sou · H2B367 · 2014-09-19 00:00:00 — Det som sker är endast att en uppgift direkt hänförlig till enskild byts ut mot en annan uppgift (ett särskilt ID-nummer) som saknar direkt kopp- ling till individ. Nyckeln mellan dessa uppgifter, dvs. den algoritm som översätter löpnumret till personnummer eller motsvarande, får emellertid anses vara en uppgift som lämnar eller kan bidra till upplysning om en metod som liknar kryptering. Metoden, dvs. åtgärden för att koda den ursprungligen direkt hänförliga uppgif- ten, har till syfte att underlätta användning hos ISF av uppgifter utan att föreskriven sekretess åsidosätts hos ISF. Det är vidare uppenbart att syftet med metoden motverkas om uppgiften röjs. Även om avsikten vid bestämmelsens tillkomst var att omfatta nyckelkoder kopplade till krypteringsåtgärder, finns det ingenting i bestämmelsens ordalydelse som talar mot att den även skulle kunna vara tillämplig på sådana nycklar som är i fråga. Som vi har kon- staterat ovan stämmer även syftet med den aktuella metoden väl överens med det syfte för vilket bestämmelsen har tillkommit. Enligt vår bedömning är ISF-nyckeln därmed sekretessregle- rad enligt 18 kap. 9 § 1 OSL. Denna sekretess är begränsad genom ett rakt skaderekvisit. Presumtionen vid en sekretessprövning är alltså för offentlighet. Här bör dock noteras att det av 21 kap. 7 § OSL följer att sekretess gäller för en personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med PUL. Finns det inte stöd för behandlingen av person- uppgifterna hos den mottagande myndigheten ska uppgifterna således inte lämnas ut. Här bör också nämnas att de projektspecifika nycklarna enligt vår bedömning skyddas av stark sekretess enligt 24 kap. 8 § OSL.1 Det kan övervägas om ytterligare skydd bör införas mot att kunna bakvägsidentifiera en individ genom att sammanföra uppgifter från olika projekt. Ett sådant skydd skulle kunna införas genom att de informationsansvariga vid integritetsskyddsfunktionen för varje tillsyns- eller granskningsärende omvandlade respektive ISF-ID till ett löpnummer för ärendet. Löpnumret skulle alltså inte bara gälla för en viss individ. Det skulle också vara unikt för det tillsyns- eller gransk- ningsärende i vilket uppgiften blev använd. Även om samma person- nummer eller t.ex. StoRe-ID skulle vara aktuellt vid upprepade till- fällen eller i flera olika projekt, skulle en projektmedarbetare därmed inte kunna sätta samman information från olika projekt. Endast löpnumret i det gransknings- eller tillsynsärendet skulle förekomma. En sådan omfattande administrativ hantering, med risker för bl.a. tekniska fel, synes dock inte ge integritetsvinster som svarar 1 Se SOU 2014:45 s. 389. mot de kostnader och den tid som går åt för att lägga till detta skydd. ISF är en myndighet med endast ett femtiotal anställda. En handläggare deltar aktivt bara i några enstaka ärenden åt gången och ISF administrerar sitt system för intern åtkomstkontroll så att projektmedarbetares åtkomst till uppgifter i ett ärende tas bort så snart medarbetaren har slutfört sitt arbete i det ärendet. Vidare ska regler finnas för ISF:s personal i arbetsordning eller motsvarande dokument som innebär att de får bereda sig tillgång till uppgifter i ett ärende endast när det behövs för att utföra en viss arbetsuppgift och att uppgifter i ett ärende inte får återanvändas i ett annat ärende utom i de fall där detta har prövats. Skulle uppgifter från olika ärenden trots detta föras samman kan förfarandet utgöra ett brott, som arbetsrättsliga sanktioner bör aktualiseras. Till detta kommer att de uppgifter som sammanförts inte är direkt hänförliga till enskilda och kräver en bakvägsidentifiering för att kunna knytas till en viss individ. Vi föreslårett förbud mot sådan identifiering (se avsnitt 11.1). Vid sådana förhållanden anser vi inte att det finns tillräckliga skäl att införa unika löpnummer beträffande personuppgifter i varje gransknings- eller tillsynsärende. I stället bör strikta rutiner över- vägas för att gallra uppgifter så snart de inte längre behövs i ett ärende. 9.4.4Närmare om det planerade förfarandet Innan någon vid ISF tar del av eller hämtar in uppgifter genom direktåtkomst bör den berörda myndigheten ha informerats på sätt som myndigheterna kommer överens om på förhand. Den inform- ation som lämnas bör omfatta vilka uppgifter ISF planerar att ta del av eller hämta in och om detta avses ske endast genom en inform- ationsansvarig vid ISF:s integritetsskyddsfunktion eller om en teknisk behörighet för åtgärden behöver ges till någon annan inom ISF. Rör det sig om aktgranskning ska anges om granskningen ska avse ett urval och i så fall hur detta ska avgränsas. Det är även viktigt att syftet med den aktuella informationsinhämtningen anges. Lämnad information bör dokumenteras så att det i efterhand, i förening med vad som loggas, går att kontrollera att ISF inte har använt sig av direktåtkomst i någon annan än den på förhand angivna och av ISF Av informationen bör också framgå vilket tillsyns- eller granskningsärende en direktåtkomst avser. För det fall den myndighet som gjort uppgifter tillgängliga i samband härmed finner brister i ISF:s personuppgiftshantering, t.ex. vad gäller säkerhetsrutiner eller att inspektionen behandlar uppgifter för andra ändamål än vad inspektionen har rätt till, finns möjligheten att kontakta Datainspektionen som kan vidta erforderliga åtgärder. Behov av direktåtkomst finns som tidigare nämnts i två situat- ioner – dels för att enbart ta del av uppgifter i socialförsäkrings- databasens system utan att lagra dem, dels för att hämta in uppgif- ter från StoRe och övriga databaser för att lagra uppgifter på ISF:s servrar och därefter bearbeta dem där. Endast informationsansva- riga vid integritetsskyddsfunktionen bör genom direktåtkomst få hämta in uppgifter i syfte att lagra dem hos ISF för bearbetning i tillsyns- eller granskningsärenden. Inhämtade uppgifter ska däref- ter omvandlas så att de är direkt hänförliga till enskilda enligt beskrivningen ovan och lagras på en server hos ISF. Som nämnts finns det emellertid tre fall där det kan finnas ett behov av direktåtkomst för att bara ta del av uppgifter i systemen eller vidta en på liknande sätt begränsad åtgärd. Det kan vara fråga om aktgranskningar, en förberedande åtgärd för en registerstudie eller en åtgärd för omvärldsbevakning. För att kunna utföra arbets- uppgifter av det slaget bör det vara möjligt att medge en begränsad krets av medarbetare vid ISF en viss direktåtkomst för att åtgärden i praktiken ska kunna genomföras. Uppgifter från andra källor När uppgifter – som har hämtats in genom direktåtkomst från socialförsäkringsdatabasen för ett tillsyns- eller granskningsärende – behöver föras samman med uppgifter från en annan källa eller med uppgifter som förekommer hos ISF i ett annat tillsyns- eller granskningsärende, kan en informationsansvarig vid integritets- skyddsfunktionen bistå genom att ersätta personnummer eller ID- nummer med ISF-ID. I vissa fall kommer urvalet av de individer som ska omfattas av en registerstudie att göras ur uppgiftssamlingar som ISF har direkt- åtkomst till. Uppgifterna hämtas då in av en informationsansvarig vid integritetsskyddsfunktionen, som åsätter varje individ ett löp- nummer samt skapar en nyckel mellan personnummer eller ID- nummer och löpnummer. Den informationsansvarige skickar där- efter nyckeln till den eller de övriga aktörer som ska lämna ut upp- gifter till ISF. Genom ett sådant förfarande kommer övriga aktörer som lämnar ut uppgifter till ISF aldrig att få tillgång till kopplingen mellan personnummer och ISF-ID. De får heller aldrig tillgång till ISF-ID. Dessa aktörer ersätter i sin tur personnummer med löp- nummer innan begärda uppgifter skickas över till ISF. När nyckeln har lämnats över till övriga aktörer ersätter integritetsskydds- funktionen personnummer/ID-nummer i datamaterialet med ISF- ID. När de nya uppgifterna kommer in kopplas de samman med hjälp av löpnumret. Därefter ersätter integritetsskyddsfunktionen löpnumren med ISF-ID innan uppgifterna lämnas till en projekt- medarbetare i ett tillsyns- eller granskningsärende. Nyckeln mellan löpnummer och ISF-ID sparas hos integritetsskyddsfunktionen. I andra fall kommer urval att behöva göras ur uppgiftssamlingar som ISF inte har direktåtkomst till. För att uppgifter i ett sådant fall ska kunna föras samman med uppgifter som ISF har direktåtkomst till måste uppgifterna levereras till ISF med personnummer. Uppgifterna ska då lämnas till en informationsansvarig vid integritetsskydds- funktionen, som hämtar in de uppgifter som behövs från socialförsäk- ringsdatabasen genom direktåtkomst, kopplar samman uppgifterna och ersätter personnummer med ISF-ID innan uppgifter görs tillgängliga för en projektmedarbetare. Samma förfarande kan behövas när ISF ska föra samman upp- gifter från olika källor och inga av dessa uppgifter har hämtats in genom direktåtkomst. Genom att ISF får del av personnummer blir det möjligt att koppla ihop uppgifterna. Även i denna situation ska projektmedarbetarna få del av uppgifterna först efter att de direkt hänförliga uppgifterna har ersatts med ISF-ID. I vissa fall kan det dock vara lämpligt att föra samman uppgifterna på samma sätt som , genom att en av de aktörer som lämnar ut uppgifter ersätter personnummer med ett löpnummer och skickar en nyckel till övriga aktörer som ska lämna ut uppgifter till ISF. Dessa kan i sin tur använda nyckeln för att ersätta personnummer med löpnummer och därefter lämna ut uppgifterna till ISF så att ISF kan koppla ihop uppgifterna med hjälp av löpnumret. Nyckeln bör sparas, av den aktör som skapade den, som projektet pågår, för att göra det möjligt att koppla nya uppgifter. Övriga aktörer avses gallra eller rensa nyckeln så snart de har lämnat ut uppgifterna till ISF och ISF har kunnat kontrollera att de utlämnade uppgifterna överensstämmer med ISF:s begäran. En närmare beskrivning av förfarandet när det gäller uppgifter som omfattas av statistiksekretess ges i kap. 13. Uppgifter som inhämtas på annat sätt än genom direktåtkomst och som inte bedöms behöva sambearbetas med uppgifter från andra källor ska vara omvandlade redan av den som lämnar ut upp- gifterna, genom att denne ersatt personnummer med ett löpnum- mer så att uppgifterna är direkt hänförliga till enskilda. Vid granskning av akter gör en befattningshavare hos ISF normalt en registrering i ett elektroniskt register av ett antal upp- gifter ur de akter som granskas. Det saknas såvitt är känt teknisk möjlighet att elektroniskt spara de akter som ska granskas hos ISF. Flertalet av de uppgifter som förekommer i akterna kan enligt upp- gift inte heller inhämtas elektroniskt från akterna. Den uppgifts- samling som genereras vid en aktgranskning innehåller en begrän- sad mängd uppgifter, som utgör ett urval av alla de uppgifter som finns i de granskade akterna och även kan innehålla uppgifter som inte direkt går att utläsa ur den granskade akten, som t.ex. ISF:s bedömningar av olika aspekter på kvaliteten i handläggningen. Registreringen av uppgifter görs på samma sätt både vid granskning av pappersakter – dvs. handlingar i ärenden som har handlagts eller arkiverats i pappersform eller elektroniska akter som har skrivits ut på papper – och vid granskning av elektroniska akter. Vid en akt- granskning får varje akt ett löpnummer som används när uppgifter ur en akt registreras. Uppgifter som på detta sätt har hämtats från akter kan i vissa fall behöva kopplas samman med uppgifter från andra samlingar av uppgifter. En sådan sammankoppling förutsätter att personnum- mer används. En separat nyckel skapas mellan ett löpnummer för varje akt och personnummer. I den uppgiftssamling som genereras vid en aktgranskning registreras inte personnummer, utan bara löpnummer. När aktgranskningen är klar överlämnas de insamlade uppgifterna till integritetsskyddsfunktionen. Med hjälp av nyckeln mellan akternas löpnummer och personnumren kan ytterligare uppgifter hämtas in och kopplas ihop med uppgifter som hämtats in genom aktgranskningen. Vårt förslag: ISF ska inom sin it-miljö bestämma villkoren för tilldelning av behörighet för elektronisk åtkomst till person- uppgifter. Sådan behörighet ska begränsas till vad som behövs för att den enskilde befattningshavaren ska kunna fullgöra sina arbetsuppgifter inom ramen för inspektionens tillsyns- och granskningsverksamhet. ISF ska se till att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras. Inspektionen ska göra sys- tematiska och återkommande kontroller av om någon obehöri- gen kommer åt sådana uppgifter. Regeringen kan meddela föreskrifter om dokumentation och kontroll. ISF har en fungerande säkerhetskultur och bedriver som framgått ett systematiskt arbete för att införa persondata- skyddande teknik och struktur för sin informationshantering, bl.a. genom en långt driven kodning av uppgifter och genom en uppdel- ning av roller och funktioner. Avsikten är att ge de omfattande samlingar av personuppgifter, som i vissa fall krävs för att utföra uppdrag från regeringen och egeninitierade ärenden, ett skydd som det inte finns skäl att ifrågasätta. Vi föreslår en författningsreglerad möjlighet att ge ISF direkt- åtkomst till socialförsäkringsdatabasen (se vidare kap. 10 där vi återkommer till de särskilda frågor som sådan åtkomst aktuali- serar). Vid denna direktåtkomst kommer, som redan framgått, en – från ISF:s perspektiv – extern åtkomstkontroll att finnas. Detta gäller såväl när är personuppgiftsansvarig som när har personuppgiftsansvaret. Direktåt- komsten ska vara begränsad genom tekniska och administrativa funktioner – s.k. behörighetskontrollsystem (BKS) – genom dels och system, dels ISF:s system. Även tillsynsobjekten måste alltså uppfylla sina skyldig- heter att upprätthålla säkerheten vid behandlingen av personupp- gifter. Till detta hör t.ex. att se till möjligheterna att tekniskt hindra åtkomst till andra uppgifter än dem som ska lämnas ut via direktåtkomst och att logga åtkomst för kontroll av behörighet och uppföljning. I denna del bör noteras att det av 114 kap. 17 § SFB följer att behörighet för åtkomst till socialförsäkringsdatabasen ska – inom socialförsäkringens administration – tilldelas genom en särskild handling och begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter. Av lagmotiven framgår att detta formkrav för tilldelning av behörighet inte ska gälla utanför socialförsäkringens administration – t.ex. i fråga om handläggare av studiestödsärenden hos CSN som har direktåtkomst till social- försäkringsdatabasen. Även för en sådan handläggare gäller dock givetvis att behörigheten ska begränsas till vad som behövs för att denne ska kunna fullgöra sina arbetsuppgifter (prop. 2002/03:135 s. 87). Samma krav att behörigheten ska begränsas till vad som behövs för att den enskilde ska kunna fullgöra sina arbetsuppgifter bör gälla för ISF:s tilldelning av behörigheter. Vi föreslår därför att motsvarande krav införs genom 11 § förslaget till lag om behand- ling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. En befattningshavare vid ISF måste, för att kunna bereda sig åtkomst till socialförsäkringsdatabasen, ha erfor- derliga åtkomsträttigheter inom ISF:s system. Inspektionen ska – inom sin it-miljö – bestämma villkoren för tilldelning av behörighet för elektronisk tillgång till personuppgifter. Vidare föreslås att ISF ska se till att elektronisk tillgång till personuppgifter dokumenteras och att det systematiskt och återkommande kontrolleras om någon obehörig åtkomst till uppgifter har förekommit. Det kan inte uteslutas att det kan behövas mer preciserade bestämmelser rörande tilldelning av behörighet för åtkomst till uppgifter eller om dokumentation och kontroll. Regleringen måste kunna anpassas i enlighet med den tekniska utvecklingen och eventuella förändringar inom ISF:s verksamhet, myndighetens storlek och personalssammansättning. Regeringen eller den myn- dighet som regeringen bestämmer kan meddela de föreskrifter om dokumentation och kontroll som kan behövas. Om sådana före- skrifter ska tas fram på myndighetsnivå, bör det ske i samråd med Datainspektionen. Dessa bestämmelser ska inte avvika från bestämmelserna om säker- heten vid behandling i 30–32 §§ PUL utan utgör preciseringar av dessa bestämmelser. ISF har således att i andra avseenden än som särskilt regleras vidta lämpliga åtgärder enligt vad som följer av PUL för att skydda de personuppgifter som behandlas (jfr prop. 2008/09:96 s. 55). Den enskilde handläggaren hos ISF ska alltså inte ges elektro- nisk tillgång till personuppgifter i större utsträckning än vad som krävs för att handläggaren ska kunna fullgöra sina arbetsuppgifter. Förutsättningarna för tilldelning av behörighet bör framgå av interna föreskrifter. Beslut om tilldelning av behörighet bör doku- menteras skriftligt och lämpligen kompletteras med tekniska begränsningar som förhindrar att handläggaren elektroniskt kom- mer åt personuppgifter som han eller hon inte har behov av i sitt arbete och följaktligen inte ska ha åtkomst till. Den tekniska lös- ning som väljs ska garantera att tillräcklig säkerhet uppnås. I vilken omfattning en enskild handläggare behöver ha tillgång till personuppgifter för att kunna fullgöra sina arbetsuppgifter och vilka enskilda uppgifter som han eller hon ska ha tillgång till får avgöras från fall till fall. Härvidlag krävs att individens arbetsuppgifter är väl definierade. Vid ISF torde behovet av tillgång till uppgifter variera inte bara mellan olika personalkategorier, utan även mellan anställda inom samma personalkategori. Administrativ personal behöver sannolikt inte någon tillgång alls till de uppgifter som omfattas av den föreslagna lagens tillämpningsområde. Handläggarnas behov av tillgång till uppgifter varierar beroende på aktuellt uppdrag. Det är vidare så att inte endast anställd personal hos ISF kan ha ett behov av att få tillgång till uppgifter. Även om myndigheten i huvudsak genomför sina projekt med anställd personal händer det att projekten utförs som samarbeten mellan egen personal och externa analytiker som fullgör uppdrag för ISF. Det är därför inte lämpligt att dra gränsen utifrån vilka som är anställda hos ISF. Det väsentliga är att myndigheten ser till att ingen har större åtkomst till uppgifter än vad denne har behov av för att kunna fullgöra sina arbetsuppgifter. Behovet av åtkomst varierar således inte enbart på grundval av personalkategori, utan även på grundval av aktuella arbetsuppgifter. Den som end- ast arbetar med ett visst avgränsat ärende, har inte behov av att ta del av uppgifter i ett annat avgränsat ärende. Det kan vidare vara motiverat att inom ramen för samma projekt göra skillnader i behörighets- tilldelning mellan t.ex. anställda hos ISF och andra som anlitats för att utföra arbete åt ISF eller annars mellan de medverkande beroende på roller och liknande. För att kunna utreda och beivra obehörig åtkomst som inte för- hindrats av tekniska begränsningar bör som ovan nämnts den elek- troniska tillgången till personuppgifter dokumenteras i en logg. Det krävs också att det systematiskt och återkommande kontrolle- ras om någon obehörig åtkomst till personuppgifterna har före- Det räcker alltså inte att loggarna kontrolleras bara när ISF av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit. Det är i första hand upp till ISF att bedöma hur kontrollerna ska genomföras. Avsikten är att myndigheten ska uppnå en lämplig säkerhetsnivå med beaktande av vad som anges i 31 § PUL, t.ex. utifrån vilka tekniska möjligheter som finns, vad åtgärderna kostar att genomföra, vilka särskilda risker som finns med behandlingen av personuppgifterna samt hur pass känsliga uppgifter som behand- las. Att loggning sker och att loggarna av myndigheten kontrolleras systematiskt och återkommande innebär inte bara att obehörig åtkomst kan upptäckas och beivras i efterhand utan torde också ha en avhållande effekt. Om någon överträder de förbud som föreskrivs eller de begräns- ningar av åtkomsträttigheter som införs aktualiseras straffansvar. Av 4 kap. 9 c § BrB följer att den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Från har dessutom införts en särskild straffskala för grovt dataintrång. I 10 kap. 5 § BrB föreskrivs vidare ansvar för trolöshet mot huvudman om någon, som på grund av förtroendeställning fått till uppgift att självständigt handha kvalificerad teknisk uppgift eller övervaka skötseln av sådan uppgift, missbrukar sin förtroendeställning och därigenom skadar huvudmannen. Det är tekniska funktionärer i ledande ställning som t.ex. föreståndare för datorcentraler och liknande tekniskt ansvariga personer i nyckelpositioner som omfattas av straffbudet. Också utomstående konsulter tillhör den krets som kan drabbas av ansvar. Om brottet är allvarligt, skall den särskilda straffskalan för grovt brott kunna användas (prop. 1985/86:65 s. 46 f.). Enligt vår bedömning kan bestämmelsen om trolöshet mot huvudman omfatta personer inom ISF som kommer att inneha de informationsansvarigas position medan bestämmelsen om dataintrång gäller för var och en som olovligen bereder sig tillgång till en uppgift. 9.6Ytterligare en kontrollinstans? Säkerhetsarbetet inom ISF är enligt vår mening väl utvecklat. Det finns därmed goda förutsättningar för att skapa och vidmakthålla en sådan säkerhetsnivå som krävs för att genomföra förslaget om en integritetsskyddsfunktion. Det föreslagna systemet ger ett betydande persondataskydd. Det skulle därför kunna ifrågasättas om inte det skydd som införs genom integritetsskyddsfunktionen är tillräckligt. Vid bedömningen av frågor som är särskilt känsliga från integri- tetsskyddssynpunkt kan det emellertid behöva vidtas ytterligare åt- gärder för att säkerställa att erforderligt skydd uppnås. Frågor som innefattar etiska överväganden och en närmare analys av hur myn- dighetens behov av behandlingen i det enskilda fallet förhåller sig till de integritetsrisker som denna för med sig kan enligt vår me- ning kräva en hantering i särskild ordning. Vi har därför övervägt om en särskild skyldighet ska införas för ISF att samråda med Datainspektionen när känsliga bedömningar aktualiseras. Fördelen med en bestämmelse om samrådsskyldighet är att tillsynsmyndigheten informeras om nya, särskilt känsliga behandlingar av personuppgifter och vid behov kan reagera mot en planerad behandling. En sådan samrådsskyldighet föreskrivs i t.ex. 2 § första stycket polisdataförordningen (2010:1155) när polisen planerar nya IT-system av större omfattning eller nya IT-system som kan innebära särskilda risker för intrång i den personliga integriteten och när polisen genomför betydande förändringar i sådana system. Till har härvid delegerats en rätt att meddela föreskrifter om att sådant samråd ska ske genom styrelsen. Även i 20 a § förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten föreskrivs en samråds- skyldighet. Innan beslut fattas om nya system för automatiserad behandling eller om sådana större förändringar i befintliga system som bedöms innebära risker för intrång i den personliga integriteten ska Arbetsförmedlingen inhämta synpunkter från Datainspektionen. Enligt dessa bestämmelser ska, vid bedömningen av risken för intrång i den personliga integriteten, särskild vikt läggas vid om känsliga – i den senare bestämmelsen även ömtåliga – personuppgifter kommer att behandlas i systemet.