sou · H8B335 · 2020-06-08 00:00:00 — Detta innebär att endast de person- uppgifter som är nödvändiga för ändamålet att göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen ska behandlas i uppgiftssamlingen. För den strukturerade samlingen av personuppgifter som behövs i verksamheten med dataanalyser och urval har vi valt den teknik- neutrala benämningen uppgiftssamlingen för dataanalyser och urval.86 85Regeringen har uttalat att man för vissa verksamheter har valt att i registerförfattning knyta särskilda regler till viss behandling av personuppgifter som anses särskilt integritetskänslig. Exempelvis bedöms sådan behandling av personuppgifter, som innebär att fler än ett fåtal personer har såväl tillgång till som möjlighet att bearbeta eller förfoga över uppgifterna på annat sätt, typiskt sett mer integritetskänslig än vad som är fallet när endast någon enstaka person förfogar över uppgifterna. För att avgränsa vilka personuppgifter som berörs används ofta begreppet databas. Begreppet används i juridisk mening och ansluter inte nödvändigtvis till tekniska avgränsningar eller behörighetstilldelningar, se prop. 2017/18:171, Dataskydd inom verksamhetsområde – en anpassning till EU:s dataskyddsförordning, s. 138. 86Jfr lagen (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvars- underrättelse- och utvecklingsverksamhet och prop. 2006/07:46, Personuppgiftsbehandling hos Försvarsmakten och , s. 58–59. En ny lag om personuppgiftsbehandling 10.7.2Begränsning av vilka uppgifter som får behandlas i uppgiftssamlingen Utredningens förslag: I förordning ska anges vilka uppgifter som får behandlas i uppgiftssamlingen. I uppgiftssamlingen för dataanalyser och urval får behandlas uppgifter om 1.en fysisk persons identitet, medborgarskap, uppehållsrätt, bosättning och familjeförhållanden, adress och andra kontakt- uppgifter samt uppgifter om ombud, 2.en juridisk persons identitet, säte, ägarförhållanden, firma- tecknare och andra företrädare, kontaktpersoner samt kontakt- uppgifter, 3.utbetalningar av förmåner, stöd, skatter och avgifter samt uppgifter om enskildas kontouppgifter, 4.beslut som rör ekonomiska förmåner och ekonomiska stöd som har meddelats av Arbetsförmedlingen, Centrala studie- stödsnämnden, , och arbetslöshetskassor, 5.beslut om uppehållstillstånd, arbetstillstånd och uppehålls- kort, samt uppgifter om ansökan om förlängning av uppehålls- tillstånd och arbetstillstånd, 6.arbete, arbetsgivare och arbetsrelaterade intyg, 7.registrering till arbetsgivaravgifter och mervärdesskatt, god- kännande för F-skatt, redovisad omsättning, redovisning av skatter och avgifter, betalning av skatter och avgifter och beslut om debiterad preliminär skatt avseende företag och andra juridiska personer samt uppgifter om omprövnings- beslut rörande skatter och avgifter till nackdel för företag och andra juridiska personer och beslut om återkallelse av god- kännande för F-skatt, 8.beslut om företrädaransvar och ansvar för delägare i svenskt handelsbolag, 9.företag och andra juridiska personer, företrädare och huvud- män som finns i register samt uppgifter om En ny lag om personuppgiftsbehandling intygsgivare, vem som har gjort inbetalning till och beslut om förseningsavgifter hos , 10.skulder hos för företag och andra juridiska personer samt deras företrädare, 11.kompletterande aktörer som upphandlas av Arbetsförmed- lingen, 12.ägande, ledningsuppdrag och annat engagemang i närings- verksamhet som lämnats till arbetslöshetskassor, 13.tillstånd och anmälan att yrkesmässigt bedriva verksamhet med personlig assistans och uppgifter om anmälan, av den som har beviljats ekonomiskt stöd för personlig assistans eller assistansersättning, 14.fastigheter, byggnader och lagfarter från fastighetsregistret, och 15.att urvalsträffar lämnats vidare till inledande granskning, resul- tatet av denna granskning och resultatet av fördjupad gransk- ning. I uppgiftssamlingen får även behandlas uppgifter av liknande slag som är direkt nödvändiga för myndighetens dataanalyser och urval. Skälen för utredningens förslag Vilka uppgifter myndigheten får behandla i uppgiftssamlingen för dataanalyser och urval ska begränsas För att upprätthålla principen om uppgiftsminimering87 och för att stärka skyddet för den personliga integriteten bör det regleras vilka uppgifter som får behandlas i uppgiftssamlingen. Utan begränsning av vilka uppgifter som får behandlas skulle det finnas en risk för ett omotiverat intrång i den personliga integriteten. Att helt undvika reglering av vilka uppgifter som får behandlas skulle skapa en osäkerhet såväl för myndigheten som för enskilda om vilka uppgifter som kan bli föremål för behandling. 87Artikel 5.1 c dataskyddsförordningen. En ny lag om personuppgiftsbehandling Generella begränsningar ska anges i lag De yttre ramarna för vilka personuppgifter som uppgiftssamlingen får innehålla föreslår vi ska uppställas i lag för att skapa stabilitet och förut- sebarhet. De yttre ramarna ska utgöras av ett tydligt angivet ändamål för behandlingen (avsnitt 10.3.2). Att uppgiftssamlingen endast får innehålla sådana personuppgifter som är nödvändiga för detta ändamål (avsnitt 10.7.1) innebär också en begränsning. Även de uppgifts- skyldigheter som vi föreslår ska regleras i lag (avsnitt 11.3.2–11.3.8) får betydelse för personuppgiftsbehandlingens omfattning. Detta efter- som bestämmelserna begränsar vilka uppgifter myndigheten kan få tillgång till. Att i lag närmare reglera vilka typer av personuppgifter som får behandlas är enligt vår bedömning mindre lämpligt.88 Vi har i avsnitt 6.2 redogjort för de uppgifter vi bedömer kan bli av relevans i myndighetens analys- och urvalsarbete. Om dessa uppgifter regle- ras i lag skulle det riskera att leda till att myndighetens arbete för- svåras. Även om vi har lagt ned ett omfattande arbete på att identi- fiera de uppgifter som är nödvändiga för myndighetens dataanalyser och urval finns en risk för att någon uppgift som är nödvändig för att myndigheten ska kunna utföra sin verksamhet saknas. Att genomföra lagändringar är omständligt och tar . Detta talar starkt emot en reglering i lag. Det är omöjligt att i detta skedde i detalj avgränsa vilka uppgifter som kan komma att bli av betydelse. Vi har dock identifierat de kate- gorier av uppgifter som bör kunna ligga till grund för myndighetens dataanalyser och urval. Även regleringen av dessa kategorier av upp- gifter tenderar att bli relativt detaljerad, vilket inte lämpar sig för lagform. Det är även vanligt att regleringen av vilka uppgifter som får ingå i databaser och register eller behandlas för vissa ändamål regleras i förordning.89 88Det förhållandet att det allmänna registrerar personuppgifter om enskilda innebär som utgångspunkt inte några skyldigheter för den enskilde och avser inte heller i övrigt ingrepp i enskildas personliga förhållanden i den mening som avses i 8 kap. 2 § första stycket 2 reger- ingsformen. Bestämmelser om behandling av personuppgifter är i stället i princip att anse som bestämmelser som införs för att skydda den enskilde (jfr SOU 2015:39 Myndighetsdatalag, s. Det finns alltså inget hinder ur normgivningshänseende att inte i lag reglera vilka upp- gifter som får behandlas. Av 2 kap. 6 och 20 §§ regeringsformen följer dock att bestämmelser som medför betydande integritetsintrång måste meddelas genom lag. 89Jfr 2 § förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration och 3–5 §§ förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. En ny lag om personuppgiftsbehandling Vi anser således att de yttre ramarna för vilka personuppgifter som får behandlas ska uppställas i lag. Hur behandlingen av person- uppgifter ska begränsas inom dessa ramar bör regleras i förordning. Vilka kategorier av personuppgifter som får behandlas ska fastställas i förordning Myndigheten för utbetalningskontroll är den aktör som har bäst kun- skap för att kunna avgöra vilka uppgifter som är av relevans för analyser och urvalsarbetet. I takt med att myndighetens verksamhet utvecklas och förfinas kommer myndighetens förmåga att identifiera relevanta uppgifter och myndighetens behov av uppgifter förändras. Att i för- ordning uppställa vilka kategorier av uppgifter som får behandlas begränsar vilka uppgifter som får behandlas men ger myn- digheten viss flexibilitet att anpassa vilka uppgifter som används i takt med att myndighetens kompetens utvecklas. Att lägga regler- ingen i förordning innebär också att regeringen vid behov kan ändra regleringen. De kategorier av uppgifter som ska få behandlas I avsnitt 6.2 finns våra bedömningar av vilka uppgifter som är nöd- vändiga för att myndigheten ska kunna utföra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar. Bedöm- ningen av vilka uppgifter som ska ligga till grund för dataanalyser och urval bygger på en avvägning mellan uppgifternas relevans i verksamheten och påverkan på den personliga integriteten. Dessa överväganden ligger till grund för våra förslag om vilka uppgifter som får behandlas i uppgiftssamlingen för dataanalyser och urval. Det är bl.a. uppgifter om utbetalningar av stöd, förmåner samt skatter och avgifter som myndigheten har tillgång till inom ramen för verksamheten med att administrera systemet med transaktions- konto. Vi anser även att bl.a. uppgifter om beslut som rör ekono- miska förmåner och stöd från välfärdsmyndigheterna och arbetslös- hetskassorna, uppgifter ur folkbokföringsdatabasen, uppgifter om intygsgivare av arbetsrelaterade intyg och uppgifter från arbetsgivar- deklarationer på individnivå ska ingå i uppgiftssamlingen. För före- tag och andra juridiska personer anser vi även att bl.a. uppgifter ur En ny lag om personuppgiftsbehandling register, uppgifter om skulder hos Kronofogde- myndigheten och uppgifter från om bl.a. redovisning av mervärdesskatt, registrering för arbetsgivaravgifter och omsätt- ning redovisad i inkomstdeklaration ska ingå i uppgiftssamlingen. Majoriteten av uppgifterna överförs från andra myndigheter. I avsnitt 11.3 finns våra förslag om en ny lag om uppgiftsskyldighet för att möjliggöra detta. Det är enligt vår mening lämpligt att ut- forma den föreslagna förordningsregleringen i nära överensstäm- melse med föreslagna uppgiftsskyldigheter. Resultaten av myndighetens inledande och fördjupade gransk- ningar är av betydelse för verksamheten med dataanalyser och urval. Uppgifter om vilka urvalsträffar som har lämnats vidare till in- ledande granskning, resultatet av denna granskning samt resultatet av fördjupad granskning bör därför kunna behandlas i uppgiftssam- lingen. En ventil som möjliggör behandling av direkt nödvändiga uppgifter Det bör införas en ventil som, när det är befogat, gör det möjligt för myndigheten att behandla uppgifter som inte omfattas av angivna kategorier. Ventilen ska vara en möjlighet för myndigheten att använda uppgifter som myndigheten i verksamheten identifierat är direkt nödvändiga för att genomföra väl fungerande dataanalyser och urval. En sådan ventil är främst tänkt att tillämpas då det i de angivna kategorierna av uppgifter saknas en uppgift som är av- görande för att myndigheten ska kunna utföra vissa analyser eller kunna göra vissa urval. Detta för att myndighetens verksamhet inte allvarligt ska försvåras på grund av att vi i våra bedömningar av vilka uppgifter som är nödvändiga för dataanalyser och urval inte lyckats identifiera en uppgift av central betydelse. Vid utformningen av ventilen måste det säkerställas att tillämpningsområdet inte blir för brett. Avsikten är inte att bestämmelsen ska ge möjlighet för myndigheten att behandla uppgifter av ett helt annat slag än de som i övrigt ansetts rimliga att myndigheten behandlar. Ventilen bör därför utformas så att uppgifter som är direkt nödvändiga för myndighetens dataanalyser och urval och som är av liknande slag som de kategorier av uppgifter som tillåts i uppgiftssamlingen får behandlas. En ny lag om personuppgiftsbehandling Den föreslagna konstruktionen tillgodoser behovet av en effektiv analysverksamhet och respekten för den personliga integriteten Den konstruktion vi föreslår tillgodoser både behovet av att begränsa och kontrollera myndighetens personuppgiftsbehandling och behovet av att skapa en analysverksamhet som kan uppnå sitt syfte. Regleringen innebär att en uppgift som i och för sig bedöms nödvändig för ända- målet inte kan behandlas i uppgiftssamlingen om uppgiften inte ryms inom någon av de kategorier som finns upptagna i förord- ningen. En uppgift som i och för sig ryms inom en tillåten uppgifts- kategori men som inte är nödvändig för ändamålet kan inte heller behandlas i uppgiftssamlingen. Den föreslagna regleringen innebär att myndigheten noggrant måste överväga vilka uppgifter som myn- digheten behöver i sina analyser. Myndigheten måste också överväga om det finns andra rimliga alternativ. Risken att myndigheten behand- lar fler uppgifter än vad som behövs minimeras därmed. Vi menar att det genom regleringen skapas ett system där frågorna om nödvändig- het för ändamålet med behandlingen och integritetsskydd får en central och naturlig plats i verksamheten. Sammantaget menar vi att denna konstruktion möjliggör en personuppgiftsbehandling som såväl tillgodoser högt ställda krav på respekt för den personliga integriteten som en effektiv verksamhet för att upptäcka och förhindra felaktiga utbetalningar. Utredningens förslag: Sökning och annan behandling i uppgifts- samlingen för dataanalyser och urval ska genomföras med respekt för enskildas personliga integritet. I förordning ska det anges att myndigheten ska ha rutiner för utformningen av urvalsmodeller och användandet av sökbegrepp i uppgiftssamlingen för data- analyser och urval. Metoder för att ta fram urval samt de sökbegrepp som används vid sökningar i uppgiftssamlingen för dataanalyser och urval ska dokumenteras på sådant sätt att de kan kontrolleras i efterhand. Myndigheten ska utföra regelbunden uppföljning av de sökningar som har gjorts i uppgiftssamlingen. En ny lag om personuppgiftsbehandling Skälen för utredningens förslag Vi anser att det bör införas särskilda skyddsåtgärder som tar sikte på behandlingen av personuppgifter i uppgiftssamlingen. Behandlingen av personuppgifter vid dataanalyser och urval innebär särskilda risker ur integritetsynpunkt. Sök- och sammanställningsmöjligheter medför att personuppgifter som i sig kan uppfattas som relativt harmlösa får en mer integritetskänslig karaktär genom sambearbet- ning med andra uppgifter. I uppgiftssamlingen ska personuppgifter för stora delar av befolkningen behandlas. Det medför att det för myndighetens personal går att ta fram uppgifter om t.ex. en känd person eller en granne har beviljats sjukpenning. Detta är inte något som är unikt för den nya myndigheten men genom samlingen av information från olika källor finns särskilda risker, varför särskilda skyddsåtgärder föreslås. Behandling i uppgiftssamlingen ska ske med respekt för den personliga integriteten Det är angeläget att behandlingen av de personuppgifter som finns i uppgiftssamlingen inte inkräktar på den personliga integriteten i större utsträckning än vad som är nödvändigt för att uppnå syftet med verksamheten, dvs. att upptäcka och förhindra felaktiga utbetal- ningar och därigenom motverka brottsligt utnyttjande av välfärden. Det bör därför föreskrivas att sökning och annan behandling i upp- giftssamlingen ska genomföras med respekt för enskildas personliga integritet. Att behandlingen ska genomföras med respekt för enskildas personliga integritet gäller såväl vid framtagande av sökkriterier och urvalsmodeller som vid utformningen och genomförandet av data- analyser. Att behandlingen ska utföras med respekt för enskildas personliga integritet innebär inte att myndigheten är förhindrad att göra behandlingar som innebär någon form av integritetsintrång. Syftet är att myndigheten noga ska överväga vilken integritets- påverkan en behandling kan ha och att eventuella integritetsintrång tydligt kan motiveras. Detta har särskilt betydelse vid framtagandet av rutiner för verksamheten. En ny lag om personuppgiftsbehandling Rutiner för utformning av urvalsmodeller och användandet av sökbegrepp Att närmare reglera vilka sökningar som får göras i uppgiftssam- lingen låter sig inte göras. anser vi att det av integritetsskäl inte är lämpligt att helt lämna till de enskilda tjänstemännen att själva avgöra vilka behandlingar som utförs i uppgiftssamlingen. Vi anser att det är av vikt att det finns tydliga rutiner för hur urvalsmodeller får utformas och användningen av sökbegrepp i uppgiftssamlingen. Hur myndigheten kommer att arbeta med urvalsmodeller beskrivs i avsnitt 6.1.1. Sökbegrepp används för att söka igenom en infor- mationsmängd och hitta de poster eller uppgiftskonstellationer där begreppet förekommer. Sökbegrepp kan också användas för att välja bort information.90 Rutiner minskar intrånget i den personliga integriteten genom att det sätts upp gränser för den behandling som utförs. I rutinerna bör det framgå t.ex. vilka sökbegrepp som regelmässigt får användas och under vilka förutsättningar vissa, generellt sett, känsligare sök- begrepp får användas. Sådana rutiner ska även integritetsskyddsrådet fortlöpande ha insyn i, se avsnitt 9.2.3. Regleringen av skyldigheten att ta fram rutiner bör lämpligen ske i förordning. Dokumentation av behandlingen i uppgiftssamlingen För att de föreslagna skyddsåtgärderna ovan ska få genomslag är det viktigt att det finns en möjlighet att i efterhand följa upp och kon- trollera vilka urvalsmodeller och sökningar som har använts. Vi anser därför att det i lagen ska ställas krav på att myndigheten ska doku- mentera metoder för att ta fram urval och de sökbegrepp som används vid sökningar i uppgiftssamlingen på ett sätt som möjliggör kontroll i efterhand. Vi föreslår inte några formkrav för dokumen- tationen. Denna kan se olika ut och variera med den tekniska utveck- lingen. Det avgörande ska vara att det i efterhand ska vara möjligt att utläsa vilka metoder och sökbegrepp som använts. Det bör även föreskrivas att myndigheten ska utföra regelbunden uppföljning av de sökningar som görs. Genom regelbundna kontroller blir det möjligt för myndigheten att utvärdera sitt arbete och upptäcka even- tuell olämplig behandling. Skyldigheten för myndigheten att doku- 2006/07:63, En anpassad försvarsunderrättelseverksamhet, s. 138. En ny lag om personuppgiftsbehandling mentera sökningar möjliggör för det föreslagna integritetsskydds- rådet (avsnitt 9.2.3) att kunna följa upp och ha insyn i myndighetens arbete och underlättar även för tillsynsmyndigheternas kontroll. 10.8.1En generell ändamålsrelaterad gallringsbestämmelse införs Utredningens förslag: Uppgifter ska gallras så snart de inte längre behövs för de ändamål som de behandlas för. Detta ska dock inte gälla om regeringen eller den myndighet som reger- ingen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast eller att uppgifter får bevaras för arkivändamål av allmänt intresse, veten- skapliga eller historiska forskningsändamål eller statistiska ändamål. Skälen för utredningens förslag Bestämmelser om gallring tillgodoser principen om lagringsminimering Vi anser att en ändamålsrelaterad bestämmelse om gallring bör införas för personuppgifter som behandlas i myndighetens verksam- het. Ett sätt att minska integritetskänsligheten är att se till att upp- gifter som inte längre behövs i verksamheten avlägsnas från myndig- hetens uppgiftssamlingar. Detta kan uppnås genom bestämmelser om gallring91 eller bestämmelser som inskränker hur länge person- uppgifter får behandlas i verksamheten. Endast sekretessbestämmel- ser och bestämmelser om begränsningar i behandlingen av uppgif- terna kan enligt vår bedömning inte fullt ut tillgodose integritets- skyddet. Av dataskyddsförordningen följer att uppgifter inte ska lagras längre än vad som är nödvändigt för ändamålet med behand- 91Med gallring avses förstöring av allmänna handlingar eller uppgifter i allmänna handlingar, jfr t.ex. 2 kap. 1 § RA-FS 2009:1 föreskrifter och allmänna råd om elektroniska handlingar (upptagningar för automatiserad behandling). En ny lag om personuppgiftsbehandling lingen.92 För det fall särskilda bestämmelser om gallring inte införs är utgångspunkten att personuppgifter som behandlas i myndig- hetens verksamhet ska bevaras.93 Skyddet för integriteteten väger tyngre än intresset av att bevara uppgifter från myndighetens verksamhet De uppgifter som Myndigheten för utbetalningskontroll ska behandla är nästan uteslutande inhämtade från andra myndigheter eller arbets- löshetskassor. Myndigheten ska således till stor del behandla person- uppgifter som redan hanteras hos andra myndigheter. Intresset av att uppgifterna bevaras får därmed anses tillgodosett genom att uppgif- terna hos de överlämnande myndigheterna hanteras utifrån gällande regler om bevarande och gallring. Myndigheten för utbetalnings- kontroll ska inte ägna sig åt beslutsfattande i enskilda ärenden. Behovet av bevarande för att möjliggöra insyn i verksamheten är därför inte lika starkt som hos en myndighet där verksamheten huvudsakligen består av myndighetsutövning gentemot enskilda. Vi anser därför sammantaget att integritetsskyddsaspekten i detta fall väger över intresset av att bevara allmänna handlingar eller uppgifter. Vi bedömer således att det bör finnas regler om bevarande och gallring i den nya lagen. Huvudregeln ska vara att uppgifter ska gallras när de är nödvändiga för sitt ändamål Myndigheten ska behandla flera olika kategorier av personuppgifter i syfte att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen. Det är svårt att på förhand avgöra hur länge det kan vara relevant att spara uppgifterna. Det är därmed svårt att föreslå mer generella regler än sådana som bygger på principen om lagringsminimering och som innebär en skyldighet för myndigheten att gallra personuppgifter som inte längre behövs för sitt ändamål. Personuppgifter ska således gallras när de är nödvändiga för angivna ändamål. Bestämmelsen bör även vara tillämplig på upp- 92Artikel 5.1 e dataskyddsförordningen. 93Av 14 § arkivförordningen (1991:446) framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller förordning. En ny lag om personuppgiftsbehandling gifter om juridiska personer och avlidna som behandlas enligt lagen. Bestämmelsen innebär att det är möjligt att bevara uppgifter i den utsträckning de behövs för att t.ex. i analysverksamheten följa en historisk utveckling av felaktiga utbetalningar eftersom en sådan behandling omfattas av ändamålet. Det ska finnas en möjlighet att besluta om undantag för särskilda kategorier av personuppgifter Särskilt beträffande känsliga personuppgifter, eller för särskilda kategorier av uppgifter som efterhand kan identifieras i myndig- hetens verksamhet, kan det finnas ett behov att fastställa preciserade gallringsfrister. Det bör därför finnas en möjlighet för regeringen eller den myndighet som regeringen bestämmer att besluta, antingen genom föreskrifter eller genom särskilda beslut, att uppgifter ska gallras vid en viss bestämd tidpunkt. Regeringen eller den myndighet som regeringen bestämmer bör vidare ha möjlighet att besluta att uppgifter som myndigheten annars skulle ha skyldighet att gallra, ska kunna bevaras för arkivändamål av allmänt intresse, vetenskap- liga eller historiska forskningsändamål eller statistiska ändamål. Vi har därutöver identifierat fyra olika delar i myndighetens verk- samhet – transaktionskontoregistret, uppgiftssamlingen för data- analyser och urval, inledande granskningar samt fördjupade gransk- ningar – där det finns skäl att överväga om särskilda gallringsfrister ska införas.