sou · H2B367 · 2014-09-19 00:00:00 — Inbyggd integritet inom Inspektionen för socialförsäkringen Betänkande av Utredningen om personuppgiftsbehandlingen vid ISF SOU och Ds kan köpas från kundtjänst. Beställningsadress: kundtjänst, 106 47 För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför. Statsrådsberedningen, SB PM 2003:2 (reviderad ) En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remiss. Layout: Kommittéservice, . Tryck: , 2014. Till statsrådet och chefen för Regeringen beslutade (dir. 2013:83) att tillkalla en särskild utredare med uppdrag att analysera behovet av en sär- skild lagreglering för behandling av personuppgifter för tillsyns- och granskningsverksamheten vid Inspektionen för socialförsäk- ringen (ISF). Regeringen beslutade om tilläggsdi- rektiv för utredningen (dir. 2014:89) med förlängd tid för uppdra- gets utförande. Som särskild utredare förordnades advokat . Som sakkunniga förordnades ämnesrådet och kanslirådet samt rätts- sakkunnige . Som experter förordnades chefsjuristen , Inspektionen för social- försäkringen, analyschefen , Inspektionen för soci- alförsäkringen, enhetschefen , Pensionsmyndig- heten, chefen för statistikenheten , Arbetsför- medlingen, professorn , , verksjuristen , , datarådet , Datainspektionen och rättsliga specialisten , . ersattes av myndighetsjuristen , som förordnades som expert. Som sekreterare i utredningen anställdes . Utredningen, som antagit namnet Utredningen om personupp- giftsbehandlingen vid ISF (S 2013:13), överlämnar härmed betän- kandet Inbyggd integritet inom Inspektionen för socialförsäkringen (SOU 2014:67). Uppdraget är därmed slutfört. En ny myndighet...................................................................... Skrivelser om behov av en registerförfattning ....................... 2.4Promemorian Behandling av personuppgifter vid Inspektionen för socialförsäkringen, m.m. ............................ Vårt uppdrag och arbete.............................................. Allmänt om handlingsoffentlighet och sekretess .................. Sekretess mellan myndigheter................................................. 4.3Centrala bestämmelser om sekretess på 4.4Sekretessbrytande bestämmelser och undantag från ISF bedriver tillsyn........................................................ Formen för utlämnande................................................ Rättsligt skydd för personuppgifter ............................... medborgerliga och politiska rättigheter....................... 5.2.1 Stadgan om de grundläggande rättigheterna ............... Behovet av en särskild lagreglering ............................... ISF:s uppdrag och verksamhet ................................................ Tillsyns- och granskningsområdet ............................... 6.1.3 Samverkan med andra tillsynsmyndigheter ................. 6.1.6 Rättsligt stöd för ISF:s personuppgiftsbehandling..... Behovet av att behandla personuppgifter................................ 6.2.1 Behandling av personuppgifter från 6.2.2 Behandling av personuppgifter från övriga myndigheter och privata aktörer ................................. 6.2.3 Behandling av personuppgifter vid samverkan med andra tillsynsmyndigheter.................................... 6.3En avvägning mellan ISF:s behov och Behovet av en särskild lag ........................................................ En särskild registerlags övergripande syfte ............................ En ny lag om behandling av personuppgifter ................ Den nya lagens tillämpningsområde ....................................... ISF:s administrativa verksamhet .................................. Automatiserad och behandling av Undantag från rätten att motsätta sig behandling ................ Förhållandet till PUL............................................................... Ändamålen med behandlingarna ............................................. 7.6.1 Primära ändamål och 7 § OSF ..................................... 7.6.2 Sekundära ändamål och finalitetsprincipen............... 7.6.3 Ett rimligt antal personuppgifter per 8.1ISF:s nuvarande möjligheter att behandla känsliga 8.1.1 Behandling med stöd av samtycke............................. Behandling i forskningsverksamhet .......................... 8.1.4 Känsliga personuppgifter får inte behandlas i Behovet av att behandla känsliga personuppgifter ............... EPL och begreppet forskning................................................ Regler om etikprövning .............................................. Vad utgör forskning? Ska EPL gälla för ISF?............................................................ 8.4.2 Den särskilda registerlagen ska gälla .......................... Tekniskt och administrativt skydd........................................ Hanteringen av personuppgifter ........................................... En beslutsordning för hanteringen av personuppgifter ....... 9.4.3 Kodning och intern åtkomstkontroll ........................ 9.4.4 Närmare om det planerade förfarandet ..................... Hanteringen av åtkomsträttigheter ....................................... Ytterligare en kontrollinstans? Beredning i särskild ordning.................................................. Krävs en reglering i lag? Direktåtkomst och annat elektroniskt utlämnande ........ ISF bör medges direktåtkomst till En regel i lag om direktåtkomst ............................................ Innebörden av en föreskrift om direktåtkomst.................... Sekretess hos ISF ................................................................... Annat elektroniskt utlämnande ............................................ 10.10Utlämnande av uppgifter hos ISF ......................................... 10.11Hot och risker ........................................................................ 10.11.1 Skydd enligt PUL och sekretess .......................... 10.11.2 Övrigt regelverk på området................................ Förbud mot behandling i syfte att identifiera enskilda 11.2 Information till den registrerade i form av Bevarande och gallring................................................ Rättelse eller skadestånd ............................................ Uppgiftsskyldighet för Arbetsförmedlingen .................. En uppgiftsskyldighet införs för Arbetsförmedlingen........ 12.2.1 Uppgiftsskyldigheten behöver inte regleras i lag ..... 12.2.2 Närmare om den reglering som föreslås ................... Ska ISF kunna få ut uppgifter som omfattas av 13.1.1 Behovet av uppgifter................................................... 13.1.2 Närmare om regleringen ............................................ 13.1.3 Utlämnandefrågan har behandlats................ Förslag och bedömning avseende utlämnande av 13.2.1 Föreligger statistikändamål? 13.2.2 Föreligger forskningsändamål? 13.2.3 Ska undersökningar som kräver mikrodata inte äga rum?....................................................................... 13.2.4 Möjliga lösningar......................................................... 13.2.5 Utlämnande vid en tillämpning av lagen om den 13.2.6 Bevarande av kodnycklar ............................................ Bättre möjligheter att behandla och att skydda Konsekvenser för den personliga integriteten...................... Konsekvenser för internationella åtaganden .......... Konsekvenser för jämställdheten .......................................... Konsekvenser för miljön........................................................ Konsekvenser för företag....................................................... Konsekvenser av att inte genomföra förslagen..................... Bilaga 1 Kommittédirektiv 2013:83 ............................................... Bilaga 2 Kommittédirektiv 2014:89 ............................................... Bilaga 3 ISFs uppdrag ..................................................................... Förslagen i detta betänkande gör det möjligt för ISF att behandla personuppgifter i den utsträckning som krävs för att myndigheten ska kunna fullgöra sitt uppdrag på ett ändamålsenligt sätt. Samti- digt måste ett fullgott skydd ges för den personliga integriteten. Genom förslagen får ISF ett uttryckligt rättsligt stöd för att automatiserat behandla personuppgifter. Förslagen underlättar därmed den prövning som andra myndigheter måste göra innan de bestämmer sig för att överlämna underlag till ISF. Det föreslås vidare att ISF får ges direktåtkomst till socialförsäkringsdatabasen. Hanteringen blir därigenom effektivare som ISF ges bättre möjligheter att identifiera förbättringsområden inom soci- alförsäkringsområdet. Ändamålsenligt utformad kan ISF:s hante- ring av uppgifter också förenas med kraven på skydd mot oaccep- tabla integritetsintrång. En ny lag om behandling av personuppgifter för ISF Vi föreslår en särskild lag för behandlingen av personuppgifter inom ISF:s tillsyns- och granskningsverksamhet. Lagen ger ISF en grund för behandling av de personuppgifter som ISF behöver för sin verksamhet. ISF ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Vårt lag- förslag innehåller de bestämmelser som är av central betydelse för integritetsskyddet medan kompletterande bestämmelser bör kunna meddelas i förordning eller genom myndighetsföreskrifter. Lagen föreslås gälla vid behandling av personuppgifter i verksamhet vid ISF som avser systemtillsyn och effektivitetsgranskning. behandling av personuppgifter som helt eller delvis är automatise- rad ska omfattas. Även annan behandling av personuppgifter ska omfattas om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I vissa delar föreslås den nya lagen gälla även för uppgifter om avlidna personer. Behandling av personuppgifter som är tillåten enligt den nya lagen ska få utföras även om den enskilde motsätter sig behandlingen. Har ISF samlat in personuppgifter direkt från den enskilde ska uppgifterna dock få behandlas endast med stöd av den registrerades uttryckliga samtycke. Bestämmelserna i 12 § personuppgiftslagen (1998:204, förkortad PUL) om återkallelse av lämnat samtycke tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. Om inte annat följer av den föreslagna lagen eller föreskrifter som har meddelats med stöd av den ska PUL gälla för behandlingen av personuppgifter inom ISF. ISF ska utse ett eller flera personuppgiftsombud. Detta – liksom entledigande av personuppgiftsombud – ska anmälas till tillsyns- myndigheten. Vi föreslår att ISF ska få behandla personuppgifter om det behövs för att fullgöra inspektionens uppdrag att vid sin systemtillsyn eller effektivitetsgranskning genomföra undersökningar av rättstillämp- ning, handläggning och administration inom socialförsäkringsom- rådet och inom verksamheter med direkt anknytning till socialför- säkringen, samt undersökningar av effekter av förändringar inom socialförsäkringsområdet och av nyttjandet av socialförsäkringen liksom av system som gränsar till socialförsäkringen. ISF ska även få behandla personuppgifter om det behövs för att inspektionen vid sin systemtillsyn och effektivitetsgranskning ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. ISF ska vidare få behandla personuppgifter för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt ska 9 § första stycket d och andra stycket PUL gälla. Det möjliggör utlämnande av personuppgifter till exempelvis Datainspektionen. om att behandlingen av personuppgifter inte får avse fler uppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen får anses utgöra ett tillräckligt skydd för den personliga integriteten även hos ISF. ISF har behov av att behandla känsliga personuppgifter. I några fall behöver ISF också få behandla personuppgifter om lagöverträdel- ser. Vi föreslår därför att ISF ska få behandla känsliga personupp- gifter enligt 13 § PUL och personuppgifter som avses i 21 § samma lag om uppgifterna har lämnats i ett tillsyns- eller granskningsä- rende eller annars är nödvändiga för handläggningen av ett sådant ärende. Den särskilda registerlag som vi föreslår för ISF bör gälla framför lagen (2003:460) om etikprövning av forskning som avser människor. Behovet av att reglera behandlingen av känsliga per- sonuppgifter och personuppgifter om lagöverträdelser får tillgodo- ses inom ramen för den lag vi föreslår. Det bör emellertid inte vara uteslutet för ISF att kunna ansöka om etikprövning i ett visst projekt, t.ex. om detta krävs för att forskningen avses leda till publicering som förutsätter att ett godkännande av en etikpröv- ningsnämnd föreligger, eller om en sådan prövning i övrigt framstår som naturlig med beaktande av de aktuella frågornas art. Automatiserad behandling av personuppgifter bör ges en sådan utformning att riskerna för otillbörliga intrång i enskildas personliga integritet minimeras. Det är här lämpligt att bygga in mekanismer i verksamheten – s.k. inbyggd integritet (eng. privacy by design) – som ger ett tekniskt och administrativt skydd vid behandlingen av sådana uppgifter. Vi föreslår att en integritetsskyddsfunktion ska införas inom ISF, som ska ha i uppgift att skydda enskildas personliga integritet och upprätthålla en lämplig säkerhetsnivå för de personuppgifter som behandlas. Integritetsskyddsfunktionen ska bl.a. förse upp- gifter som är direkt hänförliga till enskilda med en beteckning så att uppgifterna, när de används i ISF:s tillsyns- och gransknings- verksamhet, inte är direkt hänförliga till enskilda. Vi föreslår ett förbud mot att sammanföra uppgifter i tillsyns- och granskningsärenden med andra uppgifter i syfte att ta reda på en enskilds identitet. Vidare ska en särskild ordning införas inom ISF för beredning av ärenden som är av principiell betydelse eller annars från integri- tetsskyddssynpunkt av särskilt känslig natur. Genom denna bered- ningsordning avses säkerställas att väl avvägda beslut fattas beträf- fande behandlingen av personuppgifter. Ytterligare om ramarna för behandlingen ISF avses begränsa behörigheten för elektronisk åtkomst till per- sonuppgifter till vad som behövs för att den enskilde befattnings- havaren ska kunna fullgöra sina arbetsuppgifter inom ramen för ISF:s tillsyns- och granskningsverksamhet. ISF ska se till att elektronisk åtkomst till personuppgifter dokumenteras och kan kontrolleras, samt göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Endast enstaka personuppgifter ska få lämnas ut på medium för automatiserad behandling. I övrigt ska personuppgifter få lämnas ut på medium för automatiserad behandling enbart om regeringen har meddelat föreskrifter om det. Utlämnande genom direktåt- komst ska inte vara tillåten. Bestämmelserna i 26 § PUL om information efter ansökan ska inte gälla i fråga om personuppgifter som inte direkt kan hänföras till en enskild och personuppgifter ska gallras så snart de inte längre behövs för det ändamål som de behandlas. Undantag ska emellertid föreskrivas för de fall att regeringen eller den myndighet som rege- ringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelserna i om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter enligt den föreslagna lagen eller föreskrifter som meddelats i anslutning till den. Vi föreslår att ISF medges direktåtkomst till socialförsäkrings- databasen i den utsträckning det behövs för ISF:s systemtillsyn och effektivitetsgranskning. Sammantaget bör de skyddsåtgärder vi föreslår ge en sådan reducering av riskerna för otillbörliga intrång i enskildas personliga integritet att ISF kan ges sådan direktåtkomst. Den kan ge ISF effektiv och säker tillgång till och Pensionsmyndighetens uppgiftssamlingar och göra det möjligt för ISF att på ett mer oberoende, enkelt och effektivt sätt förverk- liga regeringens och krav på stärkt rättsäkerhet och ökad effektivitet inom socialförsäkringen, som den per- sonliga integriteten ges ett tillräckligt skydd genom den person- dataskyddande teknik och administration som våra förslag inne- fattar. En väl fungerande tillsyn bör dessutom leda till en ökad rättssäkerhet och en mer välfungerande socialförsäkringsadminist- ration – till gagn både för de enskilda försäkrade och samhället i stort. Vi föreslår även ändringar i de sekretessbrytande bestämmelserna om uppgiftsskyldighet för och Pensionsmyndig- heten respektive så att och ska lämna ISF de uppgifter som inspektionen behöver för sin systemtillsyn och effektivitetsgranskning, medan på begäran av inspektionen ska lämna ut de uppgifter som inspektionen behöver för sin systemtillsyn och effektivitets- granskning. Vi föreslår också en uppgiftsskyldighet för Arbetsförmedlingen gentemot ISF enligt vilken Arbetsförmedlingen på begäran ska lämna ISF de uppgifter som inspektionen behöver för sin system- tillsyn och effektivitetsgranskning. Personuppgifter föreslås enligt lagen (2002:546) om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten få behandlas för ytterligare ett sekundärt ändamål i Arbetsförmedlingens arbetsmarknadspolitiska verksamhet. Behandling ska få ske för tillhandahållande av information som behövs inom Inspektionen för socialförsäkringens tillsyns- och granskningsverksamhet. I förordning bör föreskrifter få meddelas om att uppgifter får lämnas ut till inspektionen på medium för automatiserad behandling. Vi föreslår ändringar i 7 § offentlighets- och sekretessförordningen (2009:641) så att de två punkterna i paragrafen avseende ISF delas upp i tre för att göra bestämmelsen mer lättläst. utnyttjandet ut mot nyttjandet. Slutligen ska även framgå av bestämmelsen att ISF:s undersökningar av system som gränsar till socialförsäkringen omfattas av statistiksekretess. Vi föreslår även att 16 § lagen (2001:99) om den officiella statistiken kompletteras så att en statistikansvarig myndighet, som lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får förse uppgifterna – i samband med utlämnandet – med en beteck- ning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna, också när uppgifterna ska behandlas enligt 6 § den föreslagna lagen om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. Följaktligen föreslår vi att 17 § lagen om den officiella statistiken kompletteras så att uppgifterna, av den till vilken uppgifterna läm- nas, får behandlas enligt 6 § den föreslagna lagen. Lagförslagen föreslås träda i kraft . lag (2014:00) om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen Härigenom föreskrivs följande. 1 § Denna lag gäller vid behandling av personuppgifter i verksam- het vid Inspektionen för socialförsäkringen som avser systemtillsyn och effektivitetsgranskning. Lagen gäller endast om behandlingen är helt eller delvis automati- serad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier. Bestämmelserna i 6 – 8, 10 – 14 och 16 §§ gäller även uppgifter om avlidna personer. 2 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig behandlingen. Första stycket gäller inte om personuppgifter samlas in direkt från den enskilde. I sådant fall får personuppgifter behandlas endast om den enskilde har lämnat sitt uttryckliga samtycke till behandlingen. Bestämmelserna i 12 § personuppgiftslagen (1998:204) om återkallelse av lämnat samtycke tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. 3 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter inom verksamheten vid inspektionen om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag. 4 § Inspektionen är personuppgiftsansvarig för den behandling av personuppgifter som inspektionen utför. 5 § Inspektionen ska utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige anmäler enligt personuppgiftslagen (1998:204) till tillsynsmyndigheten när ett personuppgiftsombud utses eller entledigas. 6 § Personuppgifter får behandlas om det behövs för att fullgöra inspektionens uppdrag att vid sin systemtillsyn eller effektivitets- granskning genomföra undersökningar av 1.rättstillämpning, handläggning och administration inom socialförsäkringsområdet och inom verksamheter med direkt anknytning till socialförsäkringen, 2.effekter av förändringar inom socialförsäkringsområdet, och 3.nyttjandet av socialförsäkringen och av system som gränsar till socialförsäkringen. Personuppgifter får även behandlas om det behövs för att inspektionen vid sin systemtillsyn och effektivitetsgranskning ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. 7 § Personuppgifter får behandlas för att fullgöra ett utlämnande av uppgifter som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgifts- lagen (1998:204). 8 § Känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) och personuppgifter som avses i 21 § samma lag får behandlas om uppgifterna har lämnats i ett tillsyns- eller gransk- ningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende. 9 § Vid inspektionen ska finnas en integritetsskyddsfunktion. Den ska ha till uppgift att tekniskt och administrativt skydda enskildas personliga integritet och upprätthålla en lämplig säkerhetsnivå för de personuppgifter som behandlas. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om integritetsskyddsfunktionen enligt första stycket. 10 § Personuppgiftsbehandling som från integritetsskydds- synpunkt är av principiell betydelse eller annars av särskilt känslig natur ska beredas i särskild ordning. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om beredning i särskild ordning enligt första stycket. Tilldelning av behörighet för elektronisk åtkomst 11 § Inspektionen ska bestämma villkoren för tilldelning av behörig- het för elektronisk åtkomst till personuppgifter. Behörigheten ska begränsas till vad som behövs för att den enskilde befattningshavaren ska kunna fullgöra sina arbetsuppgifter inom ramen för inspektionens tillsyns- och granskningsverksamhet. Kontroll av elektronisk åtkomst 12 § Inspektionen ska se till att elektronisk åtkomst till personupp- gifter dokumenteras och kan kontrolleras. Inspektionen ska göra systematiska och återkommande kontroller av om någon obehörigen kommer åt sådana uppgifter. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om dokumentation och kontroll enligt första stycket. 13 § Uppgifter i tillsyns- och granskningsärenden får inte sam- manföras med varandra eller med andra uppgifter i syfte att ta reda på en enskilds identitet. 14 § Enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. I övrigt får personuppgifter lämnas ut på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Personuppgifter får inte lämnas ut genom direktåtkomst. 15 § Information som ska lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta en uppgift som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild.