sou · H8B335 · 2020-06-08 00:00:00 — Välfärdsverksamheternas behov av kontroll har ökat av ett antal olika skäl som vi anför i betänkandet (se bl.a. kapitel 3). Att tillföra medel för finansiering av förvaltningskost- naderna för Myndigheten för utbetalningskontroll är ett sätt att möta detta ökade behov av kontroll. menar vi att våra för- slag leder till att välfärdssystemens totalt utgifter blir lägre genom att felaktiga utbetalningar från sakanslagen minskar. Av det skälet redovisar vi två alternativa förslag till finansiering. Vårt huvudförslag är att det tillförs medel så att finansieringen inte tas från befintliga verksamheter på välfärdsområdet. Ett alter- nativt förslag är att finansieringen sker genom att minska förvalt- ningsanslagen för de berörda myndigheterna. Det bör då göras genom en generell sänkning av anslaget för de myndigheter som ska 37SOU 2019:59, Samlade åtgärder för korrekta utbetalningar från välfärdssystemen, s. 102. En ny myndighet för utbetalningskontroll omfattas av systemet med transaktionskonto. Neddragningen bör vara proportionerlig mot myndigheternas driftkostnader.38 De totala kostnaderna för en fullt utbyggd verksamhet beräknar En del av kostnaderna för bankavgifter och returer (25 respektive 2 miljoner) bedömer vi kan flyttas över från anslagen för de berörda myndigheterna som bär dessa kostnader. Därutöver bedömer vi att de totala statliga utgifterna för bankavgifter kommer att minska med 6,4 miljo- ner kronor. Det innebär att av finansierings- behovet för Myndigheten för utbetalningskontroll kan fyllas genom att flytta medel från de berörda myndigheternas anslag. Det kvar- stående finansieringsbehovet blir därmed för en fullt utbyggd verksamhet. Utgifter för uppbyggnad av myndigheten beräknas till 290 miljo- ner kronor totalt, varav hälften avser teknisk infrastruktur och hälften andra utgifter för uppbyggnaden, fördelat . Kostnaderna för investeringarna ingår i det uppskattade finansieringsbehovet. Tabell 9.2 visar hur de fem myndigheterna påverkas av att finan- sieringsbehovet täcks med en generell neddragning baserad på myndig- heternas driftkostnader. Den fördelningsnyckel vi använder utgörs av respektive myndighets andel av de totala driftkostnaderna. Ned- dragningen med ett proportionellt och generellt avdrag motsvarar av de totala driftkostnaderna per myndighet. Kolumnen längst till höger visar utfallet av beräkningen för respektive myndighet.39 Tabell 9.2 Proportionell finansiering, driftkostnader 2019 Källa: ESV, och egen bearbetning. Not: För används verksamhetskostnader från resultaträkningen. 38Pensionsmyndighetens verksamhet finansieras bara till en liten del av traditionellt förvalt- ningsanslag. Det gör att förvaltningsanslagets storlek blir missvisande att använda som fördel- ningsnyckel. 39Förutom för blir neddragningen av anslaget andelsmässigt liknande den procentuella neddragningen av driftkostnaderna. En ny myndighet för utbetalningskontroll I avsnitt 14.2 finns en närmare redovisning av de beräknade kost- naderna för myndigheten och behovet av finansiering. 9.10Myndigheten bör vara fullt uppbyggd Utredningens förslag: En organisationskommitté tillsätts och arbetar , då myndigheten formellt inleder sin verksamhet. Uppbyggnadsfasen sätts till . Skälen för utredningens förslag: Det är angeläget att Myndigheten för utbetalningskontroll kan påbörja sin verksamhet . Arbetet med att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärdssystemen är en fråga som måste priori- teras. Det är av stor vikt att brottslighet som drabbar välfärden motverkas. Att utbetalningar från välfärdssystem går till det som det är avsedda att göra är en viktig förutsättning för allmänhetens för- troende och tillit till systemen. Genomförandet av förslagen bör därför ske skyndsamt. Vi föreslår en tidsplan som innebär att den lagstiftning som vi lämnar förslag om träder i kraft . Beslut om lagstiftning behöver då fattas av . med detta bör det tillsättas en organisationskommitté som arbetar . Det är för en organisationskommitté. Vi menar dock att det är bättre att myndigheten inleder sin verk- samhet i stället för att organisationskommittén arbetar . Med för en organisations- kommitté finns det en risk att en del av de vägval som har gjorts får göras om när myndigheten väl kommer på plats. Det riskerar att fördröja uppbyggnadsarbetet. avslutar organisationskommittén sitt arbete och Myndigheten för utbetalningskontroll startar upp for- mellt om än inte i full skala. Analysverksamheten och gransknings- verksamheten bör kunna inleda sitt arbete på , även om myndigheten inledningsvis inte kommer att ha tillgång till all data som den senare kommer att kunna använda i analysarbetet. Myndigheten behöver utarbeta metoder och arbetssätt. En ny myndighet för utbetalningskontroll För transaktionskontosystemet behöver myndigheten tid för att förbereda och genomföra upphandling samt tid för att implementera och testa nödvändiga it-system. Det är mycket angeläget att över- gången till systemet med transaktionskonto sker utan störningar i statens utbetalningar till enskilda. Vi ser framför oss att förmåner ansluts successivt till systemet med transaktionskonto. Här kan det finnas värdefulla erfarenheter att hämta från genomförandet av andra reformer. Ett exempel är systemet med månadsvisa uppgifter på individnivå i arbetsgivardeklarationen där man också har arbetat med ett stegvist införande.40 Upphandlingar kan erfarenhetsmässigt ta tid och det finns även en risk för att upphandlingar överklagas, vilket kan innebära för genomförandet. Vi bedömer att det tar från det att myndigheten startas innan verksamheten är fullt utbyggd. Det innebär att myndigheten kommer att vara i full drift från och med . 2016/17:58, Uppgifter på individnivå i arbetsgivardeklarationen, s. 152–156. 10En ny lag om personuppgiftsbehandling I detta kapitel gör vi bedömningen att Myndigheten för utbetalnings- kontroll behöver utföra personuppgiftsbehandling som bl.a. omfattar känsliga personuppgifter. Personuppgiftsbehandlingen innebär också särskilda risker ur ett integritetsperspektiv eftersom myndigheten samlar in och sambearbetar stora mängder information. Vi föreslår därför i detta kapitel en lag som reglerar och möjliggör den person- uppgiftsbehandling som är nödvändig för att myndigheten ska kunna utföra föreslagna uppdrag. I vår underlagspromemoria Rättslig reglering rörande informations- utbyten – offentlighet, sekretess och behandling av personuppgifter finns en mer omfattande genomgång av relevant reglering. 10.1Personuppgiftsbehandling vid Myndigheten för utbetalningskontroll 10.1.1Myndighetens behov av att behandla personuppgifter Utredningens bedömning: Myndigheten för utbetalningskon- troll behöver utföra personuppgiftsbehandling i sina uppdrag att administrera systemet med transaktionskonto och att förebygga, förhindra och upptäcka felaktiga utbetalningar från välfärds- systemen. En ny lag om personuppgiftsbehandling Skälen för utredningens bedömning Vi har i tidigare kapitel beskrivit problemen med felaktiga utbetal- ningar som riskerar att undergräva förtroendet för välfärds- systemen. Vi har även presenterat våra förslag, som består i att Myndigheten för utbetalningskontroll ges fyra olika uppdrag, för att på ett effektivt sätt förebygga, förhindra och upptäcka felaktiga ut- betalningar och därmed minska det brottsliga utnyttjandet av väl- färden (se kapitel 5, 6, 7 och 8 samt avsnitt 9.1). För att Myndig- heten för utbetalningskontroll ska kunna genomföra dessa uppdrag behöver den utföra omfattande personuppgiftsbehandling. Nedan följer några exempel på behovet av personuppgiftsbehandling. Administrera systemet med transaktionskonto För att administrera utbetalningar via det föreslagna systemet med transaktionskonto, se kapitel 5, behöver myndigheten ta emot upp- gifter om utbetalningar från olika myndigheter, registrera utbetal- ningarna och vidarebefordra uppgifter för att utbetalningarna ska kunna verkställas. Uppgifter i transaktionskontoregistret ska sedan kunna ligga till grund för dataanalyser och urval som myndigheten genomför i syfte att upptäcka och förhindra felaktiga utbetalningar. Samtliga dessa led innefattar att myndigheten hanterar person- uppgifter. Myndigheten för utbetalningskontroll ska utföra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen, se kapitel 6. Myndigheten behöver som underlag hämta in personuppgifter och annan data från olika aktörer. Myndig- heten sambearbetar därigenom uppgifter från olika myndigheter. Denna del av myndighetens verksamhet ställer enligt vår bedömning särskilda krav ur integritetssynpunkt. En ny lag om personuppgiftsbehandling Vid såväl inledande som fördjupade granskningar, se kapitel 7, behandlas personuppgifter bl.a. genom sökningar i de uppgifter som myndigheten redan har tillgång till. Vid fördjupad granskning kan också kompletterande uppgifter hämtas in och sammanställas samt på annat sätt behandlas. Myndigheten ska även underrätta berörda myndigheter och arbetslöshetskassor om resultatet av granskningarna. Dessa underrättelser kommer att innehålla personuppgifter. En del i uppdraget att stödja och följa statliga myndigheters och arbetslöshetskassors arbete med att motverka felaktiga utbetalningar från välfärdssystemen, se kapitel 8, är att utföra makroanalyser såsom omfattningsstudier. Underlagen till dessa studier kan inne- hålla personuppgifter. Inom ramen för uppdraget att stödja och följa kan Myndigheten för utbetalningskontroll också behöva göra sök- ningar bland personuppgifter i den uppgiftssamling som används för dataanalyser och urval. Myndigheten kan t.ex. behöva göra sök- ningar i uppgiftssamlingen för att få fram ett urval av utbetalningar som ska bli föremål för samordnade kontrollinsatser. Myndigheten har ett omfattande behov av att behandla personuppgifter Myndigheten för utbetalningskontroll har i samtliga delar av sin verksamhet alltså ett omfattande behov av att behandla personupp- gifter. Denna behandling av personuppgifter är nödvändig för att myndigheten ska kunna utföra verksamheten. Det är därför av stor vikt att myndigheten ges goda förutsättningar för att kunna utföra personuppgiftsbehandlingen. En ny lag om personuppgiftsbehandling Myndighetens personuppgiftsbehandling måste harmonisera med dataskyddsförordningen Behandlingen av personuppgifter är nödvändig för att myndigheten ska kunna utföra sin verksamhet. Hur myndigheter får behandla personuppgifter styrs i första hand utifrån dataskyddsförordningen1 som innehåller den generella regleringen för personuppgiftsbehand- ling inom EU. I svensk rätt kompletteras dataskyddsförordningen av dataskyddslagen.2 Det finns utöver det i regeringsformen ett för- bud mot behandling som medför betydande integritetsintrång.3 Av detta följer olika begränsningar av möjligheten för Myndigheten för utbetalningskontroll att behandla personuppgifter. 10.1.2Myndighetens personuppgiftsbehandling medför integritetsintrång Utredningens bedömning: Personuppgiftsbehandlingen vid Myndigheten för utbetalningskontroll utgör en sambearbetning av personuppgifter av sådan art att den innebär en begränsning av skyddet för den personliga integriteten. Personuppgiftsbehandlingen utgör en proportionerlig in- skränkning av det skydd för den personliga integriteten som finns i regeringsformen, och Europeiska unionens rättighetsstadga. Dataskyddsförordningens krav tillgodoses i verk- samheten. 1Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Förordningens tillämpningsområde har genom en bestämmelse i svensk rätt utökats till att även gälla i verksamhet som inte omfattas av unionsrätten (1 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning). Förordningen är direkt tillämplig och gäller före nationellt rätt (artikel 288 i Fördraget om Europeiska Unionens funktionssätt). 2Lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Inom svensk rätt finns också en rad s.k. registerförfattningar som innehåller mer detaljerade bestäm- melser om personuppgiftsbehandlingen vid myndigheter. 3Jfr 2 kap. 6 § andra stycket regeringsformen. En ny lag om personuppgiftsbehandling Skälen för utredningens bedömning Utgångspunkter vid bedömningen av en verksamhets påverkan på den personliga integriteten Vi har i tidigare kapitel presenterat våra bedömningar av den före- slagna verksamhetens effekter för den personliga integriteten. Vi kan konstatera att myndighetens personuppgiftsbehandling i vissa delar inskränker skyddet för den personliga integriteten. Inskränkningar i detta skydd har tidigare godtagits när syftet varit att motverka ett felaktigt utnyttjande av välfärdsmedel.4 Respekten för individens självbestämmande och integritet är grundläggande i en demokrati. Någon enhetlig definition av begrep- pet personlig integritet finns inte. Regeringen har uttalat att kränk- ningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där ett oönskat intrång bör kunna avvisas.5 Vissa faktorer har ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid helt eller delvis automatiserad behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna används samt mängden av upp- gifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar.6 Vilken reglering och begränsning av användningen av person- uppgifter som är nödvändig för att skydda den personliga integri- teten är beroende av rådande samhällsvärderingar. Delegationen för korrekta utbetalningar från välfärdssystemen (KUT-delegationen) har pekat på att den attitydundersökning de har genomfört tyder på att det finns en acceptans, och till och med en vilja, hos allmänheten till ökat informationsutbyte mellan myndigheter.7 Även om det 4Se t.ex. prop. 2007/08:48, Underrättelseskyldighet vid felaktiga utbetalningar från välfärds- systemen, s. 18–19. 2009/10:80, En reformerad grundlag, s. 175. 2005/06:173, Översyn av personuppgiftslagen, s. 15. 7SOU 2019:59, Samlade åtgärder för korrekta utbetalningar från välfärdssystemen, s. 29. KUT- delegationen redovisade i en av sina underlagsrapporter resultaten av en attitydundersökning där man undersökt allmänhetens inställning till kontroller och informationsutbyte. I under- sökningen framkom det att bara 1 av 10 ansåg att myndigheterna kontrollerar för mycket och att informationsutbytet mellan myndigheterna var tillräckligt. 4 av 10 ansåg att myndigheternas utbyte av information inte var tillräckligt. Av dessa var det 3 av 10 som inte alls instämde i påstående att informationsutbytet mellan myndigheter är tillräckligt. ”tveksam” eller ”vet ej” var dock också knappt 4 av 10. Det kan enligt KUT-delegationen tyda på att de svarande hade liten inblick i dessa frågor och att svaren därför ska tolkas med för- En ny lag om personuppgiftsbehandling endast var en mindre attitydundersökning ger den ett visst stöd för att det finns en acceptans hos allmänheten för delning av infor- mation mellan myndigheter i kontrollsyfte. Skyddet för den personliga integriteten Det finns ett skydd för den personliga integriteten både i den svenska grundlagen och i olika internationella rättsakter.8 Den en- skilde är skyddad mot betydande intrång i den personliga integri- teten och har en rätt till respekt för sitt privatliv. Den enskildes personuppgifter ska skyddas. I de fall en myndighet vill behandla personuppgifter måste den beakta dessa rättigheter. Rätten till skydd för den personliga integriteten är inte absolut utan kan inskränkas genom lag.9 Se KUT-delegationen (2019), Bidragsmoralen i samhället – En aktuell lägesbild av inställningen till felaktiga utbetalningar från välfärdssystemen, (Rapport 2), s. 41. 8Av 2 kap. 6 § andra stycket regeringsformen framgår att var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Registrering av personuppgifter kan, beroende på omständigheterna, beröra rätten till respekt för privat- livet enligt artikel 8.1 i (Den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna). Enligt denna artikel har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Särskilt om det vid registrering av personuppgifter ingår information om politisk uppfattning, religionstill- hörighet eller sexuell läggning eller om sjukdomar, tidigare brottslighet, missbruk av droger eller liknande förhållanden aktualiseras frågan om rätten till respekt för privatlivet (, Hans (2015), Mänskliga rättigheter i europeisk praxis, 5 u, s. 386). I artikel 3, 7 och 8 i EU:s rättighets- stadga (Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02)) slås fast att var och en har rätt till fysisk och mental integritet, respekt för sitt privat- och familjeliv, sin bostad och sina kommunikationer samt skydd av de personuppgifter som rör honom eller henne. Av artikel 52.3 i stadgan följer att i den mån stadgan omfattar rättigheter som mot- svarar sådana som garanteras av ska de ha samma innebörd och räckvidd som enligt konventionen. Denna bestämmelse hindrar inte unionsrätten från att tillförsäkra ett mer långtgående skydd. Dataskyddsförordningen innehåller den generella regleringen för personuppgiftsbehandling inom EU och syftar till att skydda fysiska personers rätt till skydd för personuppgifter. 9Enligt 2 kap. 20 och 21 §§ regeringsformen får begränsningar i skyddet för den personliga integriteten göras i lag och för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får aldrig gå utöver vad som är nödvändigt med hänsyn till sitt ända- mål och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrets grundvalar. Inte heller får en begränsning göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning. Enligt artikel 8.2 i Europakonven- tionen får rätten för privatlivet inte inskränkas annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Kravet på laglighet innebär att inskränkningen måste ha stöd i inhemsk lag och att lagen uppfyller rimliga krav på rättssäkerhet och skyddar mot godtycke. Lagen måste vara tillgänglig för allmänheten och den måste vara utformad med tillräcklig precision, så att inskränkningen i den grundläggande En ny lag om personuppgiftsbehandling Några identifierade integritetsrisker vid myndighetens behandling Den främsta integritetsrisken som vi har identifierat i myndighetens verksamhet är samkörningen av uppgifter och den kartläggning av enskilda som detta kan innebära. Avgörande för om en åtgärd ska anses utgöra övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt som åtgärden kan ha. Vid bedömningen av vilka åtgärder som kan anses utgöra ett betydande intrång i den personliga integriteten ska både åtgärdens omfattning och arten av det intrång som åtgärden innebär beaktas.10 Den behandling av personuppgifter som är nödvändig för att utföra myndighetens data- analyser och urval förutsätter insamling av personuppgifter som rör stora delar av befolkningen. Det är i regel inte fråga om uppgifter som i sig är särskilt känsliga. Även förhållandevis oförargliga upp- gifter kan dock, om de samlas tillsammans med andra sådana upp- gifter, skapa en totalbild av en människas förhållanden som i sin tur innebär ett intrång i den personliga integriteten. Sambearbetning av uppgifter ur olika register och datasamlingar innebär en möjlighet att kartlägga enskildas personliga förhållanden och innebär att statens kontroll över befolkningen ökar. Vi bedömer att behand- lingen av personuppgifter vid myndighetens dataanalyser och urval innebär ett sådant betydande integritetsintrång som avses i reger- ingsformen. Även den fördjupade granskningen kan anses utgöra en sådan kartläggning som enskilda ska vara skyddade mot enligt regerings- formen. Vid fördjupad granskning sammanställer myndigheten upp- gifter som rör vissa utvalda utbetalningar och de personer som är mottagare av dessa. I denna del av verksamheten kan även andra typer av uppgifter, varav vissa av mer känslig karaktär, hämtas in. Därutöver är det främst följande risker ur integritetssynpunkt som vi identifierat med myndighetens verksamhet. Myndigheten behöver i sin verksamhet behandla känsliga personuppgifter (se konventionsrättigheten i rimlig utsträckning kan förutses. En inskränkning måste kunna motiveras av ett angeläget samhälleligt behov och vara proportionerlig. Konventionsstaterna har en viss frihet – of appreciation – att avgöra om en inskränkning är nödvändig, se , Hans (2015), Mänskliga rättigheter i europeisk praxis, 5 u, s. 369–370. Även i Rättig- hetsstadgan är utgångspunkten att inskränkning endast får göras i lag och vara förenligt med det väsentliga innehållet i dessa rättigheter och friheter. Begränsningar får med beaktande av proportionalitetsprincipen endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter, artikel 52.1. 2009/10:80, En reformerad grundlag, s. 250. En ny lag om personuppgiftsbehandling Vidare uppkommer risker ur informationssäkerhets- synpunkt genom att uppgifter samlas på ett ställe, t.ex. stora delar av befolknings kontouppgifter. Den information som samlas kan troligtvis vara intressant för andra aktörer, såsom främmande makt. Informationsutbytet till och från myndigheten, som är en förut- sättning för verksamheten, innebär i sig ett integritetsintrång genom att information sprids till flera myndigheter och arbetslöshetskassor. Den informationsöverföring som sker till myndigheten innebär också en risk för att utomstående aktörer på ett otillbörligt sätt skaffar sig åtkomst till uppgifterna. Detta medför att höga krav på säkerhet måste iakttas vid överföring av information till och från myndigheten. Detta är dock inte specifikt för Myndigheten för utbetalningskontroll. Det finns utarbetade system kring utbyte av information mellan myndigheter och det pågår även arbete med att ta fram olika gemensamma lösningar.11 Vi förutsätter att system för säker informationsöverföring tillämpas vid överföring av infor- mation till och från myndigheten. Det är dock inte lämpligt att i detta skede slå fast de tekniska lösningarna för detta. Myndighetens personuppgiftsbehandling är motiverad för att tillgodose ett allmänt samhällsintresse av stor vikt Myndighetens personuppgiftsbehandling utgör alltså i vissa delar ett betydande intrång i den personliga integriteten och innebär en begränsning av skyddet mot betydande intrång i den personliga integriteten i regeringsformen. En sådan begränsning är endast god- tagbar om den är proportionerlig och tillgodoser ändamål som är godtagbara i ett demokratiskt samhälle.12 Vid en proportionalitetsbedömning ska den enskildes rätt till personlig integritet vägas mot det allmännas intresse av att genom- Slutrapport i regeringsuppdraget Fi2018/02150/DF, FI2018/03037/DF och I2019/01061/DF, Säkert och effektivt elektroniskt informationsutbyte inom den offentliga sektorn.