sou · H2B367 · 2014-09-19 00:00:00 — 16 § Personuppgifter ska gallras så snart uppgifterna inte längre be- hövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. 17 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag eller föreskrifter som meddelats i anslutning till denna lag. Denna lag träder i kraft . Uppgifter som lämnats ut i fall som avses i 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forskning, statistik eller i enlighet med 6 § lagen (2014:00) om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen. lag om ändring i lagen (2001:99) om den officiella statistiken Härigenom föreskrivs att 16 och 17 §§ lagen (2001:99) om den officiella statistiken ska ha följande lydelse. När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera upp- gifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till ska använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna. En sådan åtgärd får också vidtas när uppgifterna ska behandlas enligt 6 § lagen (2014:00) om behandling av personuppgifter inom verksam- heten för Inspektionen för social- försäkringen. Om en uppgift rättats, blockerats eller utplånats hos den statistik- ansvariga myndigheten skall myndigheten vidta de åtgärder som behövs för att uppgifterna skall kunna ändras hos den som uppgifterna lämnats ut till. Uppgifter som lämnats ut i fall som avses i 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forsk- ning eller statistik. Denna lag träder i kraft . lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Härigenom föreskrivs att 5 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska ha följande lydelse. Arbetsförmedlingen får behandla personuppgifter för tillhanda- hållande av information som behövs inom 1.Försäkringskassans, Centrala eller arbetslöshetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, 2.Skatteverkets verksamhet som underlag för beslut om och kontroll av skatt, 3.sådan verksamhet vid Inspektionen för arbetslöshets- försäkringen som avser tillsyn och utfärdande av intyg enligt 48 § lagen (1997:238) om arbetslöshetsförsäkring, 4. verksamhet vid Inspektionen verksamhet som underlag för be- dömning enligt 4 kap. utsök- ningsbalken av i vilken utsträck- ning en gäldenär har utmätnings- beslut om och kontroll av bedömning enligt 4 kap. utsök- ekonomiskt bistånd enligt 4 kap. ningsbalken av i vilken utsträck- socialtjänstlagen (2001:453), ning en gäldenär har utmät- het som underlag för beslut om samhet som underlag för beslut om och kontroll av ekonomiskt bistånd enligt 4 kap. social- tjänstlagen (2001:453), verksamhet enligt uppdrag från het som underlag för beslut om verksamhet enligt uppdrag från Arbetsförmedlingen får även behandla personuppgifter för att tillhandahålla information till eller regeringen eller till annan för att fullgöra uppgiftslämnande i enlighet med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). Denna lag träder i kraft . lag om ändring i socialförsäkringsbalken (2010:110) Härigenom föreskrivs i fråga om socialförsäkringsbalken att det ska införas en ny paragraf, 114 kap. 23 a §, med följande lydelse. ringen får medges direktåtkomst till databasen i den utsträckning det behövs för ändamål som anges i 9 § Denna lag träder i kraft . förordning om ändring i förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet Regeringen föreskriver att 7 b § förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet ska ha följande lydelse. På begäran av Inspektionen På begäran av Inspektionen för för socialförsäkringen ska läm- socialförsäkringen ska lämnas ut nas ut uppgifter som inspek-tion- uppgifter som inspektionen behöver en behöver för sin systemtillsyn för sin systemtillsyn och effektivitets- 2 § första stycket 3 och 3 § för- ordningen (2009:602) med in- struktion för Inspektionen för socialförsäkringen. Denna förordning träder i kraft . förordning om ändring i förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Regeringen föreskriver i fråga om förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten dels att det i förordningen ska införas en ny paragraf, §, dels att 12 § ska ha följande lydelse, Arbetsförmedlingen ska på be- socialförsäkringen de uppgifter som Personuppgifter som får behandlas enligt 6 § får lämnas ut på medium för automatiserad behandling till , och arbetslöshetskassorna. Personuppgifter som får behandlas enligt 6 a § får lämnas ut på medium för automatiserad behandling till . Personuppgifter som får behandlas enligt 7 a och 7 b §§ får lämnas ut på medium för automatiserad behandling till Inspektionen för arbetslöshetsförsäkringen. Personuppgifter som får be- handlas enligt § får lämnas ut på medium för automatiserad behandling till Inspektionen för socialförsäkringen. Denna förordning träder i kraft . förordning om ändring i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration Regeringen föreskriver att 5 a § förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration ska ha följande lydelse. sionsmyndigheten ska på begäran sionsmyndigheten ska lämna In- lämna Inspektionen för socialför- säkringen de uppgifter som in- spektionen behöver för sin sys- behöver för sin systemtillsyn och ning enligt 2 § första stycket 1 och (2009:602) med instruktion för Denna förordning träder i kraft . förordning om ändring i förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen Regeringen föreskriver att två nya paragrafer ska införas i förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen, 7 a och 7 b §§, med följande lydelse. Den särskilda integritets- skyddsfunktion som ska finnas enligt 9 § lagen (2014:00) om be- handling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen ska ha till uppgift att 1.se till att personuppgifter lagras på ett säkert sätt, 2.förse uppgifter som är direkt hänförliga till enskilda med en beteckning så att när de görs tillgängliga i ett tillsyns- eller granskningsärende inte är direkt hänförliga till enskilda, 3.bereda inspektionen direkt- åtkomst till uppgifter i socialför- säkringsdatabasen, och 4.administrera behörigheter för befattningshavare i tillsyns- eller granskningsärenden. Befattningshavare vid integri- tetsskyddsfunktionen ska ha den särskilda kompetens som upp- draget kräver. Den beredning i särskild ord- ning som ska äga rum enligt 10 § lagen (2014:00) om behandling av personuppgifter inom verk- samheten för Inspektionen för socialförsäkringen ska utföras av en grupp bestående av minst fyra och högst sex personer. Av dessa ska två ha särskild kompetens rörande persondataskydd, varav den ena särskild erfarenhet beträffande forskning och utvärdering. Ledamöterna utses av inspek- tionen för längst . Denna förordning träder i kraft . förordning om ändring i offentlighets- och sekretessförordningen (2009:641) Regeringen föreskriver att 7 § offentlighets- och sekretess- förordningen (2009:641) i fråga om Inspektionen för social- försäkringen ska ha följande lydelse. Sekretess gäller hos följande myndigheter avseende de under- sökningar som anges nedan för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Föreskrifterna i 24 kap. 8 § tredje stycket första meningen och fjärde stycket offentlighets- och sekretesslagen (2009:400) gäller, om inte en längre gående begränsning i sekretessen anges i det följande. Denna förordning träder i kraft . Reformeringen av socialförsäkringens administration inleddes . Då bildades genom att de allmänna försäkringskassorna slogs samman med . I den tidigare organisationen ansvarade de allmänna försäkringskassorna för handläggningen av socialförsäkringsärenden. verkade för att de allmänna försäkringskassorna skulle tillämpa social- försäkrings- och bidragssystemen likformigt och rättssäkert. När upphörde integrerades den tillsyn som den myndigheten utövat över de allmänna försäkringskassorna i den nya myndigheten . I budgetpropositionen (prop. 2006/07:1, finansplan, s. 46) konstaterade regeringen att inte bör utöva tillsyn över sig själv. Regeringen noterade vidare att det var ange- läget att rättssäkerheten och effektiviteten i socialförsäkringsadmi- nistrationen kontinuerligt är föremål för en objektiv granskning. tillsatte regeringen en särskild utredare för att göra en översyn av tillsynen inom socialförsäkringsområdet (dir. 2007:24). Regeringen konstaterade i direktiven att den enskilde ska ha samma rätt till förmåner oavsett var i landet han eller hon är bosatt och lyfte fram att myndigheters verksamheter måste vara anpassade till varandra för att den enskilde inte ska riskera att komma i kläm. Regeringen angav att administrationen ständigt måste utvärderas och prövas för att nå bästa möjliga resultat. Utredningen av tillsyn över socialförsäkringsområdet lämnade sitt betänkande En ny myndighet för tillsyn och effektivitetsgransk- ning av socialförsäkringen (SOU 2008:10) till regeringen Utredningen föreslog att en ny myndighet – Inspektionen över socialförsäkringen – skulle inrättas med uppdrag att genom systemtillsyn och effektivitetsgranskning stärka tilltron till social- försäkringen. Utredningen underströk i sitt betänkande att myndig- hetens uppgift skulle vara att genom sin tillsyn ge underlag för regeringens styrning. För att beskriva detta använde utredningen begreppen systemtillsyn, verksamhetstillsyn, effektivitetsgranskning samt effektgranskning. Utredningen konstaterade att tillsynen skulle handla om att värdera och bedöma om myndigheterna inom socialförsäkringsom- rådet enhetligt och korrekt tillämpar de lagar och förordningar som styr socialförsäkringen. Granskningarna skulle avse om stödsystem och verksamhetsprocesser bidrar till att myndigheten på ett korrekt och effektivt sätt genomför sin verksamhet och uppnår de mål som regering och riksdag satt upp. Beträffande effektivitets- granskning fann utredningen att uppdraget skulle omfatta såväl effektivitet som effekt. Granskningen av effektivitet skulle syfta till att ge underlag för förändringar som bidrar till förnyelse och bättre resurshushållning. Effektgranskningen skulle syfta till att ge rege- ringen återkoppling huruvida verksamheten inom socialförsäk- ringsområdet genererar förväntade resultat. I sitt betänkande drog utredningen vidare slutsatsen att myndig- heten kunde behöva ta del av uppgifter från andra myndigheter för att kunna fullgöra sitt tillsynsuppdrag. Enligt utredningen kunde myndigheten behöva granska enskilda ärenden, exempelvis genom stickprov, i syfte att på en systematisk nivå pröva att verksamhets- processerna fungerar som de ska och om den granskade myndig- heten uppnår uppställda mål. Utredningen noterade dock att den inte hade någon fullständig överblick över vilka uppgifter som typiskt sett kunde komma att bli aktuella för myndigheten att ta del av och att behovet var beroende av hur myndighetens verksam- het slutligen blev utformad. Utredningen konstaterade vidare att berörda ansvarsförhållanden borde regleras tydligt för att den nya myndighetens verksamhet skulle stå i samklang med rådande styr- system och andra myndigheters verksamheter. Samtliga remissinstanser ansåg att systemtillsynen och effektivitetsgranskningen inom social- försäkringsområdet behövde stärkas. En sammanställning av remiss- yttrandena finns tillgänglig hos (S2008/908). beslutade regeringen kommittédirektiv för inrättande av Inspektionen för socialförsäkringen (dir. 2008:136), i det följande kallad ISF. Enligt direktiven skulle ISF:s huvudupp- gifter vara att utifrån risk och väsentlighet inom socialförsäkrings- området granska hanteringen av ärenden och rutiner för handlägg- ning – systemtillsyn – samt genomföra effektivitetsgranskningar. Regeringen konstaterade att effektiviteten i administrationen och försäkringen inte enbart var beroende av enskilda myndigheters arbete eller socialförsäkringslagstiftningens utformning utan också av hur angränsande områden förvaltar sitt ansvar. Regeringen fann detta vara av betydelse för både processer som gränsar till socialför- säkringsområdet och processer som ska fungera över gränssnitten mellan områden. 2.3Skrivelser om behov av en registerförfattning Utredningen för inrättandet av Inspektionen för socialförsäkringen och ISF pekade i skrivelser till regeringen respektive (dnr S2009/4622/SF och S2009/5373/SF) på behovet av en särskild registerförfattning för ISF:s verksamhet. Enligt skrivelserna skulle ISF – för att kunna utföra sitt uppdrag på ett bra och effektivt sätt – behöva ha möjlighet att behandla en stor mängd personupp- gifter, som till betydande del bedömdes vara känsliga i personupp- giftslagens (1998:204, förkortad PUL) mening. Inom socialförsäk- ringsområdet är t.ex. uppgifter som rör hälsa vanligt förekommande. För vissa tillsyns- och granskningsinsatser bedömdes det vidare vara av betydelse att få ta del av uppgifter om enskilda personers etniska ursprung och att få behandla andra personuppgifter av integritetskänslig natur. Enligt skrivelserna förutsatte ISF:s tillsyns- och granskningsuppdrag vidare att information kan utby- tas på ett smidigt och enkelt sätt mellan ISF och de myndigheter som ISF ska granska. Mot denna bakgrund gjordes i skrivelserna bedömningen att ISF bör medges direktåtkomst till Försäkrings- kassans, och databaser i den utsträckning som det skulle behövas för myndighetens tillsyns- och granskningsarbete. ISF påpekade också i sin skrivelse att det kunde finnas behov av att bygga upp en egen databas för att i denna kunna kombinera data från olika register. 2.4Promemorian Behandling av personuppgifter vid Inspektionen för socialförsäkringen, m.m. Med utgångspunkt från de skrivelser som kommit in till regeringen tillsattes en arbetsgrupp inom med uppgift att analysera ISF:s behov av att kunna behandla personuppgifter och att – om det ansågs nödvändigt – föreslå en särskild lagreglering för behandlingen av personuppgifter i tillsynsverksamheten vid ISF. presenterade arbetsgruppen promemorian Behandling av personuppgifter vid Inspektionen för socialförsäk- ringen, m.m. (Ds 2011:4). Arbetsgruppen fann att ISF skulle behöva genomföra omfat- tande register- och aktstudier för att kunna fullfölja sitt uppdrag och att ISF då skulle behöva behandla känsliga personuppgifter. Arbetsgruppen föreslog mot denna bakgrund en lag om behandling av personuppgifter vid ISF. Lagen, som föreslogs gälla helt eller delvis automatiserad behandling av personuppgifter och även viss behandling av sådana uppgifter, skulle ge de från integri- tetssynpunkt viktiga ramarna för ISF:s tillsynsverksamhet. Det föreslogs att ISF skulle vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför och att ISF skulle få behandla personuppgifter endast om det behövdes för vissa i den föreslagna lagen angivna ändamål. Känsliga personupp- gifter samt uppgifter om lagöverträdelser m.m. skulle enligt för- slaget få behandlas om uppgifterna hade behandlats hos ett tillsyn- sobjekt, dock att personuppgifter föreslogs få sambearbetas endast inom ett projekt. Arbetsgruppen föreslog även att det inom ISF:s verksamhet skulle få finnas en samling personuppgifter som med hjälp av automatiserad behandling kan användas särskilt för lagens ändamål (tillsynsdatabas). För denna databas föreslogs särskilda skyddsregler. Vidare föreslogs en särskild bestämmelse om lättnader i informationsskyldigheten för ISF när personuppgifter som inte direkt kan hänföras till en enskild person inhämtas, samt särskilda bestämmelser om rättelse, skadestånd, gallring och it-säkerhet. I socialförsäkringsbalken föreslogs ändringar för att medge ISF direktåtkomst till och Pensionsmyndighetens uppgiftssamlingar avseende verksamhets- styrning, resultatredovisning, utvärdering och tillsyn samt fram- ställning av statistik. Direktåtkomsten föreslogs avse personupp- gifter på löpnummernivå. Vidare föreslogs en föreskrift om uppgiftsskyldighet för Arbetsförmedlingen. En remiss- sammanställning finns tillgänglig hos (dnr S2011/993/SF). Regeringen fann att det av analysen i promemorian framgick att ISF har behov av att behandla ett stort antal personuppgifter, varav vissa kan antas vara känsliga, och att ISF inte har tillräckliga förut- sättningar för att kunna behandla personuppgifter. skulle de förslag som lämnades i promemorian enligt vissa remissinstan- ser, däribland ISF, riskera att försämra ISF:s möjligheter att genom- föra myndighetens uppdrag. Inspektionen för arbetslöshets- försäkringen (IAF) anförde i sitt remissyttrande att lagförslagen inte hade utformats så att de gav ISF möjlighet att behandla person- uppgifter inom hela sitt granskningsområde såsom detta har formulerats i myndighetens instruktion. Vidare framförde IAF att de begränsningar beträffande möjligheten att behandla sådana känsliga personuppgifter som avses i 13 § PUL och uppgifter som avses i 21 § samma lag som föreslagits i promemorian allvarligt skulle försvåra IAF:s verksamhet om motsvarande reglering funnits i IAF:s registerlag. Datainspektionen anförde i sitt remisssvar att ISF:s personuppgiftsbehandling medför stora integritetsrisker och att de begränsningar som föreslagits i promemorian – t.ex. avseende ändamål, känsliga personuppgifter, sökbegrepp och begränsningen i behandlingen av personuppgifter som direkt kan hänföras till den enskilde – var viktiga för att stärka den enskildes integritet. Förslagen i promemorian (Ds 2011:4) föranledde inte lagstiftning. 3 Vårt uppdrag och arbete Vi har fått i uppdrag att analysera behovet av en särskild lag- reglering för behandling av personuppgifter för tillsyns- och granskningsverksamheten vid Inspektionen för socialförsäkringen (ISF). Om en sådan lagreglering bedöms nödvändig ska vi lämna förslag till lagtext med nödvändiga kommentarer och även föreslå vilka eventuella ändringar i andra författningar som kan behövas. Vi ska vidare beakta den pågående översynen av såväl som EU:s dataskyddsreglering. I uppdraget ingår att särskilt analysera de behov ISF kan ha av behandla känsliga personuppgifter, få tillgång till personuppgifter från andra myndigheter än , och , och att, vid sådan tillgång, kunna behandla personuppgifter som lämnats från dessa myndigheter, få direktåtkomst till uppgifter i socialförsäkringsdatabasen, och kunna sambearbeta uppgifter som är direkt hänförliga till enskilda. Därutöver har vi fått tilläggsdirektiv med förlängd tid för upp- dragets utförande. Uppdraget ska redovisas senast den Regeringens direktiv (dir. 2013:83 och 2014:89) finns intagna i betänkandet som bilagor. Vårt uppdrag och arbete Vårt första sammanträde hölls . Därefter har ytterligare åtta sammanträden hållits. Sammanträdena har gällt de frågor som behandlas i betänkandet. Även informella kontakter har förekommit inom utredningen. Ett möte har hållits med inbjudna externa representanter från Inspektionen för socialförsäkringen, , , , , , Inspektionen för arbetslöshetsförsäkringen och Datainspektionen. Därvid har samråd skett rörande utformningen av våra förslag i betänkandet utifrån både tekniska och administrativa aspekter. Samråd har skett med respektive Social- styrelsen angående de av våra förslag som särskilt berör dessa båda myndigheter. På sekretariatsnivå har under arbetets gång skett visst samråd med (U 2013:01). Samråd har vidare skett med (Ju 2011:11) och med de övriga myndigheter som anges i direktiven. Sekretariatet har vidare deltagit i en konferens med anknytning till uppdraget. Arbetet har bedrivits med aktivt deltagande av och i samråd med de sakkunniga och experterna. Med hänsyn till detta redovisas arbetet med användande av vi-form, även om inte fullständig samsyn råder i alla delar. Betänkandet innehåller utöver detta kapitel våra författningsförslag (kap. 1), en bakgrundsbeskrivning (kap. 2), en genomgång av regler om sekretess (kap. 4) och person- dataskydd (kap. 5), en redovisning av ISF:s uppdrag och behov av att behandla personuppgifter samt behovet av en reglering (kap. 6), våra överväganden rörande en ny registerlags tillämpnings- område, rätten att motsätta sig behandling, förhållandet till Vårt uppdrag och arbete personuppgiftslagen (1998:204), personuppgiftsansvaret, personuppgiftsombud och regleringen av ändamål (kap. 7), våra överväganden avseende behandling av känsliga personupp- gifter (kap. 8), en redovisning av våra förslag om inbyggt persondataskydd vid ISF (kap. 9) våra överväganden beträffande direktåtkomst och annat elektroniskt utlämnande (kap. 10), våra överväganden rörande bestämmelser om förbud mot be- handling i syfte att identifiera enskilda personer, information, bevarande och gallring samt rättelse och skadestånd (kap. 11), en redovisning av frågan om införandet av en uppgifts- skyldighet för Arbetsförmedlingen i förhållande till ISF (kap. 12), våra överväganden avseende hanteringen av personuppgifter som omfattas av statistiksekretess (kap. 13), våra överväganden rörande ikraftträdande (kap. 14) konsekvenser av vårt förslag (kap. 15), en författningskommentar (kap. 16). Vissa upprepningar förekommer i bl.a. kapitel 4, 9 och 10. Avsikten med detta är att underlätta separat läsning av respektive kapitel utan alltför extensiva hänvisningar till andra delar av betänkandet. 4.1Allmänt om handlingsoffentlighet och sekretess Enligt 2 kap. 1 § tryckfrihetsförordningen (förkortad TF) ska varje svensk medborgare ha rätt att ta del av allmänna handlingar. Samma rätt har enligt 14 kap. 5 § TF utländska medborgare förutsatt att rätten inte har begränsats i lag. Några sådana begränsningar har inte gjorts. I TF regleras även vad som avses med allmänna handlingar. Huvud- regeln är att uppgifter i allmänna handlingar är offentliga. Offentlig- hets- och sekretesslagen (2009:400, förkortad OSL) innehåller bestämmelser som innebär begränsningar i den rätt för enskilda att ta del av allmänna handlingar som följer av TF. Med sekretess menas enligt 3 kap. 1 § OSL ett förbud att röja en uppgift, vare sig det sker muntligen, genom utlämnande av en allmän handling eller på något annat sätt. Enligt 6 § förvaltningslagen (1986:223) ska varje myndighet lämna andra myndigheter hjälp inom ramen för den egna verksamheten. Det innebär att en myndighet både kan och ska utbyta information inom sitt verksamhetsområde. Rör det sig om uppgifter för vilka en sekretessbestämmelse enligt OSL är tillämplig, gäller sekretessen som huvudregel även gentemot andra myndigheter. Som framgår av 8 kap. 1 § OSL får en uppgift för vilken sekretess gäller inte röjas för enskilda eller för andra myndigheter, om inte annat anges i OSL eller i lag eller förordning som OSL hänvisar till. Den myndighet som från en annan myndighet får en begäran om uppgifter eller handlingar ska ta ställning till om uppgifterna får lämnas ut. För det fall myndigheten finner att en regel om sekretess är tillämplig på uppgifterna har myndigheten att bedöma