sou · H2B367 · 2014-09-19 00:00:00 — Det kommer vidare att finnas ett absolut förbud mot att behandla personuppgifterna i syfte att ta reda på en enskilds identitet. Utgångspunkten för förslagen i promemorian är att de ska utgöra en lämplig avvägning mellan skyddet för den enskildes personliga integritet och kravet på effektiv och ändamålsenlig tillsyns- och granskningsverksamhet hos ISF. De begränsningar för behandlingen som föreslås i form av bl.a. ändamåls- bestämmelser och regler om hur uppgifterna får lämnas ut, bör utgöra ett tillräckligt skydd för den personliga integriteten. Att tillgången till uppgifterna är begränsad till en liten krets vid ISF och att det finns en särskild reglering avseende när uppgifterna ska gallras bidrar också till att minska riskerna för enskilda. Sammantaget bör enligt vår mening våra förslag, i förhållande till nuvarande ordning där ISF nödgas ansöka om etikprövning för att kunna behandla känsliga personuppgifter, medföra ett stärkt skydd för den personliga integriteten som de tillgodoser intresset av att åstadkomma en effektiv och ändamålsenlig verksamhet hos ISF. 15.4Konsekvenser för internationella åtaganden Förslaget förväntas inte ha några konsekvenser som påverkar åtaganden inom EU eller . () konvention (nr 168) om främjande av sysselsättning och skydd vid arbetslöshet som kompletterar bl.a. konvention (nr 122) om sysselsättnings- politik berör den arbetsmarknadspolitiska verksamheten. Konven- tionen innehåller dock inga regler om behandling av personuppgifter. Vidare har antagit riktlinjer som rör behandling av person- uppgifter för arbetstagare, of workers personal data – An code of practice (1997). Riktlinjerna är inte rättsligt bindande men syftar till att ge vägledning i såväl övergripande regleringsfrågor som mer praktiska frågor som berör den enskilda arbetsplatsen. I Svenska ILO-kommitténs remissyttrande över Ds 2010:33 Borttagandet av samtyckeskravet vid behandling av käns- liga och ömtåliga personuppgifter i den arbetsmarknadspolitiska verksamheten har kommittén bedömt att det inte finns några kon- ventioner som behandlar de frågor som anges i departementspro- memorian och att förslaget därför inte kan anses strida mot åtaganden enligt ratificerade (se prop. 2010/11:42). Inte heller förslagen i denna promemoria bedöms strida mot några åtaganden enligt ratificerade . Förslagen bedöms inte få några särskilda konsekvenser för jämställd- heten. Förslagen har positiva konsekvenser för miljön. ISF kommer att få direktåtkomst till information och möjlighet att behandla person- uppgifter elektroniskt. ISF kommer även att få sända information elektroniskt till enskilda och myndigheter. Digital hantering leder till lägre förbrukning av papper samt färre transporter i samband med posthantering. Det leder i sin tur till att miljöbelastningen kan minska. Förslagen bedöms inte ha några särskilda effekter för vare sig små eller stora företag. 15.8Konsekvenser av att inte genomföra förslagen ISF:s verksamhet syftar till att bidra till en stärkt rättsäkerhet och ökad effektivitet inom socialförsäkringen. Verksamheten ökar även kunskapen om hur socialförsäkringssystemet fungerar och om hur effekterna av olika insatser påverkar individer inom socialförsäk- ringsområdet, vilket är avgörande för ett väl fungerande socialför- säkringssystem. ISF:s verksamhet ska dessutom bidra till en ökad tilltro hos medborgarna för socialförsäkringen och dess administ- ration. Det är därför ett viktigt samhällsintresse att ISF kan fort- sätta att bedriva en effektiv och ändamålsenlig verksamhet. Försla- gen i detta betänkande ska naturligtvis inte enbart motiveras utifrån intresset att förbättra möjligheterna till tillsyn och granskning. Det bör dock i sammanhanget poängteras att tillsynen och gransk- ningen syftar till att uppnå kostnadseffektivitet inom socialförsäk- ringsområdet. Om ISF begränsas på ett inte avsett sätt i sina möj- ligheter att hämta in underlag från andra myndigheter och inte ges möjlighet att få direktåtkomst till socialförsäkringsdatabasen, kommer det att få konsekvenser för ISF:s möjligheter att leverera utredningar inom rimlig tid, av god kvalitet och till en rimlig kost- nad. Det är svårt att på förhand veta vilka personuppgifter som kommer att behövas för ett specifikt utredningsuppdrag. Eftersom socialförsäkringen är ett område som kan kräva snabba föränd- ringar beroende på konjunktur, påverkar långa utredningstider även och regeringens möjligheter att utvärdera redan beslutade insatser och åtgärder eller att erhålla underlag inför beslut om nya sådana insatser eller åtgärder. De förslag som lämnas i detta betänkande syftar till att väsentligt förbättra ISF:s förutsätt- ningar att genomföra sitt uppdrag på ett effektivt, ändamålsenligt och rättssäkert sätt och därigenom nå de mål som regeringen och satt upp för socialförsäkringen. 16.1Förslaget till lag (2014:00) om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen 1 § Denna lag gäller vid behandling av personuppgifter i verksamhet vid Inspektionen för socialförsäkringen som avser systemtillsyn och effektivitetsgranskning. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 6–8, 10–14 och 16 §§ gäller även uppgifter om avlidna personer. Paragrafen anger lagens tillämpningsområde. Frågan har behandlats i avsnitt 7.1. I första stycket anges att lagen gäller den verksamhet hos Inspek- tionen för socialförsäkringen (ISF) som avser systemtillsyn och effek- tivitetsgranskning. Lagen är alltså inte tillämplig vid andra typer av verksamheter vid ISF, t.ex. inom den administrativa verksamheten. Då lagen inte är tillämplig gäller personuppgiftslagen (1998:204, förkortad PUL). I första tycket anges inledningsvis att lagen gäller vid behandlingen av personuppgifter. Med personuppgifter avses detsamma som i 3 § PUL, dvs. alla typer av uppgifter som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Vidare har begreppet behandling samma innebörd som i den bestämmelsen, dvs. varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, t.ex. insamling, registrering, organisering, lagring, bearbetning, användning, spridning, sammanställning, samkörning och annat tillhandahållande. I andra stycket klargörs att tillämpningsområdet även är begränsat till helt eller delvis automatiserad behandling eller behandling av personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Genom denna definition ansluter den föreslagna lagens tillämpningsområde till definitionen av PUL:s tillämpningsområde i 5 § PUL. Praxis rörande PUL:s tillämp- ningsområde bör vara vägledande även vid bedömning av frågor rörande den föreslagna lagens tillämpningsområde. Genom bestämmelsen i tredje stycket om att vissa angivna bestämmelser ska gälla avlidna personer utvidgas den föreslagna lagens tillämpningsområde i förhållande till PUL. 2 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig behandlingen. Första stycket gäller inte om personuppgifter samlas in direkt från den enskilde. I sådant fall får personuppgifter behandlas endast om den enskilde har lämnat sitt uttryckliga samtycke till behandlingen. Bestämmelserna i 12 § personuppgiftslagen (1998:204) om återkallelse av lämnat samtycke tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. Bestämmelsen har behandlats i avsnitt 7.2. Av första stycket följer att behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade mot- sätter sig behandlingen. Bestämmelsen i andra stycket utgör ett undantag från huvud- regeln i första stycket. Den innebär att sådana personuppgifter som samlas in direkt från den enskilde genom exempelvis enkäter eller intervjuer endast får behandlas om den enskilde uttryckligen har samtyckt till behandlingen. Bestämmelserna i 12 § PUL om återkallelse av lämnat samtycke ska tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. Detta innebär att den enskilde när som helst kan återkalla ett lämnat samtycke. En återkallelse kan göras skriftligt eller muntligt och ska göras till den personuppgiftsansvarige, i detta fall ISF. Sedan återkallelsen gjorts och kommit till den personuppgiftsansvariges kännedom får ytterligare personuppgifter om den enskilde inte behandlas. Behandlingen av redan insamlade uppgifter får dock fortsätta i enlighet med det ursprungligen lämnade samtycket, men uppgifterna får inte uppdateras eller kompletteras. Med hänsyn till PUL:s krav på kvaliteten hos de personuppgifter som behandlas kan detta i praktiken innebära att uppgifterna måste utplånas eller avidenti- fieras för att de blivit inaktuella, ofullständiga eller oanvändbara för det ändamål för vilket de samlades in. 3 § Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter inom verksamheten vid inspektionen om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag. Bestämmelsen har behandlats i avsnitt 7.3. Som framgår av lydelsen i paragrafen gäller PUL för behandling av personuppgifter inom verksamhet vid ISF om inte avvikande bestämmelser finns i den föreslagna lagen eller föreskrifter som meddelas i enlighet med den lagen eller med stöd av PUL. Den föreslagna lagen omfattar således endast de särbestämmelser och förtydliganden som det bedömts föreligga behov av. 4 § Inspektionen är personuppgiftsansvarig för den behandling av personuppgifter som inspektionen utför. Bestämmelsen har behandlats i avsnitt 7.4. ISF är personuppgiftsansvarig för den behandling som utförs av myndigheten. Med personuppgiftsansvaret följer en rad skyldig- heter enligt såväl PUL som den föreslagna lagen. Det blir särskilt viktigt att fastställa var gränserna går för myndig- heternas personuppgiftsansvar i samband med ISF:s direktåtkomst till socialförsäkringsdatabasen. och Pensionsmyndig- heten är givetvis personuppgiftsansvariga för den insamling och lagring som de utför. Om samma uppgifter lämnas ut till ISF genom direktåtkomst blir ISF personuppgiftsansvarig för den behandling av uppgifterna som sker hos ISF. Var och en ansvarar för sin behandling. ISF är också ansvarig för säkerheten vid behandling av person- uppgifterna och för att tillgången till uppgifterna inom den egna myndigheten begränsas i enlighet med bestämmelsen i 11 §. ISF är således skyldig att se till att endast den som behöver en uppgift för att fullgöra sina arbetsuppgifter har rätt att ta del av den enligt myndighetens arbetsordning eller motsvarande dokument. ISF ska även i den mån det är tekniskt möjligt se till att endast den som behöver en uppgift har möjlighet att få del av den. 5 § Inspektionen ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige anmäler enligt personuppgiftslagen (1998:204) till tillsynsmyndigheten när ett personuppgiftsombud utses eller entledigas. Frågan har behandlats i avsnitt 7.5. I bestämmelsen föreskrivs att ISF ska utse ett eller flera person- uppgiftsombud. I andra stycket ges en upplysning om att den personuppgifts- ansvarige, dvs. ISF, enligt PUL ska anmäla till tillsynsmyndigheten, dvs. Datainspektionen, när ett personuppgiftsombud har utsetts eller entledigats. Ombudet ska se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed och måste förvissa sig om att den personuppgiftsansvarige följer bestämmelserna i och anknytande författningar. Har personuppgiftsombudet anledning att misstänka att den person- uppgiftsansvarige bryter mot de bestämmelser som gäller för be- handlingen av personuppgifter och vidtas inte rättelse så snart det kan ske efter påpekande, ska personuppgiftsombudet enligt 38 § PUL anmäla förhållandet till Datainspektionen; se 2 § person- uppgiftsförordningen (1998:1191). Personuppgiftsombudet ska även i övrigt samråda med Datainspektionen vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personupp- gifter ska tillämpas. En situation då sådant samråd kan vara lämpligt är om uppfattningen hos den befattningshavare som ska besluta om behandlingen skulle stå i strid med beredningsfunktionens ställ- ningstagande i en principiellt viktig fråga. 6 § Personuppgifter får behandlas om det behövs för att fullgöra inspektionens uppdrag att vid sin systemtillsyn eller effektivitets- granskning genomföra undersökningar av 1.rättstillämpning, handläggning och administration inom social- försäkringsområdet och inom verksamheter med direkt anknytning till socialförsäkringen, 2.effekter av förändringar inom socialförsäkringsområdet, och 3.nyttjandet av socialförsäkringen och av system som gränsar till socialförsäkringen. Personuppgifter får även behandlas om det behövs för att inspek- tionen vid sin systemtillsyn och effektivitetsgranskning ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. Bestämmelsen har behandlats i avsnitt 7.6.1. I paragrafen anges ISF:s primära ändamål för behandling av personuppgifter. ISF får enligt paragrafen, om det behövs, behandla personuppgifter för att vid sin systemtillsyn eller effektivitetsgransk- ning genomföra undersökningar av rättstillämpning, handläggning och administration inom socialförsäkringsområdet och inom verksamheter med direkt anknytning till socialförsäkringen, effekter av förändringar inom socialförsäkringsområdet, och nyttjandet av socialförsäkringen och av system som gränsar till socialförsäkringen. Formuleringen system som gränsar till socialförsäkringen utgör ett tillägg i förhållande till formuleringen i 7 § andra spalten sista stycket offentlighets- och sekretessförordningen (2009:641, förkortad OSF) avseende ISF. Frågan om hur angränsande system nyttjas har en betydande inverkan på nyttjandet av socialförsäk- ringen och det har sedan ISF:s undersökningar kom att omfattas av statistiksekretess genom en ändring i 7 § OSF visat sig att ISF har behov av att kunna undersöka även detta för att kunna dra slutsatser av hur socialförsäkringen nyttjas och utvärdera effekter av vidtagna regeländringar eller andra åtgärder. Vi föreslår därför att sista stycket i andra spalten avseende ISF i 7 § OSF justeras så att även undersökningar av system som gränsar till socialförsäkringen omfattas av statistiksekretess. Personuppgifter ska få behandlas även när det behövs för att in- spektionen ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. De primära ändamålen återspeglar de behov av olika behandlingar som förekommer inom den verksamhet som ISF bedriver. Regleringen av de primära ändamålen ger tillsammans med regleringen i 7 § en ram för vilka behandlingar som är tillåtna. Ändamålsregleringen ger möjlighet att behandla såväl person- uppgifter som är direkt hänförliga till enskilda som personuppgifter som inte är direkt hänförliga till enskilda. Personuppgifter som är direkt hänförliga till enskilda kommer dock rent faktiskt inte att hanteras inom själva den granskande verksamheten (se förslaget om en integritetsskyddsfunktion inom ISF, 9 §). Att ISF inte får behandla fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålen framgår av PUL. 7 § Personuppgifter får behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). I paragrafen anges de sekundära ändamålen för ISF:s behandling av personuppgifter. Bestämmelsen har behandlats i avsnitt 7.6.2. 8 § Känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) och personuppgifter som avses i 21 § samma lag får behandlas om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende. Bestämmelsen har behandlats i avsnitt 8.2. Begreppet känsliga personuppgifter definieras i 13 § tredje stycket PUL. Vilka dessa uppgifter är framgår av 13 § första och andra stycket. Sådana uppgifter är personuppgifter som avser ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt sådana personuppgifter som rör hälsa eller sexualliv. Enligt 13 § är det förbjudet att behandla sådana personuppgifter. Av 21 § PUL följer vidare att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträd- elser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden. Den föreslagna paragrafen innebär att känsliga personuppgifter och uppgifter om lagöverträdelser m.m. ska få behandlas inom ISF:s tillsyns- och granskningsverksamhet. För sådan behandling gäller att uppgifterna ska ha lämnats i ett tillsyns- eller granskningsärende eller att behandlingen annars ska vara nödvändig för handläggningen av ett sådant ärende. Eftersom ISF inte kan påverka vilka personuppgifter som ges in i ett ärende får samtliga sådana personuppgifter behandlas. Utanför hanteringen av ett ärende får inte sådana personuppgifter som berörs i paragrafen behandlas, oavsett om de ges in till myndigheten eller redan finns där. ISF:s rätt att behandla känsliga personuppgifter och personupp- gifter om lagöverträdelser regleras i första hand genom denna bestäm- melse, inte genom etikprövningslagens regelsystem, se avsnitt 8.3 och 8.4. Regleringen avses dock inte utesluta att ISF i ett enskilt fall ansöker om etikprövning av behandling av känsliga personuppgifter. Detta kan främst komma att bli aktuellt om det behövs för publicering av resultatet för forskningsändamål och om en sådan prövning i övrigt framstår som naturlig med beaktande av de aktuella frågornas art. Ett liknande undantag föreskrivs i 8 § personuppgiftsför- ordningen (1998:1191). Det är emellertid begränsat till uppgifter i löpande text. Den föreslagna bestämmelsen gäller hos ISF i stället för föreskriften i förordning. 9 § Vid inspektionen ska finnas en integritetsskyddsfunktion. Den ska ha till uppgift att tekniskt och administrativt skydda enskildas person- liga integritet och upprätthålla en lämplig säkerhetsnivå för de person- uppgifter som behandlas. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om integritetsskyddsfunktionen enligt första stycket. Paragrafen har behandlats i avsnitt 9.4. I första stycket slås fast att en integritetsskyddsfunktion ska inrättas inom ISF. Funktionen ska ha till uppgift att på ett säkert sätt lagra de uppgifter som lämnas till eller hämtas in av ISF, koda uppgifter så att medarbetare vid ISF normalt inte får tillgång till personuppgifter som är direkt hänförliga till enskild, bereda myndigheten direktåtkomst till uppgifter i socialförsäkringsdatabasen, samt administrera åtkomst- rättigheter till uppgifter på ISF:s servrar och till socialförsäkrings- databasen. Vid integritetsskyddsfunktionen ska endast några få befatt- ningshavare – informationsansvariga – vara verksamma. För dem ska särskilda krav ställas på kompetens. I andra stycket finns en upplysning om att regeringen kan meddela föreskrifter om integritetsskyddsfunktionen enligt första stycket. 10 § Personuppgiftsbehandling som från integritetsskyddssynpunkt är av principiell betydelse eller annars av särskilt känslig natur ska beredas i särskild ordning. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om beredning i särskild ordning enligt första stycket. Paragrafen har behandlats i avsnitt 9.7. I första stycket anges att i de fall där frågor av känslig natur uppkommer ska en beredning inför beslut ske i särskild ordning av en särskilt kvalificerad funktion inom myndigheten. Genom denna beredning ska säkerställas att väl avvägda beslut fattas beträffande behandlingen av personuppgifter så att registrerades personliga integritet inte kränks. Det får genom en samlad bedömning i det enskilda fallet avgöras om den särskilda beredningsgruppens med- verkan krävs i ärendet. Denna grupp bör bestå både av medarbetare från ISF och av andra personer. I andra stycket ges en upplysning om att regeringen kan meddela föreskrifter om beredning i särskild ordning enligt första stycket. Tilldelning av behörighet för elektronisk åtkomst 11 § Inspektionen ska bestämma villkoren för tilldelning av behörighet för elektronisk åtkomst till personuppgifter. Behörigheten ska begränsas till vad som behövs för att den enskilde befattnings- havaren ska kunna fullgöra sina arbetsuppgifter inom ramen för inspektionens tillsyns- och granskningsverksamhet. Paragrafen, som reglerar elektronisk åtkomst till personuppgifter, har behandlats i avsnitt 9.5. I bestämmelsen anges att inspektionen bestämmer villkoren för tilldelning av behörighet för elektronisk åtkomst till personupp- gifter via inspektionens system. Åtkomsten ska begränsas till vad som behövs för att kunna fullgöra arbetsuppgifter inom ramen för inspektionens tillsyns- och granskningsverksamhet. Den enskilde handläggaren får således inte ges elektronisk åtkomst i större utsträckning än vad som är nödvändigt för att utföra arbetsupp- gifterna. Denna rätt till åtkomst ska framgå av interna regler eller beslut och avse såväl uppgifter som finns i ISF:s it-miljö som uppgifter som inhämtas genom direktåtkomst, i den mån sådan åtkomst begränsas genom åtgärder hos ISF. Tekniska begräns- ningar ska hindra åtkomst till uppgifter som befattningshavaren enligt regler eller beslut inte ska ha tillgång till. Vilken elektronisk åtkomst till personuppgifter som en enskild handläggare behöver för att utföra sina arbetsuppgifter får avgöras från fall till fall. Begreppet befattningshavare avser i förekommande fall även extern personal. De med stöd av bestämmelsen föreskrivna villkoren för elektronisk åtkomst kan få betydelse vid tillämpningen av bestämmelser om straffansvar, bl.a. för dataintrång enligt 4 kap. 9 c § . Kontroll av elektronisk åtkomst 12 § Inspektionen ska se till att elektronisk åtkomst till personupp- gifter dokumenteras och kan kontrolleras. Inspektionen ska göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om dokumentation och kontroll enligt första stycket Paragrafen har behandlats i avsnitt 9.5. Enligt första stycket ska den faktiska elektroniska åtkomsten till personuppgifter dokumenteras, t.ex. i en logg (behandlingshistorik). Dokumentationen ska avse alla former av elektronisk tillgång och elektroniskt utlämnande som har förekommit. ISF ska systematiskt och återkommande kontrollera om någon obehörig åtkomst till uppgifter har förekommit. Det är således inte tillräckligt att ISF kontrollerar loggar endast när myndigheten har funnit skäl att misstänka att obehörig åtkomst skulle ha förekommit. Bestämmelserna i paragrafen avviker inte från bestämmelserna om säkerhet vid behandling i 30–32 §§ PUL, utan utgör preciseringar av dessa bestämmelser. ISF ska alltså i andra avseenden än vad som särskilt regleras i registerförfattningen vidta lämpliga åtgärder enligt vad som följer av PUL för att skydda de personuppgifter som behandlas. I andra stycket finns en upplysning om att regeringen kan meddela föreskrifter om dokumentation och kontroll enligt första stycket. 13 § Uppgifter i tillsyns- och granskningsärenden får inte samman- föras med varandra eller med andra uppgifter i syfte att ta reda på en enskilds identitet. Bestämmelsen, som innehåller ett förbud mot s.k. bakvägsidentifie- ring, har behandlats i avsnitt 11.1.