sou · H8B335 · 2020-06-08 00:00:00 — Utredningens förslag: Myndigheten för utbetalningskontroll får behandla personuppgifter om det är nödvändigt för att: 1.administrera utbetalningar via systemet med transaktions- konto, 2.göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen, 3.hantera och sortera myndighetens urval (inledande granskning), 4.utföra fördjupad granskning, 5.göra omfattningsstudier, riskanalyser och andra analyser inom ramen för verksamheten att stödja och följa arbetet med att motverka felaktiga utbetalningar från välfärdssystemen, eller 6.göra urval av utbetalningar för samordnade kontrollinsatser inom ramen för verksamheten att stödja och följa arbetet med att motverka felaktiga utbetalningar från välfärdssystemen. Skälen för utredningens förslag Administrera utbetalningar via systemet med transaktionskonto Verksamheten i denna del innebär att myndigheten administrerar utbetalningar från vissa myndigheter via systemet med transaktions- konto. Ändamålet är tänkt att innefatta all nödvändig behandling av 2017/18:105, Ny dataskyddslag, s. 189. 2017/18:232, Brottsdatalag, s. 117. En ny lag om personuppgiftsbehandling personuppgifter för att myndigheten ska kunna utföra denna verk- samhet. Behandling av personuppgifter är bl.a. nödvändig för att ta emot uppgifter om utbetalningar från de beslutande myndigheterna, regi- strera uppgifter om utbetalningar och vidareförmedla uppgifter om utbetalningar så att de kan verkställas. Myndigheten behöver kunna kontrollera inlämnade uppgifter, t.ex. bankkonto. Vidare blir person- uppgiftsbehandling nödvändig vid preskription av fordran. Samtliga dessa åtgärder omfattas av ändamålet. Inom ramen för ändamålet ska myndigheten även administrera ett transaktionskontoregister (av- snitt 10.6.1). I ändamålet omfattas den behandling som är nödvändig för att möjliggöra åtkomst för enskilda och myndigheter till registret. Dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen Dataanalyser och urval utgör navet i myndighetens arbete med att förebygga, förhindra och upptäcka felaktiga utbetalningar från väl- färdssystemen. Dataanalyserna och urvalen syftar till att identifiera utbetalningar från välfärdssystemen som kan antas vara felaktiga. Det är alltså inte fråga om riskprofilering där en viss person pekas ut som någon som på förhand ska tillskrivas en högre riskprofil. Vi bedömer att det inte är möjligt att närmare avgränsa detta ändamål eftersom hela denna del av myndighetens verksamhet består i behandling av personuppgifter och uppgifter om juridiska personer samt avlidna. För ändamålet att göra dataanalyser och urval sker behandlingen baserat på personuppgifter samt uppgifter om juridiska personer och avlidna som finns i en särskild uppgiftssamling, uppgiftssamlingen för dataanalyser och urval. Vilka uppgifter som får ingå i uppgifts- samlingen föreslår vi ska regleras särskilt, se avsnitt 10.7.2. Det är uppgifter som gäller stora delar av befolkningen. Uppgifterna är av generell natur, t.ex. alla mottagare av sjukpenning. Myndigheten kan inte inom ramen för ändamålet att göra dataanalyser och urval från andra hämta in särskild information som enbart gäller en viss person eller en väl avgränsad grupp. Det innebär också att den komplette- rande information som kan komma att hämtas in vid fördjupad granskning inte ska kunna behandlas vid dataanalyser och urval. En ny lag om personuppgiftsbehandling Ändamålet omfattar olika former av databaserade analyser såsom deskriptiva analyser, prediktiva analyser och nätverksanalyser. Data- analyserna syftar till att upptäcka och analysera olika typer av fel. Med urval menar vi processen med att ta fram urvalsträffar, dvs att vissa utbetalningar väljs ut där det finns risk för fel. Urval kommer att kunna göras i flera steg, för att urvalsträffarna ska kunna förfinas, se avsnitt 6.1.1. Behandling i form av inhämtning och lagring av uppgifter i syfte att utgöra underlag för dataanalyser och urval omfattas av ändamålet. Ändamålet är även avsett att täcka in uppföljning och utveckling av analys- och urvalsmodeller. Detta innefattar bl.a. den behandling av personuppgifter som krävs för att modeller för dataanalyser ska kunna utvecklas samt test av modeller innan de tas i bruk. Hantera och sortera urval (inledande granskning) Inledande granskning innebär att myndigheten hanterar och sorterar urvalsträffar som lämnats över från verksamheten med dataanalyser och urval. Uppgifter om urvalsträffarna behöver gås igenom och kan behöva kontrolleras och kompletteras, genom sökning i uppgifts- samlingen för dataanalyser och urval. Urvalsträffarna behöver också sorteras, dvs. att myndigheten tar ställning till hur urvalsträffen ska hanteras. Vissa uppgifter ska lämnas över till berörda myndigheter och arbetslöshetskassor eller lämnas till fördjupad granskning i myn- dighetens regi. Detta ändamål är avsett att innefatta denna typ av personuppgiftsbehandling. Den fördjupade granskningen innebär en närmare analys av vissa urvalsträffar, och vid denna hantering behöver personuppgifter behandlas på olika sätt. Den fördjupade granskningen i sig innebär att uppgifter om personer sammanställs och analyseras. Myndig- heten kan även hämta in uppgifter från andra myndigheter och arbetslöshetskassor som underlag för granskningar. Vissa uppgifter kan även begäras in från kreditinstitut. Vidare lämnar myndigheten vid den fördjupade granskningen över uppgifter till berörda myndig- heter och arbetslöshetskassor. Myndigheten ska även dokumentera En ny lag om personuppgiftsbehandling ställningstaganden om att inleda och avsluta granskningen. All person- uppgiftsbehandling som är nödvändig för att utföra fördjupad gransk- ning är avsedd att omfattas av ändamålet. Omfattningsstudier, riskanalyser och andra analyser inom ramen för verksamheten att stödja och följa arbetet med att motverka felaktiga utbetalningar från välfärdssystemen Inom ramen för myndighetens uppdrag att stödja och följa arbetet med att motverka felaktiga utbetalningar kan myndigheten utföra omfattningsstudier, riskanalyser och andra analyser. Det sistnämna kan t.ex. vara framtagande av riskfaktorer anpassade för de beslu- tande myndigheternas verksamhet, analyser av regeländringars effekter på felaktiga utbetalningar och analyser för uppföljning av beslutande myndigheters kontrollarbete (inklusive åtgärder efter underrättelse från Myndigheten för utbetalningskontroll). För att detta ska kunna göras behöver personuppgifter behandlas, huvud- sakligen uppgifter som finns i uppgiftssamlingen för dataanalyser och urval. Ändamålet är avsett att omfatta dessa olika former av analyser. Resultatet av denna behandling utgör sammanställningar, statistik, riskfaktorer, etc. och består inte av uppgifter på individnivå. Ändamålet omfattar även inhämtande och bearbetning av t.ex. underlag för omfattningsstudier från de berörda myndigheterna som myndigheten i förekommande fall hämtar in. Urval av utbetalningar för samordnade kontrollinsatser inom ramen för verksamheten att stödja och följa arbetet med att motverka felaktiga utbetalningar från välfärdssystemen Myndigheten behöver inom uppdraget att stödja och följa arbetet med att motverka felaktiga utbetalningar kunna göra urval för sam- ordnade kontrollinsatser. Syftet med detta är att flera myndigheter och arbetslöshetskassor gemensamt ska kunna granska t.ex. en viss företeelse eller ett yrkesområde. För att detta ska vara möjligt måste personuppgifter behandlas, både vid framtagande av urvalen utifrån uppgiftssamlingen för dataanalyser och urval och vid överlämnande av urvalen till beslutsmyndigheterna. Ändamålet är avsett att om- fatta denna behandling. En ny lag om personuppgiftsbehandling Planering, uppföljning och utvärdering av verksamheten Planering, uppföljning och utvärdering av verksamheten får anses utgöra en integrerad del av själva verksamheten och är inte någon fristående aktivitet som behöver regleras särskilt. En ändamåls- bestämmelse som ger stöd för denna typ av behandling behövs där- för inte.58 Uppgifter om juridiska person och avlidna Som framgår av avsnitt 10.2.5 föreslår vi att vissa bestämmelser i lagen ska vara tillämpliga även på uppgifter om juridiska personer och avlidna. Detta föreslås bl.a. gälla för vilka ändamål som upp- gifterna får behandlas. Möjligheten att behandla uppgifter om juri- diska personer och avlidna föreslås alltså begränsas. Förslaget innebär att uppgifter om juridiska personer och avlidna endast får behandlas för de föreslagna ändamålen. 10.3.3Myndigheten får behandla uppgifter för att tillhandahålla information till andra Utredningens förslag: Myndigheten för utbetalningskontroll får behandla personuppgifter för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Skälen för utredningens förslag: När Myndigheten för utbetal- ningskontroll ska lämna personuppgifter till andra myndigheter kommer det ske en behandling av personuppgifter. I den mån ett sådant uppgiftslämnande inte skulle omfattas av de s.k. primära ända- målsbestämmelserna i förra avsnittet behövs en ändamålsbestämmelse som gör det möjligt att behandla personuppgifter i dessa fall, en s.k. sekundär ändamålsbestämmelse. Uppgifter kan komma att lämnas på grund av en skyldighet att lämna uppgifter, t.ex. med stöd av lagen om underrättelseskyldighet vid felaktiga utbetalningar från välfärdssyste- men. Uppgifter kan även lämnas över till andra myndigheter med 2009/10:85, Integritet och effektivitet i polisens brottsbekämpande verksamhet, s. 116 och prop. 2004/05:164, brottsbekämpning – Effektivare uppgiftsbehandling, s. 179. En ny lag om personuppgiftsbehandling stöd av bestämmelser som ger en sådan möjlighet men inte före- skriver en skyldighet. Exempel på detta är t.ex. överlämnande som sker med stöd av generalklausulen i OSL.59 Det är lämpligt att den sekundära ändamålsbestämmelsen vi föreslår ska täcka in båda dessa former av utlämnande av uppgifter. När bestämmelser om uppgiftslämnande har införts i lagstift- ningen får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut.60 Vi anser därför att vårt förslag om en sekundär ändamålsbestämmelse som ger myndigheten möjlighet att behandla personuppgifter för att fullgöra uppgiftslämnande som sker i över- ensstämmelse med lag eller förordning är berättigat. 10.3.4Upplysningsbestämmelse om att finalitetsprincipen är tillämplig Utredningens förslag: Det ska i den nya lagen införas en upp- lysningsbestämmelse om att personuppgifter som har samlats in för de primära ändamålen även får behandlas för andra ändamål, under förutsättning att dessa inte är oförenliga med de ändamål för vilka uppgifterna samlades in. Skälen för utredningens förslag Enligt artikel 5.1 b i dataskyddsförordningen ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (finalitetsprincipen). Ytterligare behandling för arkivända- mål av allmänt intresse, vetenskapliga eller historiska forsknings- ändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. Myndighetens behandling av personuppgifter för dessa ändamål behöver därför inte regleras genom särskilda ändamålsbestämmelser. Tydlighetsskäl talar för att det i lagen bör införas en bestämmelse som anger att det 5910 kap. 27 § OSL. 60Se t.ex. prop. 2015/16:65, Utlänningsdatalag, s. 69 och prop. 2018/19:33, Behandling av person- uppgifter samt registrering och användning av fordon på vägtrafikområdet, s. 126. En ny lag om personuppgiftsbehandling är tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, så länge behandlingen inte är oförenlig med de primära ändamålen för vilka personuppgifterna ursprung- ligen samlades in. En sådan upplysningsbestämmelse finns även i en rad registerförfattningar.61 Det finns skäl för myndigheten att tydligt informera om finalitetsprincipen och dess innebörd för myndig- hetens verksamhet. Uppgiftssamlingen för dataanalyser och urval kan användas vid behandling för olika ändamål för dataanalyser och urval ska fram- för allt användas för ändamålet att göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärds- systemen och det är för detta ändamål som uppgifterna samlas in. Även i övriga delar av myndighetens verksamhet med att förebygga, förhindra och upptäcka felaktiga utbetalningar finns det behov av att behandla uppgifter från uppgiftssamlingen. Vid inledande och för- djupad granskning kan sökningar behöva göras i uppgiftssamlingen för att komplettera uppgifter i en urvalsträff. Inom uppdraget att stödja och följa arbete med att motverka felaktiga utbetalningar ska myndigheten kunna utföra bl.a. riskanalyser och omfattningsstudier vilket förutsätter att sammanställningar kan göras utifrån uppgifter i uppgiftssamlingen för dataanalyser och urval. Myndigheten ska också inom ramen för samma uppdrag kunna göra urval av utbetal- ningar för samordnade åtgärder. Sådana urval tas fram utifrån upp- gifter i uppgiftssamlingen för dataanalyser och urval. Finalitetsprincipen möjliggör att uppgifter som myndigheten samlar in för ändamålet att göra dataanalyser och urval i syfte att upptäcka och förhindra felaktiga utbetalningar från välfärdssyste- men, i ett senare skede även kan behandlas för andra ändamål i verk- samheten med att förebygga, förhindra och upptäcka felaktiga utbetalningar. Behandlingen har även i dessa fall samma syfte, dvs. att genom olika åtgärder minska antalet felaktiga utbetalningar och 61Se t.ex. 4 § andra meningen kriminalvårdsdatalagen (2018:1235), 2 kap. 18 vägtrafikdata- lagen (2019:369) och 9 § lagen (2019:663) om behandling av personuppgifter vid Myndigheten för arbetsmiljökunskap. En ny lag om personuppgiftsbehandling därmed bevara förtroendet för välfärdssystemen. Behandlingen kan således inte anses vara oförenlig med det primära ändamålet.62 10.4Behandling av vissa kategorier av personuppgifter 10.4.1Myndigheten får behandla känsliga personuppgifter om nödvändigt Utredningens förslag: Känsliga personuppgifter ska få behand- las av myndigheten om det är nödvändigt med hänsyn till ända- målet med behandlingen. Skälen för utredningens förslag Myndighetens behov av att behandla känsliga personuppgifter Myndigheten behöver i sin verksamhet behandla känsliga person- uppgifter. Känsliga personuppgifter är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av gene- tiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning.63 Uppgifter om förmåner är centrala i myndighetens verksamhet och dessa uppgifter kan utgöra känsliga personuppgifter om hälsa. Uppgifter om hälsa definieras som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa, inbegripet tillhanda- hållande av hälso- och sjukvårdstjänster, vilket ger information om 62Jfr artikel 6.4 dataskyddsförordningen. 63Artikel 9.1 dataskyddsförordningen. Med genetiska uppgifter avses alla personuppgifter som rör nedärvda eller förvärvade genetiska kännetecken för en fysisk person, vilka ger unik information om denna fysiska persons fysiologi eller hälsa och vilka framför allt härrör från en analys av ett biologiskt prov från den fysiska personen i fråga, se art. 4.13. Med biometriska uppgifter avses personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller finger- avtrycksuppgifter, se art. 4.14. En ny lag om personuppgiftsbehandling dennes hälsostatus.64 Uppgifter som rör hälsa ska ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter, såväl fysiska som psykiska, av en persons hälsa.65 Redan uppgiften om att någon har beviljats en socialförsäkringsförmån har ansetts kunna utgöra en känslig personuppgift om hälsa. Det kan handla om att någon får sjukpenning, sjukersättning, rehabiliteringspenning, vårdbidrag, bil- stöd eller assistansersättning. Även en uppgift om att en förälder får tillfällig föräldrapenning torde vara en känslig uppgift eftersom den rör hälsan för det barn som föräldern får ersättning för.66 Vid myndighetens dataanalyser och urval samt fördjupade granskningar kan kombinationen av olika uppgifter som myndig- heten behandlar avslöja en persons sexuella läggning, könsbyte eller etnicitet. En uppgift om att en person har bytt kön är förmodligen en uppgift som kan anses röra den personens sexualliv.67 Uppgift om civilstånd tillsammans med uppgift om make/maka kan utgöra uppgift om en persons sexuella läggning.68 En isolerad uppgift om exempelvis medborgarskap anses normalt inte avslöja etniskt ursprung. Skulle emellertid en sådan uppgift i det enskilda fallet t.ex. avslöja etniskt ursprung faller den in under förbudet.69 Utbetalningar som myndigheten administrerar kan gå till poli- tiska eller religiösa organisationer. Myndigheten kan därför i sin verksamhet behöva behandla uppgifter som indirekt avslöjar före- trädarens politiska åsikter eller religiösa övertygelse. På samma sätt kan utbetalningar gå till en intresseorganisation vars namn kan avslöja företrädarens etniska ursprung. Med undantag för uppgifter om att en förmån eller stöd har beviljats, vilket kan vara en uppgift om hälsa, är känsliga person- uppgifter inte något som egentligen är av intresse för Myndigheten 64Artikel 4.15 dataskyddsförordningen. 65EU domstolens dom i mål nr C-101/01, punkt 50 och 51. Målet gällde tolkningen av det då gällande direktivet 95/46/EG av om skydd för en- skilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter som ersatts av dataskyddsförordningen. 66Se t.ex. prop. 2018/19:118, Reglering av mikrosimuleringsmodellen Fasit, s. 33–34, SOU 2014:67, Inbyggd integritet inom Inspektionen för socialförsäkringen, s. 110–111 och (2018), Offentlighet, sekretess och behandling av personuppgifter, vägledning 2001:3, Version 5, s. 80–81. 67SOU 1997:39, Integritet – Offentlighet – Informationsteknik, s. 371. 68Skatteverket (2019), Tillåten behandling av personuppgifter, Rättslig vägledning. Enbart en uppgift om civilstånd har inte ansetts vara en sådan uppgift som rör den enskildes sexualliv och detsamma torde gälla även en uppgift om partnerskap, prop. 2011/12:176, Behandling av personuppgifter vid utvärdering, s. 38. 2009/10:85, Integritet och effektivitet i polisens brottsbekämpande verksamhet, s. 325. En ny lag om personuppgiftsbehandling För att myndigheten ska kunna utföra sitt arbete är det dock nödvändigt att myndigheten får möjlighet att behandla sådana uppgifter. Detta gäller för hela den verksamhet som omfattas av lagen. Undantag för behandling av känsliga personuppgifter Vi anser att det bör införas bestämmelser om att Myndigheten för utbetalningskontroll får behandla känsliga personuppgifter om det är nödvändigt med hänsyn till ändamålet med behandlingen. Vår bedömning är att myndighetens arbete med att administrera systemet med transaktionskonto och förebygga, förhindra och upp- täcka felaktiga utbetalningar från välfärdssystemen måste anses vara en uppgift av viktigt allmänintresse70 och att myndigheten därmed bör få behandla känsliga personuppgifter.71 Verksamheten fastställs i myndighetens instruktion och följer även av våra förslag till lag om transaktionskonto (se kapitel 5) och lag om granskningar för att upptäcka och förhindra felaktiga utbetalningar från välfärdssyste- men (se kapitel 7). Syftet är att administrera utbetalningar via syste- met med transaktionskonto och att minska antalet felaktiga utbetal- ningar av välfärdsmedel vilket är av betydelse för att bevara tilltron till välfärdssystemen. Behandlingen är alltså motiverad med hänsyn till ett viktigt allmänintresse. I 3 kap. 3 § dataskyddslagen finns en bestämmelse som möjliggör behandling av känsliga personuppgifter i vissa situationer.72 Vår bedömning är att 3 kap. 3 § dataskyddslagen inte ger tillräckliga rättsliga förutsättningar för den behandling av känsliga person- 70Vad som är ett allmänt intresse (som används i artikel 6) respektive ett viktigt allmänt intresse är inte definierat i dataskyddsförordningen. I förarbetena till dataskyddslagen konsta- teras att det är svårt att på ett generellt plan definiera vad som skiljer ett allmänt intresse från ett viktigt allmänt intresse. Enligt regeringen torde det utgöra göra ett viktigt allmänt intresse att svenska myndigheter, även utanför området myndighetsutövning, kan bedriva den verk- samhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt, se prop. 2017/18:105, Ny dataskyddslag, s. 83. 71Enligt artikel 9.1 i dataskyddsförordningen är behandlingen av känsliga personuppgifter, förbjuden. För att myndigheten ska kunna behandla känsliga personuppgifter måste därför något av undantagen i artikel 9.2 dataskyddsförordningen vara tillämpligt. Av artikel framgår ett undantag från förbudet att behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller med- lemsstatens nationella rätt. 72Undantag gäller om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende, eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. En ny lag om personuppgiftsbehandling uppgifter som är nödvändig för Myndigheten för utbetalnings- kontroll. Det huvudsakliga skälet till detta är att myndighetens personuppgiftsbehandling, som även innefattar känsliga person- uppgifter, innebär betydande intrång i enskildas personliga integri- tet, se avsnitt 10.1.2. Även tydlighetsskäl talar för att införa särskilda bestämmelser om myndighetens behandling av känsliga person- uppgifter. Det bör därför införas en bestämmelse som möjliggör nödvändig behandling av känsliga personuppgifter i den nya lagen. Om myndigheten inte får möjlighet att behandla känsliga person- uppgifter skulle det i vissa fall försvåra hanteringen av utbetalningar, som vi har redogjort för ovan. För att myndigheten ska ha möjlighet att behandla alla på samma sätt så behöver den kunna behandla känsliga personuppgifter. Vi anser att myndighetens behandling står i proportion till det eftersträvade syftet. Den föreslagna lagen inne- håller ändamålsbestämmelser som begränsar myndighetens möjlig- het att behandla personuppgifter. Lagen innehåller även skydds- åtgärder för att balansera det integritetsintrång som behandlingen av känsliga personuppgifter innebär.73 Behandlingen uppfyller därför enligt vår bedömning kraven i artikel att behandlingen ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsent- liga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda skyddsåtgärder för att säkerställa de registre- rades grundläggande rättigheter. Undantaget ska även gälla genetiska och biometriska uppgifter Vi har övervägt om genetiska och biometriska uppgifter ska omfattas av den föreslagna möjligheten att behandla känsliga personuppgifter i myndighetens verksamhet eller inte. Vi ser inte att genetiska eller biometriska uppgifter kommer att behandlas i myndighetens verk- samhet med dataanalyser och urval.