sou · H8B335 · 2020-06-08 00:00:00 — I huvudsak handlar det om uppgifter för företag och andra juridiska personer som mottar utbetalningar från välfärdssystemen eller en- skilda individer som är företrädare för företag som mottar utbetal- ningar från välfärdssystemen. Det kan dock inte uteslutas att upp- gifter för t.ex. koncernbolag eller familjemedlemmar kan behöva ligga till grund för myndighetens dataanalyser och urval. Vad gäller uppgifter på individnivå i arbetsgivardeklarationer kan Myndigheten för utbetalningskontroll behöva få del av uppgifter för samtliga individer för att kunna utföra vissa analyser. Vi menar därför att uppgiftsskyldigheten inte ska avgränsas närmare än till att uppgift- erna ska behövas i myndighetens verksamhet med dataanalyser och urval. Myndigheten för utbetalningskontroll kommer att behöva specificera för vilka enskilda fysiska och juridiska personer myndig- heten vill ta del av uppgifter. Uppgiftsskyldigheten föreslås därför utformas så att utlämnande ska ske på begäran av Myndigheten för utbetalningskontroll. 11.3.9Uppgiftsskyldighet för fördjupad granskning Utredningens förslag: Statliga myndigheter och arbetslöshets- kassor ska på begäran lämna uppgifter som avser en namngiven fysisk eller juridisk person när det gäller uppgifter som behövs för fördjupad granskning vid Myndigheten för utbetalnings- kontroll. ska på begäran lämna uppgifter om en namn- given fysisk eller juridisk persons förhållande till institutet om uppgiften är nödvändig för fördjupad granskning vid Myndig- heten för utbetalningskontroll. Uppgifterna ska lämnas elektro- niskt utan dröjsmål. avses banker och kreditmarknadsföretag, innefattande utländska kreditinstitut med filial i , som omfattas av lagen om bank- och finansieringsrörelse. Skälen för utredningens förslag För att Myndigheten för utbetalningskontroll ska kunna utföra fördjupade granskningar i syfte att upptäcka och förhindra felaktiga utbetalningar och därmed minska brottsligt utnyttjande av välfärden behövs bestämmelser om informationsöverföring från myndigheter, arbetslöshetskassor samt kreditinstitut till Myndigheten för utbetal- ningskontroll. Vid fördjupad granskning har myndigheten behov av att ta del av kompletterande uppgifter utöver uppgifterna som härrör från upp- giftssamlingen för dataanalyser och urval. Det kan vara fråga om både registeruppgifter och andra uppgifter, t.ex. kontoutdrag eller uppgifter från en myndighets ärendeakt (se vidare nedan). Vad gäller registeruppgifter gör sig samma resonemang gällande som i avsnittet ovan. För andra uppgifter menar vi att det bör införas särskilda bestämmelser om uppgiftsskyldighet. Myndigheten måste inför en begäran noga överväga vilka uppgifter som myndigheten har behov av och dess begäran till den uppgiftslämnande aktören måste vara tydlig och precis. Förvaltningslagens (2017:900) krav på proportio- nalitet44 ska beaktas vid inhämtande av kompletterande uppgifter vid fördjupad granskning. 44Myndigheten får ingripa i ett enskilt intresse endast om åtgärden kan antas leda till det av- sedda resultatet. Åtgärden får aldrig vara mer långtgående än vad som behövs och får vidtas endast om det avsedda resultatet står i rimligt förhållande till de olägenheter som kan antas uppstå för den som åtgärden riktas mot, se 5 § tredje stycket förvaltningslagen. Vi har i av- snitt 7.4.1 bedömt att förvaltningslagens regler bör vara tillämpliga i myndighetens verksam- het med fördjupade granskningar. Uppgiftsskyldighet för statliga myndigheter och arbetslöshetskassor Vid fördjupad granskning har Myndigheten för utbetalningskontroll framför allt behov av att ta del av kompletterande uppgifter från den beslutande myndigheten eller arbetslöshetskassan och från andra aktörer vars uppgifter förekommer i urvalsträffen. Det är enligt vår bedömning inte lämpligt att precisera kategorier av uppgifter som ska omfattas av uppgiftsskyldigheten. Uppgifter kommer i första hand att lämnas av beslutande myndigheter, men även andra statliga myndigheter kan komma att lämna uppgifter. Dock bör det inte bli aktuellt för brottsbekämpande myndigheter att lämna uppgifter med stöd av bestämmelsen. Beroende på vilken utbetalning som är föremål för fördjupad granskning kan behovet av kompletterande uppgifter se olika ut och uppgifter från olika myndigheter kan vara relevanta. Vid granskning som omfattar assistansersättningar kan t.ex. tidrapporter för person- liga assistenter behöva begäras in från . Vid gransk- ningar kopplade till välfärdsbolag kan olika former av intyg, t.ex. bankintyg45, behöva begäras in från för att bedöma bolagets seriositet. Vid granskningar av bolag kan det även vara av betydelse att få ta del av bevis över verkställighet från bevissäkringar genomförda av Skatteverket46 för att få uppgifter om vilka som före- trätt bolaget eller befunnit sig i bolagets lokaler vid förrättningen. Även protokoll från förrättningar47 kan vara intressanta av samma anledning. Från kan det vara aktuellt att begära in anställningsavtal som lämnats in av arbetsgivaren t.ex. i ett ärende om nystartsjobb. Det kan finnas be- hov av att få in uppgifter från andra myndigheter än de myndigheter som ska lämna uppgifter till uppgiftssamlingen för dataanalyser och urval, varför uppgiftsskyldigheten inte bör begränsas till dessa myn- digheter. Myndigheten kan t.ex. ha intresse av att få in uppgifter om lönegaranti från vid utredning av om ett företag an- vänds för att möjliggöra felaktiga utbetalningar från välfärdssyste- men.48 45Se 2 kap. 23 § 3 och 2 kap. 17 § aktiebolagslagen (2005:551). 46Se 16 kap. 1 § skatteförfarandeförordningen (2011:1261). 47Se 3 kap. 10 och 11 §§ utsökningsförordningen (1981:981). 48Jfr utredningens beskrivning av företag som brottsverktyg i välfärdssystemet i avsnitt 3.3.2. Myndigheten för utbetalningskontroll får inte behandla fler person- uppgifter än vad som är nödvändigt för ändamålet att utföra för- djupad granskning (jfr avsnitt 10.3.2). Vidare är det av effektivitets- skäl inte lämpligt att myndigheten får ta emot fler uppgifter än vad som behövs för granskningen i fråga. Vi föreslår därför att det tyd- liggörs att uppgiftsskyldigheten i förhållande till statliga myndig- heter och arbetslöshetskassor begränsas till uppgifter som avser en namngiven fysisk eller juridisk person som behövs för den fördjup- ade granskningen. Det innebär t.ex. att man inom ramen för fördjupad granskning inte får hämta in uppgifter generellt om alla personer som mottar en viss förmån. När det gäller en namngiven enskild person bör Myndigheten för utbetalningskontroll inte heller begära in vilka uppgifter som helst, utan uppgifterna måste kunna antas ha en koppling till den aktuella fördjupade granskningen. Det kommer därför t.ex. inte vara av relevans för myndigheten att ta del av upp- gifter från sjukjournaler. Uppgifter som hämtas in med stöd av föreslagen uppgiftsskyldighet får endast behandlas i verksamheten med fördjupad granskning (se avsnitt 7.3.3). Uppgifterna ska också gallras efter att granskningen är avslutad (avsnitt 10.8.4). En- ligt vår bedömning blir därför intrånget i den personliga integriteten liten även om uppgifterna inte preciseras närmare. Vi föreslår mot denna bakgrund en uppgiftsskyldighet för statliga myndigheter och arbetslöshetskassor som möjliggör överföring av kompletterande uppgifter vid den fördjupade granskningen. Uppgifts- skyldigheten fungerar som en sekretessbrytande bestämmelse.49 Vi anser att det vid den fördjupade granskningen är motiverat att även kreditinstitut omfattas av uppgiftsskyldigheten. Med kredit- institut avser vi bank och kreditmarknadsföretag.50 Även utländska kreditinstitut med filial i bör, för att omfattningen av upp- giftsskyldiga ska bli ändamålsenlig, ingå i kretsen uppgiftsskyldiga. 4910 kap. 28 § OSL. 50Jfr definitionen i 1 kap. 5 § 10 lagen (2004:297) om bank- och finansieringsrörelse. Vi har identifierat flera scenarier där tillgång till kontouppgifter för fysiska och juridiska personer är av stor vikt vid granskningen av utbetalningar från välfärdssystemen. Till exempel har en enskilds inkomst betydelse för rätten till och nivån på många förmåner och stöd och det finns därför behov av att kunna kontrollera att en enskild faktiskt har tagit emot en viss löneutbetalning. Det före- kommer också att belopp betalas ut till uppgivna anställda för att sedan direkt betalas tillbaka till utbetalaren vilket kan tyda på att det inte är en faktisk löneutbetalning. Myndigheten för utbetalnings- kontroll har i dessa situationer behov av att ta del av kontouppgifter för att kunna följa pengarna (jfr avsnitt 3.3.2). får inte obehörigen röja uppgifter om en enskilds förhållande till institutet enligt den s.k. banksekretessen.51 Bank- sekretessen gäller inte när någon behörigen lämnar uppgifter. En lagstadgad uppgiftsskyldighet till en myndighet anses vara ett behörigt utlämnande.52 Intresset som banksekretessen avser att skydda be- höver beaktas när det övervägs att införa en uppgiftsskyldighet eftersom banksekretessen därigenom begränsas. Syftet med banksekretess är att tillgodose kundernas integritets- intresse genom att tillse att den information som ett kreditinstitut har om kundernas privata och ekonomiska förhållanden inte sprids, eftersom enskildas personliga integritet eller affärs- och driftsförhåll- anden annars riskeras att skadas. Banksekretessen är en viktig förut- sättning för allmänhetens förtroende för kreditinstitut och för att kunderna ska våga använda institutens tjänster. En uppluckring av banksekretessen riskerar därför att få allvarliga konsekvenser. Av dessa skäl väger intressena bakom banksekretessen tungt.53 För uppgifter om enskildas personliga och ekonomiska förhållan- den föreslår vi absolut sekretess i myndighetens verksamhet. De upp- gifter som vi föreslår att kreditinstitut ska lämna till Myndigheten för utbetalningskontroll omfattas av denna sekretess och får därför anses skyddas av tillräcklig sekretess hos myndigheten. I den mån uppgifterna i ett senare skede lämnas till andra myndigheter kommer de även där att omfattas av sekretess (jfr avsnitt 11.6). 511 kap. 10 § lagen om bank- och finansieringsrörelse. Banksekretessen gäller både fysiska och juridiska personers förhållanden till en bank, och gäller även efter att kundrelationen upphört, se prop. 2002/03:139, Reformerade regler för bank- och finansieringsrörelse, s. 477–478. 2002/03:139, Reformerade regler för bank- och finansieringsrörelse, s. 479. 2002/03:139, Reformerade regler för bank- och finansieringsrörelse, s. 480 och Ds 2019:13, Etableringsjobb, s. 110. Vi gör bedömningen att intresset av att Myndigheten för utbetal- ningskontroll ska kunna granska misstänkta felaktiga utbetalningar väger tungt och att det i denna granskning är nödvändigt att få till- gång till uppgifter om enskildas konton. Det är framför allt kredit- institut som hanterar elektroniska utbetalningar från arbetsgivare till anställda och som även i övrigt hanterar elektroniska utbetalningar för företag. Det finns därför tillräckliga skäl för att kreditinstitut ska vara skyldiga att lämna ut sådana uppgifter.54 Omfattningen av kreditinstitutens uppgiftsskyldighet är privata aktörer och åläggs genom den föreslagna regleringen en skyldighet att lämna ut uppgifter som härrör från ett kundförhållande. Vi bedömer att det i förhållande till dessa aktörer därför är motiverat att det snävare rekvisitet att uppgifterna ska vara nödvändiga uppställs. Det är vidare uppgifter om en persons för- hållande till institutet som ska omfattas av uppgiftsskyldigheten. Sådana uppgifter är exempelvis vem ett bankkonto tillhör och händel- ser på kontot. Tillgång till sådana uppgifter gör att myndigheten t.ex. kan kontrollera att uppgifter om lön som lämnats i en ansökan stämmer. Även andra uppgifter från kreditinstitut kan i vissa fall behövas, t.ex. uppgifter om kontaktpersoner eller fullmaktsinne- havare för konton. Uppgiftsskyldigheten för kreditinstitut bör därför omfatta uppgifter om en namngiven persons förhållande till insti- tutet. I sammanhanget bör det noteras att principen om uppgifts- minimering också innebär en begränsning av myndighetens möjlighet att begära in och behandla personuppgifter. Det följer av principen att myndighetens personuppgiftsbehandling ska minimeras till de upp- gifter som är adekvata och relevanta i förhållande till ändamålet att utföra fördjupad granskning. Överlämnande av uppgifter från kreditinstitut Vi anser att uppgifterna från kreditinstitut ska lämnas i elektronisk form. Bearbetning av uppgifter tar större resurser i anspråk för både myndigheten och kreditinstituten än att hantera uppgifter i 2019/20:117, Förutsättningar för etableringsjobb och vissa frågor om kontroll inom den arbetsmarknadspolitiska verksamheten, s. 44–45. utredningar visar att svarstiderna från instituten varierar kraftigt och att svarstiderna kan vara relativt långa.55 Långa svarstider innebär att Myndigheten för utbetalnings- kontroll inte kan bedriva effektiva granskningar och riskerar att försvåra arbetet, vilket kan leda till att felaktiga utbetalningar inte kan förhindras och att ett brottsligt utnyttjade kan fortgå . Det bör därför ställas krav på att uppgifter som myndig- heten begär med stöd av förslaget lämnas utan dröjsmål och i elek- tronisk form. En sådan reglering finns för olika finan- siella institut56 och regleringen torde därför inte leda till några större ytterligare kostnader för berörda institut. I fråga om kravet på att uppgifterna ska lämnas i elektronisk form, gäller att uppgifterna som utgångspunkt ska lämnas i bearbet- ningsbart skick. Myndigheten kan endast begära in uppgifter från kreditinstitut vid fördjupad granskning. Det är ett mindre antal ut- betalningar som kommer att bli föremål för fördjupad granskning, och det är inte troligt att det i samtliga granskningar kommer att finnas behov av att begära in uppgifter från kreditinstitut. Vi bedömer alltså att det inte kommer att röra sig om något mer omfattande eller regelbundet informationsutbyte mellan myndigheten och kredit- instituten. Vi förutsätter att berörda aktörer utarbetar behövliga rutiner. Vid överföringen förutsätts också att uppgiftslämnaren be- aktar kraven på dataskydd. Att uppgifterna ska lämnas utan dröjsmål innebär att de ska läm- nas skyndsamt. Skyndsamhetskravet understryker det angelägna i att kreditinstitut prioriterar uppgiftslämnandet. 11.3.10Personuppgiftsbehandling hos utlämnande myndigheter Utredningens förslag: Bestämmelsen i lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten om under vilka förutsättningar som Arbetsförmedlingen får behandla personuppgifter för tillhandahållande av information ska kom- pletteras. Behandling ska även få ske för tillhandahållande av 2017/18:291, Finansiella företags uppgifter till brottsutredande myndigheter, s. 36. 56Se t.ex. 8 kap. 2 a första stycket lagen (1998:1479) om värdepapperscentraler och konto- föring av finansiella instrument, 2 kap. 20 § lagen (2004:46) om värdepappersfonder och 1 kap. 11§ lagen om bank- och finansieringsrörelse. information som behövs inom verksamheten vid Myndigheten för utbetalningskontroll. I förordningen om behandling av person- uppgifter i den arbetsmarknadspolitiska verksamheten ska en be- stämmelse föras in om vilka uppgifter som får behandlas och att utlämnande får ske på medium för automatiserad behandling. Studiestödsdataförordningen ska ändras så att det framgår att utlämnande av uppgifter från CSN till Myndigheten för utbetal- ningskontroll får ske på medium för automatiserad behandling. Utredningens bedömning: I övrigt behövs inte några ändringar av registerförfattningar för att utlämnande myndigheter och arbets- löshetskassor ska kunna behandla personuppgifter för att full- göra det uppgiftslämnande som följer av den föreslagna lagen om uppgiftsskyldighet till Myndigheten för utbetalningskontroll. Skälen för utredningens förslag och bedömning Den föreslagna lagen om uppgiftsskyldighet medför en ökad be- handling av personuppgifter. I kapitel 10 finns våra överväganden och förslag vad gäller personuppgiftsbehandlingen hos Myndigheten för utbetalningskontroll. Myndigheter, arbetslöshetskassor och kredit- institut behöver behandla personuppgifter för att kunna lämna upp- gifter till Myndigheten för utbetalningskontroll. En uppgiftsskyl- dighet innebär en sådan rättslig förpliktelse som avses i dataskydds- förordningen57 och utlämnande myndighet, arbetslöshetskassa eller kreditinstitut får därmed en rättslig grund för behandlingen. Syftet med behandlingen ska fastställas i den rättsliga grunden.58 Genom att den föreslagna lagtexten anger att uppgiftsskyldigheten endast avser uppgifter som behövs för verksamhet med dataanalyser och urval för att upptäcka och förhindra felaktiga utbetalningar alterna- tivt förhållanden som är av betydelse för myndighetens fördjupade granskning får kravet på syfte anses tillgodosett. Den ökade person- uppgiftsbehandling som den föreslagna lagen innebär är nödvändig med hänsyn till behovet av att skydda välfärdssystemen mot fel- aktiga utbetalningar och brottsligt utnyttjande och uppfyller därmed 57Artikel 6.1 c. 58Detta följer av artikel 6.3 dataskyddsförordningen. ett mål av allmänt intresse. Uppgiftsskyldigheterna är nödvändiga för att Myndigheten för utbetalningskontroll överhuvudtaget ska kunna utföra verksamhet med dataanalyser, urval och fördjupade granskningar. Vi anser att våra förslag är proportionella i förhållande till det eftersträvade målet. Se vidare avsnitt 10.1.2 och 14.5.1 där våra integritetsavvägningar finns. Uppgiftsskyldigheten, i kombination med sekundära ändamålsbestäm- melser i myndigheternas registerförfattningar ger ett tydligt stöd för den behandling av personuppgifter som blir nödvändig med anled- ning av våra förslag. För att myndigheter ska kunna utbyta information som inne- fattar personuppgifter krävs att utlämnandet inte kommer i konflikt med bestämmelser om behandling av personuppgifter i myndighet- ernas registerförfattningar. Samtliga myndigheter som omfattas av skyldigheten att lämna uppgifter till verksamheten med dataanalyser och urval hos Myndigheten för utbetalningskontroll omfattas av registerförfattningar. En bedömning bör göras av om dessa myndig- heters registerförfattningar behöver ändras i något avseende för att säkerställa att det finns ett tydligt stöd för den behandling av person- uppgifter som krävs för den utökade uppgiftsskyldigheten. I samtliga registerförfattningar finns s.k. sekundära ändamål som ger stöd för att behandla uppgifter när det är nödvändigt för att tillhandahålla information till en annan myndighet om uppgifterna lämnas med stöd av lag eller förordning. För arbetslöshetskassorna samt kreditinstituten finns inte någon registerförfattning och det är därmed dessa aktörer själva som bestäm- mer ändamålen med personuppgiftsbehandlingen. Detsamma gäller om de uppgifter som omfattas av uppgiftsskyldighet inte skulle omfattas av en myndighets registerförfattning. Den personuppgifts- ansvarige får (eller ska) under vissa förutsättningar behandla person- uppgifter när detta grundar sig på EU-rätt eller nationell lagstiftning även om behandlingen skulle ske för andra, oförenliga, ändamål än för vilka personuppgifterna samlades in.59 Det finns därmed ett tyd- 59Det följer av artikel 6.4 och artikel 23 i dataskyddsförordningen, se , (2019), Data- skyddsförordningen (GDPR) m.m., s. 119. ligt stöd för att behandla personuppgifterna för att fullgöra uppgifts- lämnande i enlighet med den föreslagna lagen oavsett om uppgift- erna hos den utlämnande aktören omfattas av en registerförfattning eller inte. Utlämnande på medium för automatiserad behandling Utlämnande av uppgifterna bör ske på medium för automatiserad behandling. I registerförfattningarna för CSN och Arbetsförmed- lingen finns bestämmelser som begränsar utlämnande på medium för automatiserad behandling. I dessa fall behövs ändringar i registerför- fattningarna för att möjliggöra ett regelbundet utlämnande av upp- gifterna på medium för automatiserad behandling. Det finns inte något behov av att ändra andra registerförfattningar för att utläm- nande myndigheter ska kunna lämna uppgifter på medium för auto- matiserad behandling.60 För att Arbetsförmedlingen regelbundet ska kunna lämna ut information elektroniskt till Myndigheten för utbetalningskontroll måste 5 § lagen om (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ändras. Detta genom att Myndigheten för utbetalningskontroll läggs till i listan i bestämmel- sen. Vidare bör det i förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten regleras vilka uppgifter Arbetsförmedlingen får behandla för ändamålet att lämna uppgifter till Myndigheten för utbetalningskontroll. Det bör även föreskrivas att sådan behandling får ske på medium för auto- matiserad behandling. Denna reglering bör också innefatta de uppgifter Arbetsförmedlingen ska lämna till Myndigheten för utbetalnings- kontroll på grund av anslutning till systemet med transaktionskonto. I 15 § studiestödsdataförordningen (2009:321) listas vilka CSN får lämna uppgifter till elektroniskt på annat sätt än genom direkt- åtkomst. För att CSN ska kunna lämna uppgifter till Myndigheten för utbetalningskontroll på medium för automatiserad behandling ska utlämnande till myndigheten läggas till i paragrafen. Bestäm- melsen bör dels omfatta sådana uppgifter som följer av den före- 60Detta gäller uppgiftslämnande för verksamheten med dataanalyser och urval där det är speci- ficerat vilka myndigheter som omfattas av uppgiftsskyldigheterna. slagna lagen om uppgiftsskyldighet, dels sådana uppgifter som behövs för att utbetalning ska kunna ske via systemet med transaktionskonto. I övrigt behövs inte några förändringar i registerförfattningar med anledning av våra förslag. 11.4Underrättelseskyldigheter vid felaktiga utbetalningar från välfärdssystemen Utredningens förslag: Lagen om underrättelseskyldighet vid fel- aktiga utbetalningar från välfärdssystemen ska gälla för Myndig- heten för utbetalningskontroll i de delar som rör underrättelse- skyldighet. I den föreslagna lagen om granskningar för att upptäcka och förhindra felaktiga utbetalningar från välfärdssystemen ska det tas in en upplysningsbestämmelse om att underrättelseskyldighet följer av lagen om underrättelseskyldighet vid felaktiga utbetal- ningar från välfärdssystemen. Skälen för utredningens förslag Lagen om underrättelseskyldighet vid felaktiga utbetalningar från välfärdssystemen ska tillämpas av Myndigheten för utbetalningskontroll Om det finns anledning att anta att det har skett en felaktig ut- betalning anser vi att Myndigheten för utbetalningskontroll ska kunna lämna information om detta till den myndighet som har be- slutat om den förmån eller det stöd som utbetalningen avser, se avsnitt 7.2.2 och 7.3.6. För att detta ska vara möjligt behöver det införas sekretessbrytande bestämmelser. Vi menar att information bör kunna lämnas med stöd av lagen (2008:206) om underrättelseskyldighet vid felaktiga utbetalningar från välfärdssystemen. Lagen gäller sådana bidrag, ersättningar och lån för personligt ändamål (ekonomiska förmåner) som enligt lag eller förordning beslutas av , , , , Arbetsförmedlingen, kommunerna eller arbetslöshetskassorna. Lagen gäller även sådana stöd, bidrag och ersättningar som enligt lag eller förordning beslutas av Försäkrings- kassan, Arbetsförmedlingen eller en kommun och avser en enskild person, men betalas ut till eller tillgodoräknas någon annan än den enskilde. Av lagen följer att om det finns anledning att anta att en eko- nomisk förmån eller ett ekonomiskt stöd har beslutats, betalats ut eller tillgodoräknats felaktigt eller med ett för högt belopp, ska underrättelse om detta lämnas till den myndighet eller organisation som har fattat beslutet. Underrättelseskyldigheten gäller inte om det finns särskilda skäl.