sou · H0B34 · 2012-02-07 00:00:00 — Rör det sig om behandling av känsliga uppgifter, personnummer, uppgifter om lagöverträdelser eller överföring av personuppgifter till tredje land finns ytterligare begränsningar. Enligt 13 § personuppgiftslagen gäller ett principiellt förbud mot att behandla vissa känsliga personuppgifter. Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt personuppgifter som rör hälsa eller sexualliv. Från förbudet mot att behandla vissa känsliga personuppgifter görs betydande undantag i 15–19 §§ personuppgiftslagen. Uppgifterna får behandlas om den registrerade har lämnat sitt uttryckliga Gällande rätt – regler för personuppgiftsbehandling samtycke eller om den registrerade själv på ett tydligt sätt har offentliggjort den känsliga uppgiften. Vidare får känsliga personuppgifter behandlas om det är nödvändigt för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att den registrerade eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna sitt samtycke eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Uppgifter om lagöverträdelser m.m. utgör inte per definition känsliga personuppgifter, men anses ändå så ömtåliga att behandlingen av dem regleras särskilt i personuppgiftslagen. Det är förbjudet för andra än myndigheter att behandla uppgifter om brott, dvs. domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen bestämmer, i detta fall Datainspektionen, får medge att även andra än myndigheter får behandla uppgifter om brott. Sådana bemyndiganden kan lämnas antingen i form av generella föreskrifter för ett visst område eller i form av undantag i ett enskilt fall. Som anges ovan är samtycke från den enskilde ibland en förutsättning för att behandling av personuppgifter ska vara tillåten. Ett samtycke definieras enligt 3 § personuppgiftslagen som varje slag av frivillig, särskild, otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Samtycket är individuellt. Det innebär att det är den registrerade själv som ska godta behandlingen av personuppgifter. En förening kan till exempel inte samtycka för sina medlemmars räkning. Att ett samtycke ska vara frivilligt innebär att den enskilde i praktiken måste ha ett fritt val att avgöra om hans eller hennes uppgifter ska få behandlas. Kravet på att samtycket ska vara särskilt innebär att ett generellt samtycke till behandling av personuppgifter inte godtas. Samtycket ska avse behandling för ett eller flera preciserade ändamål. Att samtycket ska vara en otvetydig viljeyttring innebär att det inte får råda någon tvekan om att den registrerade godtar behandlingen av personuppgifter som rör honom eller henne. Det är den personuppgiftsansvarige som har bevisbördan för att samtycke Gällande rätt – regler för personuppgiftsbehandling När det gäller känsliga uppgifter måste samtycket komma till uttryck på ett särskilt tydligt sätt. Samtycke genom så kallat konkludent handlande är då inte tillräckligt. Det finns däremot inga formkrav på samtycket. För att samtycket ska vara giltigt krävs även att den registrerade har fått sådan information att han eller hon kan ta ställning till om personuppgifterna ska få behandlas för det ändamål och på det sätt som planerats. Ett samtycke kan inte omfatta annan behandling än sådan som den registrerade fått information om. Om ett samtycke till behandling av personuppgifter återkallas får ytterligare uppgifter inte behandlas, men behandlingen av de uppgifter som redan samlats in får fortsätta. Den enskilde kan när som helst återkalla ett tidigare lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas. 11.3Särskilt om krav på information och säkerhet vid behandling av personuppgifter En viktig del av integritetsskyddet är att den registrerade informeras om de behandlingar som utförs. Personuppgiftslagen innehåller utförliga regler om kravet på information som gäller vid strukturerad behandling av personuppgifter (23–26 §§ PuL). Personuppgifter får normalt sett inte registreras i databaser eller liknande register utan att de berörda känner till vad uppgifterna ska användas till och vilket företag eller annan organisation som är ytterst ansvarigt. Det är den personuppgiftsansvarige som ska se till att den registrerade får den information som krävs. Informationen som ska lämnas ska vara tydlig och begriplig och omfatta, uppgifter om den som är personuppgiftsansvarig, uppgifter om ändamålen med behandlingen, och all övrig information som den registrerade behöver känna till för att kunna ta tillvara sina rättigheter, som exempelvis vilka typer av uppgifter som ska behandlas, till vem uppgifterna kan komma att lämnas ut och att den registrerade har rätt att begära ett registerutdrag för att kunna kontrollera vilken information som finns registrerad om honom eller henne. Gällande rätt – regler för personuppgiftsbehandling När uppgifter samlas in från personen själv ska den personuppgiftsansvarige självmant lämna informationen som uppgifterna samlas in. För ostrukturerad behandling finns inte samma informationsplikt men ibland kan det även då vara viktigt att informera för att inte kränka den enskildes personliga integritet. Säkerheten för personuppgifter är en viktig del av skyddet för den personliga integriteten. Den som behandlar personuppgifter med hjälp av informationsteknik måste därför skydda uppgifterna. Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och de kompletterande aktörerna är var och en ansvariga för behandlingen av personuppgifter i sin verksamhet. Personuppgiftslagen ställer krav på den personuppgiftsansvarige att ha en tillfredsställande säkerhet för de personuppgifter som behandlas. Den personuppgiftsansvarige ska enligt 31 § personuppgiftslagen vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna, och hur känsliga de behandlade personuppgifterna är. När den personuppgiftsansvarige anlitar ett personuppgiftsbiträde, ska den personuppgiftsansvarige förvissa sig om att biträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna. Biträdet får bara behandla personuppgifter enligt den ansvariges instruktioner och det ska upprättas ett skriftligt avtal som reglerar förhållandet. Gällande rätt – regler för personuppgiftsbehandling Ju känsligare personuppgifterna är, desto mer omfattande skydd krävs Datainspektionen har utarbetat allmänna råd om säkerhet för personuppgifter. De är rekommendationer om hur de bindande kraven i personuppgiftslagen kan uppnås. Det behövs både organisatoriska och tekniska åtgärder för att uppnå ett bra IT-skydd. Organisatoriska åtgärder handlar om säkerhetsarbetets organisation och rutiner, instruktioner och policyer. Tekniska åtgärder är sådant som brandväggar, krypteringsfunktioner och anti-virus. Utgångspunkten för säkerhetsarbetet är en medvetenhet om vilka risker som finns i IT-miljön. Den personuppgiftsansvarige behöver kartlägga riskerna och bedöma hotbilden. Generellt gäller att ju känsligare personuppgifterna är eller ju fler personuppgifter som hanteras, desto mer omfattande bör säkerhetsåtgärderna vara. Känsligheten hos de personuppgifter som behandlas beror på flera faktorer och måste alltid bedömas särskilt. Känsliga personuppgifter är enligt personuppgiftslagen sådana som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening och uppgifter som rör hälsa eller sexualliv. Ett uttryck för att det är fråga om känsliga uppgifter kan vara att uppgifterna omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) t.ex. uppgifter om enskildas personliga förhållanden i ärenden om arbetsförmedling, se avsnitt 5.5. Om uppgifterna regleras av en särlagstiftning tyder även detta på att de betraktas som känsliga och ska säkerhetsåtgärderna för att skydda personuppgifterna vara mer omfattande än annars. Som en sammanfattning av de allmänna råden om säkerhet för personuppgifter anges att den personuppgiftsansvarige bör tänka på att: sätta mätbara mål för säkerhet, fastställa policy för säkerhet, skapa en fungerande organisation för säkerhet, skaffa den utrustning som behövs och använda den rätt, upprätta regler och rutiner, informera och utbilda kontinuerligt, Gällande rätt – regler för personuppgiftsbehandling följa upp att regler och rutiner efterlevs och respekteras, testa säkerheten regelbundet. 11.3.3Skydd för personuppgifter i e-tjänster Utvecklandet av elektroniska tjänster, s.k. e-tjänster, innebär en ökad datoriserad behandling av personuppgifter. Hanteringen får inte kränka enskildas personliga integritet och myndigheterna måste därför se till att följa reglerna i personuppgiftslagen, särskild registerlagstiftning och offentlighets- och sekretesslagstiftningen. Vid utveckling av myndigheternas elektroniska tjänster är det framför allt tre säkerhetsaspekter som är viktiga. Den personuppgiftsansvarige måste kunna säkerställa identiteten hos användaren av en e-tjänst i de fall det är nödvändigt, skydda personuppgifter som förs över i öppna nät så att obehöriga inte kan ta del av dem, och skydda personuppgifter som samlats in. Fastställa identiteten hos användaren Behandling av känsliga personuppgifter kräver säkra metoder för att fastställa identiteten hos användaren s.k. autentisering, såsom e- legitimation, engångslösenord eller motsvarande. Det räcker då inte med exempelvis användarnamn och lösenord eller pinkod som metod för autentisering. Uppgifter som omfattas av sekretess och uppgifter om lagöverträdelser bör likställas med känsliga personuppgifter när det gäller säkerhet. Skydd vid överföring genom kryptering Om en personuppgiftsansvarig ska hämta in eller sända känsliga personuppgifter via ett öppet nätverk, som t.ex. Internet, måste själva överföringen av uppgifterna vara skyddad med hjälp av kryptering. Med kryptering kan man säkerställa att ingen obehörig kan komma åt informationen och att den inte förvanskas på vägen. Gällande rätt – regler för personuppgiftsbehandling Skydd för insamlade personuppgifter Även när uppgifterna lagras hos den personuppgiftsansvarige måste de skyddas, vilket kräver både tekniska lösningar och administrativa rutiner. En grundläggande princip är att anställda inom en organisation endast bör ha tillgång till information som de behöver för sitt arbete. Utbildning av personalen är av stor betydelse för att hanteringen av personuppgifter ska vara säker. När känsliga personuppgifter behandlas ska det finnas en behandlingshistorik (logg) som löpande registrerar användaridentitet, tidpunkt och vilka personuppgifter användaren har haft åtkomst till eller bearbetat. Det ska vara möjligt att följa upp loggarna för att utreda felaktig eller obehörig användning av personuppgifter. Kompletterande aktörers uppdrag är av den art att de har ett behov av att hålla samman uppgifter kopplade till en individ vilket möjliggör att de på ett enkelt sätt kan söka efter dessa uppgifter. Vissa av de kompletterande aktörerna har, i likhet med Arbetsförmedlingen, kandidatbaser med uppgifter om den arbetssökandes meriter vilka används för att matcha arbetssökande mot arbetsgivare. Kraven på löpande dokumentation och leveranser av planeringar och rapporter innebär att de kompletterande aktörerna även behöver föra löpande anteckningar kopplade till den arbetssökande. Merparten av de kompletterande aktörernas behandling av uppgifter om arbetssökande torde utgöra en strukturerad behandling. Det kan dock finnas viss behandling hos de kompletterande aktörerna som kan anses vara ostrukturerad. Det kan till exempel röra sig om kommunikation via e-post som inte är avsedd att infogas i det strukturerade materialet eller tidsbokning i kalendrar. Att merparten av de kompletterande aktörernas personuppgiftsbehandling är att anse som strukturerad innebär att samtliga hanteringsregler i personuppgiftslagen är tillämpliga på behandlingen. Reglerna gäller även i sin helhet för det material som en enskild medarbetare har i sin dator och som är avsedd att infogas i en strukturerad samling av personuppgifter. Den kompletterande aktören måste därför ha stöd för sin behandling i 10 § personuppgiftslagen. Om behandlingen har stöd i 10 § får de kompletterande Gällande rätt – regler för personuppgiftsbehandling aktörerna behandla de personuppgifter om den enskilde som kan anses berättigade i förhållande till ändamålet med behandlingen t.ex. att få den enskilde i arbete. Vilka uppgifter som behövs är beroende av typen av aktuellt arbete, program eller liknande som den enskilde är aktuell för och vad den enskilde arbetssökande har för behov. Endast nödvändiga och för ändamålet relevanta uppgifter får behandlas enligt de grundläggande kraven i 9 § personuppgiftslagen. Personuppgifter kan behandlas med stöd av 10 § e personuppgiftslagen dvs. om behandlingen är nödvändig för att den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning. Kompletterande aktörer är skyldiga att lämna uppgifter till Arbetsförmedlingen i form av t.ex. en beskrivning av utförda aktiviteter och insatser för den arbetslöse, rapporter, slutredovisning m.m. i syfte att Arbetsförmedlingen ska kunna fullgöra viss myndighetsutövning.5 Denna punkt ger dock bara stöd för delar av den behandling av personuppgifter som de kompletterande aktörerna behöver utföra i sitt uppdrag med att hjälpa den arbetssökande. Personuppgifter kan även behandlas efter en intresseavvägning enligt 10 § f personuppgiftslagen. Det förutsätter att behandlingen är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige (här den kompletterande aktören) eller hos en sådan tredje man till vilken personuppgifterna lämnas ut (här Arbetsförmedlingen och presumtiva arbetsgivare) ska kunna tillgodoses, och att detta intresse väger tyngre än den registrerades skydd mot kränkning av den personliga integriteten. Denna generalklausul skulle eventuellt kunna användas som stöd för behandlingen men passar inte så väl in i systemet som förutsätter att parterna, den arbetssökande och den kompletterande aktören, samverkar på frivillig basis. De kompletterande aktörerna kan vidare träffa avtal med den registrerade om uppdraget/tjänsten och därefter behandla de uppgifter som behövs för uppdraget enligt 10 § a personuppgiftslagen. De flesta kompletterande aktörer torde dock använda sig av samtycke som stöd för sin behandling av personuppgifter om de arbetssökande. Detta tycks fungera tämligen väl men flera aktörer har påpekat att det finns ett behov av att behandla personuppgifter 5 Se vidare om angående informationsutbyte mellan Arbetsförmedlingen och kompletterande aktörer, avsnitt 5.5. Gällande rätt – regler för personuppgiftsbehandling redan innan de träffar den arbetssökande, dvs. när de får reda på att de har fått ett uppdrag av Arbetsförmedlingen att hjälpa en viss arbetssökande. Som anges ovan krävs att ett samtycke enligt personuppgiftslagen är en frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Ett problem med samtycke till behandling av personuppgifter som lämnas av den arbetssökande till den kompletterande aktören är att man kan ifrågasätta frivilligheten av det lämnade samtycket. En arbetssökande kan anses vara i beroendeställning till den kompletterande aktören eftersom den arbetssökandes medverkan till olika aktiviteter är en förutsättning för att denne ska få arbetslöshetsersättning, aktivitetsstöd eller etableringsersättning. Det är därför tveksamt om det är ett frivilligt samtycke i enlighet med personuppgiftslagens regler som lämnas. Utredningen om integritetsskydd i arbetslivet tog upp denna problematik med samtycke som lämnas av arbetstagare (och arbetssökanden) och föreslog av denna anledning att en arbetsgivare inte ska få vidta övervaknings- och kontrollåtgärder mot en arbetstagare enbart med stöd av dennes lämnade samtycke.6 Ett annat problem med att stödja personuppgiftsbehandlingen på samtycke är att den arbetssökande när som helst kan återkalla detta. Därefter får den kompletterande aktören inte samla in några ytterligare uppgifter om den registrerade. De kompletterande aktörerna kan också ha behov av att behandla vissa typer av känsliga personuppgifter för att kunna hjälpa den arbetssökande i enlighet med uppdraget. En arbetsplats kan t.ex. behöva anpassas om den arbetssökande har en funktionsnedsättning. Dessutom kan det faktum att en arbetssökande deltar i ett visst program indirekt avslöja en känslig personuppgift om t.ex. hälsa. Även om de kompletterande aktörernas behandling är tillåten enligt 10 § personuppgiftslagen, kan de inte behandla de känsliga uppgifterna utan ett uttryckligt samtycke från den arbetssökande. Den enskilde har möjlighet att lämna sitt uttryckliga samtycke till behandling av känsliga personuppgifter. Det ska då inte finnas något tvivel om att den registrerade avsett att frivilligt samtycka till en viss åtgärd. 6 SOU 2009:44 s. 237–239. Gällande rätt – regler för personuppgiftsbehandling 11.5.1Allmänt om Arbetsförmedlingens speciallagstiftning Som angivits ovan regleras Arbetsförmedlingens personuppgiftsbehandling av lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, vilken kompletteras av förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (nedan kallade Arbetsförmedlingens registerlag och -förordning). Enligt 1 § omfattar Arbetsförmedlingens registerlag all behandling av personuppgifter som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen tillämpas dock inte i den del av den arbetsmarknadspolitiska verksamheten som även utgör hälso- och sjukvård. Där tillämpas istället patientdatalagen (2008:355). Tills skillnad för vad som gäller för kompletterande aktörer så får Arbetsförmedlingen utföra den behandling som är tillåten enligt lagen även om den enskilde motsätter sig behandlingen.7 Vissa begränsningar gäller dock i detta avseende för känsliga och ömtåliga personuppgifter, se nedan. Arbetsförmedlingen får behandla personuppgifter enligt vissa i lagen angivna primära och sekundära ändamål (4–5 §§). De primära ändamålen avser bl.a. handläggning av ärenden, planering, metodutveckling och tillsyn, medan de sekundära ändamålen bl.a. möjliggör behandling av personuppgifter för utlämnande till andra myndigheter men även till kompletterande aktörer. Vilka typer av uppgifter som får behandlas för vilket ändamål anges i registerförordningen, som genom specifika kataloger av typer av uppgifter som får behandlas för respektive ändamål begränsar den behandling som registerlagen ger utrymme för. av personuppgifter som Arbetsförmedlingen använder gemensamt i verksamheten för de ändamål som anges i lagen kallas arbetsmarknadspolitisk databas.8 71 a § Arbetsförmedlingens registerlag. 87 § Arbetsförmedlingens registerlag. Gällande rätt – regler för personuppgiftsbehandling 11.5.2Behandling av uppgifter för ärendehandläggning m.m. Den typ av verksamhet som de kompletterande aktörerna utför får anses vara jämförbar med den typ av verksamhet som hos Arbetsförmedlingen faller in under de primära ändamålen i 4 § 1 och 3 punkten enligt Arbetsförmedlingens registerlag, dvs. handläggning av ärenden samt planering, metodutveckling, uppföljning, resultatredovisning och utvärdering av verksamheten. För dessa ändamål får Arbetsförmedlingen enligt 3 § i förordningen behandla följande uppgifter om arbetssökande; 1.namn, person- eller samordningsnummer, adress, e-postadress, telefonnummer och andra kontakt- och identifieringsuppgifter, 2.löne- och kontouppgifter, 3.medborgarskap och födelseland, 4.uppgifter om arbetslöshet, inskrivningstid hos Arbetsförmedlingen och tillhörighet till arbetslöshetskassa, 5.uppgifter om inresedatum till , ansökan om uppehållstillstånd, folkbokföringsdatum, arbetstillstånd och uppehållstillstånd eller uppehållskort, 6.önskemål om typ av arbete, arbetstid, arbetsort, anställningsform och varaktighet samt uppgifter om körkort, tillgång till bil, utbildning, arbetslivserfarenhet, tidigare arbetsgivare, språkkunskaper, speciell kompetens och andra uppgifter som har betydelse vid arbetssökning, 7.uppgifter om behov av språk-, syn- eller teckentolk, arbetshjälpmedel eller av särskild anpassning av insatser, 8.uppgifter om tidpunkter, händelser och innehåll i kontakter med Arbetsförmedlingen och kompletterande aktörer, 9.uppgifter om den arbetssökande som rapporteras in av en kompletterande aktör, en myndighet eller en arbetsgivare, 10.uppgifter som behövs som underlag för beslut om anvisning till arbetsmarknadspolitiska program eller insatser eller för beslut om nystartsjobb, 11.uppgifter om anvisning till arbetsmarknadspolitiska program eller insatser eller beslut om nystartsjobb, typ av program eller insats, ersättning från arbetslöshetskassa eller för deltagande i Gällande rätt – regler för personuppgiftsbehandling arbetsmarknadspolitiska program eller insatser och om samordning med andra förmåner, 12.uppgifter om etableringsersättning, etableringstillägg, bostadsersättning, bistånd enligt lagen (1994:137) om mottagande av asylsökande m.fl. samt andra uppgifter som har betydelse för handläggningen av ärenden enligt lagen (2010:197) om etableringsinsatser för vissa nyanlända invandrare, förordningen (2010:407) om ersättning till vissa nyanlända invandrare, förordningen (2010:408) om mottagande för bosättning av vissa nyanlända invandrare och förordningen (2010:409) om etableringssamtal och etableringsinsatser för vissa nyanlända invandrare, 13.uppgifter om sökta arbeten, anvisningar till arbete och resultatet av anvisningarna, 14.uppgifter om att den arbetssökande verkställer eller har verkställt ett fängelsestraff, huruvida verkställigheten sker eller har skett i anstalt eller genom elektronisk intensivövervakning, tidpunkt för åtgärder enligt 11 kap. 1 § fängelselagen (2010:610) och tidpunkt för villkorlig frigivning, och 15.andra uppgifter som har lämnats i ett ärende eller som är absolut nödvändiga för handläggningen av ett ärende. Arbetsförmedlingen får även behandla dessa uppgifter avseende närstående till den arbetssökande, om uppgifterna har betydelse i ett ärende om etableringsersättning, bosättning eller andra etableringsinsatser eller om uppgiften är absolut nödvändig för handläggningen av någon annan typ av ärenden. Arbetsförmedlingen får enligt 4 § 2 punkten i registerlagen även behandla personuppgifter om den arbetssökande för publicering av ansökningar om anställning. De uppgifter som enligt 3 a § registerförordningen får behandlas för detta ändamål är uppgifter om namn, födelsedatum, adress, e-postadress, telefonnummer och andra kontakt- och identifieringsuppgifter samt önskemål om typ av arbete, arbetstid, arbetsort, anställningsform och varaktighet samt uppgifter om körkort och tillgång till bil, utbildning, arbetslivserfarenhet, tidigare arbetsgivare, språkkunskaper, speciell kom- Gällande rätt – regler för personuppgiftsbehandling