sou · H8B335 · 2020-06-08 00:00:00 — I rapporten lämnar , , , Försäkrings- kassan, Lantmäteriet och tillsammans med Myndigheten för digital förvaltning förslag på förvaltningsgemensam digital infrastruktur för informationsutbyte. I bilaga 1 till rapporten finns en beskrivning av vissa av de befintliga lösningarna för informationsutbyte som används . 12Liknande krav uppställs för begränsningar i och Rättighetsstadgan, se ovan. Vi anser att begränsningen svarar mot ett sådant intresse som uppräknas i artikel 8. 2 Europakonvention (landets ekonomiska välstånd och förebyggande av oordning eller brott). En ny lag om personuppgiftsbehandling föra en viss åtgärd. Denna proportionalitetsbedömning gör sig gällande vid all personuppgiftsbehandling hos myndigheten. Åtgärder som syftar till att komma åt felaktigt utnyttjande av väl- färdsmedel och ett brottsligt utnyttjande är ett sådant ändamål som kan rättfärdiga en inskränkning av skyddet för den personliga integri- teten i bl.a. regeringsformen. En sådan åtgärd stärker tilliten till väl- färdssystemen och det demokratiska samhället. Felaktigheterna i väl- färdssystemen blir allt mer sofistikerade och det leder till att det krävs mer information för att upptäcka och identifiera dessa. Ett felaktigt utnyttjande av välfärdsmedel kan leda till att enskilda far illa, men också till att välfärdsmedel används för att finansiera illegal verk- samhet inom exempelvis extremistiska miljöer.13 Även annan brottslig verksamhet kan finansieras med hjälp av välfärdsmedel. I kapitel 3 finns en utförligare beskrivning av den problembild som ligger till grund för förslagen. Vi bedömer att nya metoder behövs för att komma åt dessa nya sätt att missbruka välfärdssystemen. Syftet med myndighetens verksamhet är att förebygga, förhindra och upptäcka felaktiga utbetalningar, vilket är av stor vikt för att säkerställa funktionaliteten i välfärdssamhället och bevara tilltron till systemen. För att uppnå syftet med myndighetens verksamhet måste personuppgifter samlas in och sambearbetas (se kapitel 6 för en ut- förlig redogörelse för utredningens bedömning av behovet att sam- behandla personuppgifter vid dataanalyser och urval). Vi gör därför bedömningen att myndighetens personuppgiftsbehandling syftar till att tillgodose ett allmänt intresse som rättfärdigar en inskränkning av den personliga integriteten. Myndighetens personuppgiftsbehandling är proportionerlig Vi bedömer att behandlingen av personuppgifter vid Myndigheten för utbetalningskontroll inte går utöver vad som är nödvändigt med hänsyn till de syften som ligger till grund för utformningen av myndighetens uppdrag. Skälet till detta är följande. De kontrollåtgärder som finns är inte tillräckliga för att stävja de felaktiga utbetalningarna. Det är enligt vår mening tyd- ligt att det krävs nya typer av åtgärder och metoder för att förstärka 13Se t.ex. Säkerhetspolisen (2019), , s. 56, där det framhålls att organisationer med kopplingar till våldsbejakande extremistmiljöer mottar offentliga medel. En ny lag om personuppgiftsbehandling arbetet med att förebygga, förhindra och upptäcka felaktiga utbetal- ningar och därigenom motverka ett brottsligt utnyttjande av väl- färdssystemen (se kapitel 4). Vi bedömer att de uppdrag vi föreslår för myndigheten är de mest effektiva sätten att uppnå önskat resultat som de innebär ett mindre integritetsintrång än andra alternativ. För den del av verksamheten där vi bedömer att det största integritetsintrånget finns, verksamheten med dataanalyser och urval, har vi föreslagit reglering av vilka typer av uppgifter som får behand- las. Bedömningen av vilka uppgifter som ska få behandlas i verksam- heten med dataanalyser och urval grundas på noggranna övervägan- den av vilka uppgifter som är nödvändiga för att kunna identifiera felaktigheter i olika system och som inte fångas upp med dagens tillgängliga metoder, som vi begränsar behandlingen till de uppgifter vi bedömer är minst integritetskänsliga. I verksamheten med dataanalyser och urval föreslår vi också särskilda skydds- och säkerhetsåtgärder i form av krav på att myndigheten ska doku- mentera och i efterhand kontrollera de metoder som används för att ta fram urval och sökbegrepp. Myndigheten ska också ha rutiner för utformningen av urvalsmodeller och användande av sökbegrepp. Dessa åtgärder syftar till att minska de integritetsrisker som finns vid personuppgiftsbehandlingen, genom att det ska finnas en utarbetad ordning för på vilket sätt och i vilket sammanhang som behandlingen får ske. Detta underlättar också möjligheten att genomföra kontroller av myndighetens verksamhet. Vi föreslår även att det i regleringen tydliggörs att behandlingen av personuppgifter ska ske med respekt för den enskildes integritet. Den inledande granskning som ska ske av urvalsträffarna ska säkerställa att den personliga integriteten värnas och att myndig- hetens uppgiftslämnande till andra myndigheter och arbetslöshets- kassor präglas av en proportionalitetstanke. Den in- ledande granskningen ska vara ett led i att förhindra att uppgifter lämnas vidare till beslutande myndigheter eller arbetslöshetskassor i onödan. Vi föreslår även att det ska finnas begräsningar av tillgången till personuppgifter för myndighetens personal och regler om åtkomst- kontroll. Detta minskar risken för att uppgifter som myndigheten behandlar sprids till obehöriga eller till en omotiverat stor krets. Vi förutsätter också att myndigheten kommer att ha en hög skydds- En ny lag om personuppgiftsbehandling och säkerhetsnivå i sin informationshantering men vi lämnar inga konkreta förslag i denna del. Myndigheten behöver behandla känsliga personuppgifter. Denna behandling balanseras av den sökbegränsning för känsliga person- uppgifter vi föreslår. Vi föreslår även en sökbegränsning i för- hållande till uppgifter om lagöverträdelser (se avsnitt 10.5.2). Integritetsintresset har också haft betydelse vid utformandet av regleringen av sekretessen i myndighetens verksamhet och de upp- giftsskyldigheter som presenteras i kapitel 11, där vi bl.a. föreslår absolut sekretess för uppgifter om enskildas personliga och ekono- miska förhållanden med hänsyn till den mängd uppgifter som myndigheten får tillgång till. Vi föreslår även att det hos myndigheten ska finnas ett integri- tetsskyddsråd som fortlöpande ska ha insyn i de åtgärder som vidtas för att säkerställa integritetsskyddet i verksamheten, se avsnitt 9.2.3. Våra bedömningar av proportionaliteten i myndighetens behand- ling av personuppgifter är av förklarliga skäl relativt generell och vi förutsätter att myndigheten i den specifika situationen gör propor- tionalitetsbedömningar. Exempelvis bör myndigheten vid verksam- heten med dataanalyser och urval se till att inte fler personuppgifter än vad som är nödvändigt behandlas vid varje specifik analys. Detta följer även av principen om uppgiftsminimering i artikel 5.1 c data- skyddsförordningen.14 10.1.3Formerna för myndighetens informationsutbyte Utredningens bedömning: Informationsutbyte till och från Myndigheten för utbetalningskontroll sker i regel på medium för automatiserad behandling. Utlämnande av information från trans- aktionskontoregistret bör dock kunna ske genom direktåtkomst. 14Enligt principen ska personuppgifter vara adekvata, relevanta och inte för omfattande i för- hållande till de ändamål för vilka de behandlas. En ny lag om personuppgiftsbehandling Skälen för utredningens bedömning Verksamheten vid Myndigheten för utbetalningskontroll förutsätter ett omfattande informationsutbyte, t.ex. behöver information över- föras till myndigheten som underlag för administration av utbetal- ningar via systemet med transaktionskonto. Myndigheten behöver även få tillgång till omfattande uppgiftsmängder som underlag för dataanalyser och urval. Information behöver även lämnas från Myndigheten för utbetalningskontroll till beslutande myndigheter bl.a. om det finns anledning att anta att en utbetalning är felaktig. Dataskyddsförordningen innehåller inte några bestämmelser som tar sikte på sättet för att lämna ut personuppgifter. I kan elektroniskt utlämnande av uppgifter ske genom direktåtkomst eller genom utlämnande på medium för automatiserad behandling. Det är två olika former av utlämnande som ur integritetssynpunkt får olika effekter. Dessa har dock rent tekniskt kommit att närma sig varandra.15 Enligt vår analys kommer informationsöverföring till och från myndigheten i regel att ske på medium för automatiserad behandling. Vid administration av systemet med transaktionskonto bedömer vi dock att det bör finnas en möjlighet för Myndigheten för utbetalnings- kontroll att kunna medge direktåtkomst för transaktionsuppgifter. Det finns inte någon legaldefinition av begreppet direktåtkomst. Den grundläggande innebörden anses vara att någon har tillgång till information hos någon annan och på egen hand kan söka i den, dock utan att själv kunna påverka innehållet. Direktåtkomst kan ge använ- daren möjlighet att även hämta in information till sitt eget system och bearbeta den där.16 Vid direktåtkomst har den utlämnande myn- 15Som exempel har i HFD 2015 ref. 61 ansett att gränsdrag- ningen mellan vad som enligt bestämmelsen i 114 kap. 22 § socialförsäkringsbalken är direkt- åtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upptagningen kan anses förvarad hos den mottagande myndigheten enligt nuvarande 6 § tryckfrihetsförordningen, dvs. om den är tillgänglig för myndigheten med tekniska hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Avgörandet kan tolkas så att den tekniska utformningen av en myndighets system för utlämnande av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller som utlämnande på medium för automatiserad behandling. 16Se t.ex. prop. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 112 och prop. 2007/08:160, Utökat elektroniskt informationsutbyte, s. 57. En ny lag om personuppgiftsbehandling digheten i det enskilda fallet inte någon kontroll över vilka uppgifter mottagaren tar del av vid ett visst söktillfälle. Den myndighet som lämnar ut uppgifterna fattar alltså inte beslut om utlämnande i varje enskilt fall. Prövningen av om ett utlämnande är förenligt med offentlighets- och sekretesslagen (2009:400), OSL, måste därför ske redan när uppgifterna görs tillgängliga genom direktåtkomst. En sådan prövning innefattar alla de uppgifter som mottagaren har möjlighet att ta del av genom sin direktåtkomst.17 Vid direktåtkomst uppkommer därför i regel s.k. överskottsinformation eftersom myn- digheten ofta rent tekniskt måste ha tillgång till fler uppgifter än de som faktiskt kommer att utnyttjas genom direktåtkomst i myndig- hetens verksamhet. Uppgifter som hos den mottagande myndig- heten blir allmän handling.18 Utlämnande genom direktåtkomst regleras som regel i register- författningar. Direktåtkomst kan generellt sägas öka riskerna för intrång i den personliga integriteten, eftersom det typiskt sett innebär att uppgifterna blir tillgängliga för fler personer och att den utläm- nande myndighetens möjlighet att kontrollera utlämnandet minskar. Annat elektroniskt utlämnande än genom direktåtkomst Vid annat elektroniskt utlämnande än genom direktåtkomst brukar uttrycket ”utlämnande på medium för automatiserad behandling” användas. Vad som avses med medium för automatiserad behandling har varierat beroende på informationstekniken. Med dagens teknik kan utlämnande av information ske exempelvis genom e-post, på ett usb-minne eller genom direkt överföring från ett datorsystem till ett annat. Vid ett mer omfattande informationsutbyte mellan myndig- heter är det oftast den senare metoden som används. Till skillnad från direktåtkomst innebär ett utlämnande på medium för automa- tiserad behandling att den utlämnande myndigheten i varje enskilt fall tar ställning till om och vilka uppgifter som kan lämnas ut. 2011/12:45, Kustbevakningsdatalag, s. 133. 18Sammanställningar av uppgifter som i samband med direktåtkomst görs tekniskt tillgängliga för en myndighet anses vara förvarade även hos den mottagande myndigheten, och därmed utgöra allmänna handlingar även hos den myndigheten om sammanställningarna kan göras tillgängliga via rutinbetonade åtgärder. Jfr 2 kap. 3, 4 och 6 §§ tryckfrihetsförordningen, prop. 2007/08:160, Utökat elektroniskt informationsutbyte, s. 67–68 och 70 och SOU 2012:90, Överskottsinformation vid direktåtkomst, s. 113–116. En ny lag om personuppgiftsbehandling eventuell sekretessprövning kan därmed ske i samband med utläm- nandet i det enskilda fallet.19 Utlämnande på medium för automatiserad behandling lämpar sig bäst för det mer omfattande informationsutbytet som ska äga rum till och från Myndigheten för utbetalningskontroll. Vid överföring av uppgifter till myndigheten är det i regel inte uppgifter i enskilda ärenden som överförs utan t.ex. uppgifter om alla beslut om sjuk- penning. Vid överföring av uppgifter från Myndigheten för utbetal- ningskontroll till andra myndigheter är det i regel uppgifter i en- skilda ärenden som lämnas på myndighetens initiativ. Inte heller i dessa fall är direktåtkomst en lämplig form för utlämnande. Utläm- nande på medium för automatiserad behandling medför också minst intrång i den personliga integriteten. Vi anser dock att en något annorlunda bedömning är motiverad vad gäller möjligheten för myndigheter och enskilda att ta del av upp- gifter om utbetalningar i transaktionskontoregistret, se avsnitt 5.3.1 och 10.6.2. Det är i dessa fall fråga om information i enskilda ärenden där det kan vara lämpligt att den utbetalande myndigheten eller den enskilde, vilket även inkluderar företag, på ett enkelt sätt ska kunna kontrollera uppgifter om en transaktion. I ett sådant fall kan direkt- åtkomst vara en lämplig form för utlämnande. Vi anser att tillgången till uppgifterna i dessa fall tydligt kan avgränsas och att integritets- intrånget därmed är begränsat. Tillgången till uppgifter skulle eventuellt kunna konstrueras genom en fråga/svarlösning och alltså utgöra utlämnande på medium för automatiserad behandling.20 Med hänsyn till de begränsade integri- tetsrisker vi ser med direktåtkomst i dessa fall anser vi dock att det är lämpligt att ge myndigheten möjlighet att använda sig av direkt- åtkomst vid utlämnande av uppgifter om utbetalningar i enskilda ärenden till myndigheter och enskilda. Myndigheten får då möjlighet att själv välja den tekniska utformningen av ett sådant system. Informationsutbyte på medium för automatiserad behandling behöver inte särskilt regleras och vi anser inte heller att det är nöd- 2011/12:45, Kustbevakningsdatalag, s. 132. 20Jfr system LEFI online, HFD 2015 ref. 61. En ny lag om personuppgiftsbehandling vändigt att införa särskilda bestämmelser avseende elektroniskt ut- lämnande, med undantag för direktåtkomst. 10.1.4Brottsdatalagen är inte tillämplig på myndighetens personuppgiftsbehandling Utredningens bedömning: Brottsdatalagen är inte tillämplig. Skälen för utredningens bedömning: Vid viss behandling av personuppgifter som utförs av myndigheter gäller brottsdatalagen (2018:1177)21 i stället för dataskyddsförordningen.22 Det är alltså viktigt att bedöma vilken reglering som är tillämplig på person- uppgiftsbehandlingen vid Myndigheten för utbetalningskontroll. Vi bedömer att brottsdatalagen inte är tillämplig på behandling av personuppgifter vid Myndigheten för utbetalningskontroll. Brottsdatalagen gäller bl.a. vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Med behörig myndighet avses en myndighet som har till uppgift att förebygga, förhindra eller upp- täcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säker- het, när den behandlar personuppgifter för ett sådant syfte. Även andra som har anförtrotts myndighetsutövning för de ovan nämnda syftena anses vara behörig myndighet när den behandlar person- uppgifter för ett sådant syfte.23 Ett exempel på när brottsdatalagen blir tillämplig för andra än rent brottsbekämpande myndigheter är . Det är bl.a. underrättelseverksamhet som avses när formu- leringen förebygga, förhindra eller upptäcka brottslig verksamhet används. Med underrättelseverksamhet avses arbete med insamling, 21Brottsdatalagen är en ramlag som i huvudsak genomför EU:s nya dataskyddsdirektiv, och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga på- följder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. 2 d dataskyddsförordningen. 23Se 1 kap. 2 och 6 §§ brottsdatalagen. En ny lag om personuppgiftsbehandling bearbetning och analys av information i syfte att förhindra eller upptäcka brottslig verksamhet när det ännu inte finns misstankar om att ett visst konkret brott har begåtts.24 Ett grundläggande krav för att lagen ska vara tillämplig är att den som behandlar personuppgifterna är en behörig myndighet och att behandling sker för någon av de i lagen angivna syftena.25 Det är syftet med behandlingen av personuppgifter i det enskilda fallet som avgör om behandlingen över huvud taget omfattas av brottsdata- lagens tillämpningsområde. Typen av personuppgiftsbehandling, vilken verksamhet den behandlas i eller personuppgiftens karaktär är alltså inte avgörande för vilket regelverk som ska tillämpas.26 Myndigheten för utbetalningskontroll ska ha till uppgift dels att administrera systemet med transaktionskonto, dels att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssyste- men. Inom verksamheten att förebygga, förhindra och upptäcka fel- aktiga utbetalningar ska myndigheten genomföra dataanalyser, urval och granskningar som syftar till att utgöra ett stöd för andra myn- digheters och arbetslöshetskassors kontrollverksamhet. Myndig- heten ska även stödja och följa andra myndigheter och arbetslöshets- kassor i deras arbete för att motverka felaktiga utbetalningar. Myndig- heten har alltså ett kontrollsyfte. Såväl Utredningen om 2016 års data- skyddsdirektiv som regeringen har gjort bedömningen att kontroll- verksamhet ligger utanför brottsdatalagens tillämpningsområde.27 Kontroll är främst till för att stödja författningsenlig tillämpning av lagstiftningen.28 Kontrollverksamhet leder också till att brott upp- täcks eller förhindras. Dataanalyser och urval används i kontroll- arbetet vid de beslutande myndigheterna utan att det anses vara brottsförebyggande verksamhet i brottsdatalagens mening och verk- samheten vid Myndigheten för utbetalningskontroll bör bedömas på samma sätt. Det innebär att brottsdatalagen inte är tillämplig på personuppgiftsbehandlingen vid Myndigheten för utbetalnings- kontroll.29 2017/18:232, Brottsdatalag, s. 430. 25SOU 2017:29, Brottsdatalag, s. 181-182 och prop. 2017/18:232, Brottsdatalag, s. 111. 2017/18:232, Brottsdatalag, s. 112. 27SOU 2017:29, Brottsdatalag, s. 198 och prop. 2017/18:232, Brottsdatalag, s. 113. Regeringen nämnder t.ex. skattekontroll som en sådan kontrollverksamhet som ligger utanför brotts- datalagens tillämpningsområde i den mån den inte utförs i brottsbekämpande syfte. 28SOU 2017:29, Brottsdatalag, s. 198. 29Att underlag från myndighetens verksamhet kan komma att utgöra underlag i förunder- sökningar innebär inte att personuppgiftsbehandlingen ska omfattas av brottsdatalagen, jfr SOU 2017:29, Brottsdatalag, s. 183. En ny lag om personuppgiftsbehandling 10.2En ny lag om behandlingen av personuppgifter 10.2.1Behovet av en ny lag om behandling av personuppgifter Utredningens förslag: Behandlingen av personuppgifter vid Myndigheten för utbetalningskontroll ska regleras i en särskild lag, lagen om behandling av personuppgifter vid Myndigheten för utbetalningskontroll. Skälen för utredningens förslag: Myndigheten för utbetalnings- kontroll behöver ha rättsliga förutsättningar att behandla person- uppgifter i den utsträckning som är nödvändig för att myndigheten ska kunna utföra sina uppdrag. Som konstateras ovan innebär delar av myndighetens personuppgiftsbehandling ett intrång i skyddet för den personliga integriteten. Det krävs därför lagstöd för att sådan behandling ska få utföras. I svensk rätt finns en tradition av att i särskilda registerförfatt- ningar införa bestämmelser för viktigare eller känsligare register som kompletterar eller innehåller undantag från de generella bestäm- melser som reglerar personuppgiftsbehandlingen. En särskild lag anses under vissa förutsättningar innebära en bättre garanti för ut- formningen av integritetsskyddet i särskilt känsliga register. En ut- talad målsättning från regeringen och har länge varit att om ett register med ett stort antal registrerade och särskilt känsligt innehåll inrättas bör reglering ske i lagform.30 Lag- reglering bidrar även till stabilitet och långsiktig förutsebarhet. Myndigheten för utbetalningskontroll föreslås få behandla person- uppgifter avseende stora delar av befolkning såväl inom ramen för uppdraget att administrera systemet med transaktions- konto som uppdraget att utföra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar. Den personuppgiftsbehandling som sker i myndighetens verk- samhet enligt de uppdrag vi har lämnat förslag om i kapitel 5, 6, 7 och 8 måste utföras på ett sätt som säkerställer ett tillräckligt skydd för den personliga integriteten för de individer som berörs av behand- lingen. Utifrån detta perspektiv är det viktigt att det på ett så tydligt sätt som möjligt framgår hur myndigheten får behandla person- 30Se exempelvis prop. 1990/91:60, Om offentlighet, integritet och ADB, s. 58 och bet. 1997/98:KU18 Personuppgiftslag, s. 43. En ny lag om personuppgiftsbehandling En särskild lag som reglerar personuppgiftsbehandlingen ger även möjlighet att införa särskilda skyddsbestämmelser som tar sikte på den aktuella personuppgiftsbehandlingen. Sammantaget anser vi att det finns skäl att reglera myndighetens personuppgifts- behandling i en särskild lag. 10.2.2Lagen ska kompletteras av en förordning Utredningens förslag: Lagen om behandling av personuppgifter vid Myndigheten för utbetalningskontroll ska kompletteras av en förordning. En upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela kompletterande föreskrifter ska framgå av den nya lagen. Skälen för utredningens förslag: Ramarna för personuppgifts- behandlingen vid Myndigheten för utbetalningskontroll måste, som konstaterats ovan, slås fast i lag. De bestämmelser som är av central betydelse för integritetsskyddet bör också anges i lagform. är det enligt vår mening olämpligt att tynga lagen med alltför detalje- rade bestämmelser. Lagregleringen avseende myndighetens person- uppgiftsbehandling bör därför kompletteras med bestämmelser som meddelas genom förordning. Bestämmelser om myndigheters person- uppgiftsbehandling anses normalt falla in under regeringens s.k. rest- kompetens.31 Regeringen eller den myndighet som regeringen bestäm- mer har alltså möjlighet att meddela kompletterande bestämmelser till den föreslagna lagen. De föreskrifter som regeringen meddelar får dock inte innebära ett betydande intrång i den personliga integri- teten.32 För att tydliggöra att kompletterande bestämmelser kan finnas i förordning eller myndighetsföreskrifter föreslår vi att en upplysning om regeringens normgivningskompetens förs in i lagen. 318 kap. 7 § regeringsformen. 2014/15:148, Domstolsdatalag, s. 23. En ny lag om personuppgiftsbehandling 10.2.3Lagen ska ha dubbla syften