sou · H8B335 · 2020-06-08 00:00:00 — Vår bedömning är att frågor om säkerhet och effektivitet i de statliga betalningarna framöver kommer att vara nära förknippade med ut- formningen av systemet med transaktionskonto. Därför menar vi att Myndigheten för utbetalningskontroll bör få regeringens bemyn- digande att meddela föreskrifter om kraven på de myndigheter som ansluts till systemet, exempelvis krav på tekniska standarder. Det är viktigt att myndigheten har ett teknikneutralt förhållningssätt och tillämpar internationella standarder. Denna föreskriftsrätt bör inte 40Se 64 kap. skatteförfarandelagen. Ett system med transaktionskonto för statliga utbetalningar från välfärdssystemen inkräkta på Riksgäldens föreskriftsrätt gällande statliga myndigheter vad gällerbetalningsförordningen. 5.11Transaktionskontot och den personliga integriteten Utredningens bedömning: Intrånget i den personliga integri- teten som systemet med transaktionskonto innebär är motiverat. Skälen för utredningens bedömning Den personliga integriteten skyddas bl.a. genom bestämmelser i regeringsformen, och EU:s rättighetsstadga41 samt dataskyddsförordningen42, se avsnitt 10.1.2. Utredningens för- slag innebär att en stor del av de statliga välfärdsutbetalningarna samt utbetalningar av skatter och avgifter ska administreras av Myndig- heten för utbetalningskontroll. Myndigheten kommer att ha en sam- lad bild av alla utbetalningar till enskilda som myndigheten admini- strerar. Myndigheten ska också behandla de enskildas kontouppgifter. Denna sammanställning av personuppgifter medför ett intrång i en- skildas personliga integritet. Inrättandet av Myndigheten för utbetal- ningskontroll innebär å andra sidan att enskildas egna kontouppgifter behöver behandlas av färre myndigheter än om respektive myndig- het ska administrera sina utbetalningar. Behov av hög informationssäkerhet av kontouppgifter som myndigheten ska hantera utgör en risk för den personliga integriteten eftersom uppgifterna kan vara av intresse för utomstående. Uppgifterna riskerar därför att bli före- mål för otillbörlig spridning. Denna risk kan begränsas genom olika skyddsåtgärder. Vi har även identifierat att det kan innebära en risk 41Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02). 42Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning). Ett system med transaktionskonto för statliga utbetalningar från välfärdssystemen för den personliga integriteten vid överföring av uppgifter om ut- betalningar till Myndigheten för utbetalningskontroll och vid över- föring av uppgifter om utbetalningar från myndigheten till betal- ningsförmedlande bank. Det är därför av vikt att det utvecklas säkra och robusta it-lösningar. Vi föreslår att Myndigheten för utbetal- ningskontroll får möjlighet att meddela föreskrifter om olika krav på teknik och säkerhet vid anslutning, se avsnitt 5.10. Användning av uppgifter i dataanalyser och urval I avsnitt 6.2.2 föreslår vi att uppgifter från transaktionskontot ska ligga till grund för de dataanalyser och urval myndigheten ska genomföra i syfte att upptäcka och förhindra felaktiga utbetalningar. Det innebär att uppgifter från transaktionskontot ska användas i verksamheten med dataanalyser och urval och där sambearbetas med andra uppgifter, vilket utgör ett intrång i den personliga integriteten (integritetsanalysen av denna del av förslaget redovisas i avsnitt 6.2.2 och 6.2.15). Sammantaget har vi alltså identifierat ett antal områden där person- uppgiftsbehandlingen i transaktionskontoregistret påverkar den per- sonliga integriteten. Hanteringen inom ramen för transaktionskontot innebär enligt vår bedömning dock inte ett sådant omfattande integ- ritetsintrång som den enskilde enligt grundlag och internationella rättsakter är skyddad mot, se även 10.1.2. De integritetsintrång som sker i verksamheten är motiverade mot bakgrund av den effektivi- sering av hanteringen av statliga utbetalningar som förslaget innebär. Vi menar därför att förslaget står i proportion till behovet. Ett system med transaktionskonto för statliga utbetalningar från välfärdssystemen 5.12Ekonomistyrningsverket kan behöva anpassa statens redovisning Utredningens förslag: får i uppdrag att analysera och genomföra åtgärder vad gäller statens redovisning. Skälen för utredningens förslag: Förslaget om ett transaktions- konto innebär att vissa anpassningar behöver göras av statens redo- visning. Att betalningar ska anses verkställda den dag när de ska utbetalas från transaktionskontot innebär en viss förändring för hur berörda myndigheter redovisar utbetalningar. räknas en betalning av från ett budgetanslag först när banken har bekräftat att den är ut- betald till bankkonto eller när utbetalningsavi har skickats. Med trans- aktionskontosystemet kommer en betalning som har redovisats på ett transaktionskonto, men inte betalats ut till bankkonto, att räknas av från anslag och i stället bli en skuld i statens redovisning. bör få i uppdrag att, utifrån sina ansvars- områden, stötta de myndigheter som ska ansluta till transaktions- kontosystemet. Det kan handla om konsekvenser för statsredovis- ningen avseende: För att förändringarna ska hinna förberedas på ett bra sätt föreslår viatt regeringen ger i uppdrag till att ana- lysera och förbereda genomförandet av de eventuella konsekvenser som följer av förslagen. Ett system med transaktionskonto för statliga utbetalningar från välfärdssystemen 5.13Transaktionskontosystemet bör kunna omfatta fler statliga utbetalningar Utredningens förslag: får i uppdrag att göra en analys av förutsättningar för ytterligare myndigheter att ansluta till systemet med transaktionskonto. Skälen för utredningens förslag: Vi menar att det kan finnas be- tydande fördelar och synergier med att alla, eller de flesta av, statens utbetalningar kan hanteras i ett gemensamt system med trans- aktionskonto. Dessa fördelar gäller såväl enskilda som staten som helhet. Det kan dock för vissa typer av betalningar behöva göras särskilda överväganden. Innan en ny myndighet kan ansluta till systemet med transaktionskonto kommer det att behöva göras noggranna över- väganden bl.a. ur integritetssynpunkt. Vi gör bedömningen att Riksgälden tillsammans med de myndig- heter som regeringen anser är närmast berörda bör ha goda möjlig- heter att göra den analys och utredning av de förutsättningar som kan vara aktuella för olika myndigheters anslutning till systemet med transaktionskonto. Vi föreslår därför att regeringen ger Riksgälden i uppdrag att analysera förutsättningarna för och upprätta en plan för vad som krävs för att ansluta fler statliga myndigheter till systemet med transaktionskonto. 5.14Betalningar i kris och krig Utredningen har tillsammans med utarbetat förslag om betalningar i kris och krig. lämnade sitt slutbetänkande, En ny riksbankslag (SOU 2019:46), och vi ansluter oss till de överväganden och förslag som rör betalningar i kris och krig och som presenteras i betänkan- dets avsnitt 35.7.9 Statliga konton för allmänheten och statliga krediter som alternativ till elektroniska pengar, 35.7.11 Statliga utbetalningskort och 35.7.12 Fullmaktslagstiftningen i övrigt.43 43SOU 2019:46, En ny riksbankslag, s. 1650 och 1653–1656. 6 Dataanalyser och urval I detta kapitel lämnar vi förslag om att Myndigheten för utbetalnings- kontroll ska ha i uppdrag att göra dataanalyser och urval för att upp- täcka och förhindra felaktiga utbetalningar. Vi redovisar också de upp- gifter som bör kunna ligga till grund för myndighetens dataanalyser och urval. I kapitlet gör vi bedömningen att den behandling av personupp- gifter som ska ske vid myndighetens dataanalyser och urval utgör ett intrång i enskildas personliga integritet. Vi menar att integritets- intrånget står i proportion till syftet att kunna upptäcka och för- hindra felaktiga utbetalningar från välfärdssystemen. 6.1Myndigheten ska göra dataanalyser och urval Utredningens förslag: Myndigheten för utbetalningskontroll ska göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen. Skälen för utredningens förslag Vi föreslår att Myndigheten för utbetalningskontroll ska göra dataanalyser och urval för att upptäcka felaktiga utbetalningar från välfärdssystemen.1 Genom tillgång till uppgifter om alla utbetalningar i transaktionskontosystemet blir det möjligt att upptäcka felaktiga utbetalningar mer träffsäkert. Tack vare större möjligheter att sam- köra uppgifter kan myndigheten upptäcka felaktiga utbetalningar som beslutande myndigheter har svårt att, eller inte kan, upptäcka 1I avsnitt 2.4.5 och 2.4.6 definieras vad vi avser med dataanalyser, urval respektive urvalsträffar. En följd av förslaget är att möjligheterna förbättras att för- hindra felaktiga löpande utbetalningar. Sambehandling av uppgifter från flera myndigheter är effektivt för att upptäcka och förhindra felaktiga utbetalningar Felaktiga utbetalningar uppgår till stora belopp, men utgör bara en liten andel av det totala antalet utbetalningar. Det är viktigt att kunna identifiera de utbetalningar som kan antas vara felaktiga och att de väljs ut för närmare kontroll. Vi har i avsnitt 3.4.10 konstaterat att det finns begränsningar i hur beslutande myndigheter kan behandla personuppgifter för kontroll- ändamål. Beslutande myndigheters dataanalyser och urval baseras på de uppgifter som myndigheterna har i sina egna register och ärenden. Myndigheter har emellertid ett omfattande informationsutbyte. Detta sker dock oftast inom ramen för handläggningen av enskilda ärenden. Ärendeuppgifter från en myndighet ligger i regel inte till grund för en annan myndighets dataanalyser och urval för att upp- täcka och förhindra felaktiga utbetalningar. Det beror bl.a. på ut- formningen av bestämmelser om sekretess och personuppgifts- behandling.2 Våra förslag innebär möjligheter att upptäcka felaktiga utbetal- ningar som beslutande myndigheter inte kan upptäcka . Vi be- dömer att mönster, samband och avvikelser kan upptäckas mer effek- tivt när uppgifter från systemet med transaktionskonto tillsammans med uppgifter från andra välfärdssystem kan ligga till grund för dataanalyser och urval. På så sätt kan uppgifter som har lämnats till olika myndigheter jämföras. Det gör det möjligt att upptäcka av- vikelser. Vidare går det att identifiera mönster utifrån alla välfärds- systemens utbetalningar. Att kunna samköra uppgifter från de stat- liga välfärdssystemen ger även möjlighet att upptäcka samband mellan 2Ett exempel är möjlighet att ta del av uppgifter från beskatt- ningsdatabas där direktåtkomst är knuten till om uppgifterna behövs i ett ärende om betal- ningsskyldighet för en bidragsskyldig förälder, bestämmande av sjukpenninggrundande inkomst, SGI, eller beräkning av bostadsbidrag, se 2 kap. 8 c § lagen (2001:181) om behandling av upp- gifter i beskattningsverksamhet. får endast för beräkning och kontroll av SGI, sjukpenning, bostadsbidrag, underhållsstöd, bostadstillägg och äldreförsörjnings- stöd lämna personnummer eller samordningsnummer på medium för automatiserad behandling till , se 4 c § förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration. Vilket i sin tur påverkar det elektroniska utlämnandet av upp- gifterna. Till exempel om en person återkommer som kontakt- person för eller som företrädare för företag i de fall företag får utbetal- ningar från olika välfärdsmyndigheter. Myndigheten för utbetalnings- kontroll kan på så sätt upptäcka felaktigheter som inte kan upptäckas av enskilda myndigheter. Alternativet att i stället låta respektive myndighet få del av och behandla de aktuella uppgifterna från andra myndigheter i sina data- analyser och urval skulle innebära ett betydligt större integritets- intrång då uppgifterna skulle spridas till och behandlas av flera myn- digheter och ett relativt stort antal personer. Det kan dock vara motiverat att ge beslutande myndigheter tillgång till vissa av de upp- gifter som vi föreslår att Myndigheten för utbetalningskontroll ska få använda vid sina dataanalyser och urval.3 Det har dock inte legat inom ramen för vårt uppdrag att analysera detta. Ett annat alternativ skulle kunna vara att beslutande myndigheter utför närmare kontroller av en mycket större andel ärenden än vad som görs , vilket dock varken är effektivt eller praktiskt möjligt. Vi bedömer att även detta sannolikt skulle innebära ett större integri- tetsintrång än våra förslag. Dataanalyser och urval är effektiva för att upptäcka felaktiga utbetalningar Erfarenheter från myndigheter i , och är att dataanalyser och urval är effektiva för att upptäcka felaktiga utbetalningar, och i många fall den mest effektiva metoden.4 En sam- manställning av i visar hur effektiva dataanalyser och urval är i deras verksamhet jäm- fört med andra sätt att upptäcka felaktiga utbetalningar. Tips från allmänheten leder i av fallen till någon form av åtgärd. För tips från myndigheter är motsvarande siffra . 3Exempelvis gör Delegationen för korrekta utbetalningar från välfärdssystemen, KUT-dele- gationen, bedömningen att utökade möjligheter att elektroniskt kunna inhämta uppgifter från arbetsgivardeklarationerna skulle förbättra möjligheterna att upptäcka felaktiga utbetalningar, se SOU 2019:59, Samlade åtgärder för korrekta utbetalningar från välfärdssystemen, s. 219–224. 4Se bilaga 2, Internationell utblick, för en närmare beskrivning av hur myndigheter i , och använder data för att upptäcka felaktiga utbetalningar. Se även t.ex. (2019), Analytics for Integrity Data-driven approaches for enhancing corruption and fraud risk assessments, s. 27–42. Databaserade urval leder till någon form av åtgärd i 35–av fallen.5 riskbaserade kontroller har en betydligt högre träffsäkerhet än övriga kontrollalternativ.6 har i allt större utsträckning börjat använda data- analyser och urval för att välja ut ärenden för fördjupad handlägg- ning och kontrollutredning. Urvalen bygger bl.a. på dataanalyser av mönster och samband avseende hur förmånerna används. Försäkrings- kassan använder sig av en förmånsövergripande urvalsmodell som används för att identifiera ärenden där det finns stor risk för felaktigt utnyttjande vilken omfattar dels bosättning, dvs. personens försäk- ringstillhörighet, dels anställnings- och inkomstuppgifter.7 Försäk- ringskassan använder sig även av förmånsspecifika urvalsmodeller. För exempelvis tillfällig föräldrapenning finns en urvalsmodell som genererar en relativt stor del av kontrollutredningarna för förmånen. De riskbaserade kontrollerna har enligt inneburit att ett betydande antal felaktiga utbetalningar av tillfällig föräldra- penning har stoppats.8 Även , () och använder i viss mån denna typ av verktyg för att upptäcka felaktiga utbetalningar. Många typer av verksamheter, från banker och försäkringsbolag till myndigheter, använder data- analyser och urval som ett av de viktigaste verktygen för att komma åt fel och bedrägerier. Vid sådana analyser används stora mängder data om transaktioner, tidigare kända fel och andra relevanta upp- gifter för att kunna se mönster, avvikelser och samband. Vår bedömning är att dataanalyser och urval är effektiva för att upptäcka och förhindra felaktiga utbetalningar. 5Enligt uppgift från , , . 6Inspektionen för socialförsäkringen (2018), Profilering som urvalsmetod för riktade kontroller – En granskning av träffsäkerheten, effektiviteten och rättssäkerheten i modeller för riskbaserade kontroller, rapport 2018:5, s. 119. 7Försäkringskassan (2018), kontrollarbete, PM 2018:3, dnr 000789–2018, s. 32. 8Försäkringskassan (2018), Felaktiga utbetalningar av tillfällig föräldrapenning, Socialförsäk- ringsrapport 2018:1, s. 41–42 och 50. Organiserade angrepp rör ofta mer än en myndighet och kan vara svåra att upptäcka Felaktiga utbetalningar där flera personer är involverade i uppläggen rör, som vi har beskrivit i kapitel 3, fler än en myn- dighet. Det kan handla om allt från enklare samarbete till mer syste- matiska angrepp. Sådana angrepp innebär ofta inte bara felaktiga utbetalningar och bidragsbrott utan kan också innebära avsiktliga och allvarliga fel med skatt och folkbokföring, osanna anställnings- avtal, felaktiga registeruppgifter kring ett bolag och penningtvätt. Dessa upplägg är ofta svåra att upptäcka och utreda. Som vi har beskrivit saknar en enskild myndighet ofta den information som behövs för att upptäcka denna form av an- grepp. Även om en myndighet har fattat misstankar ser den inte, som vi beskrivit i kapitel 3, nödvändigtvis hela bilden, angreppet kan mycket väl vara riktat mot en annan myndighet. En myndighet har inte tillgång till andra myndigheters uppgifter som skulle kunna visa på samband med utbetalningar till andra individer eller företag. Vi har också beskrivit att det är först som ett mönster kan träda fram som gör det möjligt att upptäcka felaktig- heter. Därför är det viktigt att dataanalyser och urval kan utgå från uppgifter som visar sådana mönster . framhåller, som nämns i avsnitt 3.3.4, att de lite mer kvalificerade uppläggen är svåra att upptäcka. Till exempel de som rör svarta inkomster eller helt konstruerade inkomst- uppgifter som kvalificerar för arbetslöshetsersättning eller högre ersättning i form av exempelvis sjukpenning eller föräldrapenning. Identitetsmissbruk används för att försvåra upptäckt Många organiserade upplägg innehåller också, som beskrivits i av- snitt 3.3.3, identitetsmissbruk för att dölja en huvudman eller för att öka omfattningen av intäkten från angreppet, vilket försvårar upp- täckt och utredning. Vid dataanalyser kan Myndigheten för utbetal- ningskontroll se mönster av olika slag. Det kan därigenom bli möj- ligt att identifiera identiteter som inte motsvarar faktiska personer. Se en beskrivning av detta i avsnitt 14.4.2. Genom upptäckten av en sådan identitet kommer det också att vara lättare för myndigheten att upptäcka andra identitetsmissbruk om de förekommer i ett nätverk. Sammanfattningsvis anser vi att det behövs mer effektiva meto- der för att upptäcka och förhindra de mer systematiska angreppen. Den tillgång till data som transaktionskontot genererar i kombina- tion med möjligheter att samköra och göra dataanalyser på annan relevant data från välfärdsmyndigheterna blir ett kraftfullt verktyg i arbetet mot felaktiga utbetalningar. Sambearbetningen av olika upp- gifter från välfärdssystemen möjliggör också att identitetsmissbruk kan upptäckas. Därigenom kan även brott mot välfärdssystemen minska. 6.1.1Närmare om uppdraget att göra dataanalyser och urval Uppdraget syftar till att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen Myndigheten ska använda dataanalyser för att analysera samband, mönster och avvikelser. Analyserna kan också användas för att förstå omfattningen av fel och orsakerna till fel. Syftet är att upptäcka och förhindra felaktiga utbetalningar. Urvalsmodeller ska användas för att upptäcka utbetalningar som det kan finnas anledning att anta är felaktiga, vilket resulterar i ur- valsträffar. Urvalsmodellen kan utformas utifrån mönster, samband, avvikelser och andra indikatorer som identifieras med hjälp av data- analyserna. Även andra uppgifter kan ligga till grund för utform- ningen av en urvalsmodell, t.ex. riskindikatorer som används av beslutande myndigheter i deras kontrollarbete. Urvalen görs på redan genomförda utbetalningar. Grunden för urvalen är information om utbetalningar från systemet med transak- tionskonto.9 I vissa fall sker en utbetalning löpande. Identifieras en felaktig utbetalning i ett sådant fall kan även fortsatta felaktiga utbetalningar förhindras. Risken för felaktiga utbetalningar i flera förmåner kan förhindras genom att en felaktig registrering rättas. Vi återkommer i avsnitt 11.5 med förslag om underrättelseskyldigheter som gör detta möjligt. 9Som framgår i kapitel 5 föreslår vi inte att arbetslöshetskassornas utbetalningar ska ingå i systemet med transaktionskonto. För att arbetslöshetskassorna ska kunna omfattas av myn- dighetens verksamhet föreslår vi i stället en uppgiftsskyldighet för arbetslöshetskassorna som bl.a. omfattar beslut om förmåner vilket innefattar såväl grundbeslut som utbetalningsbesked, se avsnitt 11.3.4. Urval kommer att kunna ske i flera steg, för att urvalsträffar ska kunna förfinas. Myndigheten kan även komma att behöva prioritera vilka slags felaktiga utbetalningar som är mest angelägna att analy- sera och upptäcka så att urvalsträffarna blir hanterbara. Olika analysmetoder fyller olika funktioner Flera olika typer av analysmetoder kan bli aktuella att använda för Myndigheten för utbetalningskontroll. Så kallade prediktiva ana- lyser, deskriptiva analyser och nätverksanalyser kan med fördel tillämpas på den data vi föreslår att myndigheten ska ha tillgång till.10 Prediktiva analyser kan användas för att se mönster och samband, som sedan kan ligga till grund för urvalsmodeller. Prediktiva analyser utgår från tidigare konstaterade fel. Utifrån tidigare fall kan pre- diktiva analyser upptäcka mönster eller andra typer av indikatorer som kan indikera vad som kan vara en korrekt respektive en felaktig utbetalning. Prediktiva analyser kan också användas för att uppskatta omfattningen av fel och bedrägerier. Deskriptiva analyser kan användas för att upptäcka avvikelser, vad som ibland kallas anomalier. Ett enkelt exempel på en deskriptiv analys är att alla utbetalningar som är på stora belopp analyseras. Deskriptiva analyser av avvikelser kan också användas för att upp- täcka nya eller mer ovanliga typer av bedrägerier, eller för att närmare förstå en viss typ av fel eller företeelse. Nätverksanalyser utgår från samband, exempelvis mellan bolags- företrädare, telefonnummer, familjeförhållanden, adresser, tidpunkter, fastigheter, fordon, m.m. Denna typ av analyser kan vara mycket effektiva för att upptäcka felaktigheter som rör många utbetalningar eller organiserade upplägg, där flera personer samarbetar eller på olika sätt delar med sig av upplägg för att missbruka systemen.11 Nätverksanalyser kan både ge en hög precision och bidra till att fel upptäcks . Det finns stöd i forskning för att nätverksanalyser är ett effektivt sätt att upptäcka företag som används som brotts- verktyg för välfärdsbedrägerier. Med nätverksanalyser kan det i vissa 10Baesens, van Vlasselaer och Verbeke (2015), Fraud Analytics – Using descriptive, predictive and social network techniques, a guide to data science for fraud prediction, s. 19–22. 11Baesens, van Vlasselaer och Verbeke (2015), Fraud Analytics – Using descriptive, predictive and social network techniques, a guide to data science for fraud prediction, s. 208–214. fall vara möjligt att upptäcka indikationer i ett mycket tidigt stadium, till och med innan själva bedrägeriet faktiskt genomförs.12 Inriktningen på myndighetens dataanalyser och urval Som vi har nämnt tidigare är huvudsyftet med hanteringen att upp- täcka felaktiga utbetalningar och därmed också minska brottsligt utnyttjande av välfärden. Myndigheten för utbetalningskontroll ska med hjälp av uppgifter från flera myndigheter och välfärdssystem upptäcka indikationer på felaktigheter. Indikationen på fel kan finnas hos en annan än den beslutande myndigheten eller så kan det vara mer än en myndighet som berörs av en felaktighet. Till skillnad från de urval som görs i beslutande myndigheters kontrollarbete ska urvalsträffar vid Myndigheten för utbetalningskontroll lämnas över till de beslutande myndigheterna och utgöra underlag för respektive myndighets kontrollarbete. För att en urvalsträff ska kunna utgöra underlag för en beslutande myndighets handläggning behöver om- ständigheterna till varför det kan antas att en utbetalning är felaktig framgå.13