prop · H40358 · 2016-12-19 00:00:00 — Datainspektionen framhåller att dataskyddsförordningen kommer att börja tillämpas och att den personuppgiftsbehandling som sker därför måste vara i överensstämmelse med den förordningen. Skälen för regeringens bedömning: Som framgår av avsnitt 7.1.2 har tidigare utredningar påtalat behovet av att myndigheter som handlägger ärenden om bl.a. utbetalningar från välfärdsystemen har tillgång till korrekta inkomstuppgifter. I syfte att förbättra kontrollmöjligheterna, öka effektiviteten vid myndigheternas arbete och förbättra servicen till enskilda gör regeringen bedömningen att vissa myndigheter och arbetslöshetskassor ska få ta del av uppgifter på individnivå, dvs. per betalningsmottagare, i arbetsgivardeklarationer. Regeringen lämnar också vissa förslag till bestämmelser om utlämnande. I efterföljande avsnitt görs inledningsvis vissa övergripande och myndighetsgemen- samma överväganden rörande ett utökat informationsutbyte och skyddet för personuppgifter. Därefter följer bedömningar och förslag om utlämnande av uppgifter i arbetsgivardeklarationer till ett antal mottagare. I samband därmed redogörs närmare för de olika mottagarnas behov av uppgifterna. har vid framtagandet av den promemoria som ligger till grund för förslagen huvudsakligen utgått ifrån det behov av uppgifter som har identifierats av månadsuppgifts- utredningen (se avsnitt 7.1.2). Det kan nämnas att regeringen arbetar vidare med det förslag rörande ersättningsgrundande inkomst som lämnades av den parlamentariska socialförsäkringsutredningen (se prop. 2016/17:1, utg.omr. 10, avsnitt 3.5.5). Det bör inledningsvis framhållas att förslagen om utlämnande avser sådana uppgifter som utbetalare av ersättning har lämnat till i arbetsgivardeklarationer och förenklade arbetsgivardeklarationer, ändringar och tillägg till dessa uppgifter som görs av den deklarations- skyldige samt ändringar och kompletteringar vid Utlämnandet avser inte uppgifter som får tillgång till på annat sätt och som kan leda till att vid beskattningen frångår de uppgifter som har lämnats av 7.4.2 Vissa allmänna överväganden om ett utökat utlämnande och den personliga integriteten När det övervägs om bestämmelser om ett utökat informationsutbyte bör införas måste de samhällsintressen som talar för att införa sådana bestämmelser vägas mot de integritetsskäl som talar däremot. I detta avsnitt görs sådana överväganden ur ett övergripande och myndighets- gemensamt perspektiv. Automatiserad behandling av stora mängder personuppgifter kan medföra risker från integritetssynpunkt. Myndigheters behandling av stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg innebär en risk för att enskilda personer ska utsättas för oacceptabla intrång i den personliga sfären. Ett omfattande elektroniskt utlämnande av personuppgifter innebär vidare att uppgifter får en större spridning. Det ger också mottagaren möjligheter att bearbeta information genom att t.ex. samköra den med sina egna register. Uppgifter som samlas tillsammans med andra uppgifter kan skapa en totalbild av en människas enskilda förhållanden och leda till att statens kännedom om personens privata förhållanden ökar, vilket kan innebära ett intrång i den enskildes personliga integritet. Frågan om elektroniskt informationsutbyte mellan myndigheter har varit föremål för flera olika utredningar som har behandlat de avvägningar som behöver göras vid ett utökat elektroniskt uppgifts- lämnande. I dessa sammanhang har bl.a. framhållits att skyddet för den personliga integriteten måste vägas mot de viktiga allmänintressen som kan motivera ett utökat informationsutbyte, såsom att informations- utbytet kan leda till en ökad effektivitet hos myndigheter, ge den enskilde bättre service och behövas för att genom bättre kontrollmöjligheter undvika att välfärdssystemen undergrävs av bidragsbrott och felaktiga utbetalningar (jfr prop. 2007/08:160 s. 48). I personuppgiftslagen och särskilda registerförfattningar för myndig- heter finns bestämmelser som reglerar hur personuppgifter får behandlas hos de myndigheter som tar emot uppgifterna. Dessa bestämmelser ger således ett skydd för den enskildes integritet vid ett utbyte av uppgifter. Uppgifter får t.ex. behandlas av de mottagande myndigheterna endast om det behövs för vissa särskilda ändamål. Som framgår av avsnitt 7.2.5 börjar dataskyddsförordningen tillämpas . Förordningen ställer bl.a. särskilda krav på säkerheten vid personuppgiftsbehandlingen. Även utformningen av sekretessreglerna i offentlighets- och sekretesslagen ger ett skydd för den personliga integriteten hos mottagaren av uppgifter Prop. 2016/17:58 genom att obefogad spridning av uppgifterna motverkas. När det gäller handläggningen av vissa ärenden, bl.a. sådana som rör förmåner för enskilda, är uppgifter om inkomster ofta av central betydelse vid handläggningen. Uppgifter om inkomst kan ha direkt koppling till de materiella bestämmelserna i regelverket för den aktuella förmånen. Uppgifter av samma slag som de uppgifter som kan komma i fråga att lämna ut finns i dessa fall redan i stor utsträckning hos mottagaren. Den ökade kartläggningen av enskildas personliga förhållanden som utlämnandet medför är då begränsad, vilket enligt regeringens mening talar för att integritetsintrånget blir mindre. Uppgifterna per betalningsmottagare som har lämnats i en arbetsgivar- deklaration kan ibland behövas för att kontrollera motsvarande uppgifter som har lämnats av enskilda till den mottagande myndigheten. Flera myndigheter deltar i elektroniska informationsutbyten med . Det har i dessa fall ansetts vara förenligt med kraven på skydd mot oacceptabla intrång i den personliga integriteten att tillåta dessa utbyten. Enligt sekretessbrytande bestämmelser i förordningen om behandling av uppgifter i beskattningsverksamhet ska t.ex. lämna ut vissa uppgifter från beskattningsdatabasen till i den utsträckning det behövs bl.a. för beräkning och kontroll av sjukpenninggrundande inkomst eller bostadsbidrag. Uppgifter om inkomster för en viss betalningsmottagare i en arbetsgivardeklaration är inte utan integritetskänslighet, men är inte heller av det särskilt känsliga slaget. Att ett utlämnande endast avser uppgifter i arbetsgivardeklarationer innebär i sig en begränsning. Bestämmelserna bör dessutom utformas så att det framgår att inte alla uppgifter per betalningsmottagare som arbetsgivare och andra utbetalare redovisat i arbetsgivardeklarationerna kommer att lämnas vidare. Endast sådana typer av uppgifter som behövs för avsedda ändamål ska lämnas ut. och uppgiftsmottagarna måste identifiera de nödvändiga uppgifterna och begränsa de tekniska systemen för utlämnande därefter. Regeringens bedömning: Sekretessbrytande bestämmelser om upp- giftsskyldighet för bör införas. Promemorians bedömning: Överensstämmer med regeringens be- dömning. Remissinstanserna: Ingen remissinstans uttalar sig särskilt över be- dömningen. Skälen för regeringens bedömning: Uppgifter per betalningsmottag- are i arbetsgivardeklarationer kommer att omfattas av absolut sekretess enligt 27 kap. 1 § OSL hos (se avsnitt 7.2.2). Som närmare behandlas i avsnitt 7.2.1 gäller sekretess även mellan myndigheter. Ett utlämnande av uppgifterna till andra myndigheter kräver därför att sekretessen bryts. Det finns vissa sekretessbrytande bestämmelser i 10 kap. OSL. Enligt den s.k. generalklausulen i 10 kap. 27 § OSL får en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Regeringen har gjort bedömningen att det ofta inte är lämpligt att omfattande utlämnande av sekretessbelagda uppgifter sker enbart med stöd av den sekretessbrytande generalklausulen (se t.ex. 2015/16:65 s. 94). Av 10 kap. 28 § OSL följer vidare att sekretess inte hindrar att uppgift lämnas till en annan myndighet, om uppgifts- skyldighet följer av lag eller förordning. bestämmelser bör därför utformas som bestämmelser om uppgifts- En sådan uppgiftsskyldighet bör omfatta uppgifter i arbetsgivardeklarationer som behövs för vissa specifikt angivna ändamål hos mottagarna. För direktåtkomst bör särskilda sekretessbrytande bestämmelser gälla (se avsnitt 7.2.5 och 7.4.4) Några särskilda bestämmelser som begränsar möjligheten att lämna ut uppgifter från beskattningsdatabasen till andra myndigheter i annan elektronisk form än genom direktåtkomst finns inte i lagen om behandling av uppgifter i beskattningsverksamhet. införandet av lagen bedömdes att det inte fanns några bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektroniskt. Skälet för detta var bl.a. att myndigheterna vanligtvis omfattas av särskilda registerförfattningar som reglerar vilka automatiserade register eller personuppgiftssamlingar som får föras av myndigheten eller annars på vilket sätt personuppgifter Det bedömdes att det inte torde finnas någon risk för att mottagande myndigheter skulle behandla personuppgifter som hämtats in på medium för automatiserad behandling på ett sätt som inte är avsett 2000/01:33 s. 111 f.) Om en sekretessbrytande bestämmelse om skyldighet för att lämna uppgifter till en annan myndighet införs, kommer således uppgifterna att få lämnas ut genom ett annat elektroniskt förfarande än direktåtkomst. Detta gäller oavsett om den sekretessbrytande bestämmelsen placeras i en författning som rör behandling av personuppgifter eller i någon annan författning. Regeringens bedömning: Det finns skäl att införa bestämmelser som tillåter att utlämnande av uppgifter per betalningsmottagare i en arbetsgivardeklaration eller en förenklad arbetsgivardeklaration får ske genom direktåtkomst till beskattningsdatabasen för vissa myndig- heter som bedöms få ta del av uppgifterna. Direktåtkomst bör endast få medges om uppgifterna behövs i vissa angivna ärenden hos de mottagande myndigheterna. Promemorians bedömning: Överensstämmer med regeringens bedömning. Remissinstanserna: Datainspektionen anser att det saknas en förklaring till hur utlämnandena ska gå till och att det inte redogörs för vilka konkreta risker som finns med att ge en möjlighet till direktåtkomst. Datainspektionen anser också att det behövs vissa ytterligare bestämmelser som syftar till att garantera bl.a. att direktåtkomst inte medges innan behörighets- och säkerhetsfrågorna är lösta samt att det är en brist i promemorian att respektive myndighets roll Prop. 2016/17:58 vad gäller personuppgiftsansvaret inte har klarlagts. Skälen för regeringens bedömning Elektroniskt utlämnande av uppgifter kan ske antingen genom direktåtkomst eller på annat sätt. Vare sig i personuppgiftslagen, dataskyddsdirektivet eller dataskyddsförordningen finns några särskilda bestämmelser om begränsningar vad gäller sättet eller metoden för att lämna ut uppgifter. Som framgår av tidigare avsnitt regleras det dock uttömmande i lagen om behandling av uppgifter i beskattningsverksamhet i vilken utsträckning andra myndigheter eller enskilda får ges direktåtkomst till uppgifter i beskattningsdatabasen. Behovet av bestämmelser om direktåtkomst Ett system där beslutsfattande myndigheter kan hämta in behövliga uppgifter på ett enkelt och snabbt sätt innebär effektivitetsvinster för både den mottagande och den utlämnande myndigheten. Ärende- hanteringen kan effektiviseras och handläggningstiderna kortas. En sådan effektivisering innebär vidare en möjlighet att stärka kontrollen av utbetalningen av allmänna medel och därmed följa statsmakternas krav på kontroll. Även servicen mot enskilda kan i många fall förbättras. Det finns mot den bakgrunden skäl för ett system där den mottagande myndigheten inte i ett enskilt fall behöver begära ut en uppgift som behövs, utan på egen hand kan söka den information som krävs i den utlämnande myndighetens personuppgiftssamling. Det är viktigt att de uppgifter som den mottagande myndigheten får del av är de mest aktuella uppgifter som finns tillgängliga i den utlämnande myndighetens databas. Om de uppgifter som en beslutande myndighet får tillgång till inte är aktuella kan det leda till onödiga ärenden om återkrav. Som framgår av avsnitt 7.2.5 finns ingen legaldefinition av begreppet direktåtkomst. Den grundläggande innebörden anses dock vara att någon har direkt tillgång till information hos någon annan och på egen hand kan söka i den, dock utan att själv kunna påverka innehållet. Direktåtkomsten kan ge användaren möjlighet att även hämta hem information till sitt eget system och bearbeta den där (se t.ex. prop. 2007/08:160 s. 57 f.). I begreppet direktåtkomst ligger att den utlämnande myndigheten i det enskilda fallet inte har någon kontroll över vilka uppgifter mottagaren vid ett visst söktillfälle tar del av. Det avgörande från som redogjorts för i avsnitt 7.2.5 (HFD 2015 ref. 61) kan tolkas så att den tekniska utform- ningen av en myndighets system för utlämnande av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller som utlämnande på medium för automatiserad behandling. I det aktuella fallet förutsatte ett utlämnande att , genom ett automatiserat förfarande, reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. ansåg därför att socialnämnderna inte kunde anses ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Detta innebar att förfarandet inte var att betrakta som direktåtkomst. Regeringen anser att den lagstiftning som införs bör vara teknikneutral och flexibel. Den bör utformas på ett sådant sätt att den inte behöver förändras i takt med den tekniska utvecklingen och myndigheternas behov av att behandla personuppgifter. I lagen om behandling av uppgifter i beskattningsverksamhet görs åtskillnad mellan utlämnande genom direkåtkomst och annat elektroniskt utlämnande. Det finns särskilda bestämmelser om att direktåtkomst är tillåtet i vissa fall. Mot bakgrund av det anförda bedömer regeringen att det även i detta fall finns behov av bestämmelser som tillåter att ett utlämnande av uppgifter som behövs i vissa ärenden hos mottagarna av uppgifterna ska få ske genom direktåtkomst. Integritetsrisker och integritetsskydd vid direktåtkomst Generellt kan sägas att möjligheten till direktåtkomst ökar riskerna för intrång i den personliga integriteten, eftersom det typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Som framgår av avsnitt 7.2.5 förutsätter möjligheten till direktåtkomst normalt att den mottagande myndigheten rent tekniskt har tillgång till fler uppgifter än de uppgifter som handläggare hos den mottagande myndigheten har rätt att ta del av enligt bestämmelsen om direktåtkomst och enligt ändamålsbestämmelser för den mottagande myndigheten. Detta beror på att det i förväg inte går att veta vilka personer som kommer att bli aktuella i ärenden hos mottagaren. Alla uppgifter som görs tekniskt tillgängliga för den mottagande myndigheten vid direkt- åtkomsten anses utlämnade till denna. Sekretessbrytande regler måste därför i en sådan situation omfatta fler uppgifter än de som den mottagande myndigheten i konkreta fall har rätt att söka fram. Regeringen anser dock att bestämmelserna om direktåtkomst bör formuleras så att det framgår av dem att handläggare hos den mottagande myndigheten bara får ta del av uppgifter när de behövs i angivna ärenden. Den mottagande myndighetens behandling av personuppgifter omfattas också av integritetsskyddande bestämmelser i författningar om behandling av personuppgifter som är tillämpliga i den verksamheten och som bl.a. anger för vilka ändamål uppgifter får behandlas. Vidare innebär databassekretessen i 27 kap. 1 § OSL att uppgifter i beskattnings- databasen kommer att omfattas av absolut sekretess hos de mottagande myndigheterna så länge uppgifterna inte används i den mottagande myndighetens verksamhet. Härigenom motverkas en spridning av sådana uppgifter som den mottagande myndigheten inte behöver för handläggning av de ärenden som direktåtkomsten får omfatta, men som har gjorts tekniskt tillgängliga för myndigheten. De sekretessbrytande bestämmelserna vid direktåtkomsten bör formuleras så att den mottagande myndigheten ges rätt att ta del av vissa uppgifter i arbetsgivardeklarationer vid direktåtkomst till beskattnings- databasen. Den sortens uppgifter som till sitt slag inte alls är behövliga vid ärendehandläggningen omfattas inte av vare sig de sekretessbrytande bestämmelserna eller bestämmelserna om direktåtkomst. De tekniska systemen måste utformas så att endast den typ av uppgifter som behövs i den aktuella ärendehandläggningen görs tekniskt tillgängliga för den mottagande myndigheten. Om kretsen av personer som har tillgång till uppgifterna kan begränsas är riskerna för integritetsintrång generellt sett mindre. Allmänt gäller att den mottagande myndigheten måste begränsa åtkomsten så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. I många av de författningar som reglerar behandling av personuppgifter hos myndigheter anges särskilt att tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Om integritetskänsliga uppgifter får överföras till en myndighet, bör i normalfallet inte alla anställda hos den mottagande myndigheten kunna ta del av de överförda uppgifterna. Den mottagande myndigheten måste begränsa behörigheten att ta del av uppgifterna till de personer som handlägger de ärenden där uppgifterna behövs. Åtkomsten till uppgifter kan t.ex. begränsas till olika behörig- hetsnivåer på så sätt att enbart vissa personer vid en mottagande myndighet har tillgång till uppgifterna. Direktåtkomsten förutsätter också att uppgifter kan överföras på ett tekniskt säkert sätt. Detta handlar t.ex. om att de system som används för direktåtkomst ska ha skydd mot obehöriga intrång och andra yttre säkerhetsrisker. I 31 § PUL ställs krav på den personuppgiftsansvarige avseende tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Som Datainspektionen framhåller kommer dataskyddsförordningen att träda i kraft . I den förordningen finns bl.a. bestämmelser om krav på säkerhet och lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgiftsbehandling sker i enlighet med förordningen. Det åligger myndigheterna att organisera sin verksamhet och sina system på ett sådant sätt att gällande krav på teknisk och administrativ säkerhet upprätthålls. Datainspektionen menar att det är en brist i promemorian att respektive myndighets roll vad gäller personuppgiftsansvaret inte har klarlagts och anser även att det behövs ytterligare bestämmelser som syftar till att garantera att direktåtkomst inte medges innan behörighets- och säkerhetsfrågorna är lösta. Enligt 1 kap. 6 § lagen om behandling av uppgifter i beskattningsverksamhet är personuppgiftsansvarigt för den behandling som verket ska utföra. Den myndighet som lämnar ut uppgifter genom direktåtkomst har ett principiellt ansvar att förvissa sig om att den myndighet som beviljas direktåtkomst vidtar de åtgärder som bedöms vara nödvändiga från integritetssynpunkt. I lagen om behandling av uppgifter i beskattningsverksamhet anges beträffande direktåtkomst för social- nämnder att en socialnämnd får ha direktåtkomst först sedan har försäkrat sig om att handläggare hos socialnämnden bara kan ta del av uppgifter om personer som är aktuella i ärenden hos nämnden. När det gäller övriga myndigheters direktåtkomst till beskattningsdatabasen finns inte liknande bestämmelser. Mot den bakgrunden, och då grundläggande bestämmelser om den personuppgiftsansvariges ansvar gäller, anser inte regeringen att det i detta sammanhang finns skäl att införa några särskilda bestämmelser om ansvar vid direktåtkomsten. Det finns skäl att införa bestämmelser om direktåtkomst Regeringen bedömer sammanfattningsvis att det är motiverat att införa bestämmelser som tillåter att vissa myndigheter som får ta del av uppgifter per betalningsmottagare i arbetsgivardeklarationer och för- enklade arbetsgivardeklarationer och som har ett stort behov av uppgifterna medges direktåtkomst. Direktåtkomst ska endast få medges om uppgifterna behövs i vissa ärenden hos de mottagande myndig- heterna. Regeringens bedömning: Direktåtkomst till beskattningsdatabasen bör regleras i lag. De sekretessbrytande bestämmelserna kan tas in i förordning. Promemorians bedömning: Överensstämmer med regeringens för- slag. Remissinstanserna: Datainspektionen anser att det föreslagna infor- mationsutbytet innebär en så betydande kartläggning av enskildas personliga förhållanden att 2 kap. 6 § andra stycket RF blir tillämpligt. Skälen för regeringens bedömning: Som nämns i avsnitt 7.2.5 följer av 2 kap. 6 § andra stycket RF, att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Inskränkningar i denna fri- och rättighet får endast göras i lag. Enligt förarbetena till bestämmelsen ska både åtgärdens omfattning och arten av det intrång åtgärden innebär beaktas. Även åtgärdens ändamål och andra omständigheter kan ha betydelse vid bedömningen (prop. 2009/10:80 s. 250). Datainspektionen anser att det föreslagna informationsutbytet innebär en så betydande kartläggning av enskildas personliga förhållanden att 2 kap. 6 § andra stycket RF blir tillämpligt. De elektroniska informationsutbyten som är aktuella för överväganden gäller uppgifter om enskildas intäkter, vilka skyddas hos av absolut sekretess enligt 27 kap. 1 § första stycket OSL. Uppgifterna är inte utan integritetskänslighet, men är inte heller av det särskilt känsliga slaget. Uppgifter av samma slag finns vidare i stor utsträckning redan hos de mottagande myndigheterna och kommer huvudsakligen att användas för att kontrollera motsvarande uppgifter som har lämnats av enskilda. Utlämnandet avser vidare vissa specifikt utvalda uppgifter för vissa specifikt angivna ändamål, såsom kontroll- ändamål rörande utbetalningar ur välfärdssystemen. Regeringen anser att det elektroniska informationsutbyte som aktualiseras i förslaget inte innefattar ett sådant betydande integritetsintrång som avses i 2 kap. 6 § andra stycket RF. Regleringen behöver därför inte tas in i lag med hänsyn till grundlagsskyddet. Som nämns ovan regleras dock uttöm- mande i lagen om behandling av uppgifter i beskattnings- verksamhet vilka myndigheter som får ges direktåtkomst till beskatt- ningsdatabasen. Det finns enligt regeringens mening inte skäl för att nu frångå denna ordning. Bestämmelserna om vilka myndigheter och för vilka ändamål direktåtkomst får medges bör därför tas in i lag. 2016/17:58 elektroniskt utlämnande från beskattningsverksamheten till myndighet kräver inte stöd i lagen om behandling av uppgifter i beskattningsverksamhet. I lagen anges dock vissa, icke uttömmande, sekundära ändamål som tar sikte på sådant regelmässigt utlämnande till andra myndigheter som kan förutses. I 1 kap. 5 § anges t.ex. att uppgifter får behandlas för tillhandahållande av information som behövs i författningsreglerad verksamhet hos någon annan än för att utgöra underlag för beräkning, beslut och kontroll i fråga om förmån, bidrag och andra stöd. I förordningen om behandling av uppgifter i beskattningsverksamhet finns samlat flera sekretess- brytande bestämmelser som rör utlämnande av uppgifter ur beskattnings- databasen såväl genom direktåtkomst som genom andra rutinmässiga överföringar av uppgifter till myndigheter på medium för automatiserad behandling.