sou · H5B352 · 2017-06-07 00:00:00 — Vi anser därför att regeringen bör införa en bestämmelse i kommittéförordningen med innebörden att om ett förslag har betydelse för den personliga integriteten i de fall som avses i 2 kap. 6 § andra stycket RF (dvs. när det är frågan om ett sådant intrång som avses i bestämmelsen), så ska konsekvenserna i det avseendet anges i betänkandet. 16.4.2Vägledning från om konsekvensbedömningar bedömning: bör utvärdera, utveckla och vid behov uppdatera den av Datainspektionen utgivna vägledningen för integritetsanalys. De framkomna brister som är aktuella här, har enligt kommitténs uppfattning ofta sin grund i att bestämmelsen i RF 2:6 andra stycket är svårtillämpad och att bestämmelsens förarbeten är relativt allmänt hållna. Den kritik som framförs i remissförfarandet är specifikt inriktad på det aktuella förslaget, och ger därmed sällan närmare vägledning för hur regeringen eller framtida utredningar ska förhålla sig för att undvika liknande brister i kommande utredningar. Datainspektionen har givit ut en vägledning för integritetsanalyser. Syftet med vägledningen är att underlätta arbetet med att analysera konsekvenserna för den personliga integriteten vid personuppgiftsbehandling när förslag till nya lagar och andra föreskrifter tas fram. Datainspektionen förklarar behovet av denna vägledning med att myndigheten ”i remissyttranden över lagförslag tvingas konstatera att underlaget i betänkanden inte är tillräckligt utförligt för att inspektionen ska kunna ta ställning till integritetsriskerna med lagförslagen.”33 33 Datainspektionens Vägledning för integritetsanalys (). Uppföljning av grundlagsskyddets effekt i lagstiftningsarbetet Utifrån sin uppföljning av lagstiftningsarbetet, instämmer kommittén i Datainspektionens bedömning av behovet av en sådan vägledning. Enligt vår uppfattning ligger ansvaret för att till kommittéer och särskilda utredare tillhandahålla vägledning av detta slag, närmast på . Här kan jämföras med 33 § kommittéförordningen enligt vilken ska besluta de ytterligare föreskrifter som behövs för kommittéväsendets organisation och formerna för kommittéernas verksamhet. Vi anser därför att bör ta över förvaltningen av nämnda vägledning för integritetsanalys. Det innebär att bör utvärdera, utveckla och vid behov uppdatera vägledningen. Detta kan jämföras med att tagit fram olika vägledningar för att uppnå jämställdhetsintegrering i lagstiftningsprocessen.34 34 Vägledningarna grundas i detta hänseende på bland annat protokoll II:14 vid regeringssammanträde , med dnr S2016/01917/JÄM och S2016/04472/JÄM. 17 Konsekvenser av våra förslag I detta kapitel redogör vi för olika konsekvenser av förslag. I avsnitt 17.2–17.12 är konsekvensbeskrivningen uppdelad efter de olika samhällsområden och företeelser som vi har behandlat i vårt delbetänkande. Avsnitt 17.13 handlar om generella samhällsekonomiska konsekvenser av ett ökat integritetsskydd. Avsnitt 17.14 behandlar kostnader och finansiering ur ett generellt perspektiv. I avsnitt 17.15–17.20 går vi igenom konsekvenserna av våra förslag vad gäller den kommunala självstyrelsen, små företag, sysselsättning och service i hela landet, brottslighet och brottsförebyggande arbete, jämställdhet och integration samt klimat och miljö. I detta avsnitt behandlar vi konsekvenserna av vårt förslag att ge ett uppdrag till att initiera och stödja utarbetandet av en uppförandekod för skolor. Konsekvenserna för individerna inom detta område rör barn. Kommittén anser att barn är särskilt viktiga att skydda mot otillbörliga intrång i den personliga integriteten. Förslaget om uppförandekoder syftar till att förenkla tillämpningen av reglerna om integritetsskydd. Tydlig vägledning när det gäller en korrekt hantering av personuppgifter, möjliggör informa- Konsekvenser av våra förslag tionstjänster som kan vara av stort värde för barn i skolan. Det kan exempelvis handla om digitala lärplattformar och användning av sociala medier på rätt sätt. Förslaget om att utreda utökat sekretesskydd för uppgifter om elever i skolans it-system syftar till att skydda barn mot att uppgifter lämnas ut, som kan användas för en närgången kartläggning av deras beteende, resultat, vanor och familjeliv. En positiv samhällsekonomisk effekt av förslaget om uppförandekod för skolan är att det möjliggör effektiviseringar i skolorna, genom att uppförandekoden hjälper skolorna att bedöma vilka tjänster de ska anlita och vilka krav de ska ställa vid upphandlingar. En uppförandekod gör det också enklare för leverantörer att erbjuda och utveckla tjänster som stödjer en korrekt tillämpning av dataskyddsförordningen. Kommitténs bedömning är att det finns ett stort behov av klargöranden vad gäller integritetsskyddsfrågor inom skolan. Förslaget kan förväntas underlätta för ansvariga befattningshavare i skolväsendet. Detta kan både innebära kostnadseffektivitet i skolorna och som indirekt effekt medföra högre kvalitet i utbildningen. Kommittén uppskattar resursbehov för uppdraget till en halv årsarbetskraft , motsvarande . Det är kommitténs uppfattning att en uppförandekod för skolan kommer att innebära mindre arbete för skolorna i deras tillämpning av dataskyddsreglerna jämfört med den resursåtgång som skulle vara nödvändig om det saknades stöd i en uppförandekod. Förslaget om uppförandekoder innebär även kostnader för SKL och friskolornas branschorganisationer, eftersom de kommer att arbeta med att ge uppförandekoden dess innehåll. Implementeringen av dataskyddsförordningen kommer, särskilt initialt, att kräva betydande resurser hos skolorna. Vi bedömer att tydlig vägledning i form av en uppförandekod skulle minska de utgif- Konsekvenser av våra förslag terna som kommer att behövas för att kunna tillämpa dataskyddsförordningen på rätt sätt i skolorna och hos deras leverantörer. Enligt statistik fanns det sammanlagt 1 313 skolenheter i gymnasieskolan och 4 847 skolenheter i . Det stora antalet skolenheter och skolhuvudmän som finns i landet, innebär att även en mycket försiktig uppskattning av den minskade resursåtgång som uppförandekoderna skulle medföra för varje skola, sammantaget uppgår till betydande besparingar för branschen. I detta avsnitt går vi igenom konsekvenserna av vårt förslag att ge i uppdrag att initiera och stödja utarbetandet av uppförandekoder för arbetslivet. Förslaget om uppförandekoder inom arbetslivet syftar till att förenkla och förbättra tillämpningen av reglerna om hur uppgifter om anställda ska hanteras. Förslaget har därigenom konsekvenser för en stor del av de anställda i . Kommitténs bedömning är att uppförandekoderna kommer att stärka de individuella arbetstagarnas personliga integritet. En annan konsekvens för individerna är att tydliga regler om hanteringen av personuppgifter kan underlätta för arbetsgivarna att välja lagliga och lämpliga kontroll- och övervakningsmetoder, vilka exempelvis kan förbättra säkerheten på arbetsplatsen. Uppförandekoderna förväntas möjliggöra för arbetsgivare att använda effektiva informationssystem utan att riskera att bryta mot dataskyddsförordningen. Med hjälp av uppförandekoderna får arbetsgivare vägledning om hur reglerna bör tillämpas. Reglerna gäller alla arbetsgivare i . Kommittén bedömer att många arbetsgivare direkt eller indirekt kommer att påverkas av uppförandekoderna. Tydlig vägledning för hur personuppgifter kan hanteras på ett lagligt Konsekvenser av våra förslag och lämpligt sätt, möjliggör för såväl offentliga som privata arbetsgivare att styra och utveckla sina verksamheter med hjälp av nya informationstjänster, vilket ger positiva samhällsekonomiska effekter. Kommittén uppskattar att uppdraget till kommer att kräva en halv årsarbetskraft , vilket motsvarar . För arbetsgivar- och arbetstagarorganisationerna uppskattas arbetsinsatsen vara större, eftersom det är dessa organisationer, främst arbetsgivarorganisationerna, som ska ge koderna deras innehåll. Vi anser att det är svårt att uppskatta kostnaderna för dessa organisationer; dels kan det behövas flera olika koder, dels kan erfarenheter och förkunskaper om integritetsskydd i arbetslivet sannolikt variera mellan olika branscher och organisationer. Tillämpningen av dataskyddsförordningen kommer, särskilt initialt, att kräva betydande resurser hos större arbetsgivare. Vi bedömer att tydliga vägledningar skulle minska utgifterna som behövs för att kunna tillämpa dataskyddsförordningen på rätt sätt. Det gäller såväl offentliga som privata arbetsgivare. Inom de branscher där det kommer att finnas uppförandekoder, förväntas arbetsgivarna få lägre kostnader för att följa regelverket. Besparingarna är emellertid svåra att beräkna närmare, av samma skäl som anges ovan beträffande arbetsgivarorganisationernas kostnader för medverkan i framtagandet av koder. 17.4Hälso- och sjukvård och välfärdsteknik inom I detta avsnitt ska vi gå igenom konsekvenserna av vårt förslag att ge ett uppdrag till en myndighet att initiera och stödja uppförandekoder för hälso- och sjukvården och samt förslaget om ett sekretariat till förvaltningen av dessa koder. När det gäller förslagen om att genomföra tidigare utredda lagändringar och förslag till ny lagstiftning hänvisas till konsekvensutredningarna i respektive utredningar. Konsekvenser av våra förslag Förslag om uppförandekoder inom detta område syftar till att förenkla och förbättra tillämpningen av de bestämmelser som reglerar hur verksamheterna ska hantera uppgifter om enskilda. Korrekt behandling av personuppgifter stärker individernas tillit för de myndigheter, kommuner, landsting och företag som får förtroendet att hantera uppgifterna. På så sätt kan enskilda känna sig trygga att söka den hjälp de behöver hos dessa vårdgivare och utförare av socialtjänst. En korrekt tillämpning med hjälp av uppförandekoder kan förhindra att personuppgifter sprids otillåtet, försvanskas eller inte finns tillgängliga när de behövs för att ge den enskilde rätt vård och omsorg. Ett gott integritetsskydd är även en förutsättning för att utveckla nya informationstjänster på området. Sådana tjänster har en stor potential att göra patienter långt mer delaktiga i sin vård än . Den viktigaste samhällsekonomiska effekten av förslaget är att uppförandekoderna förväntas höja informationssäkerheten och integritetsskyddet och därmed också patient- och brukarsäkerheten inom vården och . Kommittén bedömer även att en ökad klarhet om regeltillämpningen kan underlätta utvecklandet av nya informationstjänster. Andel äldre i befolkningen påverkar hälso- och sjukvårdssystemet genom att denna grupp ofta har stora hälso- och sjukvårdsbehov. Exempelvis har över hälften i åldersgrupen 65–minst två kroniska sjukdomar. För personer är den andelen . Prognosen för andelen personer i befolkningen framöver visar att det pågår en stor ökning. Andelen äldre i befolkningen antas börja öka i snabb takt omkring och vara dubbelt så stor som kring 2050.1 Denna demografiska utveckling med växande andel äldre personer jämfört med personer i arbetsför ålder gör att effektivisering av vård och omsorg är nödvändigt. Det finns därför höga förväntningar på att använda den potential som finns när det gäller att utveckla 1 , Öppna jämförelser 2016. Konsekvenser av våra förslag digitaliseringen av hälso- och sjukvården och . Ett välbalanserat integritetsskydd och en korrekt tillämpning av dataskyddsförordningen ökar tilliten för digitaliseringen. Hälso- och sjukvården och står för en stor del av de kommunala utgifterna. Potentiella effektiviseringar har därför effekt på hela samhällsekonomin. Utöver kostnadsbesparingar vid en given nivå av tjänster kan effektiviserad hälso- och sjukvård sänka sjukfrånvaron och ytterst förbättra livskvaliten för enskilda individer. Även besparingar i form av minskat lidande och kostnader för patient- och klientskador innebär en vinst för samhället. I rapporten anförs beträffande användning av digitala tjänster inom att det skulle kunna leda till besparingar på 12–på nationell nivå fram . Potentialen för digitaliseringens möjligheter inom hälso- och sjukvård är enligt denna rapport mycket stor, både vad gäller hälsa (förbättrad hälsa och/eller uteblivet lidande) och ekonomi. Författarna bedömer att ett golv för besparingarna är , en summa som kan öka i takt med att teknikutvecklingen gör det möjligt för fler enskilda att sköta en större andel av sin vård själva. Det finns uppgifter3 om att vid en systematisk användning av digital teknik kan vårdenhetskostnaderna minska . Det skulle enligt dessa uppgifter innebära en bruttobesparing på fram . En annan rapport4 talar om att skulle kunna spara fram om telemedicin användes vid vård av äldre och långtidssjuka. Arbetetet med att ta fram uppförandekoder för hälso- och sjukvård och socialtjänst kommer att medföra kostnader för den myndighet som ska ansvara för att initiera och stödja arbetet med uppförandekoderna. Det kommer även medföra kostnader för de per- 2 Bortom IT. Om hälsa i en digital tid. , Forskningsrapport /2, s. 67. 3Värdet av digital teknik i den svenska vården, McKinsey&Company, . 4Accelerating sustainable growth, The economical and social impact of enhandced Information and in the Nordics and Baltics, , . Konsekvenser av våra förslag sonuppgiftsansvariga offentliga och privata vårdgivarna som ansvarar för att uppförandekoder tas fram och kanske även för deras personuppgiftsbiträden. Datainspektionen kommer vidare ha kostnader för att stödja framtagandet av koden samt för att pröva och godkänna densamma. Med stöd av inhämtade uppgifter från uppskattar vi de löpande kostnaderna för ett myndighetssekretariat till , främst avseende personalkostnader. Uppförandekoderna kommer att underlätta för verksamheterna att tillämpa tvingande bestämmelser, vilket kommer att minska den förväntade kostnaden för att anpassa verksamheterna till kommande lagstiftning för såväl offentliga som privata aktörer. Vidare bedömer kommittén att en indirekt effekt av att förbättra hanteringen av personuppgifterna genom tillämpningen av en gemensam uppförandekod är kostnadsbesparingar för vårdgivarna eftersom detta förväntas bidra till att vårdskador kan undvikas. Förslagen kommer även att innebära vissa besparingar , på grund av att ändringar av arbetssätt och system efter hand inte kommer att behöva vidtas lika ofta, när vårdgivare och de som bedriver socialtjänst redan från början i samband med upphandling och införande, kommer att veta hur de ska gå tillväga för att uppfylla dataskyddsförordningens krav. Uppförandekoder förväntas alltså underlätta implementering och tillämpning av gällande rätt hos de ansvariga aktörerna. Vi kan göra en översiktlig illustration av den minskade kostnadsökningen med kommunerna som exempel. Det finns 290 kommuner. Alla dessa kommer att behöva satsa resurser på att implementera dataskyddsförordningen och andra bestämmelser som har anpassats till förordningen. Utan stöd av de gemensamma uppförandekoderna skulle varje kommun uppskattningsvis och i genomsnitt behöva ha en person som arbetar deltid med att tolka bestämmelser och se till att kommunens personuppgiftshantering och informationssäkerhetsarbete uppfyller alla krav. Om i stället en stor del av tolkningarna görs gemensamt i form av ett arbete med uppförandekoder kan de förväntade kostnaderna för implementeringen bli lägre. Med ett bra tillämpningsstöd kan en kommun klara sig med betydligt mindre resurser som arbetar med dessa frågor. Det skulle minska de förväntade utgifterna betydligt. Motsvarande gäller för de minskade implementeringskostnaderna för landsting och privata vårdgivare. Konsekvenser av våra förslag Enligt uppgifter från finns över 18 000 vård- och omsorgsgivare i . Det skulle innebära en stor samhällsekonomisk vinst att kunna minska kostnaderna för implementeringen av dataskyddsförordningen hos alla dessa. I detta avsnitt går vi igenom konsekvenserna av våra förslag att: ge ett uppdrag åt den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering, att inrätta ett kompetenscenter för anskaffning och användning av externa it-tjänster, genomföra en utredning med uppdrag att lämna förslag till tystnadsplikt för leverantörer av molntjänster och andra personuppgiftsbiträden, och regeringens digitala strategi för statsförvaltningen kompletteras med ett inriktningsmål om personlig integritet. Vad gäller förslaget att myndigheten med ansvar för den offentliga sektorns digitalisering ska ges i uppdrag att värna integriteten och stödja utarbetande av uppförandekoder – föreslås detta redan i betänkandet digitalforvaltning.nu5. När det gäller konsekvenserna av detta förslag hänvisar vi till nämnda betänkande. Kommitténs båda förslag att inrätta ett kompetenscenter och att regeringens digitala strategi kompletteras med inriktningsmål om personlig integritet, syftar till att stärka den personliga integriteten i e-förvaltningens hantering av personuppgifter. Det kommer att få direkta konsekvenser för de individer vilkas uppgifter hanteras inom den offentliga förvaltningen. 5 Utredningens om effektiv styrning av nationella digitala tjänster delbetänkande digitalforvaltning.nu (SOU 2017:23) Konsekvenser av våra förslag Ett ökat integritetsskydd handlar bland annat om minskad risk för att personuppgifter sprids otillåtet, förvanskas eller hanteras på andra otillbörliga sätt inom e-förvaltningen. Våra förslag syftar till att ta tillvara fördelarna med digitaliseringen genom att möjliggöra en laglig och korrekt personuppgiftshantering i utvecklingen av offentlig sektor. Individernas tillit för e-tjänster möjliggör digitalisering vilket i sig möjliggör en betydande effektivisering inom staten, kommuner och landsting och för enskilda individer och företag i kontakter med dessa. Sammantaget bedömer kommittén att de positiva samhällsekonomiska effekterna är stora, när man tar hänsyn till dessa indirekta effekter av förslagen. Vad gäller förslaget om tystnadsplikt innebär det en möjlighet för offentlig sektor att alls kunna använda molntjänster och outsourcing för uppgifter som omfattas av sekretess. Tystnadsplikten möjliggör därför betydande effektivisering i offentlig sektor. Kommittén uppskattar att uppdraget att inrätta ett kompetenscenter för frågor som rör anskaffning och användning av externa it-tjänster, kommer att kräva en årsarbetskraft för den myndighet som får det samlade ansvaret för den offentliga förvaltningens digitalisering. Re- sursåtgången motsvarar en årlig kostnad om . Förslaget att inrätta ett kompetenscenter kan komma att underlätta upphandlingar och medföra att de genomförs på ett mer effektivt sätt, exempelvis genom att rätt krav ställs och att ändamålsenliga tjänster därmed upphandlas. Ett kompetenscenter kan således minska det allmännas utgifter och bidra till att medlen används mer effektivt. Konsekvenser av våra förslag I detta avsnitt går vi igenom konsekvenserna av vårt förslag att ge i uppdrag att initiera och stödja utarbetandet av uppförandekoder för branscher med kommersiella ändamål. Vi behandlar också konsekvenserna av vårt förslag om att ge i uppdrag ett förstärka sin tillsyn. Kommitténs förslag syftar till att stärka möjligheten för individen att ta ställning till och bestämma över hur de egna personuppgifterna används. Förslagen kan bidra till att skapa förutsättningar för konsumenterna att fatta mer välgrundade köpbeslut utifrån kunskaper om hur deras personuppgifter hanteras. Förslaget om uppförandekoder kan ha särskilda konsekvenser för barn. Uppförandekoderna skulle nämligen kunna innehålla vägledning för hur samtycke kan inhämtas från vårdnadshavare när detta krävs. Om en sådan vägledning blir verklighet, medför det ett bättre skydd för unga, eftersom de inte hamnar i situationer där deras personuppgifter hanteras utan laglig grund. Motsvarande gäller för personer med nedsatt beslutsförmåga. Förslagen påverkar alla företag som hanterar konsumenters personuppgifter digitalt. Ett välfungerande integritetsskydd inom området kan stärka konsumenten och förbättra marknadens funktionssätt. Privatkonsumtionen utgör en betydande del av samhällsekonomin. Vidare påverkar integritetsskyddet konsumenternas förtroende för och användning av bland annat medietjänster och elektroniska betaltjänster, vilka i sig har samhällsekonomiska effekter. Kommittén bedömer att förslagen även kommer underlätta dataportabilitet för alla tjänster som har stort beroende av personuppgifter, till exempel sociala medier. Dataportabilitet bedöms bidra till ökad konkurrens och därmed samhällsekonomisk effektivitet. Konsekvenser av våra förslag Kommittén uppskattar kostnaderna för att initiera och stödja utarbetandet av uppförandekoder till cirka en halv årsarbetskraft , vilket motsvarar . För branschorganisationerna uppskattas arbetsinsatsen vara större, eftersom det är dessa organisationer som ska ge koderna deras innehåll. Vi bedömer att det är svårt att uppskatta kostnaderna för dessa organisationer, eftersom det kan behövas olika koder för olika branscher. Erfarenheter och förkunskaper om integritetsskydd varierar dessutom mellan olika branscher och organisationer. Även om den samlade resursåtgången för branschorganisationerna skulle uppgå till mer än resursbehov för denna uppgift, bör denna utgift ställas i relation till storleken på de möjliga kostnadsminskningarna som uppförandekoder kan bidra till inom detta område. Implementeringen av dataskyddsförordningen kommer, särskilt initialt, att kräva betydande resurser hos företagen. Vi bedömer att tydliga vägledningar skulle minska utgifterna som behövs för att kunna tillämpa dataskyddsförordningen på rätt sätt hos företagen. Kostnadsminskningarna skulle kunna illustreras med följande räkneexempel. En årlig minskad resursåtgång hos 1 000 företag, om i genomsnitt en dags arbete för en kvalificerad anställd per företag, skulle uppskattningsvis kunna innebära en årlig besparing om sammanlagt för de 1 000 företagen. Inom detta område har kommittén förslagit att det bör införas en lagregel om tystnadsplikt i försäkringsverksamhet. Det finns redan lagförslag om tystnadsplikten som kan beredas av . Vi hänvisar därför till de konsekvensbedömningar som gjorts i befintliga utredningar. Konsekvenser av våra förslag 17.8Åtgärder inom några andra områden med allvarliga eller påtagliga risker Inom detta område har vi lämnat följande förslag: Regeringen bör utreda hur en säker ordning för utfärdande av fysiska legitimationer ska se ut och hur statens ansvar för den ska vara utformad. Regeringen bör utreda en författningsreglerad rättighet för fysiska personer att vända sig till den som ger ut en kreditupplysningspublikation för att få uppgifter om sig själv strukna innan uppgifterna publiceras. Det är angeläget att regeringen lämnar förslag på reglering som ger integritetsskydd vid utlämnande av kreditupplysning, oavsett hur kreditupplysningen lämnas ut. Detta kan göras med utgångspunkt i förslag som redan föreligger. Regeringen bör utreda en lagreglering av sådana integritetskänsliga spaningsmetoder som inte är reglerade eller har svag reglering. Det finns redan förslag om integritetsskydd vid utlämnande av kreditupplysning som behandlas av . Vi hänvisar därför till de konsekvensbedömningar som redan gjorts i befintliga utredningar. Övriga förslag som vi lagt inom detta område måste utredas vidare. I detta avsnitt behandlas konsekvenserna av vårt förslag att uppdra åt MSB att följa upp vilka åtgärder myndigheter vidtar för att följa kraven i MSB:s föreskrifter (MSBFS 2016:1) om statliga myndigheters informationssäkerhet. Det finns redan förslag om tillsynsmandat för MSB och om ett uppdrag för myndigheten avseende en nationell styrmodell, som kan Konsekvenser av våra förslag Vi hänvisar därför till de konsekvensbedömningar som redan gjorts i befintliga utredningar.6 En del myndigheter hanterar många uppgifter eller integritetskänsliga uppgifter om enskilda.