prop · GQ03135 · 2003-06-05 00:00:00 — Registret för beställning av information används för handläggning av beställning av information enligt personuppgiftslagen och socialförsäk- ringsregisterlagen ur försäkringskassornas och gemensamma register och egna register. Registret används även för framställning av statistik. Uppgifter om identitet inhämtas från den registrerade. Uppgifter om försäkringskassa och tidpunkter inhämtas från försäkringskassorna och . 4.2.2Register som förs särskilt för är även ensam personuppgiftsansvarig myndighet för vissa personregister som förs särskilt för verket. Frivillig pension används av för administration av ärenden om frivillig pension och utbetalning av frivillig pension samt för uppföljning och utvärdering av försäkringstekniska antaganden rö- rande ränte-, dödlighets- och omkostnadsutveckling. Registret används också för individuella vinstberäkningar och för statistikframställning. Uppgifter om personnummer, namn och adress inhämtas från den regi- strerade. Uppgifter om god man, förvaltare eller annan betalningsmotta- gare inhämtas från god man, förvaltare respektive den registrerade. Upp- gifter om tidpunkter, preliminärskatteuppgifter och utgående pension in- hämtas från . Uppgifter om dödsfallstidpunkt in- hämtas från . Från registret lämnas uppgifter om antal registrerade och årsbelopp till , om pensionen till skattemyndighet och om ut- betalningar till banker respektive bank- och postgirocentral. används för handläggning av ärenden om utbetalning av sjömanspension samt uppföljning och framställning av statistik av dessa ärenden. Personuppgifter inhämtas från den registrerade. Inkomstuppgifter in- hämtas från . Uppgifter om utbetalningar lämnas till skattemyndighet. TESS-databasen används för förberedande åtgärder för handläggning av pensionsärenden för personer bosatta utomlands. För detta ändamål sambearbetas registret med motsvarande register hos organ i andra stater som har att handlägga ärenden om social trygghet i enlighet med EG- rättsliga regler. Uppgifter om identitet, adress, medborgarskap, civilstånd, utländskt Prop. 2002/03:135 försäkringsnummer, bosättningsland, dödsfallsdatum inhämtas från för- säkringskassor, utländska pensionsorgan respektive . Dessa uppgifter utlämnas till utländska pensionsorgan. 4.2.3Register som förs särskilt för de allmänna försäkringskassorna De allmänna försäkringskassorna har naturligtvis möjlighet att själva för- foga över inrättandet av olika socialförsäkringsregister som förs särskilt för respektive försäkringskassa. Någon detaljerad redovisning av varje sådant register hos respektive försäkringskassa är naturligtvis inte möjlig att lämna här. Redovisningen är i stället inriktad på de viktigaste före- kommande registren. Till en början kan nämnas de till ärendehanteringssystemet (ÄHS) knutna samlingarna av elektroniska akter som förs särskilt för varje för- säkringskassa. Systemet med elektroniska akter innebär i princip att alla relevanta uppgifter, handlingar och all information i övrigt i ett ärende kommer att behandlas automatiserat. ÄHS är en plattform med vilken förmånsspecifika system med elektronisk akthantering kan integreras. Vissa funktioner i ÄHS är emellertid av generell karaktär. Det gäller funktionerna Personinfo, som visar fördjupad personinformation om en försäkrad och i förekommande fall dennes make/maka samt Globala fäl- tet. Vid användning av ÄHS kan man bl.a. hämta upp inlästa (skannade) sådana handlingar som sänts till , lägga handlingar till befintliga ärenden, lägga upp nya ärenden, handlägga ärenden, använda elektroniska mallar för beslut m.m. använda elektroniska blanketter, lägga in bevakningsfunktioner i ärenden, göra journalanteckningar m.m. Emellertid finns, vid sidan av sådana rent personaladministrativt be- tingade register som inte är relevanta i nu berört avseende, även ett antal redan befintliga register hos de allmänna försäkringskassorna som förtjä- nar att redovisas i detta sammanhang. I ett flertal fall är det egentligen mer fråga om system för handläggning än personregister i egentlig me- ning, dvs. det är fråga om kombinationer av dataprogram och person- register, där vissa handläggningsfunktioner m.m. integrerats med en upp- giftssammanställning. Systemen i fråga har i regel utvecklats gemensamt mellan och de allmänna försäkringskassorna, men används i skilda applikationer för respektive försäkringskassa. Ginsten är ett handläggarstöd för hantering av ärenden inom sjukför- säkrings-, pensions- och bidragsområdena. Systemet har bl.a. stöd för mätning av genomströmningstider och bevakning av ärenden. Ginsten kan även användas som ett sökregister där man kan se vem eller vilket kontor som handlägger ett ärende. Uppgifter om bl.a. personnummer, namn, lokalkontorstillhörighet, adress, postnummer, postadress, telefon- nummer, arbetsgivare, diagnosgrupp inhämtas från den försäkrade. Handläggares namn och kortnummer samt uppgifter om samordning, re- habilitering, typ av ärende, läkarutlåtanden och tidpunkter för ersättning m.m. registreras av . Statistiska sammanställningar utan identifikationsmöjligheter från re- gistret översänds till kvartalsvis. Mälker används för handläggning av sjukpenning- och rehabiliterings- Prop. 2002/03:135 ärenden, ansökningsärenden avseende förtidspension/sjukbidrag samt ärenden avseende arbetsskada, livränta, vårdbidrag, handikappersättning, bilstöd, assistansersättning, arbetshjälpmedel, pension och bidrag. Än- damålet med registret är att effektivisera ärendehandläggningen genom ett samlat informations- och statistiksystem som täcker behov inom olika verksamhetsgrenar och på olika nivåer inom organisationen. Uppgifterna i registret används för att man snabbt skall få fram information om eventuell förekomst av ärenden och status i förekommande ärenden. Vi- dare används uppgifterna som underlag för statistik. Uppgifter om bl.a. personnummer, namn, lokalkontorstillhörighet in- hämtas från den försäkrade. Handläggares namn och kortnummer samt uppgifter om typ av ärende, ansökningsdatum, läkarutlåtanden och tid- punkter för ersättning m.m. registreras av . PIHREN Återkrav används för handläggning av återkrav enligt vissa riktlinjer (processbeskrivningar). Syftet med registret är att handlägg- ningen av återkrav skall följa dessa riktlinjer samt att ge handläggare och ledning stöd för handläggningen när det gäller dokumentation av vid- tagna åtgärder, påminnelser, att sammanställa produktionsstatistik och statistik över frekvenser av återkrav per ärendeslag eller lokalkontorsom- råde. I registret finns uppgifter bl.a. om personnummer, namn, lokal- kontor, handläggare, ärendekod, datum för inledande av ärende och andra moment i handläggningen m.m., arbetsgivare, tjänsteanteckningar. PLOMBEN används för handläggning av ersättning till tandläkare som är anslutna till den allmänna försäkringen. Registret används för kontroll av tandvårdsräkningar, uppföljning av taxetillämpning och produktions- statistik för uppföljning av arbete med tandvårdsför- säkringen. Registret innehåller uppgifter om bl.a. namn på handläggare, vårdgivare och tandvårdspatient, adresser, organisationsnummer, person- nummer, telefonnummer, fakturadatum, ankomstdatum, förfallodag, an- tal tandvårdsräkningar, debiterat pris och utbetalningsbelopp. 4.2.4Register som förs särskilt för är ensam personuppgiftsansvarig för ett stort antal personregister som förs särskilt för myndigheten. Flera av dessa används för administrationen av myndigheten och torde inte vara att anse som socialförsäkringsregister i socialförsäkringsregisterlagens mening. Den nedan lämnade redovisningen upptar dock även sådana re- gister. används för administration av premiepen- sionssystemet, vilket innefattar handläggning av olika ärenden, förbere- dande åtgärder för handläggning samt uppföljning, utvärdering, tillsyn och framställning av statistik. Registret används också vid tester i sam- band med prov och vidareutveckling av de datasystem som används inom premiepensionssystemet. Uppgifter om identitet, adress, civilstånd, pensionsrätter, tillgodohavande, fondval, beslut, meddelanden m.m., namn, telefonnummer och adressuppgifter på fondföretagens kontaktper- soner och namn på fondadministratörer har inhämtats från Riksförsäk- ringsverket, den registrerade, fondföretagen eller Premiepensionsmyn- Prop. 2002/03:135 digheten. Fondinformationsdatabasen används som underlag för Premiepen- sionsmyndighetens informationsverksamhet kring de värdepappersfonder som är anslutna till premiepensionssystemet. Uppgifterna rör i första hand ekonomiska och historiska data kring fonderna. Premiepensions- myndigheten har ett avtal med , som på myndighetens uppdrag samlar in och bearbetar uppgifter. Upp- gifter om namn på fondförvaltare, födelseår och förvaltningserfarenhet inhämtas från fondförvaltare och . Allmänheten kan nå uppgifterna i databasen via myndighetens hemsida på Internet och s.k. fondfaktablad kan beställas från myndighetens kundservicefunktion. Ärendehanteringssystemet (myndighetens diarium) används för att efterkomma skyldigheten enligt 15 kap. sekretesslagen. I registret finns uppgifter om diarienummer, namn, datum, ärendemeningar och inkomna eller upprättade handlingar. Uppgifterna lämnas ut till allmänheten. Palasso är ett register som omfattar anställda vid myndigheten och som används för administration av löneutbetalningar, framtagning av statistik, uppföljning av tjänsteresor, inventering av utbildningsbehov m.m. Uppgifter om identitet, adress, telefonnummer, anhöriga, lön och andra förmåner, övriga anställningsdata, grundutbildning och meriter m.m. inhämtas från den registrerade. Från registret kan uppgifter lämnas till , , , skattemyndighet, , , för det statliga området (FSO) eller Nordea. Agresso-Ekonomi används för administration av in- och utbetalningar i verksamheten, framtagning av statistik m.m. Registret innehåller bl.a. uppgifter om fondföretag och andra leverantörer till myndigheten, kon- taktpersoner och adresser. 5Gällande rätt vid behandling av personuppgifter inom socialförsäkringens administration 5.1Grundläggande regler för behandling av personuppgifter finns i personuppgiftslagen antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personupp- gifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behand- lingen av personuppgifter, dels en likvärdig skyddsnivå i alla medlems- stater, så att staterna inte skall kunna hindra det fria flödet mellan dem av personuppgifter med hänvisning till enskilda personers fri- och rättighe- ter. Genom personuppgiftslagen (1998:204) har dataskyddsdirektivet ge- Liksom dataskyddsdirektivet bygger personuppgifts- lagen på att själva hanteringen av personuppgifter regleras. Lagen om- fattar således formellt även behandlingar som inte på något sätt kan sägas utgöra intrång i den personliga integriteten. Den tillämpas alltså på helt eller delvis automatiserad behandling av personuppgifter och dessutom på behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet för personuppgiftslagen har begränsats genom en rad bestämmelser. Lagen omfattar inte sådan behandling som en fysisk person utför som ett led i en verksamhet av rent privat natur. Av förtydli- gande skäl anges också att lagen inte heller skall tillämpas i den utsträck- ning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen att tillämpa lagens regler. Motsvarande gäller när en tillämpning av personuppgifts- lagen skulle strida mot en myndighets skyldighet att lämna ut person- uppgifter enligt 2 kap. tryckfrihetsförordningen. Andra undantag i fråga om personuppgiftslagens tillämpningsområde gäller behandling av per- sonuppgifter för journalistiska ändamål eller konstnärligt eller litterärt skapande. Slutligen gäller vissa undantag från tillämpning av personupp- giftslagen som tar sikte på arkivering av handlingar. Personuppgifts- lagens tillämpningsområde kan dessutom inskränkas genom särreglering i annan lag eller förordning, exempelvis registerlagstiftningen. Lagen in- nehåller endast generella regler och det förutsattes vid dess tillkomst att behov av undantag och preciseringar för mer speciella områden skulle tillgodoses genom särskild registerlagstiftning. Sådan särreglering får dock givetvis inte stå i strid med dataskyddsdirektivet eller dataskyddskonvention. Personuppgiftslagen innehåller en rad definitioner av olika begrepp som används i lagen. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, or- ganisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat till- handahållande av uppgifter, sammanställning eller samkörning, blocke- ring, utplåning eller förstöring. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftslagen omfattar således varken uppgifter om juridiska per- soner eller uppgifter om avlidna fysiska personer. I förarbetena har an- förts att det endast krävs att en fysisk person kan identifieras med hjälp av informationen, inte att den personuppgiftsansvarige själv skall förfoga över samtliga uppgifter som gör identifieringen möjlig (SOU 1997:39 s. 338). Även bild- och ljuduppgifter som kan hänföras till en person kan omfattas. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. När det gäller offentlig verksamhet är dock ändamålen ofta bestämda i registerförfattningarna och inte av den aktuella myndig- heten. I sådana fall har det i regel genom särskilda bestämmelser angetts i registerförfattningen vem som är personuppgiftsansvarig (se 2 § person- uppgiftslagen och exempelvis 13 § socialförsäkringsregisterlagen). Per- sonuppgiftsbiträde är den som behandlar personuppgifter för den person- uppgiftsansvariges räkning. Den registrerade är den som en personupp- Med samtycke avses varje slag av frivillig, särskild och otve- tydig viljeyttring genom vilken den registrerade, efter att ha fått informa- tion, godtar behandling av personuppgifter som rör honom eller henne. Tredje land är en stat som varken ingår i Europeiska unionen eller är an- sluten till Europeiska ekonomiska samarbetsområdet. I personuppgiftslagen åläggs den personuppgiftsansvarige att upprätt- hålla vissa grundläggande krav på behandlingen av personuppgifter. Per- sonuppgifter skall behandlas bara om det är lagligt. Behandlingen skall alltid ske på ett korrekt sätt och i enlighet med god sed. Personuppgifter får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in (finalitetsprinci- pen). En behandling för historiska, statistiska eller vetenskapliga ända- mål skall dock inte anses som oförenlig med de ändamål för vilka upp- gifterna samlades in. Personuppgifter som behandlas skall vara adekvata och relevanta i för- hållande till ändamålet med behandlingen. Fler personuppgifter än som är nödvändigt med hänsyn till behandlingen får inte behandlas. De per- sonuppgifter som behandlas skall vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder skall vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte bevaras än vad som är nödvändigt med hänsyn till de ursprungliga ändamålen med behand- lingen, om det inte behövs för historiska, statistiska eller vetenskapliga ändamål. Myndigheternas arkivering och bevarande av allmänna hand- lingar hindras dock inte av lagen. Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får enligt huvudregeln användas för att vidta åtgärder i fråga om den registrerade bara om de registrerade har lämnat sitt sam- tycke eller det finns synnerliga skäl med hänsyn till den registrerades vi- tala intressen. Denna begränsning gäller dock inte för en myndighets an- vändning av personuppgifter i allmänna handlingar. I personuppgiftslagen anges vidare vissa förutsättningar för när en be- handling av personuppgifter över huvud taget är tillåten. Minst en av dessa förutsättningar måste alltså föreligga för att en behandling skall vara tillåten enligt lagen. Den inledande av de alternativa förutsättning- arna är att den registrerade har lämnat samtycke till behandlingen. Före- ligger inget samtycke kan en handling vara tillåten om den är nödvändig för ett antal uppräknade syften. Enligt (SOU 2001:32 s. 95) räcker det sannolikt med att det innebär en påtaglig förenkling för den personuppgiftsansvarige att personuppgifter behandlas på automatiserad väg för att nödvändighetsrekvisitet skall kunna anses uppfyllt. Är en behandling nödvändig för att ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, så kan den vara tillåten. En behandling kan också vara tillåten om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, för att vitala intressen för den registrerade skall kunna skyddas eller för att en arbetsuppgift av allmänt intresse skall kunna utföras. Vidare kan en behandling vara tillåten om den är nödvändig för att den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndig- hetsutövning. Slutligen kan en behandling vara tillåten om den är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansva- rige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrera- des intresse av skydd mot kränkning av den personliga integriteten. Behandling av personuppgifter för ändamål som rör direkt marknads- föring får enligt personuppgiftslagen inte ske, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon mot- sätter sig sådan behandling. Ett förbud mot sådan behandling förutsätter således enligt denna regel en skriftlig anmälan från den registrerade. Så- som regeln utformats torde redan utlämnandet av personuppgifter till nå- gon annan för att denne skall behandla uppgifterna för ändamål som rör direkt marknadsföring utgöra en sådan behandling som omfattas av re- geln. För vissa slag av uppgifter gäller enligt personuppgiftslagen särskilda restriktioner. Huvudregeln i lagen innebär att det är förbjudet att be- handla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa el- ler sexualliv. Dessa olika slag av uppgifter kallas med en samlingsbe- teckning känsliga personuppgifter. Det finns emellertid en rad undantag från förbudet mot behandling av känsliga personuppgifter angivna direkt i personuppgiftslagen. Sålunda får sådana uppgifter enligt lagen behandlas med den registrerades ut- tryckliga samtycke eller när denne offentliggjort uppgifterna på ett tyd- ligt sätt. Känsliga uppgifter får vidare i vissa fall behandlas om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, om det är nöd- vändigt för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke eller om det är nödvändigt för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Förbudet mot att behandla känsliga personupp- gifter gäller inte heller när ideella organisationer med politiskt, filoso- fiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet be- handlar personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Endast om den registrerade uttryckligen har samtyckt till det får dock känsliga personuppgifter lämnas ut till tredje man från en sådan ideell organisation. Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för fö- rebyggande hälso- och sjukvård, medicinska diagnoser, vård eller be- handling eller administration av hälso- och sjukvård eller om uppgifterna omfattas av sjukvårdssekretess. Slutligen undantas viss behandling för forsknings- och statistikändamål från förbudet mot behandling av käns- liga personuppgifter. Regleringen av behandling av känsliga personuppgifter i personupp- giftslagen följer i princip den motsvarande reglering som återfinns i di- rektivet. Direktivet medger emellertid dessutom att medlemsstaterna, un- der förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse, i sin nationella lagstiftning eller genom ett beslut av till- synsmyndighet beslutar om andra undantag från förbudet mot behandling av känsliga uppgifter än dem som anges i personuppgiftslagen. Den na- lagstiftningen kan således innehålla ytterligare undantag från förbudet mot behandling av känsliga personuppgifter. I punkt 34 i ingressen till direktivet anges bl.a. att När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av upp- gifter på sådana områden som exempelvis folkhälsa och socialskydd, sär- skilt för att säkerställa kvalitet och lönsamhet när det gäller förfaranden som används i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Regeringen eller den myndighet regeringen bestämmer, får om det be- hövs med hänsyn till ett viktigt allmänt intresse medge ytterligare un- dantag från förbudet att behandla känsliga uppgifter. infördes en bestämmelse i 8 § personuppgiftsförordningen (1998:1191) om att känsliga personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Det är enligt personuppgiftslagen förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden. Regeringen eller den myndighet som regeringen be- stämmer (Datainspektionen) får dock besluta om undantag från förbudet. Uppgifter om personnummer och samordningsnummer får enligt per- sonuppgiftslagen behandlas bara om den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behand- lingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registre- rade information om behandlingen av uppgifterna. Har uppgifterna sam- lats in från en annan källa skall den registrerade informeras när uppgif- terna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, be- höver informationen inte ges förrän uppgifterna lämnas ut . I de fall uppgifter samlas in från någon annan än den registrerade krävs inte att information lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.