sou · H0B34 · 2012-02-07 00:00:00 — petens, uppgifter om den enskilde själv som ingår i ett personligt brev och andra uppgifter som har betydelse vid arbetssökning. Ansökningarna läggs i en databas (den s.k. CV-databasen) där arbetsgivare, efter att ha tilldelats inloggningsuppgifter av Arbetsförmedlingen, kan söka efter lämpliga personer att anställa. Enligt 3 a § i registerförordningen krävs dock att den arbetssökande samtycker till publiceringen. 11.5.4Begränsningar avseende behandling av känsliga och ömtåliga personuppgifter Huvudregeln är att Arbetsförmedlingen får utföra behandling som är tillåten enligt registerlagen, även om den enskilde motsätter sig behandlingen.9 Vad avser känsliga och ömtåliga personuppgifter krävs dock att den enskilde samtycker till behandlingen, om behandlingen inte sker i ett system det finns möjlighet att tekniskt begränsa åtkomsten till uppgifterna.10 fanns sådana tekniska begräsningar enbart i det system där Arbetsförmedlingen handlägger etableringsärenden. Arbetsförmedlingen har påbörjat ett arbete som innebär att man ska ha infört tekniska begräsningar för behörigheter i samtliga systemstöd, med följd att känsliga och ömtåliga uppgifter kan behandlas utan samtycke även i den övriga verksamheten. Det finns dock begränsningar om vilka känsliga och ömtåliga personuppgifter Arbetsförmedlingen får behandla även om den enskilde skulle samtycka till behandlingen. Enligt 8 § i Arbetsförmedlingens registerlag får förmedlingen behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen och personuppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen. Detta innebär dock inte att alla nämnda personuppgifter får behandlas i en arbetsmarknadspolitisk databas. I en arbetsmarknadspolitisk databas får enligt 9 § registerlagen inga andra känsliga personuppgifter behandlas än sådana som avslöjar etniskt ursprung eller rör hälsa. Det krävs även att uppgifterna lämnats i ett ärende eller är nödvändiga för handläggningen av det. Enligt samma paragraf gäller detsamma för personuppgifter 91 a § Arbetsförmedlingens registerlag. 1020 e § Arbetsförmedlingens registerförordning. Gällande rätt – regler för personuppgiftsbehandling om sociala förhållanden samt för omdömen, slutsatser eller andra värderande upplysningar om enskild, vilka utgör s.k. ömtåliga personuppgifter. I registerförordningen görs ytterligare begränsningar beträffande behandlingen av uppgifter som rör hälsa eller sociala förhållanden. Enligt 9 § förordningen får avseende dessa två typer av uppgifter endast behandlas följande; 1.uppgifter om sjukdom och hälsotillstånd, 2.uppgifter om förekomst av intyg eller utlåtande av läkare eller skrivelse från någon myndighet som innehåller bedömningar av den arbetssökandes hälsa eller sociala förhållanden, 3.uppgifter om redovisade arbetshinder, 4.uppgifter om eller kod för funktionsnedsättning som medför nedsatt arbetsförmåga, 5.uppgifter om deltagande i arbetsmarknadspolitiska program eller insatser som avslöjar uppgifter om hälsa, 6.uppgifter om datum för anmälan om sjuksdomsfall till , 7.uppgifter om att en arbetssökande fått sjuk- eller aktivitetsersättning, sjukpenning, rehabiliteringspenning, graviditetspenning, närståendepenning, smittbärarpenning eller arbetsskadelivränta enligt socialförsäkringsbalken eller sjuklön enligt lagen (1991:1047) om sjuklön, 8.uppgifter om att en arbetssökande fått föräldrapenning eller tillfällig föräldrapenning enligt socialförsäkringsbalken, och 9.uppgifter om att en arbetssökande fått ekonomiskt bistånd med stöd av socialtjänstlagen (2001:453). I vissa fall får även uppgifter om närstående behandlas i andra ärenden om uppgifterna har betydelse i ett etableringsärende eller är absolut nödvändiga för handläggningen av ett annat ärende. Om uppgifterna om hälsa eller sociala förhållanden lämnats av någon annan än den arbetssökande krävs att de förekommer i en handling som lämnats i ett ärende som gäller den arbetssökande. Uppgifter som lämnats muntligen av någon annan än den arbetssökande får således inte behandlas i databasen. Gällande rätt – regler för personuppgiftsbehandling I 9 a § förordningen anges i vilka fall personuppgifter om lagöverträdelser som innefattar brott m.m. får behandlas i databasen. De enda uppgifter av denna typ som får behandlas i en arbetsmarknadspolitisk databas är uppgifter om att den arbetssökande verkställer eller har verkställt ett fängelsestraff, huruvida verkställigheten sker eller har skett i anstalt eller genom elektronisk intensivövervakning, tidpunkt för åtgärder enligt 11 kap. 1 § fängelselagen (2010:610) och tidpunkt för villkorlig frigivning. Enligt 10 § registerlagen får uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716) aldrig behandlas i en arbetsmarknadspolitisk databas. Enligt 10 § förordningen får inte heller sådana personuppgifter behandlas som avslöjar att en registrerad har varit föremål för tvångsingripande enligt lagen (1988:870) om vård av missbrukare, lagen om psykiatrisk tvångsvård (1991:1128), lagen (1991:1129) om rättspsykiatrisk vård eller smittskyddslagen (2004:168). I 14 § registerlagen finns vidare ett förbud för Arbetsförmedlingen att använda känsliga och ömtåliga personuppgifter som sökbegrepp. Vissa typer av koder som kan vara känsliga eller ömtåliga får dock användas som sökbegrepp för planering av insatser, förmedling av arbete, tillsyn, uppföljning, utvärdering eller framtagning av avidentifierad statistik. 12Regler om kompletterande aktörers behandling av personuppgifter 12.1Allmänt om kompletterande aktörers behandling av personuppgifter 12.1.1Behandling av personuppgifter som omfattas av lagen Förslag: Lagen gäller när kompletterande aktörer behandlar personuppgifter i samband med att de utför arbetsmarknadspolitisk verksamhet och etableringsinsatser för vissa nyanlända invandrare på uppdrag av den offentliga arbetsförmedlingen. Lagen innehåller de bestämmelser om behandling av enskildas personuppgifter som är särskilt viktiga från integritetssynpunkt. Därutöver gäller personuppgiftslagen (1998:204). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Lagen har samma tillämpningsområde som lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och personuppgiftslagen. Det är bara de ramar för behandling av personuppgifter inom uppdragsverksamheten som är särskilt viktiga från integritetssynpunkt som anges i lagen. Därutöver ska personuppgiftslagen gälla. Lagen gäller vid behandling av personuppgifter i de kompletterande aktörernas uppdragsverksamhet för den offentliga arbetsförmedlingen, dvs. vid behandling av uppgifter om arbetssökande, deras närstående och arbetsgivare. Det är behandling av personuppgifter som sker i samband med det upphandlade uppdraget och Regler om kompletterande aktörers behandling av personuppgifter som är nödvändig för att de kompletterande aktörerna ska kunna utföra sitt uppdrag som regleras. För behandling av personuppgifter som sker därutöver gäller personuppgiftslagen. Det är alltså fråga om en specialreglering i förhållande till personuppgiftslagen som kompletterar och i vissa delar ersätter personuppgiftslagen. Personuppgiftsbehandling som sker hos de kompletterande aktörerna i syfte att få den arbetssökande i arbete torde till övervägande del utgöra en strukturerad behandling. Det beror på att de flesta uppgifter om arbetssökande och arbetsgivare som behandlas i verksamheten normalt hämtas från eller avses att läggas in i en strukturerad samling av personuppgifter (register). Därmed kommer också personuppgiftslagens hanteringsregler m.m. att bli tillämpliga på aktörernas behandling av personuppgifter. Reglerna om säkerhet i 31 § personuppgiftslagen gäller för all behandling av personuppgifter, dvs. även om det i vissa fall skulle vara fråga om en ostrukturerad behandling. Förslag: Personuppgiftslagen gäller utöver lagen om kompletterande aktörer. De i personuppgiftslagen tillämpliga reglerna ska inte anges särskilt i lagen om kompletterande aktörer. Personuppgiftslagen är generellt tillämplig på behandling av personuppgifter. Om det i en annan lag eller i en förordning har meddelats avvikande bestämmelser så gäller dock de bestämmelserna. har det utarbetats en stor mängd särskilda s.k. registerförfattningar med bestämmelser om behandling av personuppgifter, däribland lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Syftet med de särskilda registerförfattningarna är att anpassa regleringen till de särskilda behov som myndigheterna och i vissa fall även privata aktörer har i sina verksamheter och att göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för enskildas personliga integritet. Lagregleringen innehåller endast de från integritetssynpunkt viktigaste bestämmelserna för att inte bli alltför detaljerad och omfattande. Lagen om kompletterande aktörer är en speciallag i förhållande till personuppgiftslagen. Regler om kompletterande aktörers behandling av personuppgifter utöver lagen om kompletterande aktörer dvs. personuppgiftslagens regler fyller ut när det inte finns några specialregler i lagen om kompletterande aktörer. För att uppnå ett gott skydd för den enskildes personliga integritet anser utredningen att det är lämpligt att begränsa behandlingen av personuppgifter. Utanför den databas som Arbetsförmedlingen förslås tillhandahålla får endast vissa uppgifter behandlas, nämligen sådana som typiskt sett inte anses som integritetskänsliga, t.ex. kontaktuppgifter eller CV-uppgifter. Vidare föreslås begränsningar för behandling av känsliga och ömtåliga personuppgifter samt uppgifter om närstående till de arbetssökande. Såvitt gäller lagstiftningstekniken har regeringen uttalat att de särskilda registerförfattningarna som huvudregel bara bör gälla utöver personuppgiftslagen och bör begränsas till att avse frågor som är specifika för den verksamhet som regleras av lagstiftningen. Personuppgiftslagen gäller alltså i den utsträckning som inte särreglerna i registerförfattningen tar över.1 De regler i personuppgiftslagen som gäller bör således inte anges särskilt i lagen om kompletterande aktörer. 12.1.3Kompletterande aktörers rätt att behandla personuppgifter. Förslag: Det bör framgå direkt av lagen att de kompletterande aktörerna i enlighet med vad regeringen bestämmer utan den enskildes medgivande får behandla de uppgifter om arbetsgivare, arbetssökande och deras närstående som är nödvändiga för att uppdraget från den offentliga arbetsförmedlingen ska kunna fullgöras. De kompletterande aktörerna ges – precis som den offentliga arbetsförmedlingen – rätt att utan den enskildes medgivande behandla de personuppgifter som är nödvändiga för att fullgöra uppdraget (jfr 1 a § i Arbetsförmedlingens registerförfattning av vilken det framgår att behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig 1 SOU 2009:44 s. 100, se även prop. 2000/01:33 s. 345. Regler om kompletterande aktörers behandling av personuppgifter Det är dock regeringen som i förordning bestämmer vilka uppgifter som får behandlas. Det finns behov av att ge de kompletterande aktörerna rätt att behandla de personuppgifter som är nödvändiga för att uppdraget ska kunna utföras för att dessa inte ska vara beroende av den enskildes samtycke. Behovet gör sig särskilt starkt gällande när Arbetsförmedlingen i sin myndighetsutövning är beroende av uppgifter från de kompletterande aktörerna, t.ex. när en kompletterande aktör ska meddela Arbetsförmedlingen att det har skett avvikelser från planeringen pga. sjukdom eller att den enskilde inte medverkar till att fullfölja planen. Ett annat exempel är att något förhållande har inträffat som kan påverka den arbetssökandes rätt till arbetslöshetsersättning eller rätten att vara anvisad till ett arbetsmarknadspolitiskt program. Som redovisats tidigare i avsnitt 7, Ny lag om kompletterande aktörer, kan det ifrågasättas om det samtycke som de kompletterande aktörerna använder sig av som stöd för sin behandling av personuppgifter om de arbetssökande verkligen är att anse som frivilligt enligt personuppgiftslagen. Det bör därför klargöras i lag att de kompletterande aktörerna har rätt att behandla de för uppdraget nödvändiga personuppgifterna. Om de kompletterande aktörerna får en laglig rätt att behandla för uppdraget nödvändiga personuppgifter innebär detta också att de kan påbörja sitt arbete tidigare än vad som är fallet. De behöver då inte invänta ett möte med den arbetssökande för att få dennes samtycke till behandlingen av uppgifterna. De kan istället vidta inledande åtgärder direkt när de har tilldelats ett uppdrag. Om ett elektroniskt förfarande utnyttjas kan detta ytterligare påskynda processen för att få den enskilde i arbete. Regeringen bör dock i förordning ange vilka uppgifter som ska vara tillåtna att behandla, (jfr 3 § i Arbetsförmedlingens registerförordning). 12.1.4Utlämnande av personuppgifter på medium för automatiserad behandling Förslag: Kompletterande aktör får på medium för automatiserad behandling endast lämna ut uppgifter till den offentliga arbetsförmedlingen om det föreligger en uppgiftsskyldighet enligt lag eller förordning eller om det är nödvändigt för att fullgöra det tilldelade uppdraget. Regler om kompletterande aktörers behandling av personuppgifter Kompletterande aktör får på medium för automatiserad behandling till arbetsgivare endast lämna ut uppgifter som inte utgör känsliga eller ömtåliga personuppgifter om det är nödvändigt för att utföra uppdraget. Regeringen får meddela närmare föreskrifter om vilka uppgifter som kompletterande aktör får lämna ut enligt ovan. I förarbetena till Arbetsförmedlingens registerlag framförde regeringen att den gjorde bedömningen att det beträffande behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten inte behövs någon särskild reglering i lag när det gäller uppgiftslämnande på medium för automatiserad behandling till myndigheter. Det kan emellertid bli aktuellt att lämna ut uppgifter ur olika databaser till enskilda, dvs. såväl privatpersoner som företag och organisationer. I dessa fall saknas, till skillnad mot vad som gäller för myndigheter, normalt särskilda bestämmelser om hur personuppgifter får behandlas hos mottagaren. För mottagaren är det därför vanligtvis personuppgiftslagens bestämmelser som är tillämpliga på behandlingen av de mottagna uppgifterna. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 112) angav regeringen att det med hänsyn till de integritetsrisker som kan följa med utlämnande av personuppgifter på medium för automatiserad behandling till företag och privatpersoner bör vara tillåtet med ett sådant utlämnande endast när det efter särskild prövning är lämpligt. Samma integritetsrisker gör sig enligt regeringens mening gällande även i den arbetsmarknadspolitiska verksamheten. Uppgifter i databaser bör därför få lämnas ut till enskilda på medium för automatiserad behandling endast om regeringen meddelat föreskrifter om det. Det bör åligga regeringen, eller den myndighet regeringen bestämmer, att meddela föreskrifter om vilka personuppgifter som får lämnas ut på detta sätt såväl till myndigheter som till enskilda. Lagrådet har i sammanhanget påpekat följande. Av den föreslagna regleringen om direktåtkomst och utlämnande av personuppgifter följer att enskilda inte ska kunna få direktåtkomst till uppgifter i en databas. De föreslagna föreskrifterna om utlämnande till enskild på medium för automatiserad behandling får förstås så att det för regeringens föreskrifter krävs att myndigheten i det enskilda fallet ska ha Regler om kompletterande aktörers behandling av personuppgifter kontroll över både de uppgifter som lämnas ut och till vem de lämnas.2 Utredningen är också av uppfattningen att det bör regleras särskilt vilka personuppgifter som får lämnas ut på detta sätt. Det är här fråga om ett elektroniskt utlämnande av personuppgifter till privata aktörer även om dessa nu föreslås få en särskild registerlagstiftning att hålla sig till för att skydda enskildas personliga integritet. Utredningen har i avsnitt 10 förslagit regler om tystnadsplikt utformade så att de möjliggör ett utlämnande till Arbetsförmedlingen om det är nödvändigt för uppdraget samt en uppgiftsskyldighet för kompletterande aktörer för att säkerställa rätten till ersättning eller insats. För att möjliggöra ett effektivt samarbete mellan Arbetsförmedlingen och de kompletterande aktörerna, föreslås att de kompletterande aktörerna ges möjlighet att lämna ut dessa uppgifter elektroniskt till Arbetsförmedlingen om det föreligger en uppgiftsskyldighet enligt lag eller förordning eller om det är nödvändigt för att fullgöra det tilldelade uppdraget. Detta, dels för att inte försena handläggningen av ärendet, dels för att undvika onödiga administrativa rutiner med pappershantering hos kompletterande aktörer. Utlämnandet bör ske via det system som Arbetsförmedlingen tillhandahåller och som förväntas medföra en god säkerhet för personuppgifterna. De kompletterande aktörerna bör även kunna lämna ut uppgifter elektroniskt till arbetsgivare om det är nödvändigt för att utföra uppdraget och det är fråga om sådana uppgifter som typiskt sett inte är integritetskänsliga. Här klargörs den viktiga begränsningen att känsliga och ömtåliga personuppgifter inte får lämnas ut elektroniskt eftersom ett utlämnande av sådana uppgifter får anses utgöra en alltför stor integritetsrisk. Den typ av uppgifter som det torde finnas behov av att lämna ut elektroniskt till arbetsgivare är samma typ av uppgifter som Arbetsförmedlingen får lämna ut till arbetsgivare enligt 11 a § i Arbetsförmedlingens registerförordning. Det är också uppgifter av det slag som kompletterande aktörer föreslås få behandla utanför databasen, nämligen uppgifter som typiskt sett inte är integritetskänsliga. Det är uppgifter om namn, person- eller samordningsnummer, adress, e-postadress, telefonnummer och andra kontakt- 2001/02:144 s. 38–39. Regler om kompletterande aktörers behandling av personuppgifter eller identifieringsuppgifter, önskemål om typ av arbete, arbetstid, arbetsort, anställningsform och varaktighet samt uppgifter om körkort och tillgång till bil, utbildning, arbetslivserfarenhet, tidigare arbetsgivare, språkkunskaper, speciell kompetens och andra uppgifter som har betydelse vid arbetssökning. Om kompletterade aktörer ska kunna matcha arbetssökande med arbetsgivare på ett snabbt och effektivt sätt bör de ha möjlighet att skicka dessa uppgifter elektroniskt till presumtiva arbetsgivare. Ett utlämnande på medium för automatisk behandling får naturligtvis bara ske om överföringen uppfyller kraven på säkerhet i 31 § personuppgiftslagen och under förutsättning att den kompletterande aktören har stöd i lagens 3 § för att bryta tystnadsplikten. Möjligheten att lämna ut uppgifter med stöd av denna bestämmelse, innebär inte att de kompletterande aktörerna kan publicera uppgifterna på en hemsida eller liknande, utan uppgiften ska lämnas ut till en specifik arbetsgivare. 12.1.5Rättelse, skadestånd och straff. Förslag: Bestämmelserna i personuppgiftslagen om rättelse, skadestånd och straff gäller vid behandling av personuppgifter enligt lagen om kompletterande aktörer eller föreskrifter som har meddelats i anslutning till denna lag. Enligt 28 § personuppgiftslagen gäller att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som meddelats med stöd av lagen. Vidare gäller att när en sådan rättelse görs av den personuppgiftsansvarige ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär detta eller om mer betydande skada eller olägenhet därigenom kan undvikas. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerlig stor arbetsinsats. Reglerna i personuppgiftslagen om rätt för den registrerade att få uppgifter rättade m.m. gäller dock endast uppgifter som inte Regler om kompletterande aktörers behandling av personuppgifter behandlats i enlighet med den lagen eller föreskrifter som meddelats i med stöd av lagen. Uppgifter som behandlats i strid mot föreskrifter i särskilda registerförfattningar omfattas således inte om inte behandlingen också strider mot personuppgiftslagen eller mot föreskrifter som meddelats med stöd av denna. Utredningen anser att personuppgiftslagens bestämmelser om rättelse bör gälla även vid behandling som utförts i strid med den nu föreslagna lagen. Det är därför nödvändigt att i lagen ha en egen bestämmelse om rättelse. Enligt 48 § personuppgiftslagen ska den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling i strid med den lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Skillnaden mellan de särskilda bestämmelserna i personuppgiftslagen och de allmänna bestämmelserna i skadeståndslagen (1972:207) består främst i att ersättning enligt personuppgiftslagen kan utgå för ren förmögenhetsskada och för kränkning av den personliga integriteten även om det inte har begåtts någon brottslig gärning. En annan viktig skillnad är att personuppgiftslagens skadeståndsbestämmelse bygger på ett strikt skadeståndsansvar3 medan skadeståndsskyldighet enligt skadeståndslagens bestämmelser kräver att den som vållat skadan handlat vårdslöst eller oaktsamt. Utredningen anser att personuppgiftslagens bestämmelser om skadestånd ska gälla även för behandling som utförts i strid med den föreslagna lagen. Beroende på utformningen av 48 § personuppgiftslagen är det därför nödvändigt att ha en egen bestämmelse om skadestånd i lagen om kompletterande aktörer. Utformningen av straffbestämmelsen i 49 § personuppgiftslagen innebär att den bestämmelsen inte kan tillämpas vid brott mot annan lagstiftning. Som regel har det ansetts att det inte finns 3 Ansvar oberoende av någons oaktsamhet. Regler om kompletterande aktörers behandling av personuppgifter behov av straffbestämmelser för brott mot särskilda registerförfattningar när det är myndigheter som är personuppgiftsansvariga. har det förklarats med att det i sådana fall ligger närmare till hands att tillämpa regler om tjänstefel m.m.4 Vid tillämpningen av denna lag är det dock fråga om privata aktörer och utredningen har haft som utgångspunkt att den offentliga arbetsförmedlingen och de kompletterande aktörerna, så långt det är möjligt, ska kunna utföra sina uppdrag under samma förutsättningar samt att den enskilde ska ha samma skydd oberoende av vem av parterna som hanterar uppgifterna. Utredningen föreslår därför att det förs in en straffbestämmelse i den föreslagna lagen. 12.2Behandling av vissa personuppgifter i en databas 12.2.1Databas för kompletterande aktörer Förslag: Utredningen föreslår att den offentliga arbetsförmedlingen tillhandahåller en databas (ett systemstöd) där de kompletterande aktörerna kan behandla de personuppgifter som är nödvändiga för att fullgöra uppdraget samt för att möjliggöra en säker elektronisk kommunikation av uppgifter mellan den offentliga arbetsförmedlingen och de kompletterande aktörerna.