sou · H2B367 · 2014-09-19 00:00:00 — Detta har i sin tur inverkat negativt på kvaliteten i det underlag som ISF redovisat till regeringen. ISF:s behandling av personuppgifter utförs till övervägande del med personuppgifter som inte är direkt hänförliga till enskilda. Som framgått av avsnitt 6.1.5 lagras dessutom de personuppgifter som behandlas i ISF:s tillsyns- och granskningsverksamhet endast på två servrar i . Uppgifterna lagras vidare projektvis så att det normalt bara är en eller ett fåtal personer knutna till det aktuella projektet som har tillgång till de uppgifter som behandlas inom ramen för det. Vi har därför övervägt om ISF:s personuppgiftsbehandling skulle kunna regleras i förordning. Det torde emellertid bli fråga om sådan kartläggning av enskildas personliga förhållanden och sådana betydande intrång i den personliga integriteten som enligt 2 kap. 6 § andra stycket och 20 § första stycket 2 regeringsformen behöver ha stöd i lag; jfr avsnitt 5.1.5. Skälen är dels arten av den verksamhet som ISF bedriver, där behov föreligger av att få behandla ett stort antal personuppgifter, inklusive känsliga sådana och personuppgifter om lagöverträdelser m.m. (se bilaga 3 för en projektbaserad analys av myndighetens behandling av personuppgifter), dels att person- uppgifter behöver sammankopplas och att dessa behandlingar normalt sker utan att den enskilde själv får kännedom om dem eller kan lämna sitt godkännande. Till detta kommer att personuppgifterna kan komma att sparas . Mot denna bakgrund bör en reglering införas i lag som ger ISF bättre och mer långsiktiga och förutsebara möjligheter att på ett rättssäkert sätt behandla personuppgifter. bör skyddet för den enskildes personliga integritet stärkas. Nästa fråga är om en sådan reglering bör införas i redan befintlig lagstiftning eller om en särskild s.k. registerlag ska föreslås. För- säkringskassans och verksamheter utgör Behovet av en särskild lagreglering sammantaget ISF:s ojämförligt största tillsynsområde. Det skulle därför kunna vara av värde om regleringen av ISF:s behandling av personuppgifter kunde föras in i den befintliga särlagstiftningen för socialförsäkringsområdet. En sådan samlad lagstiftning kunde göra det lättare för allmänheten att få en överblick över den. Mot detta talar emellertid att ISF avses behandla personuppgifter inte bara från och , utan även från när det gäller beslut om pensionsgrundande inkomst. personuppgiftsbehandling på området regleras i en annan registerlag. Även Arbetsförmedlingens behandling av per- sonuppgifter är reglerad i en särskild registerlag. Därutöver föreslås att ISF ska få behandla uppgifter från andra myndigheter och aktö- rer. Det framstår därmed inte som lämpligt att inordna en lagregle- ring av ISF:s behandling av personuppgifter under en befintlig för- fattning. Vi föreslår i stället en särskild lag. En sådan lag bör inte göras alltför detaljerad utan kompletteras med bestämmelser av lägre normhierarkisk valör. 6.5En särskild registerlags övergripande syfte En särskild registerlag för ISF bör vara utformad så att ISF kan bedriva sin verksamhet på ett effektivt och ändamålsenligt sätt sam- tidigt som ett fullgott integritetsskydd ska uppnås. En sådan reg- lering kan dessutom underlätta för myndigheter som ska förse ISF med uppgifter att göra de rättsliga bedömningar som krävs innan begärda uppgifter lämnas ut. Regleringen bör vidare knyta an till den praktiska hanteringen vid ISF och de möjligheter som finns att bygga in ett integritetsskydd genom bl.a. användning av person- uppgifter som inte är direkt hänförliga till enskilda, strikta besluts- vägar innan en behandling får äga rum och högt ställda krav på tek- niska och administrativa säkerhetsåtgärder så att obehörig åtkomst eller olovlig användning kan undgås. En särreglering av ISF:s personuppgiftsbehandling bör ersätta endast i frågor som är specifika för ISF:s verksamhet. I en särskild lag bör främst sådana bestämmelser ges som avser för vilka ändamål uppgifterna ska få behandlas, på vilket sätt de ska få behandlas och vilka rättigheter den enskilde ska ha. Genom en tyd- lig sådan reglering bör allmänhetens förtroende för verksamheten kunna bevaras på en hög nivå. 7En ny lag om behandling av personuppgifter 7.1Den nya lagens tillämpningsområde Vårt förslag: Lagen ska gälla vid behandling av personuppgifter i verksamhet vid ISF som avser systemtillsyn och effektivitets- granskning. Sådan behandling av personuppgifter som helt eller delvis är automatiserad ska omfattas. Även annan behandling av personuppgifter ska omfattas om uppgifterna ingår i eller är av- sedda att ingå i en strukturerad samling av personuppgifter till- gängliga för sökning eller sammanställning enligt särskilda krite- rier. I vissa delar ska den nya lagen även gälla uppgifter om av- lidna personer. Tillämpningsområdet för en ny lag bör utgå från ISF:s huvudsak- liga uppdrag såsom det är formulerat i 1 § första stycket förord- ningen (2009:602) med instruktion för Inspektionen för socialför- säkringen. Lagen föreslås således avse den del av ISF:s verksamhet som består i systemtillsyn och effektivitetsgranskning inom social- försäkringsområdet. Tillämpningsområdet bör i övrigt kunna avgränsas på motsva- rande sätt som de registerlagar som i huvudsak aktualiseras vid ett utlämnande till ISF. Vid ISF behandlas personuppgifter även för ändamål som ligger utan- för myndighetens tillsyns- och granskningsverksamhet, bl.a. för den interna administrationen av personal, lokaler och inkomna skrivel- En ny lag om behandling av personuppgifter ser från enskilda som inte rör myndighetens tillsyns- och gransknings- verksamhet. ISF:s administrativa verksamhet bör inte omfattas av den nya lagen. I stället ska personuppgiftslagen (1998:204, förkortad PUL) gälla inom den verksamheten. 7.1.2Automatiserad och behandling av personuppgifter ISF:s behandling av personuppgifter är normalt automatiserad. ISF behandlar emellertid även personuppgifter manuellt i viss utsträck- ning. Den nya lagen föreslås omfatta helt eller delvis automatiserad behandling av personuppgifter och annan behandling av sådana upp- gifter, om de ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Tillämpningsområdet för den föreslagna lagen ansluter härigenom till det som gäller för PUL. En konsekvens av detta är att behandling som inte har något automatiserat inslag eller ingår i en uppgiftssamling som är struk- turerad för sökning eller sammanställning inte kommer att omfattas av lagen. Det gäller t.ex. minnesanteckningar från intervjuer som enbart förs på papper. Enligt dataskyddsdirektivet avses med personuppgift varje upp- lysning som avser en fysisk person som är identifierad eller som kan identifieras (artikel 2 a). Av de uttalanden som tagits till rådets protokoll i samband med den gemensamma ståndpunkten beträf- fande direktivet framgår att medlemsstaterna kan bestämma huru- vida uppgifter om avlidna personer ska omfattas av den nationella lagstiftningen (se SOU 1997:39 s. 113). Reglerna har ansetts vara så långtgående att de bör reserveras för fall där behovet av skydd för personlig integritet beträffande behandling av uppgifter om den berörde är mest uttalat, nämligen när det gäller den som är levande och som själv kan ha ett eget anspråk på personlig integritet i detta hänseende. Datalagskom- mittén gjorde bedömningen att möjligheten att begränsa tillämp- ningen av PUL till att avse bara uppgifter om en person som är i En ny lag om behandling av personuppgifter livet borde utnyttjas (a. SOU s. 340). I propositionen med förslag till personuppgiftslag gjordes ingen annan bedömning (prop. Uppgifter om avlidna omfattas således inte av regleringen. Det framstår i och för sig inte som främmande att även för av- lidna tala i termer av personlig integritet (jfr t.ex. 5 kap. 4 § brotts- balken). Tillämpningsområdet för särskilda registerförfattningar har också i vissa fall utsträckts till att gälla även behandling av uppgifter om avlidna personer, se t.ex. lagen (2001:181) om behand- ling av uppgifter i beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i folk- bokföringsverksamhet, lagen (2001:184) om behandling av upp- gifter i verksamhet (prop. 2000/01:33 s. 86 f.) och socialförsäkringsbalken (2010:110). Ett skäl till att socialförsäkringsbalken omfattar behandling av uppgifter om avlidna är att det inom den verksamhet som bedrivs av socialförsäkringens administration förekommer en mängd uppgifter som är hänförliga till avlidna (prop. 2002/03:135, s. 45 och prop. 2000/01:69 s. 19 f.). Även patientdatalagen omfattar i tillämpliga delar behandling av uppgifter som avser avlidna, vilket i förarbetena motiverades med att det i hälso- och sjukvårdens verksamhet förekommer en mängd uppgifter om avlidna och att uppgifter om avlidna patienter kan vara integritetskänsliga. I polisdatalagen (2010:361) har dock av- lidna personer exkluderats med hänvisning till intresset av enhetlig terminologi i förhållande till PUL (prop. 2009/10:85 s. 82). Mot- svarande gäller för flertalet andra registerförfattningar. ISF:s granskning kan komma att avse uppgifter om avlidna. Med hänsyn till omfattningen av ISF:s personuppgiftsbehandling och då ISF till övervägande del hanterar uppgifter som inte är direkt hän- förliga till individ och därmed inte har möjlighet att särskilja upp- gifter om avlidna från uppgifter om övriga enskilda ter det sig enligt vår mening motiverat att i likhet med närliggande lagstiftning låta vissa av de nu föreslagna reglerna omfatta även uppgifter om avlidna. En ny lag om behandling av personuppgifter 7.2Undantag från rätten att motsätta sig behandling Vårt förslag: Behandling av personuppgifter som är tillåten enligt den nya lagen ska få utföras även om den enskilde motsätter sig behandlingen. Har ISF samlat in personuppgifter direkt från den enskilde ska de dock få behandlas endast med stöd av hans eller hennes uttryckliga samtycke. Bestämmelserna i 12 § PUL om återkallelse av lämnat samtycke tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag. Av artikel 14 dataskyddsdirektivet följer att den enskilde har en ovillkorlig rätt att motsätta sig behandling av personuppgifter som rör honom eller henne om ändamålet med behandlingen rör direkt marknadsföring. I övrigt står det medlemsländerna fritt att själva reglera frågan om den enskildes rätt i detta sammanhang. Enligt 12 § andra stycket PUL har en registrerad, med ett par undantag, inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt PUL. ISF har upplyst att myndigheten av integritetshänsyn strävar efter att endast arbeta med personuppgifter som inte är direkt hän- förliga till enskilda. Merparten av de personuppgifter som hanteras av ISF är inhämtade från andra myndigheter. Normalt kodar någon av de utlämnande myndigheterna uppgifterna i samband med att de lämnar ut dem, dvs. ersätter till individ direkt hänförliga uppgifter med löpnummer eller annan beteckning. bistår en tredje myndighet (i de flesta fall ) med detta och lämnar sedan nyckeln – förteckningen över kopplingen mellan per- sonnummer och löpnummer – till övriga aktörer som ska lämna ut uppgifter till ISF. Övriga aktörer lämnar därefter i sin tur ut upp- gifterna till ISF försedda med löpnummer. Även SCB har kunnat hjälpa till med kodning av uppgifter och i de fall då ISF har behövt uppgifter från olika aktörer för att föra samman dessa har SCB sedan för ISF:s räkning utfört den sammankoppling av person- uppgifter som krävts. Personnummer och andra ID-nummer som använts för denna hantering har behållits av respektive SCB så att ISF varken haft möjlighet att själv föra sam- man uppgifterna eller ta del av uppgifter som är direkt hänförliga till de registrerade. Uppgifterna är således vanligtvis inte direkt hänförliga till enskilda när de kommer till ISF. En ny lag om behandling av personuppgifter uppgifter som krävs för att ISF ska kunna kontakta den enskilde och inhämta dennes samtycke inte tillgängliga för ISF. Hade den registrerades samtycke krävts skulle ISF i praktiken behöva härleda personuppgifterna till person, vilket i sig skulle kunna innebära en integritetskränkning. I det följande (se kap. 9) lämnar vi förslag på hur direkt hänförliga personuppgifter ska hanteras framöver. För att skydda de registrerades personliga integritet föreslår vi att sådana uppgifter omgående ska avidentifieras och därefter lagras i sådant skick att de är direkt hänförliga till någon enskild, inne- bärande att uppgifter som är direkt hänförliga till enskilda endast undantagsvis kommer att hanteras inom ISF:s tillsyns- och gransk- ningsverksamhet. Det allmänna intresset av att ISF:s tillsyns- och granskningsverksamhet bedrivs effektivt och ändamålsenligt innebär att personuppgiftsbehandlingen inte kan bygga på att de registrerade lämnar sitt samtycke till behandlingen. För att ha till- gång till ett material som är lämpligt för tillsyn och granskning och som kan ge ett tillförlitligt resultat är det nödvändigt att ISF får behandla personuppgifter, även om den registrerade i något fall skulle motsätta sig behandlingen. Det finns olika sätt att åstadkomma en sådan reglering. En möj- lighet är att i fråga om sådan personuppgiftsbehandling som är tillåten enligt den föreslagna lagen hänvisa till 12 § PUL. För att åstadkomma en så tydlig reglering som möjligt bedömer vi emellertid att det i den föreslagna lagen ska införas en bestämmelse som innebär att sådan personuppgiftsbehandling som är tillåten enligt den föreslagna lagen får ske även om den registrerade motsätter sig den. Denna reglering bör emellertid inte gälla för personuppgifter som ISF samlar in direkt från enskilda, t.ex. när inspektionens tillsyn och granskning grundas på enkäter eller intervjuer. Här finns prak- tiska förutsättningar för att begära samtycke och själva inhämtan- det av samtycket kan inte i sig anses innebära något ytterligare intrång i den personliga integriteten. Det kan därför vara motiverat med ett uttryckligt undantag från bestämmelsen att behandling som är tillåten enligt lagen får utföras även om den enskilde motsätter sig behandlingen, och även med ett uttryckligt krav på samtycke för att behandlingen ska få äga rum. Den föreslagna bestämmelsen riskerar annars att komma i konflikt med den frivillighet som bör prägla deltagandet i enkät- eller intervjuundersökningar. Av 23 § PUL följer att vid insamling av personuppgifter direkt från den enskilde ska den personuppgiftsansvarige självmant lämna den vars personuppgifter ska registreras information om hur upp- En ny lag om behandling av personuppgifter gifterna kommer att behandlas. Den information som ska lämnas ska enligt 25 § samma lag omfattar uppgift om den personuppgifts- ansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse. Förutsatt att detta sköts på rätt sätt anser vi att den enskilde bör anses vara kapabel att själv kunna avgöra vilka risker för den per- sonliga integriteten en viss typ av behandling av personuppgifter innebär (jfr prop. 2011/12:176 s. 23). Ett lämnat samtycke måste alltid kunna återkallas. För återkal- lelse av ett lämnat samtycke bör bestämmelserna i 12 § PUL tilläm- pas. Enligt ordalydelsen gäller paragrafen bara för återkallelse av samtycken som har lämnats i enlighet med . En särskild föreskrift om att bestämmelserna i 12 § PUL tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag föreslås därmed. Hänvisningen innebär att ytterligare person- uppgifter om den enskilde inte får behandlas efter återkallelsen. Behandlingen av redan insamlade uppgifter får dock fortsätta i en- lighet med det ursprungligen lämnade samtycket, men uppgifterna får inte uppdateras eller kompletteras. Med hänsyn till PUL:s krav på kvalitén hos de personuppgifter som behandlas, kan detta i praktiken innebära att uppgifterna måste utplånas eller avidenti- fieras för att de blivit inaktuella, ofullständiga eller oanvändbara för det ändamål för vilket de samlats in. Det är viktigt att den enskilde i samband med inhämtandet av samtycket till behandlingen infor- meras om vilken verkan en återkallelse av ett lämnat samtycke har. Även om 12 § PUL inte innebär en skyldighet att gallra de upp- gifter som redan samlats in och behandlats enligt det ursprungligen lämnade samtycket, kan det vara lämpligt att gallra sådana uppgif- ter, om det kan ske utan större olägenhet och inte innebär att åt- gärder måste vidtas som i sig kan anses utgöra en större risk för integritetsintrång än en fortsatt behandling av uppgifterna. För det fall ISF skulle ha en skyldighet att gallra uppgifter om ett samtycke återkallas, skulle myndigheten bli tvungen att vidta åtgärder för att åter knyta uppgifterna till en viss person. Detta skulle innebära ett större intrång i den personliga integriteten än en fortsatt behandling av uppgifterna. En ny lag om behandling av personuppgifter Vårt förslag: PUL ska gälla vid behandling av personuppgifter inom verksamheten vid ISF om inte annat följer av den före- slagna lagen eller föreskrifter som har meddelats med stöd av den. Enligt 2 § PUL ska, om det i annan lag eller i en förordning finns bestämmelser som avviker från PUL, de bestämmelserna gälla. PUL är således subsidiär i förhållande till särreglering i lag eller förordning. I de flesta fall konstrueras särregleringar för person- uppgiftsbehandling så att den regleringen endast kompletterar eller ersätter PUL såvitt avser frågor som är specifika för de verksam- heter som omfattas av särregleringen. Det innebär att myndigheten måste beakta såväl den särskilda registerförfattningen som PUL vid sin behandling av personuppgifter. Alternativet är en heltäckande reglering av all personuppgiftsbehandling i en viss verksamhet. Ofta kompletteras en sådan reglering med en uppräkning av vilka regler i PUL som trots allt ska tillämpas. I bl.a. lagen (2001:181) om behandling av uppgifter i beskattningsverksamhet har den lagstiftningstekniken använts att det uttryckligen anges vilka bestämmelser i som ska gälla i verksamheten. Anledningen till denna utformning av regleringen är enligt lagmotiven att det på så sätt uppnås en större tydlighet och överskådlighet för tillämparna. Lagrådet riktade dock i det lagstift- ningsärendet kritik mot den valda lagstiftningstekniken som man ansåg otillfredsställande och riskfylld. Trots att regeringen i det ärendet valde att inte ändra lagstiftningsteknik (prop. 2000/01:33 s. 88), har regeringen i andra lagstiftningsärenden avvisat denna typ av lagkonstruktion med hänvisning till Lagrådets uttalanden (se t.ex. propositionen 2002/03:135 Behandling av personuppgifter inom socialförsäkringens administration, s. 46 f.). I samband med införandet av exempelvis polisdatalagen (2010:301) godtogs dock åter denna konstruktion. I gällande registerlagar finns således exempel på båda lagstift- ningsmodellerna. Vi anser att utgångspunkten i detta fall bör vara att den nya lagen och de föreskrifter som kan komma att meddelas i anslutning till den endast ska ersätta eller komplettera PUL i frågor som är specifika för ISF:s verksamhet. De särregler som behövs i förhållande till är i detta fall förhållandevis En ny lag om behandling av personuppgifter ISF:s särskilda registerlag bör endast innehålla de från ett ända- måls- eller integritetsskyddsperspektiv viktigaste särbestämmel- serna i förhållande till . Alternativet, att i den särskilda registerlagen heltäckande reglera vilka regler som ska gälla, passar bäst för verksamheter där det behövs ett stort antal undantag och särregler i förhållande till regleringen i PUL. Att i förevarande fall räkna upp alla de regler i PUL som fort- farande ska tillämpas i ISF:s verksamhet skulle leda till en otymplig och föga tilltalande dubbelreglering. Mot denna bakgrund anser vi att den nya lagen endast bör innehålla de särregler som behövs för ISF:s verksamhet och att PUL i övriga avseenden ska vara direkt tillämplig i verksamheten. Det finns förstås ett värde i att det blir tydligt för rättstillämparna vilka regler som ska gälla. Detta kan dock åstadkommas genom tydlighet i förarbetena. I några hänseen- den kan det bli nödvändigt att komplettera lagen med föreskrifter på lägre nivå. I den föreslagna lagen används flera begrepp som har hämtats från PUL, t.ex. behandling, personuppgift och personuppgifts- ansvarig. Dessa begrepp bör ha samma innebörd i den föreslagna lagen som i PUL. Vårt förslag: ISF ska vara personuppgiftsansvarig för behand- ling av personuppgifter som myndigheten utför. Med personuppgiftsansvarig avses enligt 3 § PUL den som ensam eller tillsammans med andra bestämmer ändamålen med och med- len för behandlingen av personuppgifter. En särskild bestämmelse föreslås i den nya lagen som klargör att ISF är personuppgifts- ansvarig för den behandling av personuppgifter som myndigheten utför med stöd av lagen. Begreppet personuppgiftsansvarig bör ha samma innebörd i den föreslagna lagen som i PUL. En ny lag om behandling av personuppgifter Vårt förslag: ISF ska utse ett eller flera personuppgiftsombud. Detta – liksom entledigande av personuppgiftsombud – ska anmälas till tillsynsmyndigheten. Regleringen i 36 § andra stycket PUL ger en myndighet valfrihet när det gäller frågan om personuppgiftsombud ska utses. I ISF:s verksamhet rör behandlingen av personuppgifter i stor utsträck- ning uppgifter som får anses integritetskänsliga, vilket gör det sär- skilt angeläget med den kontroll som kan utövas av ett person- uppgiftsombud. Det är också viktigt att enskilda registrerade enkelt kan vända sig till rätt person hos myndigheten bl.a. i frågor om information om behandlingar och om rättelse av felaktiga uppgifter. Vi föreslår att skyldigheten att utse ett personuppgiftsombud ska framgå direkt av den nya lagen. Det kan anmärkas att motsvarande reglering finns i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säker- hetstjänst och lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverk- samhet samt i kustbevakningsdatalagen (2012:145) och polisdatalagen (2010:361). 7.6.1Primära ändamål och 7 § OSF Vårt förslag: ISF ska få behandla personuppgifter om det behövs för att fullgöra inspektionens uppdrag att vid sin systemtillsyn eller effektivitetsgranskning genomföra undersökningar av 1.rättstillämpning, handläggning och administration inom socialförsäkringsområdet och inom verksamheter med direkt anknytning till socialförsäkringen, 2.effekter av förändringar inom socialförsäkringsområdet, och 3.nyttjandet av socialförsäkringen och av system som gränsar till socialförsäkringen. En ny lag om behandling av personuppgifter ISF ska även få behandla personuppgifter om det behövs för att inspektionen vid sin systemtillsyn och effektivitetsgranskning ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. Bestämmelsen i 7 § OSF justeras så att de två punkterna i paragrafen avseende ISF delas upp i tre för att göra bestämmel- sen mer lättläst. Vidare byts ordet utnyttjandet ut mot nytt- jandet. Slutligen ska även framgå av bestämmelsen att ISF:s undersökningar av system som gränsar till socialförsäkringen omfattas av statistiksekretess. ISF:s behov av att få behandla personuppgifter har redovisats i avsnitt 6.2. Enligt 9 § första stycket c PUL ska den personupp- giftsansvarige se till att personuppgifter samlas in endast för sär- skilda, uttryckligt angivna och berättigade ändamål.