sou · H8B335 · 2020-06-08 00:00:00 — Lagens andra syfte är att skydda fysiska personer mot att deras personliga integritet kränks vid myndighetens behandling av personuppgifter i verksamhet som avser administration av systemet med transaktionskonto och att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen. I paragrafen anges lagens tillämpningsområde. Förslaget behandlas i avsnitt 10.2.5. Av första stycket framgår att lagen är tillämplig vid behandling av personuppgifter. Definitioner av begreppen behandling och person- uppgifter finns i artikel 4 i och rådets förord- ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG (allmän dataskyddsförordning), dataskyddsförord- ningen. Den behandling av personuppgifter som omfattas av lagen är den som förekommer i verksamheten vid Myndigheten för ut- betalningskontroll som avser att administrera systemet med trans- aktionskonto och att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen. Med det senare avses myndig- hetens verksamhet i form av dataanalyser och urval i syfte att upp- täcka och förhindra felaktiga utbetalningar från välfärdssystemen, hantera och granska urvalen samt stödja och följa statliga myndig- heters och arbetslöshetskassors arbete med att motverka felaktiga utbetalningar från välfärdsystemen. Övrig behandling av personupp- gifter vid myndigheten, t.ex. vid personaladministration, faller utan- för lagens tillämpningsområde. I paragrafens andra stycke begränsas tillämpningsområdet till en viss typ av behandling av personuppgifter. behandling som inte ingår i eller kommer att ingå i ett register faller utanför lagens tillämpningsområde. Bestämmelsen i andra stycket är utformad i nära anslutning till artikel 2.1 i dataskyddsförordningen och bör tolkas på samma sätt som den bestämmelsen. Av paragrafens tredje stycke framgår att bestämmelserna om ända- mål, gallring och tillgång till personuppgifter samt de bestämmelser som gäller transaktionskontoregistret och uppgiftssamlingen för dataanalyser och urval ska tillämpas också på uppgifter om juridiska personer och avlidna. Bestämmelsen om sökbegränsningar ska även tillämpas på uppgifter om avlidna. Med juridiska personer avses t.ex. bolag, stiftelse, förening, kommun, staten, och dödsbon. Hänvis- ningen till 6–8 §§ innebär att det inskränks för vilka ändamål som uppgifter om juridiska personer och avlidna får behandlas. Förhållandet till annan reglering I paragrafen anges lagens förhållande till annan reglering. Över- vägandena finns i avsnitt 10.2.6. Första stycket upplyser om att lagen innehåller bestämmelser som kompletterar dataskyddsförordningen. Förordningen är direkt tillämplig men förutsätter eller tillåter i vissa avseenden nationella bestämmelser som kompletterar förordningen, i form av preci- seringar eller undantag. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. den avser dataskyddsförordningen i dess gällande lydelse. Av andra stycket framgår lagens relation till den generella nationella dataskyddslagen, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Dataskyddslagen kompletterar data- skyddsförordningen. Av bestämmelsen framgår att dataskyddslagen är subsidiär i förhållande till den föreslagna registerlagen. att dataskyddslagens bestämmelser endast gäller om inte annat före- skrivs i denna lag eller föreskrifter som har meddelats i anslutning till lagen. Rätten att göra invändningar Förslaget behandlas i avsnitt 10.2.7. I paragrafen görs ett undantag för den rätt för registrerade att invända mot behandlingen av personuppgifter som följer av artikel 21.1 i dataskyddsförordningen. Undantaget utgör en sådan begränsning i den nationella rätten som är tillåten enligt artikel 23 i dataskydds- förordningen. Förslaget behandlas i avsnitt 10.2.8. Paragrafen anger att Myndigheten för utbetalningskontroll är personuppgiftsansvarig för behandlingen av personuppgifter enligt lagen. Definition av begreppet personuppgiftsansvar finns i artikel 4 i dataskyddsförordningen. Av dataskyddsförordningen följer vissa skyldigheter för den som är personuppgiftsansvarig. Den person- uppgiftsansvarige ska bl.a. se till att behandlingen av personuppgifter sker på ett korrekt och säkert sätt (artikel 5.2), att lämpliga tekniska och organisatoriska åtgärder genomförs (artikel 24) och att den regi- strerade ersätts för skada som en rättsstridig behandling av person- uppgifter har medfört (artikel 82). Förslaget behandlas i avsnitt 10.3.1 och 10.3.2. I paragrafen anges de primära ändamålen för myndighetens behandling av personuppgifter. De primära ändamålen återspeglar de behov av olika behandlingar, såsom insamling och lagring etc., som förekommer inom myndighetens kärnverksamhet. I bestämmelsen anges sex ändamål för vilka myndigheten får behandla person- uppgifter. I fråga om innehållet i de olika punkterna hänvisas till avsnitt 10.3.2. De primära ändamålen ger tillsammans med de i 7 § angivna sekundära ändamålen en ram för vilka behandlingar som är tillåtna. Kravet på nödvändighet innebär inte ett krav på att behandlings- åtgärden ska vara oundgänglig. I kravet på nödvändighet ligger att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna. Förslaget behandlas i avsnitt 10.3.3. Paragrafen är en s.k. sekundär ändamålsbestämmelse. Av bestäm- melsen följer att de uppgifter som behandlas för primära ändamål (6 §) även får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Bestämmelsen om- fattar sådant uppgiftslämnande som sker på grund av att myndig- heten ska lämna ut uppgifter, t.ex. med stöd av lagen (2008:206) om underrättelseskyldighet vid felaktiga utbetalningar från välfärds- systemen. Bestämmelsen omfattar även sådant uppgiftslämnande som sker med stöd av bestämmelser som medför att uppgifter får lämnas ut, t.ex. med stöd av 10 kap. 15 § offentlighets- och sekre- tesslagen (2009:400) som föreskriver att sekretess inte hindrar att uppgift lämnas till regeringen eller . Bestämmelsen omfattar såväl uppgiftslämnande som sker till myndigheter som till fysiska och juridiska personer, t.ex. arbetslöshetskassor. Det avgörande är att uppgiftslämnandet sker med stöd av lag eller förordning. Förslaget behandlas i avsnitt 10.3.4. Paragrafen tydliggör att den s.k. finalitetsprincipen gäller vid behandling av personuppgifter enligt lagen. Behandling av person- uppgifter enligt denna paragraf förutsätter att uppgifterna har sam- lats in för något av de primära ändamål som anges i 6 §. Bestäm- melsen är utformad i nära anslutning till artikel 5.1 b i dataskydds- förordningen och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med de ursprungliga ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 i förordningen ska beaktas vid bedömningen av om behandlingen är förenlig med finalitetsprincipen. Bestämmelsen innebär att personuppgifter som hämtas in för ändamålet dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen i ett senare skede kan användas vid behandling enligt övriga angivna ändamål för person- uppgiftsbehandling i myndighetens verksamhet med att förebygga, förhindra och upptäcka felaktiga utbetalningar i välfärdssystemen. Behandling av känsliga personuppgifter Paragrafen reglerar vilka känsliga personuppgifter som får behandlas i myndighetens verksamhet med stöd av artikel i dataskydds- förordningen. Övervägandena finns i avsnitt 10.4.1. De personuppgifter som avses i artikel 9.1 i dataskyddsförord- ningen och som myndigheten får behandla med stöd av bestäm- melsen är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fack- förening, genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Myndigheten får behandla dessa uppgifter om det är nödvändigt med hänsyn till ända- målet med behandlingen. I kravet på nödvändighet ligger att person- uppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna eller i stället behandla andra typer av uppgifter. Paragrafen innehåller ett förbud mot integritetskänsliga sökningar. Övervägandena finns i avsnitt 10.5.2. Sökbegränsningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga person- uppgifter eller sådana personuppgifter som avses i artikel 10 i data- skyddsförordningen. Av hänvisningen till artikel 10 följer att sök- begränsningen även omfattar uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Vad som avses med känsliga personuppgifter framgår av författningskommentaren till 9 §. Därmed förbjuds sökningar som görs för att få fram ett urval av personer som t.ex. har en viss politisk åsikt, religiös åskådning eller sexuell läggning. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård. I andra stycket anges att förbudet inte omfattar sökningar i syfte att få fram ett urval grundat på sådan uppgift om hälsa som avser förmån eller stöd. Genom detta undantag blir det möjligt för myn- digheten att få fram urval baserat på uppgift om beslut om t.ex. sjukpenning eller assistansersättning. Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet till- handahållande av hälso- och sjukvårdstjänster, vilket ger infor- mation om dennes hälsostatus. Uppgifter som rör hälsa ska ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter, såväl fysiska som psykiska, av en persons hälsa. Redan uppgiften om att någon har beviljats en socialförsäkringsförmån anses utgöra en käns- lig personuppgift om hälsa, därför måste detta undantag finnas för Myndigheten för utbetalningskontroll. Förslaget behandlas i avsnitt 10.5.4. Av paragrafens första stycke följer att myndigheten är skyldig att se till att tillgången till personuppgifter begränsas. Syftet med bestämmelsen är att förstärka skyddet för den personliga integri- teten genom att uppgifterna sprids till en så liten krets som möjligt. Det är vilka arbetsuppgifter den enskilde medarbetaren har som ska vara styrande för vilka uppgifter hen ska få tillgång till. Bestäm- melsen är inte endast tillämpbar vid nyanställning utan förutsätter att tillgången till personuppgifter följs upp och förändras efter hand som ändringar i den enskilde medarbetarens arbetsuppgifter ger anledning till det. Av andra stycket följer att myndigheten också är skyldig att se till att åtkomsten till personuppgifter kontrolleras. Kontrollen ska ske på ett ändamålsenligt sätt. Det är i första hand upp till myndigheten att närmare bestämma formerna. Ofta sker dokumentation av åtkomst genom loggar. Behandlingen i verksamheten med dataanalyser och urval omfattar en stor mängd uppgifter och kravet på ändamålsenlighet i bestämmelsen kan därför uppställa begränsningar i möjligheten att använda loggning vid kontroll av denna behandling. Av 3 kap. 3 § följer att särskilda kontrollåtgärder gäller för behandlingen i upp- giftssamlingen för dataanalyser och urval. Förslaget behandlas i avsnitt 10.8.1. Paragrafens första stycke innehåller en allmän föreskrift om gallring av personuppgifter och uppgifter om juridiska personer samt avlidna som behandlas i verksamheten som avser att administrera systemet med transaktionskonto samt verksamheten med att förebygga, för- hindra och upptäcka felaktiga utbetalningar från välfärdssystemen. Bestämmelsen innebär en skyldighet för myndigheten att gallra uppgifterna så snart de inte längre behövs för de ändamål som de behandlas för. Detta innebär att uppgifterna ska utplånas eller av- identifieras på ett sådant sätt att alla identifieringsmöjligheter för- svinner. Första stycket innehåller också en bestämmelse som innebär att regeringen eller den myndighet regeringen bestämmer har möjlighet att meddela föreskrifter eller i enskilda fall besluta på ett sätt som avviker från huvudregeln i lagen. Särskilt beträffande känsliga person- uppgifter, eller särskilda kategorier av uppgifter, kan det finnas skäl att uppställa specifika gallringsfrister varför regeringen eller den myn- dighet regeringen bestämmer kan meddela föreskrifter eller i ett enskilt fall besluta om en specifik tidsgräns för när vissa personupp- gifter senast måste gallras. Regeringen eller den myndighet reger- ingen bestämmer kan också meddela föreskrifter eller i ett enskilt fall besluta att uppgifter som egentligen borde gallras får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Av andra stycket följer att huvudregeln i första stycket inte gäller i de fall andra särskilda gallringsfrister meddelats i lagen. Särskilda gallringsfristser finns för uppgifter i transaktionskontoregistret och för uppgifter som behandlas för ändamålet att utföra fördjupad granskning. Förslaget behandlas i avsnitt 10.8.4. Paragrafen innehåller en särskild gallringsfrist för personupp- gifter och uppgifter om juridiska personer samt avlidna som myndig- heten behandlar för ändamålet att utföra fördjupad granskning. Bestämmelsen innebär en skyldighet för myndigheten att gallra upp- gifterna efter att den fördjupade granskningen avslutats. Syftet med denna gallringsbestämmelse är att möjliggöra insyn och kon- troll av myndighetens handläggning. Bestämmelsen omfattar dels uppgifter som lämnas över från uppgiftssamlingen för dataanalyser och urval, dels uppgifter som myndigheten i den fördjupade gransk- ningen hämtar in utifrån. Bestämmelsen avser gallring av uppgifter i verksamheten med fördjupad granskning och innebär inte att upp- gifter som behandlas både för ändamålet att göra dataanalyser och urval och för ändamålet att utföra fördjupad granskning ska gallras även från myndighetens uppgiftssamling för dataanalyser och urval. Myndigheten ska enligt 2 kap. 6 § i lagen (0000:00) om gransk- ningar för att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen göra en sammanställning av resultatet av en för- djupad granskning. Av bestämmelsens andra mening framgår att en sådan sammanställning ska bevaras. Rätt att meddela föreskrifter Förslaget behandlas i avsnitt 10.2.2. Bestämmelsen är en upplysningsbestämmelse om att regeringen, eller den myndighet som regeringen bestämmer kan meddela före- skrifter. Behörigheten för regeringen att meddela föreskrifter följer av 8 kap. 7 § regeringsformen, dvs. regeringen kan med stöd av den s.k. restkompetensen meddela föreskrifter på området. Bestämmel- sen utgör således inte något bemyndigande till regeringen att meddela föreskrifter. Av 8 kap. 11 § regeringsformen följer att regeringen har full bemyndiganderätt till myndighet att meddela föreskrifter inom det område som omfattas av regeringens restkompetens. Förslaget behandlas i avsnitt 10.6.1. Av bestämmelsen framgår att myndigheten ska föra ett trans- aktionskontoregister. Registret innehåller uppgifter om utbetalningar som omfattas av lagen (0000:00) om transaktionskonto. I registret ska utbetalningar av stöd, förmåner, skatter eller avgifter som omfattas av lagen registreras. Varje mottagare av sådana utbetalningar kom- mer att ha ett transaktionskonto och utbetalningarna ska registreras på respektive mottagares transaktionskonto. Av 1 kap. 2 § följer att bestämmelserna i kapitlet även ska tillämpas på uppgifter om juridiska personer och avlidna. Förslaget behandlas i avsnitt 10.6.2. Bestämmelsen reglerar att Myndigheten för utbetalningskontroll får ge direktåtkomst till uppgifter i transaktionskontoregistret. Bestämmelsen innebär en möjlighet för myndigheten att ge direkt- åtkomst, inte en skyldighet. Direktåtkomst får ges till myndighet som är ansluten till systemet med transaktionskonto och till den registrerade, dennes vårdnadshavare, förvaltare eller ombud. Av 1 kap. 2 § följer att bestämmelsen även avser juridiska personer och avlidna. Av förordning (0000:00) om behandling av personuppgifter vid Myndigheten för utbetalningskontroll följer begränsningar av myn- dighetens möjlighet att ge direktåtkomst. Av förordningen framgår att myndigheter får ges direktåtkomst till uppgifter som avser myn- dighetens utbetalning samt uppgifter om mottagarens konto- nummer och kontaktuppgifter. Den registrerade, dennes vårdnads- havare, förvaltare eller ombud får ges direktåtkomst till uppgifter om utbetalningar, kontouppgifter och kontaktuppgifter som avser den registrerade. Förslaget behandlas i avsnitt 10.8.3. Paragrafen innehåller en särskild bestämmelse om gallring av personuppgifter och uppgifter om juridiska personer och avlidna som myndigheten behandlar i transaktionskontoregistret. Bestäm- melsen innebär att uppgifterna ska gallras efter utgången av det år då betalningsuppdraget registrerades i registret. Gallringsfristen är anpassad till den tioåriga preskriptionstiden. Eftersom gallrings- fristen utgår från utgången av registreringsåret kan myndigheten ha en samlad hantering av gallring i transaktionskontoregistret. Paragrafen innehåller också en bestämmelse som innebär att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter eller i ett enskilt fall besluta att personuppgifter som egentligen borde gallras får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statis- tiska ändamål. 3 kap. Uppgiftssamlingen för dataanalyser och urval Förslaget behandlas i avsnitt 10.7.1 och 10.7.2. Bestämmelsen syftar till att begränsa vilka uppgifter som får behandlas för ändamålet att göra dataanalyser och urval. Av bestäm- melsens första stycke framgår att för det ändamålet får endast de personuppgifter som finns i en samling av uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten (uppgiftssamlingen för dataanalyser och urval) behandlas. I upp- giftssamlingen ska de uppgifter som hämtas in för det primära ända- målet dataanalyser och urval behandlas. Avsikten är att endast de personuppgifter som är nödvändiga för ändamålet att göra data- analyser och urval i syfte att upptäcka och förhindra felaktiga ut- betalningar från välfärdssystemen ska behandlas i uppgiftssam- lingen. Regleringen möjliggör för myndigheten att hämta in och ta emot uppgifter från andra myndigheter, att föra in dessa uppgifter i uppgiftssamlingen samt att i uppgiftssamlingen behandla uppgif- terna för att genomföra dataanalyser och urval. Finalitetsprincipen i 1 kap. 8 § möjliggör att de uppgifter som hämtas in för ändamålet att göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssyste- men även får behandlas för de ändamål som anges i 1 kap. 6 § punk- terna 3–6. Dessa ändamål syftar till att förebygga, förhindra och upptäcka felaktiga utbetalningar och behandlingen kan därför inte anses oförenlig med ändamålet dataanalyser och urval. Uppgifterna i uppgiftssamlingen kan alltså användas gemensamt i myndighetens verksamhet med att förebygga, förhindra, och upptäcka felaktiga utbetalningar. I andra stycket finns en upplysningsbestämmelse om att reger- ingen får meddela föreskrifter om vilka personuppgifter som får behandlas i uppgiftssamlingen. Kompletterande bestämmelser som anger vilka kategorier av uppgifter som får behandlas i uppgifts- samlingen finns i förordningen (0000:00) om behandling av person- uppgifter vid Myndigheten för utbetalningskontroll. Förslaget behandlas i avsnitt 10.7.3. Av bestämmelsen framgår att sökning och annan behandling i upp- giftssamlingen ska genomföras med respekt för enskildas personliga integritet. Bestämmelsen är avsedd att innefatta all behandling i uppgiftssamlingen men tar i första hand sikte på behandlingen för ändamålet att göra dataanalyser och urval i syfte att upptäcka och för- hindra felaktiga utbetalningar från välfärdssystemen. Bestämmelsen är tillämplig bl.a. vid användningen av urvalsmodeller och genomföran- det av andra sökningar samt vid utformningen och genomförandet av dataanalyser. Att behandlingen ska utföras med respekt för en- skildas personliga integritet innebär inte ett förbud mot behand- lingar som innebär någon form av integritetsintrång. I förordningen (0000:00) om personuppgiftsbehandling vid Myn- digheten för utbetalningskontroll finns bestämmelser att myndigheten ska ha rutiner för utformningen av urvalsmodeller och användandet av sökbegrepp. Bestämmelsen i den aktuella paragrafen syftar i första hand till att myndigheten i samband framtagandet av sådana rutiner noga ska överväga vilken integritetspåverkan en behandling kan ha och att eventuella integritetsintrång tydligt kan motiveras. Bestäm- melsen ska ses som en extra skyddsåtgärd vid behandling av upp- gifter i uppgiftssamlingen. Myndigheten har vid behandling i upp- giftssamlingen en skyldighet att upprätthålla kravet på likabehand- ling och ska genomföra behandlingen på ett sådant sätt att diskrimi- nering inte sker. Förslaget behandlas i avsnitt 10.7.3. Enligt bestämmelsen ska metoder för att ta fram urval samt de sökbegrepp som används vid sökningar i uppgiftssamlingen doku- menteras på ett sådant sätt att kontroll kan göras i efterhand. Sökbegrepp används för att söka igenom en informationsmängd för att hitta och välja ut de poster eller uppgiftskonstruktioner där begreppet förekommer. Sökbegrepp kan också användas för att välja bort information som saknar relevans. Det är i första hand upp till myndigheten att bedöma på vilket sätt dokumentationen ska ske. Det avgörande är att det i efterhand ska kunna gå att kontrollera vilka metoder för att ta fram urval och vilka sökbegrepp som har använts. Av paragrafen framgår även att myndigheten ska utföra regelbunden uppföljning av sökningar i uppgiftssamlingen. Med regelbunden uppföljning avses att kontrollerna ska ske systematiskt och återkommande. Det är i första hand upp till myndigheten att bedöma när och hur kontrollerna ska genomföras. 15.4Förslaget till lag (0000:00) om uppgiftsskyldighet till Myndigheten för utbetalningskontroll Förslaget behandlas i avsnitt 11.3.1. Paragrafen anger lagens innehåll. I lagen regleras uppgiftsskyldig- het för myndigheter och andra aktörer i förhållande till Myndigheten för utbetalningskontroll i dess verksamhet med att upptäcka och för- hindra felaktiga utbetalningar från välfärdssystemen. Myndighetens verksamhet med att upptäcka och förhindra felaktiga utbetalningar består dels av dataanalyser och urval, dels av granskningsverksamhet. Uppgiftsskyldigheterna i lagen utgör en sådan sekretessbrytande uppgiftsskyldighet som avses i 10 kap. 28 § offentlighets- och sekre- tesslagen (2009:400). Uppgifter av betydelse för verksamhet med dataanalyser och urval Förslaget behandlas i avsnitt 11.3.3 och 11.3.4. Paragrafen reglerar uppgiftsskyldighet för Arbetsförmedlingen, , och Pensions- myndigheten, de fyra välfärdsmyndigheter som är anslutna till trans- aktionskontosystemet. I paragrafen regleras även uppgiftsskyldighet för arbetslöshetskassor. Av paragrafens fjärde stycke framgår att skyldigheten att lämna uppgifter gäller sådana uppgifter som behövs för verksamheten med