sou · H2B367 · 2014-09-19 00:00:00 — Personuppgifter- na får därefter behandlas för andra ändamål endast om de enligt 9 § första stycket d PUL inte är oförenliga med de ändamål för vilka uppgifterna samlades in (finalitetsprincipen). I de fall en tänkt behandling inte omfattas av de ursprungliga ända- målen måste det alltså prövas om det nya ändamålet inte är oförenligt med de ursprungliga ändamålen. Av 9 § andra stycket följer att en behandling av personuppgifter för historiska, statistiska eller veten- skapliga ändamål inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. Det anges inte i 9 § PUL hur detaljerat ändamålen måste anges för att lagens krav ska uppfyllas. I doktrinen har ansetts att ändamålen i vart fall måste ha en viss grad av precision; annars kan man knappast bedöma om personuppgifterna är adekvata eller relevanta eller om för många personuppgifter behandlas (och , Person- uppgiftslagen, En kommentar, 2011, s. 199). Med hänsyn till ovanstående principer bör den nya lagen inne- hålla en uttrycklig reglering av tillåtna ändamål för personuppgifts- behandlingen. ISF:s verksamhet kommer att behöva anpassas efter utvecklingen på socialförsäkringsområdet. För att den lag som vi föreslår inte ska behöva ändras vid varje justering i myndighetens uppdrag, bör en reglering av ändamål i den föreslagna lagen formu- leras i linje med ISF:s kärnuppdrag, t.ex. så som det har beskrivits i myndighetens instruktion. Mot denna bakgrund har vi övervägt möjligheten att föreskriva att ISF ska få behandla personuppgifter om det behövs för att full- En ny lag om behandling av personuppgifter göra inspektionens uppdrag så som det formulerats i 2 och 3 §§ instruktionen, dvs. vid systemtillsyn över och effektivitetsgransk- ning av den verksamhet som bedrivs av , Pensions- myndigheten i de delar som inte står under tillsyn, och , i de delar som avser beslut om pensions- grundande inkomst, samt av verksamheter som gränsar till social- försäkringsområdet och samverkansinsatser med anknytning till socialförsäkringsområdet. ISF har emellertid framhållit att myndighetens uppdrag har kommit att få ett innehåll som kan framstå som bredare än vad som direkt framgår av ovan nämnda bestämmelser. I praktiken har enligt ISF 1 § instruktionen kommit att betraktas som en fri- stående grund för såväl vissa av de uppdrag som regeringen gett ISF som för ett antal egeninitierade tillsyns- och granskningsärenden. De undersökningar som inspektionen genomför och som syftar till att på ett mer övergripande plan undersöka effekter av förändringar inom socialförsäkringsområdet och om utnyttjandet av socialför- säkringen får enligt ISF:s tolkning anses ske med direkt stöd av 1 § instruktionen. Det saknas anledning att anta att regeringen skulle vilja förändra ISF:s mandat att utföra sådana undersökningar. Myndighetens verksamhet kommer att behöva anpassas efter ut- vecklingen på socialförsäkringsområdet och en ändamålsbestäm- melse måste omfatta hela den verksamhet som ISF ska utöva. Av vad som framkommit beträffande karaktären på ISF:s uppdrag innebär detta enligt vår bedömning att ändamålsbestämmelsen även behöver omfatta ISF:s uppgift att på ett mer övergripande plan granska utvecklingen på socialförsäkringsområdet. Uppdraget har närmare beskrivits i 7 § offentlighets- och sekre- tessförordningen (2009:641, förkortad OSF). Denna bestämmelse får enligt ISF anses utgöra en tolkning av myndighetens instruktion. Enligt denna bestämmelse gäller statistiksekretess hos ISF när inspek- tionen genomför undersökningar av rättstillämpning, handläggning och administration inom socialförsäkringsområdet och inom verk- samheter med direkt anknytning till socialförsäkringen, samt genom- för undersökningar om effekter av förändringar inom socialför- säkringsområdet och om utnyttjandet av socialförsäkringen. Enligt ISF sker behandling av personuppgifter främst inom ramen för denna typ av undersökningar. Vi föreslår en ändamålsbestämmelse som ansluter till 7 § OSF. Ändamålen för ISF:s personuppgiftsbehandling föreslås därför bli avgränsade så att behandling av personuppgifter ska vara tillåten En ny lag om behandling av personuppgifter när ISF inom ramen för sitt uppdrag genomför undersökningar av rättstillämpning, handläggning och administration inom socialför- säkringsområdet och inom verksamheter med direkt anknytning till socialförsäkringen, samt genomför undersökningar av effekter av förändringar inom socialförsäkringsområdet och om nyttjandet av socialförsäkringen liksom av system som gränsar till socialför- säkringen. På så sätt möjliggörs personuppgiftsbehandling inom ISF:s tillsyns- och granskningsverksamhet i den utsträckning som varje enskilt uppdrag kan komma att kräva. Formuleringen system som gränsar till socialförsäkringen utgör ett tillägg i 7 § OSF i förhållande till den nuvarande formuleringen i sista stycket andra spalten avseende ISF. Bestämmelsen i 7 § OSF är nu utformad så att den inte täcker ISF:s undersökningar av nyttjandet av olika förmånssystem som gränsar mot socialförsäkringen. Frågan om hur angränsande system nyttjas har emellertid stor inverkan på nyttjandet av socialförsäkringen och det har sedan ISF:s undersökningar kom att omfattas av statistiksekretess genom en ändring i 7 § OSF visat sig att ISF har behov av att kunna undersöka även detta för att kunna dra slutsatser av hur socialförsäkringen nyttjas och utvärdera effekter av vidtagna regeländringar eller andra åtgärder. Sådana undersökningar kan behöva göras för att analysera hur nyttjandet av socialförsäkringen påverkas av andra system, t.ex. nyttjandet av kommunernas stöd till funktionshindrade eller äldre, eller nyttjandet av tjänstepensioner. Vi föreslår att punkten 2 i andra spalten avseende ISF i 7 § OSF delas upp i två punkter för att göra bestämmelsen mer lättläst. Vidare föreslås att ordet utnyttjandet byts ut mot nyttjandet. Slutligen föreslås att det av den föreslagna punkten 3 ska framgå att även undersökningar av system som gränsar till socialförsäkringen omfattas av statistiksekretess. Med hänsyn till variationen i ISF:s verksamhet, bl.a. när det gäller de uppdrag som regeringen från tid till annan lämnar inom ramen för ISF:s instruktion, har vi funnit att det knappast är genomför- bart att uttömmande ange vilka uppgiftssamlingar eller uppgifter som ISF ska få behandla. Vi föreslår därför inte någon detaljreglering av vilka slag av uppgifter som ska få finnas inom ISF:s verksamhet. ISF behöver även kunna utföra sitt uppdrag enligt 4 § instruk- tionen att i sin systemtillsyn och effektivitetsgranskning samverka med de tillsynsmyndigheter som kan komma att beröras av ISF:s tillsyns- eller granskningsverksamhet. I takt med att behandlingen av uppgifter i allt högre grad förs över till elektronisk miljö kan ISF ha behov av att utbyta personuppgifter om enskilda genom auto- En ny lag om behandling av personuppgifter matiserad behandling av personuppgifter, t.ex. i e-postadresser o.l. ISF bör därför även få behandla personuppgifter om det behövs för att inspektionen vid sin systemtillsyn och effektivitetsgranskning ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. Det är ett starkt allmänt intresse att ISF ska kunna bedriva sin ålagda verksamhet på ett ändamålsenligt sätt, innefattande automa- tiserad behandling av personuppgifter. Det gäller både när myndig- heten med författningsstöd utför sitt uppdrag inom ramen för regeringsuppdrag och egeninitierade projekt. Syftet med en ända- målsbestämmelse är att ange en yttersta ram inom vilken person- uppgifterna får behandlas. Vi kan konstatera att ovan föreslagna primära ändamål, så som ofta är fallet beträffande registerförfatt- ningarna, i princip är identiska med föreslaget tillämpningsområde, se avsnitt 7.1. Skälet till detta är att ISF enligt vår mening ska ges möjlighet att behandla personuppgifter i den utsträckning som behövs för att utföra de uppgifter som myndigheten är ålagd att utföra. En reell avgränsning av de ändamål för vilka ISF får behandla personuppgifter kan emellertid uppnås genom en strikt intern kon- troll- och beslutsordning, se vidare avsnitt 9. 7.6.2Sekundära ändamål och finalitetsprincipen Vårt förslag: Personuppgifter ska få behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt ska 9 § första stycket d och andra stycket PUL gälla. Det kan utöver de primära ändamålen finnas allmänna intressen som motiverar att en myndighet ska få behandla personuppgifter även för andra ändamål än de som primärt ligger inom ramen för myndighetens egen verksamhet. Det kan exempelvis handla om att behandla personuppgifter för att lämna ut dem till en annan myn- dighet i syfte att den myndigheten ska kunna fullgöra sitt uppdrag. Sådana ändamål brukar kallas för sekundära ändamål. Det kan inte anses ingå i ISF:s kärnuppdrag att bistå myndigheter eller andra med personuppgifter och annan data. Huvudprincipen bör vara att de personuppgifter ISF registrerar och behandlar som under- lag för sin tillsyn och granskning ska stanna hos myndigheten. En ny lag om behandling av personuppgifter kan dock finnas fall då det inte kan uteslutas att det anses motiverat att ISF får behandla personuppgifter för utlämnande till andra. Det kan handla om att lämna ut uppgifter för t.ex. statistik- eller forsk- ningsändamål till andra myndigheter eller forskare. En förutsättning för ett sådant utlämnande är att det kan förenas med gällande regler om sekretess. Ett utlämnande av personuppgifter ur allmänna handlingar med stöd av tryckfrihetsförordningen kan ske utan att utlämnandet behöver anges som ett särskilt ändamål för vilket personuppgifts- behandling är tillåten (jfr 8 § PUL). Ett sådant utlämnande förut- sätter dock att hinder inte föreligger till följd av sekretess. Av 6 kap. 5 § offentlighets- och sekretesslagen (2009:400, för- kortad OSL) följer vidare att en myndighet på begäran av en annan myndighet ska lämna ut uppgifter som den förfogar över, i den mån det inte finns hinder mot ett utlämnande på grund av bestämmelser om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen kan ses som en precisering av den allmänna samverkansskyldighet myndigheter emellan som följer av 6 § förvaltningslagen (1986:223). I 10 kap. OSL finns sekretessbrytande bestämmelser som inne- bär att annars sekretessbelagda uppgifter får lämnas ut i vissa situa- tioner. En myndighet får exempelvis med stöd av 10 kap. 15 § OSL lämna ut uppgifter till eller regeringen och enligt 10 kap. 17 § OSL lämna uppgifter till Datainspektionen i dess egenskap av tillsynsorgan. Av 10 kap. 28 § OSL följer vidare att sekretess inte hindrar att en myndighet lämna ut uppgifter till en annan myndig- het om en uppgiftsskyldighet följer av lag eller förordning. Gemensamt för nämnda utlämnanden är att de sker med stöd av en bestämmelse som påbjuder eller tillåter att uppgifter lämnas ut. Det får förutsättas att det gjordes en avvägning mellan intresset för utlämnande och intresset för den enskildes integritet när bestäm- melserna infördes. Det saknas därmed skäl att i den nya lagen införa begränsningar i behandlingen av personuppgifter som utesluter ett utlämnande så länge detta utlämnande sker i överensstämmelse med lag eller förordning. Det är vidare viktigt att det föreligger en överensstämmelse mellan förutsättningarna för behandling av per- sonuppgifter och reglerna om sekretess. För att det inte ska råda någon oklarhet om förhållandet mellan föreslagna ändamålsbestämmelser å ena sidan och OSL och andra författningar som tillåter utlämnande av uppgifter å andra sidan, bör en ändamålsbestämmelse införas som medger ett utlämnande som sker i överensstämmelse med lag eller förordning. En ny lag om behandling av personuppgifter En förutsättning för att ISF ska få behandla personuppgifter för utlämnande måste vara att uppgiftslämnandet inte kan anses strida mot det ändamål för vilka uppgifterna samlades in i enlighet med den s.k. finalitetsprincipen (jfr 9 § första stycket d PUL). Den nya lagen ska således även innehålla en uttrycklig hänvisning till finali- tetsprincipen. Dessutom följer av 9 § andra stycket PUL att behandling av per- sonuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna sam- lades in. Den nya lagen föreslås innehålla en uttrycklig hänvisning till 9 § andra stycket PUL. Här bör erinras om att den statistiksekretess som gäller för vissa uppgifter i ISF:s verksamhet innebär att möjligheterna för ISF att lämna ut uppgifter som avser en enskilds personliga eller ekono- miska förhållanden är ytterst begränsade. Uppgifter som behövs för forsknings- eller statistikändamål eller som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförliga till en enskild får dock lämnas ut, om det står klart att uppgifterna kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men; se 7 § OSF jämförd med 24 kap. 8 § OSL – för en fördjupad genomgång av denna reglering, se 4 kap och 13 kap. ISF måste i varje enskilt fall göra en sekretessprövning innan uppgifter lämnas ut till exempelvis en extern forskare eller en annan myndighet. Den s.k. generalklausulen i 10 kap. 27 § OSL är inte tillämplig på uppgifter som omfattas av sekretess enligt 24 kap. 8 § samma lag. Från integritetssynpunkt finns det skäl att överväga i vad mån elektroniskt utlämnande av personuppgifter ska få förekomma. Vi återkommer till den frågan i avsnitt 10.10. 7.6.3Ett rimligt antal personuppgifter per tillsynstillfälle Vår bedömning: om att behandlingen av person- uppgifter inte får avse fler uppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen får anses utgöra ett tillräckligt skydd för den personliga integriteten. En ny lag om behandling av personuppgifter I 9 § första stycket f PUL föreskrivs att den personuppgiftsansva- rige skall se till att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Av denna reglering får anses följa att fler personuppgifter inte får behandlas än vad som är rimligt i förhållande till ändamålen. får, tillsammans med de förslag vi i övrigt lägger fram, anses ge ett tillräckligt skydd för den personliga integriteten i detta avseende. Enligt huvudregeln i 13 § personuppgiftslagen (1998:204, förkortad PUL) är det förbjudet att behandla det lagen definierar som känsliga personuppgifter, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller personuppgifter som rör hälsa eller sexualliv. Det finns emellertid undantag från förbudet, bl.a. för forsknings- och statistikändamål. Känsliga personuppgifter får behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor (förkortad EPL), samt för statistik- ändamål om behandlingen är nödvändig av något av de skäl som anges i 10 § samma lag och om samhällsintresset av det statistikprojekt där behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Enligt 21 § PUL är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. 8.1ISF:s nuvarande möjligheter att behandla känsliga personuppgifter 8.1.1Behandling med stöd av samtycke Behandling av känsliga uppgifter som har samlats in genom intervjuer och enkäter sker normalt med stöd av samtycke. Vid registeranalyser och aktgranskningar är det emellertid oftast inte möjligt för ISF att inhämta samtycke. I ett fall har uppgifter som avslöjar partianslutning behandlats av ISF med stöd av de registrerades offentliggörande av uppgifterna (15 § PUL). I viss utsträckning har ISF med stöd av 19 § PUL kunnat behandla känsliga personuppgifter för forskningsändamål. Där föreskrivs att sådana personuppgifter får behandlas för forskningsändamål om behandlingen har godkänts enligt EPL. Enligt 3 § EPL ska den lagen tillämpas på forskning som innefattar behandling av känsliga person- uppgifter enligt 13 § PUL eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § PUL. Av 6 § EPL följer att forskning som innefattar behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser får utföras bara om forskningen har godkänts vid en etikprövning. Vid forskning får dessutom behandling av de känsliga personupp- gifterna ske endast om även själva behandlingen har godkänts vid etikprövningen. ISF:s verksamhet har kommit att innehålla vissa inslag av forsk- ning. I det betänkande som föregick inspektionens tillkomst, 21+12 En ny myndighet för tillsyn och effektivitetsgranskning av social- försäkringen (SOU 2008:10 s. 66 ff.), angavs att ISF:s arbetsmetoder bör vara vetenskapligt förankrade. förklarades att forsk- ningsinslag inte borde förekomma. ISF har uppfattat detta uttalande mer som en bedömning än som en avsedd inskränkning av ISF:s ansvarsområde. Delar av ISF:s uppföljnings- och utvärderingsverk- samhet faller i praktiken – mot bakgrund av de metoder som används – inom ramen för forskning så som begreppet definieras i EPL. I syfte att ges möjlighet att behandla känsliga personuppgifter i de projekt där detta är nödvändigt ansöker ISF således om etisk prövning hos i av projekt som enligt ISF:s mening är att betrakta som forskning och i vilka känsliga person- uppgifter behöver behandlas. har alla de ansökningar som ISF gett in godkänts av etikprövningsnämnden. Vid denna prövning har etikprövningsnämnden möjlighet att förena sitt godkännande av ett visst forskningsprojekt med villkor. I ett fall har nämnden bestämt att det av informationen i anslutning till en enkät som ISF skickade ut till handläggare vid skulle framgå att besvarandet av enkäten inte skulle påverka forsk- ningspersonernas arbetssituation. I övrigt har inga villkor uppställts av etikprövningsnämnden. Enligt 12 § EPL får personuppgifter lämnas ut för att användas i forskning, om inte något annat följer av regler om sekretess och Utlämnande myndighet måste därmed ta ställning till om det skulle innebära skada eller men för den enskilde om upp- gifterna lämnas ut. Om ett särskilt behov av att senare kunna komplettera uppgifter föreligger får, enligt 16 § lagen (2001:99) om den officiella statistiken, en statistikansvarig myndighet som lämnar ut uppgifter som inte direkt kan hänföras till en enskild förse uppgifterna med en beteckning (s.k. löpnummer) som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra en komplettering möjlig. Att ISF har fått ett godkännande från en etikprövningsnämnd utgör en förutsättning för att känsliga personuppgifter ska lämnas ut till ISF. Finns inget beslut från en etikprövningsnämnd anser sig ofta den myndighet som förfogar över uppgifterna förhindrad enligt 21 kap. 7 § offentlighets- och sekretesslagen (2009:400) att lämna ut dem. Enligt sistnämnda bestämmelse gäller sekretess för en person- uppgift om det kan antas att ett utlämnande skulle medföra att upp- giften efter ett utlämnande kommer att behandlas i strid med PUL. I vissa projekt där det har varit nödvändigt att behandla känsliga personuppgifter har ISF kunnat lösa frågan genom att behandlingen har skett utanför ISF i ett samarbetsprojekt med ett universitet eller någon annan myndighet så att ISF inte har ansetts vara person- uppgiftsansvarig. 8.1.4Känsliga personuppgifter får inte behandlas i andra fall Enligt ISF har myndighetens arbete präglats av de begränsade möjligheterna att behandla känsliga personuppgifter, vilket också har påverkat inriktningen av myndighetens tillsyns- och granskningsverksamhet. I fall där känsliga personuppgifter inte har kunnat behandlas med stöd av samtycke och där det inte har varit fråga om forskningsprojekt – framförallt projekt med mer traditionell tillsynsinriktning – har ISF fått nöja sig med ett alltför begränsat underlag. Analysresultaten har därmed hållit sämre kvalitet än vad som skulle ha varit fallet om ISF hade fått behandla de känsliga personuppgifter som krävdes för att utföra uppdraget. Avsaknaden av möjligheten att behandla känsliga uppgifter har också ofta lett till att utlämnande myndighet har behövt genomföra omfattande personuppgiftsbehandlingar innan uppgifterna har kunnat lämnas ut till ISF, vilket både har inneburit kostnader för den utlämnande myndigheten och tidsförluster i ISF:s verksamhet. 8.2Behovet av att behandla känsliga personuppgifter Vår bedömning: ISF har behov av att behandla känsliga person- uppgifter. I några fall behöver ISF också få behandla personupp- gifter om lagöverträdelser. Vårt förslag: ISF ska få behandla känsliga personuppgifter enligt 13 § PUL och personuppgifter som avses i 21 § samma lag om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende. ISF behöver få behandla känsliga personuppgifter som hämtats från och . har också vissa uppgifter som är känsliga, t.ex. uppgifter om inkomster från sjukförsäkringen, som ISF i något fall kan behöva ta del av. Vidare kan ISF behöva behandla känsliga personuppgifter från andra myndig- heter, t.ex. vissa uppgifter från SCB och från olika medicinska register (t.ex. dödsorsaksregistret, läkemedelsregistret och tandhälsoregistret) och socialtjänstregister (främst registren om insatser enligt LSS och om socialtjänstinsatser till äldre och personer med funktionsnedsättning). Det kan också handla om att hämta in motsvarande uppgifter från andra källor, t.ex. från kommuner. Behoven av att behandla känsliga personuppgifter kan upp- komma inom ramen för hela den verksamhet som ISF bedriver, dvs. enligt 1–4 §§ instruktionen. har personuppgifter som rör hälsa haft störst relevans för ISF:s arbete eftersom ett stort antal av de analyser som ISF gör kräver att myndigheten kan behandla uppgifter om socialförsäkrings- förmåner. Sådana förmåner utges i många fall till personer som är sjuka eller har någon form av funktionsnedsättning. Uppgifter om att någon uppbär en dylik förmån torde vara en uppgift som rör hälsa och därmed en sådan känslig uppgift som avses i 13 § andra stycket PUL. Det kan t.ex. handla om att någon får sjukpenning, sjukersättning, rehabiliteringspenning, vårdbidrag, bilstöd, assistansersättning etc. Även en uppgift om att en förälder får tillfällig föräldrapenning torde vara en känslig uppgift, eftersom den rör hälsan för det barn som föräldern får ersättning för. För att göra analyser rörande dessa förmåner behövs också ofta andra uppgifter om hälsa, t.ex. uppgifter om diagnos, personkretstillhörighet, sjukdomshistorik eller aktuellt hälsotillstånd. ISF använder även olika demografiska och socioekonomiska upp- gifter, t.ex. uppgifter om födelseland och medborgarskap, bl.a. för att undersöka om tillsynsobjekt tar ovidkommande hänsyn till sådana faktorer i sin verksamhet. Dessa typer av uppgifter har av regeringen inte bedömts avslöja vare sig ras eller etniskt ursprung (prop. 2001/02:144 s. 41). Uppgifter om ras eller etniskt ursprung är annars känsliga enligt 13 § första stycket a PUL. Det kan emellertid inte uteslutas att uppgifter om födelseland och medborgarskap tillsam- mans skulle kunna avslöja ras eller etniskt ursprung. Om uppgifterna sammantaget i ett enskilt fall avslöjar personens etniska ursprung utgör de känsliga personuppgifter, även om de inte är känsliga person- uppgifter behandlade var för sig (jfr prop. 2009/10:85 s. 325).