sou · H0B34 · 2012-02-07 00:00:00 — Detsamma gäller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. I databasen får inte sådana personuppgifter behandlas som avslöjar att en registrerad har varit föremål för tvångsingripande Regler om kompletterande aktörers behandling av personuppgifter enligt lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård eller smittskyddslagen (2004:168). Uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716) får inte heller behandlas i databasen. Känsliga personuppgifter som avslöjar, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening samt personuppgifter som rör sexualliv får inte behandlas av Arbetsförmedlingen14 och bör därför inte heller få behandlas av kompletterande aktör inom ramen för uppdraget från den offentliga arbetsförmedlingen. Vidare föreslås att samma begränsning ska gälla för kompletterande aktör som för Arbetsförmedlingen såvitt avser de särskilt uppräknade behandlingarna av personuppgifter i den föreslagna 16 § i lagen vilken motsvarar 10 § i Arbetsförmedlingens registerlag 10 § i förmedlingens registerförordning. Det är här fråga om en tydlig avgränsning och specificering (till skillnad från vad som har framhållits i föregående avsnitt om katalogen i 7 f § Arbetsförmedlingens registerförordning) och det torde inte innebära några svårigheter för de kompletterande aktörerna att tillämpa de föreslagna reglerna. Arbetsförmedlingen får behandla uppgifter om lagöverträdelser i mycket begränsad omfattning och enbart inom ramen för sitt särskilda uppdrag att verka för den målgrupp av arbetssökande som är eller har varit föremål för åtgärder inom kriminalvården. Utredningen har inte funnit att de kompletterande aktörerna har behov av att behandla uppgifter om lagöverträdelser och föreslår därför att de inte ska få någon motsvarande rätt att behandla dessa uppgifter. I förarbetena till Arbetsförmedlingens registerlag anger regeringen följande skäl för sitt förslag att särskilt reglera behandlingen av känsliga personuppgifter m.m. Känsliga personuppgifter får som huvudregel inte behandlas enligt personuppgiftslagen. Arbetsförmedlingens behandling av sådana uppgifter utgör ett avsteg från detta förbud. I den nu gällande registerlagen förekommer även att andra uppgifter av ömtålig natur registreras i registret, såsom 14 9 § Arbetsförmedlingens registerlag Regler om kompletterande aktörers behandling av personuppgifter t.ex. uppgifter om sociala förhållanden. Förutsättningarna för när känsliga och ömtåliga personuppgifter får behandlas i verksamheten bör därför regleras särskilt i lagen.15 Utredningen anser att samma skäl gör sig gällande beträffande den nu föreslagna lagen om kompletterande aktörer. Det ska därför anges särskilt i lagen vilka känsliga, ömtåliga och andra integritetskänsliga uppgifter som får behandlas av aktörerna vid utförandet av deras uppdrag enligt ovan. I den mån de kompletterande aktörerna har behov av att behandla nämnda uppgifter kan enstaka uppgifter behandlas manuellt i verksamheten. Några begränsningar i användningen av sökbegrepp föreslås inte. I en databas eller annan textmassa som har lagrats på medium för automatiserad behandling är det möjligt att genom att ange ett s.k. sökbegrepp i en sökmotor söka igenom den lagrade informationen och hitta de poster där begreppet förekommer. På detta sätt är det möjligt att snabbt göra en sammanställning av personuppgifter i en databas. Är en myndighets eller ett företags samlingar av elektroniskt lagrade personuppgifter tillgängliga för sökning utan några begränsningar, uppkommer utan tvivel betydande risker för otillbörliga intrång i enskilda personers integritet. Detta är anledningen till att man i myndigheternas särskilda registerförfattningar som regel har infört begränsningar av vilka sökvägar och sökbegrepp som får användas i myndigheternas system för automatiserad behandling. Hos en myndighet har de sökbegrepp som får användas i verksamheten även betydelse för frågan om vad som är att anse som en allmän handling.16 Genom en begränsning av sökbegreppen uppnås således ett ökat integritetsskydd. 2001/02:144 s. 30 16Om en myndighet på grund av en sådan sökbegränsning saknar befogenhet att göra en sammanställning av personuppgifter tillgänglig, kan en enskild person inte heller under åberopande av offentlighetsprincipen få del av informationen. Av 2 kap. 3 § tredje stycket tryckfrihetsförordningen framgår nämligen att en sådan sammanställning inte anses förvarad hos myndigheten. Sammanställningen utgör därmed inte en allmän handling. Regler om kompletterande aktörers behandling av personuppgifter Risken för att en känslig sammanställning av uppgifter ska bli en allmän handling gör sig dock inte gällande här eftersom inte den offentliga arbetsförmedlingen föreslås få direktåtkomst till uppgifter i databasen. Något behov av sökbegränsningar föreligger inte heller av andra skäl med hänsyn till det sätt som de kompletterande aktörerna ska få möjlighet att behandla personuppgifter på i databasen. De ska som förslaget är utformat endast ha tillgång till uppgifter om en arbetssökande i taget. 12.2.7Personuppgiftsansvar för databasen och för uppgifter som behandlas i denna Förslag: En kompletterande aktör är personuppgiftsansvarig för de uppgifter som denne behandlar i databasen för kompletterande aktörer för att fullgöra sitt uppdrag. Den offentliga arbetsförmedlingen ansvarar för att sådana lämpliga tekniska åtgärder som avses i 31 § personuppgiftslagen vidtas för att skydda de personuppgifter som behandlas i databasen. Personuppgiftsansvarig är enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftslagen medför ett långtgående ansvar för den personuppgiftsansvarige att se till att all behandling av personuppgifter sker i överensstämmelse med lagen. Det är naturligt att de kompletterande aktörerna var och en ansvarar för den behandling av personuppgifter som de utför för att fullgöra det upphandlade uppdraget. Det är endast de kompletterande aktörernas behandling av personuppgifter i databasen som här behöver anges särskilt eftersom övrig personuppgiftsbehandling följer de vanliga reglerna i personuppgiftslagen (dvs. de uppgifter som behandlas utanför databasen.) Vidare är den som bestämmer ändamålen med och medlen för behandling av personuppgifter som går utöver vad som ryms inom lagen om kompletterande aktörer i vanlig ordning personuppgiftsansvarig för denna behandling. Enligt 31 § personuppgiftslagen ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Regler om kompletterande aktörers behandling av personuppgifter åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna, och hur känsliga de behandlade personuppgifterna är. Om säkerhet vid behandling av personuppgifter, se vidare avsnitt 11.3.2. Utredningen anser att det är lämpligt att Arbetsförmedlingen har ett uttalat säkerhetsansvar (personuppgiftsansvar) för systemet. Eftersom förmedlingen tillhandahåller databasen är det enklast och naturligast att det också är Arbetsförmedlingen som ansvarar för IT-säkerheten i systemet. Förmedlingen kan då, som beskrivits ovan, utforma systemet på ett sätt som skyddar integriteten genom s.k. privacy by design. Det riskerar att bli komplicerat om de kompletterande aktörerna skulle vara medansvariga (ha ett gemensamt personuppgiftsansvar med förmedlingen) för själva IT-säkerheten i databasen. De använder visserligen denna som ett medel för behandlingen av personuppgifter men de har inte någon möjlighet att påverka utformningen och funktionen av databasen. De kompletterande aktörerna är naturligtvis i vanlig ordning, var och en ansvariga för sin behandling av uppgifter i det tillhandahållna systemet. De kompletterande aktörerna ansvarar såsom följer av personuppgiftsansvaret också för vem i deras verksamhet som får tillgång till uppgifterna i systemet. Vidare måste en personuppgiftsansvarig som anlitar ett personuppgiftsbiträde på vanligt sätt förvissa sig om att biträdet kan genomföra de säkerhetsåtgärder som måste vidtas och se till att personuppgiftsbiträdet verkligen vidtar åtgärderna (31 § andra stycket personuppgiftslagen). 12.2.8Utplånande av personuppgifter i databasen Förslag: Personuppgifter ska utplånas när de inte längre behövs för utförandet av uppdraget, dock senast efter utgången av det år uppdraget för den offentliga arbetsförmedlingen har avslutats. Enligt lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska uppgifter om arbetssökande i en arbetsmarknadspolitisk databas gallras efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos den Regler om kompletterande aktörers behandling av personuppgifter Uppgifter som har avskiljts för statistikändamål ska gallras tio efter avskiljandet.17 Enligt personuppgiftslagen (9 § punkten i) får personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras. Personuppgifter får dock bevaras för historiska, statistiska och vetenskapliga ändamål än vad som sagts. När de kompletterande aktörerna har avslutat ett uppdrag med en viss arbetssökande har de normalt inte längre behov av att behandla uppgifter om denna person. Aktörernas åtkomst till databasen bör därför begränsas så snart uppdraget har avslutats. Utredningen föreslår att tidpunkten för avslut anses vara när slutlig reglering avseende resultatersättning för den kompletterande aktören har skett. Det får däremot anses vara lämpligt att uppgifterna får ligga kvar i databasen med en mycket begränsad åtkomst, som dessa uppgifter finns kvar hos Arbetsförmedlingen. Kompletterande aktör kan sedan ärendet avslutats behöva få del av uppgifter i databasen. Som exempel kan nämnas att rätten till ersättning som utgått ifrågasätts. Efter denna yttersta tid från det år behandlingen av uppgifterna har avslutats i uppdraget, ska uppgifterna utplånas. Det är lämpligt att Arbetsförmedlingen tillhandahåller en teknisk funktion för automatiskt utplånande i systemet. Detta skulle underlätta administrationen för de kompletterande aktörerna och innebära en minskad risk för att uppgifter om de arbetssökande blir liggande i databasen under en alltför och därmed också en minskad risk för integritetsintrång. Det är inte rimligt att kräva att de själva ska utplåna uppgifterna i databasen. Lagen föreslås träda i kraft . Utredningen föreslår att lagen ska träda i kraft för att lösa de redovisade problemen med nuvarande system. Detta beräknas vara möjligt tidigast . 17 16 § Arbetsförmedlingens registerlag Regler om kompletterande aktörers behandling av personuppgifter Ett ikraftträdande av lagen förutsätter dock att Arbetsförmedlingen har lyckats skapa det beskrivna systemet för behandling av personuppgifter. Vidare behöver Arbetsförmedlingen ha fått sina tekniska begränsningar (för behandling av känsliga och ömtåliga personuppgifter i den arbetsmarknadspolitiska databasen) på plats så att myndigheten inte längre behöver inhämta samtycke från de arbetssökande. Det riskerar annars att bli en diskrepans mellan vad de kompletterande aktörerna får behandla i databasen för kompletterande aktörer och vad Arbetsförmedlingen får behandla i sina system. I ett sådant läge kan inte uppgifter överföras elektroniskt på ett effektivt och rättssäkert sätt. För att lagen ska kunna tillämpas krävs alltså att nödvändiga funktioner och datasystem finns på plats. 13Behov av följdändringar i Arbetsförmedlingens registerlag 13.1Lagen om kompletterande aktörers förhållande till lagen (2002:546) om behandling av uppgifter i den arbetsmarknadspolitiska verksamheten Förslag: Databasen för kompletterande aktörer undantas från tillämpningsområdet för lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Enligt 1 § i Arbetsförmedlingens registerlag är lagen tillämplig i arbetsförmedlingens arbetsmarknadspolitiska verksamhet. Om databasen för kompletterande aktörer tillhandahålls av Arbetsförmedlingen, kan det uppstå oklarheter kring om denna databas utgör en arbetsmarknadspolitisk databas som omfattas av Arbetsförmedlingens registerlag. För att undvika lagkonflikter bör det tydligt i den lagen anges att den inte omfattar databas för kompletterande aktörer, utan att denna istället regleras i den föreslagna lagen om kompletterande aktörer. Behov av följdändringar i Arbetsförmedlingens registerlag 13.2Arbetsförmedlingen har redan möjlighet att lämna ut uppgifter på ADB till kompletterande aktörer Förslag: De uppgifter som Arbetsförmedlingen efter sekretessprövning får lämna till kompletterande aktör, får lämnas på medium för automatiserad behandling. Förslaget kräver ingen ändring av Arbetsförmedlingens registerlagstiftning. För att undvika förseningar i arbetet med de arbetssökande i samband med att de kompletterande aktörerna får ett uppdrag bör informationsutbytet mellan Arbetsförmedlingen och de kompletterande aktörerna ske elektroniskt. Enligt 5 § 7 Arbetsförmedlingens registerlag har Arbetsförmedlingen möjlighet att behandla personuppgifter för tillhandahållande av information som behövs i kompletterande aktörers verksamhet när de utför uppdrag åt Arbetsförmedlingen. De uppgifter som får behandlas för detta syfte, och som även får lämnas till kompletterande aktörer på medium för automatiserad behandling är enligt 7 f och 13 c §§ i tillhörande förordning; 1.namn, person- eller samordningsnummer, adress, telefonnummer och e-postadress, 2.uppgift om arbetsutbud, önskemål om typ av arbete, arbetstid, arbetsort, anställningsform och varaktighet, uppgift om körkort och tillgång till bil, utbildning, arbetslivserfarenhet och tidigare arbetsgivare, speciell kompetens samt andra uppgifter som har betydelse vid arbetssökning, 3.uppgifter om anvisningar till arbete och arbetsmarknadspolitiska program samt uppgifter om att en anvisning avbrutits, 4.uppgifter om behov av språk-, syn- eller teckentolk eller arbetshjälpmedel eller om behov av anpassning av insatsen på grund av funktionsnedsättning, 5.uppgifter om sådana omständigheter som berättigar den kompletterande aktören till resultatbaserad ersättning, 6.uppgifter som ingår i en handlingsplan eller en etableringsplan, och Behov av följdändringar i Arbetsförmedlingens registerlag 7.andra uppgifter som är absolut nödvändiga för att den kompletterande aktören ska kunna utföra sitt uppdrag. En möjlighet att lämna ut personuppgifter på medium för automatiserad behandling innebär inte att sekretessen för uppgifterna bryts. Innan ett elektroniskt utlämnande sker måste först göras en bedömning av om det finns stöd för att bryta sekretessen för de aktuella uppgifterna. Att möjligheten i 13 f § att lämna ut uppgifter elektroniskt till kompletterande aktörer inte utnyttjats tidigare beror på att det förelegat oklarheter kring om Arbetsförmedlingen haft stöd för utlämnandet i nuvarande regler i offentlighets- och sekretesslagen, se avsnitt 8.2. Utredningen har i avsnitt 9 föreslagit att det införs en sekretessbrytande bestämmelse som ger Arbetsförmedlingen ett tydligt stöd för att lämna ut de uppgifter som är nödvändiga för att de kompletterande aktörerna ska kunna fullgöra sitt uppdrag. Det är utredningens uppfattning att de befintliga reglerna i Arbetsförmedlingens registerlagstiftning möjliggör ett elektroniskt utlämnande till kompletterande aktörer som motsvarar det behov av informationsutlämning som redovisats i avsnitt 5.5 och som enligt den i avsnitt 9 föreslagna sekretessbrytande bestämmelsen ska få lämnas ut till kompletterande aktörer. Det krävs därför inga ändringar i registerlagstiftningen för att möjliggöra ett elektroniskt utlämnande. 13.3Borttagande av Arbetsförmedlingens begränsningar att behandla vissa känsliga och ömtåliga uppgifter Förslag: 9 § förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ändras så att Arbetsförmedlingen får möjlighet att i en arbetsmarknadspolitisk databas behandla uppgifter om hälsa och sociala förhållanden om uppgifterna har lämnats i ett ärende eller är absolut nödvändiga för handläggningen av det. Som redovisats ovan kan Arbetsförmedlingen inte i en databas behandla uppgifter om hälsa eller sociala förhållanden, även om uppgifterna lämnats i ett ärende eller är absolut nödvändiga för handläggningen av det. I 9 § Arbetsförmedlingens registerförordning Behov av följdändringar i Arbetsförmedlingens registerlag finns istället en uttömmande uppräkning av de uppgifter av denna typ som får behandlas. Som angivits ovan i avsnitt 12.2.4 har utredningen funnit att det finns skäl för att låta kompletterande aktörer behandla uppgifter om hälsa och sociala förhållanden utan motsvarande begränsningar. Att kompletterande aktörer får behandla en större mängd uppgifter än Arbetsförmedlingen kan leda till att uppgifter som lagenligt behandlas av kompletterande aktörer och skickas elektroniskt till Arbetsförmedlingen inte får behandlas där. Detta är inte en hållbar lösning. Om kommunikationen mellan kompletterande aktörer och Arbetsförmedlingen ska kunna fungera på ett effektivt och rättssäkert sätt krävs att Arbetsförmedlingen har rätt att behandla alla de uppgifter som kompletterande aktörer får behandla. Utredningen finner inte att det finns skäl för att Arbetsförmedlingen inte ska få behandla dessa uppgifter i samma utsträckning som de kompletterande aktörerna. 14Behandling av fackliga företrädares personuppgifter i Platsbanken Arbetsförmedlingen låter via sin hemsida arbetsgivare publicera annonser om lediga tjänster. Underlag till annonserna hanteras hos Arbetsförmedlingen i en arbetsmarknadspolitisk databas. I annonserna förekommer namn och kontaktuppgifter avseende fackliga företrädare som de arbetssökande kan kontakta. Frågan är om det genom nu gällande författningar finns stöd för att behandla dessa uppgifter i en arbetsmarknadspolitisk databas. Utredaren ska därför enligt direktivet bedöma om det finns författningsstöd för sådan behandling, om författningsstöd saknas, ta ställning till om Arbetsförmedlingen bör ges möjlighet att låta arbetsgivare publicera namn och kontaktuppgifter till fackliga företrädare med hänsyn till att uppgifterna då även kommer att behandlas i en arbetsmarknadspolitisk databas och om författningsstöd saknas, föreslå nödvändiga författningsändringar. Vid behandling av personuppgifter i form av publicering av platsinformation i den s.k. Platsbanken, är det fråga om automatiserad behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten och därmed är Arbetsförmedlingens registerförfattning tillämplig. Behandlingen är tillåten enligt registerlagen Behandling av fackliga företrädares personuppgifter i Platsbanken eftersom publicering av platsinformation är ett av Arbetsförmedlingens primära ändamål1 och behandlingen får utföras i en arbetsmarknadspolitisk databas2. En personuppgift som avslöjar medlemskap i fackförening är en känslig personuppgift enligt dataskyddsdirektivet och personuppgiftslagen. Särskilda begränsningar gäller för att få behandla känsliga personuppgifter. Arbetsförmedlingen får enligt sin registerförfattning (8 §) behandla känsliga personuppgifter som lämnats i ett ärende eller som är nödvändiga för handläggningen av det. Här är det dock fråga om behandling av känsliga personuppgifter i en arbetsmarknadspolitisk databas (pga. kopplingen hos Arbetsförmedlingen) och då gäller enligt 9 § i Arbetsförmedlingens registerlag, att endast sådana känsliga personuppgifter (enligt 13 § personuppgiftslagen) som avslöjar etniskt ursprung eller rör hälsa får behandlas i en arbetsmarknadspolitisk databas under vissa förutsättningar. Som ytterligare begränsning gäller enligt Arbetsförmedlingens registerförordning (20 e §) att personuppgifter som betecknas som känsliga enligt 13 § personuppgiftlagen endast får behandlas i sådana system för automatiserad behandling där behörigheten kan begränsas tekniskt till de personer som behöver ta del av uppgifterna. I övriga system får känsliga personuppgifter behandlas endast om den enskilde har samtyckt till behandlingen. Arbetsförmedlingen kräver samtycke för registrering av känsliga och ömtåliga personuppgifter i AIS3. 14.3Får Arbetsförmedlingen behandla uppgift om fackliga företrädare i Platsbanken? Som nämnts ovan är publicering av platsinformation ett av Arbetsförmedlingen primära ändamål och behandlingen får utföras i en arbetsmarknadspolitisk databas. En personuppgift som avslöjar medlemskap i fackförening utgör dock en känslig personuppgift och då gäller ytterligare begränsningar för att få behandla uppgiften. Med Arbetsförmedlingens nuvarande regelverk kan det därför 14 § 2 punkten i Arbetsförmedlingens registerlag. 27 § i Arbetsförmedlingens registerlag. 3AIS är Arbetsförmedlingens ärendehanteringssystem för handläggning av arbetssökande- och arbetsgivarärenden. består av ett flertal olika databaser med ett gemensamt gränssnitt mot användaren. Handläggaren använder systemet för att matcha arbetssökande mot lediga arbeten, anvisa till arbete eller program, fatta beslut, underrättelser till arbetslöshetskassorna mm. Behandling av fackliga företrädares personuppgifter i Platsbanken med fog ifrågasättas om Arbetsförmedlingen har stöd för att behandla dessa uppgifter vid annonsering av lediga tjänster i Platsbanken eftersom den är kopplad till en arbetsmarknadspolitisk databas (9 § Arbetsförmedlingens registerlag). 14.4Bör det vara tillåtet för förmedlingen att behandla fackliga företrädares kontaktuppgifter i Platsbanken? En arbetsgivare som vill annonsera efter medarbetare kan skicka in sitt annonsunderlag till Arbetsförmedlingen via e-post eller lämna in sitt manus direkt till en Arbetsförmedling. Platsannonserna publiceras efter viss granskning av Arbetsförmedlingen i Platsbanken, , i Arbetsförmedlingens interna system och i EURES-portalen www-eures.europa.eu. I den blankett som arbetsgivaren fyller i inför annonseringen finns det möjlighet att ange kontaktpersoner. Det är frivilligt att lämna denna uppgift. Arbetsförmedlingen känner inte till exakt hur vanligt det är att facklig kontaktperson anges i annonserna eftersom denna uppgift inte är sökbar i Platsbanken. Förmedlingen har dock uppgett att en översiktlig och slumpvis genomgång visar att uppgifter om fackliga kontaktpersoner är vanliga i platsannonser i den offentliga sektorn inom t.ex. vård och utbildning, medan uppgiften är mindre vanlig hos bemannings- och rekryteringsföretag samt hos andra företag. Arbetsförmedlingen känner inte till att det skulle förekomma några klagomål pga. att uppgifter om fackliga företrädare har publicerats i Platsbanken. Utredningen har till fackliga organisationer, en arbetsgivarorganisation m.fl. skickat ut en begäran om synpunkter avseende behandlingen av uppgifter om fackliga företrädare i Platsbanken. Samtliga tillfrågade fackförbund anser att det finns ett behov av att behandla uppgiften. När facklig kontaktperson anges i annonsen ger detta den arbetssökande möjlighet att kontakta facket och uppgiften visar också att det finns ett kollektivavtal på arbetsplatsen. Arbetsgivarna har inget egenintresse av att uppgiften finns med i t.ex. Platsbanken men upplever att det är i enlighet med gammal praxis och fackens önskemål.