sou · H3B346 · 2015-06-08 00:00:00 — Med bestämmelse om överföring av sekretess avses en bestämmelse som innebär att en primär sekretessbestämmelse som är tillämplig på en uppgift hos en myndighet ska tillämpas på uppgiften även av en myndighet som uppgiften lämnas till eller som har elektronisk tillgång till uppgiften hos den förstnämnda myndigheten. Med sekundär sekretessbestämmelse avses en bestämmelse om sekretess som en myndighet ska tillämpa på grund av en bestämmelse om överföring av sekretess. En och samma sekretessbestämmelse kan således vara en primär sådan hos värdmyndigheten men sekundär hos mottagarmyndigheten. Ett utlämnande av uppgifter som sker genom att en extern aktör på egen hand kan söka i en myndighets databas och direkt ta del av uppgifter där benämns ofta direktåtkomst. Förfarandet kännetecknas av att den utlämnande myndigheten inte tar ställning till vilka uppgifter den mottagande myndigheten ska få ta del av. Sekretessprövningen sker i stället på förhand. Bestämmelser om direktåtkomst tar endast sikte på vilket sätt ett utlämnande får ske. Om direktåtkomst avser uppgifter som omfattas av sekretess hos en utlämnande myndighet krävs därför normalt en sekretessbrytande regel (jämför 10 kap. 28 § OSL). En myndighet får normalt endast ha direktåtkomst till vissa uppgifter hos en annan myndighet, till exempel till uppgifter om personer som är aktuella i ärenden hos den mottagande myndigheten. Det innebär att myndigheten får bereda sig tillgång Informationsinhämtning, personuppgiftsbehandling och sekretess till uppgifter om en person bara om personen har blivit aktuell i ett ärende hos myndigheten. Rent tekniskt måste dock myndigheten normalt ges möjlighet att ta del av uppgifter beträffande alla personer som är registrerade hos den utlämnande myndigheten eftersom varken den utlämnande eller den mottagande myndigheten i förväg kan veta vilka personer som kan bli aktuella i ärenden hos den mottagande myndigheten. Den information som mottagarmyndigheten inte får använda i ett enskilt fall eller ta del av utan att till exempel vissa förutsättningar är uppfyllda, men som den ändå tekniskt sett ges tillgång till vid direktåtkomst eller liknande, brukar kallas överskottsinformation. Begreppet överskottsinformation brukar också avse information som mottagarmyndigheten visserligen får använda men ännu inte har tagit i bruk. Som huvudregel blir överskottsinformation att betrakta som allmän handling hos den mottagande myndigheten, även om den mottagande myndigheten inte har rätt att behandla uppgifterna för egen del. I 11 kap. 4 OSL finns en generell regel om överföring av sekretess vid direktåtkomst. Syftet med regeln är uppgifter som en mottagarmyndighet visserligen har teknisk tillgång till men som inte förs in i den verksamheten som omfattas av myndighetens primära sekretessbestämmelser, ska ha ett fortsatt sekretesskydd hos mottagarmyndigheten. Enligt 11 kap. 8 § OSL gäller att sekretess som är direkt tillämplig hos den mottagande myndigheten, den så kallade primära sekretessen, har företräde framför överförd sekretess och det oavsett om den primära sekretessen är starkare eller svagare än den överförda sekretessen. 9.2.6Sekretess för uppgifter som enskilda lämnar till myndigheter Sekretessen är olika beroende på hur uppgifterna kom myndigheten till del. Om till exempel en uppgift överförs mellan två myndigheter i ett tillsynsärende följer också sekretesskyddet med.248 Sekretessen hos och gäller för uppgift om en enskilds hälsotillstånd eller andra personliga 248 10 kap. 17 § och 11 kap. 1 § OSL. Informationsinhämtning, personuppgiftsbehandling och sekretess förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i ärende hos myndigheten.249 När enskilda lämnar uppgifter direkt till en tillsynsmyndighet regleras sekretesskyddet i stället i 21 kap. 1 § OSL250 om någon annan regel i OSL inte är tillämplig. Paragrafen utgör ett minimiskydd för känsliga uppgifter om hälsa och sexualliv. Bestämmelsen är generell och ska tillämpas hos alla myndigheter. Presumtionen är att uppgifterna är offentliga om det inte kan antas att ett utlämnande av en uppgift kommer att leda till betydande men för den enskilde eller någon närstående till denne. Konsekvensen blir att uppgifter som enskilda lämnar direkt till en myndighet kan ha ett svagare skydd jämfört med om samma uppgift hade överförts mellan två myndigheter under förutsättning att uppgiften inte skyddas av någon annan regel i OSL. 9.3Allmänt om rättsligt skydd för personuppgifter I 1 kap. 2 § regeringsformen slås fast att den offentliga makten ska utövas med respekt för den enskilde människans frihet och att det allmänna ska värna den enskildes privatliv och familjeliv. Av 2 kap. 6 § andra stycket regeringsformen framgår att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Rättigheten får endast begränsas i lag. Ytterligare en förutsättning för att begränsa rättigheten är att det sker för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och att den inte går utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den.251 Om en myndighet har verksamhetsregister och databaser med information som är knuten till en myndighetsärendehantering är uppgifterna enligt motiven till lagstiftningen tillgängliga för myndigheten på ett sådant sätt att lagringen och behandlingen av 24928 kap. 1 § OSL. 250Se även 21 kap. 7 § OSL för personuppgifter. 2512 kap. 20 och 21 §§ regeringsformen. Där ställs även ytterligare krav för att begränsning ska få ske. Informationsinhämtning, personuppgiftsbehandling och sekretess uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet med behandlingen är ett helt annat.252 Enligt art 8 i har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offentliga myndigheter får inte inskränka åtnjutandet av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Inom EU finns det så kallade dataskyddsdirektivet253. Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter och för att främja ett fritt flöde av personuppgifter mellan medlemsstaterna i EU. Dessa stater får inom den ram som anges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Ett arbete pågår inom EU i syfte att reformera reglerna om personuppgifter. Personuppgiftslagen (1998:204, förkortad PuL) har till syfte att skydda människor mot att deras personliga integritet kränks när personuppgifter behandlas. Med personuppgifter avses enligt lagen all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Begreppet ”behandlas” är brett, det omfattar insamling, registrering, lagring, bearbetning, spridning, utplåning med mera. Om behandlingen sker på automatisk väg eller inte spelar ingen roll. Som exempel på åtgärder som utgör personuppgiftsbehandling nämns i lagen bland annat insamling, 2009/10:80 s. 177 ff. 253Europaparlamentet och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Informationsinhämtning, personuppgiftsbehandling och sekretess registrering, bevarande, användning, utlämnande genom översändande och spridning eller annat tillhandahållande av uppgifter. PuL bygger på reglerna i dataskyddsdirektivet. PuL innehåller generella regler och är tillämplig endast om det inte i en annan lag eller i en förordning finns bestämmelser som avviker från PuL.254 I PuL finns regler för hur personuppgifter får behandlas. Lagen bygger i hög grad på samtycke och information till de registrerade. Det finns också regler om säkerhet och rättelse av felaktiga uppgifter. Myndigheter och andra kan utse personuppgiftsombud som självständigt kontrollerar att personuppgifter behandlas korrekt inom verksamheten. Vilka regler i PuL som gäller beror på hur personuppgifterna som publiceras är strukturerade. Om personuppgifterna lagras i en databas eller annan typ av register anses uppgifterna vara strukturerade. Om personuppgifterna återfinns exempelvis i löpande text eller i e-post anses uppgifterna däremot vara ostrukturerade. För strukturerad personuppgiftsbehandling gäller betydligt fler regler än för ostrukturerade. Den förenklade regleringen för ett ostrukturerat material innebär att vardaglig ostrukturerad behandling i princip får utföras fritt så länge man inte kränker den uppgifterna avser. För att avgöra om en behandling är kränkande måste man göra en samlad bedömning av hur känsliga uppgifterna är, i vilket sammanhang de förekommer, för vilket syfte de behandlas, vilken spridning de har fått eller riskerar att få, samt vad behandlingen kan leda till. Man får således göra en avvägning i det enskilda fallet där den registrerades intressen av en fredad, privat sfär vägs mot andra motstående intressen. Vid behandling av personuppgifter i regelrätta register eller andra samlingar av personuppgifter som är ordnade så att det ska bli enklare att söka efter eller sammanställa personuppgifter, till exempel databaser eller stora dokument- och ärendehanteringssystem gäller de mer omfattande reglerna i PuL. 254 2, 3 och 5 §§ personuppgiftslagen (1998:204). Informationsinhämtning, personuppgiftsbehandling och sekretess Registerförfattningar har till huvudsakligt syfte att reglera inrättandet och användningen av viktiga register eller andra personuppgiftssamlingar inom den offentliga sektorn. Den bakomliggande tanken är att myndighetsregister med ett stort antal registrerade och med ett känsligt innehåll ska regleras särskilt genom lag. Registerförfattningar reglerar myndighetens behandling av personuppgifter och är tänkta att ge ett anpassat integritetsskydd vid myndighetens hantering av personuppgifter då behov finns att avvika från eller komplettera det integritetsskydd som PuL annars ger. och behöver behandla personuppgifter för att kunna administrera olika förmåner och bidrag. Myndigheternas behandling av personuppgifter sker huvudsakligen i olika typer av socialförsäkringsregister. Dessa register ingår i sin tur i socialförsäkringsdatabasen.255 Alla försäkrade ingår i databasen. Den innehåller alltså en stor mängd uppgifter om nästan samtliga personer som bor i . Direktåtkomst till socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i lag eller förordning. Flera myndigheter har tillgång till databasen, till exempel , arbetslöshetskassor och socialnämnder. I socialförsäkringsdatabasen ingår också ärendehanteringssystem (ÄHS) och diabas. ÄHS är ett av egenutvecklat dokumenthanteringssystem att jämföra med en digitaliserad form av pappersakter. Exempelvis om en försäkrad lämnar in en skrivelse på papper scannas skrivelsen in i ÄHS och blir tillgänglig elektroniskt i systemet. Diabas används för diarieföring av inkomna och upprättade handlingar i administrativa ärenden samt för diarieföring av omprövningar och överklaganden. 255 114 kap. 5 och 14-23 §§ socialförsäkringsbalken. Informationsinhämtning, personuppgiftsbehandling och sekretess ISF har tillkomst pekat på behovet av tillgång till information. Frågan har utretts . Behandling av personuppgifter vid ISF fann arbetsgruppen att ISF hade behov av att behandla ett stort antal personuppgifter, varav vissa kunde antas vara känsliga, och att ISF inte hade tillräckliga förutsättningar för att kunna behandla personuppgifter. Arbetsgruppen föreslog en lag om behandling av personuppgifter vid ISF. Förslaget har inte lett till någon lagstiftning. har ISF:s behov av särskild lagreglering för behandling av personuppgifter för tillsyns- och granskningsverksamheten utretts i SOU 2014:67 Inbyggd integritet inom ISF. Utredningen har bland annat utrett ISF:s behov av en särskild registerförfattning för verksamheten och behov av direktåtkomst till , och databaser. Utredningen bedömde att ISF skulle få behandla personuppgifter, inklusive känsliga personuppgifter och personuppgifter om lagöverträdelser med mera, som var direkt hänförliga till enskilda, från såväl register som andra uppgiftssamlingar. Även akter hos , och när det behövdes för att fullgöra inspektionens uppdrag beträffande systemtillsyn eller effektivitetsgranskning skulle omfattas. Detsamma skulle även gälla för sådana uppgifter från andra myndigheter eller aktörer i den utsträckning detta behövdes för ISF:s tillsyn eller granskning. Utredningen bedömde även att ISF skulle få använda personnummer vid sin tillsyn och granskning. Utredningen föreslog att en särskild lag skulle införas för behandling av personuppgifter inom ISF:s tillsyn och granskningsverksamhet. ISF skulle även medges direktåtkomst till socialförsäkringsdatabasen. Denna åtkomst skulle användas endast för uppgifter som var nödvändiga som underlag vid ISF:s tillsyns- och granskningsverksamhet. Informationsinhämtning, personuppgiftsbehandling och sekretess Utredningen har att utgå ifrån gällande rätt. Frågan om ISF:s behov av registerförfattning har utretts av en tidigare utredning SOU 2014:67, som när detta skrivs är föremål för remissbehandling. Det är alltså oklart om SOU 2014:67 kommer att mynna ut i ett lagförslag avseende behandling av personuppgifter inom ISF:s tillsyn och granskningsverksamhet. Denna utredning har inte i uppdrag att utreda ISF:s behov av registerförfattning, men utredningen ser att det kan finnas ett behov av att samordna den här utredningen med SOU 2014:67 i det framtida lagstiftningsarbetet. Utredningen menar också att de förslag som lämnas i SOU 2014:67 skulle underlätta för ISF att på ett effektivt sätt kunna genomföra sitt uppdrag. 10Förslag för utökad tillsyn på socialförsäkringsområdet Utredningen ska enligt uppdraget, se bilaga 1, analysera behovet av en förstärkt tillsyn över socialförsäkringen utöver den tillsyn som utövas . Om analysen visar att ett reguljärt tillsynsorgan över socialförsäkringen bör inrättas ingår det i uppdraget att föreslå hur och i vilken organisatorisk form en sådan tillsyn bör inrättas. Gränssnittet mot de funktioner som utövar tillsyn, kontroll och granskning inom socialförsäkringsområdet ska analyseras. Utredningen ska även klargöra rutiner för samordning av tillsynen. Utredningen lämnar följande förslag: Utredningens bedömning: Det finns ett behov av en utökad tillsyn inom socialförsäkringsområdet. Skälen för utredningens bedömning: I kapitel 7 redovisar utredningen ett antal skäl för en utökad tillsyn utifrån tillsynens olika syften. Här sammanfattas utredningens huvudsakliga skäl för bedömningen och därför återkommer flera av de resonemang som finns i kapitel 7, som motiveringar till utredningens förslag. Den reguljära tillsyn som finns är den systemtillsyn som bedrivs av Inspektionen för socialförsäkringen (ISF), se avsnitt 6.3.2. Den fyller en del av det tillsynsbehov som finns men utredningens slutsats är att det finns ett behov av ytterligare tillsyn, utöver den som finns , se avsnitt 7.7.4. Förslag för utökad tillsyn på socialförsäkringsområdet I kapitel 8 analyseras om rättsystemet kan fylla motsvarande funktion när det gäller den del av tillsynsbehovet som rör enskildas klagomål. Utredningens slutsats är att en förstärkning av rättssystemet inte kan fylla tillsynsbehovet. Utredningen bedömer därför att dagens tillsyn behöver utökas. Utredningen har identifierat två huvudsakliga förändringar som behövs för att på ett bättre sätt än fylla det tillsynsbehov som finns. Den första är att den nuvarande tillsyn som finns på socialförsäkringsområdet inte bör begränsas till systemtillsyn. Den andra är att det finns ett behov av en hantering av klagomål från allmänheten. 10.2.1Utökad generell tillsyn på socialförsäkringsområdet Socialförsäkringens regelverk kännetecknas av att det i handläggningen behöver göras bedömningar i enskilda fall. Detta i kombination med att regelverket dessutom är komplicerat ger ett behov av tillsyn. Frågor om likformighet och rättssäkerhet är helt centrala för en väl fungerande socialförsäkring. Utredningen menar att avgränsningen till systemtillsyn i myndighetens uppdrag innebär att ISF begränsas i sina möjligheter att utöva tillsyn. Enligt ISF:s instruktion avses med systemtillsyn en granskning av om tillsynsobjektets egna system för styrning och kontroll säkerställer en korrekt och enhetlig tillämpning av det regelverk som tillsynsobjekten ska tillämpa. Det finns ett behov av en utvecklad generell tillsyn med möjligheter att vid behov även granska enskilda ärenden utan ett systemperspektiv. Även om ISF gör en extensiv tolkning av begreppet systemtillsyn är det angeläget att säkerställa att myndigheten kan använda sig av en bredare tillsynsarsenal än den nuvarande. I myndigheternas uppdrag ingår det att operationalisera det regelverk som omgärdar en verksamhet. Detta motiverar en extra, självständig blick på rättstillämpningen. Utredningen bedömer att en generell tillsyn med frihet att både utöva systemtillsyn och direkt tillsyn av verksamhet och av enskilda ärenden kan fungera som ett värdefullt stöd både för de Förslag för utökad tillsyn på socialförsäkringsområdet försäkrade, för de som tillämpar försäkringen och för den politiska beslutsprocessen. En tillsynsmyndighet som agerar självständigt kan bidra med legitimitet för tillämpningen på ett sätt som tillsynsobjekten själva inte kan åstadkomma. Det omfattande samordningsbehovet på området motiverar utökade tillsynsmöjligheter Verksamhetsområden där det finns flera ansvariga myndigheter ökar behovet av en extern granskning som kan se till att det inte uppstår glapp och olikheter i tillämpningen. En tanke med socialförsäkringsbalken, när den infördes, var att få en enhetlighet i förvaltningen på socialförsäkringsområdet. En tillsynsmyndighet, som granskar socialförsäkringsområdet, kan undvika stuprörstänkande på ett sätt som är svårt att åstadkomma genom myndigheternas interna granskning och kvalitetsutveckling eller genom samverkan mellan myndigheter. Tillsyn kan även visa på situationer där samarbetet mellan myndigheterna inte fungerar och/eller där ansvaret är oklart. som systemtillsynsperspektivet ofta är användbart för att granska samverkan mellan myndigheten anser utredningen att enbart systemtillsyn inte är tillräckligt för att fylla det identifierade behovet. Det kan uppkomma situationer där det är befogat att exempelvis följa en viss specifik verksamhet eller vissa ärenden utan att det finns ett systemperspektiv eller ett klagomål från enskilda att utgå från. Socialförsäkringsområdets omfattning och betydelse motiverar bredare tillsyn Områdets omfattning kan i sig motivera ett större behov av granskning. Att lika behandlas lika är enklare att uppnå på en liten än på en stor myndighet. Och att området omfattar en betydande del av statsbudgeten är ett motiv för granskning, inte minst i ett medborgarperspektiv. Områdets omfattning och betydelse gör att det enligt utredningen inte är befogat att begränsa tillsynsuppdraget till en specifik typ av tillsyn. Det bör finnas utrymme för en Förslag för utökad tillsyn på socialförsäkringsområdet tillsynsmyndighet att utforma tillsynen på det sätt som behövs. Det handlar om att tillsynsmyndigheten själv ska kunna utforma sin verksamhet men också om varsamhet med skattemedel. Tillsynen ska kunna inriktas där den gör mest nytta. Utifrån detta bedömer utredningen att det finns ett behov av, och ett tillräckligt underlag för, en utökad generell tillsyn på socialförsäkringsområdet. Ett bredare tillsynsmandat behövs av insynsskäl Tillsyn kan bidra till en ökad insyn och en självständig instans för de försäkrade att vända sig till kan därför öka tilltron till socialförsäkringen och dess administration. Allmänhetens möjligheter till insyn i verksamheten är av sekretesskäl begränsade. Den extraordinära tillsynen hos ombudsmän () fyller inte samma funktion för specialiserad insyn som en reguljär tillsyn kan göra. Socialförsäkringen kan här jämföras med arbetslöshetsförsäkringen eller med andra verksamheter som av sekretesskäl har en begränsad möjlighet till insyn i verksamheten. För dessa verksamheter är behovet av generell tillsyn av särskild betydelse. Självständighet – viktig signal till medborgaren Den befintliga hanteringen av klagomål uppfyller inte fullt ut de krav på självständighet och transparens som medborgarna bör kunna ställa på ett område av socialförsäkringsområdets betydelse. En reguljär klagomålshantering kan bidra till att ge enskilda förstärkt rättsställning. Ett alternativ till en utökad reguljär tillsyn i syfte att tillgodose enskildas behov av att kunna initiera tillsynsärenden skulle vara att ge mer resurser till befintliga tillsynsorgan, främst JO och Justitiekanslern (), som behandlar klagomål från enskilda. Även om JO:s och JK:s uppdrag faller utanför det som utredningen har att överväga finns det skäl att lyfta ett par frågor. Förslag för utökad tillsyn på socialförsäkringsområdet Till att börja med behöver mer resurser till dessa myndigheter inte nödvändigtvis innebära att deras insatser inom socialförsäkringsområdet förstärks. Dessa myndigheter är i princip fria att själva göra sina prioriteringar. Om den extraordinära tillsynen av något skäl blir överbelastad finns det dessutom en risk för att tillsynen av socialförsäkringsområdet prioriteras ner. Utredningen menar att socialförsäkringsområdets betydelse gör att en sådan situation bör undvikas. Ett annat alternativ skulle kunna vara en förstärkning av den befintliga klagomålshanteringen hos , Pensions- myndigheten och . Utredningen menar dock att en intern klagomålshantering inte kan ersätta tillsyn baserat på enskildas klagomål. Den som ansöker om en socialförsäkringsförmån gör det ofta för att den försäkrade själv eller någon närstående är sjuk, har blivit skadad eller på annat sätt befinner sig i en särskilt utsatt position. Dessutom ska uppgifter om hälsa, ekonomi och andra personliga förhållanden redovisas till och hanteras av en myndighet. När något går fel och den försäkrade inte är nöjd med hanteringen av ärendet kan det, enligt vad utredningen har erfarit, finnas ett behov av att vända sig till en instans som inte finns inuti den organisation man vill klaga på. En annan slutsats är att behovet av en självständig klagomålsfunktion sannolikt är särskilt stort för funktionsnedsatta och andra med behov av långvariga och parallella kontakter med flera trygghetssystem. De påverkas i högre utsträckning av till exempel bristande samordning mellan olika trygghetssystem eller av undermålig dokumentation. Å andra sidan riskerar ytterligare en instans för klagomål att skapa otydlighet om vart man som enskild bör vända sig med ett klagomål. Såväl tillsynsmyndigheten som tillsynsobjekten måste därför både informera om klagomålsfunktionens inriktning och sin skyldighet att visa enskilda till rätt instans på ett sätt som är lätt tillgängligt för den försäkrade. Om ytterligare en klagomåls- hantering uppfattas som att den skapar rörighet snarare än underlättar riskerar funktionen att leda till lägre i stället för högre förtroende för socialförsäkringen och dess administration. Förslag för utökad tillsyn på socialförsäkringsområdet Utredningen menar dock att det finns starka skäl som talar för att det behövs en reguljär klagomålshantering på social- försäkringsområdet.