sou · H0B34 · 2012-02-07 00:00:00 — Enligt utredningsdirektiven ska utredaren samråda med Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och Datainspektionen. Arbetet har bedrivits i nära samråd med de förordnade experterna från bl.a. dessa myndigheter. Vid den internationella jämförelsen har utredningen inhämtat information och haft kontakter med tjänstemän vid den danska och den australiensiska dataskyddsmyndigheten. De kompletterande aktörerna har inte någon egen intresseorganisation. För att inhämta synpunkter från denna grupp har utredningen skickat ett brev med frågor och förslag till olika tänkbara lösningar. Det har gått ut till 40 kompletterande aktörer av olika slag som Arbetsförmedlingen har anlitat . Brevet har också skickats till (förbund inom Svensk Näringsliv) och Företagarna för synpunkter. Beträffande frågan om behandling av uppgifter om fackliga kontaktpersoner i Platsbanken har utredningen inhämtat skriftliga synpunkter från Arbetsförmedlingen, , Akademikers () och deras medlemsför- Utredningens uppdrag och arbete bund Ingenjörer, och i (LO). Arbetsförmedlingen har lämnat statistiskt underlag till utredningen. 2Arbetsförmedlingen och Inspektionen för 2.1Arbetsförmedlingens uppdrag och verksamhet Arbetsförmedlingen ansvarar för den offentliga arbetsförmedlingen och dess arbetsmarknadspolitiska verksamhet. Bestämmelser om hur Arbetsförmedlingen ska bedriva sin verksamhet finns bl.a. i förordningen (2007:1030) med instruktion för Arbetsförmedlingen. Där framgår att Arbetsförmedlingen ska verka för att förbättra arbetsmarknadens funktionssätt genom att effektivt sammanföra dem som söker arbete med dem som söker arbetskraft. Vidare framgår att Arbetsförmedlingens verksamhet ska utformas så att den bedrivs på ett effektivt, enhetligt och rättssäkert sätt. Arbetsförmedlingen har getts ett tydligare och allt större ansvar för de grupper av människor som typiskt sett står långt från arbetsmarknaden, dvs. grupper som generellt sett visat sig ha svårare än andra att få arbete. Detta har medfört att insatser har införts som riktar sig särskilt till grupper som nyanlända invandrare, långtidssjukskrivna och personer som har varit föremål för åtgärder inom kriminalvården. Den senast tillkomna gruppen är personer som har fått maximal tid med sjukpenning eller tidsbegränsad sjukersättning (se prop. 2009/10:45). 2.2Inspektionen för arbetslöshetsförsäkringens uppdrag och verksamhet Inspektionen för arbetslöshetsförsäkringen ansvarar för tillsyn över arbetslöshetsförsäkringen, arbetslöshetskassorna och Arbetsförmedlingens handläggning av ärenden som har samband med arbetslöshets- Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen Bestämmelser om hur Inspektionen för arbetslöshetsförsäkringen ska bedriva sin verksamhet finns bl.a. i förordningen (2007:906) med instruktion för Inspektionen för arbetslöshetsförsäkringen. Av instruktionen framgår att Inspektionen för arbetslöshetsförsäkringen ska granska handläggning och rutiner för handläggning av ärenden hos Arbetsförmedlingen som påverkar rätten till arbetslöshetsersättning. Inspektionen ska även granska handläggning och rutiner för handläggning av ärenden hos Arbetsförmedlingen om återkallande av anvisningar till arbetsmarknadspolitiska program och påtala de brister som inspektionen har funnit vid sin granskning. Inspektionen för arbetslöshetsförsäkringen ska dessutom verka för att säkerställa att arbetslöshetsersättning endast betalas ut till dem som är berättigade till sådan ersättning samt följa utvecklingen på arbetslöshetsförsäkringens område och ta de initiativ till åtgärder som uppföljningen ger anledning till. Se närmare om inspektionens verksamhet i avsnitt 15. av behandling av personuppgifter Informationsteknikens utveckling och den ökande användningen av denna teknik för behandling av information om individer, medför ett särskilt behov av skydd mot sådan användning av individrelaterad information som kan anses utgöra ett otillbörligt intrång i den personliga integriteten. Regler om informationsbehandling har utarbetats såväl i internationella sammanhang som i nationell lagstiftning. Nedan redovisas denna reglering i korthet. För en mer uttömmande redogörelse, se bl.a. SOU 2008:4 Skyddet för den personliga integriteten och SOU 2009:44 Integritetsskydd i arbetslivet. 3.2.1Förenta nationernas allmänna förklaring om de mänskliga rättigheterna m.m. I FN:s allmänna förklaring om de mänskliga rättigheterna erkänns skyddet för den personliga integriteten som en mänsklig rättighet. I förklaringen anges i artikel 12 att ingen får utsättas för godtyckliga ingripanden i fråga om privatliv, familj, hem eller korrespondens. I stort sett upprepas vad som redovisats ovan i artikel 17 i den konvention om medborgerliga och politiska rättigheter som FN antog . Det kan noteras att FN:s allmänna förklaring inte är rättsligt bindande för medlemsstaterna. Däremot är konventionen rättsligt bindande som traktat. FN antog riktlinjer om datoriserade register med personuppgifter, Övergripande rättslig reglering av behandling av personuppgifter Riktlinjerna får uppfattas som anvisningar till den nationella lagstiftaren och anger ett antal principer som anses utgöra miniminivåer för ett godtagbart dataskydd. Dessa principer går i korthet ut på att personuppgifter inte får hämtas in eller behandlas på ett olagligt eller ohederligt sätt, att personuppgifter som behandlas i datoriserade register ska vara aktuella och relevanta, att ändamålet med registret ska vara specificerat, legitimt och publikt, i vart fall för dem som berörs, och att de registrerade uppgifterna inte får behandlas utan samtycke eller lämnas ut för något ändamål som är oförenligt med det som gäller för registret, att var och en ska ha rätt till information om huruvida uppgifter som rör honom eller henne förekommer i registret, och, om så är fallet, även kunna ta del av dessa, samt att vissa känsliga uppgifter inte får registreras, t.ex. uppgifter om ras eller etnisk härkomst, sexualliv, politisk eller religiös uppfattning och medlemskap i föreningar, varav fackligt medlemskap nämns särskilt. Om det är nödvändigt med hänsyn till vissa särskilt uppräknade intressen, bl.a. militär säkerhet och allmän ordning, hälsa eller moral, tillåter riktlinjerna avsteg från de redovisade principerna. Förutsättningarna för sådana undantag ska vara reglerade i lag eller på annat lämpligt sätt som är förenligt med den nationella juridiska kulturen. I en sådan reglering ska det vidare finnas särskilda skyddsmekanismer för den enskilde.1 (), ett av , är en treparts-sammansatt organisation, bestående av representanter för arbetstagare, arbetsgivare och regeringar. intar en central roll när det gäller konventioner och rekommendationer på arbetslivets område. Det har dock inte inom ramen för 1 Riktlinjerna återges sin helhet i SOU 2004:6 s. 44 f. Övergripande rättslig reglering av behandling av personuppgifter arbete antagits några bindande konventioner eller rekommendationer som mer i detalj behandlar de frågor vi har att överväga. antog en expertgrupp inom riktlinjer angående skydd för arbetstagares personuppgifter.2 Riktlinjerna omfattar såväl som automatiserad behandling av personuppgifter, och är avsedda att tillämpas på arbetstagare i såväl privat som offentlig sektor. Med begreppet arbetstagare avses även tidigare arbetstagare och arbetssökande. Det övergripande syftet med riktlinjerna är att begränsa behandlingen av personuppgifter i allmänhet och behandlingen av känsliga uppgifter i synnerhet. Riktlinjerna innehåller rekommendationer i detta avseende som är förhållandevis detaljerade. Skyddet för den enskilde arbetstagaren ges en framskjuten ställning, bl.a. på så sätt att huvudregeln är att personuppgifter i första hand ska hämtas in från arbetstagaren själv. Om uppgifter hämtas in från annan än arbetstagaren ska denne informeras och i förväg uttryckligen samtycka till förfarandet. Även om skyddet för den enskilde arbetstagarens personliga integritet tillåts väga förhållandevis tungt, stämmer riktlinjerna i det stora hela förhållandevis väl överens med andra internationella regler och principer om dataskydd, t.ex. de ovan redovisade riktlinjer som FN antagit. En expertgrupp inom har antagit vissa tekniska och etiska riktlinjer för övervakningen av arbetstagares hälsa.3 Den europeiska konventionen av om skydd för de mänskliga rättigheterna och de grundläggande friheterna () gäller som svensk lag. Av grundlagen följer att en lag eller annan föreskrift inte får meddelas i strid med åtaganden enligt konventionen (2 kap. 19 § regeringsformen). I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till 2Protection of workers´personal data: An code of practice, 1996. 3Technical and ethical guidelines for workers´ health surveillance (OSH No. 72), 1997. Övergripande rättslig reglering av behandling av personuppgifter förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Primärt innebär artikel 8 att staten ska avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln föreskrivna undantagen. Ingreppen får dock inte sträcka sig längre än vad som krävs för att uppnå ändamålet. Artikeln innebär också i viss mån en skyldighet för staten att vidta positiva åtgärder för att skydda den enskildes privata sfär t.ex. genom att tolerera en föreliggande situation eller genom att inte skapa ett tillräckligt rättsligt skydd. Vad som i huvudsak kan förväntas är att staten utfärdar lagar och förordningar som ger ett tillfredsställande skydd åt privatliv, familjeliv, hem och korrespondens.4 Behandling av personuppgifter kan falla inom tillämpningsområdet för artikel 8. All slags behandling av personuppgifter omfattas dock inte, utan frågan måste gälla privatliv, familjeliv, hem eller korrespondens. 3.2.4Europarådets Dataskyddskonvention nr 108 och rekommendation 89 Bestämmelser av betydelse för automatisk databehandling av personuppgifter finns också i konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, dataskyddskonventionen. Konventionens innehåll kan ses som en precisering av skyddet vid användning av automatisk databehandling enligt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Dataskyddskonventionens syfte är att säkerställa den enskildes rätt till personlig integritet och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Konventionen trädde i kraft . Samtliga medlemsstater i EU har ratificerat konventionen, som alltså är bindande för och övriga medlemsstater. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste uppfylla i sin nationella lagstiftning. De krav som ställs upp är att personuppgifter som är föremål för automatisk databehandling motsvarar i stort sett de 4 , Mänskliga rättigheter i europeisk praxis – En kommentar till om de mänskliga rättigheterna, uppl. 2:1, s. 261 f.). Övergripande rättslig reglering av behandling av personuppgifter principer som ställs upp i FN:s riktlinjer om datoriserade register med personuppgifter. Dataskyddskonventionens roll som riktmärke för automatiserad behandling av personuppgifter har i princip övertagits av dataskyddsdirektivet i och med att detta genomförts i EU-ländernas nationella lagstiftningar. har antagit en rad sektorsspecifika rekommendationer avseende datakonventionens tillämpning. I slutet av 1980- talet antogs rekommendation R (89) om personuppgiftsbehandling relaterad till anställning. Rekommendationen omfattar den behandling av personuppgifter om arbetstagare som utförs i samband med uppkomsten och fullgörandet av ett anställningsförhållande. I avsaknad av nationella bestämmelser som stadgar något annat, omfattar rekommendationen även privata och offentliga arbetsförmedlingar eller rekryteringsföretag. Flera av kraven som ställs upp i rekommendationen är jämförbara med de som finns i konvention på området. Rekommendationen är föremål för översyn. 3.2.5Europeiska unionens stadga om de grundläggande rättigheterna tillkännagavs Europeiska unionens stadga om de grundläggande rättigheterna av parlamentet, rådet och kommissionen. I den s.k. rättighetsstadgan bekräftas de rättigheter som har sin grund i medlemsstaternas gemensamma författningstraditioner och internationella förpliktelser samt i Fördraget om Europeiska unionen och gemenskapsfördragen, såsom Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, gemenskapens och sociala stadgor och rättspraxis vid Europeiska gemenskapernas domstol och Europeiska domstolen för de mänskliga rättigheterna. Stadgans syfte är att kodifiera de grundläggande fri- och rättigheter som EU redan erkänner. I och med Lissabonfördraget, som trädde i kraft , blev EU:s stadga om de grundläggande rättigheterna bindande för medlemsstaterna.5 Artikel 8 i stadgan föreskriver att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Dessa uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av 5 Artikel 6 i (efter konsolidering av Lissabonfördraget) Övergripande rättslig reglering av behandling av personuppgifter den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. Även för ekonomiskt samarbete och utveckling () har utarbetat riktlinjer för integritetsskydd och persondataflöde.6 Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna motsvarar i princip de bestämmelser som återfinns i dataskyddskonventionen.7 antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivets principer om skydd för enskilda personers fri- och rättigheter är en precisering och förstärkning av dataskyddskonventionen . Syftet med direktivet är att garantera dels att en hög skyddsnivån när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter föreligger, dels att en likvärdig skyddsnivå finns i medlemsländerna. Direktivet är ett fullharmoniseringsdirektiv, vilket innebär att medlemsstaterna varken får föreskriva ett bättre eller sämre skydd för den personliga integriteten än vad direktivet föreskriver. Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte. Dataskyddsdirektivet omfattar inte bara helt eller delvis automatiserad behandling utan också behandling av personuppgifter som ingår eller kommer att ingå i ett register. Enligt artikel 6 i direktivet måste all behandling av personuppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de samlas in och senare behandlas. 6Guidelines Governing the Protection of Privacy and Transborder Flows of . Riktlinjerna finns återgivna i SOU 1993:10 (bilagedelen) s. 56 f. 7För ytterligare information om och riktlinjer på området se SOU 1993:10 s. 62 ff. Övergripande rättslig reglering av behandling av personuppgifter terna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och en senare behandling av uppgifterna får inte ske på ett sätt som är oförenligt med dessa ändamål. Av artikel 7 i direktivet följer att personuppgifter endast får behandlas i vissa angivna fall. Personuppgifter får bl.a. behandlas om den registrerade otvetydigt har lämnat sitt samtycke, om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den registeransvarige eller är nödvändig för att fullgöra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutövning. Personuppgifter får också behandlas efter en intresseavvägning när intresset av att den registeransvarige får behandla uppgifterna överväger den enskildes intresse av att de inte behandlas. Enligt artikel 8 ska medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I direktivet görs dock undantag från denna regel i vissa särskilt angivna situationer, bl.a. om den registrerade har lämnat sitt uttryckliga samtycke till sådan behandling. Artiklarna 10–11 i direktivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter är föremål för behandling och då också redogöra för ändamålet med behandlingen. Om uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige inte lämna någon information, om den registrerade redan känner till informationen eller om det i annat fall skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Detsamma gäller i princip om det finns uttryckliga bestämmelser i författning om registrerandet eller utlämnandet. I sådana fall ska dock medlemsstaterna föreskriva lämpliga skyddsåtgärder. Medlemsstaterna får genom lagstiftning vidta åtgärder för att begränsa vissa skyldigheter och rättigheter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste dock vara en nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri- och rättigheter. Den registrerade har enligt artikel 12 rätt att få bekräftelse på om uppgifter om honom eller henne behandlas eller inte, för vilka ändamål behandlingen sker och vilka kategorier av uppgifter som behandlas. Övergripande rättslig reglering av behandling av personuppgifter Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen (RF). Av det allmänna målsättningsstadgandet i 1 kap. 2 § RF följer att det allmänna ska värna om den enskildes privatliv. I 2 kap. 4 och 5 §§ RF finns vidare bestämmelser om absolut skydd mot vissa allvarliga fysiska integritetsintrång. Enligt 6 § samma kapitel är var och en därutöver skyddad gentemot det allmänna mot påtvingande kroppsliga ingrepp samt mot vissa andra former av intrång i den personliga sfären (kroppsvisitation och husrannsakan samt undersökningar av förtroliga försändelser m.m.). Genom ändringar i RF som trädde i kraft har det generella grundlagsskyddet för den personliga integriteten stärkts. I 2 kap. 6 § RF har det införts en ny bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Bestämmelsen bygger på förslag.9 Skyddet enligt den nya grundlagsbestämmelsen är inte absolut. Det kan inskränkas i lag under förutsättning att det sker för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får dock aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF). Behandling av personuppgifter regleras i personuppgiftslagen (1998:204), som har ersatt datalagen. Personuppgiftslagen har sin utgångspunkt i dataskyddsdirektivet. Personuppgiftslagen följer dataskyddsdirektivets struktur och avvikelser görs endast när det finns särskilda skäl för det. I likhet med direktivet reglerar personuppgiftslagen själva hanteringen av 2009/10:80 En reformerad grundlag, bet. 2009/10:KU19, rskr. 2009/10:304, bet. 2010/11:KU4, rskr. 2010/11:21. 9SOU 2008:3 Skyddet för den personliga integriteten. Övergripande rättslig reglering av behandling av personuppgifter personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen är otillåten. Personuppgiftslagen är generellt tillämplig, men om det i en annan lag eller i en förordning har meddelats avvikande bestämmelser, så gäller de bestämmelserna. De bestämmelser i personuppgiftslagen som har betydelse för utredningen redovisas närmare i avsnitt 11. 3.3.3Specialreglering på det arbetsmarknadspolitiska området har det utöver personuppgiftslagen utarbetats en stor mängd särskilda s.k. registerförfattningar med bestämmelser om behandling av personuppgifter.10 Syftet med de särskilda registerförfattningarna har varit att anpassa regleringen till de särskilda behov som framför allt myndigheterna har i sina respektive verksamheter samt att göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för den enskildes integritet. Arbetsförmedlingens behandling av personuppgifter regleras i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och i viss mån i patientdatalagen (2008:355). Lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten omfattar Arbetsförmedlingens behandling av uppgifter om arbetssökande, arbetsgivare, kontaktpersoner och andra personer i den arbetsmarknadspolitiska verksamheten. När det gäller frågan vad som ska anses utgöra arbetsmarknadspolitisk verksamhet hänvisas i lagens förarbeten till tre bestämmelser i förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten. Dessa bestämmelser anges utgöra ramen för den arbetsmarknadspolitiska verksamheten (prop. 2001/02:144 s. 17). Två av dessa tre bestämmelser är upphävda. De upphävdes i samband med att regleringen av Arbetsförmedlingens huvuduppgifter fördes över till Arbetsförmedlingens nya instruktion, förordningen (2007:1030) med instruktion för Arbetsförmedlingen. Ramarna för den arbetsmarknadspolitiska verksamheten får nu i stället anses regleras av de bestämmelser i 10 fanns det uppskattningsvis cirka 200 registerförfattningar enligt regeringens kommittédirektiv (Dir. 2011:86) till utredningen om Integritet, effektivitet och öppenhet i en modern e-förvaltning. Övergripande rättslig reglering av behandling av personuppgifter instruktionen som har ersatt de upphävda bestämmelserna och som beskriver Arbetsförmedlingens uppdrag och uppgifter samt av 5 § förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten. I samband med att lagen (2010:197) om etableringsinsatser för vissa nyanlända invandrare trädde i kraft utvidgades tillämpningsområdet för Arbetsförmedlingens registerlag till att omfatta även ärenden enligt denna lag samt för ärenden om bosättning av vissa nyanlända. tillämpas istället patientdatalagen i den del av Arbetsförmedlingens verksamhet som utgör hälso- och sjukvård enligt hälso- och sjukvårdslagen (1982:355). Inspektionen för arbetslöshetsförsäkringens behandling av personuppgifter regleras i lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen. Lagen är tillämplig vid behandling av personuppgifter i sådan verksamhet vid Inspektionen för arbetslöshetsförsäkringen som gäller tillsyn, uppföljning, registrering av uppgifter om arbetslöshetskassor, utfärdande av intyg, framtagande av statistik samt rapportering av vissa uppgifter till Arbetsförmedlingen.