sou · H2B367 · 2014-09-19 00:00:00 — Såvitt framgår av författningsregleringen och lagmotiven har av- sikten, när ISF kom till, inte varit att etablera en forsknings- myndighet inom området. I stället anges uppföljning, utvärdering och kvalitetssäkring som exempel på vad ISF ska ägna sig åt. I ISF:s verksamhet finns dock inslag av forskning – ISF använder sig av forskningsresultat och brukar ofta vetenskapliga metoder för att utföra uppgiften på ett effektivt, beprövat och trovärdigt sätt. Syftet med ISF:s verksamhet är delvis att generera ny kunskap. Dessutom har en stor del av ISF:s personal forskarutbildning och en specialist- kompetens inom sitt område. Den centrala etikprövningsnämnden har, som redovisats ovan, i sin praxis vid bedömningen av om ett projekt kan betraktas som forskning särskilt beaktat om resultaten av det är avsett att publiceras i vetenskaplig tidskrift. Om avsikten är att sprida resultatet av undersökningen i vetenskapliga publikationer kan syftet inte sägas vara begränsat till myndighetsinternt utvärderings- arbete, utan har då bedömts utgöra forskning – utvecklingsarbete på vetenskaplig grund – om undersökningen i övrigt uppfyller de krav som gäller för att forskning ska föreligga. Vetenskapligt utvecklingsarbete som inte är myndighetsinternt utvärderingsarbete bör omfattas av etikprövning. Vi kan härvidlag konstatera att ISF:s utvärderingar i flera fall har lett till publicering i vetenskapliga tidskrifter och att fler publiceringar är planerade framöver. Utvärderingarna är inte myndighetsinterna utan syftar alltid till granskning av andra verksamheter. De av ISF:s projekt som är avsedda att publiceras för forskningsändamål bör således enligt vår mening kunna genomföras med stöd av ett godkännande från en etikprövningsnämnd. Gränsen mot den verksamhet för tillsyn och granskning som ISF bedriver, utan att rekvisiten för forskning uppfylls, är dock inte skarp. Det är knappast ändamålsenligt att här söka dra upp en exakt sådan gräns. För myndigheter med tillsyns- och granskningsupp- gifter inställer sig dock delvis andra avvägningsfrågor än för forsk- ningsmyndigheter. Rättssäkerheten och effektiviteten ska värnas. Tillsyn och granskning behöver därför ske sammanhållet och syste- matiskt. får arbetet inte bedrivas så att det leder till otill- börligt integritetsintrång. Det framstår knappast som ändamåls- enligt att införa samma organisation och samma kriterier, för den avvägning som måste göras mellan motstående intressen, som när enskilda forskningsprojekt, som vanligtvis saknar inbördes samband, ska bedömas utifrån huvudsyftet forskning. ISF bedriver tillsyn och granskning enligt sin instruktion och utifrån uppdrag som lämnas av regeringen. ISF rapporterar till regeringen och myndigheter som blir föremål för ISF:s åtgärder ska informeras av ISF om resultatet. Under sådana förhållanden bör ISF:s rätt att behandla känsliga personuppgifter och personuppgifter om lagöverträdelser i första hand regleras genom den föreslagna registerlagen, inte genom EPL:s regelsystem. Någon hänvisning till EPL behövs därmed inte i den föreslagna registerlagen. Detta bör dock inte utesluta att ISF ansöker om etikprövning av behandling av känsliga personuppgifter i ett visst projekt, om detta bedöms leda till publicering av resultatet för forskningsändamål i en vetenskaplig tidskrift för vilken ett godkännande av en etik- prövningsnämnd krävs, eller om en sådan prövning i övrigt fram- står som naturlig med beaktande av de aktuella frågornas art. av någon anledning inte godkänna ISF:s ansökan bör ISF inte gå vidare med behandling av upp- gifterna och därvid hävda att alternativt stöd finns för behandlingen genom den registerlag vi nu förslår. Något sådant skulle sannolikt negativt påverka förtroendet för myndighetens verksamhet. Om så ändå skulle ske har ISF:s personuppgiftsombud möjlighet att agera (se avsnitt 7.5) och efter påpekande anmäla förhållandet till Data- inspektionen. Datainspektionen kan vid behov inleda ett tillsyns- ärende och vidta erforderliga åtgärder. 9.1Tekniskt och administrativt skydd Automatiserad behandling av personuppgifter bör redan när arbe- tet inleds med att utveckla de tekniska och administrativa rutinerna ges en sådan utformning att riskerna minimeras för otillbörliga intrång i enskildas personliga integritet. Att bygga in sådana mek- anismer – s.k. inbyggd integritet (eng. privacy by design) - har framstått som ett naturligt val för oss. Det har dels berott på att ISF i praktiken arbetar utifrån en sådan metod och att våra överväganden har kunnat bygga på arbete som ISF redan har utfört, dels att allmänt hållna teknikneutrala begränsningar av det slag som är vanligt i registerförfattningar inte är konstruerade för verksamheter där uppdragen och behoven av att behandla person- uppgifter är så olikartade som hos ISF. För att föreslå ett fungerande rättsligt skydd för den personliga integriteten har vi utgått från följande förutsättningar. Av 31 § personuppgiftslagen (1998:204, förkortad PUL) följer att den personuppgiftsansvarige är skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Beskrivningen i PUL av de faktorer som ska beaktas är emellertid allmänt hållen. Åtgärderna ska åstadkomma en säker- hetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de sär- skilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. I denna del har anfört att det väsentliga är att en lämplig säkerhetsnivå uppnås oavsett om denna kommer till stånd genom tekniska hjälpmedel eller genom organisatoriska åtgärder; målet är det viktiga och inte vilka medel som används för att nå dit (se betänkande av , Integritet Offentlighet Informationsteknik (SOU 1997:39), s. 412 f.). har det blivit allt vanligare att utforma de tekniska syste- men så att förmågan att följa reglerna om persondataskydd ska öka. ISF har kunnat hantera känsliga personuppgifter efter att en etikprövning skett i enlighet med lagen (2003:460) om etik- prövning av forskning som avser människor. Vi har i avsnitt 8.4.2 funnit att ISF:s rätt att behandla känsliga personuppgifter och per- sonuppgifter om lagöverträdelser bör regleras genom den register- lag som föreslås och – normalt – inte genom etikprövningslagens regelsystem. Ambitionen bör vara att skapa ett reellt skydd och en lämplig säkerhetsnivå, med stöd av en ny registerförfattning för ISF, där persondataskyddet byggs in såväl tekniskt som organisato- riskt. 9.3En beslutsordning för hanteringen av personuppgifter Till att börja med bör personuppgifter få hämtas in bara inom ra- men för ett beslutat tillsyns- eller granskningsärende. Ett formellt beslut om att inleda en sådan tillsyn eller granskning fattas på myndighetsnivå. Inga registerdata eller akter bör få hämtas in i ett tillsyns- eller granskningsärende utan att en särskild beställning upprättats, samt granskats och godkänts av den chef som utsetts till ansvarig för tillsyns- eller granskningsärendet. En sådan granskning avses inne- bära en kontroll av att de uppgifter som omfattas av beställningen är relevanta och inte fler än nödvändigt för att genomföra det aktu- ella tillsyns- eller granskningsärendet. Chefen för tillsyns- eller granskningsärendet bör också bedöma om det är nödvändigt att ISF tar del av personnummer o.l. och om direktåtkomst till social- försäkringsdatabasen bör få användas i det aktuella ärendet, se vidare nedan. Vid vissa ställningstaganden kan det övervägas om ytterligare bedömningar bör göras i särskild ordning för att säkerställa en hög skyddsnivå för de registrerades personliga integritet (se vidare avsnitt 9.6). Vårt förslag: En integritetsskyddsfunktion ska inrättas vid ISF. Den ska ha till uppgift att tekniskt och administrativt skydda enskildas personliga integritet och upprätthålla en lämplig säker- hetsnivå för de personuppgifter som behandlas. Regeringen kan meddela föreskrifter om integritetsskyddsfunktionen. Vid ISF:s registerstudier och aktgranskningar finns två situationer där ISF har behov av att behandla personuppgifter i sådan form att de är direkt hänförliga till de registrerade; dels vid direktåtkomst till socialförsäkringsdatabasen (se vidare kap. 10 om direktåtkomst och annat elektroniskt utlämnande), dels vid behandling av uppgifter som hämtas in på annat sätt, såväl från och som andra aktörer. Med direktåtkomst avses här att en befattningshavare vid ISF från ISF:s it-miljö tar del av uppgifter i informations- samlingar för vilka myndigheter inom socialförsäkringens admi- nistration är personuppgiftsansvariga. De uppgiftssamlingar som och Pensionsmyndig- heten använder för att administrera socialförsäkringsförmåner regleras i 114 kap. socialförsäkringsbalken (förkortad SFB; se 114 kap. 2 § SFB) och i PUL. ansvarar för registren inom sitt verksamhetsområde, exempelvis ålderspensions-, intjänande- och pensionspoängsregistret. och får i sina verksam- heter som rör socialförsäkringens administration även behandla personuppgifter om det är nödvändigt för att planera verksam- heten, att genomföra resultatstyrning, resultatuppföljning, resultat- redovisning, utvärdering och tillsyn av verksamheten eller för att framställa statistik. Inom den delen av verksamheten får känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Inom och Pensions- myndighetens verksamhet gäller i övrigt särskilda begränsningar för behandling av känsliga personuppgifter om det inte är fråga om behandling av uppgifter i handlingar i ärenden. Samlingsnamnet för och Pensionsmyndig- hetens uppgiftssamlingar för ärendehantering m.m. är socialförsäk- ringsdatabasen (se 114 kap. 5 § SFB). Bestämmelser om behand- ling av personuppgifter i socialförsäkringsdatabasen finns i 114 kap. 14–16 §§ SFB. Det bör uppmärksammas att den framställning av statistik som är aktuell endast omfattar vissa typer av statistik. och behandling av personuppgifter för framställ- ning av den officiella statistiken sker med stöd av lagen (2001:99) om den officiella statistiken. Vid sidan av den officiella statistiken framställs emellertid statistik inom socialförsäkringens administration dels i form av s.k. verksamhetsstatistik, som tar sikte på måluppfyllelse i fråga om ärendehantering etc. inom respektive myndighet, dels statistik som är hänförlig till åligganden för respektive myndighet att analysera utvecklingen inom de olika förmånsslagen m.m. Endast dessa typer av statistik omfattas av och Pensions- myndighetens behandling av personuppgifter inom socialförsäk- ringens administration (se prop. 2002/03:135 Behandling av person- uppgifter inom socialförsäkringens administration, s. 66 f.). I social- försäkringsdatabasen finns dock även uppgifter som omfattas av lagen om den officiella statistiken. Uppgifterna presenteras på individnivå knutna till person- nummer eller ett särskilt ID-nummer som eller har försett uppgiften med. I socialförsäk- ringsdatabasen förekommer också namn och liknande uppgifter med vilka en individ direkt kan identifieras. I övrigt innehåller dessa register bl.a. uppgifter om medborgarskap, adress, civilstånd, make/maka, barn, vårdnad, god man eller förvaltare, skatteförhål- landen, samordningskoder, förmånstyper, omfattningen av för- måner och storlek på utbetalningar (belopp/period), beslut av olika slag, återbetalningsskyldighet och kontonummer. I och faktiska arbete med att ta fram information för att planera verksamheten samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av verksamheten samt framställa statistik inom socialförsäkringens administration samlas relevanta uppgifter i ett datalager betecknat StoRe (STatistik- Och REsultat). Inom StoRe samlas information från socialförsäkringsdatabasen tillsammans med administrativ information rörande enskilda. Uppgiftssamlingarna innehåller information om samtliga individer som omfattas av social- försäkringen och uppdateras fortlöpande. kommer att övergå till att i stället använda ett liknande datalager som kallas Pedal. ISF behöver vid sina undersökningar ha tillgång till uppgifter från socialförsäkringsdatabasen (se vidare kap. 10). Omedelbar åtkomst till socialförsäkringsdatabasen ska vara begränsad genom tekniska och administrativa funktioner; s.k. behörighetskontrollsystem (BKS). Det blir alltså inte fråga om någon fri tillgång för befattningshavare vid ISF till personuppgifter i socialförsäkringsdatabasen. I praktiken får åtkomsten begränsas genom regler och beslut på sätt som vi åter- kommer till samt till vad som i praktiken kan fungera. ISF kan vid behandling av uppgifter som hämtas in från andra aktörer än och även behöva behandla uppgifter i sådan form att de är direkt hänförliga till de registrerade, t.ex. personnummer, för att kunna föra samman uppgifter från olika källor. Sådan bearbetning med hjälp av t.ex. personnummer är ibland nödvändig i myndighetens verksamhet för att exempelvis få kunskap om vissa samband eller för att lägga till nya årgångar till longitudinella datamängder. I de fall där helt avi- dentifierade uppgifter inte har räckt för ISF och då uppgifter från olika aktörer har behövt föras samman för att utföra en registerstudie, har nuvarande hantering vanligtvis byggt på hjälp från , eller i vissa fall SCB, som för ISF:s räkning har utfört den samman- koppling av personuppgifter som krävts. Personnummer och andra ID-nummer som använts för denna hantering har behållits av respektive SCB så att ISF varken haft möjlighet att själv föra samman dessa uppgifter eller att ta del av uppgifter som är direkt hänförliga till de registrerade. ISF har förklarat att ett sådant förfarande kan skapa en högre skyddsnivå om ISF ges direktåtkomst till socialför-säkrings- databasen eftersom ISF därmed kommer att ha tillgång till person- nummer och ID-nummer. Detta kan knappast hindras genom tekniska spärrar i de särskilda system – BKS – som och har för att styra åtkomsten till social- försäkringsdatabasen. Frågan är därmed vilka åtgärder som kan vara lämpliga för att kompensera de risker som en direktåtkomst kan föra med sig. I denna del förordar vi en lösning som bygger på en integritets- skyddsfunktion. Syftet med att inrätta en sådan funktion skulle vara att stärka såväl persondataskyddet som informationssäkerheten inom ISF. Funktionen avses ha till uppgift att lagra de uppgifter som lämnas till eller hämtas in av ISF på ett säkert sätt, förse uppgifter som är direkt hänförliga till enskilda med en beteckning innan de görs tillgängliga för berörda befattnings- havare i ett tillsyns- eller granskningsärende (projektmed- arbetare), så att sådana medarbetare normalt inte får tillgång till personuppgifter som är direkt hänförliga till enskilda, bereda ISF direktåtkomst till uppgifter i socialförsäkringsdata- basen, administrera behörigheter, bl.a. genom att styra åtkomsten för projektmedarbetare i tillsyns- eller granskningsärenden, till -uppgifter lagrade på ISF:s servrar, och -socialförsäkringsdatabasen, när de befattningshavare hos ISF som har till uppgift att sköta integritetsskyddsfunktionen (informationsansvariga) av administrativa skäl måste delegera en sådan åtkomst till en projektmedarbetare. I de fall ISF har behov av att sambearbeta uppgifter från olika käl- lor innebär lösningen med en integritetsskyddsfunktion att sambe- arbetningen sker i två steg. Först ska det material som används omvandlas så att det inte är direkt hänförligt till enskilda genom att personuppgifterna i de olika uppgiftssamlingarna – vanligtvis olika filer – kodas så att det får samma identifikationsnummer. Det är vid denna omvandling som personnummer eller annan beteckning som är direkt hänförlig till en individ används. Det andra steget innebär att uppgifter kopplas ihop. Det är det första steget som kan bli särskilt känsligt från identifieringssynpunkt medan det andra steget bara utgör en sammankoppling. En förutsättning för att kunna hävda en sådan skillnad är emellertid att den som utför själva sammankopplingen inte har tillgång till någon uppgift från det steg när uppgifterna omvandlades till att inte längre vara direkt hänförliga till enskilda. I de fall där en sådan uppdelning kan göras – en informationsansvarig kodar uppgifterna medan en projektmedarbetare utför åtgärden för att koppla samman dem – ges ytterligare skydd för enskildas personliga integritet genom att den som har tillgång till uppgiften om identitet inte arbetar med att koppla samman informationen. Åtkomst till socialförsäkringsdatabasen avses av administrativa skäl kunna delegeras till en projektmedarbetare endast i ett begränsat antal fall – vid tidskrävande aktgranskningar, i ett tidigt skede av en register- studie där ISF behöver kunna bilda sig en uppfattning om vilka data som finns och hur de är ordnade eller i syfte att utföra omvärlds- bevakning. I en sådan situation tar ISF i första hand endast del av uppgifterna utan att hämta in dem till myndigheten. Undantagsvis kan åtkomst även komma att delegeras till externa medarbetare, se avsnitt 9.5. Den omvärldsbevakning som ISF behöver genomföra syftar till att följa utvecklingen inom socialförsäkringsområdet på en aggregerad nivå, t.ex. att följa utfallet av beslut inom en viss förmån, för att kunna identifiera områden som bör bli föremål för tillsyn eller granskning framöver. I de fall en sådan insats för omvärldsbevakning kräver direktåtkomst till socialförsäkrings- databasen för en projektmedarbetare, i syfte att ta del av uppgifter, måste insatsen emellertid ha sin grund i en konkret arbetsuppgift inom ramen för ett beslutat ärende. Den beslutsprocedur för de informationsansvarigas inhämtning av personuppgifter som har beskrivits i avsnitt 9.3 ska föregå även ett omvärldsbevakningsärende. Det ska alltså även i ett sådant ärende – så precist som möjligt – vara bestämt i förväg vilka uppgifter behandlingen ska få omfatta. Utöver att och genom sina system för behörighetskontroll (BKS) inför regler och rutiner för extern åtkomstkontroll vid ISF:s användning av direktåtkomst, ska ISF hos sig införa rutiner för finmaskig intern åtkomstkontroll genom integritetsskyddsfunktionen. Loggning av åtgärder behöver ske även hos ISF vid användandet av direktåtkomst till socialför- säkringsdatabasen, se avsnitt 9.4.4 och 9.5 om information och loggning. Utgångspunkten avses liksom vara att ISF ska hämta in uppgifter om personnummer eller liknande bara om det är nödvändigt för arbetsuppgiften, att ISF aldrig ska registrera namn vid register- studier eller aktgranskningar samt att styrningen av åtkomst till och användning av personuppgifter även i övrigt ska utformas så att riskerna för integritetsintrång minimeras. Vidare föreslår vi att särskilda regler ska gälla för bevarande och gallring av personuppgifter hos ISF, se avsnitt 11.3. 9.4.3Kodning och intern åtkomstkontroll Vid en integritetsskyddsfunktion hos ISF bör endast några få befattningshavare – informationsansvariga – vara verksamma. För dem bör särskilda krav ställas på kompetens och redbarhet. Redbar- hetskravet tar här sikte inte bara på allmän hederlighet, pålitlighet och integritet utan även på förmågan att förstå och hantera de sär- skilda risker som uppkommer från persondataskyddssynpunkt. De informationsansvariga ska, som framgått av avsnitt 9.4.2 på ett säkert sätt lagra de uppgifter som lämnas till ISF eller hämtas in av ISF, koda uppgifter innan de görs tillgängliga för projektmedarbetare, koppla ihop uppgifter som ska sambearbetas i de undantagsfall där denna sammankoppling inte kan utföras av projektmedarbetare, hämta in uppgifter från socialförsäkringsdatabasen genom direktåtkomst och lagra sådana uppgifter på ISF:s servrar samt administrera behörigheter, bl.a. genom att styra åtkomsten för projektmedarbetare till uppgifter på servrarna samt till socialförsäkringsdatabasen, när en sådan åtkomst kan bli aktuell för en projektmedarbetare. Inspektionen utser de personer som ska ingå i funktionen. Inledningsvis är tanken att utse två eller tre personer som inform- ationsansvariga men det är svårt att förutse hur arbetsbelastningen kan komma att utvecklas och därmed hur många sådana ansvariga som behövs . En central uppgift för de informationsansvariga blir att bistå resten av organisationen med att koda personuppgifter. Detta avses ske så att personnummer eller annan till individ direkt hänförlig in- formation ersätts med identitetsbeteckningar skapade av ISF; s.k. ISF-ID. Ett sådant ID bygger på en viss matematisk omvandling av personnummer till ett ID-nummer, unikt för en individ. Endast den som har tillgång till nyckeln för ISF-ID har möjlighet att ta reda på vilken individ som uppgifterna rör. Andra än informations- ansvariga vid ISF ska inte kunna härleda uppgiften till individ. Som vi återkommer till i avsnitt 11.1 föreslås också ett förbud för befatt- ningshavare vid ISF mot att vidta åtgärder för bakvägsidentifiering. När uppgifter som hämtats eller lämnats till ISF är försedda med ett särskilt ID-nummer i socialförsäkringsdatabasen, t.ex. StoRe-ID, ska en informationsansvarig i integritetsskyddsfunktionen först omvandla ID-numren till personnummer och därefter ersätta dessa med ISF-ID. Detta förutsätter att och Pensions- myndighetens nycklar mellan dessa ID-nummer och personnummer görs tillgängliga för ISF:s integritetsskyddsfunktion. administrativa åtgärder ska införas för att en sådan nyckel inte ska kunna komma på avvägar eller annars missbrukas. När en uppgift har försetts med ISF-ID ska personnummer, StoRe-ID eller annan sådan uppgift inte längre finnas knuten till uppgiften. Vid integritetsskyddsfunktionen bevaras emellertid nyckeln mellan ISF-ID och personnummer inom ramen för rigo- rösa rutiner, t.ex. kan åtkomst medges endast vid legitimering med kod och eventuellt med tillgång till någon ytterligare funktion i form av dosa eller liknande, s.k. stark autentisering. Genom att per- sonnummer eller annat ID-nummer byts ut mot ett ISF-ID, så snart uppgifter har överförts till ISF:s it-miljö, kommer de upp- giftssamlingar som finns hos ISF – efter att kodning skett – inte att innehålla uppgifter som är direkt hänförliga till en individ. utesluter den föreslagna lösningen inte att t.ex. nya uppgifter i en tidsserie kopplas på i ett tillsyns- eller granskningsä- rende med hjälp av ISF-ID. Detta får emellertid ske endast under strikt reglerade förutsättningar och förutsätter att de nya uppgifter som ska kopplas ihop med befintliga uppgifter hämtas in och kodas av en informationsansvarig vid integritetsskyddsfunktionen – innan uppgifterna kopplas samman. Det ska finnas en behandlingshistorik (logg) som sparas som hanteringen av nycklar ska omgärdas av särskilda tekniska och administrativa skyddsåtgärder. Genom att på lämpligt sätt föreskriva förbud för befattningshavare mot obehörig nyckelanvändning o.l. kommer missbruk dessutom att kunna föranleda straffansvar. Av 18 kap. 9 § 1 offentlighets- och sekretesslagen (2009:400, förkortad OSL) framgår att sekretess gäller för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod, om det kan antas att syftet med metoden motverkas om uppgiften röjs och metoden har till syfte att underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts. Bestämmelsen synes ha tillkommit med sikte på sådana tekniska åtgärder som utgör s.k. kryptering. Informationen förvanskas genom krypteringen till oigenkännlighet och kan på så sätt befordras utan att den röjs för obehöriga. I förevarande fall kom- mer, tekniskt sett, ingen kryptering att äga rum i den meningen att det ursprungliga materialet omvandlas till oigenkännlighet. Den ursprungliga informationen ska alltjämt vara läsbar.