sou · H2B367 · 2014-09-19 00:00:00 — Förbudet avser sammanförande av uppgifter i syfte att finna en enskilds identitet. Med enskild förstås såväl fysiska som juridiska personer. Bestämmelsen är motiverad av att försök att bryta igenom den avsedda anonymiteten inte får förekomma. 14 § Enstaka personuppgifter får lämnas ut på medium för automati- serad behandling. I övrigt får personuppgifter lämnas ut på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Personuppgifter får inte lämnas ut genom direktåtkomst. Bestämmelsen har behandlats i avsnitt 10.10. Utlämnande på medium för automatiserad behandling från ISF av personuppgifter som inte endast är enstaka till antalet tillåts endast om regeringen har föreskrivit att så får ske. Det saknas anledning att låta myndigheter eller enskilda få direkt- åtkomst till personuppgifter som behandlas inom ISF. Endast befatt- ningshavare vid ISF, innefattande även inhyrd personal och konsulter som ISF i förekommande fall har anlitat, får ha direkt åtkomst till dessa uppgifter. 15 § Information som ska lämnas enligt 26 § personuppgiftslagen (1998:204) behöver inte omfatta en uppgift som har försetts med en beteckning så att den inte är direkt hänförlig till en enskild. Paragrafen har behandlats i avsnitt 11.2. Eftersom ISF inte har möjlighet att få fram uppgifter om någon enskild i de fall uppgifterna inte är direkt hänförliga till enskilda, med mindre än att integritetsskyddsfunktionen skulle utföra icke avsedd identifiering, har ett undantag införts för ISF från kraven i 26 § PUL. I de undantagsfall ISF behandlar uppgifter som är direkt hänförliga till enskilda är myndigheten naturligtvis skyldig att hantera ansökningar enligt 26 § PUL. 16 § Personuppgifter ska gallras så snart uppgifterna inte längre be- hövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål. Bestämmelsen har behandlats i avsnitt 11.3. Paragrafen anger de särskilda bestämmelser om bevarande och gallring som ska gälla inom lagens tillämpningsområde. Observera att de gallringsbestämmelser som föreslås avser den senaste tidpunkt när uppgifterna måste gallras. Skulle underlaget behövas på nytt kan det begäras ut igen från den ursprungliga uppgiftslämnaren. I förevarande fall förstås med gallring utplånande av personupp- gifterna eller avidentifiering av uppgifterna på ett sådant sätt att alla identifieringsmöjligheter avlägsnas. En sådan avidentifiering måste innebära att bevarade uppgifter inte längre, vare sig direkt eller indirekt, går att hänföra till en viss fysisk person. Uppgifterna ska med andra ord ha upphört att utgöra personuppgifter. 17 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av person- uppgifter enligt denna lag eller föreskrifter som meddelats i anslutning till denna lag. Paragrafen har behandlats i avsnitt 11.4. Bestämmelserna i om rättelse och skadestånd tillämpas på motsvarande sätt vid behandling av personuppgifter enligt den föreslagna lagen eller föreskrifter som meddelats i anslutning till den (jfr prop. 2012/13:163 s. 109). Vad gäller rättelse innebär bestämmelsen att den personupp- giftsansvarige, dvs. ISF, i enlighet med 28 § PUL, blir skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den aktuella lagen eller föreskrifter som har meddelats med stöd av lagen. ISF ska då också underrätta tredje man till vilken uppgifterna har lämnats ut om den vidtagna åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. ISF behöver dock inte lämna någon sådan underrättelse, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Beträffande skadestånd innebär bestämmelsen att den personupp- giftsansvarige, dvs. ISF, i enlighet med 48 § PUL, ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den aktuella lagen har orsakat. Ersättningsskyldigheten kan dock, enligt 48 § PUL, jämkas i den utsträckning det är skäligt, om ISF visar att felet inte berott på myndigheten. 16.2Förslaget till lag om ändring i lagen (2001:99) om den officiella statistiken 16 § När en statistikansvarig myndighet lämnar ut uppgifter som inte direkt kan hänföras till en enskild, får myndigheten i samband med utlämnandet förse uppgifterna med en beteckning som hos den statistikansvariga myndigheten kan kopplas till personnummer eller motsvarande för att göra det möjligt att senare komplettera uppgifterna. En sådan åtgärd får vidtas om den som uppgifterna lämnas ut till ska använda dessa för forskning eller statistik samt har ett särskilt behov av att senare kunna komplettera uppgifterna. En sådan åtgärd får också vidtas när uppgifterna ska behandlas enligt 6 § lagen (2014:00) om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. Om en uppgift rättats, blockerats eller utplånats hos den statistik- ansvariga myndigheten skall myndigheten vidta de åtgärder som behövs för att uppgifterna skall kunna ändras hos den som uppgifterna lämnats ut till. Paragrafen har behandlats i avsnitt 13.1.4. Bestämmelsen ger en statistikansvarig myndighet möjlighet att, när den lämnar ut uppgifter som inte direkt kan hänföras till en enskild, förse uppgifterna med en beteckning som hos den statistik- ansvariga myndigheten kan kopplas till personnummer eller mot- svarande för att göra det möjligt att senare komplettera uppgifterna, också när uppgifterna ska behandlas enligt 6 § den föreslagna lagen om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen. Detta innebär att en statistikansvarig myndighet har möjlighet att lämna ut personuppgifter i sådan form att de inte är direkt hänförliga till enskilda för behandling inom tillsyns- och granskningsverksamheten vid ISF. 17 § Uppgifter som lämnats ut i fall som avses i 16 § första stycket får av den som uppgifterna lämnas ut till behandlas endast för forskning, statistik eller i enlighet med 6 § lagen (2014:00) om behandling av personuppgifter inom verksamheten för Inspektionen för social- försäkringen. Paragrafen har behandlats i avsnitt 13.1.4. Den föreslagna ändringen möjliggör behandling av uppgifter, som lämnats ut i fall som avses i 16 § första stycket, även i enlighet med 6 § den föreslagna lagen om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen. 16.3Förslaget till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten 5 § Arbetsförmedlingen får behandla personuppgifter för tillhanda- hållande av information som behövs inom 1.Försäkringskassans, Centrala eller arbets- löshetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, 2.Skatteverkets verksamhet som underlag för beslut om och kontroll av skatt, 3.sådan verksamhet vid Inspektionen för arbetslöshetsförsäkringen som avser tillsyn och utfärdande av intyg enligt 48 § lagen (1997:238) om arbetslöshetsförsäkring, 4.verksamhet vid Inspektionen för socialförsäkringen som avser systemtillsyn och effektivitetsgranskning, 5.Kronofogdemyndighetens verksamhet som underlag för bedömning enligt 4 kap. utsökningsbalken av i vilken utsträckning en gäldenär har utmätningsbar egendom, 6.socialnämndernas verksamhet som underlag för beslut om och kontroll av ekonomiskt bistånd enligt 4 kap. socialtjänstlagen (2001:453), 7.Migrationsverkets verksamhet som underlag för beslut om bistånd enligt lagen (1994:137) om mottagande av asylsökande m.fl., samt 8.kompletterande aktörers verksamhet enligt uppdrag från Arbetsförmedlingen. Arbetsförmedlingen får även behandla personuppgifter för att till- handahålla information till eller regeringen eller till annan för att fullgöra uppgiftslämnande i enlighet med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204). I paragrafen, som har behandlats i avsnitt 12.2.2, föreslås en ny punkt 4. Bestämmelsen innebär att de sekundära ändamål för vilka Arbetsförmedlingen får behandla personuppgifter kompletteras så att behandling får ske för att tillhandahålla information som behövs inom verksamhet vid ISF som avser systemtillsyn och effektivitetsgranskning. 16.4Förslaget till lag om ändring i socialförsäkringsbalken (2010:110) 23 a § Inspektionen för socialförsäkringen får medges direktåtkomst till personuppgifter i socialförsäkringsdatabasen i den utsträckning det behövs för ändamål som anges i 9 § 1. Paragrafen har behandlats i avsnitt 10.3. Den föreslagna regleringen innebär att ISF får medges direkt- åtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för det ändamål som anges i 9 § 1. Åtkomsten ska som huvudregel vara förbehållen de informationsansvariga vid inspek- tionens integritetsskyddsfunktion, jfr 9 § förslaget till lag (2014:00) om behandling av personuppgifter inom verksamheten för Inspek- tionen för socialförsäkringen, men i vissa fall kan även andra med- arbetare medges direktåtkomst. För en beskrivning av vilka typer av behandlingar av uppgifter som kan komma i fråga vid direkt- åtkomst till socialförsäkringsdatabasen, dvs. i vilka situationer ISF endast kommer att ta del uppgifter och i vilka fall uppgifter kommer att inhämtas till ISF, se särskilt avsnitt 9.4. Behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen En särskild utredare ska analysera behovet av en särskild lagreglering för behandling av personuppgifter för tillsyns- och granskningsverksamheten vid Inspektionen för socialförsäkringen (ISF). Om en sådan lagreglering bedöms nödvändig ska utredaren lämna förslag till lagtext med nödvändiga kommentarer och även föreslå vilka eventuella ändringar i andra författningar som kan behövas. Utredaren ska i sitt arbete särskilt analysera de behov som ISF kan ha av att -behandla känsliga personuppgifter, -få tillgång till personuppgifter från andra myndigheter än , och , och att, vid sådan tillgång, kunna behandla personuppgifter som lämnats från dessa myndigheter, -få direktåtkomst till uppgifter i socialförsäkringsdatabasen och -kunna sambearbeta uppgifter som är direkt hänförliga till enskilda. Uppdraget ska redovisas . Skyddet för den personliga integriteten Informationsteknikens utveckling och den ökande användningen av denna teknik för behandling av information om individer, medför ett särskilt behov av skydd mot sådan användning av individrelaterad information som kan anses utgöra ett otillbörligt intrång i den personliga integriteten. Reglering för sådan behandling av information har utarbetats såväl i internationella sammanhang som i nationell lagstiftning. Generella regler om integritets- och dataskydd Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen (RF). Av det allmänna målsättningsstadgandet i 1 kap. 2 § RF följer att det allmänna ska värna om den enskildes privatliv. Genom ändringar i RF som trädde i kraft (prop. 2009/10:80, bet. 2009/10:KU19, rskr. 2009/10:304, bet. 2010/11:KU4, rskr. 2010/11:21) har det generella grundlagsskyddet för den personliga integriteten stärkts. I 2 kap. 6 § RF har det införts en ny bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av hans eller hennes personliga förhållanden. Skyddet enligt den nya grundlags- bestämmelsen är inte absolut. Det kan inskränkas i lag under förutsättning att det sker för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får dock aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF). Enligt artikel 8 i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag. Inskränkningar får vidare endast göras om det är nödvändigt i ett demokratiskt samhälle med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till före- byggande av oordning eller brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. gäller som svensk lag. Av grundlag följer även att en lag eller annan föreskrift inte får meddelas i strid med åtaganden enligt konventionen (2 kap. 19 § RF). En bestämmelse om respekt för privatlivet och familjelivet finns även i artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna. Av artikel 8 i stadgan följer vidare bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Uppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Det finns också dataskyddsregler som antagits inom ramen för . Dessa finns i första hand i den europeiska konven- tionen om skydd för enskilda vid automatisk databehandling av personuppgifter (CETS 108), den s.k. dataskyddskonventionen, och dess tilläggsprotokoll. Konventionen kompletteras av ett antal av ministerkommittén antagna rekommendationer om hur person- uppgifter bör behandlas inom olika områden. har, i likhet med övriga medlemsstater i EU, anslutit sig till dataskydds- konventionen. De grundläggande nationella bestämmelserna om behandling av personuppgifter finns i personuppgiftslagen (1998:204) förkortad PuL som trädde i kraft . PuL har sin utgångspunkt i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet, EGT L 281, 23.11.95, s. 31, Celex 31995L0046). PuLs syfte är att skydda människor mot att deras personliga integritet kränks i samband med att deras personuppgifter behandlas. Enligt dataskyddsdirektivet får medlemsstaterna dock inte begränsa eller förbjuda det fria flödet av personuppgifter mellan medlemsstaterna av skäl som har samband med skyddet av fysiska personers grundläggande fri- och rättigheter. Regleringen av personuppgiftsbehandlingen enligt PuL bygger på att all behandling av personuppgifter bara får ske om den är förenlig med de särskilda hanteringsregler som lagen stadgar. Lagen innehåller endast generella regler och det förutsattes vid dess tillkomst att behov av undantag och preciseringar för speciella områden skulle tillgodoses genom särskild lagstiftning. trädde vissa ändringar i PuL i kraft. Genom ändringarna kompletterades lagens hanteringsregler med bestämmelser som beträffande ostrukturerade personuppgifter snarare utgår från att förbjuda missbruk av personuppgifterna. Behandling av personuppgifter i ostrukturerat material får inte ske om den innebär en kränkning av den registrerades personliga integritet. 2005/06:173, 2005/06:KU37, rskr. 2005/06:254). Såväl som regeringen har bedömt att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll bör regleras i lag (prop. 1990/91:60 s. 58, bet, 1990/91:KU11 s. 11, prop. 1997/98:44 s. 41 bet. 1997/98:KU18 s. 48). Detsamma gäller frågan om i vilka fall direktåtkomst bör medges (prop. 2000/01:129 s. 74 f. bet. 2001/02:KU3 s. 31). Mot denna bakgrund har ett stort antal särskilda registerlagar införts som rör behandling av personuppgifter hos olika myndigheter. En sådan lag har även införts för verksamheten hos Inspektionen för arbetslöshetsförsäkringen, (lagen [2005:469] om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen). Vidare har beslutat om en registerlag för utvärdering (prop. 2011/12:176, bet. 2012/13:AU4, rskr. 2012/13:36. Denna lag har trätt i kraft ) och är tidsbegränsad till och med . Dessa myndigheters uppgifter ligger delvis nära ISF:s verksamhet. Pågående översyn av regler som rör dataskydd Regeringen beslutade att ge en särskild utredare i uppdrag att se över () och systemet för den officiella statistiken och analysera för- och nackdelar med ett centraliserat respektive ett decentraliserat statistiksystem (dir. 2011:32). Utredningen, som tog namnet (Fi 2011:05), fick , i tilläggsdirektiv (dir. 2012:15), i uppdrag att även föreslå organisatoriska och tekniska åtgärder som kan underlätta registerbaserad forskning. Vid utformningen av förslagen skulle utredaren väga behovet av att förbättra förutsätt- ningarna för registerbaserad forskning mot behovet av skydd för individens personliga integritet. har inkommit med delbetänkandet Registerdata för forskning (SOU 2012:36) - och med slutbetänkandet Vad är officiell statistik? En översyn av statistiksystemet och SCB (SOU 2012:83). Regeringen har vidare beslutat att ge en särskild utredare i uppdrag att se över registerlagstiftningen och vissa därmed sammanhängande frågor i syfte att skapa rättsliga förutsätt-ningar för en mer effektiv e-förvaltning, där såväl den enskildes rätt till personlig integritet som allmänhetens berättigade anspråk på insyn i den offentliga verksamheten tillgodoses (dir. 2011:86). Utredningen, som tagit namnet Informationshanteringsutred- ningen (Ju 2011:11), ska bl.a. göra en översiktlig inventering av registerförfattningarna och närmare analysera hur dessa fungerar inom tre olika verksamhetsområden och med beaktande av utvecklingen inom EU och utarbeta en generell modell för reglering av registerfrågor. Med modellen som mall ska utredningen lämna konkreta förslag till registerförfattningar inom de tre verksamhetsområdena. Uppdraget ska slutredovisas . Regeringen har också beslutat att ge en särskild utredare i uppdrag att utreda förutsättningarna för att bedriva s.k. registerbaserad forskning (dir. 2013:8). Utredaren ska bl.a. lämna författningsförslag och andra förslag i syfte att register- ansvariga myndigheter ska kunna lämna ut uppgifter för forsk- ningsändamål och att sambearbetning av registeruppgifter för forskningsändamål ska underlättas. Vid utformningen av samtliga förslag ska utredaren göra en avvägning mellan forskningens behov av tillgång till uppgifter och den enskildes rätt till personlig integritet. Inom EU pågår ett stort reformarbete på dataskyddsområdet. Kommissionen har lämnat ett förslag till en ny förordning på dataskyddsområdet - förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskydds- förordning - KOM [2012] 11 slutlig). Detta förslag diskuteras i rådsarbetsgruppen DAPIX. Enligt förslaget ska förordningen ersätta dataskyddsdirektivet och ska träda i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning. Enligt förslaget ska förordningen börja tillämpas efter offentliggörandet i nämnda publikation. har inlett en översyn av dataskydds- konventionen. Myndigheten Inspektionen för socialförsäkringen (ISF) inrättades och har, enligt 1 § förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen, till uppgift att genom systemtillsyn och effektivitetsgranskning värna rätts- säkerheten och effektiviteten inom socialförsäkringsområdet. Med systemtillsyn avses granskning av om tillsynsobjektets egna system för styrning och kontroll säkerställer en korrekt och enhetlig tillämpning av det regelverk som tillsynsobjektet ska tillämpa. Med effektivitetsgranskning avses granskning av om tillsynsobjektets verksamhet fungerar effektivt med utgångspunkt i det statliga åtagandet. Enligt 2 § i instruktionen ska ISF utöva systemtillsyn över och utföra effektivitetsgranskning av den verksamhet som bedrivs av , i de delar som inte står under tillsyn, och i de delar som avser beslut om pensionsgrundande inkomst. För att och , med sekretessbrytande verkan, ska kunna lämna ut uppgifter till ISF, finns bestämmelser om skyldighet för dessa myndigheter att på begäran lämna de uppgifter som ISF behöver för sin systemtillsyn och effektivitetsgranskning i 5 a § förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration. För finns motsvarande bestämmelser i 7 b § förordningen (2001:588) om behandling av uppgifter i beskattnings- verksamhet. ISF får vidare enligt 3 § i sin instruktion utöva systemtillsyn och utföra effektivitetsgranskning av verksamheter som gränsar till socialförsäkringsområdet. Detsamma gäller samverkansinsatser med anknytning till socialförsäkringsområdet. ISF:s tillsynsområde omfattar därmed såväl statliga som kommunala och landstings- kommunala verksamheter. I direktiven till inrättandet av ISF (dir. 2008:136) konstaterade regeringen att effektiviteten i administrationen och försäkringen inte enbart är beroende av enskilda myndigheters arbete eller socialförsäkringslagstiftningens utformning utan också av hur angränsande områden förvaltar sitt ansvar. Detta, ansåg regeringen, är av betydelse både för processer som gränsar till social- försäkringsområdet och för processer som ska fungera över gränssnitten mellan områden. Behandling av personuppgifter hos Inspektionen för socialförsäkringen ISF behandlar personuppgifter utifrån de möjligheter som finns med stöd av PuL (1998:204). För att ISF ska kunna behandla personuppgifter behöver därmed varje behandling föregås av en prövning enligt 10 §PuL. Där föreskrivs att personuppgifter endast får behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa ändamål som anges i paragrafen. Ett sådant ändamål kan vara att behandlingen anses nödvändig för att en arbetsuppgift av allmänt intresse ska kunna utföras. Ett annat kan vara att ett berättigat intresse hos den personuppgiftsansvarige eller den till vilken personuppgifterna ska lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. För det fall ISF har behov av att behandla känsliga personuppgifter för forskningsändamål krävs dessutom att behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Även om ISF inte har till uppgift att granska enskilda ärenden har myndigheten behov av att få tillgång till personuppgifter ur enskilda ärenden i sin tillsyns- och granskningsverksamhet. För att fullgöra sitt uppdrag begär ISF därför ut personuppgifter från andra myndigheter. För , och finns en författningsreglerad skyldighet att lämna ut uppgifter till ISF. De register i vilka och behandling av personuppgifter görs ingår i socialförsäkringsdatabasen som är en samlingsbeteckning för olika register. Andra myndigheter än , Pensions- myndigheten och som ISF begär att få uppgifter från måste emellertid pröva huruvida ett utlämnande är förenligt med gällande offentlighets- och sekretesslagstiftning innan uppgifterna kan lämnas ut. De myndigheter som ISF begär att få ut uppgifter från måste också ta ställning till om den behandling av person- uppgifter som kommer att utföras hos ISF kan anses förenlig med PuL:s regler. Detta förhållande har, enligt ISF, medfört svårigheter för de myndigheter som förser ISF med underlag.