sou · H6B352 · 2018-06-28 00:00:00 — Inget av detta är möjligt om myndigheten endast kan använda statistik som tagits fram av en annan aktör enligt hur beställningen formulerades initialt. Det finns en risk att den framtagna statistiken inte ger till- räckliga svar på frågeställningarna eller att myndigheten missar väsentliga resultat. Om myndigheten inte själv får behandla person- uppgifter är alltså riskerna att analyserna inte blir oberoende och att kvaliteten och omfattningen av analyserna blir begränsade. Det är inte tillräckligt att myndigheten, av den aktör som har uppgifterna, får dem sammanställda i form av sådan statistik som innebär att det är fråga om personuppgifter. Myndig- heten har inte möjlighet att utföra en oberoende analys om den behöver förlita sig på sammanställningar av uppgifter som görs av de aktörer som myndigheten granskar. Det är inte heller möjligt för myndigheten att kvalitetssäkra en databearbetning som har utförts av en annan aktör. Det finns dessutom en risk att myndigheten över huvud taget inte får tillgång till något underlag. Detta eftersom andra aktörer inte alltid har möjlighet att avsätta de resurser som krävs för att sam- manställa de uppgifter som myndigheten behöver på ett sätt som innebär att de inte längre utgör personuppgifter. I de fall en aktör avsätter tid för att hjälpa till tar det ofta för myndigheten att få del av sammanställningarna. Det har förekommit att handlägg- ningen av myndighetens begäran om uppgifter har tagit . Det är inte möjligt för myndigheten att vänta så . Detta innebär att vissa analyser inte kan genomföras på grund av att myndigheten över huvud taget inte får tillgång till uppgifterna. För att kunna analysera personuppgifter som exempelvis finns i journaler hos hälso- och sjukvården och akter hos och andra aktörer finns det ett behov av att kunna sammanställa, syste- matisera och strukturera uppgifterna. Personuppgifterna kan i vissa fall även behöva sambearbetas med personuppgifter som samlats in från annat håll. Som ett exempel på ett uppdrag där behovet aktualiserats kan nämnas regeringsuppdraget att utvärdera PRIO-satsningen som var en handlingsplan för riktade insatser inom området psykisk ohälsa.8 8Regeringens beslut dnr S2012/4529/FS. Myndigheten för vård- och omsorgsanalys Uppdraget innebar att myndigheten skulle undersöka om s.k. indi- viduella planer använts. Myndigheten hade endast möjlighet att samla in uppgifter om hur många planer som tagits fram. För att kunna mäta effekterna av planerna och bedöma dess innehåll hade myndigheten behövt ta del av planerna och strukturera den infor- mationen som fanns i planerna för att därefter kunna göra analyser. Överlag saknas på omsorgsområdet befintliga datakällor, vilket med- för att myndigheten har behov av att själv göra struktureringar och sammanställningar. Myndigheten har även behov av att kunna genomföra återkom- mande undersökningar. Det kan t.ex. handla om att återkommande vända sig till en viss grupp för att följa utvecklingen av ett visst förhållande i vården. För att kunna utföra vissa av dessa återkom- mande undersökningar på ett ändamålsenligt sätt har myndigheten behov av att spara personuppgifter . 5Regleringen av andra analysmyndigheters behandling av personuppgifter Till regeringens förfogande finns ett antal sektorsanknutna analys- myndigheter med uppdrag liknande det uppdrag Myndigheten för vård- och omsorgsanalys har. Det är därför relevant att undersöka vilket stöd dessa andra myndigheter har för att behandla personupp- gifter. Myndigheterna är (Brå), utvärdering (IFAU), Inspektionen för socialförsäkringen (ISF), Myndigheten för kultur- analys, Myndigheten för tillväxtpolitiska utvärderingar och analyser (Tillväxtanalys) samt Trafikanalys. Därutöver finns Statskontoret, som genomför utredningar inom alla sektorer på uppdrag av reger- ingen, och (), som på uppdrag av regeringen utför utredningar inom området ekonomisk styrning. Till skillnad från Statskontoret och ESV har de sektorsanknutna analysmyndigheterna en tydlig koppling till ett eller flera verksam- hetsområden och de ansvarar för analyser eller utvärderingar inom sina respektive sektorer. Här följer en översiktlig redogörelse för hur regleringen av de olika myndigheternas behandling av personuppgifter ser ut. Regleringen av andra analysmyndigheters behandling av personuppgifter Statskontoret ska enligt förordningen (2007:827) med instruktion för Statskontoret genomföra utredningar, utvärderingar och upp- följningar av statlig och statligt finansierad verksamhet och av över- gripande frågor om den offentliga förvaltningens funktionssätt. Statskontoret är inte en statistikansvarig myndighet vilket innebär att lagen (2001:99) om den officiella statistiken, statistiklagen, inte är tillämplig.1 Det finns inte heller någon registerförfattning som reglerar myndighetens behandling av personuppgifter. Eventuell be- handling av personuppgifter sker därför med stöd av dataskydds- förordningen och dataskyddslagen. 5.3Ekonomistyrningsverket (ESV) ESV ska enligt förordningen (2016:1023) med instruktion för Eko- nomistyrningsverket bl.a. utveckla och förvalta den ekonomiska styrningen av den statliga verksamheten. ESV är en statistikansvarig myndighet och ska vid behandling av personuppgifter vid framställ- ning av officiell statistik tillämpa statistiklagen och förordningen (2001:100) om den officiella statistiken, statistikförordningen. Vissa bestämmelser i statistiklagen gäller även vid framställning av annan statistik hos en statistikansvarig myndighet (1 kap. 1 § tredje stycket statistiklagen). Därutöver finns det inte någon registerförfattning som reglerar myndighetens behandling av personuppgifter. Even- tuell behandling av personuppgifter sker, i den mån behandlingen inte är reglerad i statistiklagen, med stöd av dataskyddsförordningen och den kompletterande dataskyddslagen. 5.4Brottsförebyggande rådet (Brå) Brå har enligt förordningen (2016:1201) med instruktion för Brotts- förebyggande rådet i uppdrag att utveckla kunskap på det kriminal- politiska området genom att ansvara för den officiella kriminal- statistiken i enlighet med förordningen om den officiella statistiken och utveckla denna statistik samt annan relevant statistik, initiera och bedriva forsknings-, analys- och utvecklingsarbete, och 1Se vidare om lagen om den officiella statistiken i avsnitt 6.4.1. Regleringen av andra analysmyndigheters behandling av personuppgifter genomföra den nationella trygghetsundersökningen, ta fram kunskap om hatbrott och minst genomföra skolunder- sökningen om brott. När Brå behandlar känsliga personuppgifter i egenskap av stati- stikansvarig myndighet, sker behandlingen med stöd av statistik- lagen och statistikförordningen. Vissa bestämmelser i statistiklagen gäller även vid framställning av annan statistik än officiell statistik hos en statistikansvarig myndighet. Enligt ett remitterat utkast till lagrådsremiss om behandling av personuppgifter för forskningsändamål kan de myndigheter som har en tydlig författningsreglerad uppgift att bedriva forskning behandla personuppgifter för forskningsändamål med stöd av artikel 6.1 e i dataskyddsförordningen, som avser behandling som är nödvändig för att utföra en arbetsuppgift av allmänt intresse.2 Detta gäller således vid Brås behandling av personuppgifter för forskningsända- mål. Vidare kan Brå behandla känsliga personuppgifter för forskning med stöd av artikel 9.2 j som avser behandling som är nödvändig för vetenskapliga eller historiska forskningsändamål.3 Vid behandling av känsliga personuppgifter eller personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångs- medel eller administrativa frihetsberövanden i sådan verksamhet som avser forskning och utveckling ska behandlingen prövas och godkännas av eller 3 och 6 §§ etikprövningslagen. Som anges i propositionen som föregick dataskyddslagen kan statistiska undersökningar vara en integrerad del av ett forsknings- projekt.4 I sådana fall ska behandling av personuppgifter som sker under forskarens ansvar bedömas enligt de bestämmelser som gäller vid behandling för forskningsändamål.5 I övrigt behandlar Brå personuppgifter med stöd av dataskydds- förordningen och den kompletterande dataskyddslagen. I den natio- nella trygghetsundersökningen inhämtas exempelvis uppgifter med 2Utkast till lagrådsremiss dnr U2018/01639/F s. 40 ff. 3Utkast till lagrådsremiss dnr U2018/01639/F s. 74 f. 2017/18:105 s. 124. 2017/18:107 s. 28. Regleringen av andra analysmyndigheters behandling av personuppgifter stöd av samtycke6 och skolundersökningen om brott genomförs med hjälp av en enkät som eleverna fyller i anonymt7. utvärdering (IFAU) IFAU ska enligt förordningen (2007:911) med instruktion för Insti- tutet för arbetsmarknads- och utbildningspolitisk utvärdering främja, stödja och genom forskning genomföra uppföljningar, utvärderingar och studier. Behandling av personuppgifter vid IFAU sker således företrädesvis i samband med forskning. Sådan behandling omfattas av bestämmelserna i lagen (2012:741) om behandling av person- uppgifter vid utvärdering och den tillhörande förordningen (2012:742) om behand- ling av personuppgifter vid ningspolitisk utvärdering. Personuppgifter får enligt 5 § lagen om behandling av person- uppgifter vid utvärdering endast behandlas om det är nödvändigt för att fullgöra institutets uppdrag att främja, stödja och genom forskning genom- föra studier, uppföljningar och utvärderingar. Personuppgifter som behandlas för dessa ändamål får enligt 6 § också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Därutöver är vidarebehandling som inte strider mot finalitetsprincipen tillåten (6 a §). Enligt 7 § första stycket lagen om behandling av personuppgifter vid utvär- dering får inte andra känsliga personuppgifter än sådana som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa eller en persons sexuella läggning behandlas för de ändamål som anges i lagen. Av andra stycket i samma paragraf framgår att forsk- ning som innefattar behandling av känsliga personuppgifter eller uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden måste etikprövas enligt etikprövningslagen. 6Brottsförebyggande rådets rapport 2017:1 Nationella trygghetsundersökningen 2016 – Om utsatthet, otrygghet och förtroende, s. 17. 7Brottsförebyggande rådets rapport 2016:21 Skolundersökningen om brott 2015 – Om utsatthet och delaktighet i brott, s. 7. Regleringen av andra analysmyndigheters behandling av personuppgifter För behandling av såväl känsliga som icke känsliga personupp- gifter gäller dessutom flera begränsningsregler i 10–12 §§. Person- uppgifter som inte direkt kan hänföras till en person och som ingår i samlingar av personuppgifter som behandlas automatiserat får t.ex. inte behandlas i syfte att röja en persons identitet (10 §). Vissa personuppgifter som har samlats in för att behandlas inom olika avgränsade studier, uppföljningar eller utvärderingar får endast under vissa förutsättningar sambearbetas med varandra (11 §). Tillgången till personuppgifter ska dessutom begränsas till vad var och en be- höver för att kunna fullgöra sina arbetsuppgifter (12 §). Sådan behandling av personuppgifter vid IFAU som inte är sär- skilt reglerad i lagen om behandling av personuppgifter vid utvärdering och den tillhörande förordningen sker med stöd av dataskyddsförordningen och dataskyddslagen. 5.6Inspektionen för socialförsäkringen (ISF) ISF har enligt förordningen (2009:602) med instruktion för Inspek- tionen för socialförsäkringen till uppgift att utöva systemtillsyn över och utföra effektivitetsgranskning inom socialförsäkringsområdet, i huvudsak av den verksamhet som bedrivs av , , i de delar som inte står under Finansinspek- tionens tillsyn, och , i de delar som avser beslut om pen- sionsgrundande inkomst. Utredningen om personuppgiftsbehand- lingen vid ISF har i SOU 2014:67 lämnat förslag till en lag om behandlingen av personuppgifter inom ISF:s tillsyns- och gransk- ningsverksamhet. Förslaget har ännu inte lett till någon lagstiftning, så ISF behandlar personuppgifter bara med stöd av dataskydds- förordningen och dataskyddslagen. Personuppgifter ska enligt 6 § i den föreslagna lagen om be- handling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen få behandlas om det behövs för att fullgöra inspektionens uppdrag att vid sin systemtillsyn eller effektivitets- granskning genomföra undersökningar av rättstillämpning, hand- läggning och administration inom socialförsäkringsområdet och inom verksamheter med direkt anknytning till socialförsäkringen, effekter av förändringar inom socialförsäkringsområdet och nyttjandet av Regleringen av andra analysmyndigheters behandling av personuppgifter socialförsäkringen och av system som gränsar till socialförsäkringen. Personuppgifter ska även få behandlas om det behövs för att inspek- tionen vid sin systemtillsyn och effektivitetsgranskning ska kunna samverka med de tillsynsmyndigheter som berörs av inspektionens tillsyns- eller granskningsverksamhet. Personuppgifter föreslås också enligt 7 § få behandlas för att fullgöra ett utlämnande av uppgifter. Därutöver föreslås vidarebehandling som inte strider mot finalitets- principen vara tillåten. Känsliga personuppgifter och uppgifter om lagöverträdelser får enligt 8 § förslaget till lag om behandling av personuppgifter inom verksamheten för Inspektionen för socialförsäkringen behandlas om uppgifterna har lämnats i ett tillsyns- eller granskningsärende eller annars är nödvändiga för handläggningen av ett sådant ärende. I syfte att minska risken för intrång i den personliga integriteten föreslås i 9 § att det vid ISF ska finnas en integritetsskyddsfunktion. Funktionen ska ha till uppgift att lagra de uppgifter som lämnas till eller hämtas in av inspektionen på ett säkert sätt och förse uppgifter som är direkt hänförliga till enskilda med en beteckning. På så sätt får medarbetare som arbetar med tillsyns- och granskningsärenden normalt inte tillgång till personuppgifter som är direkt hänförliga till enskilda individer. Integritetsskyddsfunktionen ska också bereda ISF direktåtkomst till uppgifter i socialförsäkringsdatabasen och administrera behörigheter – bl.a. genom att styra åtkomsten för projektmedarbetare i tillsyns- eller granskningsärenden till uppgifter lagrade på inspektionens servrar och till socialförsäkringsdatabasen, när de befattningshavare hos ISF som har till uppgift att sköta integ- ritetsskyddsfunktionen (informationsansvariga) av administrativa skäl måste delegera en sådan åtkomst till en projektmedarbetare.8 Även vissa andra skyddsåtgärder föreslås, såsom tilldelning och begränsning av behörigheter samt kontroll av elektronisk åtkomst.9 Dessutom föreslås i 13 § att uppgifter i tillsyns- och gransknings- ärenden inte ska få sammanföras med varandra eller med andra uppgifter i syfte att ta reda på en enskild persons identitet.10 ISF bedömer att delar av myndighetens uppföljnings- och utvär- deringsverksamhet i praktiken faller inom ramen för forskning så som begreppet definieras i etikprövningslagen.11 Utredningen om 8SOU 2014:67 s. 128. 9SOU 2014:67 s. 137. 10SOU 2014:67 s. 183. 11SOU 2014:67 s. 108. Regleringen av andra analysmyndigheters behandling av personuppgifter personuppgiftsbehandlingen vid ISF anser att ISF:s möjligheter att behandla känsliga personuppgifter och personuppgifter om lagöver- trädelser i första hand bör regleras genom den föreslagna register- lagen, inte genom etikprövningslagens regelsystem. konsta- terar dock samma utredning att ISF:s verksamhet i vissa avseenden bör anses utgöra forskning och att sådana projekt bör kunna genom- föras med stöd av ett godkännande från en etikprövningsnämnd.12 Myndigheten för kulturanalys har enligt förordningen (2011:124) med instruktion för Myndigheten för kulturanalys till uppgift att göra utvärderingar, analyser och redovisningar inom kulturområdet. Myndigheten ska också ansvara för officiell statistik enligt förord- ningen om den officiella statistiken. För den delen av verksamheten som avser framställning av officiell statistik gäller statistiklagen och statistikförordningen. Vissa bestämmelser i statistiklagen gäller även vid framställning av annan statistik än officiell statistik hos myndig- heten. Därutöver gäller dataskyddsförordningen och dataskyddslagen. 5.8Myndigheten för tillväxtpolitiska utvärderingar och analyser (Tillväxtanalys) Tillväxtanalys har enligt förordningen (2016:1048) med instruktion för Myndigheten för tillväxtpolitiska utvärderingar och analyser till uppgift att göra utvärderingar, analyser och redovisningar avseende nationell och regional tillväxt och näringslivsutveckling. Myndig- heten svarar också för officiell statistik enligt förordningen om den officiella statistiken. För den delen av verksamheten som avser fram- ställning av officiell statistik, och i vissa fall även vid framställning av annan statistik hos myndigheten, gäller statistiklagen och statistik- förordningen. Därutöver gäller dataskyddsförordningen och data- skyddslagen. 12SOU 2014:67 s. 122. Regleringen av andra analysmyndigheters behandling av personuppgifter Trafikanalys har enligt förordningen (2010:186) med instruktion för Trafikanalys till huvuduppgift att, med utgångspunkt i de transport- politiska målen, utvärdera och analysera samt redovisa effekter av föreslagna och genomförda åtgärder inom transportområdet. Vidare ska myndigheten ansvara för att samla in, sammanställa och sprida statistik på transportområdet. Trafikanalys får inom sitt verksam- hetsområde bedriva egen forskning utifrån statistiskt material. Myn- digheten svarar också för officiell statistik enligt förordningen om den officiella statistiken. För den delen av verksamheten som avser framställning av officiell statistik gäller statistiklagen och statistik- förordningen. Vidare är vissa bestämmelser i statistiklagen tillämp- liga vid framställning av annan statistik än officiell statistik hos Trafikanalys. Därutöver gäller dataskyddsförordningen och data- skyddslagen. 6Utlämnande av personuppgifter till Myndigheten för vård- och omsorgsanalys I kapitel 4 redovisas de huvudsakliga skälen till att Myndigheten för vård- och omsorgsanalys bildades. Där beskrivs också myndighetens uppdrag enligt förordningen (2010:1385) med instruktion för Myn- digheten för vård- och omsorgsanalys, myndighetens verksamhet och arbetsmetoder. Utredningen konstaterar att myndigheten, för att kunna fullgöra sitt uppdrag, behöver behandla personuppgifter, även vissa känsliga personuppgifter. Många av de analyser myndig- heten behöver utföra förutsätter behandling av personuppgifter som samlas in från andra aktörer än den registrerade själv, t.ex. från , eller kva- litetsregister och databaser hos kommuner och landsting. De per- sonuppgifter som Myndigheten för vård- och omsorgsanalys för sin analysverksamhet behöver få från och omfattas av s.k. statistiksekretess hos dessa myndig- heter. Också i analysverksamheten hos Myndigheten för vård och omsorgsanalys omfattas personuppgifterna av statistiksekretess (se avsnitt 6.5). Utredningens huvuduppdrag i denna del är att utreda behovet av en särskild författning med bestämmelser om personuppgifts- behandling för Myndigheten för vård- och omsorgsanalys. Utred- ningen ska dock, enligt tilläggsdirektiv, också analysera de rättsliga möjligheterna för och att lämna ut personuppgifter till Myndigheten för vård- och omsorgs- analys för användning i myndighetens analysprojekt och vid behov Utlämnande av personuppgifter till Myndigheten för vård- och omsorgsanalys lämna författningsförslag som möjliggör nödvändigt uppgiftsläm- nande. Utredningen redogör därför i detta kapitel för den reglering som finns om utlämnande av personuppgifter från och . 6.2.1Myndighetens behov av att använda redan befintliga data som finns hos andra aktörer I avsnitt 4.4.2 ges några exempel på regeringsuppdrag där frågan om behovet för Myndigheten för vård- och omsorgsanalys att behandla personuppgifter som finns hos andra aktörer aktualiserats. Andra exempel på frågeställningar som myndigheten genom regeringsupp- drag har fått i uppgift att analysera, och som kräver att personupp- gifter hämtas från andra myndigheter, är: •Finns det socioekonomiska skillnader i tillgången till kirurgisk behandling av prostatacancer? •Hur har vårdval inom den specialiserade vården påverkat vård- utnyttjandet mellan olika socioekonomiska grupper av patienter? •Hur har fördelningen av antalet vårdkontakter i primärvården på olika socioekonomiska grupper utvecklats före och efter vård- valsreformen? •Vem besöker första linjens vård, det vill säga primärvården, öppen specialistvård eller akutmottagning? Sammanfattningsvis kan sägas att myndigheten behöver kunna in- hämta personuppgifter från andra aktörer och bearbeta uppgifterna på egen hand. Det är inte tillräckligt att myndigheten, av en annan aktör, får uppgifterna sammanställda i en form som innebär att det är fråga om personuppgifter. Myndigheten för vård- och omsorgsanalys har angett tre huvud- sakliga skäl till det. För det första bör Myndigheten för vård- och omsorgsanalys ges tillräckliga analysmässiga förutsättningar för att kunna genomföra uppdragen på bästa möjliga sätt. Syftet med att behandla person- uppgifterna är att nå ny kunskap. Uppgifterna bör analyseras ur olika Utlämnande av personuppgifter till Myndigheten för vård- och omsorgsanalys synvinklar, för att exempelvis se vilka parametrar som utmärker sig, vilka förhållanden som verkar förekomma och hur de hänger ihop. Utifrån initiala analyser kan man ta den nya kunskapen som fram- kommit vidare till nästa steg i analysen. finns det behov av att gå tillbaka till de ursprungliga uppgifterna för att kontrollera att resultaten stämmer, är relevanta och tillräckligt säkra för att dra en viss slutsats. Det är vanligt att det i analysprocessen framkommer ny information och kunskap som inte var möjlig att förutse, vilket gör att analysen behöver anpassas. Om myndigheten är hänvisad till att be en annan aktör om statistik, kan det innebära att myndigheten blir ”låst” av hur beställningen formulerades initialt, utan möjlighet till en undersökande analysprocess. Det kan medföra risk för att sammanställningen inte ger tillräckliga svar på den aktuella fråge- ställningen eller att väsentliga resultat förbises. Vidare ska myndigheten göra en oberoende analys. Om myndig- heten behöver be den aktör som ska granskas att själv sammanställa sin egen data i statistikform åt myndigheten finns det risk för att analyserna, men även myndighetens verksamhet i stort, ifrågasätts. För det tredje behöver Myndigheten för vård- och omsorgsanalys kunna säkra kvaliteten i analysen. Om en annan aktör utför bearbet- ningen av uppgifterna är det svårt att kvalitetssäkra den, och myn- digheten blir beroende av en annan aktörs kvalitetssäkringsmodell. I analyser som bygger på stora datamaterial är det svårt för den aktör som inte har utfört analysen att få en tillräcklig förståelse för data- material, resultaten, osäkerhet i olika moment och hur analysen genomförts. är det nödvändigt att Myndigheten för vård- och omsorgsanalys har sådan förståelse för materialet, för att kunna ta ansvar för vad som har gjorts och på vilket sätt. 6.2.2Myndighetens behov av att rikta sig direkt till patienter, brukare och andra specifika grupper I Myndigheten för vård- och omsorgsanalys uppdrag ingår att följa upp och analysera vården, omsorgen och tandvården ur ett patient-, brukar-, och medborgarperspektiv. Det kan också anges i de speci- fika regeringsuppdragen att myndigheten ska göra analyserna ur ett patient- och medborgarperspektiv. Utlämnande av personuppgifter till Myndigheten för vård- och omsorgsanalys