sou · GVB364 · 2008-01-01 00:00:00 — Utredningen anser att följande grundläggande bestämmelser är både naturliga och nödvändiga: CSN ska bestämma villkoren för elektronisk tillgång till person- uppgifterna för den som deltar i CSN:s studiestödsverksamhet. Sådan tillgång ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter inom studiestöds- verksamheten. CSN ska vidare se till att elektronisk tillgång till personuppgifter dokumenteras och genomföra systematiska och återkommande kontroller av om obehörig åtkomst till uppgifterna förekommit. Den enskilde handläggaren hos CSN bör alltså inte ha elektro- nisk tillgång till personuppgifter i större utsträckning än vad som behövs för att handläggaren ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. Behörigheten bör framgå av interna regler och bör lämpligen kompletteras med tekniska begränsningar som förhindrar att handläggaren elektroniskt kom- mer åt personuppgifter som han eller hon enligt reglerna inte har behörighet till. De villkor för elektronisk tillgång till person- uppgifter som CSN bestämmer kan ha betydelse vid tillämpningen av bestämmelsen om straff för dataintrång i 4 kap. 9 c § brotts- balken. Vilken elektronisk tillgång till personuppgifter som en enskild handläggare behöver för att kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten är i första hand upp till CSN att bedöma. Avsikten är dock att bedömningen ska göras på ett betyd- ligt mer nyanserat sätt än vad den synes ha gjorts så att inte i princip varje handläggare har möjlighet till elektronisk tillgång till uppgifter om flera miljoner människor. Avsikten är emellertid inte att CSN på något genomgripande sätt ska behöva ändra sitt arbetssätt eller sin organisation. CSN behöver bl.a. med hänsyn till de långa återbetalnings- tiderna för studielån i vissa fall spara personuppgifter i ärenden om studiestöd . Alla sparade personuppgifter behövs emellertid inte normalt sett för att kunna hantera återbetal- ning eller återkrav av studiestöd. Det gör enligt utredningens mening att det är både nödvändigt och rimligt att begränsa den direkta elektroniska tillgängligheten till person- uppgifter som normalt sett inte behövs för att kunna hantera åter- betalning eller återkrav av studiestöd. Frågan om ytterligare begränsningar av den direkta elektroniska tillgängligheten till spa- rade personuppgifter hänger samman med de bestämmelser som bör gälla i fråga om bevarande och gallring av personuppgifter. Utredningen berör därför den frågan tillsammans med frågan om gallring i ett senare, gemensamt avsnitt, avsnitt 6.16. De behörighetsvillkor som CSN har att ställa upp bör som sagt lämpligen kompletteras med motsvarande tekniska begränsningar. Det torde dock inte vara praktiskt möjligt att med tekniska begränsningar förhindra all elektronisk tillgång till personuppgifter som inte behövs för att en handläggare ska kunna fullgöra sina arbetsuppgifter inom studiestödsverksamheten. För att kunna utreda och beivra obehörig åtkomst som inte förhindras av tek- niska begränsningar och försök från anställda och utomstående att kringgå de tekniska begränsningarna (t.ex. genom s.k. hackning) krävs det för det första att den faktiska elektroniska tillgången till personuppgifter dokumenteras i en logg (behandlingshistorik). Dokumentationen ska avse alla former av elektronisk tillgång som förekommit till personuppgifterna oavsett om det är anställda som internt berett sig tillgång eller om utomstående har gjort det t.ex. via direktåtkomst. För det andra krävs det att det genomförs sys- tematiska och återkommande kontroller av om obehörig åtkomst till personuppgifterna förekommit. Det räcker alltså inte att log- garna kontrolleras bara när CSN på annat sätt fått anledning att misstänka att obehörig åtkomst har förekommit. Det bör i första hand vara upp till CSN att bedöma hur kontrollen bör genomföras. Avsikten är att åstadkomma en sådan lämplig säkerhetsnivå som avses i 31 § personuppgiftslagen. Att loggning sker och att loggarna av CSN kontrolleras syste- matiskt och återkommande innebär inte bara att obehörig åtkomst kan upptäckas och beivras i efterhand utan torde också ha en avhållande effekt. Dessa effekter av loggningen förstärks också genom utredningens förslag om att den registrerade, i den utsträckning uppgifterna får lämnas ut till honom eller henne, får ha direktåtkomst till dokumentation av den elektroniska tillgång som förekommit till hans eller hennes personuppgifter, se avsnitt 6.12.6. Loggarna utgör vidare allmänna handlingar som den regi- strerade kan begära att få ta del av med stöd av offentlighetsprinci- pen. Det torde normalt inte gälla sekretess gentemot den registre- rade för uppgifterna i loggarna. Utredningen har vidare övervägt att föreslå en uttrycklig bestämmelse om att CSN på begäran ska lämna den registrerade begriplig information om den elektroniska tillgång till hans eller hennes uppgifter som förekommit. En motsvarande bestämmelse har t.ex. föreslagits för hälso- och sjukvårdens del.29 Utredningen har emellertid stannat för att inte lämna något sådant förslag. Det får nämligen förutsättas att CSN på egen hand ser till att det är möjligt för registrerade som begär det att få se sådan dokumenta- tion av den elektroniska tillgången som de kan förstå. 29 SOU 2006:82 s. visa sig att det trots allt behövs uttryckliga bestämmelser i det avse- endet, kan sådana bestämmelser meddelas av regeringen i förord- ning (jämför nedan). Eftersom det inte kan uteslutas att det på området kan behövas mer preciserade bestämmelser som inte lämpligen bör meddelas i lag, bör det uttryckligen anges i studiestödsdatalagen att reger- ingen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om elektronisk tillgång och om dokumenta- tion och kontroll. De nu berörda bestämmelserna i den föreslagna studiestöds- datalagen avviker inte från bestämmelserna om säkerheten vid behandling i 30–32 §§ personuppgiftslagen utan utgör preciseringar av dessa bestämmelser. CSN har således att i andra avseenden än som särskilt regleras i studiestödsdatalagen vidta lämpliga åtgärder enligt vad som följer av personuppgiftslagen för att skydda de per- sonuppgifter som behandlas. 6.12Direktåtkomst och annat elektroniskt utlämnande av personuppgifter I personuppgiftslagen regleras det inte särskilt på vilket sätt – elektroniskt eller på annat sätt, t.ex. muntligt eller på papper – per- sonuppgifter får lämnas ut när uppgifterna över huvud taget får lämnas ut. I många särskilda registerförfattningar finns det dock bestäm- melser om utomståendes direktåtkomst till myndigheters register och databaser och om när personuppgifter får lämnas ut på medium för automatiserad behandling. Det finns inte någon legaldefinition av begreppet direktåtkomst eller begreppet utlämnande på medium för automatiserad behandling, men frågor om sådana former av elektroniska utlämnanden har diskuterats i ett flertal förarbeten. Begreppsbildningen är oklar och inte enhetlig.30 I fråga om direktåtkomst har efter en genomgång av olika särskilda registerförfattningar sammanfatt- ningsvis angett bl.a. följande:31 30Se för en genomgång av förarbeten och begreppsbildningen Samsetrapport 2005:1. Se också SOU 2007:45 s. 159 ff. 31SOU 2007:22 Del 1 s. 463 f. Grundläggande bestämmelser om så kallad direktåtkomst brukar i all- mänhet ha form av lag. Skälet till detta är att frågan om direktåtkomst har ansetts central från integritetsskyddssynpunkt. Vad som avses med detta begrepp kan dock inte anses helt klarlagt. Den grundläggande innebörden av begreppet torde vara att någon för myndigheten utom- stående har rätt att på egen hand söka i myndighetens databaserade informationssamlingar, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet (se t.ex. prop. 2004/05:164 s. 83 f.). I begreppet direktåtkomst ligger också att den som är ansvarig för informationssamlingen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av. Genom direktåtkoms- ten öppnas alltså myndighetens informationssamlingar helt eller delvis för den utomstående. Om det är fråga om uppgifter som omfattas av sekretess, måste man alltså i förväg fastställa att den utomstående har rätt att ta del av informationssamlingen utan att någon sekretesspröv- ning skall göras i det individuella fallet. En bestämmelse som tillåter direktåtkomst har inte ansetts i sig innebära en sådan uppgiftsskyldighet som enligt 14 kap. 1 § SekrL medför att ett utlämnande av uppgifter till en annan myndighet inte hindras av sekretess. Det torde bero på att det i bestämmelser om direktåtkomst brukar anges vilka myndigheter som får ha direkt- åtkomst till den aktuella myndighetens informationssamlingar. []Den regleringsmodell som i allmänhet används är således att det i den aktuella registerlagen anges att direktåtkomst får medges. Därutöver meddelar regeringen i en förordning kompletterande bestämmelser om uppgiftsskyldighet. I lagen brukar det inte hänvisas till att det i förordning finns sådana sekretessbrytande regler. Av lagen framgår alltså i allmänhet inte att direktåtkomsten kompletteras av bestämmelser om uppgiftsskyldighet. Kommittén ansåg att det vore önskvärt att bestämmelser om direktåtkomst utformas så att det framgår huruvida denna åtkomst kompletteras med bestämmelser om uppgiftsskyldighet. Därmed skulle den enskilde redan av de grundläggande bestämmelserna i lagen kunna läsa ut vilken slags integritetsinskränkning det var fråga om.32 Det har betonats att det i praktiken inte behöver vara så stor skillnad mellan direktåtkomst och utlämnande på medium för automatiserad behandling.33 I fråga om begreppet utlämnande på medium för automatiserad behandling brukar man fästa avseende vid sådant som att det är avsändaren som, åtmin- stone i teorin, i det enskilda fallet bestämmer vilka uppgifter som ska lämnas ut och som därvid gör en sekretessprövning och att 32SOU 2007:22 Del 1 s. 464 f 33Se t.ex. prop. 2004/05:164 s. 82. mottagaren efter utlämnandet själv kan bearbeta de mottagna upp- gifterna. Att utlämnandet sker på något fysiskt medium, såsom en diskett eller en cd-skiva, har inte alltid krävts utan ibland har även utlämnanden via elektronisk kommunikation, såsom e-post, ansetts innefattas i begreppet. Inte heller bestämmelser som tillåter utläm- nande på medium för automatiserad behandling har ansetts i sig innebära en sådan uppgiftsskyldighet som enligt 14 kap. 1 § sekre- tesslagen medför att ett utlämnande av uppgifter till en annan myndighet inte hindras av sekretess. Om det är fråga om uppgifter som omfattas av sekretess, måste man alltså även här före utläm- nandet fastställa att den utomstående har rätt att ta del av upp- gifterna. Begreppsbildningen i fråga om elektroniskt utlämnande av per- sonuppgifter är som sagt oklar och inte enhetlig. Det är inte bra, men det kan man inte göra så mycket åt när man utformar ytter- ligare en särskild registerförfattning. Vad man kan göra då är att se till att man inte bidrar till ytterligare oklarheter. Att personuppgifter, på ett eller annat vis, lämnas ut i elektro- nisk form innebär som regel att det, i förhållande till utlämnande i annan form, t.ex. muntligt eller på papper eller mikrokort, blir enklare för mottagaren att vidare bearbeta uppgifterna och att sprida dem vidare. Inhämtande av personuppgifter i elektronisk form torde vidare ofta upplevas som enklare och billigare än inhämtande i annan form, varför den elektroniska formen i sig kan antas öka det informationsutbyte som sker. Därför finns det skäl att i särskilda registerförfattningar ha särskilda begränsningar i fråga om just elektroniskt utlämnande av personuppgifter. Utredningen, som anser att sådana begränsningar bör finnas även i studiestödsdatalagen, har valt att anknyta till de oklara men ändå vedertagna begreppen direktåtkomst och utlämnande på medium för automatiserad behandling. Därmed bör läsaren av lagen känna igen sig. har utredningen med något undan- tag valt att reglera de båda utlämnandeformerna på i princip samma sätt för att därmed minska olägenheterna av att det ibland kan vara oklart vad som utgör den ena respektive den andra formen av utlämnande. Som överordnat begrepp använder utredningen i den föreslagna studiestödsdatalagen begreppet elektroniskt utlämnande. Därmed avser utredningen alla former av utlämnande av person- uppgifter i elektroniskt format, dvs. i binär form, såsom ettor och nollor. Det bör betonas att vid allt elektroniskt utlämnande måste naturligtvis kraven på säkerhetsåtgärder i enlighet med person- uppgiftslagen upprätthållas. Frågan om kommunernas socialtjänst bör få elektronisk tillgång till uppgifter hos CSN, t.ex. i enlighet med det pilotprojekt som bedrivs av CSN i samarbete med bl.a. kom- mun och som beskrivits i avsnitt 4.2.5, har utretts i särskild ordning, och informationsutbytesutredning har tagit ställ- ning för att sådan tillgång bör medges.34 Utredningen tar därför inte ställning till den frågan i sak utan begränsar sig till att redogöra för hur den direktåtkomst informationsutbytesutredning ansett bör komma till stånd tekniskt kan inordnas i utredningens författningsförslag. Den frågan berörs närmare i avsnitt 6.12.5. 6.12.2Elektroniskt utlämnande kräver samtycke eller författningsstöd Utredningens förslag: Direktåtkomst till och annat elektro- niskt utlämnande av personuppgifter som behandlas i Centrala studiestödsverksamhet är tillåtet utan den registrerades samtycke bara i den utsträckning som anges i lag eller förordning och under förutsättning att bestämmelserna om tillåtna ändamål m.m. och sökbegrepp följs. Redan i studie- stödsdatalagen anges vissa fall av tillåtet elektroniskt utläm- nande. När personuppgifter får lämnas ut till någon genom direktåtkomst, får personuppgifterna också på annat sätt lämnas ut elektroniskt till denne. Det finns såsom nämnts inledningsvis (avsnitt 6.12.1) skäl att i förhållande till vad som gäller enligt personuppgiftslagen införa särskilda begränsningar i fråga om elektroniskt utlämnande av per- sonuppgifter. Vid bedömningen av vilka som bör få ha direktåtkomst till per- sonuppgifter som behandlas i CSN:s studiestödsverksamhet bör utgångspunkten vara att sådan åtkomst kan tillåtas, men att det inte ska ske i större omfattning än vad som kan försvaras av effektivi- tetsskäl, inklusive kontroll av användningen av statliga medel, och att det ska ske med beaktande av integritetsskyddshänsyn. 34 Dir. 2005:91 och SOU 2007:45, särskilt s. 325 ff. direktåtkomst mellan myndigheter kan den enskilde slippa lämna samma uppgifter som myndigheten genom direktåtkomsten kan få möjlighet att komma åt uppgifter som är både nödvändiga och aktuella. Därigenom kan direktåtkomst öka effektiviteten för myndigheter och enskilda i deras kontakter med myndigheter. Det är enligt utredningens mening viktigt att en principiell avvägning görs mellan hänsynen till å ena sidan krav på effektiv handläggning och god kontroll av användningen av statliga medel och å andra sidan skyddet för de registrerades integritet. En grundläggande utgångspunkt måste enligt utredningens mening vara att direktåtkomst endast bör tillåtas när nyttan av åtkomsten är klart påvisbar som den inte innebär några beaktan- svärda försämringar av skyddet för den personliga integriteten. På motsvarande sätt bör man bedöma annat elektroniskt utläm- nande av personuppgifter som behandlas i CSN:s studiestöds- verksamhet som sker i större omfattning, t.ex. återkommande eller systematiskt utlämnande på medium för automatiserad behandling eller via elektronisk kommunikation såsom e-post. I den utsträck- ning direktåtkomst är tillåten bör å andra sidan andra former av elektroniskt utlämnande av personuppgifter utan vidare vara tillåtna. Direktåtkomst för någon är nämligen som regel den mest integritetskänsliga formen för elektroniskt utlämnande av person- uppgifter till denne. Enligt utredningens mening finns det för det första inga beak- tansvärda integritetsskyddsskäl som talar emot att tillåta sådant elektroniskt utlämnande som sker med den registrerades samtycke. En annan sak är att direktåtkomst till en samling uppgifter om många personer knappast kan baseras på frivilliga samtycken från de registrerade. Vid elektroniskt utlämnande i enskilda fall kan dock samtycke vara realistiskt. Frågan om elektroniskt utlämnande såsom direktåtkomst ska tillåtas utan de registrerades samtycke i ett visst fall förutsätter normalt sådana överväganden och detaljregler i det konkreta fallet att bestämmelser om detta som regel inte lämpligen bör tas in i den föreslagna studiestödsdatalagen. I fråga om direktåtkomst till beskattningsdatabasen har reger- ingen ansett att det – med hänsyn till att direktåtkomst till upp- gifter hos en annan myndighet ansetts innebära särskilda risker från integritetssynpunkt, eftersom den utlämnande myndigheten inte har möjlighet att i varje enskilt fall ta ställning till om de eftersökta uppgifterna bör lämnas ut – bör ankomma på att ta ställ- ning till i vilka fall direktåtkomst bör medges (prop. 2000/01:33 s. 133). har det emellertid ansetts att direktåtkomst till soci- alförsäkringsdatabasen, som innehåller personuppgifter som nor- malt får anses vara av mer känslig natur än de personuppgifter som behandlas i CSN:s studiestödsverksamhet, bör kunna medges genom förordning (men inte genom myndighetsföreskrifter), 17 § lagen (2003:763) om behandling av personuppgifter inom social- försäkringens administration (prop. 2002/03:135 s. 90, jämför dock om tolkningen av bestämmelsen Samsetrapport 2005:1 s. 90). Utredningen anser för sin del att det i fråga om personuppgifter som behandlas i CSN:s studiestödsverksamhet är tillräckligt att bestämmelser som tillåter direktåtkomst – och därmed också annat elektroniskt utlämnande av personuppgifter – tas in i förordning. Inskränkningen i fråga om möjligheten för CSN att medge direkt- åtkomst och annat elektroniskt utlämnande av personuppgifter bör dock framgå direkt av den föreslagna studiestödsdatalagen. Utred- ningen föreslår i enlighet härmed att det i studiestödsdatalagen tas in en grundläggande bestämmelse om att direktåtkomst till och annat elektroniskt utlämnande av personuppgifter som behandlas i CSN:s studiestödsverksamhet utan den registrerades samtycke bara är tillåtet i den utsträckning som anges i lag eller förordning. Där- med kan detaljregler om t.ex. vilka personuppgifter som berörs meddelas i annan lag eller, om det anses lämpligare, i förordning. Genom att det krävs en författningsbestämmelse men räcker med en bestämmelse i förordning utfärdad av regeringen, kan ändringar till följd av justeringar i myndighetsstrukturen och uppkommande nya befogade behov av informationsutbyte komma till stånd på ett förhållandevis smidigt sätt som det finns tillräckliga garantier för att integritetsskyddsintressena uppmärksammas. Vid beredningen i av ett ärende om en bestämmelse som tillåter viss direktåtkomst ska nämligen yttrande från Data- inspektionen hämtas in, 7 kap. 2 § regeringsformen. Den skyldig- heten att höra Datainspektionen följer för övrigt också av EG- direktivet (artikel 28.2). Utredningen föreslår dock att det redan i studiestödsdatalagen tas in bestämmelser om några fall av tillåtet elektroniskt utläm- nande. De aktuella fallen berörs närmare i följande avsnitt. Det gäller för det första en generell bestämmelse föranledd av närmast praktiska skäl om att ett begränsat utlämnande av personuppgifter får ske på medium för automatiserad behandling eller via elektro- nisk kommunikation om sekretess inte hindrar det (avsnitt 6.12.3). För det andra gäller det ett par viktiga fall där en myndighet (För- säkringskassan) och organ med myndighetsuppgifter som vid tillämpning av sekretesslagen jämställs med myndigheter (arbets- löshetskassorna) fortlöpande får personuppgifter elek- troniskt från CSN (avsnitt 6.12.4). För det tredje gäller det elek- troniskt utlämnande till den registrerade själv (avsnitt 6.12.6). Slut- ligen gäller det ett speciellt fall där en myndighet under () enligt förarbetena till en lagbestämmelse om upp- giftsskyldighet för CSN förutsätts på begäran få skyldigheten full- gjord genom utlämnande på medium för automatiserad behandling utan att det uttryckligen angetts i bestämmelsen (avsnitt 6.12.7). Som exempel på befintliga bestämmelser om utlämnande av per- sonuppgifter på medium för automatiserad behandling kan nämnas 1 b § bostadsbidragsförordningen (1993:739) och 5 § förordningen (1996:1036) om underhållsstöd. Utredningen har med hjälp av CSN gått igenom det återkom- mande elektroniska utlämnande av personuppgifter som i övrigt sker från CSN och som det finns konkreta planer på (jämför avsnitt 4.2.5).35 Detta elektroniska utlämnande av personuppgifter från CSN kan sammanfattas enligt följande. Indrivning av fordringar i utlan- Ta fram och till studerande dis- tribuera bevis om studier med Kontroll av de uppgifter läro- avser i princip bara de uppgifter lämnat till CSN) mun av belopp att betala ut till 35 CSN:s elektroniska utlämnande av personuppgifter till för att fullgöra uppgiftsskyldigheten enligt regeringens förordning (CSNFS 1986:25) om register med vissa uppgifter i gymnasieskolan faller utanför den föreslagna studiestödsdatalagen, se avsnitt 6.6.2. Olika myndigheter eller organ som anges i bilagan till sekre- tesslagen (1980:100) som begär det kommunen enligt förordningen (1995:667) om bidrag till vissa funktionshindrade elever i gym- nasieskolan (Rg-bidrag) avse- ende kostnad för kost, logi och annan service i samband med boendet som kommunen till- handahåller Fullgörande av skyldighet att lämna kontrolluppgifter Namn- och adressuppgifter för myndigheternas utsändande av information (sker på grund av uppgiftsskyldigheten enligt 15 kap. 5 § sekretesslagen) Kontroll inför utbetalning av ekonomiskt stöd till inackor- (1985:1100) (sker på grund av 15 kap. 5 § sekretesslagen) Betalning av studerandes resa (med samtycke) Förmedling av studerandes för- säkring (med samtycke) Detta elektroniska utlämnande av personuppgifter sker inte i huvudsak med direktåtkomst i traditionell mening. Som nämnts i avsnitt 4.2.5 har det införts en möjlighet för skolor (läro- anstalter) att via ett webbaserat gränssnitt rapportera uppgifter till CSN. I samband med att skolorna gör det får de elektronisk till- gång till de uppgifter som respektive skola tidigare lämnat till CSN, vilket får anses vara en direktåtkomst till uppgifterna. Utredningen har från integritetsskyddssynpunkt inte något att erinra mot det elektroniska utlämnande av personuppgifter som sålunda sker så länge det avser bara de personuppgifter som behövs för respektive syfte, sker på ett tillräckligt säkert sätt och inte hind- ras av sekretess. Utlämnandet till , betal- ningsförmedlare, inkassoföretag, kortföretag, läroanstalter och kommun sker inom ramen för och för att fullgöra de till- låtna ändamålen med behandling (se avsnitt 6.8.2), medan utläm- nandet till , till myndigheter och organ som anges i bilagan till sekretesslagen och till kommuner avseende inackor- derade elever i gymnasieskolan sker på grund av uppgiftsskyldighet. Utlämnandet till reseföretag och försäkringsmäklare sker, eller kan utan olägenhet ske, med den registrerades samtycke. De övriga fal- len tas lämpligen in i en till lagen anslutande förordning, studie- stödsdataförordningen, med nödvändiga preciseringar av vilka upp- gifter som får lämnas ut i respektive fall. Frågan om utformningen av förordningen i detta hänseende berörs i avsnitt 6.17.5 och 6.17.6. Enligt CSN förekommer det inte så sällan att privata företag i andra fall begär att elektroniskt få ut adressuppgifter för utskick. CSN brukar i dessa fall inte lämna ut uppgifterna elektroniskt.