sou · H8B335 · 2020-06-08 00:00:00 — •uppgifter om kompletterande aktörer upphandlade av och uppgifter om företrädare och kontaktper- soner för dessa samt kontaktuppgifter, och •uppgifter om tillstånd från Inspektionen för vård och omsorg, , att yrkesmässigt bedriva verksamhet med personlig assi- stans och uppgifter om ägare och ledning för sådan verksam- het samt uppgifter om anmälan till att bedriva sådan verksamhet. Skälen för utredningens bedömning Vissa ytterligare uppgifter som gäller företag bör kunna ligga till grund för myndighetens dataanalyser och urval. Uppgifter om enskildas engagemang i företag som har lämnas till arbetslöshetskassor vid anmälan om arbetslöshet kan vara betydelse- fulla för myndighetens dataanalyser och urval. Uppgifterna kan visa att uppgifter i offentliga register inte är korrekta eller uppdaterade. Vid jämförelse med andra uppgifter i uppgiftssamlingen kan det framgå att en enskild lämnat felaktiga uppgifter om omfattningen av sitt engagemang i ett företag. Uppgifterna bör ingå som underlag för myndighetens dataanalyser och urval. Uppgift om kompletterande aktörer från Arbetsförmedlingen Uppgifter om vilka företag som Arbetsförmedlingen upphandlat i syfte att komplettera Arbetsförmedlingens tjänsteutbud (komplet- terande aktörer)43 samt uppgifter om företrädare för dessa, kontakt- personer och kontaktuppgifter bör ingå i uppgiftssamlingen. Kom- pletterande aktörer utför bl.a. introduktion till arbete, samt stöd och matchning. Ersättningen som utgår till den kompletterande aktören avser på så sätt en enskild. Uppgifterna är av betydelse för att få en mer heltäckande bild av utbetalningar från välfärdssystemen. Upp- gifterna har begränsad integritetspåverkan. Uppgifter om tillstånd från att bedriva personlig assistans Uppgifter om tillstånd att bedriva personlig assistans från bör ligga till grund för dataanalyser och urval. Tillstånd till personlig assistans är direkt kopplat till möjligheten för t.ex. ett assistansbolag att erhålla utbetalning för personlig assistans.44 Uppgifter om bevil- 434 § 2 förordningen (2007:1030) med instruktion för Arbetsförmedlingen. 44Enligt 51 kap. 19 § socialförsäkringsbalken får på begäran av den för- säkrade besluta att assistansersättning ska betalas ut till en kommun eller någon annan som har tillstånd enligt 23 § lagen (1993:387) om stöd och service till vissa funktionshindrade, LSS, att bedriva verksamhet med personlig assistans. Om utbetalning görs till ett assistansbolag är frågan om tillstånd alltså en förutsättning för att utbetalningen ska få göras. En utbetalning av assistansersättning direkt till den försäkrade får dock inte avslås på den grunden att anord- naren inte har tillstånd att bedriva verksamhet med personlig assistans (jfr Högsta förvalt- ningsdomstolens dom HFD 2019 not. har i en framställan till reger- jat tillstånd har därmed direkt betydelse för vissa analyser. Det handlar även om att kunna se mönster. Exempelvis om ett bolag som har tillstånd att bedriva personlig assistans och som mottar stöd för nystartsjobb inte redovisat korrekta uppgifter till . I stället för tillståndskrav gäller krav på anmälan då det är kom- muner eller regioner som bedriver personlig assistans. Detsamma gäller om det är den enskilde brukaren som har anställt någon för personlig assistans.45 Även uppgifter om anmälan är av vikt för data- analyser och urval vid Myndigheten för utbetalningskontroll. Utöver uppgifter om tillstånd och anmälan bedömer vi att det är nödvändigt att myndigheten i sina analyser får behandla uppgifter om uppgivna ägare och ledning, om verksamhetsutövaren är en juridisk person.46 Detta är viktigt för att få en samlad bild av ett företags företrädare. Vi bedömer att uppgifter om kompletterande aktörer, tillstånd och anmälan att bedriva verksamhet med personlig assistans samt upp- gifter om assistansföretagens ledning och ägare har en mycket be- gränsad integritetspåverkan. Förvisso är det till viss del uppgifter om enskilda personer men uppgifterna avser endast deras roll i verksam- heten. Inte heller uppgifter om arbetslösas företagsengagemang anser vihar någon större integritetspåverkan. Det begränsade integri- tetsintrånget som behandlingen kan medföra står i proportion till behovet av att behandla uppgifterna i syfte att upptäcka och för- hindra felaktiga utbetalningar från välfärdssystemen. ingen föreslagit att assistansersättning inte ska betalas ut om den försäkrade anlitar en enskild person som bedriver yrkesmässig verksamhet med personlig assistans utan tillstånd. (Försäk- ringskassan, Framställning om ändring i 51 kap. 16 § socialförsäkringsbalken, Skrivelse till reger- ingen , dnr 010885–2019). 4523 § fjärde och femte stycket LSS. 46Jämför 23 § andra stycket LSS. I bestämmelserna anges att i fråga om en juridisk person ska prövningen sammantaget avse den verkställande direktören och andra som genom en ledande ställning eller på annat sätt har ett bestämmande inflytande över verksamheten, styrelse- ledamöter och styrelsesuppleanter, bolagsmännen i kommanditbolag eller andra handelsbolag, och personer som genom ett direkt eller indirekt ägande har ett väsentligt inflytande över verksamheten. Utredningens bedömning: Uppgifter på individnivå i arbets- givardeklarationer bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning Myndigheten behöver kunna använda uppgifter på individnivå i arbetsgivardeklarationer för dataanalyser och urval. Uppgifter om anställda och anställdas inkomster är viktiga för att upptäcka fel- aktiga utbetalningar som rör företag. ska vissa uppgifter, som nämnts i avsnitt 3.2.8, lämnas på individnivå i en arbets- givardeklaration i stället för som tidigare i en årlig kontrolluppgift. En arbetsgivardeklaration innehåller uppgifter om ersättning till en viss betalningsmottagare. Syftet med att uppgifterna ska lämnas , i stället för som tidigare i en årlig kontrolluppgift, är att minska skattefusk och skatteundandragande samt att förbättra myn- digheternas kontrollmöjligheter och effektivisera deras arbete. , och kan för vissa ändamål medges direktåtkomst till beskattningsdatabasen i fråga om uppgifter per betalningsmottagare och vissa andra uppgifter i en arbetsgivardeklaration.47 Tillgången till uppgifter gäller dock bara i enskilda ärenden och beslutande myndigheter kan alltså inte använda uppgifterna i sina dataanalyser och urval för att upptäcka felaktiga utbetalningar. Vi instämmer i KUT-delegationens bedömning att uppgifterna i arbetsgivardeklarationen är av stort värde för att upptäcka felaktiga utbetalningar.48 I , och är liknande 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 1–2 och 2 kap. 8 b– 8d §§ lagen om behandling av uppgifter i beskattningsverksamhet. Regeringen har framhållit att de uppgifter på individnivå, dvs. per betalningsmottagare, som ska lämnas i en arbetsgivardeklaration kan vara till stor nytta i ärendehanteringen hos andra aktörer än , se prop. 2016/17:58 s. 101. Arbetslöshetskassorna har inte direktåtkomst men har möjlighet att begära ut individuppgifterna i lämnade arbetsgivardeklarationer från Skatte- verket om uppgifterna behövs för beräkning eller kontroll av arbetslöshetsersättning, jfr 8 d § förordningen (2001:588) om behandling av uppgifter i beskattningsverksamhet. 48KUT-delegationen har lämnat flera förslag om hur arbetsgivardeklarationer bör kunna an- vändas i större utsträckning för kontroller. Se SOU 2019:59, Samlade åtgärder för korrekta utbetalningar från välfärdssystemen, s. 219–229. system med månatliga individuppgifter betydelsefulla för välfärds- systemens kontrollarbete. Vi menar därför att myndigheten bör kunna använda uppgifter i samtliga arbetsgivardeklarationer som underlag för sina dataanalyser och urval. Ett alternativ vore att endast använda uppgifter för de ärenden som är aktuella eller att använda aggregerade uppgifter på företagsnivå, men då skulle det inte vara möjligt att analysera avvik- elser, samband eller relationer på individnivå. Det skulle inte heller vara möjligt att ta fram träffsäkra riskindikatorer enligt vår bedöm- ning. Vi ser inte heller att det finns andra uppgifter som kunde an- vändas för att få fram information om anställda och deras inkomster. Att använda uppgifter i arbetsgivardeklarationerna i dataanalyser och urval medför integritetsintrång. Vi menar att integritetsintrånget är rimligt eftersom uppgifter i arbetsgivardeklarationen är nödvändigt för att få uppgifter om inkomst och anställning. Det finns inga alternativa uppgifter att använda i stället. Regeringen har framfört att uppgifter om inkomster för en viss betalningsmottagare i en arbets- givardeklaration inte är utan integritetskänslighet, men de är inte av det särskilt känsliga slaget.49 Det ska även beaktas att syftet med att ge beslutande myndigheter direktåtkomst till uppgifterna har varit att förbättra myndigheternas kontrollmöjligheter.50 Dataanalyser av avvikelser, samband, mönster och relationer utifrån uppgifterna i arbetsgivardeklarationer innebär ett integritetsintrång. Särskilt efter- som uppgifterna också ska sambehandlas med övriga uppgifter som finns hos den nya myndigheten. Uppgifter om inkomst och anställ- ning har dock, som framgår ovan, en stor betydelse för många av välfärdssystemen och vi anser därför att integritetsintrånget är moti- verat och behandlingen proportionerlig. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 125. 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 2. Utredningens bedömning: Uppgifter i intyg avseende arbete om arbetsgivare, intygsgivare, kontaktperson, kontaktuppgifter, sök- ande och vad intyget gäller bör kunna ligga till grund för data- analyserna och urvalen. Skälen för utredningens bedömning Uppgifter om arbetsgivare, sökande, intygsgivare och kontaktupp- gifter till arbetsgivare kan vara effektiva för att upptäcka felaktiga utbetalningar. Riskindikatorer kan vara att en intygsgivare är ofta förekommande, att intygsgivaren dyker upp i andra fall av felaktiga utbetalningar, att intygsgivaren varken är anställd eller företrädare för ett företag eller att kontaktuppgifterna också förekommer i intyg från andra arbetsgivare. Intygen kan alltså användas för att upptäcka felaktiga utbetalningar genom att visa på mönster och samband mellan utbetalningar och avvikelser. För att göra analyser och urval behövs också uppgifter om vad intygen gäller. Som nämnts i avsnitt 3.2.8 är arbetsgivarintyg centrala inom väl- färden eftersom intyg är en grund för beslut i många välfärdssystem både direkt och indirekt. Sådana intyg kan ha betydelse för rätten till bosättningsbaserade och arbetsbaserade förmåner. Så kallade anställ- ningserbjudanden har även stor betydelse vid frågor om arbetstill- stånd. Arbetsgivarintyg kan även ha betydelse för folkbokföringen vid frågor om uppehållsrätt.51 Vi har i avsnitt 3.2.8 beskrivit att intyg missbrukas för att få utbetalningar från välfärdssystemen på felaktig grund. Missbruket kan ske genom förfalskning eller att den sökande samarbetar med arbetsgivaren. En stor del av den kvalificerade brottsligheten som riktas mot välfärden bär inslag av oriktiga handlingar. använder myndigheter inte alls, eller bara i begränsad omfattning, intygen vid dataanalyser och urval för att upptäcka felaktiga utbetalningar. Myndigheters möjligheter att söka i dessa uppgifter kan vara begränsade och de har i regel inte tillgång till uppgifter om intyg lämnade till andra myndigheter. 51Skatteverkets folkbokföringsverksamhet fick 2018 in intyg i drygt 5 000 ärenden, vilket motsvarar ungefär 4–av alla ärenden (enligt uppgift från ). Integritetsintrånget bedömer vi som begränsat för denna typ av arbetsrelaterade intyg. Endast en begränsad del av uppgifterna i in- tyget ska utgöra grunden för myndighetens dataanalyser och urval. Uppgifter rör generellt sett själva intygsgivaren och innehåller inte några mer personliga uppgifter om arbetstagaren. Vi ser inte att det finns några alternativa uppgifter som skulle kunna användas i stället för intygen. Sammantaget bedömer vi att det begränsade integritets- intrånget behandlingen kan medföra står i proportion till behovet av att använda uppgifterna för dataanalyser och urval i syfte att upp- täcka och förhindra felaktiga utbetalningar från välfärdssystemen. 6.2.12Urvalsträffar och resultatet av granskning Utredningens bedömning: Uppgifter om vilka urvalsträffar som har lämnats vidare till inledande granskning, resultatet av denna granskning och resultatet av fördjupad granskning bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning: Uppgifter om vilka urvals- träffar som har lämnats vidare till inledande granskning (se kapitel 7) är nödvändigt att använda i dataanalyser och urval för att inte samma utbetalningar återkommande ska falla ut som urvalsträff. För att kunna förbättra dataanalyserna och träffsäkerheten i urvalsmodellerna behöver uppgifter om resultatet av inledande och fördjupade gransk- ningar (se kapitel 7) behandlas. Vi bedömer att integritetsintrånget är begränsat. 6.2.13Överväganden kring vissa andra uppgifter Vi har i kartläggningen och analysen av vilka uppgifter myndigheten bör kunna behandla vägt integritetsintrånget mot det behov vi kan se av behandlingen av respektive uppgift. Vi har övervägt en rad andra uppgifter som vi tror skulle kunna vara effektiva att använda vid dataanalyser och urval för att upptäcka felaktiga utbetalningar från välfärdssystemen. Vissa av dessa uppgifter använder myndigheter i andra länder i sina riskbaserade analyser och urval. I används bl.a. uppgifter om i vilken kommun läkar- besök görs som en indikator. I används t.ex. upp- gifter från kreditupplysningsföretag för att upptäcka felaktiga uppgifter om sammanboende och identitetsmissbruk. I görs också en omfattande samkörning av utbetalningar från 4 000 statliga, regionala och kommunala organisationer för att upp- täcka dubbelutbetalningar och andra felaktiga utbetalningar. I används uppgifter från banker om utlandsbetalningar för att upp- täcka vissa typer av felaktiga utbetalningar. Vi har övervägt om Myndigheten för utbetalningskontroll skulle få behandla liknande uppgifter i sina dataanalyser och urval. Bedöm- ningen är dock att myndigheten inte bör få behandla sådana upp- gifter då behovet av att behandla uppgifterna i detta skede inte kan anses stå i proportion till det integritetsintrång som behandlingen skulle innebära. Om det skulle visa sig att myndigheten inte effektivt kan upptäcka och förhindra felaktiga utbetalningar utan tillgång till dessa uppgifter kan intresseavvägningen behöva omprövas. I har användningen av ip-nummer varit en effektiv metod för att upptäcka fel vad gäller bostadsbaserade ersättningar. Ip-nummer och andra onlineidentifikatorer används i arbetet med att motverka felaktiga utbetalningar hos många andra typer av verksamheter, speciellt inom den finansiella sektorn. Vi anser att onlineidentifikatorer kan vara effektiva att använda vid dataanalyser och urval för att upptäcka felaktiga utbetalningar. Detta gäller såväl i beslutande myndigheters verksamheter som den vid Myndigheten för utbetalningskontroll. Dessa uppgifter kan dock vara extra integritetskänsliga och det behöver noga analyseras vilka av dessa uppgifter som bör kunna ligga till grund för dataanalyser och urval. Det skiljer sig åt mellan de beslutande myndigheterna om synen på möjligheten att använda denna typ av uppgifter i kontrollverksam- heten. För att beslutande myndigheter ska kunna lämna uppgifterna vidare till Myndigheten för utbetalningskontroll måste uppgifterna först samlas in i syfte att användas i den beslutande myndighetens verksamhet.52 Vi ser därför att det först bör analyseras och tas fram riktlinjer för användandet av onlineidentifikatorer i de beslutande myn- digheternas kontrollarbete. Vi tror att det finns stora samordnings- vinster med liknande rutiner för behandling av sådana uppgifter hos de olika myndigheterna. Myndigheten för utbetalningskontroll kan spela en viktig roll i detta arbete inom ramen för uppdraget att stödja och följa. Först därefter bör man ta ställning till om, och i så fall vilka, onlineidentifikatorer, som ska kunna ligga till grund för dataanalyser och urval vid Myndigheten för utbetalningskontroll. 6.2.14Den stora mängden information medför höga krav på informationssäkerhet Verksamheten med dataanalyser och urval innebär att stora mängder information samlas hos Myndigheten för utbetalningskontroll. Det finns ett flertal risker ur informationssäkerhetsperspektiv med detta. Uppgifterna kan vara av intresse för främmande makt eller krimi- nella aktörer. Det finns alltså en risk för att utomstående försöker ta del av uppgifterna. Vidare finns risk för att uppgifterna sprids otill- börligen på grund av misstag eller slarv hos myndigheten. Verksam- heten förutsätter även ett omfattande informationsutbyte, vilket i sig innebär en risk för att uppgifter sprids på ett sätt som inte är avsett. Detta innebär i sin tur integritetsrisker eftersom en spridning av personuppgifterna till personer som inte har rätt att ta del av dem skulle innebära intrång i den personliga integriteten för de som drabbas. För att motverka dessa risker kommer myndigheten behöva iaktta en hög säkerhetsnivå vad gäller hanteringen av informationen. 52I de beslutande myndigheternas registerförfattningar finns bestämmelser med s.k. sekundära ändamål som medför att det är tillåtet att behandla personuppgifter för att fullgöra ett utläm- nande av uppgifter som sker i överstämmelse med lag eller förordning (4 § andra stycket studiestödsdatalagen (2009:287), 1 kap. 5 § 3 lagen om behandling av uppgifter i beskattningsverksamhet, 5 § andra stycket lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och 114 kap. 9 § socialförsäkringsbalken. De sekun- dära ändamålsbestämmelserna gäller endast sådana personuppgifter som myndigheten har samlat in och behandlat för myndighetens egen verksamhet (primära ändamål). Denna kon- struktion möjliggör inte att personuppgifter samlas in av en myndighet med enda syfte att uppgifterna ska lämnas till en annan myndighet. 6.2.15En samlad bedömning av effekten på den personliga integriteten Utredningens bedömning: Sambearbetningen av uppgifter vid dataanalyserna och urvalen kommer att utgöra ett intrång i en- skildas personliga integritet. Intrånget är proportionerligt i för- hållande till syftet att kunna upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen. Integritetsrisker vid sambearbetning av uppgifterna Den sambearbetning av personuppgifter som kommer att ske vid myndighetens dataanalyser och urval utgör ett intrång i det skydd för den personliga integriteten som var och en är tillförsäkrad genom det rättighetsskydd som finns i regeringsformen, Europakonven- tionen och EU:s rättighetsstadga53. Vi anser dock att integritets- intrånget är proportionerligt. Dataskyddsförordningen innehåller bestämmelser om skydd för fysiska personer vad gäller behandlingen av personuppgifter och dessa bestämmelser gäller för Myndigheten för utbetalningskontroll. I kapitel 10 finns våra överväganden och förslag vad gäller myndighetens personuppgiftsbehandling. De uppgifter som vi bedömer bör ingå i myndighetens uppgifts- samling för dataanalyser och urval är i regel inte av känslig karaktär ur integritetssynvinkel. Det är framför allt uppgifter om beslut, upp- gifter ur offentliga register och uppgifter insamlade av myndigheter i kontrollsyfte. Uppgifterna innehåller begränsat med personlig infor- mation om de registrerade. Myndigheten kommer inte att behandla uppgifter om sjukdomar, skälen till att en person har blivit arbetslös eller varför en förmån eller ett stöd har beviljats. Som underlag för dataanalyser och urval kommer dock vissa s.k. känsliga personupp- gifter54 att behandlas. Det rör sig framför allt om uppgifter om vissa förmåner såsom sjukpenning. Men även andra känsliga personupp- gifter kan komma att utläsas av exempelvis namnet på ett företag eller genom samkörning av uppgifter. 53Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). 54Beskrivning och övervägande om behandling av känsliga personuppgifter finns i avsnitt 10.4.1. Vad gäller företrädare för företag och andra juridiska personer kommer en något mer omfattande uppgiftsinsamling ske där bl.a. uppgifter om skulder hos och uppgifter om företrädaransvar kan ligga till grund för analyserna och urvalen. Det är uppgifter som kan upplevas som känsligare. är det personer som har valt att företräda företag och andra juridiska personer som mottar utbetalningar från välfärdssystemen och där- med bör kunna förväntas tåla att denna typ av uppgifter behandlas. Enligt vår bedömning uppstår det huvudsakliga integritetsintrånget genom att myndigheten kommer att sambearbeta uppgifterna som överlämnats från ett flertal olika myndigheter. Att uppgifterna kom- mer att samköras medför att det kan skapas en bild av en människas förhållanden som innebär en kartläggning. Sådan behandling innebär ett integritetsintrång. Kartläggningen kommer att göras knutet till vissa identifierade riskindikatorer. Detta är själva syftet med myn- dighetens dataanalyser och urval. ska det beaktas att kart- läggningen kommer att omfatta begränsat med uppgifter av mer personlig karaktär. Vi bedömer därför sammantaget att behand- lingen kommer att medföra integritetsintrång för de registrerade men att intrånget inte är allt för omfattande. Vi föreslår i de följande kapitlen en rad olika skydds- och säker- hetsåtgärder för att begränsa integritetsintrånget till följd av myn- dighetens verksamhet. I detta kapitel gör vi därför inte någon närmare proportionalitetsbedömning.55 Vi bedömer dock att det intrång i den personliga integriteten som verksamheten medför uppvägs av de positiva effekter som myndighetens uppdrag innebär för möjlig- heterna att upptäcka och förhindra felaktiga utbetalningar från väl- färdssystemen och därigenom motverka brottslighet som riktas mot välfärdssystemen. Våra förslag om myndighetens dataanalyser och urval bedöms därför utgöra ett proportionerligt ingrepp i den en- skildes personliga integritet. 55Se avsnitt 10.1.2 och 14.5.1 för utvecklade proportionalitetsbedömningar. 7Inledande och fördjupade granskningar av felaktiga utbetalningar I detta kapitel föreslår vi att myndigheten ska hantera och granska urvalsträffar från verksamheten med dataanalyser och urval. Detta ska ske genom inledande och fördjupad granskning. Myndighetens granskningar av urvalsträffar föreslår vi ska regleras i en särskild lag. 7.1Myndigheten ska granska urvalsträffar för att upptäcka och förhindra felaktiga utbetalningar Utredningens förslag: Myndigheten för utbetalningskontroll ska granska urvalsträffar för att upptäcka och förhindra felaktiga utbetalningar. Granskningen ska ske genom inledande och för- djupad granskning. Myndighetens granskningar av urvalsträffar ska regleras i en särskild lag om granskningar för att upptäcka och förhindra fel- aktiga utbetalningar från välfärdssystemen. Med urvalsträffar avses utbetalningar som har valts ut i myndig- hetens verksamhet med dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar. Med felaktig utbetalning avses förmån, stöd eller skatt och avgift som har beslutats, betalats ut eller tillgodoräknats felaktigt eller med ett för högt eller för lågt belopp. Inledande och fördjupade granskningar av felaktiga utbetalningar Skälen för utredningens förslag Myndigheten för utbetalningskontroll ska vara ett stöd till beslu- tande myndigheters och arbetslöshetskassors kontrollverksamheter. För att kunna skapa ett effektivt underlag för myndigheternas arbete med att upptäcka och förhindra felaktiga utbetalningar från välfärds- systemen behöver Myndigheten för utbetalningskontroll granska urvalsträffarna från myndighetens dataanalyser och urval, se kapitel 6.