sou · GVB345 · 2008-01-01 00:00:00 — Av bestämmelserna följer att för tillhand- hållande av information till enligt 5 § 1 i lagen får bl.a. uppgifter om namn och personnummer samt uppgifter om arbetssökandes tillhörighet till arbetslöshetskassa enligt regist- rering behandlas. I 12 § lagen om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten föreskrivs att , , IAF och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas om det behövs för de ändamål som avses i 5 §. Regeringen med- delar föreskrifter om vilka personuppgifter som får omfattas av dessa myndigheters direktåtkomst. Enligt 13 § lagen får uppgifter i en arbetsmarknadspolitisk databas lämnas ut till en enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Regeringen, eller den myndighet som regeringen bestämmer, meddelar även föreskrifter om vilka personuppgifter som får lämnas ut på medium för automatiserad behandling till myndig- heter och enskilda. I 12 § förordningen finns bestämmelser om vilka uppgifter som får lämnas ut på medium för automatiserad behandling till , CSN och arbetslöshetskassorna. Enligt 16 § förordningen får , CSN och arbetslöshetskassor- na ha direktåtkomst till de personuppgifter som enligt 12 § får lämnas ut på medium för automatiserad behandling, med undantag för uppgifter om adress och telefonnummer. 4.6.4Information till den registrerade Av bestämmelserna i lagen och förordningen om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten följer att bl.a. 23 och 24 §§ PuL om information till den registre- rade är tillämpliga (2 § lagen och 20 § förordningen). 4.7Behandling av personuppgifter inom Det finns inte något gemensamt datasystem eller någon gemensam datateknisk lösning för ärendehanteringen vid landets kommuner. Utifrån den information som vi fått från bl.a. SKL och Verva torde dock den slutsatsen kunna dras att landets kommuner, möjligen med något enstaka undantag, använder datasystem för hanteringen av ärenden om ekonomiskt bistånd enligt SoL. Fler- talet av kommunerna köper sitt IT-stöd av externa leverantörer. Det finns även kommuner som använder egenutvecklade data- system. Inom de datasystem som kommuner köper av externa kan kommunerna vanligtvis bl.a. köpa en tjänst som innebär att systemleverantören elektroniskt förmedlar uppgifter från (se avsnitt 15.4). 4.7.1Allmänt om registerförfattningarna och deras tillämpningsområde För gäller SoLPuL och SoLPuLF. SoLPuL tillämpas vid behandling av personuppgifter inom , om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en struk- turerad samling av personuppgifter som på viss sätt är tillgängliga för sökning eller sammanställning (1 §). PuL gäller vid aktuell behandling av personuppgifter, om inte annat följer av SoLPuL eller föreskrifter som har meddelats med stöd av den lagen eller annars av 2 § PuL (4 § SoLPuL). Av 12 § 1 SoLPuLF framgår att en myndighet får behandla personuppgifter för handläggning av ärenden om bistånd och annat stöd samt genomförande av beslut om bistånd, stöd- insatser, vård och behandling samt annan social service som följer av bestämmelserna i . 4.7.2Ändamålen med behandlingen m.m. Enligt 6 § första stycket SoLPuL får personuppgifter behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom skall kunna utföras. Personuppgifter får även behandlas för uppgiftsutlämnande som föreskrivs i lag eller förord- ning. Samtliga kategorier av personuppgifter får behandlas inom . En särskild bestämmelse finns i SoLPuL som tillåter hanteringen av vissa känsliga personuppgifter m.m. (7 §). Vid lagens tillkomst angav regeringen att det inte behövdes en särskild bestämmelse om att personuppgifter inom får lämnas ut på medium för automatiserad behandling. Regeringen hänvisade bl.a. till PuL enligt vilken tillstånd inte behövs för att behandla – t.ex. registrera – personuppgifter. Om inget annat har föreskrivits får personuppgifter – under förutsättning att utläm- nandet (behandlingen) är tillåten enligt PuL och eventuellt anslutande speciallagstiftning – lämnas ut på vilket medium som helst, även på medium för automatiserad behandling. Bestämmelser om sekretess kan dock hindra att uppgifterna över huvud taget får lämnas ut. Enligt regeringen fanns det inte heller från integritets- synpunkt tillräckliga skäl för att i lagstiftningen förbjuda att per- sonuppgifter inom lämnas ut på ett medium för auto- matiserad behandling (prop. 2000/01:80 s.148 f.). I de informationsutbyten som vi har övervägt är kommunernas socialnämnder mottagare av uppgifter och det har inte varit aktuellt att överväga direktåtkomst för andra myndigheter till uppgifter hos kommunerna. Vi går därför inte in på frågan om bestämmelser om direktåtkomst i registerförfattningarna inom . Av SoLPuL följer att PuL:s bestämmelser om information till den registrerade är tillämpliga (4 § SoLPuL). 4.8Behandling av personuppgifter inom arbetslöshetskassornas, Statens pensionsverks och Centrala verksamhet Även hos arbetslöshetskassorna, SPV och CSN hanteras uppgifter i olika databaser och register. Beträffande arbetslöshetskassor finns anledning att nämna att samtliga kassor, för att hantera utbetal- ningar av ersättningar från arbetslöshetsförsäkringen, använder ett utbetalningssystem som kallas OAS. OAS utvecklas och förvaltas av Arbetslöshetskassornas samorganisation (SO). OAS innebär inte att arbetslöshetskassorna har en gemensam databas. OAS fungerar som en portal och varje arbetslöshetskassa har sin egen databas över de egna medlemmar som uppbär eller har uppburit arbetslöshetsersättning. Arbetslöshetskassornas, SPV:s och CSN:s behandling av person- uppgifter regleras inte i någon särskild författning utan det är PuL:s bestämmelser som är tillämpliga för behandlingen. Därutöver gäller de ändamål som arbetslöshetskassorna, SPV och CSN uppställer för behandling av personuppgifter i sin respektive verksamhet. Såvitt avser nämnda aktörer kommer vi – med ett undantag beträffande CSN (se avsnitt 15.9.8) – inte att lämna några förslag angående regleringen av behandlingen av personuppgifter i deras olika verksamheter. Regeringen har tillkallat en särskilt utredare för att bl.a. analysera behovet av särskilda författningsbestämmelser för myndigheternas behandling av personuppgifter inom studiestödsområdet (dir. 2006:90). Utredningen, som har antagit namnet Studiestöds- utredningen (U 2006:10), skall redovisa sitt uppdrag . Våra överväganden och förslag I många särskilda registerförfattningar finns bestämmelser om utlämnande på medium för automatiserad behandling och om direktåtkomst för utomstående till myndigheters register och databaser (se bl.a. avsnitt 4). Från olika håll har kritik framförts på flera punkter. Det har ansetts oklart vad som avses med dessa begrepp och den nuvarande lagstiftningstekniken att särskilt reglera direktåtkomst, dvs. en viss åtkomstmetod, har ifrågasatts.1 Till detta kommer att registerförfattningarna saknar en enhetlig struktur. Av våra direktiv framgår att utgångspunkten för vårt arbete skall vara att det elektroniska informationsutbytet i största möjliga utsträckning bör ske genom att mottagaren har direktåtkomst till uppgifter hos utlämnaren. De nu påtalade problemen är därför av centralt intresse såväl när det gäller hur begrepp som beskriver metoder för uppgiftsutlämnande skall användas som vid utformningen av nya bestämmelser inom området. Det finns skäl att redan i detta avsnitt något ytterligare redogöra för problemen samt hur vi har valt att hantera dem i samband med våra överväganden och vid utarbetandet av våra förslag. Vi har vidare funnit anledning att överväga om man inte även måste se över registerförfattningarna och skapa förutsättningar för ett samordnat och enhetligt regelverk som främjar utvecklingen av elektronisk förvaltning och minskar riskerna för oacceptabla intrång i den personliga integriteten. Denna fråga om utvecklingen på tar vi upp i avsnitt 18. 1 Se t.ex. SOU 2000:97 s. 278 f., 2005:1, Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, utarbetad inom det s.k. som leds av och Statskontorets rapport 2006:7, Informationsutbyte kräver bra förutsättningar. En utvärdering av informationsutbytet mellan arbetslöshetskassorna, , och . 5.1.1Begreppen utlämnande på medium för automatiserad behandling och direktåtkomst PuL saknar bestämmelser om sättet att lämna ut personuppgifter, dvs. om det sker manuellt eller elektroniskt. Däremot innehåller PuL bestämmelser som anses innebära begränsningar i möjligheten att lämna ut uppgifter genom direktåtkomst. Dessa begränsningar finns främst i 9 § första stycket d, e och f, som anger att person- uppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. De särskilda registerförfattningar som har införts för olika myn- digheters personuppgiftsbehandling gäller i de flesta fall framför PuL. Många sådana särskilda författningar innehåller begränsningar av elektroniskt utlämnande av personuppgifter i form av bestäm- melser om utlämnande på medium för automatiserad behandling och direktåtkomst. Det finns ingen legaldefinition av begreppen utlämnande på medium för automatiserad behandling respektive direktåtkomst. Frågor om vad som avses med sådana åtkomstmetoder har dock övervägts i ett flertal förarbeten. Inte minst gäller detta för direkt- åtkomst. Utlämnande på medium för automatiserad behandling I nuvarande författningar avses med begreppet utlämnande på medium för automatiserad behandling i regel utlämnande av upp- gifter i elektronisk form på en rad olika sätt, t.ex. genom användning av e-post, genom utlämnande på diskett eller cd-skiva eller genom direkt överföring från ett datorsystem till ett annat via telenätet. Att utlämnande sker på medium för automatiserad behandling innebär som regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen (se t.ex. prop. 2002/03:135 s. 97 och prop. 2004/05:164 s. 82). Av de olika formerna av elektroniskt utlämnande har lagstiftaren ansett direktåtkomsten vara förenad med särskilda integritetsrisker. Den grundläggande innebörden av begreppet direktåtkomst – och den innebörd som angetts i förarbeten – är att den som använder ett register eller en databas på egen hand kan söka i registret eller databasen och få svar på frågor utan att själv kunna bearbeta eller på annat sätt påverka innehållet. Direktåtkomst kan ge användaren en möjlighet att även hämta hem information till sitt eget system och bearbeta den där. Direktåtkomsten har tradi- tionellt sett ansetts innebära att uppgifter lämnas ut utan att den utlämnande myndigheten i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut (se t.ex. prop. 2005/06:52 s. 8 och prop. 2005/06:152 s. 21). Från integritetssynpunkt har det av denna anledning ansetts vara av stor betydelse att särskilt reglera frågor om tillgång till uppgifter genom direktåtkomst i registerlagstiftning (se t.ex. prop. 2000/01:129 s. 74, prop. 2001/02:144 s. 35 f. och prop. 2005/06:52 s. 8). 5.1.2Utvecklingen har skapat nya förutsättningar Begreppen utlämnande på medium för automatiserad behandling (tidigare medium för automatisk databehandling, ADB) och direktåtkomst (tidigare terminalåtkomst) började användas och förekommer numera i ett stort antal register- författningar. har emellertid utvecklingen av informationstekniken och utvecklingen mot ökad datorisering i samhället gått oerhört snabbt. Detta har i sin tur medfört att de tekniska förutsättningarna för olika former av informationsutbyten har förändrats. Det finns betydligt fler sätt att utbyta uppgifter elektro- niskt än och nya åtkomstmetoder fortsätter att tillkomma. Den tekniska utvecklingen har även inneburit att skillnaderna mellan direktåtkomst och annat elektroniskt utläm- nande numera i praktiken inte är så stora. Som exempel kan nämnas att det tidsmässigt inte behöver vara någon större skillnad mellan direktåtkomst och annat elektroniskt utlämnande, eftersom det även finns andra metoder än direktåtkomst för att utbyta information sekundsnabbt. Vidare behöver de olika åtkomst- metoderna inte innebära några större skillnader i den utlämnande myndighetens kontroll över vilka uppgifter som lämnas ut i det enskilda fallet. Vid såväl utlämnande via direktåtkomst som vid sådant rutinmässigt utlämnande av uppgifter som sker genom utlämnande på medium för automatiserad behandling via tele- eller datanät sker således i praktiken sekretessprövningen, eller pröv- ningen av vilka uppgifter som omfattas av en författningsreglerad uppgiftsskyldighet och därmed skall lämnas ut utan någon sekre- tessprövning, i samband med att förbindelsen mellan utlämnaren och mottagaren av uppgifterna upprättas (se även avsnitt 8.2.5). Någon ytterligare prövning av om uppgifterna kan lämnas ut sker inte i samband med utlämnandet. Själva utlämnandet innefattar således i dessa fall endast en teknisk bearbetning. I detta sammanhang bör erinras om att en generell sekretess- prövning på förhand normalt inte är tillräcklig för ett sekretess- genombrott när stark sekretess, dvs. sekretess med ett omvänt skaderekvisit, gäller. Det omvända skaderekvisitet innebär näm- ligen att sekretess gäller, om det inte står klart att uppgiften kan röjas utan skada. Det omvända skaderekvisitet utgår således från att sekretess är huvudregel och innebär att tillämparen har ett ganska begränsat utrymme för sin bedömning. Lagstiftaren har avsett att en skadeprövning enligt det omvända skaderekvisitet i regel skall ske i varje enskilt fall, dvs. varje gång en uppgift lämnas ut från myndigheten. Ett massutlämnande, vilket det kan bli fråga om vid automatiserade rutiner, brukar således inte anses förenligt med sådan stark sekretess (se exempelvis prop. 1990/91:111). Med dagens teknik är det även vid direktåtkomst möjligt att filtrera utlämnandet på detaljnivå och dessutom på olika sätt för olika mottagare och skilda mottagande handläggare. Den dominerande metoden för utlämnande genom direktåtkomst inne- bär i enlighet med detta att mottagaren på ett begränsat antal förbestämda frågor kan få förbestämda svar. Därigenom har utläm- naren även vid direktåtkomst viss kontroll över de uppgifter som utbyts. Mot bakgrund av de nu redovisade förhållandena är det från integritetssynpunkt egentligen av mindre betydelse om uppgifter görs tillgängliga genom direktåtkomst eller genom utlämnande på medium för automatiserad behandling. Särregleringen av direkt- åtkomst har också ifrågasatts från olika håll (se t.ex. SOU 2000:97 s. 278 f., prop. 2000/01:129 s. 74, 2005:1, Statskontorets rapport 2006:7 och SOU 2007:45 Begrepp och författningsregleringen , Särskilda registerförfattningar, till , s. 704 f.). Sammanfattningsvis kan konstateras att den tekniska utveck- lingen har inneburit att de aktuella begreppens tillämpning på modernare metoder för informationsutbyte har blivit oklar. 5.2Registerförfattningarna saknar en enhetlig systematik Antalet särskilda registerförfattningar är mycket stort. Vid kartläggningar och uppskattningar har nämnts siffror på mellan 100 och 200 registerförfattningar (se , Särskilda register- författningar, till , s. Även om många av författningarna påminner om varandra har de ingen gemensam struktur. Olika begrepp i författningarna kan användas för samma sak och ett och samma begrepp, som t.ex. direktåtkomst, kan användas med olika betydelser (jfr delbetänkande SOU 2007:22 s. 461 ff.). Författningstekniken för att reglera registerförfattningarnas förhållande till PuL skiftar och alla registerförfattningar innehåller t.ex. inte alla typer av bestäm- melser. Skillnaderna blir påtagliga, och i viss mån besvärande, när det som för vår utredning är aktuellt att överväga nya bestämmelser som avser informationsutbyten mellan ett flertal verksamheter som styrs av olika registerförfattningar. I det följande ger vi några exempel på skillnader i registerförfattningar av intresse för vår utredning. För en mer ingående beskrivning av sådana skillnader hänvisas till 2005:1 avsnitt 5.4 samt till SOU 2007:22. 5.2.1Skillnader i fråga om utlämnande till myndigheter på medium för automatiserad behandling En skillnad som vi har kunnat konstatera är att utlämnande till myndigheter på medium för automatiserad behandling hanterats olika i olika registerförfattningar. I vissa verksamheter förutsätter sådant utlämnande särskild reglering medan så inte är fallet i andra verksamheter. För de registerförfattningar som styr behandlingen av person- uppgifter inom beskattningsverksamhet och KFM:s verksamhet har utgångspunkten varit att det inte behövs någon reglering av möjligheterna för myndigheter att lämna ut uppgifter till andra myndigheter på medium för automatiserad behandling. Det resonemang som fördes i förarbetena till denna lagstiftning var att det för myndigheter vanligtvis finns särskilda författningar som reglerar vilka automatiserade register eller andra personuppgifts- samlingar som får föras av myndigheten eller annars på vilket sätt personuppgifter får behandlas. I dessa författningar regleras även ändamålen med behandlingen. En myndighet som tar emot upp- gifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Regeringen framhöll att det inte torde finnas någon risk för att mottagande myndigheter skulle behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett. Under förutsättning att den utlämnande myndigheten hade möjlighet att avgöra vilka uppgifter som skulle lämnas ut ansågs det därför saknas anledning att reglera när uppgifter får lämnas ut till myndighet på medium för automatiserad behandling. Enligt regeringen fanns det inte några bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektroniskt. Om en myndighet får eller skall lämna ut uppgifter till annan myndighet, t.ex. med stöd av SekrL eller andra författningar, ansågs det vara upp till myndigheterna att avgöra på vilket sätt det skall göras. 2000/01:33 s. 112 f. och SOU 1999:105 s. I exempelvis skattedatabaslagen och skattedatabasförordningen regleras således inte möjligheter att lämna ut upp- gifter på medium för automatiserad behandling till andra myndig- heter särskilt. Bestämmelser som begränsar möjligheterna att lämna ut upp- gifter på medium för automatiserad behandling till myndigheter finns däremot i SofdL. Av 21 § denna lag följer nämligen att utläm- nande av personuppgifter på medium för automatiserad behandling från socialförsäkringsdatabasen, utöver utlämnande till den regist- rerade själv, endast får ske om det sker i enlighet med de sekundära ändamål som anges i samma lag. Bestämmelsen gavs nämnda inne- håll trots att regeringen även i detta lagstiftningsärende ansåg att risken måste anses liten för att en mottagande myndighet skulle behandla personuppgifter som mottogs på ett annat sätt än i enlig- het med de särskilda författningar som gäller för myndigheten och som reglerar vilka behandlingar av personuppgifter som får före- komma hos denna. angav regeringen att det fanns skäl att i sammanhanget erinra om den s.k. finalitetsprincipen i PuL, som innebär att uppgifter som samlats in för ett visst ändamål därefter inte får behandlas för något annat ändamål som är oförenligt med det ursprungliga ändamålet. Om uppgifter som inhämtas för socialförsäkringens behov utan begränsning fick spridas till andra myndigheter fanns det, enligt regeringen, alltid en risk för att efterkommande behandlingar kunde komma att strida mot finalitetsprincipen. Mot denna bakgrund ansåg regeringen att även utlämnande till myndigheter på medium för automatiserad behand- ling skulle regleras (prop. 2002/03:135 s. 98 ff.). Ytterligare en variant av reglering när det gäller utlämnande till myndigheter på medium för automatiserad behandling finns i lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och i lagen (2006:469) om behandling av person- uppgifter vid Inspektionen för arbetslöshetsförsäkringen. Sist- nämnda lag berörs inte av våra förslag. När det gäller den arbetsmarknadspolitiska verksamheten och IAF:s verksamhet har lagstiftaren, på samma sätt och av samma skäl som redovisats vad gäller behandling av personuppgifter inom bl.a. beskattningsverksamheten, ansett att det inte behövs några föreskrifter om huruvida personuppgifter överhuvudtaget får lämnas ut till myndigheter på medium för automatiserad behandling. Några sådana föreskrifter finns således inte i de två sistnämnda lagarna. Däremot finns i 13 § andra stycket respektive 12 § sista stycket i dessa lagar bestämmelser om att regeringen eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automatiserad behandling till myndigheter. Någon motsvarande bestämmelse finns inte i de registerförfattningar som styr behandlingen av personuppgifter inom exempelvis Skatte- verkets beskattningsverksamhet eller KFM:s verksamhet. 5.2.2Skillnader i fråga om direktåtkomst för myndigheter Bestämmelser om direktåtkomst återfinns vanligtvis i registerlag. Ett exempel är skattedatabaslagen som innehåller bestämmelser om direktåtkomst för myndigheter till uppgifter i beskattningsdatabas. hade i det betänkande som låg till grund för lagen föreslagit att regeringen i vissa fall borde ha möjlighet att föreskriva om sådan åtkomst (SOU 1999:105 s. 258 och 263). Med hänsyn till de särskilda risker från integritetssynpunkt som direktåtkomst innebär ansåg dock regeringen att det borde ankomma på att ta ställning till i vilka fall direktåtkomst bör medges (prop. 2000/01:33 s. 133). I fråga om socialförsäkringens administration anges däremot i 17 § SofdL att direktåtkomst till socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i lag eller förordning. I (2005:1, avsnitt 5.4.3.4. Direktåtkomst för myndigheter) görs i och för sig gällande att denna bestämmelse inte bör missförstås så att nya myndigheter avses få direktåtkomst till uppgifter i socialförsäkringsdatabasen genom bestämmelser i förordning. Bestämmelsen innebär emellertid att det finns skill- nader i lagstiftningstekniken även när det gäller regleringen av direktåtkomst. 5.3Utgångspunkter för våra författningsförslag Vår bedömning: Utgångspunkten för våra förslag är att inte frångå den struktur och systematik som används i gällande registerförfattningar. Det innebär att en åtskillnad måste göras mellan direktåtkomst och andra former av elektroniskt utlämnande. Det är angeläget att komma till rätta med de problem det innebär att registerförfattningarna saknar en enhetlig struktur och att begreppsbildningen på området är mycket oklar. Nuvarande för- hållanden innebär svårigheter för rättstillämpningen och riskerar att skapa onödiga hinder för en önskvärd utveckling av infor- mationsutbytena. Det är högst otillfredsställande att det tillkommer nya registerförfattningar som bygger på strukturella uppdelningar och begrepp som är oklara. Bristen på samordning och enhetlighet leder till oklarheter i rättstillämpningen och svårig- heter i att överblicka regelverken, vilket i sin tur innebär ökad risk för omotiverade intrång i den personliga integriteten. För att lösa de påtalade problemen krävs emellertid en systematisk översyn av samtliga registerförfattningar och en ingående analys av bl.a. begrepp och de metoder som används för informationsutbyte. Detta ingår inte i vårt uppdrag. Inom ramen för vårt arbete har det