sou · H8B335 · 2020-06-08 00:00:00 — Inte heller i myndighetens granskningar bedömer vi att sådana uppgifter är av intresse. I gransk- ningsverksamheten har myndigheten dock möjlighet att begära in kompletterande information från bl.a. beslutande myndigheter. 73Vi föreslår i avsnitt 10.5.2 sökbegränsningar kopplat till känsliga personuppgifter. Vi före- slår även lagkrav på att tillgången till personuppgifter begränsas så att endast de som behöver uppgifterna för att fullgöra sina arbetsuppgifter har tillgång till dem (se avsnitt 10.5.4). Vi föreslår även en rad skyddsåtgärder vid behandlingen av uppgifter i uppgiftssamlingen för dataanalyser och urval. En ny lag om personuppgiftsbehandling kan t.ex. finnas granskningar där myndigheten kan ha behov av att begära in handlingar från akt i ett sjukpenning- ärende. Det kan inte uteslutas att myndigheten i sådana fall får del av material där genetiska uppgifter förekommer, t.ex. uppgifter om testresultat, även om det inte är dessa uppgifter som är av intresse för myndighetens verksamhet. Det kan inte heller uteslutas att bio- metriska uppgifter kan komma in till myndigheten eller är nöd- vändiga att behandla . Vi har därför valt att låta genetiska uppgifter och biometriska uppgifter omfattas av möjligheten att behandla känsliga personuppgifter eftersom myndighetens verk- samhet annars hade försvårats. Enligt vår bedömning är det dock endast i enstaka undantagsfall som det blir aktuellt att behandla sådana uppgifter hos myndigheten. 10.4.2Myndigheten kan behöva behandla uppgifter om lagöverträdelser Utredningens bedömning: Myndigheten för utbetalningskon- troll kan i vissa fall behöva behandla uppgifter om lagöver- trädelser. Detta behöver inte regleras särskilt. Skälen för utredningens bedömning: Myndigheten för utbetal- ningskontroll kan i vissa fall behöva behandla uppgifter om lag- överträdelser.74 Vid fördjupad granskning kan myndigheten komma att ta del av uppgifter om lagöverträdelser. Det kan framgå av en handling eller uppgift myndigheten behöver ta del av för att kunna utföra granskningen. Vi har i avsnitt 7.3.9 gjort bedömningen att myndigheten inte ska ha en skyldighet att anmäla brott men att myndigheten, när det är lämpligt, kan göra sådana anmälningar. Det är rimligt att myndigheten ska kunna ta del av och behandla upp- gifter om resultatet av en sådan anmälan, dvs. om den lett till åtal och fällande dom. Att myndigheten får behandla uppgifter om lagöverträdelser följer av dataskyddslagen.75 Det är vår bedömning att den generella 74Med lagöverträdelser avses fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder, jfr artikel 10 dataskyddsförordningen. 75Av artikel 10 i dataskyddsförordningen följer att behandling av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott eller därmed samman- En ny lag om personuppgiftsbehandling regleringen i dataskyddslagen är tillräcklig. Vi föreslår dock i avsnitt 10.5.2 ett sökförbud vad gäller uppgifter om lagöverträdelser. 10.4.3Inga särskilda bestämmelser om personnummer och samordningsnummer behövs Utredningens bedömning: Särskilda bestämmelser om behand- lingen av personnummer och samordningsnummer behöver inte föras in i den nya lagen. Skälen för utredningens bedömning: Myndigheten behöver behandla personnummer och samordningsnummer. Det är vår bedömning att den generella regleringen av behandling av personnummer och sam- ordningsnummer i dataskyddslagen är tillräcklig.76 Det finns därför inte något behov av särskilda villkor eller skyddsåtgärder för behand- ling av sådana uppgifter i den föreslagna registerlagen. 10.5Särskilda skydds- och säkerhetsåtgärder 10.5.1Höga krav på skydds- och säkerhetsåtgärder Utredningens bedömning: Behandlingen av personuppgifter vid Myndigheten för utbetalningskontroll medför ett antal integritets- risker. Det bör därför ställas höga krav på myndighetens säkerhets- och skyddsåtgärder vid behandling av personuppgifter. Skälen för utredningens bedömning: Behandlingen av person- uppgifter vid Myndigheten för utbetalningskontroll medför integri- tetsrisker, se avsnitt 10.1.2. Mot bakgrund av integritetsriskerna hängande säkerhetsåtgärder enligt artikel 6.1 endast får utföras under kontroll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Enligt 3 kap. 8 § dataskyddslagen får denna typ av personuppgifter behandlas av myndigheter. 763 kap. 10 § dataskyddslagen. Av bestämmelsen framgår att sådana personuppgifter får behandlas om de registrerade har gett sitt samtycke. Finns det inget samtycke får person- och samord- ningsnummer behandlas endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Bestäm- melsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritets- risker som den innebär ska göras, se prop. 2017/18:105, Ny dataskyddslag, s. 199. En ny lag om personuppgiftsbehandling med behandlingen bör det ställas höga krav på myndighetens säker- hets- och skyddsåtgärder. I dataskyddsförordningen finns flera bestämmelser som tar sikte på skydds- och säkerhetsåtgärder. I följande avsnitt föreslår vi ett antal kompletterande bestämmelser med krav på skyddsåtgärder för att balansera integritetsintrånget som behandlingen medför. Även i avsnitt 10.7.3 finns förslag om skyddsåtgärder vid behandlingen av personuppgifter i uppgiftssamlingen för dataanalyser och urval. 10.5.2Vissa sökbegränsningar ska gälla Utredningens förslag: Det ska vara förbjudet att utföra sök- ningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Detsamma gäller för uppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott. Förbudet omfattar inte sökningar i syfte att få fram ett urval grundat på sådan uppgift om hälsa som avser förmån eller stöd. Skälen för utredningens förslag: Sökningar som tar sikte på käns- liga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende.77 Vi anser därför att Myndigheten för utbetal- ningskontroll inte ska få utföra sådana sökningar. Redan själva uppgiften om att en förmån har beviljats kan dock utgöra en känslig personuppgift om hälsa. Myndigheten för utbetal- ningskontroll måste kunna göra sökningar baserat på vissa förmåner, bl.a. för att kunna ta fram urvalsträffar. Detta är uppgifter som fram- går av beslut. Uppgiften får också anses vara mindre integritetskäns- lig än vad andra uppgifter om hälsa generellt sett är. Uppgiften att någon får sjukpenning, eller annan socialförsäkringsförmån, säger inte något om vilken sjukdom som är grunden för att förmånen betalas ut. Informationen som ges i uppgiften är endast att en viss typ av förmån har beviljats. Vi anser därför att sådana uppgifter om hälsa som avser förmån eller stöd ska undantas från sökbegräns- ningen. 2018/19:33, Behandling av personuppgifter samt registrering och användning av fordon på vägtrafikområdet, s. 132. En ny lag om personuppgiftsbehandling I ett flertal lagstiftningar har sökbegränsningar utformats på ett sätt som utgår ifrån syftet med sökningen.78 Denna utformning av sökbegränsningen innebär att det är förbjudet att ut- föra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. Det är med andra ord inte tillåtet att utföra sök- ningar som innebär en kartläggning av personer på grundval av upp- gifter om etnicitet. Däremot hindrar ett sådant sökförbud inte sök- ningar som görs för andra ändamål, t.ex. i syfte att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård, dvs. då syftet med sökningen inte är att identifiera ett urval av individer.79 Enligt vår mening är en sådan lagteknisk utformning att föredra. Det bör alltså vara förbjudet för Myndigheten för utbetalnings- kontroll att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.80 Utöver känsliga personuppgifter bör även personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott omfattas av förbudet.81 Sådana uppgifter behöver troligen endast i begränsad utsträckning behandlas av myndigheten. Vi anser trots detta att det är motiverat att de ska omfattas av sökbegräns- ningen eftersom även urval baserade på personuppgifter som rör brott är särskilt känsliga ur integritetssynvinkel. Uppgifter om att en person har dömts för t.ex. bidragsbrott skulle kunna vara en effektiv urvalsgrund vid framtagande av urvalsträffar. Vi anser dock inte att detta skulle stå i proportion till det integritetsintrång som behand- lingen skulle medföra. Vårt förslag innebär inte någon begränsning i möjligheten för myndigheten att använda uppgifter om t.ex. beslutade återkrav eller omprövningsbeslut vid framtagande av urvalsträffar. Bestämmelsen om sökbegränsningar bör även gälla för uppgifter om avlidna, se avsnitt 10.2.5. 78Se t.ex. 2 kap. 14 § brottsdatalagen, 3 kap. 3 § andra stycket dataskyddslagen och 17 § utlän- ningsdatalagen (2016:27). 2017/18:105, Ny dataskyddslag, s. 91 och prop. 2017/18:254, Anpassning av utlän- ningsdatalagen till EU:s dataskyddsförordning, s. 38. 80Vi använder oss här av begreppet urval, eftersom det anknyter till hur lagstiftningen ser ut inom andra områden. Ett exempel på urval av personer i myndighetens verksamhet är urvals- träffarna, där utbetalningar som kan antas vara felaktiga sorteras ut. Dessa är i sin tur kopplade till fysiska eller juridiska personer. Sökningar kan göras bl.a. genom att de olika urvalsmodeller som myndigheten tar fram används på uppgifter i uppgiftssamlingen för dataanalyser och urval i syfte att få fram urvalsträffar, dvs. utbetalningar som kan antas vara felaktiga. 81Jfr artikel 10 dataskyddsförordningen. En ny lag om personuppgiftsbehandling 10.5.3Pseudonymisering och kryptering ska användas när det är lämpligt Utredningens bedömning: Pseudonymisering och kryptering är viktiga skydds- och säkerhetsåtgärder för myndighetens verk- samhet. Myndigheten för utbetalningskontroll ska vidta dessa säkerhetsåtgärder när det är lämpligt. Vi föreslår inte någon sär- skild reglering om detta. Skälen för utredningens bedömning: Det finns i dataskydds- förordningen en skyldighet för den som är personuppgiftsansvarig att överväga pseudonymisering och kryptering när det är lämpligt.82 Detta är skyddsåtgärder som kan minska risken t.ex. vid intrång eller om uppgifterna av misstag sprids till personer utanför myndigheten. Användandet av sådana skyddsåtgärder begränsar även i vilken mån anställda kan se vilken person en uppgift avser. Dessa skydds- åtgärder är därför viktiga verktyg i myndighetens arbete. Vi har övervägt att föreslå särskilda krav på pseudonymisering och kryptering, framför allt vid behandlingen av uppgifter i upp- giftssamlingen för dataanalyser och urval. Det är dock svårt att i detta skede närmare reglera sådana skyddsåtgärder, eftersom det inte kan uteslutas att uppgifter som avslöjar vem personen är kan komma att behöva användas i vissa fall även vid ändamålet att göra data- analyser och urval. Lämpligheten av att närmare reglera detta kan även ifrågasättas mot bakgrund av den tekniska utvecklingen på området. Det bör därför ankomma på Myndigheten för utbetalnings- kontroll att avgöra när pseudonymisering och kryptering är lämpliga skyddsåtgärder. Vi föreslår därför inte någon särskild reglering vad gäller pseudonymisering eller kryptering utan de generella krav som följer av dataskyddsförordningen gäller. 82I artikel 32 i dataskyddsförordningen, som innehåller krav på säkerhet vid behandlingen, anges pseudonymisering och kryptering som sådana tekniska och organisatoriska åtgärder som den personuppgiftsansvarige ska vidta när det är lämpligt. I artikel 25, som innehåller krav på inbyggt dataskydd och dataskydd som standard, nämns pseudonymisering som ett exempel på lämpliga tekniska och organisatoriska åtgärder. Med pseudonymisering avses, enligt artikel 4.5 dataskyddsförordningen, att personuppgifterna behandlas på ett sätt som innebär att de kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används. Detta under förutsättning att de kompletterande uppgifterna bevaras separat och är föremål för tek- niska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identi- fierad eller identifierbar person. En ny lag om personuppgiftsbehandling 10.5.4Tillgång till personuppgifter inom myndigheten ska begränsas och kontrolleras Utredningens förslag: Tillgången till personuppgifter vid Myn- digheten för utbetalningskontroll ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Myndig- heten ansvarar för att åtkomsten till personuppgifter kontrolleras på ett ändamålsenligt sätt. I förordning ska regleras att det vid tilldelning av behörighet ska ställas krav på utbildning i behandling av personuppgifter eller på erfarenhet som har gett motsvarande kunskaper. Myndig- heten för utbetalningskontroll ska ha rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörig- heter för tillgång till personuppgifter samt rutiner för dokumen- tation och regelbunden kontroll av åtkomsten till personupp- gifter vid myndigheten. Även detta ska regleras i förordning. Skälen för utredningens förslag Spridningen av personuppgifter ska begränsas av integritetsskäl Spridningen av personuppgifter har stor betydelse för integritets- riskerna med behandlingen. Om uppgifter sprids ökar det risken för att uppgifterna används på ett sätt som inte är avsett. Utan en begränsning av spridningen av personuppgifterna skulle personer också ha tillgång till uppgifter som de inte har en godtagbar anled- ning att ta del av. Begränsningar av möjligheten att ta del av person- uppgifter bör därför införas. Detta bör kombineras med krav på att åtkomsten till personuppgifterna kontrolleras. Skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången och kontrollera åtkomsten till personuppgifter kan anses följa av dataskyddsförordningen. För skyddet av den personliga integriteten är det viktigt att det uttryckligen säkerställs att person- uppgifter i verksamheten endast görs tillgänglig för de medarbetare som behöver uppgifterna i sitt arbete och att tillgången även kon- trolleras i efterhand av myndigheten. En sådan bestämmelse bör därför införas i den nya lagen. Bestämmelsen bör även omfatta till- En ny lag om personuppgiftsbehandling gången till uppgifter om juridiska personer och avlidna som behand- las enligt lagen, se avsnitt 10.2.5. Tillgången till uppgifter ska begränsas utifrån den anställdes arbetsuppgifter och åtkomsten ska kontrolleras på ett ändamålsenligt sätt Tillgången till personuppgifter ska begränsas till vad var och en vid Myndigheten för utbetalningskontroll behöver för att kunna full- göra sina arbetsuppgifter. Den som är anställd vid myndigheten ska alltså inte ges obegränsad tillgång till alla personuppgifter som behandlas vid myndigheten utan tillgången ska vara begränsad till den åtkomst som var och en som är verksam vid myndigheten behöver för att kunna fullgöra sina arbetsuppgifter. Det kan exem- pelvis innebära att de som arbetar med fördjupad granskning inte får tillgång till de uppgifter som de som utför dataanalyser och urval har tillgång till. Så långt som möjligt bör myndigheten använda sig av tekniska begränsningar som förhindrar att en tjänsteman elek- troniskt kommer åt uppgifter som hen inte har behov av i sitt arbete. Åtkomsten till personuppgifter ska kontrolleras på ett ända- målsenligt sätt. Detta för att myndigheten ska kunna upptäcka och åtgärda obehörig åtkomst som inte förhindras av tekniska åtkomst- begränsningar. Kontroller ska genomföras systematiskt och åter- kommande och inte bara när myndigheten av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit. Ofta sker sådan kontroll genom uppföljningen av loggar. Det bör dock vara upp till myndigheten själv att närmare bestämma for- merna. Behandlingen vid dataanalyser och urval omfattar en stor mängd uppgifter och kravet på ändamålsenlighet i bestämmelsen kan därför uppställa begränsningar i möjligheten att använda loggning som underlag för kontroll vid denna behandling. Det ska finnas krav på myndigheten att ha rutiner för och uppföljning av åtkomsten till personuppgifter Vi anser att det i förordning bör regleras att myndigheten ska ha rutiner för tilldelningen av behörigheter för åtkomst till person- uppgifter. Sådana rutiner ska innefatta tilldelning, förändring, bort- tagning och regelbunden uppföljning av behörigheter för tillgång till En ny lag om personuppgiftsbehandling Sådana rutiner kan t.ex. ingå i myndighetens arbets- ordning. Myndigheten ska även ställa krav på utbildning i behandling av personuppgifter eller på erfarenhet som har gett motsvarande kun- skaper vid tilldelning av behörighet. Även detta ska regleras i förord- ning. Myndigheten ska vidare ta fram rutiner för dokumentation, t.ex. loggning, och regelbunden kontroll av åtkomsten, vilket ska regleras i förordning. Rutinerna ska följas upp av myndighetens integritetsskyddsråd Vid myndigheten ska det finnas ett integritetskyddsråd, som bl.a. ska följa upp myndighetens rutiner och åtgärder för tillgång till personuppgifter och att myndigheten kontrollerar åtkomsten på ett ändamålsenligt sätt, se avsnitt 9.2.3. På så sätt säkerställs att myndig- hetens rutiner och åtgärder håller en god kvalitet. 10.6.1Ett register över transaktionskonton Utredningens förslag: Myndigheten för utbetalningskontroll ska för ändamålet att administrera utbetalningar via systemet med transaktionskonto föra ett register, transaktionskontoregistret. Skälen för utredningens förslag: För ändamålet att administrera ut- betalningar via systemet med transaktionskonto behövs ett särskilt register, transaktionskontoregistret. Registret behövs bl.a. för att myndigheten på ett ordnat sätt ska kunna organisera och få en över- blick över de utbetalningar som myndigheten administrerar. Våra förslag om behandling av uppgifter i transaktionskontoregistret ska även tillämpas i förhållande till uppgifter om juridiska personer och avlidna, se avsnitt 10.2.5. Detta innebär att uppgifter om juridiska personer och avlidna ska behandlas på samma sätt i transaktions- kontoregistret som personuppgifter. I transaktionskontoregistret registreras uppgifter om namn, person-, samordnings- eller organisationsnummer, kontaktuppgifter och bankkontouppgifter. Vidare registreras uppgifter rörande respek- En ny lag om personuppgiftsbehandling tive utbetalning, dvs. belopp, datum för utbetalning och vad utbetal- ningen avser. Vi anser inte att innehållet i registret behöver regleras särskilt. Uppgifterna som samlas in till registret samlas även in för att behandlas för ändamålet att göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen. 10.6.2Enskilda och myndigheter ska kunna få direktåtkomst till transaktionskontoregistret Utredningens förslag: Myndigheten för utbetalningskontroll får ge direktåtkomst till uppgifter i transaktionskontoregistret. Direkt- åtkomst får ges till myndighet som är ansluten till systemet med transaktionskonto och den registrerade, dennes vårdnadshavare, förvaltare eller ombud. Myndigheter får ges direktåtkomst till uppgifter som rör myn- dighetens egna utbetalningar. Den registrerade, dennes vårdnadshavare, förvaltare eller om- bud får ges direktåtkomst till uppgifter som rör den registrerades utbetalningar. Skälen för utredningens förslag Vi har i avsnitt 5.3.1 föreslagit att utbetalande myndighet bör få ta del av uppgifter i transaktionskontoregistret som avser myndig- hetens utbetalningar samt uppgifter om mottagarens kontouppgifter och kontaktuppgifter. Vi har även gjort bedömningen att enskilda bör få tillgång till sina egna uppgifter i kontoregistret. Vi anser att det är upp till myndigheten själv att bestämma den tekniska utform- ningen för att ge tillgång till dessa uppgifter. Det är dock uppgifter som kan lämpa sig att ge direktåtkomst till och för direktåtkomst krävs i regel att det finns författningsreglering som stödjer detta, se avsnitt 10.1.3. Vi föreslår därför att myndigheten ska ha möjlighet att ge direktåtkomst till uppgifter i transaktionskontoregistret. En ny lag om personuppgiftsbehandling Direktåtkomsten ska få ges till myndigheter som är anslutna till systemet med transaktionskonto. Det bör i förordning framgå att direktåtkomsten endast får ges till uppgifter som avser myndig- hetens utbetalningar samt uppgifter om mottagarens kontouppgifter och kontaktuppgifter. Detta återspeglar den uppgiftsskyldighet vi föreslår i avsnitt 5.3.1 och utgör en sådan begränsning som avses i 2 kap. 7 § tryckfrihetsförordningen.83 Direktåtkomst för den registrerade Myndigheten ska även kunna ge direktåtkomst till den registrerade. har de myndigheter som enligt våra förslag ska ansluta till transaktionskontot någon form av ”mina sidor”-funktion där enskilda kan ta del av sina uppgifter. Vi bedömer att det nya systemet ska ha motsvarande service. Sådan åtkomst bör kräva att den regist- rerades identitet kontrolleras genom en säker metod för identi- fiering (se avsnitt 5.3.1). Det bör av förordning framgå att direktåtkomsten ska vara begränsad till uppgifter om tillgodohavanden, utbetalningar, konto- uppgifter och kontaktuppgifter som avser den registrerade. Vi anser att myndigheten bör kunna få möjlighet att medge direktåtkomst till ombud för den registrerade. Skatteutbetalningar kan i vissa fall göras till barn. Vi anser att det är rimligt att myndigheten ska kunna ha möjlighet att medge direktåtkomst till ett barns vårdnadshavare. Möjlighet bör även finnas att ge direktåtkomst till förvaltare i de fall den enskilde har en sådan utsedd. En utsedd förvaltare har inom ramen för förvaltaruppdraget ensam rådighet över den enskildes egendom och företräder den enskilde i alla angelägenheter som omfattas av uppdraget.84 Vi menar därför att Myndigheten för ut- betalningskontroll bör ha samma möjligheter att medge direkt- 83Begränsningsregeln i 2 kap. 7 § tryckfrihetsförordningen innebär att en sammanställning som innehåller personuppgifter inte anses förvarad hos en myndighet om myndigheten saknar rättslig befogenhet att göra sammanställningen. Den utgör då följaktligen inte heller en allmän handling. Syftet med begränsningsregeln är att hindra allmänheten från att göra anspråk på att få del av sammanställningar av uppgifter ur upptagningar hos myndigheten som myndigheten själv är rättsligen förhindrad att ta fram (t.ex. SOU 2010:4, Allmänna handlingar i elektronisk form – offentlighet och integritet, s. 143 och SOU 2012:90, Överskottsinformation vid direkt- åtkomst, s. 115). 84Se 11 kap. 9 § . En ny lag om personuppgiftsbehandling åtkomst till förvaltare som till vårdnadshavare. De närmare förut- sättningarna för detta bör ankomma på myndigheten att bestämma. 10.7Uppgiftssamlingen för dataanalyser och urval 10.7.1En uppgiftssamling för dataanalyser och urval Utredningens förslag: För ändamålet att göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen får endast sådana personuppgifter behandlas som finns i en samling av uppgifter som med hjälp av automatise- rad behandling används gemensamt i verksamheten, uppgifts- samlingen för dataanalyser och urval. Skälen för utredningens förslag: I verksamheten med dataanalyser och urval finns behov av en strukturerad samling av uppgifter som sätter gränser för vilka uppgifter som får användas.85 I samlingen ska de uppgifter som hämtas in för det primära ändamålet att göra data- analyser och urval behandlas.