prop · GQ03135 · 2003-06-05 00:00:00 — Sådana kom- pletteringar öppnar för goda utvecklingsmöjligheter vad beträffar sam- verkan mellan verket och när det gäller samverkan i syfte att uppnå en effektivare användning av tillgängliga resurser inom rehabiliteringsområdet. läns allmänna försäkringskassa anser att regeringen eller den myndighet regeringen bestämmer skall ges möjlighet att komplettera den i lagen intagna uppräkningen av olika kategorier av uppgifter som får behandlas. Skälen för regeringens förslag: Behandling av personuppgifter i socialförsäkringsdatabasen kännetecknas av att åtkomsten till uppgifterna inte är förbehållen ett fåtal personer. I vissa fall kan ett relativt stort antal personer komma att ta del av en enskild uppgift. Enligt regeringens upp- fattning påkallar det särskilda begränsningar när det gäller behandling av känsliga personuppgifter och sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen. Det är alltså i fråga om socialför- säkringsdatabasen inte tillräckligt att, såsom föreslagits av Riksförsäk- ringsverket, endast på ett mer övergripande sätt begränsa möjligheterna att behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Av integritetsskyddsskäl föreslås därför en begränsningsregel som innebär att känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) endast skall få behandlas i socialförsäkringsdatabasen i de fall de finns i en handling som upprättats i ett ärende och är nödvändiga för ärendets handläggning eller i en handling som kommit in i ett ärende eller om det särskilt anges i lag eller i förordning. Lagrådet har anfört att det är svårt att av en sådan regel som föreslagits i remissen, med en detaljerad uppräkning av kategorier som skall vara tillåtna att behandla i socialförsäkringsdatabasen, sluta sig till att uppräkningen inte är uttömmande på det sätt som avsetts enligt vad som förutsatts i remissen. Lagrådet framhåller även att det från rättssys- tematisk utgångspunkt är inkonsekvent och främmande att i en författ- ning som kan sägas vara ramlagsbetonad foga in en så starkt detaljpräg- lad reglering. Regeringen föreslår mot bakgrund av Lagrådets synpunkter att den föreslagna uppräkningen av kategorier av personuppgifter som skall få behandlas i socialförsäkringsdatabasen lyfts bort från lagtexten och i stället tas in i förordning. Vid en sådan utformning av regleringen uppkommer inte den problematik som Lagrådet påtalat. Genom den föreslagna lösningen uppnås ett integritetsskydd som i princip motsvarar vad som gäller enligt socialförsäkringsregisterlagen. Eftersom förslaget innebär att känsliga personuppgifter och uppgifter om lagöverträdelser m.m. får behandlas i socialförsäkrings- databasen om det särskilt medges i lag eller förordning öppnas dock en möjlighet för regeringen att i en förordning medge att sådana kategorier av uppgifter får behandlas. En sådan möjlighet att komplettera lagstift- ningen med medgivanden att behandla känsliga personuppgifter m.m. i socialförsäkringsdatabasen är nödvändig med hänsyn till de stora svårig- heter som föreligger för att i ett lagstiftningsärende i förväg fullständigt bedöma behovet av behandling av sådana uppgifter. Möjligheten att i föreskrifter medge att ytterligare kategorier av uppgifter får behandlas bör inte delegeras till myndighetsnivå. Självklart gäller att de generella begränsningar som gäller för behandlingen av sådana uppgifter inom socialförsäkringens administration måste beaktas vid utarbetandet av så- dana förordningar som avses. Regeringen eller den myndighet regeringen bestämmer bör dock få meddela föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen. Regeringen delar Lagrådets uppfattning att den i remissen föreslagna upplysningen i lagtexten om att regeringen eller den myndighet regeringen bestämmer meddelar närmare föreskrifter i fråga om vilka uppgifter som får behandlas, bör utgå. 6.9.3En särskild regel om inkomna respektive upprättade handlingar i ärenden Regeringens förslag: Uppgifter i en handling som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkringsdatabasen, om uppgifterna är nödvändiga för ärendets handläggning. Promemorians förslag: Överensstämmer i princip med regeringens, dock har i promemorian föreslagits en annorlunda utformning av lagtex- ten. Remissinstanserna: Ingen av remissinstanserna har särskilt kommen- terat förslaget. Skälen för regeringens förslag: Lagrådet har anfört att den i remissen föreslagna bestämmelsen har utformats så att den kommit att innehålla regler om vilka uppgifter handlingar i ett ärende får innehålla. Eftersom sådana regler inte hör hemma i en lag som den nu aktuella, föreslår Lagrådet att den ifrågavarande paragrafen utformas så att den inte reglerar annat än frågan om behandling av uppgifter i handlingar i ett ärende. Regeringen instämmer i Lagrådets bedömning och föreslår därför en särskild bestämmelse om att uppgifter i handlingar som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller sådana uppgifter om lagöverträdelser som avses i 21 § personuppgiftslagen. Vidare föreslås att sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkrings- databasen om uppgifterna är nödvändiga för ärendets handläggning. 6.9.4Behörighet för behandling av personuppgifter Regeringens förslag: Tilldelning av behörighet för åtkomst till social- försäkringsdatabasen skall inom socialförsäkringens administration ske genom en särskild handling i enlighet med vad som föreskrivs av reger- ingen eller den myndighet regeringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen skall alltid vara begränsad till den åtkomst till uppgifter som behövs för att den enskilde skall kunna fullgöra sina arbetsuppgifter. Promemorians förslag: Innebar att tilldelning av behörighet för åt- komst till socialförsäkringsdatabasen endast skulle ske skriftligen. Den som tilldelas sådan behörighet skulle vidare skriftligen informeras om gränserna för behörigheten. Remissinstanserna: är mycket positivt till att en reglering om tilldelning av behörighet införs i lagen eftersom detta är ett viktigt område. Verket delar uppfattningen att det är angeläget att till- delning av behörighet dokumenteras, men avstyrker att sättet att tilldela behörighet regleras i lag eftersom det bör finnas möjlighet att tilldela be- hörighet på andra sätt än med pappersdokument. Statskontoret delar upp- fattningen att tilldelning av behörighet bör ske på ett kontrollerat sätt, men ifrågasätter att tilldelningen bör dokumenteras och meddelas på papper. Det bör enligt verkets mening vara fullt möjligt att på ett till- räckligt säkert och beständigt sätt både dokumentera tilldelningen elek- troniskt och meddela berörd handläggare om hennes tilldelning elektro- niskt. Verket avstyrker därför förslaget att behörighet måste tilldelas och meddelas på papper. Vidare ifrågasätter verket att det i promemorian an- vända uttrycket skriftligen är lämpligt för att uttrycka att något skall ske på papper eftersom det finns olika uppfattningar om innebörden av skriftlighetsbegreppet. , läns all- männa försäkringskassa och läns allmänna försäkrings- kassa är positiva till regleringen av tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen. Kraven på skriftlig tilldelning och skrift- lig information är bra och kommer att öka medvetenheten bland hand- läggarna på . Förbundet anser också att det är viktigt att behörigheten för åtkomst till socialförsäkringsdatabasen alltid skall be- gränsas till den åtkomst till uppgifter som behövs för att handläggaren skall kunna fullgöra sina arbetsuppgifter. föreslår att det av den föreslagna lagen tydligt skall framgå att bestäm- melserna om tilldelning av behörighet inte skall gälla i fråga om hand- läggare av studiestödsärenden hos som har direktåtkomst till socialförsäkringsdatabasen. Skälen för regeringens förslag: Regeringen instämmer i den i pro- memorian redovisade bedömningen, som även delas av samtliga remiss- instanser som uttalat sig i frågan, att tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen bör regleras särskilt i den föreslagna lagen. Den som anställs vid en myndighet inom socialförsäkringens administ- ration eller på annan grund utför arbete inom denna myndighetssfär bör av naturliga skäl inte av arbetsgivaren/uppdragsgivaren medges obegrän- sad tillgång till alla uppgifter och handlingar som behandlas i socialför- säkringsdatabasen. Det krävs således att arbetsgivaren/uppdragsgivaren aktivt tar ställning till vilket informationsbehov ett tjänsteåliggande eller uppdrag innebär och tilldelar honom eller henne behörighet till databasen härefter. I detta sammanhang är även straffbestämmelsen om dataintrång i 4 kap. 9 c § av betydelse. Enligt nämnda bestämmelse kan bl.a. den som olovligen bereder sig tillgång till upptagning för automa- tisk databehandling under vissa förutsättningar dömas för dataintrång till böter eller fängelse i högst . Bestämmelsen förutsätter inte att den som olovligen berett sig tillgång till en upptagning haft något särskilt syfte med intrånget för att gärningen skall vara straffbar. Vad som be- läggs med straff är alltså bl.a. själva intrånget i en upptagning. Avgö- rande för huruvida någon anställd eller av annan anledning verksam inom socialförsäkringens administration kan bedömas ha olovligen berett sig tillgång till exempelvis socialförsäkringsdatabasen torde vara om det skett inom ramen för dennes behörighet, dvs. den rättsligt betingade rät- tigheten att ta del av uppgifter, eller ej (se RH 2000:90). Redan detta för- hållande talar för att tilldelningen av behörighet bör ske under sådana former att det otvetydigt kan konstateras dels vilken behörighet som till- delats en person, dels att denne faktiskt tagit del av och förstått innebör- den av beslutet om tilldelning av behörighet och de däri angivna ramarna för behörigheten. Med hänsyn härtill och till omfattningen av integritetskänsliga uppgif- ter i socialförsäkringsdatabasen bör tilldelningen av behörighet alltså omgärdas av vissa i lag intagna regler. En rimlig utgångspunkt bör vara att ingen bör medges åtkomst till socialförsäkringsdatabasen utan att det tydligt klargjorts för honom eller henne var de rättsligt betingade grän- serna för åtkomsten går. Ett av olika tänkbara sätt att säkerställa detta är att tilldelningen av behörighet, såsom föreslagits i promemorian, endast får ske genom ett traditionellt pappersdokument. Ett sådant förfarande innebär att de ramar för behörigheten som arbetsgivaren/uppdragsgivaren ställt upp dokumenteras på ett säkert sätt och att den som tilldelats behö- righet ges rimlig möjlighet att för egen del ta del av var gränserna går för behörigheten. Såväl som Statskontoret har emel- lertid anfört att detta även kan tillgodoses vid tilldelning av behörighet i andra former, exempelvis genom en elektronisk handling. Regeringen delar denna bedömning och anser att reglerna om tilldelning av behörig- het bör möjliggöra ett sådant förfarande. Det i promemorian ställda kra- vet på skriftlighet bör därför, bl.a. mot bakgrund av Statskontorets syn- punkter angående användningen detta begrepp, inte kvarstå. I stället bör det mer teknikneutrala begreppet handling användas för det dokument genom vilket behörighet tilldelas och de närmare gränserna för behörig- heten preciseras. Härigenom möjliggörs användning av såväl ett pap- persbundet förfarande som ett förfarande med elektroniska handlingar. medför ett införande av tilldelning av behörighet genom elek- troniska handlingar att särskilda överväganden måste göras, bl.a. angå- ende kraven på dokumentation av identifieringen av den som tilldelas en behörighet. Föreskrifter om sådana krav bör lämpligen ges i annan form än lag. Det bör därför överlåtas till regeringen eller den myndighet regeringen bestämmer att närmare föreskriva formerna för tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen. I klargörande syfte bör det även i den föreslagna lagen föreskrivas att behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas av den myndighet som tilldelar behörighet till den åtkomst till uppgifter som behövs för den enskildes fullgörande av sina arbetsuppgifter. Det förhål- landet att en tjänsteman genom tilldelning av ett tjänstekort som används för identitetskontroll (kan i vissa sammanhang benämnas behörighets- kort) vid användning av en dator eller på annat sätt getts vida faktiska möjligheter till åtkomst till uppgifter i socialförsäkringsdatabasen, saknar med hänsyn till denna regel betydelse för huruvida en åtkomst sker olov- ligen eller ej. Det är tjänsteåliggandena som ger den yttersta ramen för den egentliga behörigheten. Regeringen delar Centrala uppfattning att det av den föreslagna lagen tydligt skall framgå att bestämmelserna om tilldel- ning av behörighet inte skall gälla i fråga om handläggare av studiestöds- ärenden hos som har direktåtkomst till socialförsäkringsdatabasen. Regeln om att behörigheten skall begränsas till vad som behövs för att den till vilken behörighet ges skall kunna full- göra sina arbetsuppgifter gäller dock givetvis alla som får direktåtkomst till socialförsäkringsdatabasen, dvs. även handläggare hos . 6.10.1Särskilda regleringar av utlämnande av uppgifter i registerlagstiftning I registerlagstiftning finns ofta bestämmelser som syftar till att reglera om och i vilka fall personuppgifter som behandlas hos myndigheter får lämnas ut i elektronisk form till andra myndigheter eller enskilda. All- mänt sett föreligger ofta relativt omfattande begränsningar för sådant ut- lämnande med hänsyn till de integritetsrisker som typiskt sett kan upp- komma vid omfattande utlämnanden av uppgifter i personregister etc. Som utvecklas närmare i det följande används i den aktuella typen av lagstiftning ofta begreppen direktåtkomst och utlämnande på medium för automatiserad behandling. Med direktåtkomst avses att den som använder registret på egen hand kan söka i detta och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet, samt att uppgifter i registret på det beskrivna sättet lämnas ut utan att den ansvariga myndigheten i det en- skilda fallet har kontroll över vilka uppgifter som lämnas ut (se prop. 2000/01:33 s. 111). Man gör i registerlagstiftningen åtskillnad mellan direktåtkomst och utlämnande på medium för automatiserad behandling. Ett exempel på den sistnämnda formen för utlämnande är att en myndighet tillhandahål- ler en diskett på vilken uppgifter från ett personregister lagrats. Det är alltså normalt fråga om ett överlämnande av elektroniskt lagrade uppgif- ter på någon slags medium för lagring eller överföring. I ett sådant fall skall naturligtvis en prövning i varje enskilt fall ske av huruvida uppgif- terna kan lämnas ut eller om exempelvis sekretessbestämmelser utgör hinder för utlämnandet. Direktåtkomst innebär att någon sekretessprövning inte sker vid varje enskilt fall av utlämnande av uppgift. Det innebär att enskildas direktåt- komst till personuppgifter enbart bör avse uppgifter för vilka sekretess inte kan föreligga i förhållande till honom eller henne. Lagrådet har i lag- stiftningsärendet om registerlagstiftningen inom skatteförvaltningen an- fört att ett sätt att i bestämmelser om direktåtkomst understryka att sek- retessprövning är nödvändig kan vara att i lagtexten ange att direktåt- komsten gäller uppgifter som får lämnas ut till den enskilde. Den prövning av eventuell sekretess som kan komma i fråga sker dock i praktiken av naturliga skäl vid fastställandet av det urval av uppgifter som enskilda skall ha tillgång till. Vad begreppet medium för automatiserad behandling innefattar kan inte sägas vara helt klarlagt. Syftet med de olika förekommande reglerna i registerlagstiftningen om utlämnade av uppgifter är emellertid i regel att med hänsyn till intresset av att skydda medborgarnas integritet inskränka möjligheterna för utomstående att genom överföring av uppgifter i per- sonregister kunna upprätta egna personregister. Den tekniska metoden för överföring av uppgifter, om det sker via en diskett eller via Internet, är i det sammanhanget ointressant. Mot bakgrund härav bör även överfö- ring av uppgifter via Internet till en persondator, vilket även om huvud- syftet är att innehavaren skall ta del av uppgifterna på skärmen i regel dessutom innebär att uppgifterna på något sätt kan lagras i persondatorn, ofta vara att anse som utlämnande av uppgifter på medium för automati- Prop. 2002/03:135 serad behandling. En annan sak är att de skyddsaspekter som ligger till grund för registerlagstiftningen naturligtvis inte på samma sätt gör sig gällande när det är fråga om uppgifter om enstaka personer som utlämnas till honom eller henne själv. 6.10.2Direktåtkomst till uppgifter och handlingar i socialförsäkringsdatabasen Regeringens förslag: Direktåtkomst till uppgifter i socialförsäkrings- databasen får endast förekomma i den utsträckning som anges i lag eller förordning. Promemorians förslag: Överensstämmer i princip med regeringens, dock har det i promemorian föreslagits att direktåtkomst skall vara tillåten i den utsträckning som anges i lag eller annan författning. Remissinstanserna: läns allmänna försäkringskassa delar uppfattningen att det är viktigt att direktåtkomst till uppgifter i socialförsäkringsdatabasen endast får förekomma i den utsträckning som anges i lagen samt konstaterar att det är tillfredsställande att möjlighe- terna för enskilda att kunna överblicka spridningen av personuppgifter som rör dem själva särskilt har beaktats i förslaget. Datainspektionen an- för att det framstår som oklart vad som ur integritetsaspekt skiljer ett ut- lämnande av uppgifter genom direktåtkomst från ett utlämnande av upp- gifter på medium för automatiserad behandling och varför den enskildes åtkomst till uppgifter genom automatiserad behandling regleras i lagen, men inte förutsättningarna för att den enskilde skall få ha direktåtkomst till uppgifterna. Enligt inspektionens uppfattning bör direktåtkomst be- gränsas vad avser antalet integritetskänsliga uppgifter genom föreskrifter i förordning. Statskontoret anser att begreppen direktåtkomst och utläm- nande på medium för automatiserad behandling mister något av sin exakthet och relevans vid användning av nya kommunikationstekniker. Dessa begrepp bör enligt verkets uppfattning utmönstras . Premie- pensionsmyndigheten anser att uppdelningen i olika regler för direktåt- komst respektive utlämnande på medium för automatiserad behandling inte är hållbar. Myndigheten anför att den tekniska utvecklingen har kommit så långt att det är någon väsentlig skillnad mellan de olika utlämningssätten samt att begreppen är oklart definierade i prome- . Enligt myndighetens uppfattning måste det kunna överlämnas till myndigheterna själva att avgöra vilket utlämningssätt som är lämpligast i vart fall när det är fråga om utlämning av uppgifter till den enskilde själv. läns allmänna försäkringskassa, läns all- männa försäkringskassa delar den i promemorian redovisade uppfatt- ningen att direktåtkomst till uppgifter i socialförsäkringsdatabasen endast får förekomma i den utsträckning som anges i lagen. Skälen för regeringens förslag: Ett flertal remissinstanser har berört att de tekniska möjligheterna för tillhandahållanden av uppgifter genom direktåtkomst respektive utlämnande på medium för automatiserad be- handling i hög grad har utvecklats och att det i vissa fall framstår som i integritetshänseende mindre centralt vilket sätt för utlämnande som an- Enligt regeringens mening finns det emellertid inte tillräckliga Prop. 2002/03:135 skäl att i detta sammanhang frångå den strukturella uppdelning som tillämpas allmänt i gällande registerlagstiftning. Direktåtkomst innebär att uppgifter lämnas ut direkt från en myndighets datasystem utan att den ansvariga myndigheten i det enskilda fallet har kontroll över vilka upp- gifter som lämnas ut. Ett utlämnande måste alltid vara förenligt med sek- retessregleringen. Uppgifter som är åtkomliga via terminal måste vara sådana som alltid får lämnas ut till den mottagande myndigheten. Upp- gifterna bör ha ett godtagbart sekretesskydd även hos den myndighet där terminalen finns. De allmänna handlingar hos en myndighet som en annan myndighet får tillgång till genom direktåtkomst utgör allmän handling även hos den sistnämnda myndigheten. Direktåtkomsten kan således medföra att sekretessen för uppgifter, på grund av avsaknad av överföringssekretess, kan ha ett annat innehåll hos den mottagande myn- digheten än hos den utlämnande. Regeringen delar därför den i prome- redovisade bedömningen att det behövs särskilda regler för i vil- ken utsträckning direktåtkomst skall få finnas. När det gäller behandling av personuppgifter med sådant integritets- känsligt innehåll som ofta är fallet inom socialförsäkringens administra- tion, är det naturligtvis i allmänhet påkallat att i möjligaste mån ned- bringa antalet individer som har direkt tillgång till uppgifterna. En viktig aspekt är dessutom möjligheterna för enskilda att kunna överblicka spridningen av personuppgifter som rör dem själva. Lagrådet har påtalat att det i remissen lämnade förslaget innebär en möjlighet att medge direktåtkomst genom myndighetsföreskrifter. Enligt regeringens uppfatt- ning bör direktåtkomst till socialförsäkringsdatabasen endast kunna med- ges i lag eller förordning. Regeringen föreslår därför att direktåtkomst till uppgifter i socialförsäkringsdatabasen endast skall få förekomma i den utsträckning som anges i lag eller förordning. 6.10.3Myndigheterna inom socialförsäkringens administration Regeringens förslag: De allmänna försäkringskassorna, Riksförsäk- ringsverket och skall få ha direktåtkomst till uppgifter i socialförsäkringsdatabasen i den utsträckning det behövs för verksamhet enligt de primära eller sekundära ändamålen. Sådan direktåt- komst skall endast medges de personer som på grund av sina arbetsupp- gifter behöver tillgång till uppgifterna. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om direktåtkomsten. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: läns allmänna försäkringskassa, läns allmänna försäkringskassa och läns all- männa försäkringskassa anser att förslaget förefaller väl underbyggt och motiverat. Det är dock av vikt att datasystemen anpassas till att ge för- säkringskassorna möjlighet att tillgodose de utökade kraven på säker- hetsnivå som aktualiseras vid direktåtkomst mellan flera kassor. Försla- get förefaller enligt läns allmänna försäkringskassa, läns allmänna försäkringskassa, läns all- männa försäkringskassa väl underbyggt och motiverat. läns allmänna försäkringskassa har även anfört att när det gäller gemen- sam direktåtkomst för t.ex. kundtjänsten hos ett antal försäkringskassor är det av vikt att författningsförslaget ställer krav på att socialförsäk- ringsdatabasen anpassas till att kunna tillhandahålla en godtagbar åt- komst- och spårbarhetsnivå med flexibla möjligheter att även begränsa åtkomsten. Skälen för regeringens förslag: En rimlig avvägning mellan integri- tets- och effektivitetshänsyn ger vid handen att de allmänna försäkrings- kassorna, och får ha direktåtkomst till uppgifter i socialförsäkringsdatabasen i den utsträck- ning det behövs för verksamhet enligt ändamålen. En lagregel med det innehållet föreslås därför.