen. 4 § uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamhet som avses i 1 § utgör socialförsäk- ringsdatabasen. 5 § Personuppgiftslagen (1998:204) gäller vid behandling av personupp- gifter inom socialförsäkringens administration, om inte annat följer av denna lag eller föreskrifter som meddelas med stöd av denna lag eller av personuppgiftslagen. 6 § En myndighet inom socialförsäkringens administration är personupp- giftsansvarig för den behandling av personuppgifter som den utför. Ändamål för behandling av personuppgifter 7 § De allmänna försäkringskassorna, och får i sin verksamhet behandla personuppgifter om det är nödvändigt för att 1.återsöka vägledande avgöranden, 2.tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersätt- ningar som nämns i 1 § skall kunna bedömas eller fastställas, 3.informera om sådana förmåner och ersättningar som nämns i 1 §, 5.planera verksamhet samt genomföra resultatstyrning, resultatupp- följning, resultatredovisning, utvärdering och tillsyn av respektive verk- samhet, eller 6.framställa statistik avseende verksamhet enligt 4 och 5. Vid behandling för det ändamål som anges i första stycket 1 får inte uppgifter som direkt pekar ut den registrerade användas. 8 § Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas av de allmänna försäkringskassorna och för tillhandahållande av information som behövs 1.som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av och arbetslöshetskassorna, 2.för samordning av tjänstepensioner i den verksamhet som bedrivs av och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner, eller 3.för handläggning av ärenden hos där regler om statens tjänstegrupplivförsäkring skall tillämpas. De allmänna försäkringskassorna, och får även behandla personuppgifter som behandlas för ändamål som anges i 7 § för att tillhandahålla information utanför den egna myndigheten på grund av 1.sådan bestämmelse om skyldighet att lämna ut uppgifter till andra myndigheter som avses i 14 kap. 1 § andra meningen sekretesslagen (1980:100), 2.sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning, 3.sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen, eller 4.åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet eller i avtal om social trygghet eller utgivande av sjukvårdsförmå- ner som ingått med andra stater. 9 § I fråga om behandling av personuppgifter för annat ändamål än vad som anges i 7 och 8 §§ gäller 9 § första stycket d och andra stycket per- sonuppgiftslagen (1998:204). Behandling av känsliga personuppgifter m.m. 10 § Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) (känsliga personuppgifter) får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Känsliga per- sonuppgifter får vidare behandlas för något av de ändamål som anges i 7 § första stycket 1 eller 8 § om det är nödvändigt med hänsyn till ända- målet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ända- mål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har be- handlats för något av de ändamål som anges i 7 § första stycket 24. 11 § Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) får behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen får behandlas för något av de ändamål som anges i 7 § första stycket 1 eller 8 § om det är nödvändigt med hänsyn till ändamålet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen behandlas som enligt 14 § får behandlas i socialförsäkrings- databasen. Utöver vad som följer av första stycket första meningen och andra stycket får sådana uppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lagöverträdelser än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 24. 12 § I 14 § finns särskilda bestämmelser om behandling i socialförsäk- ringsdatabasen av känsliga personuppgifter och uppgifter om lagöverträ- delser m.m. som avses i 21 § personuppgiftslagen (1998:204). Behandling av personuppgifter i socialförsäkringsdatabasen 13 § I socialförsäkringsdatabasen får endast sådana personuppgifter be- handlas som avser personer som omfattas eller har omfattats av verk- samhet enligt de ändamål som anges i 7 § eller personer om vilka upp- gifter på annat sätt behövs för handläggningen av ett ärende. 14 § För de ändamål som anges i 79 §§ får, med beaktande av de be- gränsningar som följer av 7 och 13 §§, i socialförsäkringsdatabasen be- handlas identifierings- och adressuppgifter. Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får utöver vad som anges i 15 § behandlas i socialförsäkringsdatabasen bara om det särskilt anges i lag eller förordning. För sådan behandling gäller de begränsningar som följer av 10 och 11 §§. Regeringen eller den myndighet regeringen be- stämmer meddelar föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen. 15 § Uppgifter i en handling som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkringsdatabasen, om uppgifterna är nödvändiga för ärendets handläggning. 16 § Behörighet för åtkomst till socialförsäkringsdatabasen skall inom socialförsäkringens administration tilldelas genom en särskild handling i enlighet med vad som föreskrivs av regeringen eller den myndighet re- geringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas till vad som behövs för att den enskilde skall kunna fullgöra sina arbets- uppgifter. 17 § Direktåtkomst till socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i lag eller förordning. 18 § De allmänna försäkringskassorna, och Pre- miepensionsmyndigheten får ha direktåtkomst till socialförsäkringsdata- basen i den utsträckning det behövs för de ändamål som anges i 7 och 8 §§. Sådan direktåtkomst skall vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om direktåtkomst som avses i första stycket. 19 § och det för kommunerna och landstingen ge- mensamma organet för administration av personalpensioner får ha di- rektåtkomst till socialförsäkringsdatabasen för samordning av tjänstepen- sioner med socialförsäkringsförmåner. får ha direktåtkomst till socialförsäkringsdata- basen för handläggning av ärenden där regler om statens tjänstegruppliv- försäkring skall tillämpas. Bestämmelserna i 16 § och 18 § första stycket andra meningen gäller också för pensionsverket och det gemensamma organet. Regeringen eller den myndighet regeringen bestämmer meddelar före- skrifter om vilka uppgifter direktåtkomst enligt första och andra stycket får omfatta. 20 § och arbetslöshetskassorna får ha di- Prop. 2002/03:135 rektåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för ändamål som anges i 8 § första stycket 1. Regeringen meddelar föreskrifter om vilka uppgifter direktåtkomst en- ligt första stycket får omfatta. Utlämnande på medium för automatiserad behandling 21 § Personuppgifter i socialförsäkringsdatabasen som får lämnas ut till den registrerade får lämnas ut till denne på medium för automatiserad behandling. Personuppgifter i socialförsäkringsdatabasen får i övrigt lämnas ut på medium för automatiserad behandling endast om det behövs för något av de ändamål som anges i 8 §. 22 § Personuppgifter i socialförsäkringsdatabasen får lämnas ut på me- dium för automatiserad behandling för sammanställning av gemensam pensionsinformation om den registrerade uttryckligen samtyckt till ut- lämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första stycket. 23 § Personuppgifter som behövs för skadereglering får lämnas ut på medium för automatiserad behandling till organ som driver försäkrings- rörelse om den registrerade uttryckligen samtyckt till utlämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första stycket. 24 § Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialför- säkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet regeringen bestämmer meddelar före- skrifter om begränsningar i övrigt för vilka sökbegrepp som får använ- das. 25 § Utan hinder av de begränsningar för sökning som anges i 24 § får personuppgifter som rör hälsa användas som urvalskriterium vid sam- manställningar om regeringen har meddelat föreskrifter om det. Överföring av personuppgifter till tredje land 26 § Överföring av personuppgifter till tredje land på grund av åtaganden i avtal om social trygghet som ingått med andra stater får ske utan hinder av 33 § personuppgiftslagen (1998:204). 27 § Personuppgifter i handlingar som kommit in i ett ärende eller upp- rättats i ett ärende behöver inte tas med i information enligt 26 § person- uppgiftslagen (1998:204) om den registrerade tagit del av handlingens innehåll. Av informationen skall det dock framgå vilka sådana hand- lingar som behandlas. Om den registrerade begär information om upp- gifter i en sådan handling och anger vilken handling som avses, skall dock informationen omfatta dessa uppgifter, om inte annat följer av be- stämmelser om sekretess. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. 28 § Personuppgifter som behandlas automatiserat skall gallras när de är nödvändiga för de ändamål som anges i 7 §. Regeringen eller den myndighet regeringen bestämmer får dock med- dela föreskrifter om att personuppgifter får bevaras för historiska, statis- tiska och vetenskapliga ändamål. 29 § Avgifter får tas ut för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen enligt de närmare föreskrifter som meddelas av regeringen eller den myndighet regeringen bestämmer. Rätten att ta ut avgifter enligt första stycket får inte innebära inskränk- ning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. 30 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. 31 § De allmänna försäkringskassorna, och Premie- pensionsmyndigheten skall genom särskilda åtgärder kontrollera ef- terlevnaden av denna lag enligt vad som föreskrivs av regeringen eller den myndighet regeringen bestämmer. 32 § Den som genom sin befattning med personuppgifter som inhämtats från socialförsäkringsdatabasen till det för kommunerna och landstingen gemensamma organet för administration av personalpensioner får känne- dom om uppgifter om enskildas ekonomiska och personliga förhållanden får inte obehörigen röja dessa uppgifter. 33 § En myndighets beslut om rättelse eller om avslag på ansökan om in- formation enligt 26 § personuppgiftslagen (1998:204) får överklagas hos Andra beslut enligt denna lag får inte över- Prövningstillstånd krävs vid överklagande till kammarrätten. 1.Denna lag träder i kraft , då socialförsäkrings- registerlagen (1997:934) upphör att gälla. 2.Bestämmelserna i denna lag skall inte tillämpas före i fråga om sådan behandling av personuppgifter som på- börjats före eller behandling av personupp- gifter som utförs för ett visst ändamål om behandling för ända- målet påbörjats före . 3.Den nya lagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som ett yrkande om skadestånd grundas på har in- träffat efter det att den nya lagen har trätt i kraft. I annat fall tillämpas de äldre bestämmelserna. Ärendet och dess beredning trädde vissa ändringar av socialförsäkringsregister- lagen (1997:934) i kraft. Ändringarna utgjorde resultatet av en begränsad översyn av lagen i syfte att anpassa den till den generellt tillämpliga per- sonuppgiftslagen. I propositionen som låg till grund för ändringarna av lagen (prop. 2000/01:69) anmärktes särskilt att de framlagda förslagen utgjorde endast en begränsad översyn i syfte att anpassa socialförsäk- ringsregisterlagen till personuppgiftslagen samt att regeringen hade för avsikt att påbörja en översyn av registerlagstiftningen inom socialförsäkringens administration i ett vidare perspektiv. Den i propositionen aviserade översynen har bedrivits i projektform i . Arbetet i projektet har resulterat i en departements- promemoria En ny lag om behandling av personuppgifter inom social- försäkringens administration (Ds 2002:60). I promemorian föreslås en ny lag om behandling av personuppgifter inom socialförsäkringens admi- nistration som avses ersätta socialförsäkringsregisterlagen. En sammanfattning av promemorians förslag finns i bilaga 1. Prome- lagförslag finns i bilaga 2. Promemorian har remissbehandlats. I bilaga 3 finns en förteckning över remissinstanserna. Remissvaren och en remissammanställning finns tillgänglig i (dnr S2003/741/SF).