prop · GZ03176 · 2012-09-11 00:00:00 — IFAU:s uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar får vidare anses utgöra ett viktigt allmänintresse. Mot bakgrund av att merparten av de personuppgifter som behandlas är avidentifierade, att den krets som behandlar uppgifterna är liten och att stark sekretess gäller för verksamheten, får riskerna för oacceptabla intrång i den personliga integriteten anses vara förhållandevis små. IFAU bör därför ha rätt att behandla vissa känsliga personuppgifter vid fullgörandet av sitt uppdrag. Institutet bör dock inte få behandla fler kategorier känsliga personuppgifter än vad myndigheten faktiskt har behov av. IFAU bör därför endast ha rätt att behandla personuppgifter som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa. Begränsningar och skyddsåtgärder beträffande behandling av känsliga personuppgifter IFAU påpekar att förslaget innebär en inskränkning i möjligheterna att bedriva forskning som förutsätter tillgång till personuppgifter gällande ras, politiska åsikter, religiös eller filosofisk övertygelse och sexualliv. har institutet på samma sätt som andra forskande myndigheter haft möjlighet att genom en ansökan till en etikprövningsnämnd söka stöd för behandling av sådana uppgifter för ett specifikt forsknings- ändamål. Att den möjligheten försvinner är enligt institutet till nackdel för verksamheten. Det finns ett antal studier som blir omöjliga att genomföra med en lagstiftning i enlighet med förslaget. Det är enligt myndigheten svårt att veta hur pass begränsande detta är, men klart är att det i vart fall minskar möjligheterna att studera exempelvis diskrimineringsfrågor. Som både Datainspektionen och IFAU har konstaterat innebär för- slaget en inskränkning i förhållande till vad som gäller ifråga om vilka känsliga personuppgifter som får behandlas i IFAU:s verksamhet. Som framgått ovan har också utgångspunkten varit att så få känsliga personuppgifter ska behandlas som möjligt. Det är också regeringens uppfattning att det är särskilt känsligt att registrera och behandla sådana personuppgifter som avslöjar uppgifter om ras, politisk åsikt, religion, filosofisk övertygelse och sexualliv. Sådana uppgifter bör bara få registreras och behandlas i yttersta undantagsfall. Behandling av sådana uppgifter hos IFAU bör endast vara tillåten om det finns ett behov av att behandla uppgifterna som utifrån ett viktigt allmänt intresse vid en intresseavvägning får anses väga tyngre än integritetsintresset. Regeringen anser att det i detta fall inte har framkommit så tungt vägande skäl för behandling att dessa uppgifter att dessa skäl väger tyngre än behovet av skydd för enskildas integritet. IFAU har särskilt påpekat att institutet bör ha möjlighet att behandla uppgifter om ras. Institutet medger dock att begreppet ras är ett sällan använt begrepp i svensk forskning, men menar att gränsdragningen mellan etnicitet och ras kan vara mycket svår att göra. IFAU vill därför att det förtydligas att ras och etnicitet kan ses som ett gemensamt begrepp och att även uppgifter om ras får behandlas. 2011/12:176 Både och regeringen har i olika sammanhang kritiserat användningen av begreppet ras (se t.ex. bet. 1997/98:KU29 s. 7, rskr. 1997/98:185 och prop. 2007/08:95 s. 117). Regeringen har också aviserat ambitionen att i ett annat sammanhang se över frågan om huruvida ordet ras bör utmönstras ur all svensk lagstiftning (se prop. 2009/10:85 s.123). Mot denna bakgrund anser regeringen att begreppet ras bör undvikas i den nya lagen. En uppgift som skulle kunna klassificeras som en uppgift om ras skulle vidare lika gärna kunna anses utgöra en uppgift om etniskt ursprung. Regeringen anser därför att IFAU:s behov av att behandla denna typ av uppgifter får anses tillgodosedda genom möjligheten att behandla uppgifter som avslöjar etniskt ursprung. IFAU tar även upp frågan huruvida det med den föreslagna utform- ningen av lagen kommer att vara möjligt att behandla uppgifter om partnerskap. Enligt institutet är uppgifter om vilka individer som utgör en familj, vilket exempelvis kan definieras genom uppgifter om giftermål och partnerskap, viktiga i många studier. IFAU har tidigare inte uppfattat sådana uppgifter som känsliga personuppgifter gällande sexualliv. har tidigare berört frågan. Kommittén gjorde bedömningen att en uppgift om civilstånd i sig inte kunde anses vara en sådan uppgift som rör den registrerades sexualliv. I doktrinen har man dragit slutsatsen att detta även torde gälla en uppgift om partnerskap (se och , Personuppgiftslagen En kommentar s. Regeringen har ingen anledning att göra någon annan bedömning. Enligt Datainspektionens uppfattning kan det dock inte uteslutas att en uppgift om registrerat partnerskap kan utgöra en känslig personuppgift. Eftersom det inom ramen för Arbetsförmedlingens verksamhet finns insatser som har som kvalificeringsgrund att en person har varit föremål för åtgärder inom kriminalvården, skulle IFAU kunna ha ett intresse av att även behandla sådana uppgifter. Sådana personuppgifter kan dock institutet i egenskap av myndighet redan behandla med stöd av person- uppgiftslagens bestämmelser (se 21 § personuppgiftslagen). Någon bestämmelse angående detta behöver därför inte införas i den nya lagen. Det bör i sammanhanget nämnas att det vid behandling av känsliga personuppgifter är särskilt viktigt att IFAU ser till att de uppgifter som behandlas är relevanta och adekvata, att inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen och att uppgifterna inte bevaras än vad som är nödvändigt ur forskningssynpunkt (9 § personuppgiftslagen). Det är också viktigt att institutet så långt möjligt vidtar tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 § personuppgiftslagen). IFAU:s skyldigheter i detta avseende följer av personuppgiftslagens bestämmelser. Det bör än en gång påpekas att all forskning som innefattar behandling av känsliga personuppgifter enligt 13 § eller uppgifter om lagöver- trädelser som innefattar brott m.m. enligt 21 § personuppgiftslagen måste etikprövas enligt etikprövningslagen. En etikprövningsnämnd har också möjlighet att förena ett godkännande av ett visst forskningsprojekt med villkor. Ett forskningsprojekt får bara innefatta behandling av sådana personuppgifter som avses i 13 eller 21 § personuppgiftslagen om personuppgiftsbehandlingen har godkänts vid etikprövningen (se 6 § Prop. 2011/12:176 etikprövningslagen). 5.9Samlingar av avidentifierade personuppgifter Regeringens förslag: politisk utvärdering ska för i lagen angivna ändamål få ha samlingar som innehåller personuppgifter och som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna ska dock få vara försedda med en beteckning som hos den myndighet uppgifterna kommer från kan hänföras till ett personnummer eller motsvarande identitetsbeteckning. Promemorians förslag: Överensstämmer med regeringens. Promemo- rians lagförslag har dock en annan redaktionell utformning. Remissinstanserna: Varken Justitiekanslern eller Datainspektionen har kunnat tillstyrka förslaget i denna del på grundval av det underlag som presenteras i promemorian. Justitiekanslern framhåller att det ur integritetssynpunkt är önskvärt att behandling av personuppgifter inte sker i större omfattning än nödvändigt. Datainspektionen ifrågasätter IFAU:s behov av att bygga upp egna samlingar av personuppgifter som redan bevaras hos andra myndigheter. Inspektionen kan inte tillstyrka en sådan ordning, annat än som en tillfällig lösning till dess frågan utretts inom ramen för arbetet att se över SCB och systemet för den officiella statistiken. Övriga remissinstanser har inte kommenterat förslaget sär- skilt. Skälen för regeringens förslag Personuppgiftslagen (1998:204) innehåller inga särskilda definitioner eller begrepp som används för att beteckna olika typer av samlingar av personuppgifter. I stället gäller lagens bestämmelser generellt för all typ av behandling av personuppgifter. Det görs således som huvudregel ingen skillnad mellan olika former av behandling av sådana uppgifter. Från integritetssynpunkt kan det dock vara motiverat att uppgiftssamlingar som ger möjlighet till sammanställningar av en rad olika uppgifter om enskilda omgärdas av särskilda skyddsregler. En teknik är att utifrån begrepp som exempelvis register, databas, uppgiftssamlingar eller gemensamt tillgängliga uppgifter, ange särskilda skyddsregler. Register och databas är allmänt vedertagna begrepp som används för att beteckna större uppgiftssamlingar. Dessa begrepp förekommer också i registerförfattningar som innehåller särskilda skyddsregler för samlingar av uppgifter. I olika lagstiftningssammanhang har emellertid kritik framförts mot begrepp som leder till tekniska begränsningar. Det finns mer moderna sätt att se på samlingar av personuppgifter i elektronisk form. Uppgifter förs numera in helt ostrukturerat och oorganiserat i olika filer i en dator, utan att det hindrar en effektiv hantering av uppgifterna. Det väsentliga är inte på vilket sätt 2011/12:176 uppgifterna är lagrade, utan i vilken omfattning uppgifterna är tillgängliga, sökbara och möjliga att sambearbeta. I avsnitt 4.1 beskrivs hur IFAU behandlar personuppgifter . Även om det inte är optimalt att använda sig av begreppet databaser, är det ändå en bra beskrivning av hur personuppgifter hanteras hos IFAU och av hur behandlingen med största sannolikhet kommer att se ut framöver. Begreppet databas används därför i både bakgrunds- och skälsavsnitt i denna proposition. I själva lagförslaget används emellertid det mer teknikneutrala begreppet samlingar av personuppgifter. IFAU:s behov av att bygga upp samlingar av avidentifierade personuppgifter Som framgått ovan hämtar IFAU in merparten av de uppgifter institutet behöver från SCB som i sin tur har hämtat in uppgifterna från en mängd olika källor. Det är vidare SCB som i normalfallet sammanställer och avidentifierar uppgifterna. Avidentifieringen innebär att varje enskild person kan identifieras genom namn, personnummer eller samordningsnummer. I stället förses varje person med en beteckning. SCB sparar dock en nyckel som kan användas för att knyta beteckningen till ett personnummer eller samordningsnummer. Beteckningen kan på så sätt användas för att identifiera de enskilda personerna på nytt. Detta är en förutsättning för att uppgifterna ska kunna uppdateras eller kompletteras och för att uppgifter ska kunna användas för att göra de kopplingar mellan exempelvis arbetsliv och utbildning som behöver göras för en viss studie. IFAU samlar till viss del in och behandlar personuppgifter som är relevanta för myndighetens uppdrag i en databas utan att uppgifterna kan sägas vara knutna till en viss pågående och avgränsad studie, uppföljning eller utvärdering. Nya uppgifter i form av uppdateringar och kompletteringar hämtas också in löpande. Denna typ av databas är viktig för att IFAU snabbt ska kunna utföra uppdrag på beställning från framförallt regeringen. IFAU har gjort gällande att institutet har behov av att, även efter det att det ovan nämnda godkännandet enligt lagen (2003:460) om etikprövning av forskning som avser människor löper ut (se ovan avsnitt 5.1), ha tillgång till den här typen av databas med personuppgifter. I promemorian föreslogs också att det skulle tas in en bestämmelse i den nya lagen som ger IFAU möjlighet att, för de ändamål som anges i ändamålsbestämmelsen i 5 § i lagförslaget, hålla samlingar av personuppgifter som behandlas automatiserat, utan att det finns något krav på att dessa samlingar skulle vara nödvändiga för en viss avgränsad och pågående studie, utvärdering eller uppföljning. Varken Justitiekanslern eller Datainspektionen har på grundval av det underlag som presenteras i promemorian kunnat tillstyrka förslaget i denna del. Justitiekanslern framhåller att det ur integritetssynpunkt är önskvärt att behandling av personuppgifter inte sker i större omfattning än nödvändigt. Justitiekanslern anser att det i promemorian endast anges övergripande varför det föreligger ett behov för IFAU att samla personuppgifter som redan finns tillgängliga hos andra myndigheter. Justitiekanslern saknar också en tydlig proportionalitetsavvägning mellan IFAU:s behov och de förväntade positiva effekterna av behandlingen. Även Datainspektionen ifrågasätter IFAU:s behov av att bygga upp egna samlingar av personuppgifter som redan finns hos andra myndigheter. Datainspektionen efterlyser en närmare beskrivning av skälen för att IFAU ska få bygga upp en egen databas med uppgifter från andra myndigheter. Det är enligt inspektionen inte önskvärt ur integritets- synpunkt att statliga myndigheter bygger upp parallella samlingar med uppgifter om medborgarna. Arbetsmarknadspolitiken utgör en viktig del av den ekonomiska politi- ken. Länder där en stor andel av befolkningen arbetar utvecklas bättre än länder med hög arbetslöshet. Detta är en av förklaringarna till att många länder, däribland , driver en ambitiös politik för hög sysselsättning och låg arbetslöshet. I omfattar statsbudgetens utgiftsområde Arbetsmarknad och arbetsliv utgifter på beroende på konjunkturläge. Utgiftsområdet utgör av statsbudgeten och är därmed en av de största posterna på statsbudgetens utgiftssida. Ur ett samhällsekonomiskt perspektiv är det därför av yttersta vikt att arbetsmarknadspolitiska reformer kan utvärderas och att de åtgärder och reformer som fungerar kan skiljas ut från dem som inte gör det. Det är också viktigt att öka kunskapen om hur arbetslöshetsförsäkringen och de arbetsmarknadspolitiska programmen och insatserna påverkar arbetsmarknadens funktionssätt. IFAU:s effektutvärderingar utgör således ett mycket värdefullt kunskapsunderlag för utformningen av arbetsmarknadspolitiken och den ekonomiska politiken. IFAU:s verksamhet ökar även kunskapen om effekterna av olika reformer och åtgärder på utbildningsområdet. Resultaten i har stadigvarande sjunkit , varför regeringen vidtagit en rad olika förbättringsåtgärder. är därmed inne i svenskt skolväsende sedan den allmänna folkskolan infördes . Utbildningsområdets politiska och ekonomiska vikt med- för att behovet av beslutsunderlag av hög kvalitet är betydande. För att styrningen på området ska vara effektiv har regeringen även på detta område ett stort behov av utvärderingar avseende effekterna av olika politiska beslut, reformer och åtgärder. De stora reformer som genom- förts och håller på att genomföras, framförallt när det gäller barn-, ung- doms- och vuxenutbildningen, behöver utvärderas noga. IFAU behöver i detta sammanhang ta fram svar på om förväntade effekter av en reform uppnåtts och utifrån tillgängliga data och annan empiri göra analyser av uppmätta effekter. Det kan exempelvis handla om att försöka ta reda på vilken typ av utbildning som bäst förbereder unga för kommande yrkesverksamhet; arbetsplatsförlagt lärande eller undervisning i skolan. Kvalificerade och breda utredningar kräver tillgång till stora mängder data om enskilda som täcker in såväl information om utbildningsdeltagare, uppnådda resultat, tidigare och senare studier, arbetserfarenhet och annan verksamhet, som socioekonomisk information. Tillgång till databaser med information på individnivå gör att studier och utvärderingar av olika insatsers effekter kan göras utan att de individer som berörs åter tvingas lämna sådana uppgifter som redan finns hos andra myndigheter. IFAU:s samlingar av personuppgifter är konstruerade för att användas vid effektutvärderingar (se avsnitt 4.1). Ett av huvudsyftena med den nya 2011/12:176 lagen är att möjliggöra för IFAU att mer långsiktigt hålla denna typ av databaser utan krav på att samlingarna ska vara knutna till ett visst avgränsat projekt eller utredningsuppdrag. Om IFAU i stället skulle vara tvunget att bygga upp nya och specifika databaser för varje enskild utvärdering, skulle institutet inte kunna fylla den funktion det har . Att bygga upp en samling av personuppgifter för ett specifikt uppdrag kan enligt IFAU ta upp till och i vissa fall . Om IFAU för varje nytt projekt måste bygga upp en ny samling uppgifter, riskerar uppdragen att ta orimligt . Det är vidare, enligt IFAU, svårt att på förhand veta vilka personuppgifter som kommer att behövas för ett specifikt utredningsuppdrag. Det är inte alltid möjligt att i förväg förutsäga alla frågor som kan behöva besvaras inom ramen för ett visst projekt. Variabler måste kunna läggas till och tas bort under arbetets gång och hypoteser om möjliga ansatser att effektutvärdera måste kunna prövas och förkastas. Att i efterhand komplettera med ytterligare personuppgifter fördröjer ofta arbetet ytterligare, särskilt i de fall SCB på uppdrag av IFAU måste sätta samman personuppgifter som kommer från flera olika myndigheter. I värsta fall skulle det således kunna ta att få en ny insats eller reform utvärderad. Eftersom framför allt arbetsmarknadspolitiken är ett politikområde som kan kräva snabba förändringar beroende på konjunktur, påverkar långa utredningstider och regeringens möjligheter att utvärdera redan beslutade insatser och åtgärder och erhålla underlag för beslut om justeringar i insatserna eller om nya insatser eller reformer. Det är även viktigt att utvärderingar av reformer och åtgärder inom utbildningsväsendet inte tar än nödvändigt. Tillgång till redan befintliga databaser möjliggör för institutet att förhållandevis snabbt fullgöra olika typer av utredningsuppdrag. Med redan uppbyggda databaser kan data som kan användas för effektutvärderingar finnas tillgängliga med bara några månaders eftersläpning. Att skapa projektspecifika samlingar av personuppgifter är vidare kostsamt. Det finns därför en risk för att institutet skulle behöva begränsa underlaget av finansiella skäl, vilket i sin tur riskerar att få till följd att underlaget för institutets uppföljningar, studier och utvärderingar blir mindre omfattande och att slutresultatet blir kvalitetsmässigt sämre. Detta innebär i förlängningen att regeringen och inte kommer att få ett fullgott underlag för att bedöma resultatet av beslutade insatser och reformer. För att säkra kvaliteten i institutets utvärderingar krävs att IFAU:s forskare får möjlighet att utveckla användandet av databaserna. Delar av detta utvecklingsarbete är svårt att utföra utifrån projektspecifika databaser. Det är också svårare att motivera stora tidsmässiga investeringar i kunskapsuppbyggnad och utveckling av nya arbetssätt, om inte forskarna har tillgång till varaktiga samlingar av uppgifter. Projektspecifika databaser är vidare alltid mer begränsade till innehåll och omfattning, varför det blir svårare att utifrån ett sådant material lära sig hur olika typer av uppgifter relaterar till varandra och vilka styrkor och svagheter de har. Om IFAU kan hålla egna samlingar av personuppgifter, kan institutet redan i dessa samlingar strukturera och anpassa uppgifterna så att de lämpar sig för forskning. Med egna databaser ökar slutligen IFAU:s möjligheter att återföra kunskap till de statistikansvariga myndigheterna och försöka påverka datainsamlingen. På så sätt kan IFAU bidra till att nya forskningsfrågor kan besvaras . På samma sätt kan kunskap om data bidra till att identifiera bra forskning. Dessa processer är av långsiktig natur och underlättas avsevärt med en varaktig datatillgång. Databaserna är vidare den enskilt viktigaste förklaringen till att IFAU har kunnat locka till sig så hög vetenskaplig kompetens inom kvantitativ empirisk forskning. Framför allt Datainspektionens invändningar mot förslaget synes bottna i en uppfattning att IFAU i stället för att bygga upp egna samlingar borde använda sig av SCB:s system för direktåtkomst, . Detta system tillfredsställer dock inte IFAU:s behov. Det handlar framförallt om att inte är anpassat för de stora datamängder som IFAU har behov av för sina effektutvärderingar. Vissa av de uppgifter som institutet regelmässigt använder sig av, t.ex. delar av Arbetsförmedlingens datalager, finns inte heller tillgängliga via . Det pågår dock ett arbete med att se över SCB och systemet för den officiella statistiken. Den utredning som har till uppgift att titta på dessa frågor ska bl.a. granska statistikkvaliteten och tillgängligheten till statistiken samt föreslå åtgärder för att förbättra förutsättningarna för registerbaserad forskning (, Ju 2011:05). Utredaren ska slutredovisa uppdraget . Därefter kan det emellertid ta innan de föreslagna åtgärderna leder till konkreta förändringar av nuvarande system. I den del av uppdraget som avser åtgärder för att förbättra förutsättningarna för registerbaserad forskning kommer förändringarna att ligga ännu längre fram i tiden, eftersom det nu inte ingår i utredningens uppdrag i denna del att komma med några förslag till författningsändringar. Sammanfattningsvis är regeringens bedömning att det för IFAU:s del inte går att avvakta med att genomföra de förändringar som krävs till dess översynen av systemet för den officiella statistiken är slutförd. Regeringen följer dock utvecklingen och det kan finnas anledning att ompröva IFAU:s behov av att bygga upp egna samlingar av personuppgifter när den nya ordningen är på plats. Mot den bakgrunden föreslås att den nya lagen ska tidsbegränsas. Se vidare avsnitt 6. anser dock regeringen mot bakgrund av det ovan anförda att det är av yttersta vikt att IFAU ges lagliga förutsätt- ningar att på ett mer långsiktigt sätt än hålla och administrera samlingar av personuppgifter som inte nödvändigtvis måste vara knutna till en viss pågående studie, uppföljning eller utvärdering. Åtgärder och rutiner till skydd för den personliga integriteten En förutsättning för att IFAU ska få hålla och administrera nu aktuell typ av samlingar måste dock vara att de personuppgifter som ingår i samlingarna är avidentifierade. Det föreslås därför att samlingarna endast ska få innehålla uppgifter som inte direkt kan hänföras till en person. Uppgifterna ska dock få vara försedda med en beteckning som hos den myndighet som uppgifterna kommer ifrån kan hänföras till ett personnummer eller motsvarande. Det är även viktigt att andra skyddsåtgärder vidtas. att personuppgifterna i samlingarna inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter som inte längre behövs för att IFAU ska kunna fullgöra sitt uppdrag ska gallras (se vidare avsnitt 5.12). IFAU måste också se till att de uppgifter som behandlas är relevanta och adekvata och att inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (se 9 § personuppgiftslagen). viktigt att IFAU noga prövar att de uppgifter som förs in i samlingarna är relevanta i förhållande till myndighetens uppdrag och att ändamålet för insamlandet av uppgifterna ligger inom ramen för ändamålsbe- stämmelserna i den nya lagen. Det är vidare i denna typ av samlingar särskilt viktigt att IFAU så långt möjligt vidtar tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 § personuppgiftslagen). skyldigheter i det avseendet följer dock redan av personuppgiftslagens Några särskilda bestämmelser angående detta behöver därför inte föras in i den nya lagen. IFAU har redan väl utvecklade interna rutiner för datauttag ur sina Endast en person hos myndigheten, en systemadministratör, har tillgång till all mikrodata. Den forskare som ska genomföra en viss studie, uppföljning eller utvärdering får av systemadministratören beställa de uppgifter han eller hon anser sig behöva för sitt projekt genom att fylla i en blankett i en specifik och för ändamålet utvecklad Forskaren måste där motivera varför han eller hon anser sig behöva uppgifterna. Ingår det känsliga personuppgifter i materialet görs en särskild behovsprövning. Efter att nu gällande godkännande av etikprövningsnämnden av forskning på grundval av IFAU-databasen