sou · H2B367 · 2014-09-19 00:00:00 — Alla berörda personer ska ha rätt att från den register- ansvarige få bekräftelse på om uppgifter som rör honom behandlas eller inte, och få veta vilka uppgifter som behandlas. Direktivet innehåller även regler om säkerhet vid behandlingen och överföring av personuppgifter till tredje land. Rättsligt skydd för personuppgifter Dataskyddsdirektivet har i genomförts genom person- uppgiftslagen (1998:204, förkortad PUL) och ett antal särregle- ringar i förhållande till PUL (s.k. särskilda registerförfattningar). presenterade Europeiska kommissionen ett förslag till en genomgripande reform av om skydd för person- uppgifter – Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter (allmän upp- giftsskyddsförordning) – KOM (2012) 11 slutlig. Förslaget innebär bl.a. att dataskyddsdirektivet ska ersättas av en ny allmän dataskydds- förordning. Eftersom regleringen föreslås få formen av en förordning och en sådan är direkt tillämplig i medlemsstaterna kommer regle- ringen, om förslaget genomförs, att ersätta dataskyddsdirektivet och därigenom också PUL. Förslaget till förordning lämnar dock ett visst utrymme för att behålla registerförfattningar på vissa områden. Det huvudsakliga syftet med förslaget är att ytterligare harmonisera och effektivisera skyddet av personuppgifter i syfte att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personupp- gifter. Den är dock till stor del baserad på den reglering som redan gäller enligt dataskyddsdirektivet (Fakta- promemoria 2011/12:FPM117). Grundläggande bestämmelser till skydd för den personliga integri- teten finns i RF. I ett målsättningsstadgande i 1 kap. 2 § första stycket RF slås fast att den offentliga makten ska utövas med respekt för den enskilda människans frihet. I fjärde stycket samma bestämmelse anges att det allmänna ska värna den enskildes privatliv och familjeliv. infördes en ny bestämmelse i 2 kap. 6 § andra stycket RF enligt vilken var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Regeringen uttalade i lagmotiven (prop. 2009/10:80) att regleringen borde ges en generell utformning utan att hänvisa till något specifikt tekniskt förfarande och den kan komma att omfatta vitt skilda slag av information som är knuten till den enskildes person, t.ex. uppgifter om namn och Rättsligt skydd för personuppgifter andra personliga identifikationsuppgifter, adress, familjeförhållan- den, hälsa och vandel (s. 177). När det gäller flertalet myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering är uppgifterna enligt motiven till den nya grundlags- bestämmelsen tillgängliga för myndigheterna på ett sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behand- lingen är ett helt annat. (s. 180). Uppgifternas karaktär och omfatt- ning, ändamålet med behandlingen av uppgifterna, omfattningen av utlämnandet av uppgifter till andra som sker utan stöd av offentlighetsprincipen samt på vilket sätt och för vilka syften mot- tagaren av uppgifterna hanterar utlämnade uppgifter är faktorer som, enligt regeringen, bör beaktas vid bedömningen av vad som kan anses utgöra ett betydande intrång i den personliga integriteten (s. 184). Regeringen uttalade också att det avgörande för om en åtgärd ska anses innebära övervakning eller kartläggning inte är dess huvudsakliga syfte utan vilken effekt åtgärden har. Vid bedömning av vilka åtgärder som kan anses utgöra ett betydande intrång ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omständigheter angavs vara av betydelse vid bedömningen. Bestämmelsen omfattar således endast sådana intrång som på grund av åtgärdens intensitet eller omfattning eller av hänsyn till uppgifternas integritetskänsliga natur eller andra omständigheter innebär ett betydande ingrepp i den enskildes privata sfär (s. 250). Skyddet enligt denna bestämmelse är dock inte absolut. Begräns- ningar får göras genom lag (2 kap. 20 § RF), men endast för att till- godose ändamål som är godtagbara i ett demokratiskt samhälle och de får aldrig gå utöver vad som är nödvändigt med hänsyn till det ända- mål som har föranlett dem. De får inte heller sträcka sig så långt att de utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF). I en övergångsbestämmelse anges att äldre föreskrifter som innebär betydande intrång i den personliga integriteten behåller sin giltighet, dock längst t.o.m. . Rättsligt skydd för personuppgifter De grundläggande bestämmelserna i om behandling av per- sonuppgifter finns i PUL, som trädde i kraft . PUL komplette- ras av personuppgiftsförordningen (1998:1191). Syftet med PUL är att skydda människor mot att deras person- liga integritet kränks genom behandling av personuppgifter (1 §). PUL innehåller generella regler och är tillämplig endast om det inte i en annan lag eller i en förordning finns bestämmelser som avviker från PUL (2 §). Det förutsattes vid dess tillkomst att behov av undantag och preciseringar för speciella områden skulle tillgodoses genom särskild lagstiftning (prop. 1997/98:44, s. 40 f.). PUL gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad och även för annan behandling av per- sonuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 §). PUL innehåller även en särskild regel om behandling av personuppgifter i ostrukturerat material (5 a §). Sådan behandling får inte utföras om den innebär en kränkning av den registrerades personliga integritet. 2005/06:173). Han- teringsreglerna i PUL äger inte tillämpning om det är fråga om behandling av personuppgifter i sådant ostrukturerat material som avses i nämnda bestämmelse. Vidare anges i PUL att lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihets- förordningen att lämna ut personuppgifter (8 första stycket). Personuppgifter i PUL:s mening är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Uppgifter om juridiska personer och avlidna omfattas således inte. Personuppgifter kan utgöras av namn, personnummer, målnummer, registreringsnummer för fordon, fastighetsbeteckningar etc. Begreppet personuppgift omfattar såväl objektiva upplysningar som subjektiva bedömningar och åsikter. Även bild- och ljudupptagningar kan utgöra personuppgifter. Begreppet behandling av personuppgifter omfattar varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, SOU 2014:67 Rättsligt skydd för personuppgifter sammanställning eller samkörning, blockering, utplåning eller förstöring (3 §). Regleringen i PUL av personuppgiftsbehandling bygger på att sådan behandling får ske bara om den är förenlig med de särskilda hanteringsregler som ges där. Bland annat får personuppgifter bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in och de personuppgifter som behand- las ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vidare ska de personuppgifter som behandlas vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får som regel inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behand- lingen (9 §). I lagen finns en uppräkning av under vilka förutsätt- ningar behandling av personuppgifter är tillåten. Bland annat får personuppgifter behandlas om den registrerade har lämnat sitt samtycke till behandlingen. I vissa fall får personuppgifter behand- las även utan samtycke. En förutsättning i dessa fall är att behand- lingen är nödvändig för ändamålen. Behandling får utföras om det är nödvändigt för att kunna fullgöra en rättslig skyldighet, för att vitala intressen för den registrerade ska kunna skyddas, för att en arbetsuppgift av allmänt intresse ska kunna utföras eller för att den personuppgiftsansvarige eller en tredje man till vilken personupp- gifter lämnas ut ska kunna utföra en arbetsuppgift i samband med myndighetsutövning. Vidare får personuppgifter behandlas om en avvägning ger vid handen att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten (10 §). PUL innehåller ett förbud att behandla känsliga personuppgifter. Med känsliga personuppgifter avses ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa eller sexualliv (13 §). Förbudet är dock inte undantagslöst. Om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna får de behandlas. Vidare görs undantag för Rättsligt skydd för personuppgifter behandling som är nödvändig bl.a. för att den registrerades eller någon annans vitala intressen ska kunna skyddas eller rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag görs också för behandlingen av känsliga personuppgifter för t.ex. hälso- och sjukvårdsändamål samt forskning och statistik. Regeringen, eller den myndighet som regeringen bestämmer får meddela föreskrifter om ytterligare undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse (14–20 §§). PUL ställer också upp begränsningar i möjligheterna att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden samt personnummer eller samordningsnummer (21 och 22 §§). PUL innehåller flera bestämmelser som syftar till att genom information trygga den enskildes rätt att kontrollera om behandling av personuppgifter om honom eller henne pågår (23–27 §§). Den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PUL eller föreskrifter som har utfärdats med stöd av lagen (28 §). Lagen innehåller vidare bestämmelser om säkerheten vid behandling av personuppgifter (30–32 §§). Enligt PUL är det förbjudet att till tredje land föra över personuppgifter om landet inte har en adekvat nivå för skyddet av personuppgifterna. I vissa fall får dock överföring av personuppgifter till tredje land ske även om det aktuella landet inte har en sådan adekvat skyddsnivå som avses i PUL, t.ex. om den registrerade har lämnat sitt samtycke till överföringen eller för att rättsliga anspråk ska kunna fastställas (33–35 §§). PUL innehåller också bestämmelser om bl.a. tillsyn, skadestånd, straff (43–49 §§) och överklagande (51 53 §§). Register som omfattar stora delar av befolkningen har reglerats i särskilda registerförfattningar vid sidan av såväl den tidigare datalagen som PUL, eftersom det på grund av registrens omfattning eller känsliga innehåll ansetts rimligt att riks- dagen eller regeringen fått ta ställning till såväl inrättandet av registren som omfattningen. Utgångspunkten har således varit att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras i lag (se prop. 1990/91:60 s. 50 och Rättsligt skydd för personuppgifter 1990/91:KU11 s. 11 samt prop. 1997/98:44 s. 41, 1999/2000:39 s. 78 och 2009/10:80 s. 183 f.). Av 2 kap. 20 § RF följer att behandling av personuppgifter för vilken 2 kap. 6 § RF är tillämplig måste regleras i lag. Det innebär att en sådan reglering inte får ges en lägre normhierarkisk valör än lag, dvs. den får inte meddelas i form av förordning eller myndig- hetsföreskrift. Det finns ett tämligen stort antal s.k. registerför- fattningar i förordningsform som – i enlighet med 2 kap. 6 § RF – i stället bör ges i lag. Innebörden av övergångsbestämmel- serna till 2 kap. 6 § RF är att bestämmelserna i dessa förordningar senast vid utgången av måste ges i lag. Fram till dess kan ändringar göras i dessa förordningar. 6Behovet av en särskild lagreglering Vi har i uppdrag att analysera behovet av en särskild lagreglering för behandling av personuppgifter för tillsyns- och gransknings- verksamheten vid ISF. I detta avsnitt redovisas inledningsvis ISF:s verksamhet. Där- efter görs en analys av inspektionens behov av att behandla person- uppgifter i sin tillsyns- och granskningsverksamhet. Intresset av ett skydd för den personliga integriteten vägs därefter mot ISF:s behov av att behandla personuppgifter. Avsnittet avslutas med våra slutsatser om behovet av en särskild lagreglering. 6.1ISF:s uppdrag och verksamhet Myndigheten ISF inrättades och har enligt 1 § första stycket förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen (instruktionen) i uppgift att genom system- tillsyn och effektivitetsgranskning värna rättssäkerheten och effektivi- teten inom socialförsäkringsområdet. Enligt 1 § andra stycket instruk- tionen menas med systemtillsyn granskning av om tillsynsobjektets egna system för styrning och kontroll säkerställer en korrekt och enhetlig tillämpning av det regelverk som tillsynsobjektet ska tillämpa. Där föreskrivs vidare att det med effektivitetsgranskning menas granskning av om tillsynsobjektets verksamhet fungerar effektivt med utgångspunkt i det statliga åtagandet. Systemtillsyn är en metod för att granska tillsynsobjektets led- ningssystem, kompetens och förutsättningar i övrigt för att bedriva sin verksamhet enligt de krav och mål som framgår av lagar och andra föreskrifter samt beslut som har meddelats med stöd av sådana Behovet av en särskild lagreglering I systemtillsynen ingår att studera de system som myndigheterna har för att säkerställa att tillämpningen är rättssäker i olika avseenden, t.ex. styrdokument, handläggningsrutiner, auto- matiska kontroller, beslutsmodeller, IT-stöd, utbildningsmaterial m.m. I systemtillsynen ingår även att studera hur regelverket inom socialförsäkringen tillämpas. Detta görs normalt genom att granska ett stort antal enskilda ärenden. Effektivitetsgranskning fokuserar på hur väl verksamheten genom- förs. Effektivitet brukar generellt definieras som graden av mål- uppfyllelse i förhållande till resursanvändning, vilket innefattar både produktivitet och kvalitet. Effektivitetsgranskning innefattar bl.a. att undersöka den administrativa effektiviteten i granskade verksamheter. Sådana granskningar inriktas bl.a. mot frågor om vad en viss förmån kostar att administrera, hur ärendehanteringen inom den ansvariga myndigheten är organiserad och hur beslutsstödet för handläggarna är utformat. I effektivitetsgranskningen ingår även att studera den förda politikens effektivitet när det gäller att uppnå socialförsäkringens mål. Inom ramen för denna typ av gransk- ning genomför ISF effektutvärderingar. En effektutvärdering kan t.ex. syfta till att undersöka vilka effekter en viss förmån eller olika insatser från myndigheternas sida har för mottagarna eller för sam- hället i stort. En utvärdering kan också ta sikte på effekterna av förändringar inom socialförsäkringsområdet. ISF genomför även undersökningar om nyttjandet av socialför- säkringen. Syftet med dessa är ofta att undersöka vilka grupper av individer som mottar olika förmåner och om detta har förändrats . Rättssäkerhet och effektivitet kan inte ses isolerade från var- andra, utan bör enligt ISF analyseras samlat. Systemtillsyn och effektivitetsgranskning går därför ofta in i varandra och det är van- ligt att ett tillsyns- eller granskningsärende innehåller inslag av både systemtillsyn och effektivitetsgranskning. ISF ska löpande redovisa resultatet av sin tillsyn och granskning till regeringen. Det sker normalt genom att ISF publicerar och överlämnar rapporter till regeringen. ISF publicerar även olika typer av arbetsrapporter och vetenskapliga artiklar. ISF har däremot inte någon föreskriftsrätt eller några andra befogenheter i förhållande till de granskade verksamheterna. ISF har således varken en nor- merande roll eller några sanktionsmöjligheter. ISF får vidare inte ingripa i enskilda ärenden och har inte heller till uppgift att fram- ställa statistik. Behovet av en särskild lagreglering För den systemtillsyn och effektivitetsgranskning som regeringen ålagt ISF att bedriva är ISF helt beroende av att kunna behandla olika typer av uppgifter. I många fall handlar det om sådana upp- gifter om individer som i personuppgiftslagens (1998:204, förkortad PUL) mening utgör personuppgifter. Av 2 § instruktionen följer att ISF ska utöva systemtillsyn över och utföra effektivitetsgranskning av den verksamhet som bedrivs av , i de delar som inte står under tillsyn och i de delar som avser beslut om pensionsgrundande inkomst. ISF får vidare enligt 3 § instruktionen utöva systemtillsyn över och utföra effektivitetsgranskning av verksamheter som gränsar till socialförsäkringsområdet. Det handlar primärt om hur andra trygg- hetssystem eller verksamheter påverkar socialförsäkringen, men kan ibland även avse hur socialförsäkringen påverkar andra system eller verksamheter. En viktig verksamhet som gränsar till socialförsäkringen är Arbetsförmedlingens verksamhet för att stödja personer som får eller har fått ersättning från sjukförsäkringen och som behöver hjälp att få eller byta arbete. ISF behöver även kunna undersöka hur samspelet mellan socialförsäkringen och arbetslöshetsförsäkringen fungerar för de grupper som rör sig mellan dessa försäkringar. Hälso- och sjukvården utgör också en betydelsefull gränsyta mot socialförsäkringen. Hur hälso- och sjukvården fungerar och nyttjas kan påverka behovet av olika socialförsäkringsförmåner för personer med nedsatt arbetsförmåga på grund av sjukdom eller funktionshinder. Det är också hälso- och sjukvården som skriver de medicinska intyg som krävs för att få rätt till flera socialförsäk- ringsförmåner. Hälso- och sjukvårdsverksamhet bedrivs av såväl kommunala eller landstingskommunala som privata vårdgivare. Ett annat centralt område som rör flera myndigheter och aktö- rer i gränssnittet mot socialförsäkringen utgör stödet till funk- tionshindrade. Kommunerna är viktiga aktörer i detta sammanhang genom att de tillhandahåller stöd som kan påverka behovet av stöd till personer med funktionsnedsättning från socialförsäkringen, framför allt i form av insatser enligt lagen (1993:387) om stöd och service till vissa funktionshindrade och enligt socialtjänstlagen Behovet av en särskild lagreglering (2001:453). Bedömningen av effektiviteten av de statliga stöden till funktionshindrade inom ramen för socialförsäkringen måste göras med beaktande av kommunernas insatser för dessa personer. Även privata företag och organisationer som tillhandahåller personlig assistans kan behöva omfattas av ISF:s granskning. Vidare kan granskning av insatser som Arbetsförmedlingen gör med stöd av förordningen (2000:630) om särskilda insatser för personer med funktionshinder som medför nedsatt arbetsförmåga komma att granskas. Ytterligare en aktör i gränssnittet mot socialförsäkringen är landstingen. Utöver att landstingen tillhandahåller hälso- och sjukvård, kan de genom sina hjälpmedelscentraler vara inblandade i frågor som rör hjälpmedel för personer med funktionshinder. Ett annat viktigt gränsområde som omfattas av ISF:s tillsyn och granskning är stödet till äldre personer. Stöd till denna grupp läm- nas såväl från staten – i form av pensioner och pensionsrelaterade förmåner, bostadstillägg och äldreförsörjningsstöd – som från kom- munerna. Vidare kan de avgifter som kommunerna tar ut för sär- skilda boenden för äldre ha betydelse för behovet av statliga stöd, till exempel bostadstillägg eller äldreförsörjningsstöd. En bedömning av effektiviteten av de statliga stöden måste göras med beaktande av kommunernas insatser för dessa personer. Vidare kan nyttjandet av statliga pensioner och andra statliga förmåner till äldre påverkas av hur tjänstepensionssystemen är utformade. ISF får enligt 3 § instruktionen också granska samverkansinsat- ser med anknytning till socialförsäkringsområdet. Det kan gälla t.ex. -s.k. handlingsplanssamverkan mellan , -finansiell samordning av rehabiliteringsinsatser som Försäk- ringskassan, Arbetsförmedlingen, landsting och kommuner kan bedriva genom samordningsförbund enligt lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser, -tvåpartssamverkan mellan och hälso- och sjukvården, -samverkan, vid rehabilitering av försäkrade enligt 30 kap. 10 § socialförsäkringsbalken (SFB), mellan , den försäkrades arbetsgivare och arbetstagarorganisation samt myn- digheter som berörs av rehabiliteringen, och Behovet av en särskild lagreglering -och samarbete med bl.a. inom ramen för servicesamverkan. I praktiken har, enligt ISF, även 1 § instruktionen kommit att utgöra en självständig grund för såväl vissa av de uppdrag som rege- ringen lämnat till ISF som ett antal egeninitierade tillsyns- och granskningsärenden. De undersökningar som inspektionen genom- för som syftar till att på ett mer övergripande plan undersöka effekter av förändringar inom socialförsäkringsområdet och om utnyttjandet av socialförsäkringen tar inte sikte på den granskning och tillsyn som ISF ska göra enligt 2 eller 3 § instruktionen, dvs. de verksamheter som bedrivs av , Pensionsmyndig- heten, eller verksamheter som gränsar mot social- försäkringsområdet. Sådana undersökningar får enligt ISF:s tolk- ning i stället anses ske med direkt stöd av 1 § instruktionen. 6.1.3Samverkan med andra tillsynsmyndigheter Slutligen ska ISF enligt 4 § instruktionen i sin systemtillsyn och effektivitetsgranskning samverka med de tillsynsmyndigheter som kan komma att beröras av inspektionens tillsyns- eller gransknings- verksamhet. Det finns flera myndigheter vars ansvarsområde ligger nära ISF:s verksamhet. Granskningar som spänner över flera till- syns- och granskningsmyndigheters ansvarsområden, t.ex. gransk- ningar av Arbetsförmedlingens verksamhet, kan därför ske i sam- verkan. Regeringen ser det som centralt att tillsynsmyndigheter inom sina respektive tillsynsområden samverkar och att samverkan utvecklas och blir mer effektiv. I regeringens skrivelse En tydlig, rättssäker och effektiv tillsyn (skr. 2009/10:79) ges stöd och vägledning för tillsynsmyndigheternas samverkan. Där framhålls att samordningen mellan tillsynsmyndigheter i första hand bör ske informellt genom kontakter och ömsesidigt samarbete, men att det ibland kan finnas behov av att samarbete ges fastare former genom t.ex. överens- kommelser (s. 28). ISF:s tillsyn omfattar verksamhet som bedrivs inom socialförsäk- ringsområdet, verksamheter som gränsar till socialförsäkringsom- rådet och samverkansinsatser med anknytning till socialförsäkrings- området. Dessutom genomför ISF undersökningar på ett mer övergripande plan om effekter av förändringar inom socialförsäk- Behovet av en särskild lagreglering