prop · GZ03176 · 2012-09-11 00:00:00 — Regeringens proposition 2011/12:176 Regeringen överlämnar denna proposition till . Propositionen innehåller förslag till en ny lag om behandling av personuppgifter vid utvärdering (IFAU). Lagen ska tillämpas i sådan verksamhet hos IFAU som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen innehåller bl.a. bestämmelser om berättigade ändamål för personuppgiftsbehandlingen, vilka person- uppgifter som får behandlas och hur uppgifterna får behandlas. Den nya lagen föreslås träda i kraft och gälla till och med . Förslag till riksdagsbeslut ................................................................. Förslag till lag om behandling av personuppgifter vid Ärendet och dess beredning .............................................................. Skyddet för den personliga integriteten............................ En ny lag om behandling av personuppgifter hos IFAU................. Behovet av en särskild registerlag.................................... Undantag från rätten att motsätta sig behandling ............. Förhållandet till personuppgiftslagen ............................... Ändamålen för personuppgiftsbehandling vid IFAU ....... Samlingar av avidentifierade personuppgifter.................. Samlingar av personuppgifter i övrigt.............................. Begränsningar i behandlingen av personuppgifter ........... Förbud mot behandling i syfte att identifiera enskilda personer............................ Begränsning av sökmöjligheterna ................... Sambearbetning av personuppgifter ................ Tillgången till personuppgifter ........................ Information till den registrerade i form av Rättelse eller skadestånd.................................. Konsekvenser av att genomföra förslagen........................ Konsekvenser av att inte genomföra förslagen................. Bilaga 1 Sammanfattning av promemorian......................................... Bilaga 3 Förteckning över remissinstanserna...................................... Utdrag ur protokoll vid regeringssammanträde 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till lag om behandling av personuppgifter vid utvärdering. 2011/12:176 2 Förslag till lag om behandling av personuppgifter vid Institutet för Härigenom föreskrivs följande. 1 § Denna lag gäller vid behandling av personuppgifter i sådan verk- samhet hos ut- värdering som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen gäller inte behandling av personuppgifter vid tilldelning av forskningsbidrag. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 2 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. Första stycket gäller dock inte när personuppgifterna samlas in direkt från den enskilde. I sådant fall får personuppgifter behandlas endast om han eller hon har lämnat sitt uttryckliga samtycke till behandlingen. För återkallelse av ett lämnat samtycke tillämpas 12 § personuppgiftslagen (1998:204). 3 § Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter, om inte annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till denna lag. 4 § Institutet är personuppgiftsansvarigt för den behandling av personuppgifter som institutet utför. 5 § Personuppgifter får endast behandlas om det behövs för att fullgöra institutets uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. 6 § Personuppgifter som behandlas för de ändamål som anges i 5 § får också behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). 7 § Andra känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) än sådana som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa får inte behandlas för de ändamål som anges i 5 §. Av lagen (2003:460) om etikprövning av forskning som avser människor följer att forskning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen eller sådana uppgifter som avses i 21 § samma lag måste etikprövas. 8 § Om det behövs för de ändamål som anges i 5 §, får det hos institu- tet finnas samlingar av personuppgifter som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna får dock vara försedda med en beteckning som den myndighet uppgifterna kommer från kan hänföra till ett personnummer eller motsvarande identitetsbeteckning. 9 § Om det behövs för de ändamål som anges i 5 §, får det hos institu- tet även finnas samlingar av personuppgifter som behandlas automatiserat som inte är sådana personuppgifter som avses i 8 §, om uppgifterna är nödvändiga för en viss avgränsad studie, uppföljning eller utvärdering. Begränsningar i behandlingen av personuppgifter 10 § Personuppgifter som inte direkt kan hänföras till en person och som ingår i samlingar av personuppgifter som behandlas automatiserat får inte behandlas i syfte att röja en persons identitet. 11 § Personuppgifter som behandlas enligt 9 § och som har samlats in för att behandlas inom olika avgränsade studier, uppföljningar eller utvärderingar får inte sambearbetas med varandra. Denna begränsning gäller inte för en sådan sambearbetning av personuppgifter som är nödvändig för att kunna upprepa eller följa upp en sådan studie, uppföljning eller utvärdering som har genomförts tidigare. 12 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. 13 § Bestämmelserna i 26 § personuppgiftslagen (1998:204) om information efter ansökan gäller inte i fråga om personuppgifter som inte direkt kan hänföras till en person. 14 § Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ända- mål. 15 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller för behandling av personuppgifter enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till denna lag. Denna lag träder i kraft och gäller till och med . Ärendet och dess beredning Inom har departementspromemorian Behandling av personuppgifter vid utvärdering (Ds 2012:5) utarbetats. En sammanfatt- ning av promemorian finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remiss- instanserna finns i bilaga 3. Remissyttrandena och en remissamman- ställning finns tillgängliga hos (dnr A2009/1438/A). Ett kompletterande remissyttrande har inhämtats från utvärdering (IFAU) och ett möte har hållits med IFAU och Datainspektionen för att diskutera inkomna remissynpunkter. Ett utkast till lagrådsremiss har beretts med , IFAU och Datainspektionen. Det kompletterande yttrandet från IFAU och de synpunkter som inkommit på utkastet till lagrådsremiss har även de diarieförts i ärendet. Förslaget att lagen ska tidsbegränsas, som tillkommit i ett sent skede av lagstiftningsprocessen, har beretts särskilt med Datainspektionen, IFAU och (). SCB och IFAU har kommit in med yttranden i frågan som har diarieförts i ärende A2012/1852/RS. Regeringen beslutade att inhämta Lagrådets yttrande över förslaget till lag om behandling av personuppgifter vid utvärdering. Lagrådets yttrande finns i bilaga 4. Regeringen har följt Lagrådets synpunkter. Synpunkterna behandlas i avsnitt 5.12 och i författningskommentaren. Utöver de ändringar som har gjorts med anledning av Lagrådets yttrande har Lagrådets granskning lett till att vissa språkliga och redaktionella ändringar har gjorts i lagtexten förhållande till hur denna såg ut i lagrådsremissen. Förslaget att lagen ska tidsbegränsas har tillkommit efter Lagråds- granskningen. Förslaget är i den delen författningstekniskt och även i övrigt av sådan beskaffenhet att Lagrådets hörande skulle sakna betydelse. fattade regeringen beslut om en utvidgning av upp- (jfr prop. 2011/12:1 utg.omr. 14 avsnitt 3.6.7, bet. 2011/12:AU2, rskr. 2011/12:88). Prop.2011/12:176 ringarna, som gjordes i förordningen (2007:911) med instruktion för utvärdering, trädde i kraft . IFAU har enligt instruktionens nya lydelse till uppgift att främja, stödja och genom forskning genomföra uppföljning och utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekter av olika reformer och åtgärder inom utbildningsväsendet, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden. Den beslutade ändringen innebär framförallt att IFAU har fått i uppdrag att mer generellt genomföra utvärderingar av effekterna av olika reformer och åtgärder inom utbildningsområdet och inte, som tidigare, endast av åtgärdernas effekter på arbetsmarknaden. Det har även i instruktionen förtydligats att IFAU bedriver forskningsverksamhet. Av instruktionen följer vidare att IFAU särskilt ska fokusera på de samlade effekterna av den arbetsmarknadspolitiska verksamheten och de utbildningspolitiska reformerna samt de särskilda uppdrag som regeringen fattar beslut om inom dessa områden. I uppföljnings- och utvärderingsarbetet ska effekterna för kvinnor och män särskilt belysas. IFAU ska vidare sprida information om resultaten av sina uppföljningar, utvärderingar och studier till andra myndigheter och intressenter. Utvärdering, uppföljning och studier Med utvärdering avses enligt IFAU:s instruktion både effektutvärdering och processutvärdering. En effektutvärdering innebär att man försöker isolera effekten av exempelvis en insats från andra faktorer som kan ha påverkat utfallet, t.ex. andra insatser eller program. Effektutvärderingar är metodmässigt svåra och innebär i praktiken behandling av en för- hållandevis stor mängd personuppgifter. Bearbetningen sker dock med statistiska metoder och det finns därför sällan behov av att kunna hänföra uppgifterna till en viss fysisk eller juridisk person. Ofta saknas det emellertid ett tillräckligt stort antal personuppgifter som jämförelsematerial för att det med statistisk säkerhet ska gå att ute- sluta att utfallet beror på något annat än exempelvis den insats myndig- heten har i uppdrag att utvärdera. I sådana fall kan en processutvärdering användas som ett komplement eller ett alternativ till en effektutvärdering. I en processutvärdering undersöker man exempelvis hur många som deltagit i en insats, om rätt målgrupp deltagit, vad insatsen kostat, vilka problem som uppstått vid genomförandet och hur deltagarna själva upplevt nyttan med insatsen. IFAU:s instruktion innehåller också begreppen studier och uppföljning. Uppföljning är liksom utvärdering, ett vitt begrepp. Begreppet kan inne- fatta effektutvärderingar, uppföljningar av tidigare utförda studier eller undersökningar eller rent deskriptiva uppföljningar av exempelvis ett arbetsmarknadspolitiskt program. IFAU ger t.ex. ut ett Arbetsmarknads- politiskt kalendarium som enkelt beskriver vilka regler som gällde i de arbetsmarknadspolitiska programmen . Begreppet studier är också vitt och ingår i myndighetens instruktion för att ge utrymme för projekt som inte kan anses utgöra utvärderingar eller uppföljningar och för att ge myndigheten utrymme att ägna sig åt teori- utveckling på arbetsmarknads- eller utbildningsområdet samt åt den metodutveckling inom statistikområdet som är nödvändig för att förbättra metoderna för effektutvärdering. Inom ramen för begreppet studier har IFAU exempelvis delfinansierat en professur i utvärderingsmetodik. IFAU är för sin verksamhet beroende av uppgifter och underlag från andra myndigheter och institutioner. IFAU är framför allt en stor an- vändare av (SCB:s) register, särskilt (Longitudinell integrationsdatabas för Sjukförsäkrings- och Arbetsmarknadsstudier). I har data sammanställts från flera olika källor, t.ex. personregistret, Arbetsförmedlingen, och . Även s.k. känsliga personuppgifter enligt 13 § person- uppgiftslagen (1998:204) ingår i registret (se nedan avsnitt 4.2). När uppgifter ur lämnar SCB är de alltid avidentifierade på så sätt att personnummer har ersatts med löpnummer. Ingen information kan således hänföras direkt till en enskild individ hos den myndighet till vilken uppgifterna lämnas. SCB har dock kvar en nyckel mellan dessa löpnummer och individernas personnummer. Hela eller delar av registret kan därför på nytt hänföras till en individ och länkas till andra register efter behov från myndigheter, utredare eller forskare. Det är i detta sam- manhang man ska förstå de samlingar av personuppgifter som IFAU administrerar och som beskrivs nedan. I grunden utgör samlingarna resultatet av IFAU:s beställningar till SCB. De uppgifter som IFAU använder kommer ofta ursprungligen från andra myndigheter än SCB. IFAU har exempelvis ofta behov av att använda uppgifter ur Arbetsförmedlingens datalager. När register läggs samman görs det emellertid alltid av SCB. Bara SCB har den nyckel mellan personnummer och de olika registrens löpnummer som gör sam- manläggningar av registren möjliga. har beslutat att IFAU:s anslagsfinansierade verksamhet ska utökas stegvis till (prop. 2011/12:1 utg.omr. 14, bet. 2011/12:AU2, rskr. 2011/12:88). IFAU har tidigare endast studerat utbildningssystemets inverkan på arbetsmarknaden, men även fått i uppdrag att studera hela utbildningssystemet. har IFAU:s behov stannat vid person- uppgifter beträffande elever som lämnar årskurs nio, eftersom dessa elever ligger närmast arbetsmarknaden. kommer behoven att vidgas till att omfatta personuppgifter om elever inom hela skolsystemet. IFAU kommer därmed att på utbildningsområdet ha ett behov av att inhämta uppgifter från fler myndigheter . Ett betygsregister för och gymnasieskolan är under uppbyggnad hos . För mer detaljerade data kommer IFAU behöva vända sig till kommuner och för att erhålla nationella data till Kommuner och Landsting. Studieresultat för högskolan finns hos . Forskning som innefattar behandling av känsliga personuppgifter måste alltid genomgå etikprövning enligt lagen (2003:460) om etik- prövning av forskning som avser människor (etikprövningslagen) och Prop.2011/12:176 godkännas av en etikprövningsnämnd innan den får genomföras (se nedan avsnitt 4.2). När IFAU begär ut känsliga personuppgifter för ett forskningsprojekt kräver därför SCB att forskningsprojektet i fråga har etikprövats innan myndigheten tar sig an beställningen. IFAU administrerar i huvudsak tre, i stor utsträckning överlappande databaser. Den s.k. IFAU-databasen skapades och används framförallt vid utvärderingar av arbetsmarknads- politiska åtgärder och vid studier av arbetsmarknadens funktionssätt. IFAU-databasen innehåller personuppgifter hämtade från och andra register som SCB har tillgång till. Databasen innehåller ett fåtal känsliga personuppgifter, främst uppgifter som rör hälsa. Utbildningsdatabasen utvecklades efter det att IFAU:s uppdrag 2001 utvidgades till att även innefatta utvärderingar av effekterna på arbets- marknaden av åtgärder inom utbildningsväsendet. Det finns för när- varande inga känsliga personuppgifter i utbildningsdatabasen. Socialförsäkringsdatabasen har finansierats och byggts upp inom ramen för ett forskningsprojekt med anslag från för arbetsliv och socialvetenskap. IFAU har inom ramen för projektet be- viljats medel för analyser av policyinterventioner i social- och arbets- löshetsförsäkringarna. I databasen finns många känsliga personuppgifter enligt personuppgiftslagens definition. De tre databaserna skiljer sig åt inte bara med avseende på innehåll utan även ifråga om tillgänglighet. IFAU-databasen kan användas av samtliga forskare och utredare vid IFAU, av forskare som får forskningsbidrag från IFAU och av forskare utanför IFAU som ingår i ett IFAU-projekt där även IFAU-forskare ingår. Utbildningsdatabasen kan endast användas av forskare och utredare vid IFAU. Socialförsäkringsdatabasen kan endast användas av forskare och utredare som ingår i det projekt som för arbetsliv och socialvetenskap har finansierat. De tre ovan nämnda databaserna uppdateras löpande i enlighet med avtal mellan SCB och IFAU. Därutöver köper IFAU data ur register som innehas av SCB för specifika projekt. Då känsliga personuppgifter ingår i forskningsmaterialet sker, som framgått ovan, alltid en etikprövning av projektet innan nya register sätts samman för IFAU:s räkning. IFAU:s inriktning gör att studier, utredningar eller uppföljningar baserade på data inhämtade genom enkäter eller intervjuer endast utgör en mindre del av verksamheten. Vanligast är att IFAU använder sig av enkäter eller intervjuer för att fullgöra uppdrag från regeringen att exempelvis utvärdera genomförandet av ett visst arbetsmarknadspolitiskt program. Effektutvärderingar görs dock inte på grundval av data som inhämtats på detta sätt. 4.2Skyddet för den personliga integriteten Informationsteknikens utveckling och den ökande användningen av denna teknik för behandling av information om individer, medför ett särskilt behov av skydd mot sådan användning av individrelaterad in- formation som kan anses utgöra ett otillbörligt intrång i den personliga Reglering för sådan behandling av information har utarbetats såväl i internationella sammanhang som i nationell lagstiftning. Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen (RF). Av det allmänna målsättningsstadgandet i 1 kap. 2 § RF följer att det allmänna ska värna om den enskildes privat- liv. Genom ändringar i RF som trädde i kraft (prop. 2009/10:80, bet. 2009/10:KU19, rskr. 2009/10:304, bet. 2010/11:KU4, rskr. 2010/11:21) har det generella grundlagsskyddet för den personliga integriteten stärkts. I 2 kap. 6 § RF har det införts en ny bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet enligt den nya grundlagsbestämmelsen är inte absolut. Det kan inskränkas i lag under förutsättning att det sker för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får dock aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF). Enligt artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () har var och en rätt till respekt för sitt privat- och familje-liv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag. Inskränkningar får vidare endast göras om det är nödvändigt i ett demokratiskt samhälle med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. gäller som svensk lag. Av grundlag följer även att en lag eller annan föreskrift inte får meddelas i strid med åtaganden enligt konventionen (2 kap. 19 § RF). En bestämmelse om respekt för privatlivet och familjelivet finns även i artikel 7 i Europeiska unionens stadga om de grundläggande rättig- heterna. Av artikel 8 i stadgan följer vidare bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Uppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. De grundläggande nationella bestämmelserna om behandling av personuppgifter finns i personuppgiftslagen (1998:204). Genom lagen har och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskydds- direktivet, EGT L 281, 23.11.95, s. 31, Celex 31995L0046) genomförts i svensk rätt. Personuppgiftslagen är generellt tillämplig, men om det i en annan lag eller i en förordning har meddelats avvikande bestämmelser, så gäller de bestämmelserna. har det utöver personuppgiftslagen utarbetats en stor mängd särskilda s.k. register- författningar med bestämmelser om behandling av personuppgifter, däribland lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäk- ringen. Syftet med de särskilda registerförfattningarna har varit att anpassa regleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter samt att göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för den enskildes integritet. Enligt 3 § personuppgiftslagen avses med personuppgift all slags information som direkt eller indirekt kan hänföras till en enskild person som är i livet. Namn och personnummer är exempel på information som utan vidare omfattas av begreppet. Begreppet omfattar dock all information som på något sätt kan härledas till en fysisk person, även om informationen i fråga bara avser personen i egenskap av exempelvis yrkesutövare eller näringsidkare. Informationen behöver således inte vara hänförlig till en persons privatliv (se t.ex. och , Personuppgiftslagen. En kommentar, 4 uppl. 2011, 88 f.). Kravet att en personuppgift ska kunna hänföras till en viss bestämd person är lågt ställt. Också sådana i sig anonyma uppgifter som indirekt kan härledas till en fysisk person omfattas av begreppet. I 16 § lagen (2001:99) om den officiella statistiken anges att personuppgifter som inte direkt kan hänföras till en enskild får av den utlämnande myndigheten förses med löpnummer som hänvisar till en nyckel med koppling till personnummer som den som får uppgifterna inte har tillgång till vid behandling av personuppgifterna (prop. 2000/01:27 En ny statistiklagstiftning, s. 50 f.). Sådana uppgifter kallas här för avidentifierade uppgifter (se vidare nedan i avsnitt 5.6). Även sådana uppgifter anses vara personuppgifter i personuppgiftslagens mening. Vidare kan uppgifter om diagnos och region i vissa fall vara tillräckliga för att identifiera en enskild person. Andra uppgifter som möjliggör identifikation kan vara uppgifter om ålder, kön eller årsinkomst. Behandling av känsliga personuppgifter m.m. För behandling av vissa typer av personuppgifter gäller enligt person- uppgiftslagen särskilda restriktioner. Det är enligt huvudregeln förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening. Det är även förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Dessa uppgifter kallas med en samlings- beteckning för känsliga personuppgifter. Lagen innehåller dock en rad undantag från förbudet mot behandling av känsliga personuppgifter. Känsliga personuppgifter får för det första behandlas om den enskilde lämnat sitt uttryckliga samtycke till behand- lingen eller själv offentliggjort uppgifterna på ett tydligt sätt.