sou · H0B34 · 2012-02-07 00:00:00 — Utredningen ska enligt direktiven titta särskilt på de små företagens förutsättningar att tillhandahålla arbetsförmedlingstjänster och uppmärksamma de särskilda svårigheter som kan finnas för dessa företag. Många kompletterande aktörer, särskilt jobbcoacher för nyarbetslösa, är små företag. Enligt Arbetsförmedlingens statistik för har av de företag som levererar kompletterande arbetsförmedlingstjänster färre än fem anställda. Det kan vara svårt för dessa mindre företag att på egen hand upprätthålla tillräcklig kunskap om reglerna i personuppgiftslagen och kostsamt att uppfylla kraven på t.ex. säkerhet. Detta kan innebära särskilda risker för integritetsintrång. Arbetsförmedlingen har begärt att det görs lagändringar som möjliggör att ett systemstöd kan utvecklas som ger kompletterande 4 Kommentaren till personuppgiftslagen, , , tredje upplagan s. 66. Regler om kompletterande aktörers behandling av personuppgifter aktörer rätt att behandla personuppgifter i ett av Arbetsförmedlingen tillhandahållet datasystem. För att upprätthålla ett diversifierat tjänsteutbud som inte utestänger småföretag från möjligheten att leverera aktuella tjänster som man upprätthåller ett gott integritetsskydd för de arbetssökande, bör utredningens förslag till lösning underlätta för företagen att uppfylla kraven på en säker personuppgiftsbehandling. Utredningen anser därför att det är lämpligt att Arbetsförmedlingen tillhandahåller ett system där de kompletterande aktörerna kan behandla personuppgifter och i vilket det går att elektronisk överföra information mellan Arbetsförmedlingen och de kompletterande aktörerna på ett säkert sätt. finns det ett webbstöd, benämnt KA-webb, i vilket de kompletterande aktörer som har avtal med Arbetsförmedlingen bl.a. kan registrera underlag för utbetalning av ersättning, skicka in månadsrapporter, underlagsrapporter om avvikelser och händelser, slutredovisning m.m. till Arbetsförmedlingen. För att använda webbstödet måste aktörerna ha tecknat avtal om behörighet med Arbetsförmedlingen och logga in med hjälp av e-legitimation eller bank-id. Arbetsförmedlingens webbstöd är ett sätt att förbättra och effektivisera utbytet av information med de kompletterande aktörerna. De kompletterande aktörerna har framhållit att det finns vissa problem med dagens system och att det finns behov av en fungerande elektronisk kommunikationsväg mellan Arbetsförmedlingen och de kompletterande aktörerna för att uppnå en snabb och säker överföring av information. Uppgifter om erhållna uppdrag och handlingsplaner skickas per post vilket försenar starten av de kompletterande aktörernas uppdrag. Enligt uppgift från Arbetsförmedlingen tar det från beslut om en arbetsförmedlingsinsats till dess att insatsen kan påbörjas hos den kompletterande aktören eftersom informationen skickas per brev. En digital hantering skulle väsentligen förkorta . Här finns mycket att vinna på en effektivare hantering både för samhället och för den enskilde individen som snabbt vill komma i arbete.5 De kompletterande aktörerna har även behov av att kunna se den 5 Arbetsförmedlingen har laglig möjlighet (se 5 § 7 p Arbetsförmedlingens registerlag och 7 f §, 13 c § Arbetsförmedlingens förordning) att elektroniskt lämna ut de uppgifter som de kompletterande aktörerna behöver i sina uppdrag. Denna möjlighet utnyttjas inte i sin helhet pga. begränsningar i dagens IT-system, sekretessproblem (OSL 10:2) och osäkerhet beträffande IT-säkerheten hos de kompletterande aktörerna. Regler om kompletterande aktörers behandling av personuppgifter information som har lämnats till Arbetsförmedlingen och vidare vill de ha möjlighet att korrigera tidigare lämnade uppgifter, något som inte går i dag.6 Upprättandet av en sådan kommunikationsväg ligger i linje med regeringens strävan att effektivisera förvaltningen med hjälp av modern informationsteknik (). En utgångspunkt i utredningens arbete har varit att skyddet för den enskildes personliga integritet ska vara likadant oavsett vem som utför arbetsförmedlingstjänsten. Det måste alltså ställas samma krav på säkerhet hos den kompletterande aktören som hos Arbetsförmedlingen trots att det naturligtvis kan vara svårt för ett litet företag att i sin verksamhet leva upp till en tillräckligt hög nivå på säkerheten. Detta är viktigt om integritetsskyddet för den enskilde arbetssökanden inte ska vara olika beroende på vem som utför uppdraget. Säkerhet för personuppgifter är en viktig del av skyddet för den personliga integriteten. Den som behandlar personuppgifter med hjälp av informationsteknik måste därför skydda uppgifterna. En tillfredsställande säkerhet är ett krav enligt personuppgiftslagen, på sätt som beskrivits i avsnitt 11.3.2 om personuppgiftslagens regler och IT-säkerhet. Vid elektronisk behandling av personuppgifter inom de kompletterande aktörernas verksamhet krävs det en hög nivå av IT-säkerhet på grund av känsligheten hos uppgifterna. För att säkerställa ett bra integritetsskydd för den enskilde, både för arbetssökande och enskilda företag, anser utredningen att det är viktigt att den offentliga arbetsförmedlingen tillhandahåller ett systemstöd för verksamheterna. Detta är också en viktig förutsättning för att mindre företag ska kunna konkurrera med större företag som normalt har helt andra resurser att lägga på sitt säkerhetsarbete. Förslag: Arbetsförmedlingen utformar, efter inhämtande av synpunkter från de kompletterande aktörerna, ett system med inbyggt integritetsskydd. Arbetsförmedlingen ska inte ha direktåtkomst till de kompletterande aktörernas uppgifter i databasen och omvänt ska inte de kompletterande aktörerna ha 6 Uppgifterna kan inte sparas i systemet. Regler om kompletterande aktörers behandling av personuppgifter direktåtkomst till Arbetsförmedlingens arbetsmarknadspolitiska databaser. Privacy by design i databas för kompletterande aktörer. Utredningen anser som nämnts att det är lämpligt att Arbetsförmedlingen tillhandahåller en databas där de kompletterande aktörerna kan behandla de uppgifter som behövs i deras uppdrag med att hjälpa arbetssökande till arbete. För denna behandling är de kompletterande aktörerna själva personuppgiftsansvariga (se vidare nedan). Det behövs också en kommunikationskanal för att få till stånd en säker elektronisk överföring av information mellan Arbetsförmedlingen och de kompletterande aktörerna. Tanken är att Arbetsförmedlingen ska ansvara för den tekniska säkerheten i det tillhandahållna systemet. Elektroniska lösningar kan hjälpa till att skydda den personliga integriteten. Genom att beakta integritetsskyddet redan när man bygger systemet s.k. privacy by design, finns det goda förutsättningar att uppnå ett bra skydd för personuppgifterna. Det finns även möjlighet att begränsa vad som får behandlas i systemet, ge vägledning, lämna information osv. Databasen ska vara uppbyggd så att de kompletterande aktörerna loggar in sig och får del av samt möjlighet att behandla ett individuellt uppdrag i taget. kan tillhandahålla ett sådant IT-system för behandling av personuppgifter där man bygger in säkerhet i systemet redan när detta skapas, dels en databas i vilken de kompletterande aktörerna kan behandla de uppgifter som är nödvändiga för att utföra det upphandlade uppdraget, dels en säker kanal för en snabb elektronisk kommunikation mellan kompletterande aktörer och Arbetsförmedlingen, finns det goda möjligheter att skapa ett bra skydd för enskildas personuppgifter. Arbetsförmedlingen ansvarar för den centrala förvaltningen av systemet och dess IT- skydd (dvs. förmedlingen är personuppgiftsansvarig för själva systemet med de skyldigheter som följer av 31 § personuppgiftslagen) och de kompletterande aktörerna ansvarar i vanlig ordning för vad de lägger in i sin del av systemet och är personuppgiftsansvariga för detta. Det är utredningens uppfattning att det är väsentligt att Arbetsförmedlingen tillhandahåller ett sådant systemstöd om små Regler om kompletterande aktörers behandling av personuppgifter företag ska kunna konkurrera med stora och om enskildas personliga integritet ska kunna skyddas på ett bra sätt. Det är i de kompletterande aktörernas verksamhet fråga om behandling av känsliga och hos Arbetsförmedlingen sekretessbelagda personuppgifter som enligt lag och upphandling kräver en mycket god säkerhet när de behandlas. Vid utredningens kontakter med kompletterande aktörer har de framfört önskemål om en förbättrad elektronisk kommunikation med Arbetsförmedlingen. Särskilt de mindre företagen har också ställt sig positiva till att förmedlingen tillhandahåller ett säkert system i vilket de kan behandla sina personuppgifter. Det har även framförts önskemål från aktörerna om att de vill vara med och påverka utformningen av systemet. Utredningen anser att det är lämpligt att databasens närmare utformning skapas efter inhämtande av synpunkter från de kompletterande aktörer som ska använda systemet. Ingen direktåtkomst till någon annans uppgifter i systemet. Utredningen vill avråda från en lösning som innebär att någon annan än den personuppgiftsansvarige får direktåtkomst till uppgifter i systemet. t.ex. skulle få direktåtkomst till uppgifter i databasen kan detta innebära att uppgifter som de kompletterande aktörerna lägger in i databasen blir allmänna handlingar hos myndigheten, eftersom dessa då anses förvarade hos myndigheten enligt 2 kap. 3 § tryckfrihetsförordningen. Detta är varken önskvärt eller lämpligt ur företagens verksamhetsperspektiv eller från integritetssynpunkt. Utredningen anser att ingen bör ha direktåtkomst till någon annans uppgifter i databasen. Det innebär att ingen information får göras tillgänglig för någon annan utan att den som ansvarar för uppgifterna själv för över uppgifterna. Det ska krävas en aktiv handling från den personuppgiftsansvarige för att uppgifterna ska komma någon annan till del. Med utgångspunkt i vad som nämnts i avsnitt 9 om att Arbetsförmedlingen inte ska ha en uppgiftsskyldighet till kompletterande aktörer7 bör inte heller de kompletterande aktörerna ha direktåt- 7 Utredningen föreslår att en sekretessbrytande regel införs som ger Arbetsförmedlingen rätt att till kompletterande aktör lämna uppgifter som anges i 6 § lagen om kompletterande aktörer om det är nödvändigt för att den kompletterande aktören ska kunna fullgöra sitt uppdrag. Inom den i lagstiftningen givna ramen är det Arbetsförmedlingen, inte den kompletterande aktören, som gör en bedömning av vilka uppgifter som är nödvändiga för att fullgöra uppdraget i det enskilda fallet. Regler om kompletterande aktörers behandling av personuppgifter komst till Arbetsförmedlingens arbetsmarknadspolitiska databas. Utredningen föreslår därför att ingen ska ha direktåtkomst till någon annans uppgifter i det föreslagna systemet. 12.2.3Integritetskänsliga uppgifter får endast behandlas i databasen. Förslag: Känsliga och ömtåliga personuppgifter samt uppgifter om närstående till arbetssökande får endast behandlas i den databas som den offentliga arbetsförmedlingen tillhandahåller. Detsamma gäller för löpande anteckningar som kompletterande aktörer för om de arbetssökande och deras livssituation i samband med uppdragets utförande. Effektivitet och skydd för integritetskänsliga personuppgifter Syftet med att Arbetsförmedlingen använder sig av kompletterande aktörer i sin verksamhet är bl.a. att dessa ska finna nya sätt att få arbetslösa i arbete. Aktörerna bör därför kunna använda sig av de arbetssätt som har utarbetats i verksamheten om arbetet ska bli effektivt. Mot detta ska vägas skyddet för den enskildes personliga integritet. Den databas som Arbetsförmedlingen tillhandahåller för de kompletterande aktörernas behandling av personuppgifter förväntas skapa ett mycket gott skydd vid denna behandling. Utredningen anser att de kompletterande aktörerna i sin verksamhet ska ha möjlighet att använda sina egna system vid behandling av sådana personuppgifter som typiskt sett inte är att anse som integritetskänsliga. Däremot får integriteten anses väga tyngre än effektiviteten när det gäller särskilt integritetskänslig information. Därför föreslår utredningen att känsliga och ömtåliga personuppgifter samt uppgifter om närstående till arbetssökande endast får behandlas i den databas för kompletterande aktörer som den offentliga arbetsförmedlingen tillhandahåller. Detsamma ska gälla avseende löpande anteckningar som kompletterande aktörer för om de arbetssökande och deras livssituation i samband med uppdragets utförande. Det är endast vissa känsliga personuppgifter enligt 13 § personuppgiftslagen (som rör hälsa eller avslöjar etniskt ursprung) som över huvud taget får behandlas enligt den föreslagna lagen om Regler om kompletterande aktörers behandling av personuppgifter Dessa känsliga uppgifter, som får behandlas av de kompletterande aktörerna om uppgifterna har lämnats inom ramen för uppdraget eller om uppgifterna är absolut nödvändiga för utförande av uppdraget, måste skyddas på allra bästa sätt. Utredningen anser att det bör ske genom att man begränsar var uppgifterna får behandlas.8 Samma begränsning av var uppgifterna får behandlas bör gälla för ömtåliga personuppgifter eftersom de är integritetskänsliga och även för uppgifter om närstående. Det får anses vara särskilt känsligt att behandla uppgifter om någon annan än den som är direkt berörd av registreringen. I Arbetsförmedlingens registerförordning uppställs därför särskilda krav på när uppgifter om närstående får behandlas.9 Löpande anteckningar som kompletterande aktörer för om de arbetssökande och deras livssituation i samband med uppdragets utförande kan också vara mycket integritetskänsliga. I Arbetsförmedlingens verksamhet är dessa s.k. daganteckningar ofta av integritetskänslig natur då de ger en ingående bild av den arbetssökande och dennes livssituation. Utredningen anser därför att motsvarande löpande anteckningar som förs i de kompletterande aktörernas verksamhet om de arbetssökande och deras livssituation också motiverar en sådan begränsning av var dessa uppgifter får antecknas. I daganteckningarna förekommer dessutom ofta uppgifter om närstående, t.ex. vård av barn eller att en arbetssökandes barn har behov av specialskola och att den arbetssökande därför inte kan söka arbete på annan ort. Vilka uppgifter får behandlas utanför databasen? För att kompletterande aktörer ska kunna använda sina egna affärsidéer och utnyttja sina system i uppdraget med att få de arbetssökande i arbete samt matcha arbetssökande med arbetsgivare, bör sådana personuppgifter som typiskt sett inte är att anse som integritetskänsliga få behandlas utanför databasen. Till denna kategori av uppgifter hör uppgifter som en arbetssökande normalt lämnar till en arbetsgivare i samband med en ansökan om anställning dvs. namn och kontaktuppgifter samt merituppgifter (CV- uppgifter). Det är här fråga om samma slags uppgifter som 8Jämför Arbetsförmedlingens registerlag 8–10 §§. 93 § Arbetsförmedlingens registerförordning Regler om kompletterande aktörers behandling av personuppgifter Arbetsförmedlingen enligt sin registerförordning10 får publicera i förmedlingens CV-databas, om den arbetssökande har samtyckt till behandlingen. De uppgifter som omnämns här är uppgifter om namn, person- eller samordningsnummer, adress, e-postadress, telefonnummer och andra kontakt- och identifieringsnummer samt önskemål om typ av arbete, arbetstid, arbetsort, anställningsform och varaktighet samt uppgifter om körkort och tillgång till bil, utbildning, arbetslivserfarenhet, tidigare arbetsgivare, språkkunskaper, speciell kompetens och andra uppgifter som har betydelse vid arbetssökning. En förutsättning är naturligtvis att dessa uppgifter inte utgör känsliga eller ömtåliga uppgifter eller uppgifter om närstående eftersom de då endast får behandlas i databasen för kompletterande aktörer. Utredningen anser att detta är en lämplig avvägning mellan effektivitet i de kompletterande aktörernas verksamhet och den personliga integriteten för de arbetssökande. Ovan nämnda uppgifter som får behandlas utanför databasen torde väl fylla det behov som de kompletterande aktörernas har av att behandla uppgifter i sina egna system. Med denna reglering kan de kompletterande aktörerna lägga in uppgifter i sina kandidatbaser, boka möten med hjälp av sina kalendrar och använda eventuella egna matchningsverktyg för internt bruk. För de fall en kompletterande aktör vill använda sig av CV-uppgifter och liknande för publicering på t.ex. en hemsida, får detta göras med stöd av personuppgiftslagen, som för en sådan publicering kräver samtycke från den enskilde. 12.2.4Tillåten behandling av känsliga och ömtåliga personuppgifter Förslag: Uppgifter om hälsa och etniskt ursprung får behandlas i databasen för kompletterande aktörer om uppgifterna har lämnats inom ramen för uppdraget eller om uppgifterna är absolut nödvändiga för utförandet av uppdraget. Detsamma gäller för uppgifter om sociala förhållanden samt för omdömen, slutsatser eller andra värderande upplysningar om en enskild (ömtåliga personuppgifter). 10 3 a § Arbetsförmedlingens registerförordning Regler om kompletterande aktörers behandling av personuppgifter Allmänt om behandling av integritetskänsliga personuppgifter Enligt personuppgiftslagen är det som huvudregel förbjudet att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller som rör hälsa eller sexualliv. Som framgått av tidigare avsnitt betecknas sådana uppgifter som känsliga personuppgifter. Det finns dock vissa redan i lagen angivna undantag från detta förbud, t.ex. då den enskilde uttryckligen samtyckt till behandlingen eller om behandlingen är nödvändig i vissa särskilt angivna fall. Som beskrivits i avsnitt 11.5.4, Gällande rätt – regler för personuppgiftsbehandling, får inte Arbetsförmedlingen enligt sin registerförfattning i en arbetsmarknadspolitisk databas behandla några andra känsliga personuppgifter än sådana som avslöjar etniskt ursprung eller rör hälsa. För dessa uppgifter samt för andra integritetskänsliga personuppgifter som rör sociala förhållanden eller utgör omdömen, slutsatser eller värderande upplysningar gäller vidare, utöver kraven på att uppgifterna ska ha lämnats i ett ärende eller vara nödvändiga för handläggningen av det, att den enskilde skriftligen har samtyckt till att uppgifterna behandlas i en arbetsmarknadspolitisk databas, om behandlingen inte sker i ett system där det finns möjlighet att tekniskt begränsa åtkomsten till uppgifterna.11 Sådana tekniska begränsningar beräknas ha införts i alla Arbetsförmedlingens system . Uppgifter om brott m.m. får behandlas i en arbetsmarknadspolitisk databas i ytterst begränsad omfattning och enbart inom ramen för Arbetsförmedlingens särskilda uppdrag att verka för den målgrupp av arbetssökande som är eller har varit föremål för åtgärder inom kriminalvården.12 I arbetsförmedlingens registerförfattningar (10 § i lagen och 10 § i förordningen) anges också särskilt vissa integritetskänsliga uppgifter om enskilda som inte får behandlas i en arbetsmarknadspolitisk databas. 1120 e § Arbetsförmedlingens registerförordning 129 a § Arbetsförmedlingens registerförordning Regler om kompletterande aktörers behandling av personuppgifter Kompletterande aktörer får i databasen behandla vissa integritetskänsliga personuppgifter som är absolut nödvändiga för uppdraget. Utgångspunkten för utredningen är att kompletterande aktörer ska ha samma möjligheter som Arbetsförmedlingen att behandla personuppgifter när de utför uppdrag av förmedlingskaraktär. Som anges ovan får Arbetsförmedlingen behandla uppgifter om hälsa, etniskt ursprung och sociala förhållanden. I Arbetsförmedlingens registerförordning görs ytterligare begränsningar beträffande behandlingen av uppgifter som rör hälsa eller sociala förhållanden. Bestämmelsen innehåller en uttömmande katalog över vilka uppgifter om hälsa och sociala förhållanden som får registreras i databasen.13 För att behandling av uppgifter av denna typ som lämnats av någon annan än den arbetssökande ska vara tillåten krävs att uppgifterna lämnats skriftligen, vilket utesluter behandling av för ärendet relevanta uppgifter som inhämtats genom t.ex. telefonsamtal med arbetsgivare eller andra samverkanspartners. Motsvarande begränsningar görs inte avseende etniskt ursprung. Katalogen i bestämmelsen innehåller ingen generalklausul som ger Arbetsförmedlingen möjlighet att behandla uppgifter som lämnats eller är absolut nödvändiga i ett ärende. Punkterna i katalogen går till viss del in i varandra och Arbetsförmedlingen har uppgett att den ofta leder till svåra tillämpnings- och gränsdragningsproblem. Katalogen begränsar särskilt möjligheten att behandla uppgifter som sociala förhållanden. Kunskap om en arbetssökandes sociala förhållanden kan i många fall vara av stor vikt vid bedömningen av behovet av vilka insatser som behövs för att hjälpa en arbetssökande ur en arbetslöshetssituation. Dessa delar av ett ärende hanteras därför manuellt inom Arbetsförmedlingen. Utredningens utgångspunkt är att de kompletterande aktörerna ska få behandla de uppgifter som är absolut nödvändiga för att fullgöra uppdraget från den offentliga arbetsförmedlingen. Regleringen måste också vara tydlig och lätt att tillämpa. Det är därför inte lämpligt att överföra bestämmelsen i denna form till den föreslagna lagen om kompletterande aktörer. En hantering av uppgifterna kan medföra en risk för spridning som är större än den i ett väl utformat datasystem. Kompletterande aktörer bör därför i databasen få behandla de uppgifter om hälsa, etniskt ursprung och 13 9 § Arbetsförmedlingens registerförordning Regler om kompletterande aktörers behandling av personuppgifter sociala förhållanden som har lämnats i uppdraget eller som är absolut nödvändiga för utförandet av detta. Detsamma bör gälla för uppgifter om närstående. Med absolut nödvändigt avses att den person som registrerar uppgiften i samband med registreringen noggrant ska överväga behovet av att behandla uppgiften. Detta innebär att de kompletterande aktörerna får möjlighet att behandla vissa känsliga personuppgifter i databasen som Arbetsförmedlingen endast får behandla manuellt. Vid införandet av Arbetsförmedlingens registerförfattning (prop. 1993/94:235 s. 24) gjordes medvetet en begränsning av möjligheten att registrera muntliga uppgifter från annan än sökanden själv. Dessutom skulle det krävas samtycke för behandlingen, dvs. en sådan registrering ansågs vara mycket integritetskänslig. Utredningen föreslår ändå att de kompletterande aktörerna ska få behandla de uppgifter om bl.a. hälsa och etniskt ursprung som har lämnats i uppdraget eller som är absolut nödvändiga för utförandet av detta. Som nämnts ovan anser utredningen att en hantering av uppgifterna kan medföra en risk för spridning som är större än den i ett väl utformat datasystem och utredningen föreslår att det endast är i den av Arbetsförmedlingen tillhandahållna databasen som dessa uppgifter får behandlas. Den strängare begränsningen avseende behandling av känsliga personuppgifter som gäller för Arbetsförmedlingen är bl.a. föranledd av att det hos denna myndighet behandlas väldigt många och ofta integritetskänsliga personuppgifter som det bl.a. finns möjlighet att göra känsliga sammanställningar av. Vidare finns det på en så stor myndighet risk för att många personer får tillgång till uppgifterna om inte behörighetssystemen fungerar ordentligt. De kompletterande aktörerna kommer i databasen endast åt uppgifter om en arbetssökande åt gången och de kompletterande aktörerna har betydligt färre anställda som kan komma i kontakt med uppgifterna. 12.2.5Uppgifter som inte får behandlas i databasen Förslag: I databasen får inte sådana personuppgifter behandlas som avslöjar politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening samt personuppgifter som rör sexualliv.