sou · H0B34 · 2012-02-07 00:00:00 — Kompletterande regler om personuppgiftsbehandling på det arbetsmarknadspolitiska området Betänkande av Utredningen om personuppgiftsbehandling inom den arbetsmarknadspolitiska verksamheten och i tillsynsverksamheten över denna SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen (SB PM 2003:2, reviderad ) – En liten broschyr som underlättar arbetet för den som ska svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Textbearbetning och layout har utförts av , FA/kommittéservice. Regeringen beslutade att tillkalla en särskild utredare med uppdrag att utreda viss personuppgiftsbehandling vid Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen samt att klargöra vilka regler som bör gälla och om det finns behov av särskilda regler för behandling av personuppgifter hos de externa leverantörer av tjänster som på uppdrag av Arbetsförmedlingen bedriver arbetsmarknadspolitisk verksamhet eller annan verksamhet beträffande nyanlända invandrare, s.k. kompletterande aktörer (dir. 2011:23). Som särskild utredare förordnades lagmannen, numera kammarrättspresidenten, . Som experter att biträda utredningen förordnades ämnessakkunnige , , avdelningschefen , Arbetsförmedlingen, juristen , Datainspektionen, chefsjuristen , Inspektionen för arbetslöshetsförsäkringen, t.f. chefsjuristen, numera departementssekreteraren, , Arbetsförmedlingen. Som sekreterare i utredningen anställdes kammarrättsassessorn, numera rådmannen, . Hon entledigades och ersattes av datarådet som sekreterare i utredningen. Verksjuristen, numera t.f. chefsjuristen, anställdes som sekreterare i utredningen på halvtid. beslutade regeringen om ett tilläggsdirektiv till utredningen (dir. 2011:117). Utredningen överlämnar betänkandet Kompletterande regler om personuppgiftsbehandling på det arbetsmarknadspolitiska området (SOU 2012:4). Utredningens uppdrag är härmed slutfört. Utredningens uppdrag och arbete ................................ Arbetsförmedlingen och Inspektionen för Arbetsförmedlingens uppdrag och verksamhet ..................... 2.2Inspektionen för arbetslöshetsförsäkringens uppdrag Övergripande rättslig reglering av behandling av 3.2.1 allmänna förklaring om de mänskliga rättigheterna m.m........................................ 3.2.4 Dataskyddskonvention nr 108 och 3.2.5 Europeiska unionens stadga om de 3.3.3 Specialreglering på det arbetsmarknadspolitiska 3.3.4 och översyn av 4.1.2 Regler för privata arbetsförmedlare ............................. Den danska modellen.................................................... 4.2.2 Regler för Andra aktörer .............................................. Kompletterande aktörer och deras verksamhet ............... Vad är en kompletterande aktör? 5.2Verksamhetens omfattning enligt årsredovisningar 2009 Vem erbjuder tjänsterna?......................................................... Olika typer av kompletterande aktörer .................................. Coacher över tröskeln .................................................. Informationsflödet hos kompletterande aktörer ................... 5.5.1 En modell för informationsflöde och löpande 5.5.2 Information från Arbetsförmedlingen till 5.5.3 Information från kompletterande aktör till 5.6Kompletterande aktörs övriga behov av att behandla uppgifter genom löpande dokumentation.............................. 6 Allmänna utgångspunkter – rättssäkerhet och 6.1Vad krävs för att uppnå en rättssäker och effektiv personuppgiftsbehandling hos Arbetsförmedlingen och 6.1.1 Rättssäkerhet och begreppet personlig integritet....... 6.1.2 Arbetsförmedlingen och de kompletterande aktörerna ska kunna utföra sina uppdrag under 6.1.3 Effektivitet i verksamheten........................................ 6.1.4 En säker elektronisk behandling av 6.1.5 Småföretagare ska kunna erbjuda Ny lag om kompletterande aktörer.............................. En ny lag om kompletterande aktörer.................................. Lagens tillämpningsområde och syfte .................................. 7.2.1 Förhållandet till patientdatalagen och 7.2.2 Vissa särregler för etableringslotsar........................... 7.2.3 Definition av de kompletterande aktörer som omfattas av lagstiftningen .......................................... Gällande rätt – sekretesskydd för enskilda................... 8.1.1 Sekretesskydd hos Arbetsförmedlingen.................... 8.2Arbetsförmedlingens möjligheter att lämna ut uppgifter till kompletterande aktör ....................................................... 8.3Tystnadsplikt och uppgiftsskyldighet för 8.3.2 Kompletterande aktörer som erbjuder Övriga kompletterande aktörer ................................. Utlämnande av uppgifter från Arbetsförmedlingen till 9.1En särskild sekretessbrytande bestämmelse för utlämnande av uppgifter från Arbetsförmedlingen till Behov av att lämna ut sekretessbelagda uppgifter utan den enskildes medgivande.................................. Arbetsförmedlingen bedömer vilka uppgifter som ska lämnas ut ....................................................... Tystnadsplikt och uppgiftsskyldighet för En tystnadspliktsbestämmelse för kompletterande 10.1.1 En lagstadgad tystnadsplikt motsvarande 10.1.2 Tystnadspliktens omfattning ..................................... Uppgiftsskyldighet för kompletterande aktörer.................. Kompletterande aktörer som utför hälso- och sjukvård...... Gällande rätt – regler för personuppgiftsbehandling ..... Olika regelverk för behandling av personuppgifter hos Arbetsförmedlingen och kompletterande aktörer............... Allmänt om personuppgiftslagen.......................................... 11.2.1 Lagens tillämpningsområde ....................................... 11.2.2 Grundläggande krav på behandlingen av 11.2.3 När är det tillåtet att behandla personuppgifter? Särskilt om krav på information och säkerhet vid behandling av personuppgifter.............................................. 11.3.1 Information till registrerade....................................... 11.3.2 Säkerhet för personuppgifter..................................... 11.3.3 Skydd för personuppgifter i e-tjänster ...................... Kompletterande aktörers personuppgiftsbehandling.......... 11.5.1 Allmänt om Arbetsförmedlingens 11.5.2 Behandling av uppgifter för ärendehandläggning 11.5.3 Publicering av ansökningar ........................................ 11.5.4 Begränsningar avseende behandling av känsliga och ömtåliga personuppgifter.................................... Regler om kompletterande aktörers behandling av Allmänt om kompletterande aktörers behandling av 12.1.1 Behandling av personuppgifter som omfattas av 12.1.2 Förhållandet till personuppgiftslagen........................ 12.1.3 Kompletterande aktörers rätt att behandla 12.1.4 Utlämnande av personuppgifter på medium för 12.1.5 Rättelse, skadestånd och straff................................... Behandling av vissa personuppgifter i en databas................. 12.2.1 Databas för kompletterande aktörer.......................... 12.2.2 Utformningen av databasen ....................................... 12.2.3 Integritetskänsliga uppgifter får endast behandlas 12.2.4 Tillåten behandling av känsliga och ömtåliga 12.2.5 Uppgifter som inte får behandlas i databasen ........... 12.2.7 Personuppgiftsansvar för databasen och för uppgifter som behandlas i denna................................ 12.2.8 Utplånande av personuppgifter i databasen .............. Behov av följdändringar i Arbetsförmedlingens 13.1Lagen om kompletterande aktörers förhållande till lagen (2002:546) om behandling av uppgifter i den Arbetsförmedlingen har redan möjlighet att lämna ut uppgifter på ADB till kompletterande aktörer..................... Borttagande av Arbetsförmedlingens begränsningar att behandla vissa känsliga och ömtåliga uppgifter.................... Behandling av fackliga företrädares personuppgifter i behandla uppgift om fackliga företrädare i Platsbanken? Bör det vara tillåtet för förmedlingen att behandla fackliga företrädares kontaktuppgifter i Platsbanken? Behandling av personuppgifter om brott m.m. hos Inspektionen för arbetslöshetsförsäkringen.................. Inspektionen för arbetslöshetsförsäkringens uppdrag ........ 15.2.1 Sekretess hos Inspektionen för 15.2.2 Behandling av personuppgifter vid Inspektionen 15.2.3 Särskilt om behandling av känsliga och ömtåliga 15.3En möjlighet för Inspektionen för arbetslöshetsförsäkringen att behandla uppgifter om brott m.m. i statistik- och tillsynsdatabasen ........................ 15.3.1Behandling av uppgifter om brott m.m. i statistik- och tillsynsdatabasen för uppföljning av bidragsbrott inom arbetslöshetsersättningen ........... 15.3.2Inget behov av behandling av uppgifter om brott m.m. i statistik- och tillsynsdatabasen för granskning av Arbetsförmedlingens verksamhet...... 15.4En starkare sekretess hos Inspektionen för arbetslöshetsförsäkringen för uppgifter om lagöverträdelser som innefattar brott ................................... Konsekvenser och ikraftträdande ............................... Problemen och vad regeringen vill uppnå ............................ Alternativa lösningar eller inte någon lösning alls ............... Vilka berörs av regleringen? Konsekvenser för kompletterande aktörer, små och stora företag, arbetssökande och arbetsgivare ..................... Konsekvenser för staten ........................................................ EU och internationella åtaganden......................................... Konsekvenser för den personliga integriteten ..................... Förslag till lag (2013:00) om kompletterande aktörer Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)...................................................... Förslaget till lag om ändring i lagen (2010:197) om etableringsinsatser för vissa nyanlända invandrare............... 17.4Förslaget till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den 17.5Förslaget till lag om ändring i lagen (2006:496) om behandling av personuppgifter vid Inspektionen för Curriculum Vitae, meritförteckning, lista över utbildning Den europeiska portalen för rörlighet i arbetslivet offentlighets- och sekretesslagen (2009:400) personuppgiftslagen (1998:204) Utredningen har haft i uppdrag att utreda viss personuppgiftsbehandling inom det arbetsmarknadspolitiska området. I uppdraget har ingått att klargöra vilka regler som bör gälla på området och utreda om det finns behov av särskilda regler för behandling av personuppgifter hos s.k. kompletterande aktörer. Dessa externa leverantörer av tjänster bedriver på uppdrag av Arbetsförmedlingen arbetsmarknadspolitisk verksamhet eller annan verksamhet beträffande nyanlända invandrare. Syftet med utredningen är att skapa förutsättningar för att Arbetsförmedlingen, Inspektionen för arbetslöshetsförsäkringen och de kompletterande aktörerna på ett rättssäkert och effektivt sätt ska kunna fullgöra sina uppgifter som enskildas personliga integritet skyddas. Utredningen har vidare haft att ta ställning till om det finns behov av en särskild sekretessbrytande bestämmelse för utlämnande av uppgifter om enskilda från Arbetsförmedlingen till kompletterande aktörer. Därutöver har utredningen haft att bedöma om det bör införas en författningsreglerad tystnadsplikt för uppgifter om de arbetssökande som behandlas i de kompletterande aktörernas verksamhet. I uppdraget har ingått att föreslå de författningsändringar som bedöms vara nödvändiga. Utredningen har även haft i uppdrag att utreda huruvida Arbetsförmedlingen i en arbetsmarknadspolitisk databas bör få behandla uppgift om facklig företrädare i samband med publicering av lediga platser i Platsbanken, samt om Inspektionen för arbetslöshetsförsäkringen bör få behandla uppgifter om lagöverträdelser i sin statistik- och tillsynsdatabas. En ny lag om kompletterande aktörer införs till skydd för enskildas personliga integritet är det personuppgiftslagen i kombination med upphandlade avtal som reglerar de kompletterande aktörernas behandling av uppgifter om enskilda och företag. Utredningen föreslår att det införs en lag om kompletterande aktörer. Lagen ska tillämpas när kompletterande aktörer utför arbetsmarknadspolitisk verksamhet och etableringsinsatser för vissa nyanlända invandrare på uppdrag av den offentliga arbetsförmedlingen. Lagens syfte är att skydda enskildas personliga integritet i samband med att de kompletterande aktörerna utför det uppdrag som de har fått av den offentliga arbetsförmedlingen efter offentlig upphandling. För att uppnå detta syfte föreslås regler som innebär att de kompletterande aktörerna kan erbjuda sina tjänster på likartade villkor som den offentliga arbetsförmedlingen som enskildas integritet skyddas i verksamheterna. För att uppnå en effektiv personuppgiftsbehandling i de kompletterande aktörernas uppdragsverksamhet i kombination med ett gott integritetsskydd för enskilda arbetssökande och enskilda arbetsgivare behövs en sammanhållen och lättillgänglig lagstiftning. Särregler bör endast införas i de delar där integritetshänsynen gör sig särskilt starkt gällande i samband med att de kompletterande aktörerna utför uppdraget. I övrigt bör personuppgiftslagens regler gälla. Det är här fråga om en specialreglering som kompletterar och i vissa delar ersätter personuppgiftslagen. Med kompletterande aktör avses den som på uppdrag av Arbetsförmedlingen bedriver arbetsmarknadspolitisk verksamhet eller verksamhet enligt lagen om etableringsinsatser för vissa invandrare. Utredningen anser att det bara är kompletterande aktörer som bedriver förmedlingsverksamhet av den typ som även erbjuds i Arbetsförmedlingens egen regi som har behov av ett sådant omfattande informationsutbyte och behandling av personuppgifter som kan motivera en straffsanktionerad tystnadsplikt och en särskild registerförfattning. Lagförslaget har därför begränsats till att omfatta enbart kompletterande aktörer av denna typ. En del kompletterande aktörer kommer precis som Arbetsförmedlingen att i viss utsträckning bedriva hälso- och sjukvårdsverksamhet bl.a. i samband med genomförandet av arbetspsykologiska utredningar. Utredningen förelår att befintliga regler på hälso- och sjukvårdsområdet i patientdatalagen (2008:355) och patientsäkerhetslagen (2010:659) även fortsättningsvis ska gälla för denna del av kompletterande aktörers verksamhet. Kompletterande aktör som utför uppdrag som etableringslots föreslås undantas från reglerna om tystnadsplikt och uppgiftsskyldighet i lagen om kompletterande aktörer. De gällande reglerna om tystnadsplikt i lagen (2010:197) om etableringsinsatser för vissa nyanlända invandrare ändras i viss mån. Den nu föreslagna lagens regler om personuppgiftsbehandling ska dock gälla även för etableringslotsar. Utlämnande av uppgifter från Arbetsförmedlingen till kompletterande aktörer Om kompletterande aktörer ska kunna fullgöra sitt uppdrag på ett effektivt sätt behöver Arbetsförmedlingen kunna lämna ut vissa uppgifter om arbetssökande och arbetsgivare till de kompletterande aktörerna. måste Arbetsförmedlingen i stor utsträckning förlita sig på att den enskilde arbetssökanden eller arbetsgivaren medger att uppgifterna lämnas ut. Om den enskilde inte ger sitt medgivande till att uppgifterna lämnas ut kan detta leda till att de kompletterande aktörerna får ett bristande underlag, vilket i sin tur påverkar tjänstens kvalitet och effektivitet samt den kompletterande aktörens möjlighet att göra gällande sin rätt till ersättning. Samhällets intresse av att de insatser som de kompletterande aktörerna erbjuder blir så effektiva som möjligt och att det finns ett stort utbud av kompletterande aktörer får anses väga över den enskildes intresse av att själv besluta om vilka uppgifter som ska lämnas till den kompletterande aktören. Utredningen föreslår därför att det införs en särskild sekretessbrytande bestämmelse i 28 kap. offentlighets- och sekretesslagen, OSL, med innebörden att Arbetsförmedlingen till kompletterande aktör utan hinder av sekretess får lämna ut de uppgifter som är nödvändiga för att den kompletterande aktören ska kunna fullgöra sitt uppdrag. Vilka uppgifter som omfattas av den sekretessbrytande bestämmelsen ska anges närmare i föreslagen lag om kompletterande aktörer och i tillhörande förordning. Inom den i lagstiftningen givna ramen är det Arbetsförmedlingen, inte den kompletterande aktören, som gör en bedömning av vilka uppgifter som är nödvändiga för att fullgöra uppdraget i det enskilda fallet. är det viktigt att det är Arbetsförmedlingen som bedömer de kompletterande aktörernas behov, så att olika kompletterande aktörer som tillhandahåller samma tjänst får tillgång till samma typ av information. Om de kompletterande aktörerna bedömer att de behöver fler uppgifter än vad Arbetsförmedlingen har lämnat med stöd av den föreslagna bestämmelsen eller om den arbetssökande önskar att fler uppgifter lämnas över kvarstår möjligheten i 10 kap. 1 § OSL att lämna ut uppgifterna med den enskildes medgivande. Tystnadsplikt och uppgiftsskyldighet för kompletterande aktörer Det skydd som finns för enskildas integritet inom den offentliga verksamheten bör upprätthållas också när kompletterande aktörer engageras. Det bör därför införas en lagreglerad och straffsanktionerad tystnadsplikt för kompletterande aktörer. Detta får dock inte begränsa deras möjlighet att fullgöra sitt uppdrag på ett effektivt sätt. Utredningen föreslår att det införs en lagreglerad tystnadsplikt för dem som är eller har varit verksamma inom kompletterande aktörers verksamhet med innebörden att de inte obehörigen får röja uppgifter som de får del av inom ramen för sitt uppdrag. Tystnadsplikten omfattar både uppgifter om enskilds personliga förhållanden och enskilds affärs- och driftsförhållanden och uppgifterna får inte användas inom den kompletterande aktörens övriga verksamhet. Med obehörigen avses inte att någon lämnar ut uppgifter om det är nödvändigt för att fullgöra det tilldelade uppdraget, att någon fullgör en uppgiftsskyldighet som följer av lag eller förordning eller om den enskilde samtycker till utlämnandet. Tystnadsplikten gäller inte mot den enskilde själv. Arbetsförmedlingen har en skyldighet att till arbetslöshetskassorna och Inspektionen för arbetslöshetsförsäkringen rapportera uppgifter som kan påverka den arbetssökandes rätt till ersättning. Fullgörandet av denna skyldighet är beroende av att de kompletterande aktörerna lämnar relevant underlag till myndigheten. För etableringslotsar finns en skyldighet att till i förordning utpekad myndighet rapportera uppgifter som kan påverka en nyanländs rätt till etableringsersättning1. Utredningen föreslår att det införs en generell skyldighet för kompletterande aktörer att till Arbetsförmedlingen lämna de uppgifter som kan påverka den arbetssökandes rätt till arbetslöshetsersättning eller rätt att delta i ett arbetsmarknadspolitiskt program. En sådan uppgiftsskyldighet skulle tydliggöra för de kompletterande aktörerna att de inte enbart ska tillhandahålla en service till den arbetssökande, utan att de även har en viktig roll i att säkerställa att den arbetssökande som uppbär ersättning medverkar till att lösa sin arbetslöshetssituation på det sätt som samhället kräver av honom eller henne. Regler om kompletterande aktörers behandling av personuppgifter Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Utredningen anser att det bör framgå direkt av lagen att de kompletterande aktörerna har rätt att behandla de uppgifter om arbetsgivare, arbetssökande och deras närstående som är nödvändiga för att uppdraget från den offentliga arbetsförmedlingen ska kunna fullgöras. Detta skulle klargöra de kompletterande aktörernas rätt att behandla personuppgifterna och i kombination med ett elektroniskt förfarande påskynda processen att få den enskilde i arbete. Det är regeringen som i förordning bestämmer vilka uppgifter som får behandlas. För att få till stånd en effektiv och rättssäker personuppgiftsbehandling föreslår utredningen att det av lagen framgår under vilka förutsättningar en kompletterande aktör får lämna ut uppgifter på medium för automatiserad behandling. En förutsättning är naturligtvis att kraven på säkerhet enligt 31 § personuppgiftslagen är uppfyllda vid överföringen och att den kompletterande aktören har stöd i lagen för att bryta tystnadsplikten. De kompletterande aktörerna bör ges möjlighet att till Arbetsförmedlingen lämna ut uppgifter på medium för automatiserad behandling om det före- 1 16 § lagen (2010:197) om etableringsinsatser för vissa nyanlända invandrare. ligger en uppgiftsskyldighet enligt lag eller förordning eller om det är nödvändigt för att fullgöra det tilldelade uppdraget. Kompletterande aktör bör även få lämna ut uppgifter elektroniskt till arbetsgivare om det är nödvändigt för att utföra uppdraget och det inte är fråga om känsliga eller ömtåliga personuppgifter. Regeringen föreslås få meddela närmare föreskrifter om vilka uppgifter som en kompletterande aktör får lämna ut. Utredningen anser att bestämmelserna i personuppgiftslagen om rättelse, skadestånd och straff ska gälla vid behandling av personuppgifter enligt lagen om kompletterande aktörer eller föreskrifter som har meddelats i anslutning till denna lag. För att säkerställa ett bra integritetsskydd för den enskilde, både för arbetssökande och enskilda företag, anser utredningen att det är viktigt att Arbetsförmedlingen tillhandahåller ett systemstöd för verksamheterna. Detta är också en viktig förutsättning för att mindre företag ska kunna konkurrera med större företag som normalt har helt andra resurser att lägga på sitt säkerhetsarbete. Utredningen föreslår att Arbetsförmedlingen tillhandahåller en databas (ett systemstöd) där de kompletterande aktörerna kan behandla de personuppgifter som är nödvändiga för att fullgöra uppdraget samt för att möjliggöra en säker elektronisk kommunikation av uppgifter mellan förmedlingen och de kompletterande aktörerna. Tanken är att Arbetsförmedlingen ska utforma ett system med inbyggt integritetsskydd som ger förutsättningar för alla kompletterande aktörer, stora som små, att uppfylla de stränga kraven på säkerhet som ställs vid behandlingen av personuppgifterna på grund av deras känslighet. Arbetsförmedlingen ansvarar således för att sådana lämpliga tekniska åtgärder som avses i 31 § personuppgiftslagen vidtas för att skydda de personuppgifter som behandlas i databasen. De kompletterande aktörna är var och en personuppgiftsansvarig för de uppgifter som de behandlar i databasen för att fullgöra sitt uppdrag. Arbetsförmedlingen ska inte ha direktåtkomst till de kompletterande aktörernas uppgifter i databasen och omvänt ska inte de kompletterande aktörerna ha direktåtkomst till Arbetsförmedlingens arbetsmarknadspolitiska databas. Utredningen föreslår att integritetskänsliga personuppgifter endast får behandlas i den databas som Arbetsförmedlingen tillhandahåller. Det är endast vissa känsliga personuppgifter enligt 13 § personuppgiftslagen (som rör hälsa eller avslöjar etniskt ursprung) som över huvud taget får behandlas enligt den föreslagna lagen om kompletterande aktörer. Dessa känsliga uppgifter, som får behandlas av de kompletterande aktörerna om uppgifterna har lämnats inom ramen för uppdraget eller om uppgifterna är absolut nödvändiga för utförandet av uppdraget, föreslås skyddas genom att man begränsar var uppgifterna får behandlas.