bet · GY01AU4 · 2011-02-08 00:00:00 — Det gäller inte minst grupper som ofta står långt från arbetsmarknaden, som t.ex. nyanlända flyktingar och långtidssjukskrivna. Om lagförslaget inte genomförs, kommer regeringens och målsättning att informationsöverföringen mellan myndigheter ska effektiviseras inte att kunna uppnås i Arbetsförmedlingens verksamhet. Utskottet noterar i sammanhanget att regeringens proposition Utökat elektroniskt informationsutbyte (prop. 2007/08:160) förefaller ha varit politiskt okontroversiell. Ingen motion väcktes med anledning av propositionen (2008/09:KU2, rskr. 2008/09:28). Även Arbetsförmedlingens interna arbete för en effektivare handläggning genom e-förvaltning kan antas bli försvårat. Utskottet ansluter sig med detta till regeringens bedömning att ett slopat krav på samtycke för behandling av känsliga och ömtåliga personuppgifter kan motiveras av viktiga allmänna intressen. Ett slopat samtyckeskrav väcker dock frågan om hur den personliga integriteten kan skyddas. Som anges i propositionen kan förslaget antas medföra att en viss ökad mängd av känsliga och ömtåliga personuppgifter kommer att hanteras i de arbetsmarknadspolitiska databaserna. Detta kan innebära en ökad risk för otillbörligt intrång i den personliga integriteten. Utgångspunkten i propositionen har varit att förslaget ska utgöra en lämplig avvägning mellan intresset av skydd för enskildas personliga integritet och kravet på effektiva och ändamålsenliga rutiner för Arbetsförmedlingens verksamhet. Frågan är om lagstiftningen i övrigt kan erbjuda ett sådant skydd för den enskildes integritet att det kan anses att tillräckliga skyddsåtgärder har vidtagits. I propositionen görs en genomgång av regleringen för Arbetsförmedlingen jämfört med den för och en analys som Datainspektionen efterlyst i sitt remissyttrande med anledning av departementspromemorian Ds 2010:33. Det gäller de ändamål för vilka behandling av personuppgifter är tillåten och vilka personuppgifter som får behandlas för ett visst ändamål, vilka känsliga personuppgifter som över huvud taget får behandlas och kriterier för detta, begränsningar av tillåtna sökbegrepp, regler om s.k. direktåtkomst och intern behörighetstilldelning och gallringsregler. Jämförelsen utmynnar i att regleringen för Arbetsförmedlingens del, även när det nu framlagda förslaget har genomförts, ger ett skydd som får anses vara likvärdigt med det som gäller för de två andra myndigheterna. Regeringen drar slutsatsen att de begränsningar som ligger i ändamålsregleringen och den detaljerade regleringen av de uppgifter som får behandlas tillsammans med det skydd för uppgifterna som ges genom bestämmelserna om sekretess i offentlighets- och sekretesslagen (2009:400) får anses utgöra ett tillräckligt skydd för den personliga integriteten. Utskottet gör ingen annan bedömning än regeringen i denna fråga. Enligt utskottets mening medför dock ett slopat samtyckeskrav att högre krav måste ställas på Arbetsförmedlingens interna säkerhetsrutiner och behörighetstilldelningen i systemen. Denna åsikt framförs även av regeringen, och utskottet noterar att även Socialdemokraterna är av denna mening. Det kommer att bli än viktigare än tidigare att endast de handläggare hos Arbetsförmedlingen som verkligen har behov av personuppgifterna har tillgång till dem och att dessa handläggare inte har tillgång till fler uppgifter än vad som är nödvändigt. Målet måste vara att Arbetsförmedlingens tekniska system, arbetsrutiner och rutiner för behörighetstilldelning uppfyller Datainspektionens krav på ett fullgott behörighetssystem. För utskottet är det avgörande att Arbetsförmedlingen har sina nya system och arbetsrutiner på plats . Utskottet vill särskilt betona det som sägs i propositionen om att dessa nya system och rutiner är en förutsättning för att Arbetsförmedlingen ska få övergå till ett digitalt ärendehanteringssystem. Nya rättsliga möjligheter att behandla känsliga personuppgifter ska enligt regeringen inte få tas i anspråk förrän myndigheten har rutiner och tekniska lösningar på plats för att kunna garantera en fullgod datasäkerhet och ett fullgott integritetsskydd. Detta är synpunkter som även framförts i Socialdemokraternas motion. Utskottet har under hand fått information från om det arbete med förordningsföreskrifter som pågår där. Tanken är att anslutande föreskrifter ska träda i kraft med det lagförslag som behandlas. Dessa föreskrifter ska ställa krav på ökad datasäkerhet och ett förbättrat system för behörighetskontroll hos Arbetsförmedlingen. Enligt underhandsuppgifterna ska det finnas förordningsbestämmelser om att Datainspektionens synpunkter ska hämtas in i samband med större systemförändringar. Det kommer att ges regler om behörighetstilldelning, åtkomstkontroll och utbildning i behandling av personuppgifter. Det ska också ges regler om tekniska tillgångsbegränsningar i system för automatiserad behandling där personuppgifter av känslig natur behandlas. Känsliga och ömtåliga personuppgifter ska endast få behandlas i sådana system där behörigheten kan begränsas tekniskt till de personer som i sitt arbete behöver ta del av uppgifterna. I andra system ska sådana uppgifter endast få behandlas om den enskilde uttryckligen har samtyckt till behandlingen. Som framgått ovan har Arbetsförmedlingen inlett ett arbete med att se över behörighetstilldelningen och sina nuvarande arbetsmetoder och rutiner ur ett integritets- och datasäkerhetsperspektiv. Företrädare för Arbetsförmedlingen har muntligen informerat utskottet om detta arbete och om tidsplanen för det. Myndigheten har också lämnat in en pm. Det framgår att Arbetsförmedlingen har en handlingsplan för hur känsliga och ömtåliga personuppgifter ska kunna behandlas på ett sådant sätt att ett fullgott integritetsskydd uppnås. Enligt planen ska detta uppnås absolut senast vid utgången av 2013. Enligt måste förändringar göras när det gäller arbetsrutiner och tekniska lösningar. Styrande dokument ska ses över och kompletteras. Efterlevnaden av regler ska säkras. I arbetet ingår även utbildning i två omgångar av samtliga medarbetare. Arbetet bedrivs inom ramen för ett utvecklingsprojekt som leds av en styrgrupp. Utskottet kan med detta konstatera att åtgärder har vidtagits och kommer att vidtas för att skydda den personliga integriteten. Intresseavvägningen och frågan om avslag på propositionen invändningar i motion A6 grundar sig på uppfattningen att rättssäkerheten har fått stå tillbaka till förmån för förenkling och snabbhet, medan i motion A5 skjuter in sig på frågan om skyddet för den personliga integriteten som man anser blir avsevärt försämrat om kravet på samtycke tas bort. Utskottet vill med anledning av detta återigen betona betydelsen av skyddet för den personliga integriteten. I det föregående finns en beskrivning av de åtgärder som vidtas för att garantera ett fullgott integritetsskydd. Utskottet fäster sig särskilt vid att de nya rättsliga möjligheterna att behandla känsliga personuppgifter inte ska kunna användas förrän det finns rutiner och tekniska lösningar som garanterar ett fullgott integritetsskydd. Vid den intresseavvägning som ska göras anser utskottet att den begränsning av den personliga integriteten som det är fråga om står i rimlig proportion till de ändamål som lagändringen är avsedd att tillgodose. Som sägs i propositionen kan den därmed inte heller anses strida mot vare sig regeringsformens eller bestämmelser om skydd för den personliga integriteten. Utskottet instämmer med regeringen i att det inte finns några bärande skäl för att upprätthålla strängare krav för Arbetsförmedlingen än för andra jämförbara myndigheter, särskilt som myndigheten har fått ta över ansvaret för personer som tidigare omfattades av bl.a. och verksamhet. Utskottet anser att man också bör se till de övriga begränsningar som finns i Arbetsförmedlingens registerlag och till att regeringen har möjligheter att ytterligare begränsa behandlingen av känsliga personuppgifter genom förordningsreglering. Även de ovan redovisade åtgärderna talar för att integritets- och rättssäkerhetsaspekterna blir tillgodosedda. Utskottet kommer sammanfattningsvis fram till att det inte finns skäl att avslå propositionen på de nu berörda grunderna. Det finns inte heller några andra skäl att avslå propositionen, vilket innebär att motionerna med avslagsyrkanden avstyrks. Det är motionerna A5 (V) och A6 (MP). System, arbetsrutiner, konsekvensanalys m.m. Som framgått begär Socialdemokraterna tillkännagivanden om betydelsen av att Arbetsförmedlingen har sina system och arbetsrutiner på plats (yrkande 2) och att de nya rättsliga möjligheterna att behandla känsliga personuppgifter ska förutsätta att Arbetsförmedlingen i sina rutiner och med sina tekniska lösningar kan garantera en fullgod datasäkerhet och ett fullgott integritetsskydd (yrkande 3). Utskottet har ingen annan uppfattning i dessa frågor, och regeringen ger i propositionen uttryck för motsvarande åsikt. Även det som framkommit bl.a. genom upplysningarna från Arbetsförmedlingen ger stöd för detta. Några tillkännagivanden till regeringen i dessa frågor kan därför inte anses behövliga. Socialdemokraterna efterlyser också en konsekvensanalys (yrkande 1) och en redogörelse för hur Arbetsförmedlingen har uppfyllt kraven på ett fullgott behörighetssystem (yrkande 4). Med anledning av detta kan utskottet konstatera att regeringen instämmer i Justitiekanslerns påpekande att det är viktigt att det sker en regelbunden utvärdering av hur regelverket tillämpas i praktiken. Utskottet noterar också det som regeringen säger i sin konsekvensanalys i fråga om den personliga integriteten. Regeringen anser det angeläget att Arbetsförmedlingen följer upp att regelverket följs och aktivt arbetar med att ytterligare skärpa sina interna rutiner i syfte att uppnå en fullgod datasäkerhet och ett fullgott integritetsskydd. Utskottet utgår från att regeringen vid behov återkommer i denna sak. Några tillkännagivanden kan inte heller anses nödvändiga med anledning av dessa yrkanden. Detta innebär att motion A4 (S) bör avslås av . Utskottet anser sammanfattningsvis att bör anta förslaget till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, vilket innebär att propositionen punkt 1 ska bifallas. Propositionen och utskottets ställningstagande I propositionen finns två andra lagförslag utan samband med det förslag som behandlats ovan. Det gäller dels en ändring i lagen (1997:238) om arbetslöshetsförsäkring, propositionens punkt 2, dels en ändring i semesterlagen (1977:480), propositionens punkt 3. Ändringen i lagen om arbetslöshetsförsäkring är föranledd av att socialförsäkringsbalken trätt i kraft . De hänvisningar som görs i 3 a § lagen om arbetslöshetsförsäkring till lagen om allmän försäkring och vissa övergångsbestämmelser till den lagen bör därför avse socialförsäkringsbalken respektive lagen om införande av balken. I semesterlagen föreslås en redaktionell ändring av 15 § som avser hänvisningarna till andra lagrum och en ändring i ikraftträdande- och övergångsbestämmelserna till de lagändringar som genomfördes i enlighet med proposition 2009/10:4 En förenklad semesterlag. Båda lagändringarna föreslås träda i kraft . Inga motioner har väckts i de nu berörda delarna. Utskottet tillstyrker propositionen punkterna 2 och 3 och föreslår att lagförslagen antas av . Utskottets förslag till riksdagsbeslut och ställningstaganden har föranlett följande reservationer. I rubriken anges vilken punkt i utskottets förslag till riksdagsbeslut som behandlas i avsnittet. Avslag på förslaget till ändring i Arbetsförmedlingens registerlag, punkt 1 (MP, V) av (V) och (MP). Vi anser att förslaget till riksdagsbeslut under punkt 1 borde ha följande lydelse: avslår proposition 2010/11:42 punkt 1. 2010/11:A5 av m.fl. (V) och 2010/11:A6 av m.fl. (MP). I och med informationsteknikens utveckling lagras numera en stor mängd uppgifter om enskilda personer i olika databaser. Det är därför viktigt att personuppgifter skyddas från behandling som innebär ett obefogat intrång i den personliga integriteten. Vi uppmärksammar särskilt att det från finns en bestämmelse i 2 kap. 6 § regeringsformen (RF) som innebär att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet kan inskränkas i lag under förutsättning att det sker för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får dock aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Enligt om skydd för de mänskliga rättigheterna har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får bara inskränka denna rättighet med stöd av lag och bara om det är nödvändigt i ett demokratiskt samhälle med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller förebyggande av oordning och brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Rätten till respekt för privatlivet preciseras i EU:s stadga om grundläggande rättigheter där det anges att var och en har rätt till skydd för de personuppgifter som rör honom eller henne. I och med personuppgiftslagen (1998:204), förkortad PUL, genomfördes och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter i . Huvudregeln i PUL är att det är förbjudet att behandla känsliga personuppgifter. Uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv betraktas som känsliga uppgifter. PUL är generell, men avvikelser kan meddelas i annan lag eller förordning. Sådana avvikelser meddelas bl.a. i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Arbetsförmedlingens registerlag). får, enligt 9 § registerlagen, inga andra känsliga personuppgifter än sådana som avslöjar etniskt ursprung eller rör hälsa behandlas i en arbetsmarknadspolitisk databas. Dessa känsliga personuppgifter och ömtåliga personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en enskild får bara behandlas i en databas om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde skriftligen har samtyckt till detta. Den enskilde har rätt att när som helst återkalla sitt samtycke. När den nuvarande lagen ersatte lagen (1994:459) om arbetsförmedlingsregister behölls, med hänsyn till de integritetskänsliga uppgifter som arbetsmarknadsmyndigheterna behandlar, kravet på skriftligt samtycke. Det fanns förslag om att ändra från skriftligt till uttryckligt samtycke, men för att undvika tveksamheter behölls skriftlighetskravet. Arbetsförmedlingen har, genom bl.a. de nya sjukförsäkringsreglerna och etableringsreformen, fått ett större ansvar att hantera uppgifter om grupper av människor där många står långt från arbetsmarknaden, t.ex. långtidssjuka och nyanlända flyktingar och personer som har varit föremål för åtgärder inom kriminalvården. Regeringen vill nu i samband med detta gå längre och helt ta bort kravet på samtycke och motiverar det med att Arbetsförmedlingens vidgade ansvar medför större behov av att kunna behandla känsliga och ömtåliga personuppgifter. Propositionen innehåller i enlighet med detta ett förslag till ändring i Arbetsförmedlingens registerlag. Förslaget innebär att kravet på samtycke för behandling av känsliga och ömtåliga personuppgifter tas bort. Det ska dock alltjämt krävas att uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I propositionen hävdar regeringen att förslaget att slopa kravet på samtycke i huvudsak är följdändringar av tidigare genomförda åtgärder och att förändringarna syftar till att underlätta relationen och samarbetet mellan Arbetsförmedlingen, och . Det ska bli lättare att kommunicera elektroniskt i ärendehanteringen. , liksom andra myndigheter, pågår ett arbete med införande av e-förvaltning, övergång till digitala ärendehanteringssystem och ett utökat utbyte av information mellan myndigheter genom elektronisk överföring. I propositionen anges att kravet på skriftligt samtycke utgör ett hinder i detta arbete som leder till att ärendehanteringen drar ut . Det finns ingen anledning att betvivla detta eller att regeringens syfte med den föreslagna förändringen är gott. Kravet på samtycke kan också leda till att enskilda människor riskerar att få vänta alltför länge på det stöd som de är berättigade till. Systemen innebär dock ökad risk för spridning av integritetskränkande personuppgifter. Därför är det viktigt med en noggrann intresseavvägning. Regeringen anser att borttagandet av kravet på samtycke kan motiveras med viktiga allmänna intressen. Vi delar Datainspektionens tvivel om att övriga bestämmelser i registerförfattningen är tillräckliga för att upprätthålla ett godtagbart skydd för den personliga integriteten. Vi saknar också en ordentlig konsekvensanalys. Skyddet för den personliga integriteten försämras enligt vår mening avsevärt om kravet på samtycke tas bort. Lämpligheten i detta kan ifrågasättas, särskilt med tanke på att Arbetsförmedlingen anförtros fler känsliga och ömtåliga personuppgifter än vad som varit fallet. Våra partier värnar om den personliga integriteten, och vi ser kravet på samtycke som en viktig grund för denna. Om integritetsskyddet luckras upp, riskerar tilliten till Arbetsförmedlingen att minska. Arbetsförmedlingen bör, inte minst för att nå en hög grad av legitimitet, behandla känsliga och ömtåliga personuppgifter som utgår från högt ställda krav på personlig integritet och rättssäkerhet. Det ställs då särskilt höga krav på teknisk och organisatorisk säkerhet. Vi noterar att flera remissinstanser, bland dem Datainspektionen, LO och , avstyrker förslaget. Man framhåller att det krävs en mer omfattande och djup analys av hur skyddet av den personliga integriteten ska kunna upprätthållas. Vi kan se de nackdelar som det innebär för den enskilde att i olika sammanhang följas av informationsfiler med sjukdomshistoria, funktionsnedsättningar och tidigare tillkortakommanden när han eller hon försöker återhämta sig till ett självständigt liv ute i samhället. Omgivningens fördomar, rädslor och negativa attityder utgör ett stort hinder vid arbetssökande. Erfarenheterna av att känsliga uppgifter sprids mellan olika myndigheter och vårdgivare, i medierna och till allmänheten är ytterligare ett argument för att slå vakt om kravet på samtycke. För att borttagandet av samtyckeskravet ska kunna godtas är det nödvändigt att säkerställa att de aktuella uppgifterna inte används i otillbörliga syften eller att informationen sprids till obehöriga. Fullgod datasäkerhet och fullgoda rutiner för behörighetstilldelning i systemen är mycket viktigt när känsliga personuppgifter behandlas. Det är enligt vår mening ytterst tveksamt om tillräckliga skyddsåtgärder har vidtagits för att garantera ett fullgott skydd för den personliga integriteten om samtyckeskravet tas bort. De upplysningar som lämnats under ärendets beredning i utskottet ändrar inte vår uppfattning om detta. Regeringen har valt att , i olika omgångar, föreslå förändringar när det gäller hur personuppgifter ska få behandlas inom den arbetsmarknadspolitiska verksamheten. Det hade varit att föredra om regeringen i stället hade lagt fram ett genomarbetat helhetsförslag, vid ett och samma tillfälle, tillsammans med en konsekvensanalys av de sammantagna förändringarna i integritetsskyddet. Det hade då varit betydligt enklare både för remissinstanser och för att överblicka följderna av de föreslagna förändringarna. Förarbetet till den del av ändringarna i Arbetsförmedlingens registerlag som är uppe till behandling är dessutom präglat av slarv. Remisstiden har varit alltför kort och, vad värre är, man har dessutom i hög grad bortsett från de synpunkter som lämnats från viktiga remissinstanser. Det saknas också statistik om hur många människor som förs mellan systemen och försäkringarna, vilket gör det svårt att få grepp om problemets omfattning. Vi anser mot den bakgrunden att det är djupt olyckligt att regeringen inte berett frågan på ett tillräckligt seriöst sätt. Den sammantagna bedömningen är att rättssäkerheten får stå tillbaka till förmån för förenkling och snabbhet. Det är oacceptabelt enligt vår mening. Vår inställning är den motsatta. Vi accepterar inte i något sammanhang att rättssäkerheten ens naggas i kanten. Mot bakgrund av det anförda anser vi att propositionen i denna del bör avslås av . Det innebär att motionerna A5 (V) och A6 (MP) tillstyrks. Konsekvensanalys m.m., punkt 3 (S) av (S), (S), (S), (S), (S) och (S). Vi anser att förslaget till riksdagsbeslut under punkt 3 borde ha följande lydelse: tillkännager för regeringen som sin mening vad som anförs i reservationen. 2010/11:A4 av m.fl. (S) yrkandena 14. Vi socialdemokrater anser att det måste ställas särskilt höga krav på den tekniska och organisatoriska säkerheten vid behandling av känsliga personuppgifter. Arbetsförmedlingen är skyldig att utforma sina rutiner och system så att den samlade tillgången till och spridningen av känsliga personuppgifter blir så liten som möjligt. Vi konstaterar att Arbetsförmedlingens skyldigheter i detta avseende redan följer av bestämmelserna i 11 § Arbetsförmedlingens registerlag och av regleringen i personuppgiftslagen om säkerheten vid behandling av personuppgifter. Vi utgår också från att uppgiften i propositionen om att de kompletterande aktörernas möjligheter att behandla personuppgifter om de arbetssökande inte påverkas av detta förslag. Förslaget om att ta bort samtyckeskravet kan innebära fördelar för den enskilde, exempelvis snabbare, mindre omständlig och framför allt mer adekvat service. Det kan också förenkla och effektivisera arbetet för de berörda myndigheterna. Onödig administration kan därmed undanröjas. Vi delar uppfattningen att det inte är rimligt att ställa högre krav på Arbetsförmedlingens hantering av känsliga uppgifter än på exempelvis eller . Vi är av dessa skäl inte emot förslaget i sig. Med hänsyn till betydelsen av lagändringen anser vi dock att regeringen skyndsamt bör genomföra en konsekvensanalys (yrkande 1). För behandling av känsliga personuppgifter i andra system bör det även fortsättningsvis krävas att ett samtycke hämtas in från den enskilde. Vi noterar att regeringen meddelat att man avser att meddela föreskrifter i förordning om vilka ytterligare krav som ska ställas på Arbetsförmedlingens behörighetssystem. Ett borttagande av samtyckeskravet ställer högre krav på att Arbetsförmedlingen arbetar aktivt med sina interna säkerhetsrutiner och ser över behörighetstilldelningen i systemen. Det kommer att bli än viktigare än tidigare att Arbetsförmedlingen ser till att endast de handläggare som verkligen har behov av uppgifterna har tillgång till dem och att dessa handläggare inte har tillgång till fler uppgifter än vad som är nödvändigt. Vi instämmer i Datainspektionens påpekande i sitt remissyttrande om att Arbetsförmedlingen har arbetat med för vida behörigheter i sina datasystem. Känsliga personuppgifter bör endast få behandlas i sådana datasystem där tillgången till uppgifterna rent tekniskt kan begränsas till de personer som verkligen behöver tillgång till uppgifterna. Det är enligt vår mening av yttersta vikt att Arbetsförmedlingen har sina nya system och arbetsrutiner på plats (yrkande 2). Dessa nya system och rutiner är också en förutsättning för att Arbetsförmedlingen ska få övergå till ett digitalt ärendehanteringssystem.