sou · H2B367 · 2014-09-19 00:00:00 — Vår bedömning: Skälen för en direktåtkomst överväger de risker som en sådan åtkomst kan föra med sig från integritetssynpunkt. Direktåtkomst bör tillåtas när det finns ett klart behov av att få ta del av uppgifter på det sättet, nyttan av åtkomsten är klart påvisbar och den inte innebär någon beaktansvärd försämring av skyddet för den personliga integriteten. Som framgått av redovisningen ovan har ISF ett kontinuerligt behov av personuppgifter från framför allt och . Enligt ISF:s bedömning innebär det att ISF självständigt och på ett enkelt sätt behöver kunna hämta in adekvata uppgifter från dessa myndigheter för att kunna bedriva sin verk- samhet på ett ändamålsenligt sätt. Den nuvarande ordningen där ISF i sin tillsyns- och granskningsverksamhet måste begära att få ut olika uppgiftsmängder från eller Pensionsmyn- digheten i varje enskilt tillsyns- eller granskningsärende är enligt ISF tidsödande och kräver ofta stora arbetsinsatser från de ut- lämnande myndigheterna samt försvårar användningen av sådana uppgifter för att bedöma hur verksamheten ska inriktas och vilka tillsyns- och granskningsärenden som kan vara lämpliga att inleda. I denna del har ISF tillagt följande. Eftersom ett stort antal av de granskningar som ISF genomför baseras på aktgranskningar begär ISF ofta in ett större antal akter från både och . Det kan röra sig om mellan några hundra och tusen akter per granskning (ofta slumpmässigt utvalda). Stora delar av och ärende- hantering sker i elektronisk form. Det finns tekniska hinder som gör att det är svårt för och Pensionsmyndig- heten att lämna ut akter elektroniskt utan att utlämnandet sker på ett sätt som är att betrakta som direktåtkomst. ISF får därför i stället akterna i form av papperskopior. Detta leder till att datamaterialet behöver begränsas kraftigt. Möjligheterna att dra statistiskt säkerställda slutsatser av granskningrna försämras därmed, som granskningarna blir mer resurskrävande. Dessutom innebär detta att annan information kopplad till ärendet i den elektroniska akten inte kan observeras, vilket kan leda till betydande kvalitetsförluster. Direktåtkomst och annat elektroniskt utlämnande Utlämnande av akter innebär också en betydande administrativ belast- ning för och . Det finns vidare risk för att kopior av akter kan komma på avvägar. Eftersom det vid tillsyn inte alltid är känt i förväg vad det är för slags uppgifter som krävs för tillsynen kommer ISF att ha svårt att vid begäran ange vilka uppgifter som behövs inom det aktuella området. Vid varje tillsynstillfälle kommer ISF därför att behöva hämta in relativt stora informationsmängder. Från det inhämtade materialet kommer ISF att plocka ut adekvata personuppgifter för vidare studier. Vidare har den myndighet som tillsynen rör att i varje enskilt fall bestämma vilka uppgifter som kan lämnas ut till ISF. En sådan hantering blir omständlig för både ISF och tillsyns- objekten. Det kan också uppfattas som principiellt tveksamt att ett tillsynsobjekt ska bestämma vilka uppgifter som lämnas ut till ett tillsynsorgan. Vid sådana undersökningar kan ISF också elektroniskt behöva ha tillgång till och även lagra uppgifter från andra delar av social- försäkringsdatabasen, till exempel de delar som syftar till administrativ uppföljning. Vid undersökningar av olika aspekter av socialförsäk- ringssystemets effektivitet behöver ISF huvudsakligen ha tillgång till och även kunna lagra uppgifter från de delar av socialförsäkrings- datbasen som beskriver hur olika förmåner nyttjas av de försäkrade. Vi anser att ISF för sin tillsyns- och granskningsverksamhet bör ges möjlighet att på ett självständigt, enkelt och smidigt sätt hämta in adekvata uppgifter från socialförsäkringsdatabasen i den mån det finns eller med rimliga insatser och kostnader kan tillskapas tekniska och administrativa förutsättningar samt erforderligt säker- hetsmässigt skydd för en sådan ordning. Vi har i denna del övervägt om befintliga rutiner för överföring av uppgifter till ISF skulle kunna utvecklas och bli effektiva. En sådan teknisk lösning av sättet för utlämnande skulle innebära att ISF begär viss information utifrån sina beslut i tillsyns- och gransk- ningsärenden och att och därefter paketerar och lämnar ut uppgifterna på annat sätt än genom direktåtkomst. Mot bakgrund av de tekniska och administrativa skyddsfunktioner som redovisats har det dock inte varit enkelt att finna tydliga fördelar från integritetsskydds- synpunkt med en sådan lösning. Eftersom praktiska erfarenheter av direktåtkomst för ISF inte finns har omständigheterna fått övervägas utifrån tänkbara risker. Vi har därvid funnit att en rätt utformad direktåtkomst med väl fungerande behörighetstilldelning, Direktåtkomst och annat elektroniskt utlämnande behörighetskontrollsystem, loggning och granskning av funktionalitet och användning, bör kunna ge ett gott skydd i förening med det skydd som ska säkerställas genom en integritetsskyddsfunktion. En jämförelse med t.ex. en hårddisk som översänds till ISF aktualiserar risker för att den kan komma på avvägar t.ex. vid postöppning eller vid överlämnande till en vaktmästare eller någon i ISF:s reception, utan att tillräcklig information ges om hårddiskens känsliga innehåll. Naturligtvis får det inte gå till på det sättet och strikta rutiner ska finnas även för sådant utlämnande. Vid en jämförelse med en direktåtkomst, där ett mera begränsat material av naturliga skäl kan hämtas in – ISF behöver inte begära allt som kan omfattas av ett beslut i ett tillsyns- eller granskningsärende för att sedan sortera – framstår en direktåtkomst dock som ett lämpligt val ur både effektivitets- och integritetssynpunkt, förutsatt att denna åtkomst omgärdas av erforderligt skydd. Det i sammanhanget vanliga antagandet att en direktåtkomst alltid skulle föra med sig större risker från integritetssynpunkt gäller i många fall inte. Som exempel kan nämnas den bruttoavisering som skett i helt andra sammanhang än där ISF verkar. En direktåtkomst där endast de uppgifter som behövs hämtas in framstår som ett lämpligt alternativ. Eftersom frågor om direktåtkomst och annat elektroniskt utlämnande utreds av har vi inte gjort några mera långtgående analyser av tänkbara tekniska och administrativa sätt att lämna ut uppgifter elektroniskt. En fördel med en direktåtkomst för ISF är emellertid att myndig- heten därigenom själv kan skapa sig en uppfattning om vilka uppgifter ISF behöver och kan sortera genast så att endast relevanta uppgifter hämtas för fortsatta studier. Detta främjar också ISF:s möjligheter att bedriva självständig tillsyn och granskning som myndig- heternas informationshantering effektiviseras. Direktåtkomst ger således fördelar både från praktisk synpunkt, eftersom det kan undvikas att onödigt stora resurser behöver tas i anspråk för att få ut erforderliga uppgifter, och från kvalitets- och mängdsynpunkt då ISF ges möjlighet att samla in korrekta och aktuella uppgifter. Arbetet vid ISF effektiviseras därmed jämfört med uppgiftslämnande på annat sätt. Enligt vår bedömning bör en direktåtkomst för ISF också kunna utformas så att ett högt skydd ges för enskildas personliga integritet. Vid en samlad bedömning får skälen för en direktåtkomst därmed anses överväga de risker som en sådan åtkomst kan föra med sig från integritetssynpunkt. Direktåtkomst och annat elektroniskt utlämnande Uppgiftssamlingarna omfattar emellertid flertalet förmåner och ersättningar som utges inom och Pensions- myndighetens verksamheter och de innehåller information om samtliga individer som omfattas av socialförsäkringen samt uppdateras fortlöpande. Dessutom ingår uppgifter som avser administrativ statistik. Uppgiftssamlingarna innehåller både personuppgifter som är direkt hänförliga till de registrerade och uppgifter där namn och personnummer eller samordningsnummer ersatts med ett löpnummer (se kap. 9 där socialförsäkringsdatabasen beskrivs). Frågan om hur en direktåtkomst till socialförsäkringsdatabasen närmare ska utformas behöver därmed noga övervägas. En betydelsefull skillnad finns här mellan de aggregerade eller anonymiserade uppgifter som t.ex. Store och Pedal i huvudsak utgörs av, respektive ärendehanteringssystemen med direkt hänförliga uppgifter. Den skillnad från persondataskydds- synpunkt som dessa olika kategorier av uppgiftssamlingar aktualiserar måste beaktas vid den närmare utformningen av en direktåtkomst för ISF (se vidare avsnitt 9.4.1 och 10.4). 10.3En regel i lag om direktåtkomst Vårt förslag: ISF får medges direktåtkomst till socialförsäkrings- databasen. Denna åtkomst ska användas endast för uppgifter som är nödvändiga som underlag vid inspektionens tillsyns- och granskningsverksamhet. Vår bedömning: Närmare bestämmelser om denna direktåtkomst får ges i förordning. Regeringen har i tidigare lagstiftningsärenden angett att det bör ankomma på att ta ställning till i vilka fall direktåtkomst bör medges (t.ex. prop. 2005/06:152 Behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen m.m., s. 34). har också vid tidigare tillfällen tagit ställning för att de integritetsrisker som ett tillåtande av direktåtkomst till uppgifter i en databas i regel innebär, bör medföra att frågan om direktåtkomst regleras i lag (jfr bet. 2001/02:KU3 s. 27). Här finns inte anledning att göra någon annan bedömning. Förutsättningarna för direktåtkomst ska därmed regleras i lag, medan närmare förutsättningar för denna åtkomst bör kunna föreskrivas i förordning. Direktåtkomst och annat elektroniskt utlämnande ISF behöver i egenskap av tillsynsmyndighet kunna utföra sitt arbete effektivt. Vi föreslår därför, som en ny 114 kap. 23 a § social- försäkringsbalken (SFB), att ISF ska få medges direktåtkomst till personuppgifter i socialförsäkringsdatabasen i den utsträckning det behövs för ändamål som anges i 9 § 1 samma kapitel; dvs. för att tillhandahålla information på grund av den uppgiftsskyldighet som föreskrivs för och gentemot ISF. Behovet av uppgifter och hur de ska få användas kan vid reglering av direktåtkomst normalt klarläggas på förhand på ett sådant sätt att det går att avgränsa en föreskrift om direktåtkomst till vissa närmare angivna personuppgifter och i vissa fall dessutom att förena före- skrifterna med andra begränsningar – t.ex. att ett ärende av visst angivet slag ska ha anhängiggjorts för att direktåtkomst ska få äga rum till berörd uppgift. Det förekommer vidare detaljerade uppräkningar i förordning om vilka uppgifter en sådan åtkomst får avse som tekniska begränsningar kan göras finmaskiga utifrån på förhand angivna behov. Allmänt hållna teknikneutrala begränsningar av det slag som är vanliga i registerförfattningar är inte konstruerade för verksam- heter där uppdragen och behoven av personuppgifter är så varierade som i ISF:s verksamhet. I kapitel 6 och bilaga 3 har de uppdrag som regeringen gett ISF redovisats, liksom de egeninitierade tillsyns- och granskningsprojekt som ISF genomfört. Därav och av vår genomgång i kap. 9 har redan framgått att det inte är möjligt att på förhand göra strikta avgränsningar till vissa personuppgifter eller vissa givna typer av åtgärder som återkommer inom ramen för en viss ärendekategori. Detta präglar våra författningsförslag, där en inriktning mot persondataskyddande teknik syftar till att ersätta sedvanliga avgränsningar utifrån ändamål och detaljerade åtkomst- rättigheter; jfr de rutiner som föreslås för beredning, beställning och skriftliga beslut, som i känsliga fall ska ha beretts i särskild ordning, och att det som huvudregel endast är särskilt utsedda s.k. informationsansvariga vid en integritetsskyddsfunktion som ska få använda direktåtkomsten. respektive Pensions- myndigheten avses dessutom underrättas på förhand innan åtkomst sker. Här är den praktiska verkligheten en annan än när en viss på förhand bestämd strikt angiven och avgränsad åtkomst till vissa uppgifter ska utformas och införas tekniskt och rättsligt. En direktåtkomst ska vidare vara strikt begränsad genom tekniska och administrativa funktioner – s.k. behörighetskontrollsystem (BKS) Direktåtkomst och annat elektroniskt utlämnande – genom dels och system, dels ISF:s system. Av 114 kap. 17 § SFB följer att behörighet för åtkomst till socialförsäkringsdatabasen ska – inom socialförsäkringens administration – tilldelas genom en särskild handling och begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbets- uppgifter, se avsnitt 9.4.5. Samma krav på att behörighet ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter bör emellertid som framgått gälla för ISF:s tilldelning av behörigheter och vi har föreslagit ett motsvarande krav i 11 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen (jfr avsnitt 9.4.5). Vidare behöver användningen av direktåtkomst loggas även hos ISF så att det i efterhand kan kontrolleras att åtkomsten inte har missbrukats. Här kan också erinras om att vi gjort bedömningen att ISF bör informera och när en möjlighet till direktåtkomst avses användas (se avsnitt 9.4.4) och att som huvudregel endast de informationsansvariga vid integritets- skyddsfunktionen vid ISF ska få ha direktåtkomst till social- försäkringsdatabasen. Denna internt reglerade rätt till åtkomst bör framgå av ISF:s arbetsordning eller motsvarande dokument. Endast i ett begränsat antal situationer bör av administrativa skäl sådan åtkomst kunna delegeras till en projektmedarbetare i ett tillsyns- eller granskningsärende (se kap. 9 om vilka situationer som avses). Det kan vidare på nytt framhållas att behandling av känsliga personuppgifter är tillåten hos ISF endast när det finns ett behov av att behandla uppgifterna och detta behov utifrån ett viktigt allmänt intresse vid en intresseavvägning har ansetts väga tyngre än integritetsintresset. ISF bör i sin arbetsordning eller motsvarande dokument ange hur behörighet att för myndighetens räkning ta del av uppgifter ska medges och för vilka syften detta ska få ske. Åtkomsten ska användas endast med avseende på uppgifter som är nödvändiga som underlag för inspektionens tillsyns- och gransk- ningsverksamhet. De personuppgiftsansvariga myndigheterna ska utforma informationsöverföringen med hänsyn tagen till riskerna från säkerhets- och integritetssynpunkt och väga dessa mot eventuella vinster från effektivitetssynpunkt. 2007/08:160 om ett utökat elektroniskt informationsutbyte anförde regeringen att en god informationssäkerhet vid myndigheterna är ett ständigt pågående utvecklingsarbete (s. 64 f.). ISF ska ha kontroll över att det egna Direktåtkomst och annat elektroniskt utlämnande systemet har tillräcklig säkerhet. Det är viktigt att kommunikationen skyddas vid överföringen av personuppgifter från och till ISF. Jämfört med en lösning där informationen utlämnas via medium för automatiserad behandling torde en informationsöverföring som sker genom direktåtkomst i många fall kunna vara ett i praktiken säkrare alternativ. Informationen i en hårddisk kan, som nämnts i exemplet ovan, komma på avvägar så att stora datamängder hamnar i orätta händer. Detsamma gäller t.ex. ett USB-minne, en CD-romskiva eller liknande medium. Rätt utformad kan emellertid direktåtkomst ske på ett säkert sätt. Sammantaget bör beskrivna skyddsåtgärder – om de utformas rätt – ge en sådan reducering av riskerna för otillbörliga intrång i enskildas personliga integritet att ISF kan ges direktåtkomst till socialförsäkringsdatabasen. En sådan åtkomst gör det möjligt för ISF att på ett mer oberoende, enkelt och effektivt sätt förverkliga regeringens och krav på stärkt rättsäkerhet och ökad effektivitet inom socialförsäkringen, som den personliga integriteten ges ett tillräckligt skydd genom den persondata- skyddande teknik och administration som våra förslag innefattar. En väl fungerande tillsyn bör dessutom leda till en ökad rätts- säkerhet och en mer välfungerande socialförsäkringsadministration – till gagn både för de enskilda försäkrade och samhället i stort. 10.4Innebörden av en föreskrift om direktåtkomst Frågan blir därmed vad en bestämmelse i socialförsäkringsbalken om att en myndighet får ha direktåtkomst i praktiken innebär. I ett lagstiftningsärende rörande behandlingen av personuppgifter i verksamhet har regeringen anfört följande. Vid författningsreglering av direktåtkomst till uppgifter anges ofta att någon får ha direktåtkomst. Innebörden av detta är inte att den eller de angivna myndigheterna har en ovillkorlig rätt att få ut uppgifterna, utan att den myndighet som innehar informationen har en rätt att medge sådan åtkomst. Den utlämnande myndigheten har ett principiellt ansvar att förvissa sig om att den myndighet som beviljas direktåtkomst vidtar de åtgärder som bedöms vara nödvändiga från säkerhetssynpunkt. I några författningar tydliggörs detta genom bestämmelser som anger att myndigheten i fråga inte får medge andra direktåtkomst till sina register innan den har försäkrat sig om att behörighets- och säkerhetsfrågorna är lösta på ett sätt som är tillfredsställande ur integritetssynpunkt (se t.ex. Direktåtkomst och annat elektroniskt utlämnande 4 kap. 4 § förordningen [2001:650] om vägtrafikregister). Medgivandet av direktåtkomst förutsätter också att utlämnande får ske enligt den gällande sekretessregleringen för berörda myndigheter (prop. 2011/12:45 s. 133). Den lagreglerade möjlighet vi föreslår för och att medge direktåtkomst innebär inte att utlämnande myndigheter skulle bli skyldiga att faktiskt anordna en så långtgående direktåtkomst som den föreslagna regleringen i och för sig möjliggör. ISF ges alltså inte genom vårt förslag någon ovillkorlig rätt att få ut vissa uppgifter genom direktåtkomst, utan den myndighet som innehar informationen får rätt att medge sådan åtkomst. Regeringen har dock i tidigare lagstiftningsärenden förutsatt att en myndighet väljer det mest effektiva sättet för informations- överföring. Utgångspunkten bör därmed även i detta fall vara att de utlämnande myndigheterna väljer det mest effektiva sättet för informationsöverföring och ser till att direktåtkomst kan äga rum så länge det inte finns reella ekonomiska eller tekniska hinder. Det kan emellertid finnas kostnadsskäl som talar mot att och behörighetskontroll- system (BKS) kompletteras med ett som är särskilt anpassat för ISF:s verksamhet. Vilka närmare tekniska möjligheter som finns och i vilken omfattning nya bör införas för tillsyn kan emellertid inte utredas i denna ordning utan får bli en fråga för berörda myndigheter att klarlägga i samverkan. Utifrån de vitt skilda uppdrag som ISF ges och den oklarhet som råder kring vilka tekniska möjligheter som kommer att finnas kan en närmare rättslig avgränsning av en direkt- åtkomst också snabbt visa sig bli föråldrad. I sammanhanget bör upprepas att gränsen mellan direktåtkomst och utlämnande på medium blivit allt svårare att dra i takt med den tekniska utvecklingen. Från persondataskydds- och informationssäkerhetssynpunkt kan det som framgått visa sig vara förenat med större risker att lämna ut ett omfattande material på t.ex. en hårddisk eller en CD-skiva, som fysiskt transporteras till ISF, än att ge en informationsansvarig som efter en närmare prövning bedömts vara betrodd direktåtkomst till materialet. Även om den avvägning vi gjort mellan effektivitet och integritet utfallit så att det sätt för utlämnande som betecknas direktåtkomst föreslås vara tillåtet, med avseende på uppgifter i socialförsäkrings- databasen, återstår det att genomlysa de tekniska detaljerna kring vad som är praktiskt möjligt. För oss har det varit avgörande att utforma regleringen så att det ges ett reellt persondataskydd. Direktåtkomst och annat elektroniskt utlämnande uppstår inte genom begreppsanalyser – vad som i en lag menas med direktåtkomst har i vissa fall tagit över i sådan mån att skyddet för persondata kommit i skymundan. Dessa principiella begreppsfrågor faller dock inte inom ramen för vårt uppdrag utan övervägs av . Därmed återstår det alternativet att , och i samråd – utifrån praktiska realiteter – ger den föreslagna direktåtkomsten en lämplig utformning och avgränsning. De resonemang som förts inom utredningen synes ge vid handen att en direktåtkomst till uppgifter som inte är direkt hänförliga till individ, exempelvis i datalagren StoRe och Pedal, och som innebär mindre risker för otillbörligt intrång i enskilds integritet, i praktiken knappast behöver ses som kontroversiell. Vad som behöver övervägas närmare är bl.a. hur och i vilken omfattning en direktåtkomst till berörda ärendehanteringssystem kan anordnas. Härvid aktualiseras bl.a. ett antal tekniska och administrativa frågor som får utredas i annan ordning med utgångspunkt från detaljkunskaper om de it- system och informationssamlingar som är berörda. I den mån det visar sig erforderligt får regeringen i förordning meddela närmare bestämmelser om denna direktåtkomst. Vi bedömer att någon upplysning om regeringens möjligheter att meddela före- skrifter på området inte behöver införas i den nya föreslagna 114 kap. 23 a § i SFB (se prop. 2008/09:200 s. 584). Vår bedömning: Inspektionen får använda de sökbegrepp som är nödvändiga i ett tillsyns- eller granskningsärende. Av 114 kap. 27 § SFB följer att känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § PUL inte får användas som sökbegrepp i socialförsäkringsdatabasen och att endast ärendebeteckning eller beteckning på handling får användas som sökbegrepp vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen, som kommit in i ett ärende eller upprättats i ett ärende. I 114 kap. 28 § samma lag anges att person- uppgifter som rör hälsa utan hinder av de begränsningar för sökning som anges i 27 § får användas som urvalskriterium vid samman- Direktåtkomst och annat elektroniskt utlämnande ställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det. De sökbegränsningar som gäller för socialförsäkringsdatabasen har motiverats med att det, om en myndighets samlingar av elektroniskt lagrade personuppgifter är tillgängliga för sökning utan några begräns- ningar, uppkommer betydande risker för otillbörliga intrång i enskildas integritet. Regler om sökbegränsningar bör ta sikte direkt på sådana typer av sökningar som kan medföra särskilda integritetsrisker. Hantering av känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § PUL innebär typiskt sett alltid en risk för integritets- intrång. Vidare kan behandlingen av personuppgifter i elektroniska akter som hanteras i system för elektronisk ärendehantering innebära speciella risker för otillbörliga intrång i den personliga integriteten. Vid sökning i fler än en handling framstår sökningen som en särskild integritetsrisk. För att ärendehanteringen ska kunna skötas på ett effektivt sätt är det dock nödvändigt att handläggare ges möjlighet att söka efter såväl ett ärende som enskilda handlingar, t.ex. med angivande av ärendebeteckning eller beteckning på en specifik handling (se vidare prop. 2002/03:135 s. 108 ff.) Frågan är om samma begränsningar gäller för ISF vid direkt- åtkomst som ISF ges i egenskap av tillsynsmyndighet. Vid tillsyn gör sig särskilda effektivitetskrav gällande där de medel som står till buds för att snabbt kunna sammanställa nödvändig information bör vara tillgängliga för ISF. Den direktåtkomst som medges till socialförsäkringsdatabasen för ett stort antal handläggare vid andra myndigheter än ISF får anses föra med sig helt andra risker än vad som kommer att vara fallet vid en direktåtkomst för ISF. Enligt vårt förslag ska som tidigare nämnts i regel endast de informations- ansvariga vid integritetsskyddsfunktionen vid ISF medges direkt- åtkomst. I beslut ska så preciserat som möjligt anges vilka uppgifter som en direktåtkomst ska få avse.