prop · GY0342 · 2010-12-07 00:00:00 — De frågor som återstår att pröva är om Arbetsförmedlingens interna rutiner och system erbjuder ett fullgott skydd för den personliga integriteten och om gällande sekretessreglering erbjuder ett tillräckligt gott sekretesskydd för de uppgifter som behandlas i Arbetsförmedlingens databaser. Datasäkerhet och behörighetstilldelning i systemen Flera remissinstanser, även de som tillstyrker förslaget, framhåller vikten av en fullgod datasäkerhet och fullgoda rutiner för behörighetstilldelning i systemen. DO delar uppfattningen i promemorian att nya rättsliga möj- ligheter att behandla känsliga personuppgifter inte får tas i anspråk förrän myndigheten har rutiner och tekniska lösningar på plats. DO anför vidare att det är viktigt att myndighetens ärendehanteringssystem ändras på sådant sätt att känsliga personuppgifter inte cirkulerar fritt mellan olika ärenden och handläggare på myndigheten. däribland , Mental Hälsa och , anser att frågor som rör arbetsrutiner, datasäkerhet, behörighetstilldelning och tillgång till information är dåligt belysta i promemorian och kräver ett klargörande av vilka säkerhets- och kvalitetskrav som ska ställas på Arbetsförmedlingens hantering av känsliga personuppgifter. Data- inspektionen påpekar att Arbetsförmedlingen tillämpar en mycket vid elektronisk åtkomst till personuppgifter i sitt ärende- hanteringssystem . Vid behandling av känsliga personuppgifter ställs särskilt höga krav på den tekniska och organisatoriska säkerheten. Arbetsförmedlingen är skyldig att utforma sina rutiner och system så att den samlade tillgången till och spridningen av känsliga personuppgifter blir så liten som möjligt. Därigenom kan onödiga intrång i den personliga integriteten undvikas. Arbetsförmedlingens skyldigheter i detta avseende följer redan av bestämmelserna i 11 § i Arbetsförmedlingens registerlag och av person- uppgiftslagens reglering om säkerheten vid behandling av person- uppgifter. Någon lagändring bedöms således inte nödvändig i denna del. Regeringen delar dock uppfattningen i promemorian att ett borttagande av samtyckeskravet ställer högre krav på att Arbetsförmedlingen aktivt arbetar med sina interna säkerhetsrutiner och ser över principerna för behörighetstilldelningen i systemen. Det kommer att bli än viktigare än tidigare att Arbetsförmedlingen ser till att endast de handläggare som verkligen har behov av uppgifterna har tillgång till dem och att dessa handläggare inte har tillgång till fler uppgifter än vad som är nödvändigt. Regeringen delar också Datainspektionens uppfattning att har arbetat med för vida behörigheter i sina data- system. Arbetsförmedlingen har dock inlett ett arbete med att se över behörighetstilldelningen och nuvarande arbetsmetoder och rutiner ur ett integritets- och datasäkerhetsperspektiv. Arbetsförmedlingen ska också involvera Datainspektionen i detta arbete. Målet är att Arbetsförmed- lingens tekniska system, arbetsrutiner och rutiner för behörighetsdelning ska uppfylla inspektionens krav på ett fullgott behörighetssystem. Det är av yttersta vikt att Arbetsförmedlingen har sina nya system och arbetsrutiner på plats . Dessa nya system och rutiner är också en förutsättning för att Arbetsförmedlingen ska få övergå till ett digitalt ärendehanteringssystem. Nya rättsliga möjligheter att behandla känsliga personuppgifter får inte tas i anspråk förrän myndig- heten har rutiner och tekniska lösningar på plats för att kunna garantera en fullgod datasäkerhet och ett fullgott integritetsskydd. Känsliga personuppgifter bör endast få behandlas i sådana datasystem där tillgången till uppgifterna rent tekniskt kan begränsas till de personer som verkligen behöver tillgång till uppgifterna. För behandling av känsliga personuppgifter i andra system bör det även fortsättningsvis krävas att ett samtycke inhämtas från den enskilde. Regeringen avser att i förordning meddela föreskrifter om detta samt om vilka ytterligare krav som ska ställas på Arbetsförmedlingens behörighetssystem. Nationell Samverkan för Psykisk Hälsa anser att uppgifter om hälsa måste behandlas ytterst varsamt. De ska endast kunna användas då det är nödvändigt för att kunna hjälpa den enskilde till lämpliga arbets- marknadsåtgärder. Sådana uppgifter ska inte vara allmänt tillgängliga på myndigheten, utan enbart kunna användas av den som handlägger ett Reglerna bör enligt Nationell Samverkan för Psykisk Hälsa utformas så att de ger samma skydd som inom sjukvården, där ingen som inte är direkt inblandad i vården har rätt att söka uppgifter om den enskilde. Regeringen delar Nationell Samverkan för Psykisk Hälsas uppfattning att uppgifter om hälsa endast bör behandlas om det är nöd- vändigt för handläggningen och att sådana uppgifter endast bör vara tillgängliga för en begränsad krets. Något förslag om att utforma reglerna på samma sätt som inom sjukvården har dock inte behandlats i promemo- rian. Frågan kan således inte behandlas inom ramen för detta lagstift- ningsärende. I den remitterade promemorian Ändringar i Arbets- förmedlingens och Inspektionen för arbetslöshetsförsäkringens register- lagar tydligare och mer ändamålsenliga regler för personuppgifts- behandling (Ds 2010:35) föreslås emellertid att Arbetsförmedlingens egen registerlag inte ska tillämpas i den del av den arbetsmarknads- politiska verksamheten som utgör hälso- och sjukvård enligt hälso- och sjukvårdslagen (1982:763). I denna del av verksamheten ska i stället patientdatalagen (2008:355) tillämpas. Förslaget innebär således att samma regler för behandling av personuppgifter ska tillämpas inom denna del av Arbetsförmedlingens verksamhet som inom övriga sjuk- vården. Några av remissinstanserna, däribland Mental Hälsa, LO och Nationell Samverkan för Psykisk Hälsa, uttrycker oro för att förslaget ska innebära ökade risker för att känslig information om enskilda sprids till obehöriga. Det är dock sekretessregleringen som, tillsammans med ändamålsregleringen i Arbetsförmedlingens registerlag, styr i vilken utsträckning personuppgifter får överföras till andra. Denna reglering påverkas inte av nu aktuellt förslag. Det kommer alltjämt krävas att behandling av personuppgifter som syftar till att tillhandahålla uppgifter till andra myndigheter m.fl. har stöd i regleringen av de s.k. sekundära ändamålen i 5 § lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Sekretesskyddet för uppgifterna kvarstår också oförändrat (se avsnitt 4.5). De sekretessregler som gäller för Arbetsförmedlingens verksamhet erbjuder ett starkt skydd för de uppgifter som behandlas i en arbetsmarknadspolitisk databas. Huvud- regeln är att uppgifter om enskilda som behandlas hos omfattas av sekretess. Uppgifter om en enskilds personliga förhållanden eller om en enskilds affärs- eller driftsförhållanden får endast lämnas ut om det står klart att uppgiften kan röjas utan att den enskilde lider skada (se 28 kap. 11 och 12 §§ offentlighets- och sekretesslagen [2009:400]). Som jämförelse kan nämnas att presumtio- nen är den omvända i många ärenden hos t.ex. . Huvudregeln är där att uppgifterna är offentliga. Sekretess gäller dock om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs (se t.ex. 28 kap. 1 §). Flera av de sekretessregler om gäller för verksamhet har samma konstruktion som de regler som gäller hos , dvs. det föreligger en presumtion för offentlighet. Detta gäller bl.a. i ärenden om ersättning för flyktingmottagande och i verksamhet som avser medverkan till bosätt- Prop. 2010/11:42 ning (se 37 kap. 3 §). Det finns dock inom ramen för verksamhet även exempel på sekretessregler som har samma konstruktion som de sekretessregler som gäller hos Arbetsförmedlingen (se t.ex. 37 kap. 1 §). Sekretesskyddet hos Arbetsförmedlingen får så- ledes anses minst lika starkt, om inte starkare än sekretesskyddet hos och . Principen att endast de personalkategorier och handläggare som har behov av uppgifterna ska ha tillgång till dem (se 11 § Arbetsförmed- lingens registerlag) syftar vidare till att förhindra spridning av uppgifter inom myndigheten till personer som inte har något berättigat intresse av att ta del av uppgifterna. Rutiner för behörighetstilldelningen och tekniska begränsningar av tillgången till uppgifterna tjänar samma syfte (se ovan). Förslaget kan dock antas medföra en viss ökning av mängden känsliga och ömtåliga personuppgifter som behandlas i de arbetsmarknads- politiska databaserna. En ökad mängd personuppgifter innebär naturligt- vis en ökad risk för otillbörliga intrång i den personliga integriteten. Det är därför angeläget att Arbetsförmedlingen följer upp att regelverket följs och aktivt arbetar med att ytterligare skärpa sina interna rutiner i syfte att uppnå en fullgod datasäkerhet och ett fullgott integritetsskydd (se ovan). Formuleringen lämnats i ett ärende eller är nödvändiga för hand- läggningen av det anser att i promemorian även skulle ha berört formuleringen Känsliga personuppgifter får behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. anser att formuleringen riskerar att öppna för lagring av känslig och ömtålig information som inte är nödvändig för myndighetens arbete. Den aktuella bestämmelsen ser likadan ut som den gjorde när lagen infördes. Samma formulering används också i flera andra register- lagar. Bestämmelsen motiveras i förarbetena utifrån integritetshänsyn. Där anförs att det endast bör vara möjligt att behandla känsliga och ömtåliga personuppgifter eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Eftersom en myndighet i allmänhet inte kan påverka vilka handlingar som lämnas till myndigheten bör dock enligt förarbetena utgångspunkten vara att upp- gifter som lämnas in i ett ärende också bör få behandlas av även om de är känsliga. När det gäller handlingar som upprättas av myndigheten finns det dock större utrymme att påverka innehållet i en handling. Känsliga personuppgifter och personuppgifter enligt 21 § personuppgiftslagen bör i sådana fall endast få behandlas om det är nödvändigt för handläggningen av ett ärende (prop. 2001/02:144 s. 31). Enligt regeringens mening utgör lagtextens nuvarande utformning en förutsättning för att Arbetsförmedlingen ska kunna övergå till ett system med digitala akter. Det är dock viktigt att poängtera att Arbets- förmedlingen också har en skyldighet att tydligt informera den enskilde om att sådan information som den enskilde ger in till Arbetsförmedlingen kan komma att behandlas i en databas. Den enskilde har således själv en möjlighet att påverka vilka uppgifter om honom eller henne som kommer att registreras. Den enskilde har därmed även viss kontroll över vilken överskottsinformation som behandlas hos Arbetsförmedlingen. På eget initiativ kan Arbetsförmedlingen endast registrera uppgifter som är nödvändiga för handläggningen. De uppgifter som ändå lämnas in och registreras i en arbetsmarknadspolitisk databas skyddas slutligen genom sekretessregleringen och genom de regler som gäller för data- behandlingen och för behörighetstilldelningen i systemen. Särskilt om kompletterande aktörer Mental Hälsa konstaterar i sitt remissvar att frågan om kompletterande aktörers behandling av personuppgifter inte berörs i promemorian, trots att branschen tidigare tydligt uttryckt sitt intresse för och behov av att kunna behandla personuppgifter på samma sätt som Arbetsförmedlingen. är dock starkt kritiskt till att de kompletterande aktörerna ges sådana möjligheter. och är tvärtom av uppfattningen att de kompletterande aktörerna måste få tillgång till och få möjligheter att behandla samma uppgifter och samma information om de arbetssökande som myndighetens egna hand- läggare. De kompletterande aktörernas möjligheter att behandla personuppgifter om de arbetssökande påverkas inte av förevarande förslag. I budget- propositionen föreslås dock bl.a. att Arbetsförmedlingen ska få behandla personuppgifter för att lämna sådana uppgifter till komplette- rande aktörer som dessa behöver för att fullgöra sina uppdrag. Det handlar främst om kontakt- och identifieringsuppgifter samt om uppgifter om utbildningsbakgrund, yrkeserfarenhet och andra meriter. Beroende på uppdrag kan dessa aktörer också ha behov av exempelvis uppgifter om anvisningar till arbete och arbetsmarknadspolitiska program, om beviljad tolkinsats och om sådana omständigheter som berättigar den komplette- rande aktören till resultatbaserad ersättning. För att etableringslotsarna ska kunna vara ett stöd för den enskilde i genomförandet av etablerings- planen kommer lotsarna även att behöva ta del av den av upprättade etableringsplanen (se prop. 2010/11:1 utgifts- område 14 s. 7677). Utgångspunkten för förslaget är att de kompletterande aktörerna endast ska få tillgång till sådana uppgifter som de verkligen behöver för att kunna fullgöra sina respektive uppdrag. De kompletterande aktörerna har, till skillnad från Arbetsförmedlingen, ingen särskild registerlag som styr deras personuppgiftsbehandling. De tillämpar i stället person- uppgiftslagen (1998:204). Detta innebär bl.a. att de kompletterande aktörerna endast får behandla känsliga personuppgifter i ostrukturerat material (5 a § personuppgiftslagen) eller om den registrerade gett sitt uttryckliga samtycke till behandlingen. De sekretessregler som gäller i Arbetsförmedlingens verksamhet gäller som huvudregel inte heller för de kompletterande aktörerna. Av dessa anledningar bör Arbetsförmedlingen, innan den för över personuppgifter till en kompletterande aktör, genom Prop. 2010/11:42 avtal försäkra sig om att uppgifterna hanteras på ett korrekt sätt och att de inte förs vidare av den kompletterande aktören. Av samma anledningar anförs i den ovan angivna propositionen att känsliga personuppgifter om enskilda som huvudregel inte bör föras över till en kompletterande aktör. Det kan dock finnas fall där det bedöms nödvändigt att en komplette- rande aktör får del av även sådana uppgifter. Arbetsförmedlingen måste dock alltid pröva huruvida ett överlämnande av uppgifter till en kompletterande aktör är förenligt med gällande sekretessregler. Möjlig- heten finns också att förena ett överlämnande av sådana uppgifter med ett särskilt förbehåll som inskränker den kompletterande aktörens rätt att utnyttja uppgifterna och att lämna dem vidare till andra (se 10 kap. 14 § offentlighets- och sekretesslagen). Något förslag om ytterligare utvidgning av de kompletterande aktörernas möjligheter att behandla personuppgifter har inte behandlats i promemorian. Det saknas därmed förutsättningar att behandla frågan inom ramen för detta lagstiftningsärende. Mot bakgrund av det ovan anförda anser regeringen att viktiga allmänna intressen i detta fall talar för ett borttagande av samtyckeskravet. Regeringen anser också att tillräckliga skyddsåtgärder har vidtagits för att garantera ett fullgott integritetsskydd. Ändringen får vidare anses utgöra en begränsning av den personliga integriteten som står i rimlig proportion till de ändamål som ändringen är avsedd att tillgodose och kan därmed inte heller anses strida mot varken regeringsformens eller Europakonventions bestämmelser om skydd för den personliga integri- teten (jfr avsnitt 4.2.) Det kan inte anses finnas några bärande skäl för att upprätthålla strängare krav för Arbetsförmedlingen än för andra jämför- bara myndigheter. Detta gäller särskilt med tanke på att Arbetsförmed- lingen getts i uppdrag att ta över ansvaret för vissa grupper som tidigare omfattades av bl.a. och verksam- het. Även måste ges möjlighet att använda sig av den utvecklings- och effektiviseringspotential som ligger i ett mer utvecklat ärendehanteringssystem och i en övergång till ett system med digitala akter. De begränsningar som ligger i ändamålsregleringen och den detaljerade regleringen av de uppgifter som får behandlas, i att inga andra känsliga personuppgifter än de som avslöjar etniskt ursprung eller rör hälsa får behandlas samt i att känsliga och ömtåliga personuppgifter inte får behandlas annat än om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det får, tillsammans med det skydd för uppgifterna som ges genom bestämmelserna om sekretess i offentlig- hets- och sekretesslagen (2009:400), anses utgöra ett tillräckligt skydd för den personliga integriteten. Möjligheten kvarstår även för regeringen att genom förordning ytterligare begränsa behandlingen av person- uppgifter som kan anses särskilt känsliga ur integritetssynpunkt. 6 Ändring i lagen om arbetslöshetsförsäkring Regeringens förslag: Lagen om arbetslöshetsförsäkring ändras lag- tekniskt till följd av införandet av socialförsäkringsbalken. Skälen för regeringens förslag: träder social- försäkringsbalken och lagen (2010:111) om införande av socialförsäk- ringsbalken i kraft. upphör stora delar av den hittillsvarande socialförsäkringslagstiftningen att gälla. Vilka lagar som upphävs anges i 1 kap. 2 § lagen om införande av socialförsäkringsbalken. Hänvisningar i annan lagstiftning till socialförsäkringslagstiftningen ersätts med hänvis- ningar till nämnda balk och lag, se propositionen Följdändringar med anledning av införandet av socialförsäkringsbalken, prop. 2009/10:222, bet. 2010/11:SfU4 och rskr. 2010/11:7. I 3 a § första stycket lagen (1997:238) om arbetslöshetsförsäkring finns en upplysning om att för en sökande som har varit långvarigt sjuk- frånvarande finns vissa särskilda bestämmelser i lagen. I andra stycket samma lagrum anges att en person anses ha varit långvarigt sjuk- frånvarande om han eller hon inte kan få sjukpenning för fler dagar enligt 3 kap. 4 eller 10 a § lagen (1962:381) om allmän försäkring eller har fått tidsbegränsad sjukersättning som sådan ersättning kan betalas ut enligt övergångsbestämmelserna till lagen (2008:480) om ändring i nämnda lag. Den aktuella paragrafen i lagen om arbetslöshetsförsäkring har av för- biseende inte tagits med i förslaget till följdändringar i propositionen Följdändringar med anledning av införandet av socialförsäkringsbalken (prop. 2009/10:222). Därför föreslår nu regeringen att hänvisningarna till socialförsäkringslagstiftningen i den paragrafen ersätts med hänvisningar till motsvarande paragrafer i socialförsäkringsbalken och lagen om in- förande av socialförsäkringsbalken. Förslaget bör träda i kraft . Regeringen föreslår därför att förslaget träder i kraft . För tid mellan och gäller enligt 1 kap. 7 § lagen (2010:111) om införande av socialförsäkringsbalken att hänvisning till lagen om allmän försäkring och övergångsbestämmelserna till lagen (2008:480) om ändring i nämnda lag, i stället ska avse motsvarande bestämmelser i socialförsäkringsbalken och lagen om införande av socialförsäkrings- balken. 7 Ändring i semesterlagen Regeringens förslag: Semesterlagens bestämmelse om följderna av att en arbetstagare under pågående semesterledighet blir sjuk, får en arbetsskada eller att någon annan semesterlönegrundande frånvaro- orsak uppstår under ledigheten ändras redaktionellt. Skälen för regeringens förslag: Genom regeringens proposition En förenklad semesterlag, m.m. (prop. 2009/10:4) genomfördes vissa för- ändringar i semesterlagen (1977:480). En allmän översyn av semester- lagen gjordes avseende lagens språkliga och redaktionella utformning. Förslagen trädde i kraft (SFS 2009:1439). Av 15 § semesterlagen framgår bl.a. att om det under semester- ledigheten infaller en eller då arbetstagaren inte hade kunnat arbeta på grund av sjukdom eller arbetsskada, eller en eller som är semesterlönegrundande enligt 1717 b §§ ska, om arbetstagaren utan dröjsmål begär det, sådana dagar inte räknas som semesterdagar. I 17 § semesterlagen regleras semesterlönegrundande frånvaro på grund av sjukdom eller arbetsskada. Eftersom 15 § uttryckligen hänvisar till det förhållandet att arbetstagaren inte hade kunnat arbeta på grund av sjukdom eller arbetsskada, bör hänvisningen i nämnda paragraf till bestämmelserna om semesterlönegrundande frånvaro begränsas till de två övriga paragraferna om sådan frånvaro, 17 a och 17 b §§ semester- lagen. Regeringen föreslår därför att 15 § semesterlagen ändras redaktionellt så att paragrafhänvisningen endast görs till 17 a och 17 b §§ nämnda lag. Punkten två i ikraftträdande- och övergångsbestämmelserna till lagen (2009:1439) om ändring i semesterlagen (1977:480) föreslås få en annan språklig utformning, dock utan ändring i sak. Angående förslaget i den delen hänvisas till författningskommentaren. 8.1Lagen om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten, Regeringens förslag: De nya reglerna ska träda i kraft . Promemorians förslag: I promemorian föreslås att de nya reglerna ska träda i kraft . Remissinstanserna: LO, , och Mental Hälsa har haft synpunkter på den korta remisstiden. LO anser att regeringen stressar fram ett beslut om den föreslagna ändringen och att regeringen nonchalerar den personliga integriteten när den handlägger ett lagstiftningsärende av denna dignitet på ett sådant sätt. Som framgått ovan anser vidare flera remissinstanser att förslagets konsekvenser ytter- ligare bör utredas och analyseras. noterar att den nu föreslagna ändringen föreslås träda i kraft medan den tidigare beslutade lagen (2010:197) om etableringsinsatser för vissa nyanlända invandrare träder i kraft . utgår från att regeringen gör bedömningen att den korta tidsmässiga eftersläpningen för den föreslagna ändringens ikraftträdande med stor sannolikhet inte får några praktiska konsekvenser. Migrations- verket säger sig inte ha någon kunskap som motsäger detta. Skälen för regeringens förslag: Regeringen delar uppfattningen i promemorian att den föreslagna ändringen bör träda i kraft , detta med anledning av att de nya reglerna för den grupp personer som har fått maximal tid med sjukpenning eller tidsbegränsad sjukersättning redan har trätt i kraft och då den s.k. etableringsreformen trädde i kraft . Eftersom regeringen har prioriterat arbetet med att tillgodose vissa remissinstansers önskemål om bl.a. en mer fullständig analys och redovisning av förslagets konsekvenser för den personliga integriteten, kan förslaget dock inte träda i kraft fullt så snart som föreslås i promemorian. Regeringen bedömer att tidigast möjliga datum för ikraftträdande är . Förslaget innebär att Arbetsförmedlingen får möjlighet att behandla känsliga och ömtåliga personuppgifter beträffande personer som har vägrat att lämna sitt samtycke till sådan behandling och att personer som tidigare lämnat sitt samtycke inte längre kommer att kunna återkalla detta. Det är enligt regeringens mening viktigt att de nya reglerna får effekt . Regeringen anser därför att förslaget inte bör förenas med några övergångsbestämmelser, även om förslaget kan anses ha vissa retroaktiva effekter. Lagrådet konstaterar i sitt yttrande att lagförslaget rubbar förutsätt- ningarna för den enskilde framför allt i de ärenden där samtycke inte har Lagrådet anser därför att förslaget i denna del inger betänklig- Prop. 2010/11:42 heter med hänsyn till rättsäkerhetens krav. Frågan om en övergångs- reglering kan undvaras är därför enligt Lagrådet beroende av om regeringen i förordning kommer att föreskriva ett krav på samtycke från den enskilde till dess nya och mera integritetsskyddande system och rutiner har införts. Att regeringen har för avsikt att meddela sådana före- skrifter framgår av avsnitt 5 ovan se särskilt s. 31. Detta innebär att det för merparten av de personer som är inskrivna hos Arbetsförmedlingen kommer att dröja innan förutsättningarna för personuppgiftsbehandlingen kommer att ändras.