sou · H8B335 · 2020-06-08 00:00:00 — Att myndigheten får ta del av och behandla beslut avseende välfärds- förmåner utgör – tillsammans med utbetalningsinformation – själva basen för att kunna utföra dataanalyser och urval i syfte att identi- fiera risker för felaktiga utbetalningar från välfärdssystemen. Det finns inte någon alternativ information som myndigheten i stället skulle kunna ta del av och behandla. Vi bedömer att integritets- intrånget är begränsat. Det är endast själva innebörden av besluten, så som att förmån har beviljats, för vilken period, etc. och inte skälen för beslutet som kommer att behandlas. När det gäller beslutande myndigheters omprövningsbeslut eller återkrav kan dock viss ytterligare information utöver själva besluts- 31De största ersättningssystemen, i termer av mottagare och utgifter, där SGI används för att bestämma nivån på ersättningen är föräldrapenning, sjukpenning och tillfällig föräldrapenning. 32SOU 2019:59, Samlade åtgärder för korrekta utbetalningar från välfärdssystemen, s. 92 och KUT-delegationen (2019), Läckaget i välfärdssystemen, del 2 – Omfattningen av felaktiga ut- betalningar från välfärdssystemen, Rapport 6, s. 68–69. Delegationens analys visar att felaktig SGI är ganska vanligt förekommande men att felen orsakar relativt små felaktiga utbetalningar, se Rapport 6, s. 78–85. meningen behövas för att denna typ av beslut fullt ut ska kunna an- vändas vid myndighetens dataanalyser och urval. Sådana beslut kan ske på initiativ av den enskilde eller av myndigheten. Exempelvis kan informationen om att beslut skett på initiativ av den enskilde vara en indikation på lägre risk. Denna information är alltså av betydelse för de dataanalyser och urval Myndigheten för utbetalningskontroll sanno- likt kommer att göra och myndigheten behöver därför kunna be- handla sådan information. De uppgifter som skulle kunna vara känsliga, t.ex. att sjukpenning har beviljats, bör i regel kunna utläsas redan av uppgifterna om utbetalning. De är således redan kända för, och behandlas av, Myn- digheten för utbetalningskontroll. Integritetsintrånget begränsas även av att det endast kommer att vara en myndighet, Myndigheten för utbetalningskontroll, och det begränsade antalet anställda vid myndigheten, som kommer att få ”hela bilden”. Vår slutsats är att det är nödvändigt att uppgifterna behandlas som integritets- intrånget är begränsat varför behandlingen av personuppgifterna är proportionerlig. Utredningens bedömning: Uppgifter ur folkbokföringsdatabasen bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning Uppgifter ur folkbokföringsdatabasen bör kunna ligga till grund för myndighetens dataanalyser och urval då det rör sig om uppgifter som ligger till grund för flera olika förmåner. Vi ser att myndigheten har behov av att kunna behandla folkbokförings- uppgifter i sin helhet. Detta gäller även historiska uppgifter. Folk- bokföringsuppgifter kan både ha direkt betydelse för ett ärende och vara en indikator på risk för felaktigheter. Uppgifter om en individ i folkbokföringsdatabasen kan användas för att identifiera samband mellan personer, och mellan personer och företag. Genom att folk- bokföringsuppgifter behandlas tillsammans med andra uppgifter skapas möjligheter för Myndigheten för utbetalningskontroll att se samband och mönster av olika slag. Uppgifter ur folkbokförings- databasen, såsom adress och familj (relationsperson), är en nödvän- dig förutsättning för att kunna utföra nätverksanalyser. Även upp- gifter om medborgarskap och uppehållsrätt kan behöva behandlas i olika analyser. Uppgifter i folkbokföringsdatabasen är som huvudregel offentliga och kan generellt sett inte anses vara integritetskänsliga. Detta med undantag för personer med s.k. skyddade personuppgifter.33 I av- snitt 11.1.1 föreslår vi att det ska gälla absolut sekretess för uppgifter om enskildas personliga förhållanden och vi föreslår även att myn- digheten internt ska begränsa tillgången till personuppgifter (se avsnitt 10.5.4). Myndigheten för utbetalningskontroll behöver även ha rutiner för hanteringen av skyddade personuppgifter. Vi anser att dessa skyddsåtgärder begränsar de risker som uppkommer när myn- digheten behandlar skyddade personuppgifter. Även om uppgifter i folkbokföringsdatabasen i regel inte är integri- tetskänsliga kommer behandlingen av folkbokföringsuppgifterna i kombination med andra uppgifter till viss del att kunna vara integri- tetskänslig. Folkbokföringsuppgifterna är en förutsättning för att effektiva nätverksanalyser ska kunna göras. Dessa kan upplevas som integritetskänsliga eftersom man kartlägger t.ex. en persons familje- förhållanden. Mot detta ska dock vägas att folkbokföringsuppgif- terna i kombination med uppgifter om utbetalningar och beslut är själva navet i myndighetens dataanalyser och urval. Uppgifterna är nödvändiga för att kunna se mönster och sammanhang som har direkt betydelse för att analysera utbetalningar från välfärdssystemen. Det finns inte några alternativa uppgifter som skulle kunna användas i stället. En effekt av behandlingen är också att uppgifterna i folk- 33”Skyddade personuppgifter” är en samlingsrubrik för de olika skyddsåtgärderna skyddad folkbokföring, fingerade personuppgifter och sekretessmarkering. Skyddad folkbokföring är ett beslut som medger att en person är folkbokförd på annan ort än där personen är bosatt. Vid särskilt allvarliga hot kan en person av medges att bli registrerad i folk- bokföringen med andra personuppgifter än de verkliga. Detta kallas fingerade personuppgifter. En sekretessmarkering i folkbokföringsdatabasen är inte närmare lagreglerad utan grundar sig på en administrativ bestämmelse i 5 kap. 5 § offentlighets- och sekretesslagen (2009:400) som gör det möjligt att göra en särskild anteckning om att det kan antas att en uppgift inte får lämnas ut på grund av sekretess. Skyddet består i att registrerar en sekretessmarker- ing som aviseras tillsammans med personuppgifterna till de myndigheter som får grund- läggande personuppgifter från folkbokföringsverksamhet. bokföringsdatabasen kontrolleras och uppdateras så att felaktiga folk- bokföringsuppgifter kan åtgärdas, se avsnitt 11.5.2. Vår slutsats är att det är nödvändigt att uppgifterna behandlas som integri- tetsintrånget är begränsat varför behandlingen av personuppgifterna är proportionerlig. 6.2.5Kontaktuppgifter som har lämnats till myndigheter Utredningens bedömning: Kontaktuppgifter samt uppgifter om kontaktpersoner och ombud som har lämnats till Arbetsförmed- lingen, CSN, , , Skatte- verket och arbetslöshetskassorna bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning Kontaktuppgifter som en enskild individ, ett företag eller annan juridisk person anmäler till de myndigheter som är anslutna till systemet med transaktionskonto och till arbetslöshetskassorna bör kunna ligga till grund för dataanalyser och urval. Sådana uppgifter kan vara viktiga riskindikatorer och kan även användas för att identi- fiera samband mellan individer och mellan företag och individer. Företag och andra juridiska personer ska ofta i sin kontakt med myndigheter ange ombud eller kontaktperson samt kontaktupp- gifter. Bland annat Arbetsförmedlingen menar att sådana uppgifter kan vara värdefulla som indikatorer och för att se samband mellan företag som annars inte kan upptäckas.34 När målvakter används i företag är det inte ovanligt att kontaktuppgifterna går till den fak- tiska huvudmannen eller företrädaren. Även vad gäller fysiska per- soner kan olika kontaktuppgifter vara av betydelse för analyserna. Om en person uppgivit olika adresser till olika myndigheter kan det vara en indikation på felaktigheter. Kontaktuppgifter som adresser och telefonnummer är värdefulla även för att upptäcka andra typer av identitetsmissbruk än målvakter i företag. Det kan också vara en riskindikator om många personer uppgivit samma alternativa adress. menar exempelvis att uppgifter om att flera 34Enligt uppgift från expert som arbetar vid Arbetsförmedlingen . personer uppger samma adress kan vara en riskindikator vad gäller beräkning av bostadstillägg.35 Även uppgifter om ombud kan vara av betydelse vid vissa dataanalyser och urval. Uppgifterna om kontaktuppgifter är nödvändiga för att upptäcka olika former av upplägg där t.ex. felaktig folkbokföringsadress eller identitetsmissbruk används för att felaktigt få utbetalning från väl- färdssystemen. Vi anser därför att de bör kunna ligga till grund för myndighetens dataanalyser och urval. I vissa fall kan kontaktuppgifter vara känsliga t.ex. om det avslöjar adressen till en person som är hotad. Då blir samma överväganden som vid skyddade personuppgifter i folkbokföringsdatabasen aktuella. Vi bedömer dock att uppgifterna generellt sett inte är av känslig karaktär. 6.2.6Uppehållstillstånd, arbetstillstånd och uppehållskort Utredningens bedömning: Uppgifter om beslut om uppehålls- tillstånd, arbetstillstånd och uppehållskort samt ansökan om för- längning av uppehålls- och arbetstillstånd bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning Uppgifter om uppehålls- och arbetstillstånd och grunden för till- stånden, utfärdande av uppehållskort,36 ansökan om förlängning av tillstånd, samt beslut om återkallelse av tillstånd bör kunna ligga till grund för myndighetens dataanalyser och urval. Uppgift om att uppe- 35Enligt uppgift från expert som arbetar vid . 36Uppehålls- och arbetstillstånd innebär en rätt för utlänningar att vistas och arbeta i , 4 § och 7 § utlänningslagen (2005:716). EES-medborgare och deras familjemedlemmar har rätt att vistas i även utan uppehållstillstånd om de har s.k. uppehållsrätt t.ex. på grund av arbete i . En EES-medborgares familjemedlem som inte själv är EES-medborgare och som har uppehållsrätt ska ansöka om uppehållskort hos , 3 a kap. 1 och 10 §§ ut- länningslagen. hållstillstånd har beviljats, eller återkallats, är en sådan uppgift som kan påverka rätten till en rad olika förmåner.37 En grund för uppe- hållstillstånd som är av särskild betydelse för myndighetens analyser är arbetstillstånd. Som nämnts i avsnitt 3.2.8 förekommer det att kriminella aktörer använder sig av osanna arbetserbjudanden till grund för arbetstillstånd. Uppgift om grunden för tillståndet är således också av vikt för myndighetens analyser. Även förlängning av till- stånd är av betydelse eftersom ansökan om förlängning ofta ger rätt att vistas i ansökan prövas. Även uppgift om utfärdande av uppehållskort bör kunna ligga till grund för myndighetens dataanalyser och urval.38 Uppgiften är av betydelse för dataanalyserna och urvalen, framför allt som ett komple- ment till uppgifter om personer från tredje land som mottar väl- färdsförmåner utan att ha uppehållstillstånd. Att myndigheten i sina dataanalyser och urval ska få behandla upp- gifter om uppehålls- och arbetstillstånd samt uppehållskort medför visst integritetsintrång. Vi bedömer att uppgifter om grunden för tillstånd och uppgifter om att uppehållstillstånd återkallats kan vara integritetskänsliga. Mot detta ska dock vägas att det är beslutsupp- gifter som välfärdsmyndigheterna i stor utsträckning behandlar, dock i enskilda ärenden. Det är inte heller så att myndig- heten ska behandla uppgifter i besluten om varför en person ansökt om eller beviljats tillstånd eller varför ett tillstånd återkallats. Upp- gifterna har direkt betydelse för en rad förmåner. 37Det gäller t.ex. bosättningsbaserade socialförsäkringsförmåner. För den som enligt utlännings- lagen behöver ha uppehållstillstånd i får bosättningsbaserade förmåner lämnas tidigast fr.o.m. den dag då ett sådant tillstånd börjar gälla (5 kap. 12 § socialförsäkringsbalken). För att en studerande som inte är svensk medborgare ska kunna beviljas t.ex. studiebidrag från CSN gäller som huvudregel att den studerande ska vara bosatt i , ha permanent uppe- hållstillstånd och ha bosatt sig i huvudsakligen i annat syfte än att genomgå utbildning här (2 kap. 4 § andra stycket studiestödslagen (1999:395)). Ett annat exempel där uppehålls- tillstånd är en förutsättning för att beviljas en förmån är stöd för nystartsjobb om stöd lämnas till en arbetsgivare som anställer en person som vid beslutstillfället är nyanländ invandrare. I detta fall gäller det att uppehållstillstånd ska ha beviljats enligt vissa grunder för att en person ska kunna omfattas av insatsen (jfr 6 § förordning (2018:43) om stöd för nystartsjobb). 38Sådana kort utfärdas till familjemedlemmar till EES-medborgare som vistas i med uppehållsrätt (3 a kap. 10–12 a §§ utlänningslagen). Uppehållskortet ger inte någon rätt att vistas i utan rätten att vistas i är beroende av att familjemedlemmen har uppehållsrätt. Kortet är dock en indikation på att en person har rätt att vistas i baserat på om fri rörlighet. viatt integritetsintrånget står i proportion till behovet av att behandla uppgifterna i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen. Utredningens bedömning: Uppgifter från fastighetsregistret om fastigheter, byggnader och lagfarter bör kunna ligga till grund för dataanalyserna och urvalen. Skälen för utredningens bedömning: Uppgifter om en fastighets adress, en yta eller ändamål samt uppgift om ägare kan be- hövas för att analysera hur många som rimligen kan bo i en fastighet eller för att analysera om fastigheten är lämplig för ett företags verk- samhet. Detta kan användas för att upptäcka fall där uppgifter i folk- bokföringsdatabasen inte stämmer, vilket i sin tur kan generera fel- aktiga utbetalningar, eller för att upptäcka företag som inte bedriver någon egentlig verksamhet och ändå får utbetalningar från välfärds- systemen. Vi menar att uppgifterna är användbara för dataanalyser och urval och att det inte finns några alternativa uppgifter att använda. Vi be- dömer att uppgifterna i sig inte bör betraktas som integritetskänsliga. Utredningens bedömning: Dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar till företag och andra juridiska personer behöver kunna ske baserat på särskild information som rör företagen eller de juridiska personerna och deras företrädare. Uppgifterna behövs också för att identifiera när företag och andra juridiska personer används som ett verktyg för att få ut felaktiga utbetalningar till individer. Följande upp- gifter bör kunna ligga till grund för sådana dataanalyser och urval. •Bolagsverkets registeruppgifter och uppgifter om ingivare av uppgifter till och hens kontaktuppgifter, upp- gifter om vem som har gjort inbetalning till samt uppgifter om förseningsavgifter. •Uppgifter om skulder hos rörande företag och andra juridiska personer samt deras företrädare. •Uppgifter om företag och andra juridiska personer från Skatte- verket avseende registrering till arbetsgivaravgifter och mer- värdesskatt samt godkännande för F-skatt, redovisad omsätt- ning i inkomstdeklaration, redovisning av skatter och avgifter i skattedeklaration, betalning av skatter och avgifter samt beslut om debiterad preliminärskatt. Även uppgifter om ompröv- ningsbeslut rörande skatter och avgifter till nackdel för före- tag och andra juridiska personer, beslut om återkallelse av godkännande för F-skatt, företrädaransvar och ansvar för del- ägare i svenskt handelsbolag. Skälen för utredningens bedömning Som nämnts i kapitel 3 används företag som brottsverktyg inom välfärden på olika sätt. För att upptäcka felaktiga utbetalningar till företag eller andra juridiska personer eller situationer där företag används som verktyg för att få ut felaktiga utbetalningar till individer behövs ofta uppgifter från flera myndigheter. När företag används som brottsverktyg är det ibland i mindre omfattning med enstaka personer involverade. I andra fall kan utbetalningarna uppgå till stora belopp, komma från flera myndigheter och involvera ett stort antal personer. Vi menar att det är angeläget att alla typer av felaktiga ut- betalningar som involverar företag och andra juridiska personer upptäcks i större utsträckning. Särskilda uppgifter om företag och andra juridiska personer be- hövs för att identifiera varningssignaler vad gäller felaktiga utbetal- ningar.39 Sådana varningssignaler kan vara orimligheter av olika slag, 39Ekobrottsmyndigheten (2019), Varningssignaler Checklista, (2014), Missbruk av statlig lönegaranti, s. 3–10, 14 och 18–23, inkommit till utredningen . , Eliassi-Rad, Akoglu, Snoeck och Baesens (2017), Gotcha! Fraud Detection for Fraud, Management Science, volym 63, nr 9 s. 2773–3145, Stora som att omsättningen inte stämmer överens med antalet anställda, snabba förändringar av omsättning eller vinster, oerfarna företrädare, att företrädare även är företrädare för många andra företag eller juridiska personer, att företrädare har skulder hos Kronofogdemyn- digheten, att flera anställda har samma adress, att uppgifter lämnade till olika myndigheter inte stämmer överens, att flera anställda har andra löneinkomster eller utbetalningar från välfärdssystemen, eller att före- taget ovanligt ofta förekommer som intygsgivare. Andra varnings- signaler kan vara att relaterade företag eller andra juridiska personer har fått felaktiga utbetalningar eller gått i konkurs. Relaterade före- tag kan vara företag i samma koncern, på samma adress eller med samma företrädare. Det kan också vara företag där det finns släktskap mellan företrädare för de olika företagen eller där samma anställda återfinns i flera företag. Tillgång till denna typ av varningssignaler behövs för att upptäcka felaktiga utbetalningar till ett företag eller annan juridisk person. Det är också viktigt för att upptäcka felaktiga utbetalningar till individer där företag eller en annan juridisk person har använts som ett verktyg, t.ex. genom att lämna felaktiga intyg eller andra uppgifter till myndigheter. Dataanalyser och urval behöver göras utifrån uppgifter om före- tag och andra juridiska personer, deras företrädare och anställda. För detta behövs följande uppgifter från , Kronofogdemyn- digheten och . aktuella och historiska registeruppgifter aktuella och historiska registeruppgifter är väsentliga för att kunna göra dataanalyser och urval avseende företag och andra juridiska personer.40 Utöver registeruppgifter anser vi det motiverat att myndigheten får ta del av och behandla uppgifter om ingivare av uppgifter till och dennes kontaktuppgifter samt upp- gifter om vem som har gjort inbetalning till . Dessa uppgifter är viktiga för att kunna upptäcka målvakter och andra fall branschgruppen, Stora branschgruppen presenterar – Riskfaktorer – en vägledning för schysst kon- kurrens (Stora branschgruppen innehåller representanter från arbetstagar- och arbetsgivare- organisationer, bransch- och intresseorganisationer samt myndigheter och arbetar för lös- ningar som ska leda till ökad konkurrensneutralitet mellan företag i ). Vidare bygger bedömningarna på inhämtning av kunskap från tjänstemän hos Arbetsförmedlingen, Försäk- ringskassan och med sakkunskap inom området. när flera personer samarbetar för att på felaktiga grunder få utbetal- ningar från välfärdssystemen. Vidare bör myndigheten få behandla uppgifter om att beslutat om förseningsavgift om ett aktiebolag inte lämnat in årsredovisning . Detta kan vara en intressant varningssignal, inte minst vid flera förseningsavgifter. Företags, andra juridiska personers och deras företrädares skulder hos kan vara betydelsefulla varningssignaler. Myndigheten för utbetalningskontroll har som regel bara behov av att behandla uppgifter om en skulds storlek, när skulden registrerades och om det är ett enskilt eller allmänt mål. Myndigheten bör få be- handla sådana uppgifter. Dessa uppgifter är viktiga vid dataanalyser och urval. Att en person har stora eller många skulder hos Krono- fogdemyndigheten kan vara en varningssignal om att personen används som målvakt i ett företag.41 Flera uppgifter som har är effektiva som riskindikator för om en verksamhet drivs i linje med vad som uppgivits till olika myndigheter. Uppgifter om hur företag och andra juridiska personer sköter redovisning av uppgifter och betalningar till kan vara en värdefull riskindikator.42 •Mervärdesskatt: Redovisning av mervärdesskatt kan vara indika- tion på en verksamhets omfattning, även om uppgifterna inte be- höver ha samma värde när det gäller verksamhet som får betalt av det offentliga eftersom sådan verksamhet kan vara undantagen från skatteplikten. Även uppgift om registrering för mervärdesskatt är av betydelse. •Registrering för arbetsgivaravgifter och godkännande för F-skatt: Sådana uppgifter är intressanta då utbetalningar sker till företag och andra juridiska personer från välfärdssystemen för att se att utbetalningar inte sker till företag som saknar arbetsgivar- registrering eller godkännande för F-skatt. •Redovisad uppgift om omsättning i inkomstdeklaration: Dessa uppgifter kan användas för att se om t.ex. ett bolags omsättning stämmer överens med andra uppgifter om verksamhetens storlek, exempelvis antalet anställda eller utbetalningar från det offentliga till bolaget. •Redovisning och betalningar av skatter och avgifter: Denna typ av uppgifter kan visa om företag och andra juridiska personer sköter redovisning och betalning av skatter och avgifter. Detta inkluderar uppgifter om skatte- och avgiftsskulder, alltså både skattekontounderskott som har överlämnats för indrivning av och skattekontounderskott som inte har överlämnats för indrivning. •Debiterad preliminär skatt: Uppgiften kan ge en indikation på om det bedrivs någon verksamhet eller inte. •Företrädaransvar och beslut om ansvar för delägare i handels- bolag: Det faktum att en företrädare har fått ett före- trädaransvar utdömt kan vara en riskindikator. •Uppgifter om omprövningsbeslut till nackdel för företag och andra juridiska personer samt beslut om återkallelse av godkänn- ande för F-skatt: Detta för att kunna få en korrekt bild. Uppgift- erna kan också utgöra riskindikatorer. Vi har gjort en bedömning av vilka av uppgifter rör- ande företag och andra juridiska personer som bör vara till störst nytta i arbetet med dataanalyser och urval hos Myndigheten för utbetal- ningskontroll. I det valet ligger också att vi har valt bort många uppgifter som finns hos . Exempelvis har vi inte med grundbeslut om årlig beskattning i de uppgifter som vi föreslår att ska lämna till myndigheten. Vi bedömer att uppgifter om omsättning, uppgifter på individnivå i arbetsgivardeklarationen, se nedan, samt redovisning och betalning av skatter och avgifter är tillräckliga och ger tydligare signaler för myndighetens arbete än vad ett grundbeslut om inkomstskatt skulle göra. Uppgifter om företag och andra juridiska personer och även upp- gifter om deras företrädare anser vi generellt sett är mindre integri- tetskänsliga. uppgifter om företrädares skulder är av ett mer integritetskänsligt slag. Detsamma gäller för uppgifter om företrädaransvar och uppgifter om ansvar för delägare i handelsbolag. Dessa uppgifter är dock viktiga riskindikatorer. Det är i huvudsak uppgift om att företrädaransvar eller ansvar för del- ägare i handelsbolag beslutats och storleken på det utdömda beloppet som är av betydelse för myndighetens dataanalyser och urval. Även vad gäller skulder från rör det sig om be- gränsade uppgifter. Det finns inte heller några alternativa uppgifter som lika effektivt kan användas för myndighetens dataanalyser och urval. Sammantaget anser vi att integritetsintrånget står i proportion till behovet av att behandla uppgifterna i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen. 6.2.9Företagsengagemang, kompletterande aktörer och IVO- tillstånd Utredningens bedömning: Följande uppgifter bör kunna ligga till grund för dataanalyserna och urvalen: •uppgifter om ägande, ledningsuppdrag och annat engagemang i näringsverksamhet som har lämnats till arbetslöshetskassor samt identifikations- och kontaktuppgifter för näringsverk- samheten,