sou · H8B335 · 2020-06-08 00:00:00 — Inledningsvis kan sannolikt myndighetens urvalsmodeller utgå från berörda myndigheters kunskap om kända riskindikatorer. Myn- digheten för utbetalningskontroll behöver därefter stegvis utveckla och ta fram nya urvalsmodeller genom resultatet av de egna data- analyserna. Riskfaktorer, urvalsmodeller och liknande som myndigheten kom- mer att ta fram kan även ha betydelse för beslutande myndigheters eget kontrollarbete. I myndighetens uppdrag att stödja och följa ingår bl.a. att vara en plattform för kunskapsutbyte där sådan infor- mation kan förmedlas till de beslutande myndigheterna, se kapitel 8. 12Van Vlasselaer, Eliassi-Rad, Akoglu, Snoeck och Baesens (2017), Gotcha! Fraud Detection for Fraud, Management Science volym 63, nr 9, s. 2773–3145. 13I lagen (2008:206) om underrättelseskyldighet vid felaktiga utbetalningar från välfärds- systemen finns bestämmelser om underrättelseskyldighet mellan vissa myndigheter om det finns anledning att anta att en ekonomisk förmån eller ekonomiskt stöd beslutats, betalats ut eller tillgodoräknats felaktigt eller med ett för högt belopp. Denna lag kommer att tillämpas av Myndigheten för utbetalningskontroll när urvalsträffar lämnas vidare till beslutande myn- digheter, se avsnitt 11.4. Enligt 4 § ska det av en sådan underrättelsen framgå vilka omständig- heter som ligger till grund för antagandet att en ekonomisk förmån eller ett ekonomiskt stöd har beslutats, betalats ut eller tillgodoräknats felaktigt eller med ett för högt belopp. Hur Myndigheten för utbetalningskontroll kan använda dataanalyser och urval för att upptäcka felaktiga utbetalningar I urvalsmodeller görs ofta en sammanvägning av en rad risk- indikatorer. Riskindikatorerna kan i en modell ges olika tyngd. Nedan följer några möjliga riskindikatorer som Myndigheten för utbetalningskontroll kan använda i sin verksamhet. •Adress: Hur många som bor på en adress kan påverka rätten till bostadstillägg. Ett exempel är om någon har en inneboende som står för en del av bostadens kostnader, men inte har uppgivit detta vid ansökan om bostadstillägg. En riskindikator kan då vara att någon lämnat adressen som postadress till andra myndigheter och alltså inte vill få sin post till folkbok- föringsadressen. •Utbetalningar: Kolliderande utbetalningar, alltså att någon får utbetalningar från två välfärdssystem som inte ska kunna kombineras, är ovanliga men förekommer. I detta fall är riskindikatorn helt enkelt utbetalningar från två olika välfärdssystem . •Intyg: Det förekommer förfalskade intyg och fall där en släkt- ing eller vän hjälper till att utfärda intyget. Det kan vara intyg som grund för sjukpenninggrundande inkomst, SGI, eller arbetstillstånd. Riskindikatorer kan vara en släktrelation med intygsgivaren, att de har bott på samma adress eller att intygs- givaren varken får lön från eller är företrädare för det bolag som har utfärdat intyget, eller att hen har lämnat olika upp- gifter i intyg till olika myndigheter. •Utbetalningar till företag och andra juridiska personer: En riskindikator kan vara att utbetalningar till ett företag från väl- färdssystemen inte stämmer överens med uppgifter som före- taget har lämnat till , som arbetsgivaravgifter, mer- värdesskatt eller omsättning Detta kan indikera att företaget får utbetalningar på felaktiga grunder eller att företaget lämnat felaktiga uppgifter till . •Utbetalningar: En riskindikator kan vara att ovanligt många anställda i ett bolag får utbetalningar från olika välfärdssystem. •Bolagsföreträdare: En företrädare som förekommer i många bolag kan vara indikation på att en målvakt används i bolaget. Detta är exempel på en riskindikator som behöver kombineras med andra riskindikatorer för att få en bra träffsäkerhet. •Företagsadress: Många företag registrerade på samma adress kan vara en riskindikator för företag som får välfärdsutbetal- ningar, särskilt om fastigheten inte är anpassad för verksam- heten. En annan riskindikator kan vara att det på samma adress tidigare förekommit bolag som fått felaktiga utbetalningar eller gått i konkurs. •Kontaktuppgifter: När målvakter används i företag förekom- mer det att telefonnumret som anges i en registrering eller anmälan går till den faktiske företrädaren. På liknande sätt kan telefonnumret som uppges gå till arbetsgivaren i stället gå till den sökande om intyget är förfalskat. En riskindikator är därför om telefonnumret förekommer i andra ansökningar och då kanske till andra personer. 6.1.2Profilering, likabehandling och diskriminering Riskvärden för enskilda ska inte tas fram Myndigheten för utbetalningskontroll ska identifiera felaktiga utbetal- ningar. Vi har av integritetsskäl valt bort en konstruktion där myn- dighetens dataanalyser och urval används för riskprofilering av enskilda i syfte att utgöra underlag för beslutande myndigheters grundbeslut. Myndighetens verksamhet är alltså inte tänkt att leda till att risk- värden för enskilda individer tas fram eller att enskilda kategoriseras i riskklasser som sedan kan ligga till grund för beslutsfattande hos andra myndigheter. En sådan ordning skulle vara problematisk ur såväl integritets- som rättssäkerhetsperspektiv. Sådana riskprofiler skulle vara svåra för enskilda att bemöta och det är även oklart hur dessa skulle kunna användas i beslutande myndigheters verksamhet. Vi föreslår därför inte någon möjlighet för beslutande myndigheter att vända sig till dataanalys- och urvalsverksamheten vid Myndig- heten för utbetalningskontroll för att ställa frågor gällande enskilda individer. Viss profilering är ofrånkomlig Även om syftet med verksamheten med dataanalyser och urval inte är att ta fram riskvärden för enskilda är det sannolikt att verksam- heten kommer att ha inslag av profilering. Profilering definieras i dataskyddsförordningen14 som varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egen- skaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.15 Dataskyddsförordningen förbjuder inte profilering men uppställer vissa krav på profilering som inbegrips i automatiserat individuellt beslutsfattande.16 Vi bedömer att myndighetens verksamhet med dataanalyser och urval inte kommer att innebära ett sådant auto- matiserat beslutsfattande, se vidare nedan. Även om profilering inte är otillåten enligt dataskyddsförord- ningen anser vi att försiktighet bör vara påkallad då det finns ett flertal integritetsrisker med en sådan behandling.17 Urvalen kommer att göras utifrån riskindikatorer för felaktiga utbetalningar framtagna bl.a. utifrån en population i dess helhet. Det är därmed sannolikt att det kommer att finnas inslag av profilering i verksamheten med dataanalyser och urval. Profilering baserat på motiv, värderingar eller egenskaper ska dock undvikas vid myndig- heten. Verksamheten syftar som sagt inte till att identifiera och klassificera enskilda individer utan till att identifiera utbetalningar 14Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). 15Artikel 4.4 dataskyddsförordningen. 16Artikel 22 dataskyddsförordningen. 17Jfr (2010), The protection of individuals with regard to automatic processing of personal data in the context of profiling, rekommendation CM/Rec(2010)13. som kan antas vara felaktiga och myndigheten ska noga överväga hur bl.a. urvalsmodeller utformas för att minimera inslagen av profilering. Inget automatiserat individuellt beslutsfattande Enligt dataskyddsförordningen ska registrerade ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behand- ling, inbegripet profilering, som har rättsliga följder eller på liknande sätt i betydande grad påverka hen.18 Vi bedömer att myndighetens verksamhet med dataanalyser och urval i kombination med verksam- heten med granskning (se kapitel 7) inte kommer att innebära ett sådant automatiserat beslutsfattande. Myndighetens granskning av urvalsträffar inbegriper hantering och det är därmed inte fråga om en enbart automatiserad behandling. Denna bedömning baserar vi även på den omständighet att myndighetens verksamhet med dataanalyser och urval samt granskningar syftar till att utgöra ett stöd för beslutande myndigheter och arbetslöshetskassors kon- trollverksamhet. Myndigheten för utbetalningskontroll kommer inte att fatta beslut som får direkt effekt för enskilda mottagare av granskade utbetalningar, se avsnitt 7.4.1. Det är de beslutande myn- digheterna och arbetslöshetskassorna som beslutar vilka, om några, åtgärder som ska vidtas med anledning av det underlag som Myndig- heten för utbetalningskontroll tar fram i sin verksamhet (se vidare avsnitt 7.3.8). Liknande gäller vid brottsanmälan. Myndigheten kommer därmed inte inom verksamheten med att förebygga, för- hindra och upptäcka felaktiga utbetalningar att fatta beslut som får rättsliga följder för de registrerade eller som på liknande sätt i betyd- ande grad påverkar hen. Oaktat förekomsten av profilering finns det risker med den typen av dataanalyser och urval som vi föreslår ur likabehandlings- och diskri- mineringsperspektiv. Myndigheter ska i sin verksamhet vara sakliga och opartiska.19 Det allmänna ska motverka diskriminering av människor på grund av 18Artikel 22.1 dataskyddsförordningen. 195 § andra stycket förvaltningslagen (2017:900). kön, hudfärg, nationellt eller etniskt ursprung, språklig eller religiös tillhörighet, funktionshinder, sexuell läggning, ålder eller andra om- ständigheter som gäller den enskilde som person.20 Det åligger alltså det allmänna att motverka diskriminering på grund av angivna diskri- mineringsgrunder och andra, liknande, osakliga omständigheter som gäller den enskilde som person.21 Även i Europakonventionen22 upp- ställs ett förbud mot diskriminering på grund av kön, ras, hudfärg, språk, religion, politisk eller annan åskådning, nationellt eller socialt ursprung, tillhörighet till nationell minoritet, förmögenhet, börd eller ställning i övrigt.23 Myndigheten för utbetalningskontroll har alltså en skyldighet att upprätthålla kravet på likabehandling och måste genomföra data- analyser på ett sådant sätt att såväl direkt som indirekt diskriminering inte sker. De diskrimineringsgrunder som uppräknas i regeringsformen och bör därför undvikas som grund för urval, om det inte tydligt kan motiveras, för att analyserna inte ska leda till en direkt diskriminering av vissa grupper. Vi ser framför allt att det finns en risk att verksamheten skulle kunna leda till urval som är indirekt diskriminerande. Vid indirekt diskriminering består missgynnandet i ett agerande som i och för sig framstår som neutralt men likväl medför att en viss grupp eller en person tillhörande denna grupp missgynnas eller sätts i ett sämre läge i förhållande till en annan grupp.24 Inspektionen för socialför- säkringen har i en rapport pekat på sådana risker vid användandet av modeller för riskbaserade kontroller.25 För att motverka denna risk krävs att myndigheten kontinuerligt arbetar med att kvalitetssäkra sina dataanalyser och urvalsmodeller för att därmed minimera risken för diskriminering. Risken för indirekt diskriminering har uppmärk- 20 Se målsättningsstadgandet i 1 kap. 2 § femte stycket andra meningen regeringsformen. I 2 kap. 12 och 13 §§ regeringsformen uppställs också ett förbud mot att lag eller annan före- skrift är diskriminerande, för vissa uppräknande diskrimineringsgrunder (etniskt ursprung, hudfärg eller annat liknande förhållande, sexuell läggning och kön). 2001/02:72, Ändringar i regeringsformen – samarbete i EU m.m., s. 19–20. 22Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundlägg- ande friheterna. 24Se , , Diskrimineringslag (2008:567), 1 kap. 4 §, Karnov () (hämtad ). 25Inspektionen för socialförsäkringen (2018), Profilering som urvalsmetod för riktade kontroller – En granskning av träffsäkerheten, effektiviteten och rättssäkerheten i modeller för riskbaserade kontroller, rapport 2018:5. sammats i forskningen och i en rad sammanhang pågår arbete med att utarbeta metoder för att minska risken för indirekt diskrimi- nering.26 Att helt utesluta diskrimineringsgrunderna som grund för urval kan riskera att leda till skeva urval och indirekt diskriminering varför det kan vara motiverat att inkludera diskrimineringsgrunderna som urvalsgrunder i vissa analyser. Att utesluta t.ex. kön i ett urval kan innebära att skensamband uppkommer som riskerar att leda till att flera kvinnor än män faller ut i ett urval trots att kön egentligen inte är relevant för risken att göra fel. Genom att inkludera kön som ur- valsgrund kan sådana skensamband synliggöras och hanteras.27 Vi föreslår i avsnitt 10.5.2 en sökbegränsning för s.k. känsliga personuppgifter.28 Den är utformad på ett sätt som förhindrar sök- ningar i syfte att ta fram ett urval av personer grundat på känsliga personuppgifter. Det kommer dock vara möjligt att använda sådana sökbegrepp t.ex. vid sökningar i syfte att utöva tillsyn eller för att ta fram verksamhetsstatistik. 6.1.3Nära samverkan med beslutande myndigheter är nödvändigt Uppdraget förutsätter en nära samverkan med berörda myndigheter. För ett framgångsrikt arbete behövs kunskap om förmåners regel- verk och handläggning, samt kunskap om olika typer av felaktiga utbetalningar och riskindikatorer. Vidare behövs samverkan om hur felaktiga utbetalningar ska hanteras eftersom arbetet förutsätter att beslutande myndigheter har möjlighet att hantera de felaktiga ut- betalningar som Myndigheten för utbetalningskontroll upptäcker. 26Se t.ex. , , , , , och , , (2020) Pricing, (hämtad 2020- 04-27), Kusner, , , , , och , , (2017), Counterfactual Fairness, i Advances in nr 30, s. 4066–4076 och Bartlett, , , , , och , (2020), Algorithmic Accountability: A Legal and Economic Framework. MorseStantonWallace.pdf (hämtad ). 27Se Inspektionen för socialförsäkringen (2018), Riskbaserade urvalsprofiler och likabehand- ling, Arbetsrapport 2018:1, s. 8 och där redovisat exempel. 28Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och be- handling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella lägg- ning, artikel 9.1 dataskyddsförordningen. Myndigheten behöver därför samarbeta med berörda myndig- heters experter vid framtagandet av analysmetoder och med att ut- forma urvalsmodeller. Myndigheterna kan behöva göra en prioriter- ing tillsammans av vilka slags felaktiga utbetalningar som är mest angelägna att analysera och upptäcka. Prioritering kan behöva ske utifrån omfattning, allvarlighet, förutsättningar för utredning, resur- ser, m.m. 6.2Uppgifter som behövs för dataanalyser och urval 6.2.1Utgångspunkter för bedömningen av vilka uppgifter som ska användas För att Myndigheten för utbetalningskontroll ska kunna utföra data- analyser och urval måste myndigheten ha tillgång till uppgifter att basera dessa på. finns det, med hänsyn till den personliga integriteten, skäl att begränsa möjligheten att hämta in och samman- ställa uppgifter eftersom tillgång till en stor mängd data ger omfatt- ande möjligheter till kartläggning av enskildas personliga förhållan- den. En central utgångspunkt bör därför vara att myndigheten endast ska få behandla sådana uppgifter som är av vikt för att utföra dessa dataanalyser och urval, vilket också är i linje med dataskyddsförord- ningens reglering. En grundläggande förutsättning för att en personuppgift ska få behandlas är att den behövs för att kunna uppfylla det ändamål för vilken den behandlas, dvs. i detta fall ändamålet dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar av välfärdsmedel. Personuppgifter som behandlas ska vara adekvata, rele- vanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering).29 Andra viktiga utgångspunkter är att uppgifterna ska vara effek- tiva i förhållande till syftet med behandlingen och att integritets- intrånget ska minimeras. Om det finns andra uppgifter som i stället skulle kunna användas vid analysen och som ger ett bättre utfall eller mindre integritetsintrång bör dessa uppgifter väljas i stället. De upp- gifter som ska ligga till grund för dataanalyserna och urvalen bör i första hand bestå av sådana uppgifter som myndigheten redan be- 29Artikel 5.1 c dataskyddsförordningen. handlar eller uppgifter som behandlas hos beslutande myndigheter eftersom sådana uppgifter bör innebära ett mindre integritetsintrång än om uppgifter skulle hämtas in från andra aktörer. I följande avsnitt presenteras de uppgifter som enligt vår bedöm- ning bör kunna ligga till grund för myndighetens dataanalyser och urval. Dessa uppgifter ska samlas hos myndigheten i uppgiftssam- lingen för dataanalyser och urval. Vi bedömer att dessa uppgifter är nödvändiga för att utföra effektiva dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar. Uppgifterna ska hämtas in från olika myndigheter och det är uppgifter som till stor del används vid kontroll och handläggning i enskilda ärenden hos respektive välfärdsmyndighet eller . Vissa uppgifter finns i offentliga register, t.ex. aktiebolagsregister. Våra förslag innebär att uppgifterna samlas och därmed kan samköras. För en del av uppgifterna kommer behandlingen att utgöra ett in- trång i den personliga integriteten. Vi menar att intrånget är motiverat utifrån vad som närmare redogörs för under respektive uppgift. Ett omfattande kartläggnings- och analysarbete ligger till grund för våra överväganden och förslag om vilka uppgifter som bör an- vändas för myndighetens dataanalyser och urval. Se avsnitt 2.2.2 om detta kartläggnings- och analysarbete. Bedömningen i följande avsnitt är utgångspunkten för de förslag vilämnar om reglering av vilka uppgifter som ska ingå i uppgifts- samlingen för dataanalyser och urval vilket begränsar vilka uppgifter om fysiska och juridiska personer som myndigheten kan använda vid sina dataanalyser och urval, se avsnitt 10.7.2. En stor del av uppgif- terna kommer att behöva lämnas till Myndigheten för utbetalnings- kontroll från andra myndigheter. I avsnitt 11.3 finns våra förslag om uppgiftsskyldigheter som möjliggör detta uppgiftslämnande. Utredningens bedömning: Uppgifter från myndighetens transak- tionskontoregister behövs som grund för dataanalyserna och ur- valen. Skälen för utredningens bedömning Uppgifter om beslutande myndigheters utbetalningar är nödvändigt för att Myndigheten för utbetalningskontroll ska kunna göra data- analyser och urval för att upptäcka felaktiga utbetalningar. Uppgifter om utbetalningar ska utgöra basen för myndighetens dataanalyser och urval. Beslutande myndigheter är begränsade till uppgifter om de egna utbetalningarna i sina riskbaserade urval. Genom att uppgifter om utbetalningar från flera välfärdssystem samlas i transaktionskonto- systemet kan Myndigheten för utbetalningskontroll i sina analyser bl.a. ta hänsyn till om ett företag får utbetalningar från mer än en myndighet, om det förekommer ovanliga och långa utbetalnings- perioder från flera myndigheter till specifika personer eller om ovan- ligt många anställda i ett företag får utbetalningar från välfärden. Det gör att identifiering av mönster, samband och avvikelser kan göras med ett större underlag än vad som är möjligt . Dataanalyserna av utbetalningar från de statliga välfärdssystemen inne- bär en kartläggning av enskilda och vissa typer av utbetalningar kan innehålla känslig information. är det nödvändigt med upp- gifter om utbetalningar, när de är gjorda och till vem de har gjorts för att kunna upptäcka felaktiga utbetalningar. Det finns inga alter- uppgifter än utbetalningsuppgifter som myndigheten i stället skulle kunna använda för dataanalyser och urval av felaktiga utbetal- ningar. Ett beslut kan exempelvis ligga till grund för flera utbetal- ningar, varför enbart beslutsinformationen inte är tillräcklig. Sammantaget menar vi att behandlingen av uppgifter om utbetal- ningar från transaktionskontoregistret är nödvändig för myndig- hetens dataanalyser och urval i syfte att upptäcka och förhindra fel- aktiga utbetalningar från välfärdssystemen samt att integritetsintrånget är proportionerligt. Utredningens bedömning: Uppgifter om beslut som rör ekono- miska förmåner och ekonomiska stöd från Arbetsförmedlingen, CSN, , och arbetslöshets- kassorna bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning Uppgifter om utbetalningar från systemet med transaktionskonto behöver kompletteras med uppgifter om de bakomliggande besluten. Detta för att informationen fullt ut ska kunna användas vid analy- serna. Exempelvis behövs uppgifter om vem brukaren är vid utbetal- ning till ett assistansbolag eller vem behandlingen utförs på vid ut- betalning av tandvårdsstöd. Det kan även vara uppgifter om vilken arbetstagare ett anställningsstöd avser. I många fall fattar inte myn- digheten beslut vid varje utbetalning utan fattar ett beslut om att bevilja ersättning för eller tills vidare. Beslut om studie- stöd är ett sådant exempel.30 Myndigheten behöver därför kunna be- handla även sådana bakomliggande beslut där stöd eller förmån beviljats. Det är endast själva innebörden av besluten (beslutsmeningen), så som att förmån har beviljats, för vilken period, etc. och inte skälen för beslutet som kommer att behandlas. Utöver uppgifter om själva grundbesluten behöver beslut om ändring, omprövning eller återkrav utgöra underlag för myndig- hetens dataanalyser och urval. Det är nödvändigt att myndigheten får ta del av ändringar av tidigare beslut för att underlaget för ana- lyserna ska vara korrekta. För att identifiera riskindikatorer, behövs också uppgifter om konstaterade fel. Dessa behövs även för att utvärdera riskfaktorer och för att utforma urvalsmodeller. Även andra beslut som inte är direkt kopplade till en utbetalning men som rör ekonomiska förmåner och stöd kan vara en viktig faktor vid dataanalyserna och urvalen och bör kunna ligga till grund för behandlingen. Ett exempel på detta är SGI som ligger till grund 30Av beslutet om studiestöd framgår bl.a. utbildning, studietid och studietakt vilket kan ha betydelse för dataanalyserna och urvalen vid Myndigheten för utbetalningskontroll. för beräkning av en rad socialförsäkringsförmåner.31 KUT-delega- tionen lyfter fram SGI-beslut som en central uppgift som har bety- delse i ett stort antal beslut och används i flera ersättningssystem.32 Ett annat exempel är de beslut och Pensions- myndigheten fattar under handläggningen av förmåner angående om den enskilde är försäkrad för bosättning eller arbete vilket i sin tur har betydelse för om förmån kan beviljas. Även uppgifter om beslut från arbetslöshetskassorna behöver ingå i underlaget för dataanalyser och urval. Det gör att information om sådana beviljade förmåner behöver kunna behandlas. Det gäller både grundbeslut och utbetalningsbesked. Sammantaget bör uppgifter om beslut om ekonomiska förmåner och stöd, ändringsbeslut och omprövningsbeslut, beslut om återkrav samt beslut under handläggning som har betydelse för beslut om ekonomiska förmåner och stöd såsom beslut om SGI och försäk- ringstillhörighet kunna ligga till grund för myndighetens dataana- lyser och urval. Det är i regel endast själva beslutsmeningen som behöver ligga till grund för analyserna och urvalen och inte skälen för besluten.