sou · GVB364 · 2008-01-01 00:00:00 — Också utredningen anser att det inte generellt utanför de tillåtna ändamålen med behandlingen bör tillåtas att personuppgifter läm- nas ut elektroniskt till privata företag för utskick utan de registre- rades samtycke. Skulle det uppkomma ett befogat behov av att elektroniskt lämna ut personuppgifter till privata företag, kan studiestödsdataförordningen senare kompletteras med preciserade bestämmelser för detta fall. I samband med att CSN har direktåtkomst eller annan elek- tronisk tillgång till personuppgifter hos någon annan måste CSN ofta lämna ut personuppgifter elektroniskt. Om CSN vid direkt- åtkomst till uppgifter hos någon annan inte elektroniskt anger om vilken person uppgifter önskas via direktåtkomsten, kan CSN ofta inte på det sättet få tillgång till uppgifter om den personen. Ofta krävs det alltså att CSN sänder en elektronisk fråga med person- uppgifter, t.ex. personnummer, för att CSN via direktåtkomst eller på annat elektroniskt sätt ska få tillgång till uppgifter hos någon annan om den omfrågade personen. Sådant elektroniskt utläm- nande av personuppgifter från CSN som behövs för att annan ska kunna lämna ut personuppgifter elektroniskt till CSN, t.ex. via direktåtkomst, bör rimligtvis vara tillåtet för att medge CSN en effektiv tillgång till personuppgifter för t.ex. kontroll i den utsträckning CSN har lagliga möjligheter till sådan tillgång. Bestämmelser om sådant elektroniskt utlämnande av person- uppgifter från CSN tas också lämpligen in i studiestödsdataförord- ningen. Vid elektroniskt utlämnande av personuppgifter i enlighet med bestämmelser i lag eller förordning måste givetvis övriga bestäm- melser om behandlingen av personuppgifter följas. Bestämmelserna som anger när elektroniskt utlämnande av personuppgifter får ske anger således bara när just ett sådant utlämnande får ske, om behandlingen är tillåten enligt övriga bestämmelser om behand- lingen av personuppgifter. Bestämmelserna i den föreslagna studie- stödsdatalagen om när en behandling av personuppgifter över huvud taget är tillåten (se avsnitt 6.8) måste således följas, liksom bestämmelserna i den föreslagna lagen om vilka sökbegrepp som inte får användas (se avsnitt 6.10). En erinran om detta bör tas in i den grundläggande bestämmelsen om att elektroniskt utlämnande av personuppgifter är tillåtet bara i den utsträckning som anges i lag eller förordning. Även tillämpliga bestämmelser i personuppgifts- lagen, t.ex. om säkerheten vid behandling, måste givetvis följas. 6.12.3Elektroniskt utlämnande av enstaka personuppgifter Utredningens förslag: Enstaka personuppgifter får alltid läm- nas ut på medium för automatiserad behandling eller via elek- tronisk kommunikation i enskilda fall om sekretess inte hindrar det. Det är i första hand ett systematiskt eller återkommande elektro- niskt utlämnande av sammantaget en större mängd personuppgifter som kräver begränsningar av integritetsskyddsskäl. Utredningen anser därför att det utan vidare bör tillåtas att enstaka person- uppgifter lämnas ut på medium för automatiserad behandling eller via elektronisk kommunikation i enskilda fall om sekretess inte hindrar det. Därmed underlättas bl.a. den naturliga och var- dagliga kommunikationen via e-post. Vid utlämnandet måste naturligtvis kraven på säkerhetsåtgärder i enlighet med person- uppgiftslagen upprätthållas. Utlämnandet kan ske på någon form av fysiskt medium, såsom diskett, usb-minne, minneskort, cd- eller dvd-skiva, eller via någon form av elektronisk kommunikation, såsom e-post, SMS eller skriftlig dialog i realtid via Internet (s.k. chatt). Syftet med begränsningen till enstaka personuppgifter är att ett mer omfattande eller systematiskt uppgiftsutlämnande ska kräva särskilt författningsstöd. Ett helt register eller delar av ett register får således inte lämnas ut, t.ex. i form av en fil på diskett, med stöd av den nu berörda bestämmelsen. Däremot kan några enstaka handlingar och uppgifter lämnas ut via e-post som svar på en för- frågan eller på CSN:s eget initiativ. I kravet på att det ska vara fråga om elektronisk kommunikation i enskilda fall ligger att utlämnandet ska ske genom en icke auto- matiserad process, där någon handläggare hos CSN är inblandad i varje utlämnande. 6.12.4Direktåtkomst för och arbetslöshetskassorna Utredningens förslag: och arbetslöshets- kassorna får i den utsträckning uppgiftsskyldighet följer av lag eller förordning ha direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksam- het. Regeringen meddelar föreskrifter om vilka personuppgifter som får omfattas av sådan direktåtkomst. De aktuella personuppgifterna får också på annat sätt lämnas ut elektroniskt till och arbetslöshetskassorna. De statliga utgifterna utgörs till (ca 700 miljar- der kronor) av olika former av ersättningar och bidrag.36 Avsevärda belopp kan därför gå förlorade redan genom felutbetalningar i ringa omfattning. Att ge myndigheterna kontrollmöjligheter vid utbetal- ning av olika stödformer fyller därför ett befogat statsfinansiellt syfte. Genom reform avseende ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studie- stödet37 infördes det en uttrycklig möjlighet för länsarbets- nämnderna, de dåvarande allmänna försäkringskassorna och dåva- rande att lämna ut uppgifter till de övriga aktörerna i informationsutbytet (arbetslöshetskassorna, länsar- betsnämnderna, CSN, försäkringskassorna och Riksförsäkrings- verket) på elektronisk väg och att dessa övriga aktörer skulle få direktåtkomst till informationen. Genom reformen sågs det också till att det fanns nödvändiga bestämmelser om uppgiftsskyldighet mellan de olika aktörerna på området. Statskontoret har föreslagit att det införs en mer heltäckande utbetalningskontroll avseende de 2005:52 s. 1. 2000/01:129, bet. 2001/02:KU3 och rskr. 2001/02:18. förmåner som administreras av de organ som berörs av infor- mationsutbytet. Statskontoret föreslog uttryckligen att denna kontroll skulle omfatta utbetalningar från CSN.38 Grundläggande bestämmelser om CSN:s uppgiftsskyldighet gentemot och arbetslöshetskassorna finns i 20 kap. 9 § lagen (1962:381) om allmän försäkring respektive 48 c § lagen (1997:238) om arbetslöshetsförsäkring. För personuppgif- terna hos och arbetslöshetskassorna gäller ett sekretesskydd som motsvarar det som gäller för uppgifterna hos CSN (7 kap. 7 och 10 §§ sekretesslagen). förekommer det i enlighet med intentionerna bakom reform ett omfattande elektroniskt utlämnande av personuppgifter från CSN till och arbetslöshetskassorna. Det torde knappast ankomma på utredningen att överpröva det informationsutbyte till följd av kontrollbehov som utretts och till- godosetts i särskild ordning genom bl.a. reform. Utred- ningen har i och för sig ingen erinran mot om informationsutbytet sker på det sättet att och arbetslöshetskassorna ges direktåtkomst till personuppgifter som behandlas i CSN:s stu- diestödsverksamhet. Det bör dock noteras att det för behandlingen av personuppgifter i arbetslöshetskassornas verksamhet inom arbetslöshetsförsäkringen saknas en särskild författningsreglering, vilket inte är tillfredsställande särskilt när motsvarande lucka i regleringen avseende en annan aktör inom informationsutbytet (CSN) nu håller på att täppas till. Eftersom informationsutbytet är etablerat och har stor omfatt- ning samt då motsvarande elektroniska utlämnande från Försäk- ringskassan till CSN är reglerat i den särskilda registerlag som gäller för , finner utredningen att det är lämp- ligast och tydligast att ta in grundläggande bestämmelser om det elektroniska utlämnandet till och arbetslöshets- kassorna redan i den föreslagna studiestödsdatalagen. Utredningen föreslår därför en bestämmelse i studiestödsdatalagen om att För- säkringskassan och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i CSN:s studiestödsverksamhet i den utsträckning uppgiftsskyldighet följer av lag eller förordning. Bland annat eftersom uppgiftsskyldigheten för CSN har en väldigt vid omfattning, bör det ankomma på regeringen att meddela nöd- 38 Statskontorets utvärdering Informationsutbyte kräver bra förutsättningar (2006:7) s. vändiga detaljföreskrifter om vilka personuppgifter som får omfat- tas av direktåtkomsten. Den föreslagna bestämmelsen innebär inte i sig någon uppgifts- skyldighet för CSN eller någon skyldighet för CSN att faktiskt anordna den direktåtkomst som får förekomma enligt bestämmel- sen. I sitt betänkande Utökat elektroniskt informationsutbyte (SOU 2007:45) har informationsutbytesutredning lämnat förslag till en bestämmelse i socialtjänstlagen (2001:453) om uppgifts- skyldighet för CSN och flera andra myndigheter gentemot social- nämnder. Enligt förslaget ska CSN till socialnämnden lämna de uppgifter om förmån, ersättning eller annat stöd åt enskild som har betydelse i ärende om ekonomiskt bistånd enligt 4 kap. social- tjänstlagen och ärende om återkrav m.m. av sådant bistånd enligt 9 kap. socialtjänstlagen. I en föreslagen ny förordning om uppgifts- skyldighet i vissa fall enligt socialtjänstlagen (2001:453) finns det närmare föreskrifter om vilka uppgifter CSN ska lämna till social- nämnden. Enligt förslaget ska, såvitt nu har betydelse, CSN till socialnämnden lämna följande uppgifter om sökanden hos social- nämnden: 1.namn, personnummer och i förekommande fall samordnings- nummer, 2.att en ansökan om studiestöd har lämnats in, 3.vilken form av studiestöd som har sökts, beviljats respektive utbetalats, 4.för vilken tidsperiod studiestöd har sökts, beviljats respektive utbetalats, 5.omfattningen av studiestöd i form av studiemedel, 6.med vilket belopp studiestöd har beviljats eller betalats ut för- delat på form av stöd, 7.datum för utbetalning av studiestöd, och 8.uppgift om beviljat eller utbetalt studiestöd i form av studie- medel avser studier på grundskolenivå. Syftet med förslagen års informationsutbytesutredning är att socialnämnderna ska kunna få direktåtkomst till personuppgif- ter som behandlas hos CSN. Eftersom frågan har utretts i särskild ordning, tar utredningen inte ställning i sak till frågan om social- nämnderna bör kunna få direktåtkomst till personuppgifter som behandlas hos CSN. Utredningen begränsar sig i stället till att re- dogöra för hur en sådan direktåtkomst, om den anses önskvärd, tekniskt kan inordnas i utredningens författningsförslag, som ju introducerar en bestämmelse om att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i CSN:s studiestödsverksamhet är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning. Om förslagen års informationsutbytesutredning genomförs och det bedöms önskvärt att socialnämnderna ska kunna få direktåtkomst till personuppgifter som behandlas i CSN:s studiestödsverksamhet i den utsträckning den utredningen före- slagit, kan det ordnas genom en ny bestämmelse i den studiestöds- dataförordning som utredningen föreslår. En sådan ny bestämmelse skulle lämpligen kunna formuleras enligt följande: En socialnämnd får ha direktåtkomst till personuppgifter som behandlas i Centrala studiestödsverksamhet i den utsträckning som anges i 2 § förordningen (0000:00) om uppgiftsskyldighet i vissa fall enligt socialtjänstlagen (2001:453). I avsnitt 4.2.5 under underrubriken har verksam- heten inom den s.k. Borlängepiloten översiktligt beskrivits. Verk- samheten innebär elektroniskt utlämnande av vissa personuppgifter från CSN till socialnämnder. I samband med att ställning tas till förslagen års informationsutbytesutredning, som om de genomförs jämte den kompletterande förordningsbestämmelse som angetts skulle ge nödvändigt författningsstöd för infor- mationsutbytet, bör ställning också tas till en eventuell fortsättning av verksamheten inom Borlängepiloten. Utredningen har noterat att enligt förslagen års informationsutbytesutredning ska uppgiftsskyldigheten och direktåtkomsten bara få avse uppgifter om den som är sökande hos socialnämnden. Det är inte för utredningen helt klart hur CSN ska kunna begränsa direktåtkomsten för en socialnämnd till uppgifter om personer som är sökande (i ärende om ekonomiskt bistånd) hos den socialnämnden eller hur det är avsett att CSN innan direktåtkomst medges ska kunna förvissa sig om att en viss person är sökande hos en viss socialnämnd. Utredningen har – i syfte att åstadkomma en sådan lämplig säkerhetsnivå som avses i 31 § personuppgiftslagen – föreslagit en uttrycklig bestämmelse om att CSN ska se till att elektronisk till- gång till personuppgifter dokumenteras. Sådan loggning torde, bl.a. mot bakgrund av 31 § personuppgiftslagen, förekomma hos de flesta myndigheter som ger andra myndigheter direktåtkomst till personuppgifter. Såvitt utredningen förstår måste en socialnämnd som har direktåtkomst till uppgifter om en sökande i ett ärende om ekonomiskt bistånd hos en annan myndighet i samband därmed elektroniskt lämna den myndigheten information om sökandens identitet, t.ex. genom att på ett strukturerat sätt elektroniskt ange personnumret. I vart fall torde det inte vara ovanligt att den myn- dighet som medger direktåtkomst loggar vilka personer eller ären- den en annan myndighets direktåtkomst avsett. Loggen torde utgöra en allmän handling hos den myndighet som för den, och det torde hos den myndigheten sällan gälla sekretess för uppgifterna i loggen. Mot den bakgrunden förordar utredningen att frågan om skydd för logguppgifter särskilt beaktas innan direktåtkomst med- ges för socialnämnderna till personuppgifter hos CSN. 6.12.6Direktåtkomst för den registrerade Utredningens förslag: Den registrerade får i den utsträckning sekretess inte hindrar det ha direktåtkomst till personuppgifter som behandlas i Centrala studiestöds- verksamhet, om uppgifterna 1.avser honom eller henne själv, 2.finns i ett ärende om studiestöd där den registrerade är part eller där den registrerade har rätt att få utbetalning av stu- diestöd för någon annan, eller 3.avser dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter. De aktuella personuppgifterna får också på annat sätt lämnas ut elektroniskt till den registrerade. CSN erbjuder studerande med studiemedel och låntagare direktåtkomst till en del av sina egna personuppgifter via funk- tionen Mina sidor på CSN:s webbplats på Internet.39 Utredningen anser att det inte finns några integritetsskyddsskäl som talar emot att den registrerade får ha direktåtkomst till sina egna personuppgifter som behandlas i CSN:s studiestödsverksam- 39 Jämför förordningen (2005:55) om elektronisk överföring av ansökningar om studiemedel. het, om sekretess inte hindrar det, eller att uppgifterna på annat sätt lämnas ut elektroniskt till den registrerade. I stället kan en sådan elektronisk tillgång – vid sidan av befintliga möjligheter och rättigheter att ta del av sina uppgifter – bidra till att det blir enklare för den registrerade att kontrollera sina uppgifter och göra gällande sina rättigheter, t.ex. om det har blivit något fel. Utredningen föreslår som nämnts en grundläggande bestäm- melse om att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter bara är tillåtet i den utsträckning som anges i lag eller förordning, om den registrerade inte samtyckt. När den regi- strerade bereds direktåtkomst till sina uppgifter torde samtycke alltid finnas eller kunna hämtas in utan olägenhet. Vid annat elek- troniskt utlämnande, t.ex. om CSN som en service till registrerade utan tillgång till Internet skulle vilja sända de registrerades upp- gifter på något fysiskt datamedium, är det kanske inte lika praktiskt med samtycke på förhand. Utredningen anser i vart fall att det är bäst att för tydlighets skull i den föreslagna studiestödsdatalagen ta in uttryckliga bestämmelser om den registrerades elektroniska till- gång till sina egna personuppgifter. Utredningen föreslår därför en bestämmelse om att den regi- strerade, i den utsträckning sekretess inte hindrar det, får ha direkt- åtkomst till personuppgifter om sig själv som behandlas i CSN:s studiestödsverksamhet. I ett ärende om studiestöd kan det ibland förekomma uppgifter om andra personer än den person som är part. För en smidig elek- tronisk hantering av ärendena för såväl de studiestödsberättigade och låntagarna som CSN är det av stort värde att den registrerade genom direktåtkomst kan ta del av alla uppgifter i det ärende där han eller hon är part. Utredningen, som inte kan se några bärande integritetsskyddsskäl mot en sådan direktåtkomst, föreslår därför också en bestämmelse om att den registrerade, i den utsträckning sekretess inte hindrar det, får ha direktåtkomst till personuppgifter som finns i ett ärende om studiestöd där den registrerade är part. har enligt den materiella lagstiftningen någon annan fysisk person än den vars rätt till studiestöd ska prövas i ärendet rätt att få utbetalning av studiestödet, i typfallet vårdnadshavare för en omyndig studiehjälpsberättigad. Den person som har rätt att få utbetalning av studiestödet, om det beviljas, är då registrerad i ärendet jämte den vars rätt till studiestöd ska prövas och har ofta bäst möjligheter att kontrollera att uppgifterna, t.ex. om utbetal- ning, är riktiga. Utredningen kan inte heller här se några bärande integritetsskyddsskäl mot direktåtkomst i ärendet för också den person som har rätt att få utbetalning av det aktuella studiestödet. Utredningen föreslår därför också en bestämmelse om att en regi- strerad som har rätt att få utbetalning av studiestöd för någon annan, i den utsträckning sekretess inte hindrar det, får ha direkt- åtkomst till uppgifter som finns i just detta ärende om studiestöd. Utredningen har i avsnitt 6.11 föreslagit en uttrycklig skyldighet för CSN att se till att elektronisk tillgång till personuppgifter dokumenteras, dvs. registreras i en behandlingshistorik (logg). Att den registrerade på ett enkelt sätt via direktåtkomst kan få del av begriplig dokumentation av den elektroniska tillgång som före- kommit till hans eller hennes personuppgifter ger denne en ökad kontroll över vilken användning av uppgifterna som förekommit. Att den registrerade själv kan kontrollera behandlingshistoriken innebär vidare bättre möjligheter att upptäcka och beivra obehörig åtkomst samt förstärker loggningens avhållande effekter. Doku- mentationen av elektronisk tillgång kan i och för sig innehålla upp- gifter om vilka personer som haft sådan tillgång till personupp- gifterna (och när de hade sådan tillgång). Även sådana uppgifter om handläggare och liknande bör den registrerade kunna få del av via direktåtkomst. Med beaktande av att uppgifterna om handläg- garna rör åtgärder i anställningen, får den registrerades intresse av kontroll över sina uppgifter nämligen anses väga tyngre än hand- läggarnas intresse av att slippa få sina åtgärder i anställningen granskade av den som åtgärderna berör. Utredningen föreslår därför även en bestämmelse om att den registrerade, i den utsträckning sekretess inte hindrar det, får ha direktåtkomst till uppgifter som avser dokumentation av den elek- troniska tillgång som förekommit till hans eller hennes person- uppgifter. De föreslagna bestämmelserna innebär inte i sig någon uppgifts- skyldighet för CSN eller någon skyldighet för CSN att faktiskt anordna den direktåtkomst som får förekomma enligt bestämmel- serna. CSN kan alltså t.ex. begränsa direktåtkomsten avseende dokumentationen av den elektroniska tillgången till uppgifter som inte direkt pekar ut enskilda handläggare. Möjligheten till direktåtkomst gäller bara i den utsträckning uppgifterna över huvud taget får lämnas ut till den registrerade. Sekretess kan således hindra direktåtkomsten. Sekretessregler hind- rar dock typiskt sett inte att den enskilde får ut uppgifter om sig själv, 14 kap. 4 § första stycket sekretesslagen, men undantag kan gälla t.ex. med hänvisning till intresset att förebygga eller beivra brott, 5 kap. 1 § sekretesslagen. Utredningens förslag: På begäran enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. får personuppgifter lämnas ut till på medium för automatiserad behandling. är en myndighet under med uppgift att granska den verksamhet som bedrivs av staten, inklusive den verk- samhet som bedrivs av CSN såsom statlig myndighet (12 kap. 7 § regeringsformen). CSN ska enligt 6 § lagen (2002:1022) om revi- sion av statlig verksamhet m.m. på begäran lämna den hjälp och de uppgifter och upplysningar som behöver för granskningen. Den bestämmelsen innefattar en upp- giftsskyldighet för CSN. Enligt förarbetena till bestämmelsen omfattar uppgiftsskyldigheten uppgiftslämnande på medium för automatiserad behandling.40 På begäran lämnar CSN en gång uppgifter, inklusive personuppgifter, på fil. Den sekretess som gällde för personuppgifterna hos CSN gäller också hos , 13 kap. 1 § sekretesslagen. Utredningen föreslår som nämnts en grundläggande bestäm- melse om att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i CSN:s studiestödsverksamhet är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning. Den enligt förarbetena avsedda skyldigheten för CSN att till lämna ut begärda upp- gifter på medium för automatiserad behandling anges emellertid inte uttryckligen i bestämmelsen om uppgiftsskyldighet i 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. Utredningen föreslår därför en uttrycklig bestämmelse i studie- stödsdatalagen om att CSN på begäran enligt 6 § lagen (2002:1022) om revision av statlig verksamhet m.m. får lämna ut personupp- gifter till på medium för automatiserad behandling. 2001/02:190 s. 158. 6.13Överföring av personuppgifter till tredje land Utredningens bedömning: Det behövs inte i studiestödsdata- lagen några särskilda bestämmelser om överföring av person- uppgifter till tredje land. I personuppgiftslagen finns det särskilda bestämmelser om den form av behandling av personuppgifter som en överföring av dem till ett s.k. tredje land (en stat som varken ingår i Europeiska unio- nen eller är ansluten till Europeiska ekonomiska samarbets- området) innebär (se avsnitt 3.4). I utredningsdirektiven anges det att utredningen bör uppmärksamma behoven att utbyta person- uppgifter med mottagare inom och utanför EU. CSN har dock inte något löpande eller strukturerat utbyte av personuppgifter med någon utomlands (se avsnitt 4.2.7). Såvitt framkommit har CSN inte upplevt några svårigheter med att tillämpa bestämmelserna i personuppgiftslagen vid den överföring av personuppgifter som förekommer . Det har vidare inte kommit fram att CSN:s överföring av personuppgifter skulle innebära några integritets- risker som skulle behöva regleras särskilt. Utredningens bedömning är mot den bakgrunden att det inte behövs några särskilda bestämmelser i studiestödsdatalagen om CSN:s överföring av personuppgifter till tredje land. Utredningens förslag: Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt studiestödsdatalagen eller föreskrifter som har meddelats i anslutning till lagen. Enligt 28 § personuppgiftslagen (1998:204) gäller att den person- uppgiftsansvarige är skyldig att på begäran av den registrerade sna- rast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den lagen eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige ska också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera bety- dande skada eller olägenhet för den registrerade skulle kunna und- vikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.