Regeringens proposition 2002/03:135

Behandling av personuppgifter inom

Prop.

socialförsäkringens administration

2002/03:135

Regeringen överlämnar denna proposition till riksdagen. Stockholm den 28 maj 2003 Göran[REDACTED_EFTERNAMN] Lars Engqvist (Socialdepartementet) Propositionens huvudsakliga innehåll Regeringen föreslår en ny lag om behandling av personuppgifter inom socialförsäkringens administration. Den föreslagna lagen är en s.k. re- gisterlag, som utgör ett komplement till personuppgiftslagens (1998:204) bestämmelser om skydd för den personliga integriteten vid behandling av personuppgifter. Den nya lagen ersätter socialförsäkringsregisterlagen (1997:934). Den föreslagna lagen innehåller i huvudsak följande. Lagen skall tillämpas vid behandling av personuppgifter vid Riksförsäkringsverket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten (socialförsäkringens administration). Lagen gäller dock endast om be- handlingen är helt eller delvis automatiserad eller om personuppgifter in- går i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda krite- rier. Bestämmelserna i lagen skall i vissa fall även gälla uppgifter om av- lidna personer. I lagen anges ändamål för behandling av personuppgifter. Ändamålen delas in i primära ändamål och sekundära ändamål. De pri- mära ändamålen avser behandling av personuppgifter för tillgodoseende av de behov som finns inom socialförsäkringens administration. De se- kundära ändamålen avser utlämnande av personuppgifter från myndig- heter inom socialförsäkringens administration. I lagen regleras behand- lingen av känsliga personuppgifter som avses i 13 § personuppgiftslagen respektive uppgifter om lagöverträdelser m.m. som avses i 21 § person- uppgiftslagen. Den övergripande regleringen av de mer integritetskäns- liga typerna av behandlingar utgår från begreppet socialförsäkringsdata- basen. Socialförsäkringsdatabasen avser den samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom socialför- säkringens administration. I syfte att möta de integritetsrisker som följer 1 med ett ökat inslag av informationsteknik inom förvaltningen föreslås även vissa regler om ökad datasäkerhet. Tilldelning av behörighet för åt- komst till socialförsäkringsdatabasen skall endast ske genom en särskild handling. Behörighet för åtkomst till socialförsäkringsdatabasen skall alltid begränsas till den åtkomst till uppgifter som behövs för den enskil- des fullgörande av sina arbetsuppgifter. Vidare regleras direktåtkomst till uppgifter i socialförsäkringsdatabasen samt utlämnande av sådana upp- gifter på medium för automatiserad behandling. Känsliga personuppgif- ter eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § per- sonuppgiftslagen skall inte få användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Utan hinder av begränsningarna för sökning i den föreslagna lagen skall dock personuppgifter som rör hälsa få användas som urvalskriterium vid sammanställningar om reger- ingen har meddelat föreskrifter om det. Överföring av personuppgifter till tredje land som är nödvändig på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater skall få ske utan hinder av 33 § personuppgiftslagen. I fråga om automatiserad behandling av per- sonuppgifter som omfattas av den nya lagen skall bestämmelserna om in- formation till den registrerade i 23 och 2527 §§ personuppgiftslagen tillämpas, dock med den begränsningen att uppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende inte behöver tas med i information enligt 26 § personuppgiftslagen om den registrerade tagit del av handlingens innehåll. Av informationen skall dock framgå vilka så- dana handlingar som behandlas. Om den registrerade begär det och anger vilken handling som avses skall dock informationen, om inte annat följer av bestämmelser om sekretess, även omfatta uppgifter i en sådan hand- ling. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Vid behandling av personuppgifter i strid med den nya lagen skall gälla en motsvarande skyldighet till skadestånd som en- ligt personuppgiftslagen gäller vid behandling av personuppgifter i strid med den lagen. Personuppgift som behandlas automatiserat skall gallras när det inte är längre är nödvändigt med hänsyn till de primära ändamå- len att bevara den. Regeringen eller den myndighet regeringen bestäm- mer får dock föreskriva att personuppgifter får bevaras för historiska, statistiska och vetenskapliga ändamål. De allmänna försäkringskassorna, Riksförsäkringsverket och Premiepensionsmyndigheten åläggs att genom särskilda åtgärder kontrollera efterlevnaden av den nya lagen, enligt vad som föreskrivs av regeringen eller den myndighet regeringen bestämmer. Lagen föreslås träda i kraft den 1 december 2003. Prop. 2002/03:135 2

Innehållsförteckning

Prop. 2002/03:135

1

Förslag till riksdagsbeslut..................................................................

6

2

Förslag till lag om behandling av personuppgifter inom

socialförsäkringens administration....................................................

7

3

Ärendet och dess beredning.............................................................

14

4

Behandling av personuppgifter inom socialförsäkringens

administration

..................................................................................

14

4.1

Uppgifterna för socialförsäkringens administration .........

14

4.1.1 .....................................

Riksförsäkringsverket

15

4.1.2 ...................

De allmänna försäkringskassorna

16

4.1.3 ..........................

Premiepensionsmyndigheten

16

4.2

Automatiserad behandling av personuppgifter

inom socialförsäkringens administration ..........................

17

4.2.1

Register som förs gemensamt för

Riksförsäkringsverket och de allmänna

försäkringskassorna ........................................

18

4.2.2

Register som förs särskilt för

Riksförsäkringsverket .....................................

23

4.2.3

Register som förs särskilt för de

allmänna försäkringskassorna.........................

24

4.2.4

Register som förs särskilt för

Premiepensionsmyndigheten ..........................

25

5

Gällande rätt vid behandling av personuppgifter inom

socialförsäkringens administration..................................................

26

5.1

Grundläggande regler för behandling av

personuppgifter finns i personuppgiftslagen.....................

26

5.2

Socialförsäkringsregisterlagen (1997:934) .......................

34

6

En ny lag om behandling av personuppgifter inom

socialförsäkringens administration överväganden

och förslag .......................................................................................

38

6.1

Inledning ...........................................................................

38

6.2

Särskild författningsreglering ...........................................

39

6.3

Den nya lagens tillämpningsområde m.m.........................

41

6.4

Personuppgiftsansvar ........................................................

51

6.5

Ändamål............................................................................

54

6.6

Primära ändamål ...............................................................

60

6.7

Sekundära ändamål ...........................................................

67

6.7.1

Utlämnande till organ utanför

socialförsäkringens administration

som har direktåtkomst.....................................

68

6.7.2

Utlämnande till övriga organ ..........................

69

6.8

Behandling av känsliga personuppgifter m.m. .................

73

6.8.1

Personuppgiftslagens regler om

känsliga personuppgifter.................................

73

6.8.2

Personuppgiftslagens regler om

uppgifter om lagöverträdelser m.m.................

74

3

6.8.3

Generella regler om behandling av

känsliga personuppgifter inom

socialförsäkringens administration .................

74

6.8.4

Generella regler om behandling av

uppgifter om lagöverträdelser m.m.

inom socialförsäkringens administration........

80

6.9

Behandling av personuppgifter i

socialförsäkringsdatabasen ...............................................

82

6.9.1

Endast personuppgifter som är relevanta

för de primära ändamålen bör ingå i

socialförsäkringsdatabasen .............................

82

6.9.2

En regel om behandling av vissa

kategorier av uppgifter i

socialförsäkringsdatabasen .............................

82

6.9.3

En särskild regel om inkomna

respektive upprättade handlingar

i ärenden..........................................................

85

6.9.4

Behörighet för behandling av

personuppgifter ...............................................

85

6.10

Direktåtkomst....................................................................

88

6.10.1

Särskilda regleringar av utlämnande av

uppgifter i registerlagstiftning ........................

88

6.10.2

Direktåtkomst till uppgifter och

handlingar i socialförsäkringsdatabasen .........

89

6.10.3

Myndigheterna inom socialförsäkringens

administration .................................................

90

6.10.4

Statens pensionsverk och KPA Pension AB...

91

6.10.5

Centrala studiestödsnämnden och

arbetslöshetskassorna......................................

94

6.10.6

Enskilda ..........................................................

96

6.11

Utlämnande av uppgifter på medium för

automatiserad behandling .................................................

97

6.11.1

Utlämnande får ske till den registrerade

samt enligt de sekundära ändamålen ..............

97

6.11.2

Utlämnande för direkt marknadsföring ........

100

6.12

Särskilt reglerade behandlingar.......................................

102

6.12.1

Pensionsportalen ...........................................

102

6.12.2

Utökning av möjlighet till

utlämnande av uppgifter för

skadereglering ...............................................

104

6.13

Sökbegrepp......................................................................

107

6.13.1

Begränsningar för vissa fall ..........................

107

6.13.2

Sammanställningar av uppgifter ...................

110

6.14

Överföring av personuppgifter till tredje land ................

112

6.15

Information......................................................................

113

6.16

Gallring

...........................................................................

117

6.17

Avgifter

...........................................................................

123

6.18

Skadestånd . .............................................................m.m

124

6.19

Rättelse ....................................................................m.m

125

6.20

Säkerhet . .................................................................m.m

125

6.21

Tystnadsplikt ...............................vid KPA Pension AB

126

Prop. 2002/03:135 4

6.22

Överklagande ..................................................................

127

Prop. 2002/03:135

6.23

Ikraftträdande- och övergångsbestämmelser ..................

127

7

Konsekvenser av förslagen............................................................

128

8

Författningskommentar .................................................................

129

Bilaga 1

Sammanfattning av förslagen i departements-

promemorian En ny lag om behandling av

personuppgifter om socialförsäkringens

administration (Ds 2002:60) ...........................................

138

Bilaga 2

Lagförslag i departementspromemorian En ny lag

om behandling av personuppgifter inom socialför-

säkringens administration (Ds 2002:60) .........................

142

Bilaga 3

Förteckning över remissinstanser som avgett

yttrande angående departementspromemorian

En ny lag om behandling av personuppgifter inom

socialförsäkringens administration (Ds 2002:60) ...........

150

Bilaga 4

Lagrådsremissens lagförslag...........................................

151

Bilaga 5

Lagrådets yttrande...........................................................

159

Utdrag ur protokoll vid regeringssammanträde den 28 maj 2003 .........

168

5 Prop. 2002/03:135 1 Förslag till riksdagsbeslut Regeringen föreslår att riksdagen antar regeringens förslag till lag om behandling av personuppgifter inom socialförsäkringens administration. 6 2 Förslag till lag om behandling av Prop. 2002/03:135 personuppgifter inom socialförsäkringens administration Härigenom föreskrivs följande. Lagens tillämpningsområde m.m.

1 § Denna lag tillämpas vid behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersätt- ningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Riksförsäkringsverket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Bestämmelserna i 715, 2425 och 28 §§ gäller i tillämpliga delar även uppgifter om avlidna personer.

2 § Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen.

3 § I fråga om behandling av personuppgifter inom ramen för den offici- ella statistiken finns särskilda bestämmelser i lagen (2001:99) om den of- ficiella statistiken och i författningar som ansluter till den lagen.

4 § Den samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamhet som avses i 1 § utgör socialförsäk- ringsdatabasen. Förhållandet till personuppgiftslagen

5 § Personuppgiftslagen (1998:204) gäller vid behandling av personupp- gifter inom socialförsäkringens administration, om inte annat följer av denna lag eller föreskrifter som meddelas med stöd av denna lag eller av personuppgiftslagen. Personuppgiftsansvar

6 § En myndighet inom socialförsäkringens administration är personupp- giftsansvarig för den behandling av personuppgifter som den utför. 7

Ändamål för behandling av personuppgifter

Prop. 2002/03:135

7 § De allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får i sin verksamhet behandla personuppgifter om det är nödvändigt för att

1.

återsöka vägledande avgöranden,

2.

tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersätt- ningar som nämns i 1 § skall kunna bedömas eller fastställas,

3.

informera om sådana förmåner och ersättningar som nämns i 1 §,

4.

handlägga ärenden,

5.

planera verksamhet samt genomföra resultatstyrning, resultatupp- följning, resultatredovisning, utvärdering och tillsyn av respektive verk- samhet, eller

6.

framställa statistik avseende verksamhet enligt 4 och 5.

Vid behandling för det ändamål som anges i första stycket 1 får inte uppgifter som direkt pekar ut den registrerade användas.

8 § Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas av de allmänna försäkringskassorna och Riksförsäkringsverket för tillhandahållande av information som behövs

1.

som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av Centrala studiestödsnämnden och arbetslöshetskassorna,

2.

för samordning av tjänstepensioner i den verksamhet som bedrivs av Statens pensionsverk och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner, eller

3.

för handläggning av ärenden hos Statens pensionsverk där regler om statens tjänstegrupplivförsäkring skall tillämpas.

De allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får även behandla personuppgifter som behandlas för ändamål som anges i 7 § för att tillhandahålla information utanför den egna myndigheten på grund av

1.

sådan bestämmelse om skyldighet att lämna ut uppgifter till andra myndigheter som avses i 14 kap. 1 § andra meningen sekretesslagen (1980:100),

2.

sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning,

3.

sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen, eller

4.

åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet eller i avtal om social trygghet eller utgivande av sjukvårdsförmå- ner som Sverige ingått med andra stater.

9 § I fråga om behandling av personuppgifter för annat ändamål än vad som anges i 7 och 8 §§ gäller 9 § första stycket d och andra stycket per- sonuppgiftslagen (1998:204). 8 Behandling av känsliga personuppgifter m.m.

10 § Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) ( känsliga personuppgifter ) får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. Känsliga per- sonuppgifter får vidare behandlas för något av de ändamål som anges i 7 § första stycket 1 eller 8 § om det är nödvändigt med hänsyn till ända- målet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ända- mål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har be- handlats för något av de ändamål som anges i 7 § första stycket 24.

11 § Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) får behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen får behandlas för något av de ändamål som anges i 7 § första stycket 1 eller 8 § om det är nödvändigt med hänsyn till ändamålet. För något av de ändamål som anges i 7 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen behandlas som enligt 14 § får behandlas i socialförsäkrings- databasen. Utöver vad som följer av första stycket första meningen och andra stycket får sådana uppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lagöverträdelser än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 24.

12 § I 14 § finns särskilda bestämmelser om behandling i socialförsäk- ringsdatabasen av känsliga personuppgifter och uppgifter om lagöverträ- delser m.m. som avses i 21 § personuppgiftslagen (1998:204). Behandling av personuppgifter i socialförsäkringsdatabasen

13 § I socialförsäkringsdatabasen får endast sådana personuppgifter be- handlas som avser personer som omfattas eller har omfattats av verk- samhet enligt de ändamål som anges i 7 § eller personer om vilka upp- gifter på annat sätt behövs för handläggningen av ett ärende.

14 § För de ändamål som anges i 79 §§ får, med beaktande av de be- gränsningar som följer av 7 och 13 §§, i socialförsäkringsdatabasen be- handlas identifierings- och adressuppgifter. Prop. 2002/03:135 9 Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får utöver vad som anges i 15 § behandlas i socialförsäkringsdatabasen bara om det särskilt anges i lag eller förordning. För sådan behandling gäller de begränsningar som följer av 10 och 11 §§. Regeringen eller den myndighet regeringen be- stämmer meddelar föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen.

15 § Uppgifter i en handling som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkringsdatabasen, om uppgifterna är nödvändiga för ärendets handläggning. Tilldelning av behörighet

16 § Behörighet för åtkomst till socialförsäkringsdatabasen skall inom socialförsäkringens administration tilldelas genom en särskild handling i enlighet med vad som föreskrivs av regeringen eller den myndighet re- geringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas till vad som behövs för att den enskilde skall kunna fullgöra sina arbets- uppgifter. Direktåtkomst

17 § Direktåtkomst till socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i lag eller förordning.

18 § De allmänna försäkringskassorna, Riksförsäkringsverket och Pre- miepensionsmyndigheten får ha direktåtkomst till socialförsäkringsdata- basen i den utsträckning det behövs för de ändamål som anges i 7 och 8 §§. Sådan direktåtkomst skall vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om direktåtkomst som avses i första stycket.

19 § Statens pensionsverk och det för kommunerna och landstingen ge- mensamma organet för administration av personalpensioner får ha di- rektåtkomst till socialförsäkringsdatabasen för samordning av tjänstepen- sioner med socialförsäkringsförmåner. Statens pensionsverk får ha direktåtkomst till socialförsäkringsdata- basen för handläggning av ärenden där regler om statens tjänstegruppliv- försäkring skall tillämpas. Bestämmelserna i 16 § och 18 § första stycket andra meningen gäller också för pensionsverket och det gemensamma organet. Regeringen eller den myndighet regeringen bestämmer meddelar före- skrifter om vilka uppgifter direktåtkomst enligt första och andra stycket får omfatta. Prop. 2002/03:135 10

20 § Centrala studiestödsnämnden och arbetslöshetskassorna får ha di- Prop. 2002/03:135 rektåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för ändamål som anges i 8 § första stycket 1. Regeringen meddelar föreskrifter om vilka uppgifter direktåtkomst en- ligt första stycket får omfatta. Utlämnande på medium för automatiserad behandling

21 § Personuppgifter i socialförsäkringsdatabasen som får lämnas ut till den registrerade får lämnas ut till denne på medium för automatiserad behandling. Personuppgifter i socialförsäkringsdatabasen får i övrigt lämnas ut på medium för automatiserad behandling endast om det behövs för något av de ändamål som anges i 8 §.

22 § Personuppgifter i socialförsäkringsdatabasen får lämnas ut på me- dium för automatiserad behandling för sammanställning av gemensam pensionsinformation om den registrerade uttryckligen samtyckt till ut- lämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första stycket.

23 § Personuppgifter som behövs för skadereglering får lämnas ut på medium för automatiserad behandling till organ som driver försäkrings- rörelse om den registrerade uttryckligen samtyckt till utlämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första stycket. Sökbegrepp

24 § Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialför- säkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet regeringen bestämmer meddelar före- skrifter om begränsningar i övrigt för vilka sökbegrepp som får använ- das.

25 § Utan hinder av de begränsningar för sökning som anges i 24 § får personuppgifter som rör hälsa användas som urvalskriterium vid sam- manställningar om regeringen har meddelat föreskrifter om det. 11 Överföring av personuppgifter till tredje land

26 § Överföring av personuppgifter till tredje land på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater får ske utan hinder av 33 § personuppgiftslagen (1998:204). Information

27 § Personuppgifter i handlingar som kommit in i ett ärende eller upp- rättats i ett ärende behöver inte tas med i information enligt 26 § person- uppgiftslagen (1998:204) om den registrerade tagit del av handlingens innehåll. Av informationen skall det dock framgå vilka sådana hand- lingar som behandlas. Om den registrerade begär information om upp- gifter i en sådan handling och anger vilken handling som avses, skall dock informationen omfatta dessa uppgifter, om inte annat följer av be- stämmelser om sekretess. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Gallring

28 § Personuppgifter som behandlas automatiserat skall gallras när de inte längre är nödvändiga för de ändamål som anges i 7 §. Regeringen eller den myndighet regeringen bestämmer får dock med- dela föreskrifter om att personuppgifter får bevaras för historiska, statis- tiska och vetenskapliga ändamål. Avgifter

29 § Avgifter får tas ut för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen enligt de närmare föreskrifter som meddelas av regeringen eller den myndighet regeringen bestämmer. Rätten att ta ut avgifter enligt första stycket får inte innebära inskränk- ning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen. Rättelse och skadestånd

30 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Kontrollverksamhet

31 § De allmänna försäkringskassorna, Riksförsäkringsverket och Premie- pensionsmyndigheten skall genom särskilda åtgärder kontrollera ef- terlevnaden av denna lag enligt vad som föreskrivs av regeringen eller den myndighet regeringen bestämmer. Prop. 2002/03:135 12

Tystnadsplikt

Prop. 2002/03:135

32 § Den som genom sin befattning med personuppgifter som inhämtats

från socialförsäkringsdatabasen till det för kommunerna och landstingen

gemensamma organet för administration av personalpensioner får känne-

dom om uppgifter om enskildas ekonomiska och personliga förhållanden

får inte obehörigen röja dessa uppgifter.

Överklagande

33 § En myndighets beslut om rättelse eller om avslag på ansökan om in-

formation enligt 26 § personuppgiftslagen (1998:204) får överklagas hos

allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte över-

klagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1.

Denna lag träder i kraft den 1 december 2003, då socialförsäkrings- registerlagen (1997:934) upphör att gälla.

2.

Bestämmelserna i denna lag skall inte tillämpas före den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som på- börjats före den 24 oktober 1998 eller manuell behandling av personupp- gifter som utförs för ett visst ändamål om manuell behandling för ända- målet påbörjats före den 24 oktober 1998.

3.

Den nya lagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som ett yrkande om skadestånd grundas på har in- träffat efter det att den nya lagen har trätt i kraft. I annat fall tillämpas de äldre bestämmelserna.

13

3

Ärendet och dess beredning

Prop. 2002/03:135

Den 1 oktober 2001 trädde vissa ändringar av socialförsäkringsregister- lagen (1997:934) i kraft. Ändringarna utgjorde resultatet av en begränsad översyn av lagen i syfte att anpassa den till den generellt tillämpliga per- sonuppgiftslagen. I propositionen som låg till grund för ändringarna av lagen (prop. 2000/01:69) anmärktes särskilt att de framlagda förslagen utgjorde endast en begränsad översyn i syfte att anpassa socialförsäk- ringsregisterlagen till personuppgiftslagen samt att regeringen hade för avsikt att under våren 2001 påbörja en översyn av registerlagstiftningen inom socialförsäkringens administration i ett vidare perspektiv. Den i propositionen aviserade översynen har bedrivits i projektform i Socialdepartementet. Arbetet i projektet har resulterat i en departements- promemoria En ny lag om behandling av personuppgifter inom social- försäkringens administration (Ds 2002:60). I promemorian föreslås en ny lag om behandling av personuppgifter inom socialförsäkringens admi- nistration som avses ersätta socialförsäkringsregisterlagen. En sammanfattning av promemorians förslag finns i bilaga 1. Prome- morians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. I bilaga 3 finns en förteckning över remissinstanserna. Remissvaren och en remissammanställning finns tillgänglig i Socialdepartementet (dnr S2003/741/SF). Förslagen i denna proposition bygger på en överenskommelse mellan den socialdemokratiska regeringen, vänsterpartiet och miljöpartiet. Lagrådet Regeringen beslutade den 16 april 2003 att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4 . Lagrådets yttrande finns i bilaga 5 . Regeringen har i huvudsak följt Lagrådets förslag. Lagrådets syn- punkter behandlas i avsnitten 6.3, 6.5, 6.6, 6.7, 6.8, 6.9, 6.10, 6.16, 6.17 och 8. Utöver de ändringar av förslagen som redovisas där har vissa re- daktionella ändringar gjorts i lagtexten.

4

Behandling av personuppgifter inom socialförsäkringens administration

4.1

Uppgifterna för socialförsäkringens administration

Riksförsäkringsverket administrerar den offentliga socialförsäkringen och anslutande bidragssystem tillsammans med de allmänna försäkrings- kassorna. Premiepensionsmyndigheten har till uppgift att handlägga frå- gor om premiepension enligt lagen (1998:674) om inkomstgrundad ål- derspension och lagen (1998:710) med vissa bestämmelser om Premie- pensionsmyndigheten. Tillsammans kallas myndigheterna socialförsäk- ringens administration. 14 Exempel på olika delar av den offentliga socialförsäkringen som Riks- Prop. 2002/03:135 försäkringsverket och de allmänna försäkringskassorna tillsammans ad- ministrerar är sjukförsäkringen, föräldraförsäkringen och ålderspensio- nen. Barnbidrag, underhållsstöd och bostadsbidrag är exempel på andra förmåner som finns inom socialförsäkringen.

4.1.1

Riksförsäkringsverket

Riksförsäkringsverket är central förvaltningsmyndighet för socialförsäk- ringen och anslutande bidragssystem och svarar på central nivå för bl.a. tillsyn och utvärdering av verksamheten. Några av Riksförsäkringsverkets uppgifter som förtjänar att nämnas i detta sammanhang är

a)

att verka för att socialförsäkrings- och bidragssystemen tillämpas likformigt och rättvist,

b)

att verka för att åtgärder vidtas för att förebygga och minska ohälsa i syfte att minska de långa sjukperioderna,

c)

att utöva tillsyn över de allmänna försäkringskassorna,

d)

att utöva tillsyn över att Premiepensionsmyndigheten tillämpar de bestämmelser om premiepension som inte avser kapitalförvaltning eller försäkringsteknisk verksamhet på ett likformigt och rättvist sätt i förhållande till enskilda,

e)

att ansvara för ekonomistyrningen av försäkringskassorna,

f)

att vara ansvarig systemägare för Riksförsäkringsverkets och för- säkringskassornas gemensamma 

IT-system,

g)

att ha ett övergripande ansvar för att allmänheten får en tillfreds- ställande information om socialförsäkringen, i de delar den ligger inom myndighetens verksamhetsområde, och anslutande bidrags- system samt om planerade förändringar inomområdet,

h)

att ha huvudansvaret för att samordna informationen till allmän- heten om premiepensionen och den övriga ålderspensionen enligt lagen (1998:674) om inkomstgrundad ålderspension,

i)

att stödja forskning inom socialförsäkringsområdet,

j)

att ha en stödjande och rådgivande funktion för den interna revisio- nen vid de allmänna försäkringskassorna och därvid samråda med Riksrevisionsverket i frågor av större vikt,

k)

att ansvara för officiell statistik enligt förordningen (2001:100) om den officiella statistiken,

l)

att följa utvecklingen inom socialförsäkringen och anslutande bi- dragssystem samt utvärdera effekterna av dessa för individ och samhälle,

m)

att ta fram och vidareutveckla prognosmodeller och svara för pro- gnoser för och analyser av utgifterna för de socialförsäkrings- och bidragssystem som administreras av Riksförsäkringsverket och de allmänna försäkringskassorna,

n)

att biträda Regeringskansliet inom sitt verksamhetsområde,

o)

att delta i internationellt samarbete inom sitt verksamhetsområde,

p)

att verka för att dess verksamhet i alla delar tar hänsyn till effek- terna för både kvinnor och män,

15 q) att ha ett samlat ansvar, sektorsansvar, för handikappfrågor med an- Prop. 2002/03:135 knytning till sitt verksamhetsområde och inom ramen för detta an- svar vara samlande, stödjande och pådrivande i förhållande till övriga berörda parter,

r)

att samverka med Arbetsmarknadsstyrelsen, Arbetsmiljöverket och Socialstyrelsen i syfte att uppnå en effektivare användning av till- gängliga resurser inom rehabiliteringsområdet.

Inom sitt verksamhetsområde företräder Riksförsäkringsverket staten vid domstol. Riksförsäkringsverket svarar för administrationen av socialförsäkring- ens omfattande datasystem. Verkets IT-avdelning heter RFV Data och ligger i Sundsvall.

4.1.2

De allmänna försäkringskassorna

Det finns en allmän försäkringskassa i varje län, sammanlagt 21 stycken. Försäkringskassorna handlägger enskilda ärenden om socialförsäkring på regional och lokal nivå. De allmänna försäkringskassornas verksamhet regleras i lagen (1962:381) om allmän försäkring. Verksamheten finansieras helt med statliga medel. Styrelsen och direktören för en försäkringskassa utses av regeringen. Försäkringskassorna anses utgöra från staten fristående offentligrätts- liga organ som vid myndighetsutövning kan betraktas som förvaltnings- myndigheter. Handläggning och beslut om förmåner hos försäkringskas- san m.m. är att betrakta som myndighetsutövning. Såväl förvaltnings- lagen som sekretesslagen är tillämpliga för de allmänna försäkringskas- sornas ärendehandläggning. Den allmänna försäkringskassan skall enligt lagen om allmän försäk- ring

a)

utreda och besluta i ärenden som enligt lagen om allmän försäkring eller annan författning skall skötas av försäkringskassan,

b)

svara för att socialförsäkrings- och bidragssystemen tillämpas lik- formigt och rättvist,

c)

vidta åtgärder för att förebygga och minska ohälsa i syfte att minska de långa sjukperioderna samt aktivt arbeta med rehabili- tering,

d)

lämna hjälp vid handhavandet av annan verksamhet enligt vad re- geringen bestämmer, samt

e)

lämna hjälp åt en myndighet som har hand om arbetslöshetsförsäk- ringen eller åt ett sådant lokalt organ som avses i 1 kap. 2 § lagen om allmän försäkring.

4.1.3

Premiepensionsmyndigheten

Premiepensionsmyndighetens administration av premiepensionssystemet

innefattar ett flertal uppgifter. Myndigheten skall bokföra och genomföra

alla köp och all försäljning av fondandelar och ansvara för de premiepen-

sionskonton som upprättas samt besluta om utbetalning av premiepen-

sion. Vidare skall myndigheten förvalta de pengar som pensionssparare

16

vid pensioneringen väljer att föra över till traditionella försäkringar. Prop. 2002/03:135 Ytterligare en uppgift är att administrera efterlevandeskydd som ingår i systemet. Inom sitt verksamhetsområde företräder Premiepensionsmyndigheten staten vid domstol. 4.2 Automatiserad behandling av personuppgifter inom socialförsäkringens administration I Socialförsäkringsregisterlagen (1997:934) återfinns regler om skydd för den personliga integriteten vid behandling av personuppgifter inom soci- alförsäkringens administration. Lagen är till stor del präglad av den IT- struktur som funnits inom socialförsäkringens administration (i detta fall RFV och de allmänna försäkringskassorna) alltsedan mitten av 1970-ta- let. I första hand kan denna struktur sägas bestå av ett större antal verk- samhetsstödjande register, dvs. på visst sätt strukturerade eller organise- rade samlingar av uppgifter, som företrädesvis används som informa- tionskälla vid handläggning av de olika ärendeslagen inom socialförsäk- ringen. Vidare finns visst integrerat handläggningsstöd i form av enklare program för beräkning av ersättning, utbetalning m.m. Registren används dessutom i viss utsträckning för uppföljning, utvärdering, tillsyn och framställning av statistik. Vid sidan härav används naturligtvis informa- tionstekniken för ordbehandling vid dokumentation av beslut och fram- ställning av andra handlingar såsom föredragningspromemorior, minnes- anteckningar m.m. Socialförsäkringsregisterlagen och de lagar den lagen kom att ersätta utarbetades huvudsakligen med utgångspunkt i de synsätt och struktu- rella lösningar som präglade den tidigare gällande datalagen, som även denna till stor del relaterade till den typ av IT-struktur som beskrivits ovan. Den mycket snabba utvecklingen inom informationstekniken innebär emellertid nya förutsättningar för den offentliga förvaltningen. I allt större utsträckning tas den nya tekniken i anspråk för ärendehantering. Handlingar framställs, kommer in och expedieras elektroniskt och hand- läggningen sker med ett långt utvecklat datorstöd. Detta medför att all den individrelaterade information som är nödvändig för att handlägga ett ärende, i många fall helt och hållet hanteras i en elektronisk akt, dvs. pappersbunden lagring av information förekommer inte i ärendet. Det registerbegrepp som tillämpats i lagstiftningen blir därmed allt mindre tillämpligt för de behandlingar av personuppgifter som sker inom myn- digheterna. Samtidigt har möjligheterna till kommunikation mellan med- borgare och myndigheter via Internet ökat dramatiskt, vilket i sig innebär bättre förutsättningar för snabb ärendehantering, eftersom uppgifter i an- sökningar etc. via Internet kan skickas in direkt till myndigheternas egna datoriserade ärendehanteringssystem. Denna utveckling påskyndas av de krav som riktas mot myndigheterna när det gäller effektivitet, samverkan med andra myndigheter och en förbättrad service gentemot medborgarna. En annan viktig faktor är möjligheterna att med hjälp av den nya tekni- ken analysera utvecklingen inom de olika försäkringsområdena och även 17 aktivt och systematiskt använda tekniken för att komma till rätta med Prop. 2002/03:135 problemområden eller uppnå en effektiv resursanvändning.

4.2.1

Register som förs gemensamt för Riksförsäkringsverket och de allmänna försäkringskassorna

Det finns ett stort antal omfattande register som förs gemensamt för Riksförsäkringsverket och de allmänna försäkringskassorna. Här redovi- sas de viktigaste.

Sjukförsäkringsregistret används för att förse alla ärendeslag inom so- cialförsäkringen med personinformation samt vid handläggning och för- beredande åtgärder för handläggning av sjukpenning, föräldrapenning, havandeskapspenning, närståendepenning, rehabiliteringsersättning, smittbärarpenning, aktivitetsstöd, dagpenning till totalförsvarspliktiga, frivillig sjukförsäkring, sjukpenninggrundande inkomst och svenska och utländska bosättnings- och arbetsperioder. Registret används vidare för uppföljning, utvärdering, tillsyn, framställning av statistik beträffande sådana ärenden samt för kontroll och utbetalning vid handläggning av övriga ärenden som omfattas av 1 § första stycket socialförsäkrings- registerlagen. Statens pensionsverk och det organ för administration av personalpen- sioner som är gemensamt för kommunerna och landstingen (KPA Pen- sion AB) använder sjukförsäkringsregistret för samordning av tjänste- pensioner. De båda organen har direktåtkomst till registret. Statens pen- sionsverk använder vidare registret för handläggning av ärenden där reglerna om statens tjänstegrupplivförsäkring skall tillämpas. Uppgifter om identitet, andra personuppgifter som namn, adress, tele- fonnummer, civilstånd och medborgarskap, sekretessmarkering, anhö- riga, skatt samt folkbokföringsort inhämtas till sjukförsäkringsregistret från Riksskatteverket. Inkomstuppgifter samt uppgifter om bankkonto och svenska och utländska bosättnings- och arbetsperioder inhämtas från den registrerade. Uppgifter om pension eller annan socialförsäkringsför- mån inhämtas från försäkringskassorna och RFV. Från andra myndighe- ter som Arbetsmarknadsstyrelsen, Pliktverket och Centrala studiestöds- nämnden inhämtas vissa uppgifter om andra ersättningar/åtgärder. Från sjukförsäkringsregistret lämnas uppgifter till Riksskatteverket, Premie- pensionsmyndigheten och kronofogdemyndigheterna om namn, adress, civilstånd och medborgarskap. Till Premiepensionsmyndigheten och kronofogdemyndigheterna lämnas uppgifter om anhöriga. Uppgifter om inkomster och arbetsgivare lämnas till kommuner, Riksskatteverket och kronofogdemyndigheterna. Skatteuppgifter lämnas till Riksskatteverket och kronofogdemyndigheterna.

Bidragsregistret används för administration av ärenden om underhålls- stöd, barnbidrag, förlängt barnbidrag och adoptionskostnadsbidrag. Registret används också för förberedande åtgärder för utvärdering, upp- följning, tillsyn och framställning av statistik beträffande dessa ärenden. För kontroll av att utbetalning sker och med vilket belopp kan registret vidare komma att användas vid handläggning av övriga ärenden som om- fattas av 1 § första stycket socialförsäkringsregisterlagen. 18 Uppgifterna om identitet, namn, adress, civilstånd, rättslig vårdnad, förmåner, återbetalningsskyldighet, skuldsanering, inkomster inhämtas från bl.a. Riksskatteverket, försäkringskassorna och kronofogdemyndig- heterna. Från Bidragsregistret lämnas uppgifter ut till bl.a. Centrala stu- diestödsnämnden, kommuner och kronofogdemyndigheter.

Ålderspensionsregistret används för administration av ärenden om ålderspension. Registret används vidare för förberedande åtgärder för handläggning och för uppföljning, utvärdering, tillsyn och framställning av statistik beträffande dessa ärenden. För kontroll om utbetalningar sker och med vilket belopp kan registret även komma att användas vid hand- läggning av och samordning med övriga socialförsäkringsersättningar. Uppgifter om identitet, anhöriga, adress, ATP-poäng, sekretessmarke- ring, utbetalningar, utländsk pension m.m. inhämtas från Riksförsäk- ringsverket, försäkringskassorna eller Riksskatteverket. Från registret lämnas uppgifter ut till Statistiska centralbyrån, Pensionärernas riksorga- nisation, Nordea, Postgirot, Bankgirocentralen, AFA, Folksam, Koope- rationens pensionsanstalt, Alecta, Statens pensionsverk, Kommunsek- torns pensions AB, Riksskatteverket och Kronofogdemyndigheten. Statens Pensionsverk och KPA Pension AB har direktåtkomst till regist- ret.

Efterlevandepensionsregistret används för administration av ärenden om efterlevandepension. Registret används vidare för förberedande åtgärder för handläggning och för uppföljning, utvärdering, tillsyn och framställning av statistik beträffande dessa ärenden. För kontroll om utbetalningar sker och med vilket belopp kan registret även komma att användas vid handläggning av och samordning med övriga socialförsäkringsersättningar. Uppgifter om identitet, anhöriga, adress, ATP-poäng, sekretessmarke- ring, utbetalningar, utländsk pension m.m. inhämtas från Riksförsäk- ringsverket, försäkringskassorna eller Riksskatteverket. Från registret lämnas uppgifter ut till Statistiska centralbyrån, Pensionärernas riksorga- nisation, Nordea, Postgirot, Bankgirocentralen, AFA, Folksam, Koope- rationens pensionsanstalt, Alecta, Statens pensionsverk, Kommunsek- torns pensions AB, Riksskatteverket och Kronofogdemyndigheten. Statens Pensionsverk och KPA Pension AB har direktåtkomst till regist- ret. Sjuk- och aktivitetsersättningsregistret används för administration av ärenden om sjuk- eller aktivitetsersättning. Registret används vidare för förberedande åtgärder för handläggning och för uppföljning, utvärdering, tillsyn och framställning av statistik beträffande dessa ärenden. För kontroll om utbetalningar sker och med vilket belopp kan registret även komma att användas vid handläggning av och samordning med övriga socialförsäkringsersättningar.

Uppgifter om identitet, anhöriga, adress, ATP-poäng, sekretessmarke- ring, utbetalningar, utländsk pension m.m. inhämtas från Riksförsäk- ringsverket, försäkringskassorna eller Riksskatteverket. Från registret lämnas uppgifter ut till Statistiska centralbyrån, Pensionärernas riksorga- nisation, Nordea, Postgirot, Bankgirocentralen, AFA, Folksam, Koope- rationens pensionsanstalt, Alecta, Statens pensionsverk, Kommunsek- torns pensions AB, Riksskatteverket och Kronofogdemyndigheten. Prop. 2002/03:135 19 Statens Pensionsverk och KPA Pension AB har direktåtkomst till regist- ret.

Intjänanderegistret används för administration av ärenden om fastställande av pensionsrätt, pensionspoäng och pensionsbehållning enligt lagen (1998:674) om inkomstgrundad ålderspension, för beräkning av statlig ålderspensionsavgift enligt lagen (1998:676) om statlig ålderspensionsavgift och för framställning av pensionsprognoser. Registret används också för förberedande åtgärder för handläggningen samt för uppföljning, utvärdering, tillsyn och framställning av statistik beträffande dessa ärenden. Uppgifter om identitet, adress, kön, civilstånd, medborgarskap och födelseort inhämtas från Riksskatteverket. Uppgifter om förhållanden som behövs för att beräkna pensionsgrundande belopp inhämtas från Riksskatteverket, Statistiska centralbyrån, Pliktverket, Centrala studie- stödsnämnden och försäkringskassorna. Premiepensionsmyndigheten har direktåtkomst till registret.

Bostadstilläggsregistret används av Riksförsäkringsverket och försäk- ringskassorna för handläggning av ärenden enligt lagen (2001:761) om bostadstillägg till pensionärer m.fl. och lagen (1994:309) om hustrutillägg i vissa fall då make uppbär folkpension. Registret används för tillsyn, uppföljning, utvärdering och framställning av statistik beträff- ande ärenden om bostadstillägg till pensionärer och hustrutillägg. Regist- ret används också för förberedande åtgärder för handläggningen. För kontroll av att utbetalning sker och med vilket belopp kan registret vidare komma att användas vid handläggning av övriga ärenden som omfattas av 1 § första stycket socialförsäkringsregisterlagen. Statens pensionsverk har direktåtkomst till registret och använder det för handläggning av ärenden om samordning. Detsamma gäller KPA Pension AB. Uppgifter om personnummer, namn, adress, bostadsstorlek, typ av bo- stad inhämtas från den registrerade. Uppgifter om taxeringsvärde för bo- stad, bostadsyta, bostadsbidrag m.m. inhämtas förutom från sökanden även från Riksförsäkringsverket, Riksskatteverket och försäkringskas- sorna. Förutom till Statens pensionsverk och KPA Pension AB lämnas uppgifter ut från registret till socialnämnderna i kommunerna.

Arbetsskaderegistret används för administration av ärenden om ar- betsskadelivränta och för förberedande åtgärder för handläggning samt för uppföljning, utvärdering, tillsyn och framställning av statistik avse- ende sådana ärenden. För kontroll av att utbetalning sker och med vilket belopp kan registret vidare komma att användas vid handläggning av öv- riga ärenden som omfattas av 1 § första stycket socialförsäkringsregis- terlagen. Uppgifter om identitet, adress, skatt m.m. inhämtas från Riksskattever- ket. Uppgifter om betalningsmottagare, typ av livränta, inkomster, för- hållanden av betydelse för samordning m.m. inhämtas från försäkrings- kassorna. Statens pensionsverk och KPA Pension AB har direktåtkomst till re- gistret och använder detta för handläggning av ärenden om samordning med tjänstepensioner.

Delpensionsregistret används för administration av ärenden om del- pension och för förberedande åtgärder för handläggning samt för upp- Prop. 2002/03:135 20 följning, utvärdering, tillsyn och framställning av statistik avseende dessa ärenden. För kontroll av att utbetalning sker och med vilket belopp kan registret vidare komma att användas vid handläggning av övriga ärenden som omfattas av 1 § första stycket socialförsäkringsregisterlagen. Statens pensionsverk och KPA Pension AB har direktåtkomst till re- gistret och använder det för handläggning av ärenden om samordning med tjänstepensioner. Uppgifter om namn, personnummer, adress, inhämtas från den regi- strerade, Riksskatteverket, försäkringskassorna och Riksförsäkringsver- ket. Uppgifter om skatt inhämtas från Riksskatteverket. Uppgifter om ar- betsinkomster och pensionsmedelpoäng inhämtas från försäkringskas- sorna. Uppgifter om förvärvsarbete, arbetslöshetskassa, bisyssla, arbets- tidens utläggning m.m. inhämtas från den registrerade. Uppgifter från re- gistret lämnas ut till Statistiska centralbyrån, Nordea, Postgirocentralen, Bankgirocentralen, Kooperationens pensionsanstalt, socialnämnder, Alecta, Folksam och Riksskatteverket.

Bostadsbidragsregistret används för administration av ärenden om bo- stadsbidrag och för den samordning som sker med bostadsbidragsären- den vid handläggning av ärenden enligt lagen (2001:761) om bostads- tillägg till pensionärer m.fl. och ärenden om familjebidrag enligt 7 kap. förordningen (1995:239) om förmåner till totalförsvarspliktiga samt för förberedande åtgärder, utvärdering, uppföljning, tillsyn och framställning av statistik beträffande bostadsbidragsärenden. För kontroll av att utbetalning sker och med vilket belopp kan registret också komma att användas vid handläggning av övriga ärenden som omfattas av 1 § soci- alförsäkringsregisterlagen. Uppgifter om personnummer, namn, civilstånd, adress och folkbokfö- ringsuppgifter i övrigt inhämtas från den registrerade, Riksskatteverket eller Riksförsäkringsverket. Uppgifter om det aktuella hushållets sam- mansättning, bostaden, bostadskostnad inhämtas från den registrerade. Uppgifter som behövs för att fastställa bidragsgrundande inkomst in- hämtas från den registrerade, Riksskatteverket, Centrala studiestöds- nämnden och Boverket. Från registret lämnas uppgifter ut till kommuner, banker och kronofogdemyndigheter om utbetalda belopp m.m.

Familjebidragsregistret används för administration av ärenden om fa- miljebidrag samt tillsyn, uppföljning, utvärdering och framställning av statistik beträffande sådana ärenden. För kontroll av att utbetalningen sker med rätt belopp används registret också vid handläggningen av öv- riga ärenden enligt 1 § socialförsäkringsregisterlagen. Uppgifter om den registrerades personnummer och namn, adress, sek- retessmarkering inhämtas från Pliktverket, försäkringskassorna, Riksför- säkringsverket och Riksskatteverket. Uppgifter om den totalförsvarsplik- tiges tjänstgöring inhämtas från Pliktverket. Uppgifter om beslut och förmånstyper inhämtas från försäkringskassorna och Riksförsäkringsver- ket. Uppgifter om antal barn, typ av boende, inkomst och familjeförhåll- anden inhämtas från sökanden. Från registret lämnas uppgifter ut i faktu- ror till betalningsansvarig enhet inom totalförsvaret.

Assistansersättningsregistret används för administration av ärenden om assistansersättning samt tillsyn, uppföljning, utvärdering och fram- ställning av statistik av sådana ärenden. Prop. 2002/03:135 21 Uppgifter om identitet och adress inhämtas från den registrerade eller kommunerna. Sekretessmarkering inhämtas från Riksskatteverket. Upp- gifter om antal utnyttjade timmar, arbetsgivare och kontouppgifter in- hämtas från den registrerade. Uppgifter om annan socialförsäkringsför- mån inhämtas från försäkringskassorna eller Riksförsäkringsverket. Från registret lämnas uppgifter ut till kommuner om namn och ärende- uppgifter och till betalningsinrättningar om kontonummer.

Bilstödsregistret används för administration av ärenden om bilstöd till handikappade samt för förberedande åtgärder, tillsyn, uppföljning, utvär- dering och framställning av statistik beträffande dessa ärenden. Uppgifter om namn, personnummer, adress, fordonsslag och inkomst inhämtas från sökanden. Uppgift om personkrets enligt 5 § förordningen (1988:890) om bilstöd till handikappade inhämtas från försäkringskas- sorna. Sekretessmarkering inhämtas från Riksskatteverket. Från registret lämnas uppgifter ut till betalningsinrättningar om konto- nummer. Registret för försäkring för småföretagare används för administration av ärenden om försäkring mot kostnader för sjuklön samt för tillsyn och framställning av statistik.

Uppgifter om arbetsgivare inhämtas från Riksförsäkringsverket och försäkringskassorna. Uppgifter om lönekostnad, avgifter, försäkringser- sättning inhämtas från försäkringskassorna. Uppgifter om innehavare av försäkring lämnas ut till Riksskatteverket. Registret för försäkring mot vissa semesterlönekostnader används för administration av ärenden om försäkring mot vissa semesterlönekostna- der samt för tillsyn och framställning av statistik.

Uppgifter om arbetsgivare inhämtas från Riksförsäkringsverket och försäkringskassorna. Uppgifter om lönekostnad, avgifter, försäkringser- sättning inhämtas från försäkringskassorna.

Yrkesskaderegistret används för handläggning av ärenden om yrkes- skador samt för tillsyn, uppföljning, utvärdering och framställning av statistik beträffande sådana ärenden. Registret används vidare för förbe- redande åtgärder för handläggningen. För kontroll av att utbetalning sker och med vilket belopp kan registret komma att användas vid handlägg- ning av övriga ärenden som omfattas av 1 § socialförsäkringsregister- lagen samt för samordning mellan olika ersättningar. Registret används vidare av Statens pensionsverk och KPA Pension AB, som har direktåtkomst till registret, för handläggning av ärenden om samordning av tjänstepensionsförmåner. Uppgifter om namn, adress och personnummer inhämtas från den regi- strerade. Uppgifter om utbetalningar, utsökning, sekretessmarkering, in- validitetsgrad, årsinkomst inhämtas från försäkringskassorna. Uppgifter om skatt, makes personnummer och särskild prövning inhämtas från Riksskatteverket.

Kåntra används för administration, tillsyn och uppföljning av ärenden i vilka beslut har fattats om återbetalning av socialförsäkringsförmåner samt andra förmåner och ersättningar som omfattas av socialförsäkrings- registerlagen. Uppgifter om identitet inhämtas från Riksförsäkringsverket. Uppgifter om vilken förmån som felaktigt utbetalats, fordringsbelopp, skatt, pen- sionsgrundande arbetsskadelivränta, sjukvårdsavdrag, förfallodatum, Prop. 2002/03:135 22 datum för indrivningsåtgärder, anstånd, eftergift, debiterade avgifter, Prop. 2002/03:135 solidariskt betalningsansvar, avbetalningsplan, ränta, betalningar inhäm- tas från försäkringskassorna.

FAREG används för administration av Riksförsäkringsverkets och för- säkringskassornas kontakter med arbetsgivare vid handläggning av små- företagarförsäkringen, semesterlöneförsäkringen samt i ärenden om sjuklön och rehabilitering. Uppgifter om organisationsnummer/personnummer, huvudnärings- gren, företagets namn, adress, telefonnummer, arbetsställenummer in- hämtas från Statistiska centralbyrån (BASUN). Statistiska centralbyrån har direktåtkomst till registret. Registret för beställning av information används för handläggning av beställning av information enligt personuppgiftslagen och socialförsäk- ringsregisterlagen ur försäkringskassornas och Riksförsäkringsverkets gemensamma register och Riksförsäkringsverkets egna register. Registret används även för framställning av statistik.

Uppgifter om identitet inhämtas från den registrerade. Uppgifter om försäkringskassa och tidpunkter inhämtas från försäkringskassorna och Riksförsäkringsverket.

4.2.2

Register som förs särskilt för Riksförsäkringsverket

Riksförsäkringsverket är även ensam personuppgiftsansvarig myndighet för vissa personregister som förs särskilt för verket.

Frivillig pension används av Riksförsäkringsverket för administration av ärenden om frivillig pension och utbetalning av frivillig pension samt för uppföljning och utvärdering av försäkringstekniska antaganden rö- rande ränte-, dödlighets- och omkostnadsutveckling. Registret används också för individuella vinstberäkningar och för statistikframställning. Uppgifter om personnummer, namn och adress inhämtas från den regi- strerade. Uppgifter om god man, förvaltare eller annan betalningsmotta- gare inhämtas från god man, förvaltare respektive den registrerade. Upp- gifter om tidpunkter, preliminärskatteuppgifter och utgående pension in- hämtas från Riksförsäkringsverket. Uppgifter om dödsfallstidpunkt in- hämtas från Riksskatteverket. Från registret lämnas uppgifter om antal registrerade och årsbelopp till Statistiska centralbyrån, om pensionen till skattemyndighet och om ut- betalningar till banker respektive bank- och postgirocentral.

Sjömanspensionsregistret används för handläggning av ärenden om utbetalning av sjömanspension samt uppföljning och framställning av statistik av dessa ärenden. Personuppgifter inhämtas från den registrerade. Inkomstuppgifter in- hämtas från Riksförsäkringsverket. Uppgifter om utbetalningar lämnas till skattemyndighet. 

TESS-databasen

används för förberedande åtgärder för handläggning av pensionsärenden för personer bosatta utomlands. För detta ändamål sambearbetas registret med motsvarande register hos organ i andra stater som har att handlägga ärenden om social trygghet i enlighet med EG- rättsliga regler. 23 Uppgifter om identitet, adress, medborgarskap, civilstånd, utländskt Prop. 2002/03:135 försäkringsnummer, bosättningsland, dödsfallsdatum inhämtas från för- säkringskassor, utländska pensionsorgan respektive Riksskatteverket. Dessa uppgifter utlämnas till utländska pensionsorgan.

4.2.3

Register som förs särskilt för de allmänna försäkringskassorna

De allmänna försäkringskassorna har naturligtvis möjlighet att själva för- foga över inrättandet av olika socialförsäkringsregister som förs särskilt för respektive försäkringskassa. Någon detaljerad redovisning av varje sådant register hos respektive försäkringskassa är naturligtvis inte möjlig att lämna här. Redovisningen är i stället inriktad på de viktigaste före- kommande registren. Till en början kan nämnas de till ärendehanteringssystemet (ÄHS) knutna samlingarna av elektroniska akter som förs särskilt för varje för- säkringskassa. Systemet med elektroniska akter innebär i princip att alla relevanta uppgifter, handlingar och all information i övrigt i ett ärende kommer att behandlas automatiserat. ÄHS är en plattform med vilken förmånsspecifika system med elektronisk akthantering kan integreras. Vissa funktioner i ÄHS är emellertid av generell karaktär. Det gäller funktionerna Personinfo, som visar fördjupad personinformation om en försäkrad och i förekommande fall dennes make/maka samt Globala fäl- tet. Vid användning av ÄHS kan man bl.a. hämta upp inlästa (skannade) sådana handlingar som sänts till försäkringskassan, lägga handlingar till befintliga ärenden, lägga upp nya ärenden, handlägga ärenden, använda elektroniska mallar för beslut m.m. använda elektroniska blanketter, lägga in bevakningsfunktioner i ärenden, göra journalanteckningar m.m. Emellertid finns, vid sidan av sådana rent personaladministrativt be- tingade register som inte är relevanta i nu berört avseende, även ett antal redan befintliga register hos de allmänna försäkringskassorna som förtjä- nar att redovisas i detta sammanhang. I ett flertal fall är det egentligen mer fråga om system för handläggning än personregister i egentlig me- ning, dvs. det är fråga om kombinationer av dataprogram och person- register, där vissa handläggningsfunktioner m.m. integrerats med en upp- giftssammanställning. Systemen i fråga har i regel utvecklats gemensamt mellan Riksförsäkringsverket och de allmänna försäkringskassorna, men används i skilda applikationer för respektive försäkringskassa.

Ginsten är ett handläggarstöd för hantering av ärenden inom sjukför- säkrings-, pensions- och bidragsområdena. Systemet har bl.a. stöd för mätning av genomströmningstider och bevakning av ärenden. Ginsten kan även användas som ett sökregister där man kan se vem eller vilket kontor som handlägger ett ärende. Uppgifter om bl.a. personnummer, namn, lokalkontorstillhörighet, adress, postnummer, postadress, telefon- nummer, arbetsgivare, diagnosgrupp inhämtas från den försäkrade. Handläggares namn och kortnummer samt uppgifter om samordning, re- habilitering, typ av ärende, läkarutlåtanden och tidpunkter för ersättning m.m. registreras av försäkringskassan. Statistiska sammanställningar utan identifikationsmöjligheter från re- gistret översänds till Riksförsäkringsverket kvartalsvis. 24

Mälker används för handläggning av sjukpenning- och rehabiliterings- Prop. 2002/03:135 ärenden, ansökningsärenden avseende förtidspension/sjukbidrag samt ärenden avseende arbetsskada, livränta, vårdbidrag, handikappersättning, bilstöd, assistansersättning, arbetshjälpmedel, pension och bidrag. Än- damålet med registret är att effektivisera ärendehandläggningen genom ett samlat informations- och statistiksystem som täcker behov inom olika verksamhetsgrenar och på olika nivåer inom organisationen. Uppgifterna i registret används för att man snabbt skall få fram information om eventuell förekomst av ärenden och status i förekommande ärenden. Vi- dare används uppgifterna som underlag för statistik. Uppgifter om bl.a. personnummer, namn, lokalkontorstillhörighet in- hämtas från den försäkrade. Handläggares namn och kortnummer samt uppgifter om typ av ärende, ansökningsdatum, läkarutlåtanden och tid- punkter för ersättning m.m. registreras av försäkringskassan.

PIHREN Återkrav används för handläggning av återkrav enligt vissa riktlinjer (processbeskrivningar). Syftet med registret är att handlägg- ningen av återkrav skall följa dessa riktlinjer samt att ge handläggare och ledning stöd för handläggningen när det gäller dokumentation av vid- tagna åtgärder, påminnelser, att sammanställa produktionsstatistik och statistik över frekvenser av återkrav per ärendeslag eller lokalkontorsom- råde. I registret finns uppgifter bl.a. om personnummer, namn, lokal- kontor, handläggare, ärendekod, datum för inledande av ärende och andra moment i handläggningen m.m., arbetsgivare, tjänsteanteckningar.

PLOMBEN används för handläggning av ersättning till tandläkare som är anslutna till den allmänna försäkringen. Registret används för kontroll av tandvårdsräkningar, uppföljning av taxetillämpning och produktions- statistik för uppföljning av försäkringskassans arbete med tandvårdsför- säkringen. Registret innehåller uppgifter om bl.a. namn på handläggare, vårdgivare och tandvårdspatient, adresser, organisationsnummer, person- nummer, telefonnummer, fakturadatum, ankomstdatum, förfallodag, an- tal tandvårdsräkningar, debiterat pris och utbetalningsbelopp.

4.2.4

Register som förs särskilt för Premiepensionsmyndigheten

Premiepensionsmyndigheten är ensam personuppgiftsansvarig för ett stort antal personregister som förs särskilt för myndigheten. Flera av dessa används för administrationen av myndigheten och torde inte vara att anse som socialförsäkringsregister i socialförsäkringsregisterlagens mening. Den nedan lämnade redovisningen upptar dock även sådana re- gister.

Premiepensionsregistret används för administration av premiepen- sionssystemet, vilket innefattar handläggning av olika ärenden, förbere- dande åtgärder för handläggning samt uppföljning, utvärdering, tillsyn och framställning av statistik. Registret används också vid tester i sam- band med prov och vidareutveckling av de datasystem som används inom premiepensionssystemet. Uppgifter om identitet, adress, civilstånd, pensionsrätter, tillgodohavande, fondval, beslut, meddelanden m.m., namn, telefonnummer och adressuppgifter på fondföretagens kontaktper- soner och namn på fondadministratörer har inhämtats från Riksförsäk- 25 ringsverket, den registrerade, fondföretagen eller Premiepensionsmyn- Prop. 2002/03:135 digheten.

Fondinformationsdatabasen används som underlag för Premiepen- sionsmyndighetens informationsverksamhet kring de värdepappersfonder som är anslutna till premiepensionssystemet. Uppgifterna rör i första hand ekonomiska och historiska data kring fonderna. Premiepensions- myndigheten har för närvarande ett avtal med Stadsporten Citygate AB, som på myndighetens uppdrag samlar in och bearbetar uppgifter. Upp- gifter om namn på fondförvaltare, födelseår och förvaltningserfarenhet inhämtas från fondförvaltare och Stadsporten Citygate AB. Allmänheten kan nå uppgifterna i databasen via myndighetens hemsida på Internet och s.k. fondfaktablad kan beställas från myndighetens kundservicefunktion. Ärendehanteringssystemet (myndighetens diarium) används för att efterkomma skyldigheten enligt 15 kap. sekretesslagen. I registret finns uppgifter om diarienummer, namn, datum, ärendemeningar och inkomna eller upprättade handlingar. Uppgifterna lämnas ut till allmänheten.

Palasso är ett register som omfattar anställda vid myndigheten och som används för administration av löneutbetalningar, framtagning av statistik, uppföljning av tjänsteresor, inventering av utbildningsbehov m.m. Uppgifter om identitet, adress, telefonnummer, anhöriga, lön och andra förmåner, övriga anställningsdata, grundutbildning och meriter m.m. inhämtas från den registrerade. Från registret kan uppgifter lämnas till Ekonomistyrningsverket, Arbetsgivarverket, Riksförsäkringsverket, skattemyndighet, Statens pensionsverk, Statistiska centralbyrån, Försäk- ringsföreningen för det statliga området (FSO) eller Nordea.

Agresso-Ekonomi

används för administration av in- och utbetalningar i verksamheten, framtagning av statistik m.m. Registret innehåller bl.a. uppgifter om fondföretag och andra leverantörer till myndigheten, kon- taktpersoner och adresser.

5

Gällande rätt vid behandling av personuppgifter inom socialförsäkringens administration

5.1

Grundläggande regler för behandling av personuppgifter finns i personuppgiftslagen

År 1995 antogs Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personupp- gifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behand- lingen av personuppgifter, dels en likvärdig skyddsnivå i alla medlems- stater, så att staterna inte skall kunna hindra det fria flödet mellan dem av personuppgifter med hänvisning till enskilda personers fri- och rättighe- ter. Genom personuppgiftslagen (1998:204) har dataskyddsdirektivet ge- nomförts i Sverige. Liksom dataskyddsdirektivet bygger personuppgifts- 26 lagen på att själva hanteringen av personuppgifter regleras. Lagen om- fattar således formellt även behandlingar som inte på något sätt kan sägas utgöra intrång i den personliga integriteten. Den tillämpas alltså på helt eller delvis automatiserad behandling av personuppgifter och dessutom på manuell behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet för personuppgiftslagen har begränsats genom en rad bestämmelser. Lagen omfattar inte sådan behandling som en fysisk person utför som ett led i en verksamhet av rent privat natur. Av förtydli- gande skäl anges också att lagen inte heller skall tillämpas i den utsträck- ning det skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen att tillämpa lagens regler. Motsvarande gäller när en tillämpning av personuppgifts- lagen skulle strida mot en myndighets skyldighet att lämna ut person- uppgifter enligt 2 kap. tryckfrihetsförordningen. Andra undantag i fråga om personuppgiftslagens tillämpningsområde gäller behandling av per- sonuppgifter för journalistiska ändamål eller konstnärligt eller litterärt skapande. Slutligen gäller vissa undantag från tillämpning av personupp- giftslagen som tar sikte på arkivering av handlingar. Personuppgifts- lagens tillämpningsområde kan dessutom inskränkas genom särreglering i annan lag eller förordning, exempelvis registerlagstiftningen. Lagen in- nehåller endast generella regler och det förutsattes vid dess tillkomst att behov av undantag och preciseringar för mer speciella områden skulle tillgodoses genom särskild registerlagstiftning. Sådan särreglering får dock givetvis inte stå i strid med dataskyddsdirektivet eller Europarådets dataskyddskonvention. Personuppgiftslagen innehåller en rad definitioner av olika begrepp som används i lagen. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, or- ganisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat till- handahållande av uppgifter, sammanställning eller samkörning, blocke- ring, utplåning eller förstöring. Personuppgifter är all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftslagen omfattar således varken uppgifter om juridiska per- soner eller uppgifter om avlidna fysiska personer. I förarbetena har an- förts att det endast krävs att en fysisk person kan identifieras med hjälp av informationen, inte att den personuppgiftsansvarige själv skall förfoga över samtliga uppgifter som gör identifieringen möjlig (SOU 1997:39 s. 338). Även bild- och ljuduppgifter som kan hänföras till en person kan omfattas. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. När det gäller offentlig verksamhet är dock ändamålen ofta bestämda i registerförfattningarna och inte av den aktuella myndig- heten. I sådana fall har det i regel genom särskilda bestämmelser angetts i registerförfattningen vem som är personuppgiftsansvarig (se 2 § person- uppgiftslagen och exempelvis 13 § socialförsäkringsregisterlagen). Per- sonuppgiftsbiträde är den som behandlar personuppgifter för den person- uppgiftsansvariges räkning. Den registrerade är den som en personupp- Prop. 2002/03:135 27 gift avser. Med samtycke avses varje slag av frivillig, särskild och otve- tydig viljeyttring genom vilken den registrerade, efter att ha fått informa- tion, godtar behandling av personuppgifter som rör honom eller henne. Tredje land är en stat som varken ingår i Europeiska unionen eller är an- sluten till Europeiska ekonomiska samarbetsområdet. I personuppgiftslagen åläggs den personuppgiftsansvarige att upprätt- hålla vissa grundläggande krav på behandlingen av personuppgifter. Per- sonuppgifter skall behandlas bara om det är lagligt. Behandlingen skall alltid ske på ett korrekt sätt och i enlighet med god sed. Personuppgifter får endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte behandlas för något ändamål som är oförenligt med det ändamål för vilket de samlades in (finalitetsprinci- pen). En behandling för historiska, statistiska eller vetenskapliga ända- mål skall dock inte anses som oförenlig med de ändamål för vilka upp- gifterna samlades in. Personuppgifter som behandlas skall vara adekvata och relevanta i för- hållande till ändamålet med behandlingen. Fler personuppgifter än som är nödvändigt med hänsyn till behandlingen får inte behandlas. De per- sonuppgifter som behandlas skall vara riktiga och, om det är nödvändigt, aktuella. Alla rimliga åtgärder skall vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. Personuppgifter får inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till de ursprungliga ändamålen med behand- lingen, om det inte behövs för historiska, statistiska eller vetenskapliga ändamål. Myndigheternas arkivering och bevarande av allmänna hand- lingar hindras dock inte av lagen. Personuppgifter som behandlas för historiska, statistiska eller veten- skapliga ändamål får enligt huvudregeln användas för att vidta åtgärder i fråga om den registrerade bara om de registrerade har lämnat sitt sam- tycke eller det finns synnerliga skäl med hänsyn till den registrerades vi- tala intressen. Denna begränsning gäller dock inte för en myndighets an- vändning av personuppgifter i allmänna handlingar. I personuppgiftslagen anges vidare vissa förutsättningar för när en be- handling av personuppgifter över huvud taget är tillåten. Minst en av dessa förutsättningar måste alltså föreligga för att en behandling skall vara tillåten enligt lagen. Den inledande av de alternativa förutsättning- arna är att den registrerade har lämnat samtycke till behandlingen. Före- ligger inget samtycke kan en handling vara tillåten om den är nödvändig för ett antal uppräknade syften. Enligt Domstolsdatautredningen (SOU 2001:32 s. 95) räcker det sannolikt med att det innebär en påtaglig förenkling för den personuppgiftsansvarige att personuppgifter behandlas på automatiserad väg för att nödvändighetsrekvisitet skall kunna anses uppfyllt. Är en behandling nödvändig för att ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, så kan den vara tillåten. En behandling kan också vara tillåten om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, för Prop. 2002/03:135 28 att vitala intressen för den registrerade skall kunna skyddas eller för att en arbetsuppgift av allmänt intresse skall kunna utföras. Vidare kan en behandling vara tillåten om den är nödvändig för att den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndig- hetsutövning. Slutligen kan en behandling vara tillåten om den är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansva- rige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrera- des intresse av skydd mot kränkning av den personliga integriteten. Behandling av personuppgifter för ändamål som rör direkt marknads- föring får enligt personuppgiftslagen inte ske, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon mot- sätter sig sådan behandling. Ett förbud mot sådan behandling förutsätter således enligt denna regel en skriftlig anmälan från den registrerade. Så- som regeln utformats torde redan utlämnandet av personuppgifter till nå- gon annan för att denne skall behandla uppgifterna för ändamål som rör direkt marknadsföring utgöra en sådan behandling som omfattas av re- geln. För vissa slag av uppgifter gäller enligt personuppgiftslagen särskilda restriktioner. Huvudregeln i lagen innebär att det är förbjudet att be- handla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa el- ler sexualliv. Dessa olika slag av uppgifter kallas med en samlingsbe- teckning känsliga personuppgifter. Det finns emellertid en rad undantag från förbudet mot behandling av känsliga personuppgifter angivna direkt i personuppgiftslagen. Sålunda får sådana uppgifter enligt lagen behandlas med den registrerades ut- tryckliga samtycke eller när denne offentliggjort uppgifterna på ett tyd- ligt sätt. Känsliga uppgifter får vidare i vissa fall behandlas om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, om det är nöd- vändigt för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke eller om det är nödvändigt för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Förbudet mot att behandla känsliga personupp- gifter gäller inte heller när ideella organisationer med politiskt, filoso- fiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet be- handlar personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Endast om den registrerade uttryckligen har samtyckt till det får dock känsliga personuppgifter lämnas ut till tredje man från en sådan ideell organisation. Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för fö- rebyggande hälso- och sjukvård, medicinska diagnoser, vård eller be- handling eller administration av hälso- och sjukvård eller om uppgifterna omfattas av sjukvårdssekretess. Slutligen undantas viss behandling för forsknings- och statistikändamål från förbudet mot behandling av käns- liga personuppgifter. Prop. 2002/03:135 29 Regleringen av behandling av känsliga personuppgifter i personupp- giftslagen följer i princip den motsvarande reglering som återfinns i di- rektivet. Direktivet medger emellertid dessutom att medlemsstaterna, un- der förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse, i sin nationella lagstiftning eller genom ett beslut av till- synsmyndighet beslutar om andra undantag från förbudet mot behandling av känsliga uppgifter än dem som anges i personuppgiftslagen. Den na- tionella lagstiftningen kan således innehålla ytterligare undantag från förbudet mot behandling av känsliga personuppgifter. I punkt 34 i ingressen till direktivet anges bl.a. att När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från förbudet mot att behandla känsliga kategorier av upp- gifter på sådana områden som exempelvis folkhälsa och socialskydd, sär- skilt för att säkerställa kvalitet och lönsamhet när det gäller förfaranden som används i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssystemet, i samband med vetenskaplig forskning och i samband med offentlig statistik. Regeringen eller den myndighet regeringen bestämmer, får om det be- hövs med hänsyn till ett viktigt allmänt intresse medge ytterligare un- dantag från förbudet att behandla känsliga uppgifter. Den 1 oktober 2001 infördes en bestämmelse i 8 § personuppgiftsförordningen (1998:1191) om att känsliga personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Det är enligt personuppgiftslagen förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden. Regeringen eller den myndighet som regeringen be- stämmer (Datainspektionen) får dock besluta om undantag från förbudet. Uppgifter om personnummer och samordningsnummer får enligt per- sonuppgiftslagen behandlas bara om den registrerade samtycker till det eller när det är klart motiverat med hänsyn till ändamålet med behand- lingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registre- rade information om behandlingen av uppgifterna. Har uppgifterna sam- lats in från en annan källa skall den registrerade informeras när uppgif- terna registreras. Är uppgifterna avsedda att lämnas ut till tredje man, be- höver informationen inte ges förrän uppgifterna lämnas ut för första gången. I de fall uppgifter samlas in från någon annan än den registrerade krävs inte att information lämnas om det är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Finns det i lag eller annan författning särskilda bestämmelser om registreringen eller utlämnandet av person- uppgifter behöver inte heller information lämnas då uppgifter samlas in från annan källa än den registrerade. De olika registerförfattningarna, ex- empelvis socialförsäkringsregisterlagen (1997:934), torde vara att anse som sådana bestämmelser som avses i denna undantagsbestämmelse (se prop. 2000/01:69 s 26 f.). Prop. 2002/03:135 30 När information skall lämnas skall den omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Den personupp- giftsansvarige är härutöver skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som be- handlas, varifrån dessa uppgifter har hämtats, ändamålen med behand- lingen och till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut, s.k. registerutdrag. Under förutsättning att uppgifterna inte har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål behöver information dock inte lämnas beträffande personuppgifter som behandlas i löpande text som inte fått sin slutliga ut- formning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Undantaget för löpande text som inte fått sin slutliga utform- ning gäller dock inte om personuppgifterna behandlats under längre tid än ett år. Bestämmelserna om informationsskyldighet gäller inte om sek- retess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Den sistnämnde kan också vara skyldig att underrätta tredje man till vilken uppgifterna har lämnats ut. Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla person- uppgifter bara i enlighet med instruktioner från den personuppgiftsansva- rige. Om det i lag eller annan författning finns vissa särskilda bestäm- melser om behandlingen av personuppgifter i det allmännas verksamhet, t.ex. om tystnadsplikt och sekretess, skall dessa tillämpas. Den personuppgiftsansvarige skall enligt personuppgiftslagen vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de be- handlade uppgifterna är. Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av personuppgif- terna. Förbudet gäller också överföring av personuppgifter för behand- ling i tredje land. Frågan om ett land har en adekvat skyddsnivå skall be- dömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Prop. 2002/03:135 31 Som bestämmelserna är utformade torde de omfatta även överföring av en pappersutskrift av personuppgifter från Sverige till tredje land. Är av- sikten att personuppgifter efter överföring skall behandlas i tredje land torde förbudet omfatta även sådana personuppgifter som inte undergått automatiserad behandling eller ingått i ett manuellt register. Vidare om- fattas att uppgifter görs tillgängliga genom att publiceras öppet på Inter- net. Det finns en rad undantag från förbudet angivna direkt i personupp- giftslagen. Har den registrerade samtyckt till det får personuppgifter överföras utan hinder av huvudregeln. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till Europarådets dataskyddskonvention. Vidare får överföring ske om den är nödvändig för att ett avtal mellan den registrerade och den personupp- giftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, för att ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registre- rades intresse skall kunna ingås eller fullgöras, för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras eller vitala intressen för den registrerade skall kunna skyddas. Regeringen får meddela föreskrifter om undantag från förbudet för överföring till vissa stater och om att en överföring är tillåten, om överfö- ringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Det förstnämnda undantaget om överföring till vissa stater tar sikte på direktivets regler om överföring till stater med adekvat skyddsnivå. EG-kommissionen har i enlighet med direktivet meddelat beslut med ställningstagande om adekvat skyddsnivå såvitt av- ser Schweiz, Ungern, Kanada och enligt s.k. Safe Harbor-principer i USA. EG-kommissionens beslut har genomförts i Sverige genom 13 § personuppgiftsförordningen (1998:1191) och bilagan till förordningen. EG-kommissionen har vidare fattat beslut enligt direktivet om standard- avtalsklausuler som kan användas vid överföring av personuppgifter till tredje land (EGT L 181, 4.7.2001, s. 19 och EGT L 6, 10.1.2002, s. 52). Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om undantag från förbudet i 33 § om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Direktivet medger un- dantag från förbudet mot överföring av personuppgifter med hänsyn till ett viktigt allmänt intresse. I punkt 58 i ingressen i direktivet har angetts att undantag från förbudet får medges om skyddet av väsentliga sam- hällsintressen kräver det, till exempel vid internationellt utbyte av upp- gifter mellan skattemyndigheter eller tullmyndigheter eller mellan social- försäkringsmyndigheter. Slutligen får regeringen och, efter delegation, Datainspektionen besluta om undantag från förbudet i vissa enskilda fall. Vissa undantag från förbudet finns i 12 § personuppgiftsförordningen för publicering av bl.a. kommuners och landstings diarier på Internet. Ge- nom 14 § personuppgiftsförordningen har regeringen vidare bemyndigat Datainspektionen att meddela beslut om undantag i enskilda fall om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Behandling av personuppgifter som är helt eller delvis automatiserad omfattas enligt personuppgiftslagen av anmälningsskyldighet. Den per- sonuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndig- Prop. 2002/03:135 32 heten innan en sådan behandling eller serie av sådana behandlingar med samma eller liknande ändamål genomförs. Regeringen eller den myndig- het som regeringen bestämmer får meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Anmälningsskyldighet för behandlingar föreligger inte heller om den personuppgiftsansvarige tillsätter ett personuppgiftsombud som anmälts till tillsynsmyndigheten. I Sverige har Datainspektionen tilldelats uppgiften att vara tillsyns- myndighet. Med rollen som tillsynsmyndighet följer vissa befogenheter, såsom rätt att få tillgång till behandlade personuppgifter och tillträde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att per- sonuppgifter som har behandlats på ett olagligt sätt skall utplånas. Den personuppgiftsansvarige skall enligt personuppgiftslagen ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Er- sättningsskyldigheten kan dock i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa för- faranden kan enligt personuppgiftslagen dömas till böter eller fängelse. Det gäller i vissa fall vid lämnande av osann uppgift i information till den registrerade eller i anmälan eller information till tillsynsmyndigheten. Vidare gäller straffansvaret den som behandlar känsliga personuppgifter m.m. i strid med personuppgiftslagen, för över personuppgifter till tredje land i strid med lagen eller låter bli att göra föreskriven anmälan till till- synsmyndigheten. Regeringen har utsett en särskild utredare med uppgift att se över per- sonuppgiftslagen i syfte att, inom ramen för EG-direktivet om person- uppgifter, åstadkomma ett regelverk som mera tar sikte på missbruk av personuppgifter (se dir. 2002:31). Utredaren skall närmare analysera för- utsättningarna inom ramen för EG-direktivet om personuppgifter för en reglering som tar sikte på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet är i första hand att un- derlätta vardaglig hantering av personuppgifter och opinionsbildning samt kommunikation, samtidigt som enskilda ges ett effektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den personliga integriteten. Utredningsuppdraget skall vara slutfört senast den 15 okto- ber 2003. Det sagda innebär att förändringar av personuppgiftslagen kan komma att genomföras inom en inte alltför avlägsen framtid. Förutsättningarna för såväl registerlagstiftningen i sig som myndigheternas insatser för in- tegritetsskydd kan således komma att förändras. Samtidigt skall inte kon- sekvenserna av en förändrad inriktning i enlighet med vad som övervägs överdrivas. Det är ett rimligt antagande att flertalet av de regler i regis- terlagstiftningen om ändamålsstyrning av behandling, begränsningar för sökning, reglering av behandling av känsliga personuppgifter, gallring m.m. kommer att anses lika motiverade vid en övergång till starkare in- slag av missbruksmodell i personuppgiftslagen. Till en del reglerar re- gisterlagstiftningen dessutom vissa frågor som inte omfattas av person- Prop. 2002/03:135 33 uppgiftslagen, exempelvis bestämmelser om i vilka fall uppgifter får Prop. 2002/03:135 lämnas ut genom direktåtkomst eller utlämnande på medium för automa- tiserad behandling. Det ter sig därför motiverat att genomföra den aktua- liserade översynen av registerlagstiftningen för socialförsäkringens ad- ministration även med beaktande av den påbörjade översynen av person- uppgiftslagen.

5.2

Socialförsäkringsregisterlagen (1997:934)

Socialförsäkringsregisterlagen (1997:934) trädde i kraft den 1 januari 1998. Den 1 oktober 2001 genomfördes vissa förslag till ändringar i an- ledning av en begränsad översyn av lagen i syfte att anpassa den till per- sonuppgiftslagen (se prop. 2000/01:69, bet. 2000/01:SfU14, rskr. 2000/01:256). I socialförsäkringsregisterlagen särregleras personregister för sådan verksamhet i fråga om socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag, förordning eller särskilt beslut av reger- ingen ankommer på de allmänna försäkringskassorna, Premiepensions- myndigheten eller Riksförsäkringsverket (socialförsäkringsregister). Med personregister förstås enligt socialförsäkringsregisterlagen dels register, förteckning eller andra anteckningar som förs helt eller delvis automatiserat och som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk person, dels strukturerade samlingar av uppgifter som inte förs automatiserat men som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk person. I personuppgiftslagen används emellertid inte begreppet personregis- ter. I stället regleras behandling av personuppgifter, vilket inte på samma sätt relaterar till förfaranden med inriktning på mer eller mindre fast- ställda samlingar av uppgifter i register utan innefattar i princip alla tänkbara handhavanden av en personuppgift. Socialförsäkringsregister får enligt lagen användas för ändamålen handläggning och förberedande åtgärder avseende ärenden om förmåner och ersättningar som de allmänna försäkringskassorna, Riksförsäkrings- verket eller Premiepensionsmyndigheten har att sköta enligt lag, förord- ning eller särskilt beslut av regeringen. Registren får vidare användas för uppföljning, utvärdering och tillsyn samt statistikframställning i nämnda verksamhet. Personregistren får enligt en särskild ändamålsbestämmelse användas av Statens pensionsverk och det organ som administrerar personalpen- sioner gemensamt för kommunerna och landstingen (KPA Pension AB) för viss handläggning av ärenden om utbetalning och samordning av förmåner. Regeringen, eller den myndighet regeringen bestämt, får före- skriva i vilken omfattning detta får ske. Sedan den 1 juli 2002 får uppgifter i socialförsäkringsregister enligt ytterligare en särskild ändamålsbestämmelse behandlas av de allmänna försäkringskassorna och Riksförsäkringsverket för tillhandahållande av information som behövs i Centrala studiestödsnämndens och arbetslös- hetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. 34 Ett socialförsäkringsregister får innehålla uppgifter om en person som förekommer eller kan komma att förekomma i ett ärende som omfattas av lagen. En förutsättning för att personuppgifter skall få registreras är dock att dessa är av betydelse för handläggningen av ärendet. Personuppgifterna som får registreras indelas i allmänna och särskilda ärendeuppgifter. Allmänna ärendeuppgifter är identifierings- och adress- uppgifter samt uppgifter om kön, civilstånd, medborgarskap och födelse- ort. Särskilda ärendeuppgifter är uppgifter om sådana personliga och ekonomiska förhållanden som är av betydelse för handläggning av ett ärende. En huvudregel i socialförsäkringsregisterlagen är att särskilda ärende- uppgifter som är av sådant slag som avses i bestämmelserna i personupp- giftslagen om känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. inte får registreras i socialförsäkringsregister. I vissa särskilt angivna fall medges dock undantag från huvudregeln i socialförsäkringsregisterlagen om begränsningar för registrering av upp- gifter. Dels har i lagen intagits en lista med ett drygt 40-tal olika typer av uppgifter som får registreras, dels undantas särskilt vissa angivna typer av uppgifter som intagits i beslut eller domar i anledning av socialförsäk- ringsärenden. En särskild regel finns också om att regeringen får före- skriva att uppgifter om sjukdomsdiagnos i begränsad omfattning får regi- streras i socialförsäkringsregister om det behövs för angelägna uppfölj- ningsändamål. Slutligen finns också en undantagsregel som tar sikte på s.k. elektroniska akter (i lagtexten används begreppet socialförsäkrings- register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna för handläggning av ärenden). Tillförande av uppgifter genom sambearbetning får enligt socialförsäk- ringsregisterlagen ske dels från andra socialförsäkringsregister, dels när det gäller uppgifter som lämnats till en allmän försäkringskassa, Premie- pensionsmyndigheten eller Riksförsäkringsverket med stöd av en särskild bestämmelse i lag eller förordning om lämnande av uppgifter. Uppgifter kan även tillföras ett socialförsäkringsregister med stöd av annan lag eller förordning. I socialförsäkringsregisterlagen återfinns särskilda bestämmelser om personuppgiftsansvaret för olika behandlingar hos de allmänna försäk- ringskassorna, Riksförsäkringsverket och Premiepensionsmyndigheten. Personuppgiftsansvariga för socialförsäkringsregister som förs gemen- samt för Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje försäkringskassa när det gäller behandling av uppgifter hos den försäkringskassan. För register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna är försäkringskassan personuppgiftsansvarig. Premiepensionsmyndigheten är personuppgifts- ansvarig för socialförsäkringsregister som förs särskilt för myndigheten. Riksförsäkringsverket är personuppgiftsansvarigt för socialförsäkrings- register som förs särskilt för verket. I socialförsäkringsregisterlagen återfinns regler om direktåtkomst och utlämnande på medium för automatiserad behandling. Riksförsäkrings- verket och de allmänna försäkringskassorna får ha direktåtkomst till upp- gifter i socialförsäkringsregister som förs gemensamt för verket och för- säkringskassorna. Om det behövs för handläggning av ärenden eller för- beredande åtgärder för sådan handläggning får även Premiepensions- Prop. 2002/03:135 35 myndigheten ha direktåtkomst till ett sådant register. Direktåtkomst till uppgifter i socialförsäkringsregister som förs särskilt för en allmän för- säkringskassa får endast den försäkringskassan ha. Om ett register förs särskilt för ett lokalt organs verksamhetsområde inom försäkringskassan får dock endast det lokala organet ha direktåtkomst till uppgifterna. Direktåtkomst till uppgifter i socialförsäkringsregister som förs särskilt för Premiepensionsmyndigheten får endast myndigheten ha. Om det be- hövs för handläggning av ärenden eller förberedande åtgärder för sådan handläggning får dock även en allmän försäkringskassa och Riksförsäk- ringsverket ha direktåtkomst till ett sådant register med undantag för så- dana handlingar som avses i bestämmelsen om elektroniska akter. Direktåtkomst till uppgifter i socialförsäkringsregister som förs särskilt för Riksförsäkringsverket får endast verket ha. Om det behövs för hand- läggning av ärenden eller förberedande åtgärder för sådan handläggning får dock även en allmän försäkringskassa och Premiepensionsmyndig- heten ha direktåtkomst till ett sådant register med undantag för sådana handlingar som avses i bestämmelserna om elektroniska akter. Behörig- het för direktåtkomst till uppgifter i socialförsäkringsregister får endast ges till den som behöver ha tillgång till uppgifterna för att kunna utföra sitt arbete. Även organ utanför socialförsäkringsadministrationen får enligt social- försäkringsregisterlagen ha direktåtkomst till socialförsäkringsregister för vissa angivna ändamål. Statens pensionsverk och det för kommunerna och landstingen gemensamma organet för administration av personalpensioner får, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, ha direktåtkomst till uppgif- ter i socialförsäkringsregister för handläggning av ärenden om utbetal- ning av socialförsäkringsförmåner och samordning av tjänstepensions- förmåner. Statens pensionsverk får dessutom, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, använda socialförsäkringsregister för handläggning av ärenden om statens tjänstegrupplivförsäkring. I anledning härav finns även en särskild regel om tystnadsplikt för den som genom sin befattning med ett socialförsäkringsregister hos det för kommunerna och landstingen gemensamma organet för administration av personalpensioner. Från och med den 1 juli 2002 får även Centrala studiestödsnämnden och arbetslöshetskassorna ha direktåtkomst till socialförsäkringsregister om det behövs för att upprätta underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild bestämmelse i lag eller förordning får lämnas på medium för automatisk databehandling. I övrigt får uppgifter lämnas ut på medium för automatiserad behandling endast om sådant utlämningssätt följer av lag eller förordning eller om uppgiften skall användas för forskning eller framställning av statistik. Särskilda restriktioner gäller enligt socialförsäkringsregisterlagen för sökning i socialförsäkringsregister. Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om det behövs för tillämpning av lag eller förordning eller särskilt beslut av regeringen samt för rättelse, tillsyn, uppföljning eller utvärdering, eller urval för forskning eller fram- Prop. 2002/03:135 36 ställning av statistik. Uppgifter om att den registrerade får eller har fått vård eller försörjning helt eller delvis på det allmännas bekostnad, är häktad, intagen i kriminalvårdsanstalt eller i övrigt har tagits om hand på det allmännas bekostnad får användas som sökbegrepp endast för rättelse och bara om felet inte kan rättas på annat sätt. I fråga om handlingar i elektroniska akter i ärendehanteringssystem får endast ärendebeteckning och beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet regeringen bestämmer får dessutom föreskriva ytterligare begränsningar av användningen av uppgifter som sökbegrepp. Uppgifter i socialförsäkringsregister skall gallras ut senast tio år efter det att de registrerades eller inom den kortare tidsfrist som föreskrivs av regeringen eller den myndighet regeringen bestämmer. Detta gäller dock inte om uppgifterna fortfarande kan antas ha betydelse för handläggning av ett ärende. Handlingar i elektroniska akter skall gallras ut senast tre år efter utgången av det år under vilket ärendet har avslutats. Regeringen eller den myndighet regeringen bestämmer får föreskriva undantag från bestämmelserna om gallring i socialförsäkringsregister för bevarande av ett urval av material för forskningens behov. Sådant material skall över- lämnas till arkivmyndighet. Socialförsäkringsregisterlagen innehåller också bestämmelser om in- formation till den som är eller avses bli registrerad i ett socialförsäkrings- register. Inledningsvis anges att 23 och 2527 §§ personuppgiftslagen (1998:204) gäller vid tillämpning av socialförsäkringsregisterlagen. Be- träffande register som förs gemensamt för Riksförsäkringsverket och de allmänna försäkringskassorna skall informationen lämnas av försäk- ringskassan. Uppgifter i handlingar i elektroniska akter behöver emeller- tid inte tas med i information enligt 26 § personuppgiftslagen. Av infor- mationen skall dock framgå vilka handlingar avseende den registrerade som finns i registret. Om den enskilde begär det och anger vilken hand- ling som avses skall, om inte annat följer av bestämmelser om sekretess, information lämnas även om uppgifter i handlingar i elektroniska akter. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att in- formation bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall se till att den som är eller avses bli registrerad på lämpligt sätt får information om registret. Informationen skall innehålla en beskrivning av de uppgifter som registret får innehålla samt upplysning om ändamålen med registret, de sekretess- och säkerhetsbestämmelser som gäller för re- gistret, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rät- ten till rättelse enligt personuppgiftslagen och socialförsäkringsregister- lagen, samt de begränsningar i fråga om direktåtkomst, utlämnande av uppgifter på medium för automatiserad behandling, sökbegrepp och be- varande av uppgifter som gäller för registret. Ett motsvarande skadeståndsansvar som det som gäller vid behandling i strid med personuppgiftslagen gäller enligt socialförsäkringsregisterla- gen vid behandling i strid med sistnämnda lag eller anslutande författ- ningar. Vidare har i socialförsäkringsregisterlagen intagits en bestäm- melse om rättelse som motsvarar vad som gäller enligt personuppgifts- lagen. Prop. 2002/03:135 37 En myndighets beslut om rättelse och om information som skall läm- Prop. 2002/03:135 nas enligt 26 § personuppgiftslagen får enligt socialförsäkringsregister- lagen överklagas hos allmän förvaltningsdomstol. Andra beslut enligt so- cialförsäkringsregisterlagen får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Slutligen innehåller socialförsäkringsregisterlagen en bestämmelse om att regeringen eller den myndighet regeringen bestämmer får meddela säkerhetsföreskrifter för socialförsäkringsregister.

6

En ny lag om behandling av personuppgifter inom socialförsäkringens administration överväganden och förslag

6.1

Inledning

Den snabba utvecklingen inom informationstekniken innebär i sig att de ramar till skydd för integriteten som ställs upp i lagstiftningen behöver anpassas för att garantera såväl ett fullgott integritetsskydd som en effektiv användning av tekniken. Ett exempel är utvecklingen av och övergången till system för elektro- niska akter för hantering av ärenden hos förvaltningsmyndigheter. Ett så- dant system innebär att dokumentation av personuppgifter m.m. på pap- per helt upphör. I stället lagras alla uppgifter i ett ärende på någon form av medium för automatiserad behandling. Detta innebär att även känsliga uppgifter behöver lagras och behandlas elektroniskt i större utsträckning än vad som är fallet i ett huvudsakligen pappersbaserat aktsystem. Den nya tekniken innebär även att tekniska förutsättningar föreligger för ett effektiviserat informationsutbyte genom överföring på medium för automatiserad behandling mellan myndigheter respektive mellan myn- digheter och andra aktörer. Detta kan i sin tur innebära bättre förutsätt- ningar för en effektiviserad handläggning eftersom information i sådana fall direkt kan användas i automatiserad behandling. Den grundläggande ambitionen bakom de förslag som lämnas är att med utgångspunkt i personuppgiftslagen och dataskyddsdirektivet samt de särskilda integritetsrisker som finns på området utforma en reglering som garanterar ett fullgott integritetsskydd och samtidigt innebär en lämplig avvägning mellan intresset av skydd för enskildas personliga in- tegritet och andra intressen. Däribland kan nämnas intresset av effektivi- sering av myndigheternas handläggning av ärenden genom ianspråk- tagande av den nya tekniken. En annan faktor som beaktats är att rimliga förutsättningar bör ges för en utvecklad uppföljning och analys av ut- vecklingen inom ohälsoområdet. 38

6.2

Särskild författningsreglering

Prop. 2002/03:135

Regeringens förslag: Automatiserad behandling av personuppgifter inom socialförsäkringens administration skall regleras särskilt i lag. Lagen skall ges namnet lag om behandling av personuppgifter inom socialförsäkringens administration.

Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna : Flertalet remissinstanser har inte yttrat sig särskilt i frågan om särskild författningsreglering, men allmänt tillstyrkt de för- slag som lämnats i promemorian. Premiepensionsmyndigheten ifrågasät- ter behovet av en särskild registerförfattning för ålderspensionsområdet, bl.a. med hänsyn till att de personuppgifter som förekommer inom ålderspensionssystemet relativt sett får anses mindre skyddsvärda utifrån integritetssynpunkt än de personuppgifter som förekommer inom andra delar av socialförsäkringens administration. Enligt myndighetens mening ger dessutom personuppgiftslagen ett mer generellt skydd i samband med behandling av personuppgifter jämfört med tidigare lagstiftning. Genom den prövning som ska göras i fråga om den sökandes behandling står i strid med personuppgiftslagen finns det vidare enligt myndighetens me- ning redan i dag ett effektivt skydd för den personliga integriteten vid alla utlämnanden av personuppgifter enligt 2 kap. tryckfrihetsförord- ningen. Enligt myndighetens uppfattning skapas det onödiga hinder ge- nom den reglering som föreslås och myndigheternas ambitioner att ut- veckla 24-timmarsmyndigheten försvåras. Datainspektionen anför att ut- trycket socialförsäkringens administration snarare för tanken till sådan rent administrativ verksamhet som inte på något sätt omfattar sådan be- handling av personuppgifter som avser själva kärnverksamheten och som faller inom lagens tillämpningsområde.

Skälen för regeringens förslag: Inom socialförsäkringens administ- ration behandlas en mängd uppgifter om i stort sett alla fysiska personer i Sverige och dessutom ett stort antal personer som är bosatta utomlands. Personuppgifterna som behandlas är i många fall av integritetskänslig natur. Särskilda författningar som reglerar särskilt känsliga behandlingar av personuppgifter innebär bättre förutsättningar för en ändamålsenlig ut- formning av integritetsskyddet. Sådan författningsreglering av person- register har skett utifrån det principiella ställningstagandet att myndig- hetsregister med ett stort antal registrerade personer och ett integritets- känsligt innehåll bör vara reglerade i lag (prop. 1990/91:60 om offentlig- het, integritet och ADB, s. 56 ff. och bet. 1990/91:KU11 s. 11), vilket också framhölls i förarbetena till personuppgiftslagen (prop. 1997/98:44

s.

41).

Därmed är inte sagt att skäl saknas för att i lag reglera en offentlig

verksamhets behandling av personuppgifter även i de fall det inte är fråga

om en verksamhet med stora inslag av behandling av i sig integritets-

känsliga uppgifter. Om en verksamhet innefattar behandling av ett stort

antal kategorier mindre integritetskänsliga uppgifter som samlats in för

ett bestämt ändamål, kan just möjligheterna att för nytillkomna syften

göra omfattande sammanställningar av uppgifter som var och en för sig

kan betecknas som harmlös sammantaget innebära betydande risker för

den personliga integriteten. Detta utgör enligt regeringens mening ett

39

tungt vägande skäl för att i en särskild lag reglera en sådan verksamhet, med de ökade möjligheter till särskilda överväganden och lösningar som detta medför i förhållande till alternativet att inte ha någon registerför- fattning. En grundläggande princip i dataskyddsdirektivet och personuppgifts- lagen är att behandling av personuppgifter inte får vara oförenlig med de ändamål för vilka de samlats in. Ändamålen ges alltså en mycket central roll i såväl dataskyddsdirektivet som personuppgiftslagen, vilket med styrka talar för att ändamålen för behandlingen av personuppgifter inom en sådan verksamhet som ålderspensionssystemet bör regleras i lag. Där- utöver bör även de grundläggande begränsningar som skall gälla för be- handling av personuppgifter anges i lag. Ytterligare ett område som bör regleras i lag är frågan om personuppgiftsansvar och därmed samman- hängande frågor. Regeringen anser således att den behandling av personuppgifter som sker inom socialförsäkringens administration i sin helhet är av sådan ka- raktär och omfattning att de grundläggande principerna för hur person- uppgifterna får behandlas bör i likhet med vad som gäller i dag regle- ras i lag. Vid utformningen av en ny författningsreglering som garanterar ett fullgott integritetsskydd bör emellertid en utgångspunkt vara att den i största möjliga utsträckning möjliggör successiva förändringar i syste- men utan att hela regelverket behöver ändras. Den lagstiftning som regle- rar behandlingen av personuppgifter måste alltså så långt intresset av ett fullgott integritetsskydd tillåter det vara teknikoberoende och flexibel, för att inte hindra den effektivisering av verksamheterna som pågår. Tidigare kompletterade den generellt tillämpliga datalagen socialför- säkringsregisterlagen. Numera är det personuppgiftslagen som fyller ut där det inte finns några särskilda bestämmelser i socialförsäkringsregis- terlagen. När personuppgiftslagens huvudsakliga reglering fullt ut trädde i kraft den 1 oktober 2001 medförde detta betydande förändringar vad avser de rättsliga förutsättningarna för att behandla personuppgifter. Nu- mera regleras i princip all behandling av personuppgifter av personupp- giftslagen, såvida det inte finns en särskild registerförfattning som gäller för viss behandling av personuppgifter. Behovet av förändringar i förhållande till den nu gällande socialförsäk- ringsregisterlagen bedöms vara så stora att en ny lag bör införas. Den nya lagen föreslås få namnet lag om behandling av personuppgifter inom so- cialförsäkringens administration, vilket anknyter till ett inom socialför- säkringen etablerat språkbruk. Prop. 2002/03:135 40

6.3

Den nya lagens tillämpningsområde m.m.

Regeringens förslag : Den föreslagna lagen skall tillämpas vid behand- ling av personuppgifter i den verksamhet avseende socialförsäkringsför- måner samt andra förmåner och ersättningar som enligt lag eller förord- ning eller särskilt beslut av regeringen ankommer på Riksförsäkringsver- ket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukture- rad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelserna i lagen om bl.a. ändamål, känsliga personuppgifter, databas, sökning av uppgifter och gallring skall i tillämpliga delar även gälla uppgifter om avlidna personer. Behandling av personuppgifter som enligt den föreslagna lagen är tillåten oberoende av den registrerades samtycke skall få utföras även om han eller hon motsätter sig behandlingen. I den föreslagna lagen skall ett förtydligande anges vad beträffar förhållandet till behandling av personuppgifter inom ramen för den officiella statistiken. Den samling uppgifter som med hjälp av automatiserad behandling används gemensamt inom socialförsäkringens administration skall be- nämnas socialförsäkringsdatabasen.

Promemorians förslag: Överensstämmer i princip med regeringens. Remissinstanserna : Riksförsäkringsverket anför att beskrivningen av gränsdragningen för lagens tillämpningsområde bör förtydligas med fler exempel på i vilka situationer respektive lag kan bli tillämplig. Enligt verkets uppfattning är det vidare inte lämpligt att i den nya lagen be- gränsa räckvidden för vissa bestämmelser i lagen om den officiella stati- stiken (2001:99) utan att en ändring görs i den lagen. Verket föredrar vi- dare att verkets framställning av annan statistik än den officiella statisti- ken regleras i lagen om den officiella statistiken, eftersom det inte kan uteslutas att den nya lagen begränsar möjligheterna att framställa annan statistik. Försäkringskasseförbundet och Hallands läns allmänna försäk- ringskassa anser att det är bra att den föreslagna lagen även gäller be- handling av uppgifter om avlidna personer. Stockholms läns allmänna försäkringskassa anser att det hade varit önskvärt med en viss vägledning i fråga om vilken slags manuell hantering av personuppgifter som faller in under lagens tillämpningsområde. Södermanlands läns allmänna för- säkringskassa m.fl. anför att det vore till stor fördel om det i förarbetena till den nya lagen tydligt framgick att den lagen är tillämplig även i fråga om användning av administrativa databaser som Agresso för verkställ- ning av utbetalning av ersättning till försäkrade eller betalning till en le- verantör vid köp av en tjänst eller mottagning av inbetalningar från för- säkrade. Datainspektionen har gjort gällande att 2 § personuppgiftslagen innebär att den lagen endast kan åsidosättas genom bestämmelser i lag eller förordning, dvs. inte genom myndighetsföreskrifter, och föreslår att lydelsen eller föreskrifter som meddelats i enlighet med denna lag eller med stöd av personuppgiftslagen i 4 § i den föreslagna lagen skall tas Prop. 2002/03:135 41 bort. Vidare anför inspektionen att det vore önskvärt att det inledningsvis i den föreslagna lagen anges vilka bestämmelser i personuppgiftslagen som skall tillämpas. Statskontoret finner att förhållandet mellan den före- slagna lagen och personuppgiftslagen utformats på ett genomtänkt sätt. Riksskatteverket har inte något att erinra mot förslaget om i vilken ut- sträckning personuppgiftslagen skall vara tillämplig. Däremot föreslår verket att de bestämmelser i personuppgiftslagen som skall vara tillämp- liga anges genom uttrycklig hänvisning i den föreslagna lagen. Stats- kontoret tillstyrker förslaget att frångå registerbegreppet till förmån för det mer tidsenliga och korrekta uttrycket socialförsäkringsdatabasen. Riksförsäkringsverket anför att övergången från registerbegreppet till databasbegreppet öppnar för en mer flexibel handläggning över kassa- gränserna. Värmlands läns allmänna försäkringskassa ansluter sig till tanken att överge det s.k. registerbegreppet och i stället utgå från begrep- pet socialförsäkringsdatabasen. Detta skapar enligt kassan större flexibi- litet vid tekniska förändringar och är mera anpassat till bestämmelserna i personuppgiftslagen. Skälen för regeringens förslag Från socialförsäkringsregister till behandling av personuppgifter Regeringen föreslår att den nya lagen skall tillämpas vid behandling av personuppgifter i den verksamhet avseende socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen ankommer på Riksförsäkringsverket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten (social- försäkringens administration). Lagen skall dock endast gälla om behand- lingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förslaget till reglering av tillämpningsområdet har utformats så att detta, i högre grad än vad som gäller enligt socialförsäkringsregister- lagen, genom att bygga på det i personuppgiftslagen (1998:204) använda begreppet behandling av personuppgifter ansluter till tillämpningsom- rådet för personuppgiftslagen. Socialförsäkringsregisterlagen är utformad med utgångspunkt i begreppet personregister, som kan härledas till datalagen (1973:289). Med personregister avsågs enligt datalagen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. Registerbegreppet har vid flera tillfällen kritiserats. Främst har kritiken avsett att registerbegreppet för tankarna till på visst sätt organi- serade eller systematiserade samlingar av uppgifter, samtidigt som detta inte längre kan sägas vara ett helt relevant sätt att se på samlingar av uppgifter i elektronisk form. Uppgifter kan t.ex. lagras helt ostrukturerat och oorganiserat i olika filer i en dator, utan att detta förhindrar en effek- tiv hantering av uppgifterna för olika sammanställningar. Viktigast kan- ske det dock är att datorsystemen inom exempelvis myndigheter alltmer innefattar integrering av olika funktioner, löpande text och uppgiftssam- Prop. 2002/03:135 42 lingar och att således register i traditionell mening endast utgör en del av Prop. 2002/03:135 systemen. Givetvis innebär det föreslagna tillämpningsområdet att per- sonregister i socialförsäkringsregisterlagens mening omfattas av regler- ingen. Viss manuell behandling omfattas Liksom socialförsäkringsregisterlagen och personuppgiftslagen bör den föreslagna lagen även omfatta viss manuell behandling av personuppgif- ter, nämligen om de behandlade uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Eftersom den fö- reslagna lagens tillämpningsområde i denna del ansluter till personupp- giftslagens tillämpningsområde kan ledning för bedömningar av vilka manuella behandlingar som omfattas sökas i förarbeten, doktrin och praxis rörande personuppgiftslagens bestämmelser, se t.ex. RÅ 2001 ref. 35. Enligt punkt 3 i övergångsbestämmelserna till personuppgiftslagen skall vissa av bestämmelserna i den lagen inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före ikraftträdandet den 24 oktober 1998 eller manuell be- handling av personuppgifter som utförs för ett visst bestämt ändamål om manuell behandling för ändamålet påbörjats före ikraftträdandet. Person- uppgiftslagen är alltså tillämplig i fråga om sådan manuell behandling av det slag som omfattas av lagen och som inletts den 24 oktober 1998 eller senare. Övergångsbestämmelserna till de ändringar av socialförsäkringsregis- terlagen som medförde att även den lagen är tillämplig i fråga om vissa manuella personregister innebar en motsvarande ordning, dvs. endast manuella personregister som enligt vad som beskrivits ovan är undan- tagna från tillämpningen av personuppgiftslagen undantogs från tillämp- ningen av vissa regler i socialförsäkringsregisterlagen för tiden fram till den 1 oktober 2007. En motsvarande regel föreslås nu i den nya lagen. Den skall alltså från ikraftträdandet vara tillämplig på sådan manuell behandling av personuppgifter som omfattas av personuppgiftslagen och som påbörjats den 24 oktober 1998 eller senare. Sådan manuell behand- ling av personuppgifter som enligt övergångsbestämmelserna till person- uppgiftslagen är undantagen från tillämpning av vissa regler under tiden fram till den 1 oktober 2007 skall också vara undantagen från tillämpning av reglerna i den nu föreslagna lagen under tiden fram till den 1 oktober 2007. Kärnverksamhet och annan verksamhet Den kärnverksamhet som bedrivs av Riksförsäkringsverket, de allmänna försäkringskassorna respektive Premiepensionsmyndigheten tar sikte på administrationen av de förmåner m.m. som normalt går in under begrep- pet socialförsäkring. Det är också kärnverksamheten som tillämpnings- området för den föreslagna lagen i första hand omfattar. 43 Definitionen av tillämpningsområdet i den föreslagna lagen tar sikte på behandling av personuppgifter i verksamhet som gäller socialförsäkrings- förmåner samt vissa andra förmåner eller ersättningar. Härigenom av- gränsas tillämpningsområdet i förhållande till rent administrativ verk- samhet utan någon koppling till förmånssystemet. Inom ramen för verk- samheterna hos de olika myndigheterna förekommer naturligtvis utöver den egentliga kärnverksamheten även en omfattande administrativ verk- samhet med avseende på den egna personalen, lokal- och materialför- sörjning m.m. I sådan verksamhet föreligger emellertid i regel inte en så- dan koppling till hantering av socialförsäkringsförmåner eller andra för- måner eller ersättningar att förekommande behandlingar av personupp- gifter kan anses hänförliga till den nya lagens tillämpningsområde. Na- turligtvis är personuppgiftslagen (1998:204) tillämplig i fråga om sådan administrativ verksamhet. Detta innebär dock på intet sätt någon begränsning av den föreslagna lagens tillämpningsområde till behandling av personuppgifter för endast sådana syften som tar sikte på kärnverksamheten inom socialförsäkring- ens administration. Även sådan behandling som utlämnanden av person- uppgifter till andra myndigheter etc. för syften som inte har direkt kopp- ling till handläggning av ärenden eller andra ändamål med sikte på behov inom socialförsäkringens administration omfattas av lagen. Av definitionen av den föreslagna lagens tillämpningsområde följer alltså en avgränsning i förhållande till den rent administrativa verksam- heten. Automatiserad behandling av personuppgifter för behörighetskon- troll, lagring av telefonnummer, passersystem, löneutbetalning, flextid, förslagsverksamhet m.m. kan hänföras till sådan rent administrativ verk- samhet som enbart avser exempelvis anställningsförhållanden m.m. och som det saknas anledning att reglera särskilt i en registerlag. I sådana fall är enbart personuppgiftslagen tillämplig i fråga om behandlingen. Det- samma gäller naturligtvis även behandling av personuppgifter som har sin grund i myndigheternas köp av tjänster eller varor. I de fall register eller programvara för administrativa rutiner såsom in- eller utbetalningar, exempelvis AGRESSO, används vid transaktioner som har sin grund i rättigheter eller skyldigheter i förmånssystemet omfattas dock behand- lingen av personuppgifter av den föreslagna lagen. När det gäller behand- ling av uppgifter för administrativ verkställighet i form av utbetalning, uppföljning eller utvärdering av handläggningen av de olika förmånss- lagen inom socialförsäkringen omfattas alltså behandlingen av den före- slagna lagen. Vid exempelvis integrering av funktioner för administrativ uppföljning av verksamheten i system för ärendehantering, kan det exempelvis före- komma gemensam behandling av uppgifter som är hänförliga till såväl kärnverksamheten som till den administrativa uppföljningen. Exempel på uppgifter av det senare slaget är uppgifter om vem som är ansvarig för ett visst ärende vid en viss tidpunkt eller om vem som faktiskt utfört hand- läggningen av ett ärende m.m. Sådan administrativ uppföljning får ske med stöd av de i den föreslagna lagen angivna primära ändamålen. I så- dana fall är såväl personuppgiftslagen som de tillämpliga reglerna i den nu föreslagna lagen tillämpliga. Prop. 2002/03:135 44

Uppgifter om avlidna omfattas i vissa fall

Prop. 2002/03:135

Socialförsäkringsregisterlagen är till skillnad från personuppgiftslagen

tillämplig även i fråga om uppgifter som är hänförliga till avlidna perso-

ner. Ett skäl till detta är att det inom den verksamhet som bedrivs av

socialförsäkringens administration förekommer en mängd uppgifter som

är hänförliga till avlidna (se prop. 2000/01:69 s. 19 f.). I fråga om upp-

gifter om avlidna personer har det vid utarbetandet av personuppgifts-

lagen ansetts att integritetsintresset inte gör sig gällande på sådant sätt att

dessa uppgifter bör omfattas av lagen (se SOU 1997:39 s. 337). Det ter

sig dock alltjämt motiverat att vissa av de nu föreslagna reglerna omfattar

även uppgifter om avlidna.

Undantag från rätten att motsätta sig behandling

Den registrerade skall enligt dataskyddsdirektivet i vissa fall, bl.a. när det

gäller en behandling som är nödvändig för att utföra en arbetsuppgift av

allmänt intresse eller som är ett led i myndighetsutövning som utförs av

den registeransvarige eller tredje man till vilken uppgiften har lämnats ut,

ha rätt att motsätta sig behandling av uppgifter som rör honom, utom när

den nationella lagstiftningen föreskriver något annat. I personuppgifts-

lagen finns en bestämmelse om att en registrerad med ett par undantag

inte har rätt att motsätta sig sådan behandling som är tillåten enligt per-

sonuppgiftslagen. Det finns behov av att i den utsträckning som anges i

den föreslagna lagen kunna behandla personuppgifter inom socialförsäk-

ringens administration oberoende av den registrerades inställning. Därför

bör det föreskrivas att sådan behandling av personuppgifter som enligt

den föreslagna lagen får ske oberoende av den registrerades samtycke får

utföras även om den registrerade motsätter sig behandlingen.

Förtydligande vad avser den officiella statistiken

En del av Riksförsäkringsverkets verksamhet rörande socialförsäkrings-

förmåner utgörs av framställning av delar av den officiella statistiken.

För denna verksamhet finns särskilda bestämmelser om behandling av

personuppgifter i lagen (2001:99) om den officiella statistiken och till

den lagen anslutande författningar. Den föreslagna lagen bör därför inte

vara tillämplig i fråga om sådan verksamhet. Ett förtydligande av detta

bör tas in i den föreslagna lagen.

Av 1 § tredje stycket lagen (2001:99) om den officiella statistiken

framgår att vissa bestämmelser i den lagen som rör behandling av käns-

liga personuppgifter m.m. och om gallring skall tillämpas även vid fram-

ställning av annan statistik än officiell hos en statistikansvarig

myndighet. Det är fråga om följande bestämmelser. En statistikansvarig

myndighet får behandla personuppgifter för framställning av statistik.

Känsliga personuppgifter och uppgifter om lagöverträdelser får dock

behandlas bara om det följer av föreskrifter som regeringen meddelat.

Däremot får behandlingen omfatta även uppgift om personnummer. Den

statistikansvariga myndigheten är personuppgiftsansvarig enligt

personuppgiftslagen. Personuppgifter skall gallras hos de statistik-

ansvariga myndigheterna när uppgifterna inte längre behövs för

sitt

45

ändamål. Regeringen eller den myndighet som regeringen bestämmer får dock under vissa förutsättningar föreskriva om undantag från denna skyl- dighet. Material som inte gallras skall lämnas över till en arkivmyndighet. I lagrådsremissen föreslogs en bestämmelse om att den nämnda regeln i 1 § tredje stycket lagen om den officiella statistiken inte skall gälla i fråga om framställning av statistik inom socialförsäkringens administra- tion. Vad gällde Riksförsäkringsverkets synpunkt om att en sådan bestämmelse borde föranleda en ändring av bestämmelserna i lagen om den officiella statistiken konstaterade regeringen i remissen att en sådan ändring förutsätter en bredare översyn än vad som är möjligt i förevarande lagstiftningsärende.

Lagrådet har anfört att ett undantag från en bestämmelse i en lag för- anlett av att specialbestämmelser finns i en annan lag bör tas in i den lag från vilken undantag görs samt att det förhållandet att detta kräver en bredare översyn inte är skäl att i förevarande fall frångå denna ordning. Regeringen instämmer i den principiella utgångspunkt Lagrådet sålunda gett uttryck för. Bestämmelsen om undantag från lagen om den officiella statistiken har därför inte tagits med i lagförslaget i propositio- nen. Det innebär att de båda lagarna får tillämpas samtidigt i fråga om behandling av personuppgifter för framställning av annan statistik än officiell inom socialförsäkringens administration. Det kan inte anses in- nebära någon nackdel, eftersom det är regeringens bedömning att den som följer det som föreskrivs i lagen om behandling av personuppgifter inom socialförsäkringens administration jämte den anknytande förord- ning som regeringen avser att utfärda i praktiken också uppfyller det som krävs enligt lagen om den officiella statistiken. Frågan om en eventuell översyn av lagen om den officiella statistiken får bedömas i annat sammanhang. Förhållandet till personuppgiftslagen m.m. Personuppgiftslagen innehåller vissa definitioner och grundläggande regler för hur personuppgifter får behandlas. Den är enligt huvudregeln generellt tillämplig inom ramen för sitt tillämpningsområde och omfattar alltså även behandling av personuppgifter inom socialförsäkringens ad- ministration. Omfattningen av behandlingar av bl.a. integritetskänsliga uppgifter inom socialförsäkringens administration och behovet av en tydlig reglering av sådana behandlingar påkallar emellertid att person- uppgiftslagens bestämmelser kompletteras genom en registerlag som är tillämplig inom de aktuella myndigheternas verksamheter. Datainspek- tionen och Riksskatteverket har, med hänvisning till att en större tydlighet därigenom skulle uppnås, föreslagit att det i den nya lagen uttryckligen skall anges vilka bestämmelser i personuppgiftslagen som skall vara tillämpliga vid behandling av personuppgifter inom den föreslagna la- gens tillämpningsområde. Regeringen har emellertid redan i tidigare lag- stiftningsärenden, med hänvisning till den kritik som Lagrådet riktat mot en lagstiftningsteknik av liknande slag som den som föreslås av Data- inspektionen och Riksskatteverket, avvisat en sådan konstruktion (se ex- empelvis prop. 2001/02:144 s. 21). De skäl som låg till grund för detta ställningstagande gör sig gällande även i fråga om den nu föreslagna la- Prop. 2002/03:135 46 gen. Därtill kommer att förhållandet mellan bestämmelser i en register- Prop. 2002/03:135 författning och bestämmelser i personuppgiftslagen i vissa fall kan vara betydligt mer komplext än vad som är möjligt att uttrycka i en sådan slags uppräkning av bestämmelser som föreslagits av de nämnda myn- digheterna. Regeringen föreslår därför att de regler i personuppgiftslagen som är tillämpliga inte skall anges i lagen. Enligt 2 § personuppgiftslagen skall, om det i en annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen, de bestämmelserna gälla. I de flesta fall är också registerlagstiftningen kon- struerad så att den genom särreglering endast kompletterar personupp- giftslagen vad avser frågor som är specifika för de verksamheter som omfattas av lagstiftningen. Visserligen innebär detta att myndigheter som omfattas av en sådan registerlag måste beakta såväl den lagen som per- sonuppgiftslagen vid behandling av personuppgifter. Alternativet, att den särskilda registerlagen heltäckande reglerar all behandling av personupp- gifter, framstår dock som en på sikt svårhanterlig lösning. Detta gäller bl.a. på grund av svårigheterna att överblicka konsekvenserna av eventu- ella framtida ändringar av personuppgiftslagen eller av dataskyddsdirek- tivet. Den reglering som nu föreslås för socialförsäkringens administration omfattar därför endast de särbestämmelser och förtydliganden som det bedöms föreligga behov av. Lagen bör dock endast innehålla de ur integ- ritetssynpunkt viktigaste bestämmelserna och inte vara alltför detaljerad. Det är därför nödvändigt att i många avseenden komplettera lagen med författningar på lägre nivå. Den föreslagna lagen innehåller, helt i enlig- het med vad som anges i 2 § personuppgiftslagen, bestämmelser som in- nebär möjligheter att i föreskrifter meddela bestämmelser som innebär undantag från personuppgiftslagens bestämmelser. I den föreslagna lagen används en rad beteckningar som hämtats från personuppgiftslagen. Det gäller exempelvis beteckningarna behandling (av personuppgift), personuppgift, personuppgiftsansvarig och den registrerade. Dessa beteckningar definieras i 3 § personuppgiftslagen. Avsikten är att de skall ha samma innebörd i de fall de används i den föreslagna lagen. En gemensam reglering för personuppgifter som används gemensamt i verksamheten Den föreslagna lagen skall vara tillämplig i fråga om i princip all auto- matiserad behandling av personuppgifter och viss manuell behandling av personuppgifter inom socialförsäkringens administration. Detta innebär att även ordbehandling på en enstaka persondator som innefattar behand- ling av personuppgifter inbegrips i lagens tillämpningsområde. Det finns emellertid ett behov av att kunna särskilt reglera sådan auto- matiserad behandling av personuppgifter som innebär att fler än ett fåtal personer har sådan tillgång till uppgifterna i fråga att de förutom att ta del av dem i regel även kan bearbeta dem eller förfoga över dem på annat sätt. Sådan behandling av personuppgifter är naturligtvis typiskt sett mer integritetskänslig än vad som är fallet när endast en enstaka person förfo- gar över uppgifterna. 47 I datalagen (1973:289) och socialförsäkringsregisterlagen liksom i an- nan äldre registerlagstiftning har begreppet personregister använts som utgångspunkt för regleringen. Med personregister avses register, förteck- ning eller andra anteckningar som förs med hjälp av automatisk databe- handling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. I personuppgiftslagen används emellertid inte be- greppet register över huvud taget för olika samlingar av uppgifter. I stäl- let talas det om behandling av personuppgifter. I de nya lagarna om be- handling av personuppgifter inom beskattnings-, tull- och exekutions- verksamheterna har begreppet databas införts för de elektroniska sam- manställningar av personuppgifter som sker i dessa verksamheter (se ex- empelvis lagen [2001:181] om behandling av uppgifter i skatteförvalt- ningens beskattningsverksamhet). De skäl som anförts för införandet av detta begrepp kan sammanfattas enligt följande. Ofta är samlingar av personuppgifter i elektronisk form att se som register i ordets mer egentliga bemärkelse. Begreppet register är emellertid inte så väl lämpat att användas som beteckning för det samlade datasystemet hos myndigheter som tillämpar elektronisk ären- dehantering. I ett sådant system lagras inkomna handlingar i ett ärende i en elektronisk akt efter att ha lästs av genom s.k. skanning eller sänts in av den enskilde i elektronisk form. Handlingar som upprättas i ärendet framställs genom automatiserad behandling och lagras även huvudsakli- gen i elektronisk form. Begreppet register bör på detta område förbehål- las sådana automatiserade uppgiftssamlingar som faktiskt utgör register i strikt betydelse, nämligen när uppgifter är organiserade på ett systema- tiskt sätt enligt fastställda kriterier. Begreppet databas har rent språkligt en mer naturlig anknytning till automatiserade sammanställningar i all- mänhet och har den fördelen att det inte tekniskt avgränsar hur en sam- ling uppgifter är uppbyggd eller organiserad (se prop. 2000/01:33 s. 88 ff.). För att tillgodose det ovan berörda behovet av att kunna särreglera be- handling av personuppgifter som innebär att fler än ett fåtal personer har tillgång till uppgifterna krävs utöver begreppet databas ytterligare ett be- grepp som tar sikte på just detta förhållande. I den nämnda lagstiftningen om behandling av personuppgifter inom beskattnings-, tull- och exeku- tionsverksamheterna har begreppet används gemensamt i verksamhe- ten använts för att markera att de aktuella reglerna inte skall tillämpas i fråga om exempelvis ordbehandling av en enstaka tjänsteman. Det vä- sentliga är därvid inte på vilket sätt uppgifter tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. En uppgift anses gemensamt tillgänglig om den registreras och lagras på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att vid behov och i olika samman- hang t.ex. i samband med handläggningen av ett ärende ta del av uppgiften direkt på automatiserad väg. Även i fråga om den här föreslagna lagen föreslås att begreppet data- bas används som centralt begrepp. Behovet av en särreglering av de ge- mensamt tillgängliga samlingarna av personuppgifter och handlingar som finns inom socialförsäkringens administration framstår som minst lika starkt som när det gäller myndigheter i övrigt. I lagrådsremissen före- slogs att socialförsäkringsdatabasen skulle definieras som den samling uppgifter och handlingar som med hjälp av automatiserad behandling an- vänds gemensamt i verksamheten. Prop. 2002/03:135 48

Lagrådet konstaterar att den föreslagna parallella användningen av uppgifter och handlingar inte förekommer i de motsvarande definitioner på databaser som finns i registerlagar för andra verksamheter, såsom för skatteförvaltningen, kronofogdemyndigheterna, Tullverket och den arbetsmarknadspolitiska verksamheten. Med hänvisning till att den ter- minologi som används i dessa lagar svarar bättre mot den i bl.a. person- uppgiftslagen och sekretesslagen anför Lagrådet att densamma bör användas även i den här föreslagna lagen. Regeringen instämmer i Lag- rådets bedömning. I definitionen av socialförsäkringsdatabasen i lagför- slaget i propositionen har därför hänvisningen till handlingar tagits bort. Därmed uppnås enhetlighet i definitionerna i de olika register- lagarna som använder databasbegreppet. Någon saklig skillnad är inte avsedd. Vad som avses med begreppet socialförsäkringsdatabasen är alltså i princip den inom socialförsäkringens administration gemensamt använda samling av dels personuppgifter i olika personregister i egentlig mening, dvs. på visst sätt organiserade sammanställningar av personuppgifter som används som underlag för beslutsfattande, utbetalning, uppföljning m.m., som för närvarande förs eller framgent kommer att föras inom socialför- säkringens administration, dels uppgifter i handlingar som inkommit eller upprättats i ett ärende och som lagrats elektroniskt för användning i ett ärendehanteringssystem inom socialförsäkringens administration. I andra bestämmelser än definitionen av socialförsäkringsdatabasen förekommer emellertid begreppet handling när bara handlingar i data- basen avses. Någon definition av begreppen handling och uppgift lämnas inte i lagen. Med handlingar avses i den föreslagna lagen sammanställningar av uppgifter utan en sådan i förväg fastställd struktur som brukar finnas när det är fråga om exempelvis ett personregister. Exempel på handlingar är ansökningar, läkarintyg, skriftlig komplettering av uppgifter från en försäkrad eller beslut i ärenden. Med uppgift avses enskilda ord eller mindre sammanställningar av ord som är bärare av en begränsad infor- mationsmängd och som enligt särskilda fastställda rutiner kan registreras på ett bestämt sätt, exempelvis i ett personregister, i ett datasystem. Även andra typer av handlingar eller uppgifter än dessa kan anses ingå i socialförsäkringsdatabasen. Ett exempel är samlingar av domar eller be- slut som upprättats för ledning angående praxis etc. och som inte är av- identifierade så att de inte längre kan anses innehålla personuppgifter. Är det däremot så att en sammanställning hanteras av endast en enstaka tjänsteman på en avskild persondator utan avsikt att sammanställningen skall vara gemensamt tillgänglig ingår den inte i databasen. En grundläg- gande förutsättning för att en elektroniskt lagrad uppgift skall anses ingå i en databas, är att uppgiften används gemensamt i verksamheten. Det väsentliga är alltså inte på vilket sätt en uppgift lagras, utan den faktiskt åsyftade tillgängligheten. Gränserna för socialförsäkringsdatabasen Det avgörande för om en uppgift används gemensamt i en verksamhet och därmed utgör en beståndsdel i en databas är om den behandlas på ett sätt som medför att den utgör allmän egendom i verksamheten. Att Prop. 2002/03:135 49 olika personalkategorier kan ha olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begränsat antal personer hos olika myndigheter inom en myndighetsorganisation förtar i sig inte upp- gifternas egenskap som gemensamt använda. Detsamma gäller om vissa uppgifter görs åtkomliga endast för handläggare inom en regional myndighet. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en myndighet i samband med att en tjänsteman arbetar med ordbehandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan där- emot inte anses vara gemensamt använd. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn skall användas av andra än dem som utför behandlingen. (Se prop. 2000/01:33 s. 89 f.) Det är dock viktigt att komma ihåg att begreppet socialförsäkrings- databasen är ett juridiskt begrepp och att det inte bygger på tekniska avgränsningar eller utformningar i övrigt av uppgiftshanteringen. Inte heller innebär det förhållandet att en uppgift anses hänförlig till socialförsäkringsdatabasen att den på något sätt kan anses generellt tillgänglig för alla verksamma inom socialförsäkringens administration. Tillgängligheten är naturligtvis på olika sätt begränsad genom behörighetsregler m.m. Å andra sidan medger förslaget om en socialförsäkringsdatabas att myndighetsöverskridande tillgänglighet till uppgifter kan komma i fråga på ett annat sätt än vad som för närvarande gäller. Exempelvis möjliggörs nya former för samarbete mellan olika försäkringskassor i fråga om ärendehandläggning, informationsverk- samhet m.m. Även det behov av gränsöverskridande informations- inhämtning som s.k. koncentrerad handläggning av vissa ärendeslag kan tänkas medföra torde kunna tillgodoses. Den grundläggande tanken med socialförsäkringsdatabasen är att re- glera behandling av personuppgifter som på grund av just gemensam användning är att anse som särskilt integritetskänslig. Det innebär att vanlig ordbehandling och e-posthantering där avsikten är att endast en enstaka tjänsteman skall använda och ha tillgång till uppgifterna i de aktuella dokumenten faller utanför ramen för socialförsäkringsdatabasen. Det faktum att en systemadministratör eller någon annan tjänsteman vid myndigheten kan få tillgång till en uppgift genom ett visst tekniskt förfarande medför inte att uppgiften är lagrad för att användas gemensamt i verksamheten. Inte heller innebär det förhållandet att en handling som innehåller exempelvis ett koncept till ett beslut i ett ärende och som av en enstaka tjänsteman behandlas tillfälligt i en dator med det uttalade syftet att den senare skall användas gemensamt att uppgiften ingår i databasen. När det gäller gränsdragningen för vilka uppgifter eller handlingar som kan anses hänförliga till socialförsäkringsdatabasen kan naturligtvis led- ning sökas i de ovan redovisade förarbetsuttalandena och den praxis som kan komma från Datainspektionen och domstolar om tillämpningen av de sålunda införda reglerna om databaser. Det finns emellertid skäl att utöver vad som angetts ovan något ut- veckla innebörden av att en uppgift används gemensamt i verksamheten. När man talar om behörighet att få del av en viss uppgift avses ibland den rättsligt betingade rättigheten att ta del av en uppgift som kan följa Prop. 2002/03:135 50 av en anställning eller ett förordnande av annat slag, ibland den faktiska Prop. 2002/03:135 tekniskt betingade möjligheten att ta del av en uppgift som ofta styrs av tilldelning av åtkomst i olika kortsystem etc. Ofta görs i dagligt tal ingen åtskillnad mellan dessa olika betydelser. När det gäller den ovan berörda registerlagstiftningen för beskattnings-, tull- och exekutionsverksamhe- terna torde det vara den rättsligt betingade rättigheten som är utgångs- punkten för gränsdragningen för om en uppgift skall anses gemensamt använd i verksamheten, även om uttrycket används kan tyckas leda tanken till ett samtidigt faktiskt användande. Nedan föreslås en i lag intagen reglering av behörighet till åtkomst till uppgifter som alltså tar sikte på den rättsligt betingade rättigheten. Behö- righeten skall enligt förslaget alltid vara begränsad till den åtkomst till uppgifter som behövs för den enskilde handläggarens fullgörande av sina arbetsuppgifter. Det innebär naturligtvis i allmänhet att behörigheten att vid en viss tidpunkt ta del av en viss uppgift är beroende av hur arbetet är organiserat inom en myndighet och att den behöriga kretsen kan vara be- gränsad till ett mycket litet antal personer, nämligen de som har behov av behörigheten för att kunna utföra sina arbetsuppgifter, och att kretsen tjänstemän som har behörighet till åtkomst till uppgiften i inte obetydlig mån torde kunna variera över tid. I vissa fall torde det kunna vara så att det inte är någon eller endast en enda tjänsteman vid en försäkringskassa som vid en given tidpunkt har behörighet att få tillgång till en uppgift. Att så kan vara fallet innebär emellertid inte att uppgiften i fråga inte kan anses gemensamt använd i verksamheten. Vad som är utgångspunkten för gränsdragningen är snarare den avsedda omfattningen av den krets av tjänstemän som på sikt kan förmodas ha behov av uppgiften i fråga.

6.4

Personuppgiftsansvar

Regeringens förslag : En myndighet inom socialförsäkringens administ- ration skall vara personuppgiftsansvarig för den behandling av person- uppgifter som den utför.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna : Datainspektionen föreslår att bestämmelsen i 5 § om personuppgiftsansvar formuleras En myndighet inom socialförsäk- ringens administration är personuppgiftsansvarig för den behandling av personuppgifter som den utför eller som det åligger den att utföra. för att markera att det finns ett ansvar inte endast för att en utförd behandling är korrekt utan även för att en behandling faktiskt utförs när det skall ske. Riksskatteverket föreslår att personuppgiftsansvaret knyts till den be- handling som myndigheten skall utföra. På det sättet blir det tydligare att myndigheten även ansvarar i de fall då den har underlåtit att t.ex. föra in uppgifter i databasen. Södermanlands läns allmänna försäkringskassa m.fl. anför att det är nödvändigt med ett för försäkringskassorna och Riksförsäkringsverket gemensamt personuppgiftsansvar för de system som Riksförsäkringsverket skapar, med hänsyn till att det är verket som har faktisk möjlighet att påverka om och hur en behandling skall företas och som kan påverka säkerhetsnivån. 51

Skälen för regeringens förslag: Enligt 3 § personuppgiftslagen är den personuppgiftsansvarig, som ensam eller tillsammans med andra be- stämmer ändamålen med och medlen för behandling av personuppgifter. I verksamhet som omfattas av registerlagstiftning är emellertid ändamå- len i regel angivna i den aktuella registerförfattningen. Detta medför ett behov av att i registerlagen klargöra personuppgiftsansvaret för olika fö- rekommande behandlingar av personuppgifter genom en särskild be- stämmelse. Med personuppgiftsansvaret följer av såväl personuppgiftslagen som den föreslagna lagen en rad åligganden, såsom ett ansvar för att behand- lingen av personuppgifter sker i enlighet med respektive lags bestämmel- ser, skyldighet att lämna information enligt de särskilda bestämmelserna om detta, skadeståndsskyldighet m.m. En rimlig utgångspunkt för fördel- ningen av personuppgiftsansvaret bör vara att det är den myndighet som har faktisk möjlighet att påverka om och hur en behandling skall företas som bör vara personuppgiftsansvarig för den behandlingen. För varje be- handling finns det en personuppgiftsansvarig, som har ansvaret bl.a. för att föreskrivna åtgärder i anslutning till den behandlingen utförs, t.ex. lämnande av registerutdrag. Det ligger i personuppgiftsansvaret att det omfattar även underlåtenhet att vidta föreskrivna åtgärder, t.ex. underlå- tenhet att genomföra den behandling som krävs för att lämna ett register- utdrag. Regeringen anser till skillnad från Datainspektionen att det inte finns anledning att särskilt markera att ansvaret gäller också en sådan underlåtenhet. En sådan markering saknas i de flesta andra registerlagar. Det är inte ändamålsenligt att i lag i detalj specificera vem som skall vara personuppgiftsansvarig för alla de olika typer av behandlingar som kan tänkas förekomma inom socialförsäkringens administration. Särskilt gäller detta de mer komplexa förhållanden som råder vid myndighetsge- mensam användning av de stora register som ingår i socialförsäkrings- databasen. I stället bör personuppgiftsansvaret fördelas genom en regel av mer övergripande karaktär. Det mest närliggande alternativet är då att regeln om personuppgiftsansvaret utformas så att den i första hand tar sikte på den myndighet som utför en viss behandling. När det gäller behandlingar av personuppgifter som inte sker inom ra- men för den nedan föreslagna socialförsäkringsdatabasen, exempelvis ordbehandling i ett dokument som utförs av en tjänsteman, torde det inte vara något större problem att identifiera den myndighet i vars verksamhet behandlingen utförs. I fråga om behandlingar i databasen, i vilken upp- gifter i många fall kan vara gemensamt tillgängliga för flera myndighe- ter, kan dock bedömningen av personuppgiftsansvaret vara mer kompli- cerad. Databasbegreppet är i och för sig endast en juridisk konstruktion för gemensam reglering av behandling av personuppgifter för en viss massa av uppgifter och handlingar i elektronisk form. Det förhållandet att en uppgift är hänförlig till databasen innebär inte att andra anställda inom socialförsäkringens administration än dem som behöver det för sin tjänst skall ha tillgång till uppgiften. Systematiken i det tekniska systemet för registrering av uppgifter m.m. kommer naturligtvis att beakta indel- ningen av verksamheten i olika myndigheter. I regel torde det med ut- gångspunkt i forumregler och vem som faktiskt utfört en behandling inte vara något större problem att avgöra vilken myndighet som utfört en viss Prop. 2002/03:135 52 behandling. Det är också den enskilda behandlingen som skall utgöra grunden för fördelningen av personuppgiftsansvaret. Har en uppgift lag- rats i databasen är det den myndighet som i och för sin verksamhet utför lagringsåtgärden som är ansvarig för att den lagrade uppgiften är korrekt. Ansvaret för uppgiften bör rimligtvis sedan sträcka sig så långt som fram till den tidpunkt då gallring aktualiseras, dock inte längre än fram till den tidpunkt då den myndigheten av olika skäl inte längre besitter möjlighe- ter att förfoga över uppgiften genom rättning, blockering, borttagning etc. Om en personuppgift lämnas ut av en annan myndighet än den som registrerade uppgiften svarar naturligtvis den utlämnande myndigheten för den behandling som utgörs av själva utlämnandet. För den fortsatta behandlingen av uppgiften efter en registrering kan även andra myndigheter vara ansvariga, allt efter vilka faktiska behand- lingar som utförs. Förslaget om fördelning av personuppgiftsansvar för- utsätter naturligtvis att det går att genom loggning spåra vilken myndig- het som företagit en viss behandling. I övergripande frågor, såsom ansvar för att tekniska eller organisato- riska säkerhetsåtgärder vidtas, måste personuppgiftsansvaret fördelas ef- ter vilka myndigheter som har befogenhet och skyldighet att utföra dessa åtgärder. I regel torde det följa av åläggandet för Riksförsäkringsverket i verksinstruktionen att vara ansvarig systemägare för Riksförsäkringsver- kets och försäkringskassornas gemensamma IT-system att det är verket som har personuppgiftsansvaret vad avser sådana frågor. Enligt regering- ens uppfattning innebär det lämnade förslaget i princip ett sådant ge- mensamt personuppgiftsansvar som ett flertal försäkringskassor efter- lyst. Att införa en bestämmelse som innefattar begreppet gemensamt personuppgiftsansvar är dock inte i sig ägnat att bringa större klarhet rö- rande fördelningen av personuppgiftsansvaret eftersom det i enlighet med vad som anförts ovan i själva verket är så att personuppgiftsansvaret splittras upp på de olika myndigheterna. Enligt regeringens uppfattning bör personuppgiftsansvaret i stället fördelas utifrån en bestämmelse som tar sikte på vilken myndighet som utför en behandling av personuppgif- ter. För varje behandling av personuppgifter finns det alltid någon person- uppgiftsansvarig. Det följer av myndigheternas serviceskyldighet att de skall hänvisa en registrerad som har klagomål eller synpunkter på be- handlingen av en uppgift som myndigheten har tillgång till, till den myn- dighet som är personuppgiftsansvarig för behandlingen. Prop. 2002/03:135 53

6.5

Ändamål

Prop. 2002/03:135

Regeringens förslag : I lagen om behandling av personuppgifter inom socialförsäkringens administration skall anges ändamål för vilka behand- ling av personuppgifter får förekomma. Ändamålen skall delas in i pri- mära ändamål och sekundära ändamål. De primära ändamålen avser be- handling av personuppgifter för tillgodoseende av de behov som finns inom socialförsäkringens administration. De sekundära ändamålen avser olika typer av utlämnande av personuppgifter. I fråga om behandling av personuppgifter för andra ändamål än de primära eller sekundära ända- målen gäller den ram som följer av den s.k. finalitetsprincipen i person- uppgiftslagen (1998:204).

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: 

Kammarrätten i Sundsvall anför att uppdelningen på primära och sekundära ändamål och den särskilda regleringen av soci- alförsäkringsdatabasen samt den föreslagna regleringen för elektroniska handlingar sammantaget innebär bestämmelser som är mycket vid- sträckta och svåra att överblicka, vilket medför att det är otydligt vad som kommer att gälla. Riksförsäkringsverket anför att uppräkningen av ändamål och uppdelningen av dessa i primära och sekundära ändamål gör det tydligare vad informationen får användas till. Försäkringskasse- förbundet anser att det tekniska upplägget med primära och sekundära ändamål är positivt. Datainspektionen anför att man genom att göra en uppdelning i primära och sekundära ändamål åstadkommer tydlighet i fråga om hur personuppgifter får användas för en myndighets egna verk- samhet och under vilka förutsättningar de får lämnas ut till andra. Enligt Datainspektionens uppfattning vore det önskvärt att uppräkningen av än- damål vore uttömmande. Samtidigt har Datainspektionen förståelse för att det i praktiken kan vara svårt att genomföra en sådan lösning. Stats- kontoret anför att det bör övervägas om inte indelningen i primära och sekundära ändamål är överdrivet komplex. Åtskillnaden tycks enligt ver- kets uppfattning ha sin stora förtjänst som analysredskap vid utform- ningen av skyddet medan de inbördes hänvisningarna i lagen inte på ett uppenbart sätt motiverar indelningen. Det är enligt verkets uppfattning ingen principiell skillnad ur integritetsskyddssynvinkel mellan de båda ändamålskategorierna. Såsom lagförslaget är utformat finns det en risk för att de två kategorierna av ändamål framstår som principiellt åtskilda. Skälen för regeringens förslag Personuppgiftslagens regler om ändamål I 9 § personuppgiftslagen anges vissa grundläggande krav på behandling av personuppgifter. I punkterna c) och d) i 9 § första stycket åläggs den personuppgiftsansvarige att se till att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål och att sådana uppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Dessa bestämmelser har enligt förarbe- tena samma innebörd som motsvarande bestämmelser i artikel 6 i EG- direktivet (se prop. 1997/98:44 s. 123). 54 I fråga om efterkommande behandlingar sägs dock i 9 § andra stycket Prop. 2002/03:135 personuppgiftslagen att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I de fall en tilltänkt be- handling inte direkt omfattas av de ursprungliga ändamålen måste det dock i princip alltså prövas om ändamålet med den senare behandlingen är oförenlig med de ursprungliga ändamålen. Detta följer av den s.k. finalitetsprincipen, som uttrycks i punkt d i 9 § första stycket personupp- giftslagen. Datalagskommittén uttalar i betänkandet Integritet Offentlighet In- formationsteknik (SOU 1997:39) att vad som är oförenligt med de ur- sprungliga ändamålen får bestämmas genom praxis och de mer precise- rade regler som regeringen och Datainspektionen kan utfärda (s. 351). Enligt Registerförfattningutredningens uppfattning antyder begreppet oförenligt som sådant att det finns visst utrymme för tolkningen att be- handling som sker efter insamlandet inte direkt måste motsvaras av ett från början givet ändamål. Ett visst spelrum torde alltså finnas (se SOU 1999:105 s. 253). Ändamålen ger alltså en ram för vilka behandlingar som är tillåtna en- ligt personuppgiftslagen. Denna ram gäller alla typer av behandlingar, dvs. varje åtgärd eller serie av åtgärder som vidtas i fråga om personupp- gifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, regi- strering, organisering, lagring, bearbetning eller ändring, återvinning, in- hämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Registerförfattningar, finalitetsprincipen och tryckfrihetsförordningen När det är fråga om särskilt reglerad behandling av personuppgifter i den statliga förvaltningen, så gäller tämligen regelmässigt att ändamålen an- ges i lag eller förordning och alltså inte av den personuppgiftsansvarige. Om inte annat följer av den aktuella registerförfattningen är även sådana efterkommande behandlingar vars ändamål ligger vid sidan av de i lagen angivna ändamålen tillåtna, förutsatt att ändamålet för den nya behand- lingen vid en tillämpning av 9 § första stycket d) och andra stycket per- sonuppgiftslagen inte kan anses oförenligt med de ändamål för vilka personuppgifterna samlades in. Ramen för tillåtna behandlingar som ges av ändamålen definieras i sådant fall alltså av 9 § första stycket d) och andra stycket personuppgiftslagen och aktuell registerlag i förening. I fråga om offentlig verksamhet som omfattas av bestämmelserna i tryckfrihetsförordningen (TF) gäller dock generellt att reglerna om all- männa handlingars offentlighet har ett obetingat företräde framför fina- litetsprincipen och övriga bestämmelser i personuppgiftslagen (se 8 § första stycket personuppgiftslagen). Utlämnande av uppgifter med stöd av TF får alltså ske även om det skulle strida mot finalitetsprincipen. Dessutom anges i andra stycket i 9 § personuppgiftslagen att en behand- ling av personuppgifter för historiska, statistiska eller vetenskapliga än- damål inte skall anses oförenlig med de ändamål för vilka uppgifterna samlades in. 55 I den föreslagna lagen har en lösning valts som syftar till att bestämmelserna i 9 § första stycket d) och andra stycket personuppgifts- lagen skall vara tillämpliga jämte den föreslagna lagen. Vid sidan av de behandlingar som får ske med stöd av uttryckliga bestämmelser i den föreslagna lagen skall alltså även andra efterkommande behandlingar få företas förutsatt att det inte kan anses oförenligt med de ursprungliga ändamålen. Någon uttrycklig bestämmelse om detta föreslogs emellertid inte i lagrådsremissen. Lagrådet har, med hänvisning till att uppbyggna- den och utformningen av ändamålsbestämmelserna ger intryck av att ändamålen är uttömmande angivna i dessa, anfört att lagtexten i lagråds- remissen inte ger klart uttryck för detta förhållande. Regeringen instäm- mer i att det kan behövas ett förtydligande i lagtexten och föreslår också ett sådant. Mot bakgrund av att motsvarande förtydliganden saknas i andra registerlagar är det dock viktigt att betona att det inte är fråga om en materiell regel, utan endast ett förtydligande.

Lagrådet har också anfört att det allmänt kan sägas att det är önskvärt att samtliga ändamål för vilka behandling skall vara tillåten framgår av lagen. Datainspektionen har framfört liknande synpunkter. Även i detta avseende instämmer regeringen i princip med vad Lagrådet och Datainspektionen anfört. De praktiska svårigheterna att överblicka alla tillkommande typer av behandling som bör få utföras är dock så stora att det i nuläget inte är möjligt med en uttömmande uppräkning. Att eventuella nytillkomna ändamål inte får vara oförenliga med de ändamål som uttryckligen anges i den föreslagna lagen utgör enligt regeringens mening ett tillfredsställande integritetsskydd. De i lagen intagna bestämmelserna om behandling av känsliga uppgif- ter och uppgifter om lagöverträdelser m.m., gallring, databas, direktåt- komst och utlämnande av uppgifter på medium för automatiserad be- handling relaterar dock på olika sätt enbart till de i lagen uttryckligen an- givna ändamålen. Vissa särskilt integritetskänsliga behandlingar får där- för bara utföras för de i lagen angivna ändamålen. Ändamålen i socialförsäkringsregisterlagen och de behandlingar som sker i verksamheten De ändamål som angetts i socialförsäkringsregisterlagen återfinns i 3 §, 3 a § och 4 §. I 3 §, som tar sikte på den egentliga kärnverksamheten för socialför- säkringsadministrationen, anges att de allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får använda so- cialförsäkringsregister för

1.

handläggning av ärenden,

2.

förberedande åtgärder för handläggning, samt

3.

uppföljning, utvärdering, tillsyn och framställning av statistik avse- ende verksamhet enligt 1 och 2.

3 a §, som trätt i kraft den 1 juli 2002, avser informationsutbyte mellan de allmänna försäkringskassorna, Riksförsäkringsverket, Centrala stu- diestödsnämnden, länsarbetsnämnderna och arbetslöshetskassorna. De allmänna försäkringskassorna och Riksförsäkringsverket får enligt para- grafen behandla uppgifter i socialförsäkringsregister för tillhandahål- lande av information som behövs i Centrala studiestödsnämndens och ar- Prop. 2002/03:135 56 betslöshetskassornas verksamhet som underlag för beslut om och kon- troll av förmåner, ersättningar och andra stöd åt enskild. Statens pensionsverk (SPV) och det organ för administration av perso- nalpensioner som är gemensamt för kommunerna och landstingen (KPA Pension AB) får enligt 4 §, i den utsträckning som föreskrivs av reger- ingen eller den myndighet regeringen bestämmer, använda socialförsäk- ringsregister för handläggning av ärenden om utbetalning av socialför- säkringsförmåner och samordning av tjänstepensionsförmåner. I den ut- sträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer får SPV vidare använda socialförsäkringsregister för hand- läggning av ärenden om statens tjänstegrupplivförsäkring. De i socialförsäkringsregisterlagen angivna ändamålen omfattar alltså i första hand den egentliga kärnverksamheten hos de personuppgiftsansva- riga. Närmare bestämt handläggning av ärenden enligt lagstiftningen om socialförsäkring och till handläggningen anknytande verksamhet såsom uppföljning, utvärdering, tillsyn och framställning av statistik. Därtill omfattas en del av det utlämnande av uppgifter till andra mottagare utan- för socialförsäkringsadministrationen som förekommer, dvs. utlämnande av uppgifter till Centrala studiestödsnämnden, arbetslöshetskassorna samt SPV och KPA Pension AB. Regleringen kan emellertid synas vara inkonsekvent så till vida att den inte omfattar allt utlämnande av uppgif- ter från socialförsäkringsadministrationen. Riksförsäkringsverket och försäkringskassorna lämnar således med stöd av olika författningar regelbundet ut uppgifter från socialförsäk- ringsregister till andra mottagare än dem som uttryckligen anges i social- försäkringsregisterlagen dels på medium för automatiserad behandling, dels på papper. Till olika myndigheter lämnas uppgifter som behövs i den mottagande myndighetens verksamhet. Ändamålen kan vara exempelvis taxering, brottsutredning, utsökning, handläggning av ärenden inom socialtjänsten. Till enskilda organ som försäkringsbolag eller arbetsgivare lämnas uppgifter för samordning mellan socialförsäkringsersättning och förmå- ner enligt privata försäkringar eller sjuklön m.m. Det förekommer även att beslutsunderlag i arbetsskadeärenden lämnas ut till försäkringsbolag för handläggning av arbetsskadeersättning som lämnas enligt kollektiv- avtalsreglerade försäkringar. Vidare lämnas uppgifter ut till socialförsäkringsorgan i andra länder på grund av antingen internationella konventioner om social trygghet eller gemenskapsrätten, i det sistnämnda fallet främst förordningen (EEG) nr 1408/71 om tillämpningen av systemen för social trygghet när anställ- da, egenföretagare eller deras familjemedlemmar flyttar inom gemen- skapen. Slutligen lämnas personuppgifter ut för olika forskningsändamål. Vilken detaljnivå är nödvändig vid formulering av ändamål i en registerlag? Liksom flertalet remissinstanser som uttalat sig i frågan anser regeringen att det i systematiskt hänseende ter sig lämpligt att dela in ändamålen i två huvudgrupper; primära ändamål och sekundära ändamål. De först- nämnda ändamålen tar sikte på behoven av behandling av personuppgif- Prop. 2002/03:135 57 ter i den s.k. kärnverksamheten och bildar tillsammans med den s.k. finalitetsprincipen en yttre ram för vilka typer av uppgifter som får be- handlas inom socialförsäkringens administration. De sekundära ändamå- len anger de olika utlämnanden av uppgifter som får ske från någon av myndigheterna inom socialförsäkringens administration till mottagare utanför den egna myndigheten. Denna indelning av ändamålen är funk- tionell på flera sätt. En funktion är att den på ett tydligt sätt klarlägger användningen av personuppgifter för andra ändamål än den s.k. kärn- verksamheten. Detta är enligt regeringens uppfattning värdefullt i integ- ritetshänseende. Dessutom utgör indelningen i primära och sekundära ändamål en utgångspunkt för den ovan berörda lagtekniska lösningen att ändamålen i lagen på olika sätt skall utgöra utgångspunkt för bestämmel- serna om behandling av känsliga uppgifter och personnummer, gallring, databas, direktåtkomst och utlämnande av uppgifter på medium för automatiserad behandling. Redan av den ovan redovisade omfattningen av behandlingar av per- sonuppgifter som sker inom socialförsäkringens administration kan sägas följa att en detaljerad ändamålsbeskrivning som omfattar alla typer av behandlingar av personuppgifter med nödvändighet skulle bli mycket svåröverskådlig. Socialförsäkringen är dessutom i sig en dynamisk verk- samhet som ständigt förändras vad avser de olika förmånernas utform- ning etc. Därtill kommer att utvecklingen inom informationstekniken ständigt öppnar för nya möjligheter att effektivisera och på annat sätt ut- veckla verksamheten. Vid utarbetandet av en registerlag så bör man emellertid så precist som möjligt ange den behandling av personuppgifter som skall få förekomma inom den aktuella verksamheten. Av naturliga skäl blir det i många fall fråga om komplexa bedömningar när gränserna för behandlingen av personuppgifter skall fastställas, bl.a. därför att den reglerade verksamheten är så komplex i sig. Regeringen kan emellertid konstatera att bemötandet av promemorians förslag om ändamålsbestämmelser till övervägande delen är positivt bland de myn- digheter som kommer att tillämpa lagen. Finalitetsprincipen och sambearbetning I socialförsäkringsregisterlagen finns en bestämmelse om s.k. sambe- arbetning. Tillförande av uppgifter till socialförsäkringsregister genom sambearbetning får enligt socialförsäkringsregisterlagen ske dels från andra socialförsäkringsregister, dels när det gäller uppgifter som lämnats till en allmän försäkringskassa, Premiepensionsmyndigheten eller Riks- försäkringsverket med stöd av en särskild bestämmelse i lag eller förord- ning om lämnande av uppgifter. Uppgifter kan även tillföras ett social- försäkringsregister med stöd av annan lag eller förordning. Begreppet sambearbetning är hämtat från den lagstiftningsstruktur som datalagen byggde på. Med sambearbetning (ofta används begreppet samkörning som synonymt med sambearbetning) avses maskinell bearbetning av uppgifter i ett personregister tillsammans med uppgifter i ett annat per- sonregister hos den registeransvarige eller hos annan registeransvarig. Även annan direkt överföring av uppgifter från ett personregister till ett annat omfattas av bestämmelsen. Ett enklare sätt att uttrycka saken är att med sambearbetning avses att ett personregister tillförs personuppgifter Prop. 2002/03:135 58 från andra personregister (se Datalagen med kommentarer, Claes Kring och Sten Wahlqvist, Norstedts, 1989, s. 20 och 76). Reglerna om sambearbetning i socialförsäkringsregisterlagen kan sägas härröra från datalagens struktur för reglering av integritetsskyddet. Datalagen innehöll således en särskild regel om krav på tillstånd för per- sonregister som skulle innehålla personuppgifter som inhämtades från något annat personregister om inte registreringen av uppgifterna skedde med stöd av författning, beslut av Datainspektionen eller den registrera- des medgivande. Grundtanken bakom bestämmelsen var att personupp- gifter som samlats in för ett visst register (med ett visst ändamål) i prin- cip inte borde få utnyttjas för andra register (med ett annat ändamål) och att denna princip skulle upprätthållas genom en bestämmelse om till- ståndsplikt. För de fall sambearbetningen skedde med stöd av författning, beslut av datainspektionen eller den registrerades medgivande gjordes dock undantag. Genom bestämmelsen i socialförsäkringsregisterlagen om att sambearbetning får ske i vissa fall krävdes alltså inte något sär- skilt tillstånd enligt datalagen för de aktuella personregistren. Syftet var ursprungligen inte att begränsa samkörningsfallen till endast vad som medgavs i lag eller förordning, således kunde Datainspektionen ge till- stånd till samkörning. Personuppgiftslagen innehåller inte några särskilda bestämmelser om sambearbetning. Det följer emellertid direkt av den i den lagen angivna finalitetsprincipen att personuppgifter inte får behandlas för något ända- mål som är oförenligt med det för vilket de samlades in. Finalitetsprinci- pen kan alltså sägas ha ersatt reglerna om tillståndsplikt vid sambearbet- ning i datalagen och den grundtanke som dessa regler syftade till att upp- rätthålla. Vad beträffar senare registerlagstiftning har detta ansetts med- föra att några särskilda bestämmelser om samkörning inte längre framstår som motiverade (se t.ex. SOU 1999:105 s. 235 f.). Därtill kommer att behandling i särskiljbara register alltmer kommit att kompletteras med andra typer av behandlingar som inte självklart låter sig inordnas under registerbegreppet. I såväl dataskyddsdirektivet som personuppgiftslagen har tekniken att basera regleringen på registerbegreppet frångåtts. I stället utgår man från begreppet behandling, vilket gäller även den moderna registerlagstiftningen. Ett hänsynstagande till integritetsintressen sker vi- dare redan vid utformningen av regler om utlämnande av personuppgif- ter. Den föreslagna lagstiftningen innehåller också bestämmelser om vilka uppgifter som får ingå i socialförsäkringsdatabasen. Enligt reger- ingens uppfattning saknas, bl.a. med hänsyn till personuppgiftslagens be- stämmelser skäl för att införa en motsvarighet till bestämmelsen i 12 § socialförsäkringsregisterlagen i den nya lagen. Regeringen lämnar därför inte något sådant förslag. Prop. 2002/03:135 59

6.6

Primära ändamål

Prop. 2002/03:135

Regeringens förslag : Behandling av personuppgifter får ske om den är nödvändig för följande primära ändamål:

1.

återsökning av vägledande avgöranden,

2.

tillgodoseende av behov av underlag som krävs för att den regist- rerades eller annans rättigheter eller skyldigheter i fråga om förmåner eller ersättningar skall kunna bedömas eller fastställas,

3.

information om förmåner eller ersättningar,

4.

handläggning av ärenden,

5.

planering av verksamhet samt resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet,

6.

framställning av statistik avseende verksamhet enligt 4 och 5.

Vid behandling för återsökning av vägledande avgöranden får inte uppgifter som direkt pekar ut den registrerade användas.

Promemorians förslag: Överensstämmer huvudsakligen med regeringens förslag, men innehöll inte ändamålet resultatstyrning.

Remissinstanserna: Kammarrätten i Sundsvall anser att en del av än- damålen är vagt formulerade och behöver förtydligas, t.ex. ändamålet planera och ifrågasätter om en sådan behandling som föreslås är i överensstämmelse med direktivet. Enligt Riksförsäkringsverkets uppfatt- ning är uppräkningen av de primära ändamålen i stort sett heltäckande. Av pedagogiska skäl förordar verket dock att ändamålen räknas upp ifrån handläggningssynpunkt kronologisk ordning. Vidare anför verket att re- sultatstyrning bör ingå som ett ändamål. Försäkringskasseförbundet kon- staterar att behovet av lagstöd för försäkringskassornas egen uppföljning av verksamheten liksom utvärdering och resultatredovisning är tillgodo- sett. Detta ökar förutsättningar för försäkringskassorna att bättre kunna följa upp utvecklingen inom ohälsoområdet. Östergötlands läns all- männa försäkringskassa vill understryka vikten av att kassorna ges möj- lighet att göra uppföljningar även på individnivå, bl.a. för att kunna följa utvecklingen och därmed kunna vidta rätt insatser, exempelvis i syfte att minska de långa sjukskrivningarna. Uppsala läns allmänna försäkrings- kassa anför att försäkringskassorna i dag har mycket information som inte går att sammanställa och följa upp på ett rationellt sätt med mindre än att det kräver stora personella insatser. Försäkringskassan ställer sig därför mycket positiv till de ökade möjligheter som bereds genom försla- gen i promemorian. Lagstiftningen ger bland annat en väsentlig förbätt- ring för ökad kunskap och professionella arbetsmetoder inom sjukförsäk- ringsområdet. Kunskapsperspektivet får förutsättningar att breddas för att socialförsäkringen ska kunna agera strategiskt, dvs. den föreslagna lagen ger möjlighet att utveckla gemensamma metoder såväl ur ett förebyg- gande perspektiv som i det direkta samordningsuppdraget. Exempelvis kan socialförsäkringen utveckla kunskap kring vad som kan vara effek- tiva rehabiliteringsåtgärder i förhållande till diagnosgrupper, vilket leder till smidigare återgång i arbete.

60

Skälen för regeringens förslag

Prop. 2002/03:135

De i promemorian föreslagna primära ändamålen är i förhållande till so- cialförsäkringsregisterlagens motsvarande bestämmelser betydligt mer preciserade. Regeringen anser att de i promemorian föreslagna primära ändamålen uppfyller de krav på precisering som är rimliga att ställa i sammanhanget. Det saknas enligt regeringens uppfattning anledning att befara att de föreslagna ändamålen på något sätt inte skulle vara förenliga med dataskyddsdirektivet. Enligt Riksförsäkringsverkets uppfattning är dessutom uppräkningen av de primära ändamålen i stort sett heltäckande. Regeringen delar dock verkets uppfattning att resultatstyrning bör tas in som ett särskilt ändamål. När det gäller verkets förslag om en ändring av ordningsföljden i uppräkningen av de olika ändamålen i lagtexten med hänsyn till ifrån handläggningssynpunkt kronologisk ordning, finner regeringen emellertid inte fog för ändring i förhållande till vad som före- slagits i promemorian. En bärande invändning som kan riktas mot ver- kets förslag är att de uppräknade ändamålen omfattar ett betydligt mer vidsträckt verksamhetsområde än handläggning av ärenden. De primära ändamålen tar sikte på behoven av behandling av person- uppgifter i den s.k. kärnverksamheten och utgör en ram för vilka typer av uppgifter som får behandlas inom socialförsäkringens administration när det är nödvändigt för dessa ändamål. Som primära ändamål föreslås åter- sökning av vägledande avgöranden, tillgodoseende av underlag för be- dömning av rättigheter eller skyldigheter, information om socialförsäk- ringsförmåner, handläggning av ärenden, planering, resultatuppföljning, resultatredovisning, resultatstyrning, utvärdering och tillsyn av respek- tive verksamhet samt framställning av statistik. Återsökning av vägledande avgöranden Med återsökning av vägledande avgöranden åsyftas exempelvis sökning i samlingar av domar och beslut som upprättats för ledning angående praxis. Inte bara domstolsavgöranden avses med begreppet vägledande avgöranden. Ett exempel på andra typer av sammanställningar av avgö- randen som omfattas av begreppet är samlingar av beslut av JO. I sådana samlingar som avses i den aktuella bestämmelsen bör berörda personer inte vara direkt identifierbara genom namn eller personnummer. Detta utesluter inte att innehållet kan anses innefatta personuppgifter, bl.a. ef- tersom exempelvis angivande av ärendenummer innebär en möjlighet att ta reda på den registrerades namn i akten. Återsökning av vägledande avgöranden sker i regel i sådan anslutning till handläggningen av ett ärende, att behandlingen i själva verket kan ses som en del av handlägg- ningen. Vid sidan härav uppkommer det emellertid ofta behov av sådan informationsinhämtning i utbildningssyfte, i anslutning till praxisdiskus- sioner m.m. utan att behandlingen i fråga kan anses hänförlig till hand- läggning. Det framstår därför som motiverat att ange återsökning av vägledande ändamål som ett särskilt ändamål. De samlingar av domar och beslut som upprättats för ledning angående praxis bör emellertid inte få innehålla uppgifter som direkt pekar ut de registrerade, dvs. uppgifter om namn eller personnummer. 61

Underlag för bedömning av rättigheter och skyldigheter

Prop. 2002/03:135

Handläggning av ärenden kan naturligtvis förekomma först när ett ärende

anhängiggjorts vid en myndighet. Inom socialförsäkringen förekommer i

princip tre former för anhängiggörande; skriftlig ansökan, anmälan som

sker formlöst och följs upp med en skriftlig försäkran samt de fall då det

enligt särskilda regler ankommer på myndigheten i fråga att självmant ta

initiativ till ett ärende. Ärenden i egentlig mening uppkommer således

först när ett sådant anhängiggörande ägt rum. Det är emellertid ofta nöd-

vändigt att företa vissa behandlingar av personuppgifter på exempelvis

en försäkringskassa även utan att ett ärende aktualiserats i den meningen.

Ett exempel är sådan registrering och uppdatering av uppgifter om

identitet, födelsenummer, adress, folkbokföringsort m.m. som sker utan

att ett ärende anhängiggjorts och som är nödvändig för att handlägg-

ningen av vissa tillkommande ärenden skall kunna ske på ett rättssäkert

och rationellt sätt. I sammanhanget kan nämnas barnbidragen, som re-

gelmässigt utan föregående ansökan utbetalas enbart på grundval av upp-

gifter som inhämtats automatiskt från folkbokföringen. Detta förutsätter

naturligtvis att behandling av personuppgifter kan ske hos försäkrings-

kassan utan att ett ärende inletts. Ett annat fall när behandling av person-

uppgifter aktualiseras utan att ett ärende finns anhängigt är riktade in-

formationsinsatser avseende försäkrade vars förhållanden är sådana att

ett ärende rörande dem kan tänkas bli aktualiserat inom en nära förestå-

ende framtid, ett exempel är information om de pensionsvillkor som

kommer att gälla vid en framtida pensionering. Vidare förekommer inom

socialförsäkringssystemet en avsevärd mängd materiella bestämmelser

om fastställande av rätten till förmåner respektive beräkning av förmå-

ners storlek m.m. som förutsätter registrering av personuppgifter under

en längre eller kortare tid innan ett egentligt ärende eventuellt anhängig-

görs. I många fall är det så att en registrering måste ske utan att man med

säkerhet kan säga att ett ärende kommer att anhängiggöras. Några exem-

pel är registrering av uppgifter som arbetsgivare lämnar enligt 12 § lagen

(1991:1047) om sjuklön samt beslut enligt 10 § och 13 § samma lag.

Samtliga nu redovisade fall av behandlingar har enligt såväl socialförsäk-

ringsregisterlagen som tidigare gällande registerförfattningar ansetts

kunna ske med stöd av ändamålet förberedande åtgärder för handlägg-

ning (se prop. 1996/97:155 s. 77 och där anmärkta propositioner).

Den centrala roll som ändamålen tilldelats i personuppgiftslagen med-

för emellertid att ändamålen i en registerförfattning bör preciseras så

långt det är möjligt. Den använda termen förberedande åtgärder bör

därför ersättas med mer preciserade ändamål som direkt tar sikte på och

tydliggör de legitima behov av behandlingar som föreligger inom social-

försäkringens administration.

De behandlingar inom socialförsäkringens administration som har an-

setts kunna ske med stöd av ändamålet förberedande åtgärder för hand-

läggning kan i huvudsak delas in efter två olika delsyften; 1. insamling

av uppgifter som är nödvändiga för att kunna bedöma/fastställa rättighe-

ter inom socialförsäkringen 2. information till de försäkrade om social-

försäkringsförmåner.

Det för kärnverksamheten viktigaste delsyftet är insamling av person-

uppgifter som är nödvändiga för att den registrerades eller andra perso-

62

ners rättigheter i fråga om socialförsäkringsförmåner skall kunna bedö- Prop. 2002/03:135 mas eller fastställas. Ovan har som exempel nämnts användningen av folkbokföringsuppgifter för administrationen av barnbidrag och registre- ring av vissa uppgifter m.m. hänförliga till bestämmelser i lagen om sjuklön. Det mest omfattande insamlandet av personuppgifter sker dock för ålderspensionssystemet, som förutsätter registrering av uppgifter om inkomster, familjeförhållanden m.m. under mycket lång tid och i vissa fall under en individs hela vuxna liv. Den övervägande delen av dessa uppgifter kan vidare i händelse av dödsfall komma att behövas vid fast- ställande av efterlevandeförmåner till andra än den registrerade själv. Personuppgifter som registreras i anledning av ett ärende, exempelvis en uppgift om sjukpenninggrundande inkomst i ett sjukpenningärende, måste vidare i ett stort antal fall kunna användas i efterkommande ären- den avseende samma eller andra förmånsslag. Dessa typer av behand- lingar, dvs. insamlandet av personuppgifter som är nödvändiga för att den registrerades eller andra personers rättigheter i fråga om socialför- säkringsförmåner skall kunna bedömas eller fastställas, har en sådan om- fattning att de bör omfattas av ett särskilt ändamål i den föreslagna lagen. Ett annat och språkligt sett lämpligare sätt att uttrycka det aktuella beho- vet av behandlingar är, att det är fråga om att tillgodose de behov av un- derlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om socialförsäkringsförmåner skall kunna bedömas eller fastställas. Ett sådant ändamål bör alltså anges bland de primära än- damålen i den föreslagna lagen. Information till de försäkrade om förmåner och ersättningar Ytterligare en typ av verksamhet inom socialförsäkringens administration som förutsätter behandling av personuppgifter är information till de för- säkrade om förmåner och ersättningar. I första hand är det i dessa fall fråga om behandling av uppgifter om namn och adress för försäkrade, men i många fall blir det aktuellt att genom olika kriterier göra urval av kategorier försäkrade. Naturligtvis är en stor del av informationen som skickas ut till försäkrade hänförlig till ärendehandläggning. Som följd av den serviceskyldighet som åläggs förvaltningsmyndigheterna i förvalt- ningslagen (1986:223) skickas emellertid i många fall information ut till de försäkrade utan att det kan hänföras till ärendehandläggning i egentlig mening. Ofta kan det vara fråga om mer allmänt riktad information om regelförändringar m.m. till personer som kan tänkas bli berörda. I andra fall är det fråga om information till personer som befinner sig i en sådan livssituation, exempelvis föräldraskap, att de kan tänkas vara i behov av information om en viss förmån. Inom det reformerade ålderspensions- systemet sänds dessutom individrelaterad information ut årligen till de pensionsberättigade. Dessa olika typer av informationsverksamhet har sammantaget en sådan omfattning att ett särskilt primärt ändamål som tar sikte på detta bör tas in bland de primära ändamålen. 63

Handläggning av ärenden

Prop. 2002/03:135

Den centrala delen av kärnverksamheten hos socialförsäkringens admi-

nistration är naturligtvis handläggningen av ärenden om förmåner, som

självklart måste omfattas av de primära ändamålen.

Enbart försäkringskassorna administrerar 46 olika förmånsslag. En

central del av lagstiftningen om sådana förmåner är lagen (1962:381) om

allmän försäkring, i vilken sjukförsäkringen regleras. Denna omfattar

sjukpenning, förtidspension/sjukersättning, sjukvårdsersättning, tandvård

och föräldrapenningförmåner. Det reformerade ålderspensionssystemet

regleras först och främst i lagen (1998:674) om inkomstgrundad ålders-

pension och lagen (1998:702) om garantipension. Arbetsskadeförsäk-

ringens huvudlagstiftning återfinns i lagen (1976:380) om arbetsskade-

försäkring. Handikappförmåner regleras bl.a. i lagen (1998:703) om han-

dikappersättning och vårdbidrag, lagen (1993:389) om assistansersätt-

ning, förordningen (1988:890) om bilstöd till handikappade. Lagstift-

ningen om bidrag till barnfamiljer m.fl. inbegriper lagen (1947:529) om

allmänna barnbidrag, lagen (1996:1030) om underhållsstöd och lagen

(1993:737) om bostadsbidrag. Härutöver finns ett stort antal författningar

som antingen i olika avseenden kompletterar de nämnda förmånerna eller

reglerar andra särskilda förmåner. De olika förmånsslagen är alla inrik-

tade på specifika livssituationer, då individernas personliga förhållanden

är sådana att det är motiverat att socialförsäkringen täcker olika ekono-

miska behov eller behov av annat slag. Med nödvändighet medför hand-

läggningen av dessa förmåner ett mycket omfattande behov av behand-

lingar av personuppgifter, som ofta kan vara av integritetskänslig karak-

tär.

Några särskilda aspekter som gäller för handläggningen av ärenden

inom socialförsäkringen är den ofta mycket långvariga varaktigheten för

ärenden, den komplexa verksamheten med arbetslivsinriktad rehabiliter-

ing samt den korsvisa användningen av personuppgifter mellan olika

ärenden. En typ av förmån, exempelvis sjukpenning, som utgetts under

mycket lång tid kan således upphöra helt eller delvis för att avlösas av en

annan typ av förmån såsom rehabiliteringspenning, förtidspen-

sion/sjukersättning, arbetsskadelivränta etc. I sådana fall är det ofta så att

personuppgifter som samlats in för fastställande av den först utgivna ty-

pen av ersättning behöver användas för fastställande av de efterkom-

mande ersättningarna eller användas på annat sätt vid senare tillfälle.

Ofta kan olika typer av ersättningar eller förmåner dessutom utges eller

på annat sätt löpa parallellt, varvid uppgifter även i dessa fall behöver

användas korsvis mellan ärendeslagen.

Ändamålet handläggning av ärenden är emellertid inte begränsat till att

omfatta enbart ärenden om bestämmande av förmåner eller ersättningar.

Även andra typer av handläggning av ärenden omfattas av det ändamålet.

Såsom nämnts i författningskommentaren i lagrådsremissen avses även

exempelvis tillsynsärenden. I enlighet med vad Lagrådet föreslagit har

lydelsen av vissa bestämmelser ändrats i förhållande till vad som

föreslogs i lagrådsremissen på så sätt att de särskilda omnämnandena i

lagtexten av tillsynsärenden har tagits bort. Ändringarna har skett med

syftet att undanröja eventuella oklarheter angående vad som avses med

begreppet handläggning av ärenden.

64

Planering av verksamhet samt resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering samt tillsyn av respektive verksamhet Utöver den egentliga ärendehandläggningen tillkommer en rad mycket centrala verksamhetsområden där det är viktigt att informationstekniken kan tas i anspråk för att uppnå en rättssäker, effektiv och rationell för- valtning. Regeringen föreslår att det i den nya lagen som ändamål för be- handling av personuppgifter anges planering, resultatuppföljning, resul- tatredovisning, resultatstyrning, utvärdering samt tillsyn av respektive verksamhet. I inte ringa utsträckning kan sådan verksamhet utövas utan att det förutsätter att personuppgifter behandlas. I den utsträckningen in- dividrelaterade uppgifter behöver behandlas är det ofta tillfyllest att an- vända sig av avidentifierade uppgifter. I många fall är det dock nödvän- digt att behandla personuppgifter för de nu aktuella syftena, bland annat gäller detta när det är fråga om longitudinella studier av utvecklingen inom exempelvis sjukförsäkringen. Informationstekniken måste kunna tas i anspråk för planering av verk- samheten och uppföljning av organisationen inom de olika myndighe- terna. Förekomsten av rutiner för att upptäcka och åtgärda för hög ar- betsbelastning för enskilda arbetstagare och eventuella behov av arbets- anpassning är en viktig arbetsmiljöfråga. Det är viktigt att arbetsgivaren har rutiner för att följa arbetsbelastningen även på individnivå för att på ett rationellt sätt leda och fördela arbetet och i tid kunna vidta relevanta åtgärder mot arbetsplatsbetingad ohälsa. Även från den enskilde försäk- rades perspektiv är det viktigt att arbetet leds och bedrivs på ett effektivt sätt, som i sig därigenom också bidrar till en rättssäker handläggning. Ut- redningen Handlingsplan för ökad hälsa i arbetslivet (S 2000:07) har i sitt betänkande Handlingsplan för ökad hälsa i arbetslivet (SOU 2002:5) no- terat att ett välfungerande informationssystem är av stor vikt för såväl övergripande analys som ärendehandläggning, styrning och ledning av verksamheten inom försäkringskassorna. I dag saknas ett enhetligt hand- läggarstöd och i många fall måste statistik inhämtas manuellt. Sett i ett ledningsperspektiv är också behovet enligt utredningens uppfattning stort av att kunna följa ärendemängder och ärendens status för att kunna leda, fördela och följa upp handläggarnas arbete. Det ankommer på Riksförsäkringsverket att verka för att socialförsäk- rings- och bidragssystemen tillämpas likformigt och rättvist, att verka för att åtgärder vidtas för att förebygga och minska ohälsa i syfte att minska de långa sjukperioderna, att ansvara för ekonomistyrningen av försäk- ringskassorna, att ha en stödjande och rådgivande funktion för den in- terna revisionen vid de allmänna försäkringskassorna och därvid samråda med Riksrevisionsverket i frågor av större vikt, att följa utvecklingen inom socialförsäkringen och anslutande bidragssystem samt utvärdera ef- fekterna av dessa för individ och samhälle, att ta fram och vidareutveckla prognosmodeller samt svara för prognoser för och analyser av utgifterna för de socialförsäkrings- och bidragssystem som administreras av Riks- försäkringsverket och de allmänna försäkringskassorna. Utöver den rena tillsynsverksamheten åligger det alltså verket att på ett utvecklat sätt analysera såväl utvecklingen inom de olika förmånsslagen, särskilt sjukförsäkringen, som utvecklingen för försäkringskassornas ad- ministration av förmånerna. Dessa uppgifter, som närmast kan hänföras Prop. 2002/03:135 65 till resultatuppföljning, resultatredovisning resultatstyrning och utvärde- ring av respektive verksamhet, förutsätter en omfattande kartläggande verksamhet, som med nödvändighet måste omfatta behandling av per- sonuppgifter. Resultatstyrning innebär enligt Ekonomistyrningsverkets anvisningar:

1.

att mål formuleras för myndighetens verksamhet,

2.

att man löpande tar fram information om verksamhetens resultat,

3.

att resultatet bedöms regelbundet med ledning av målen för verk- samheten,

4.

att resultatbedömningen läggs till grund för beslut om den fortsatta

verksamheten. Resultatstyrning kan i många fall sägas innefatta begreppen resultat- uppföljning, resultatredovisning och utvärdering. Samtidigt kan det ofta finnas behov av att kunna vidta sådana åtgärder utan att det finns en klar koppling till resultatstyrning. Att ta informationstekniken i anspråk för sådana uppgifter utgör en självklar del av modern förvaltning. Det är naturligtvis inte bara åtgärder av Riksförsäkringsverket som avses med ändamålen resultatuppföljning, resultatredovisning, resultatstyrning och utvärdering. Det åligger såväl försäkringskassorna som Premiepensionsmyndigheten att ägna sig åt den typen av verksamhet. I fråga om försäkringskassorna kan särskilt nämnas att det enligt 18 kap. 2 § lagen om allmän försäkring åligger dem att svara för att socialförsäkrings- och bidragssystemen tillämpas likformigt och rättvist och att vidta åtgärder för att förebygga och minska ohälsa i syfte att minska de långa sjukperioderna samt aktivt arbeta med rehabi- litering enligt vad som närmare anges i 22 kap. nämnda lag. Detta förut- sätter naturligtvis en egen analys- och uppföljningsverksamhet hos för- säkringskassorna som baseras på personuppgifter i den egna verksamhe- ten. Ramarna för respektive myndighets verksamhet inom dessa områden följer automatiskt av organens olika kompetens. Riksförsäkringsverket, som endast i ringa utsträckning ansvarar för handläggning av ärenden om socialförsäkringsförmåner, är central för- valtningsmyndighet för socialförsäkringen och anslutande bidragssystem. I denna roll ankommer det bl.a. på verket att utöva tillsyn över de all- männa försäkringskassorna och över att Premiepensionsmyndigheten tillämpar de bestämmelser om premiepension som inte avser kapitalför- valtning eller försäkringsteknisk verksamhet på ett likformigt och rättvist sätt i förhållande till enskilda. Det ger sig självt att denna tillsynsverk- samhet, som kan avse såväl individuella ärenden hos försäkringskassorna som mer övergripande granskning, måste innebära en omfattande be- handling av personuppgifter. Framställning av statistik Enligt förordningen (2001:100) om den officiella statistiken ansvarar Riksförsäkringsverket för den del av den officiella statistiken som avser socialförsäkringen. De behandlingar av personuppgifter som kan hän- föras till den officiella statistiken omfattas emellertid inte av den före- slagna lagen. Vid sidan av den officiella statistiken framställs emellertid statistik inom socialförsäkringens administration dels i form av s.k. verksamhets- Prop. 2002/03:135 66 statistik, som tar sikte på måluppfyllelse i fråga om ärendehantering etc. Prop. 2002/03:135 inom respektive myndighet, dels statistik som är hänförlig till de ovan beskrivna åliggandena för respektive myndighet att analysera utveck- lingen inom de olika förmånsslagen m.m. Dessa typer av statistik bör omfattas av regleringen i den nu föreslagna lagen. Till stor del kan den statistikframställning som här avses anses inrymmas inom ändamålen re- sultatuppföljning, resultatredovisning resultatstyrning och utvärdering. I inte ringa utsträckning föreligger dock ett behov av att kunna framställa statistik för analysändamål som inte utan vidare kan hänföras till nämnda ändamål. Framställning av statistik bör därför anges som ett särskilt än- damål i den föreslagna lagen. Härutöver kan naturligtvis personuppgifter som behandlas av social- försäkringens administration tillhandahållas utomstående mottagare för bl.a. sådana vetenskapliga ändamål som avses i exempelvis 9 § andra stycket personuppgiftslagen. I sådan forskningsverksamhet som avses härmed förekommer givetvis upprättande av statistiska sammanställ- ningar i stor omfattning. I sådana fall är också personuppgiftslagens och personuppgiftsförordningens bestämmelser tillämpliga (jfr exempelvis bestämmelsen om anmälningsskyldighet i 10 § första stycket 1 person- uppgiftsförordningen). Nämnda författningar innehåller en rad bestäm- melser som syftar till ett integritetsskydd inom forskningsverksamhet.

6.7

Sekundära ändamål

I detta avsnitt lämnas förslag om vilka sekundära ändamål som skall an- ges i den föreslagna lagen. De sekundära ändamålen är sådana ändamål som till stor del kan hänföras till tillgodoseende av information i verk- samhet utanför socialförsäkringens administration. I samtliga fall är det fråga om att uppgifter som behandlas hos en myndighet inom socialför- säkringens administration med stöd av vissa av de primära ändamålen tillhandahålls externa mottagare, i vissa fall en myndighet inom social- försäkringens administration men i många fall hör mottagaren inte dit. I princip täcks det huvudsakliga utlämnande av uppgifter till sådana mot- tagare in genom de angivna ändamålen. Som utvecklas närmare nedan utgör de sekundära ändamålen även en ram för i vilka fall uppgifter får lämnas ut genom direktåtkomst respektive på medium för automatiserad behandling. Bestämmelserna om sekundära ändamål omfattar en mycket vittskiftande verksamhet och det är av naturliga skäl i flertalet fall nöd- vändigt att definiera de olika sekundära ändamålen på ett tämligen gene- rellt sätt. I regel kan dock mer preciserade ändamål utläsas av de olika särskilda bestämmelser som de sekundära ändamålen ansluter till. De sekundära ändamålen kan indelas i två huvudgrupper; dels ändamål som omfattar utlämnande av personuppgifter till organ utanför socialför- säkringens administration som föreslås ha direktåtkomst till uppgifter i socialförsäkringsdatabasen, dels ändamål som avser utlämnande till andra organ. 67

6.7.1

Utlämnande till organ utanför socialförsäkringens administration som har direktåtkomst

Regeringens förslag : Personuppgifter skall få behandlas av de allmänna försäkringskassorna och Riksförsäkringsverket för tillhandahållande av information som behövs

1.

som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av Centrala studiestödsnämnden och arbetslöshetskassorna

2.

för samordning av tjänstepensioner i den verksamhet som bedrivs av Statens pensionsverk och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner eller

3.

för handläggning av ärenden som handläggs av Statens pensionsverk

i

vilka reglerna om statens tjänstegrupplivförsäkring skall tillämpas.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Som framgår i det följande har ett flertal remiss- instanser framfört synpunkter rörande direktåtkomst för Statens pen- sionsverk och KPA Pension AB. Några särskilda synpunkter rörande be- stämmelserna om de ändamål som avser organ utanför socialförsäkring- ens administration som har direktåtkomst har dock inte lämnats. Skälen för regeringens förslag: De ändamål som avser utlämnande av uppgifter till organ utanför socialförsäkringens administration som fö- reslås ha direktåtkomst till socialförsäkringsdatabasen avser särskilt in- tegritetskänsliga förfaranden. Direktåtkomst innebär nämligen att infor- mation om enskilda lämnas ut från myndigheter inom socialförsäkring- ens administration till andra organ utan möjlighet till sekretessprövning i det enskilda fallet. Det är bl.a. med hänsyn härtill lämpligt att i olika av- seenden behandla dessa ändamål för sig.

Den 1 juli 2002 infördes ett utökat informationsutbyte mellan de all- männa försäkringskassorna, Riksförsäkringsverket, Centrala studiestöds- nämnden, länsarbetsnämnderna och arbetslöshetskassorna (se prop. 2000/01:129, bet. 2001/02:KU3, rskr. 2001/02:18). I första hand är avsikten med informationsutbytet att arbetslöshetskassorna skall få infor- mation från Riksförsäkringsverket och de allmänna försäkringskassorna samt från Centrala studiestödsnämnden. De syften som ligger bakom in- formationsutbytet är att effektivisera ärendehanteringen hos de berörda organen, att förbättra servicen för enskilda och att förbättra kontrollen av utbetalningar av statliga medel och därigenom uppnå bättre underlag för beslut och minska riskerna för systembrister och fusk. En motsvarighet föreslås här. Uppgifter skall även inhämtas till Riksförsäkringsverket och de allmänna försäkringskassorna från Centrala studiestödsnämnden, ar- betslöshetskassor m.m. I sådana fall är det dock fråga om verksamhet som omfattas av de primära ändamålen. I 4 § socialförsäkringsregisterlagen anges en ändamålsbestämmelse som avser utlämnande av personuppgifter till Statens pensionsverk och det för kommunerna och landstingen gemensamma organet för administ- ration av personalpensioner för samordning av tjänstepensioner m.m. En motsvarighet till den bestämmelsen föreslås införas i den nya lagen. Vissa justeringar har dock gjorts bl.a. i anledning av förändrade utbetal- ningsrutiner för offentliga förmåner. Prop. 2002/03:135 68

6.7.2

Utlämnande till övriga organ

Prop. 2002/03:135

Regeringens förslag : De allmänna försäkringskassorna, Premiepen- sionsmyndigheten och Riksförsäkringsverket skall få behandla person- uppgifter som behandlas med stöd av de primära ändamålen för tillhan- dahållande av information utanför den egna myndigheten på grund av

1.

i lag eller förordning reglerad sekretessbrytande uppgiftsskyldighet i förhållande till andra myndigheter,

2.

sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning,

3.

sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen (EU),

4.

åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet (EES) eller i avtal om social trygghet eller utgivande av sjukvårds- förmåner som Sverige ingått med andra stater.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: 

Riksrevisionsverket har påtalat att begreppet mottagare såsom det definieras i personuppgiftslagen inte omfattar myndigheter som mottar uppgifter för att kunna utföra tillsyn, kontroll eller revision. En följd av detta är att uppgifter därigenom inte får lämnas ut på medium för automatiserad behandling. Verket har föreslagit att be- stämmelserna om utlämnande på medium för automatiserad behandling eller om sekundära ändamål ändras så att det står klart att utlämnande till Riksrevisionen för granskning får ske på medium för automatiserad be- handling respektive omfattas av de sekundära ändamålen. Arbetsmark- nadsstyrelsen föreslår att personuppgifter även bör få behandlas av de allmänna försäkringskassorna och Riksförsäkringsverket för tillhanda- hållande av information som behövs som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd till enskilda i den verk- samhet som bedrivs av Arbetsmarknadsstyrelsen, (den föreslagna) In- spektionen för arbetslöshetsförsäkringen och länsarbetsnämnderna. En- ligt Arbetsmarknadsstyrelsens bedömning bör inom ramen för de nuva- rande administrativa kontakterna med de nämnda myndigheterna, men också med beaktande av det nu utökade samarbetet mellan myndighe- terna inom sjukförsäkringsområdet och arbetsmarknadssektorn, en möj- lighet till utökat informationsutbyte medges. Arbetsmiljöverket anför att det är angeläget att verket från försäkringskassorna och Riksförsäkrings- verket erhåller uppgifter på arbetsställenivå vad beträffar bl.a. sjukfrån- varo, arbetsskador, diagnoser samt förekomsten av rehabiliteringsutred- ningar. Därigenom skulle verket ges bättre möjligheter att rikta sina till- synsinsatser. Verket är i första hand inte i behov av enskilda personupp- gifter utan av aggregerade och avidentifierade uppgifter sammanställda på arbetsställenivå. Verket föreslår att förutsättningarna för informa- tionsutbytet mellan verket och socialförsäkringens administration klar- görs i den nya lagen genom tillägg i ändamålsbestämmelserna. Detta gäller även det informationsutbyte som i dag finns i fråga om arbetsska- dor och som är oumbärligt för att upprätthålla och driva databasen ISA och bör säkerställas i lagen. När det gäller de sekundära ändamålen framgår det enligt Försäkringskasseförbundet inte tillräckligt tydligt att 69 personuppgifter även enligt den nya lagen får lämnas ut för forsknings- ändamål.

Skälen för regeringens förslag: Utlämnande av uppgifter till andra organ än de organ utanför socialförsäkringens administration som före- slås ha direktåtkomst till socialförsäkringsdatabasen sker till en rad olika organ för mångskiftande syften. Det kan gälla uppgifter som behövs för handläggning av ärenden hos andra myndigheter, men även vara fråga om helt andra användningsområden som exempelvis tillsyn eller revi- sion. Som påpekats av Riksrevisionsverket innefattar begreppet motta- gare enligt dess definition i personuppgiftslagen inte myndigheter som inhämtar uppgifter för att kunna utföra tillsyn, kontroll eller revision. I anledning härav anser regeringen att en mindre justering av bestämmel- sen om sekundära ändamål bör göras, så att det står klart att även ett ut- lämnande för sådana syften omfattas av bestämmelsen. Det skulle i och för sig vara önskvärt att det i en registerlag på ett pre- ciserat sätt anges vilka utlämnanden av uppgifter som sker från den verk- samhet som regleras av lagen. Regeringen delar emellertid den i prome- morian redovisade bedömningen att det inte är möjligt att i en i lagen in- tagen ändamålsbestämmelse på ett preciserat sätt ange alla de fall av ut- lämnanden som sker från myndigheterna inom socialförsäkringens admi- nistration. Den i promemorian föreslagna systematiken, som i första hand utgår från olika slag av författningsregleringar av utlämnande av uppgif- ter framstår enligt regeringens uppfattning som ett ändamålsenligt sätt att reglera utlämnandet av uppgifter. De synpunkter som framförts av Arbetsmarknadsstyrelsen och Arbets- miljöverket om utökningar av uppgiftslämnandet till de myndigheterna finns det inte underlag för att ta ställning till i detta lagstiftningsärende.

Lagrådet har invänt mot utformningen av lagtexten i lagrådsremissen såvitt avser den punkt i bestämmelsen om sekundära ändamål som gäller skyldighet att lämna ut uppgifter till följd av s.k. sekretessbrytande regler som avses i 14 kap. 1 § sekretesslagen (1980:100) och anfört att bestäm- melsen bör förtydligas. Till följd av Lagrådets synpunkter har utform- ningen av lagtexten förtydligats. Frågan om utlämnande enligt 15 kap. 5 § sekretesslagen påverkas inte av den föreslagna lagen. En annan fråga som berörts av Lagrådet är vilka typer av författningar som de sekundära ändamålen bör omfatta. Enligt regeringens uppfattning bör inte myndighetsföreskrifter omfattas. Som resultat av Lagrådets på- pekande har därför lagtexten ändrats. De sekundära ändamål som regeringen föreslår är tillhandahållande av information på grund av

1.

i lag eller förordning reglerad sekretessbrytande uppgiftsskyldighet i förhållande till andra myndigheter,

2.

sådant medgivande att lämna ut uppgifter som följer av särskilda bestämmelser i lag eller förordning,

3.

sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen (EU),

4.

åtaganden i samarbetet inom Europeiska ekonomiska sam- arbetsområdet (EES) eller i avtal om social trygghet eller utgivande

av sjukvårdsförmåner som Sverige ingått med andra stater. De olika myndigheterna inom socialförsäkringens administration är enligt ett stort antal författningar skyldiga att lämna ut uppgifter till andra Prop. 2002/03:135 70 myndigheter. Bestämmelsen i punkt 1 avser sådana s.k. sekretessbry- tande regler som avses i 14 kap. 1 § sekretesslagen. Enligt nämnda be- stämmelse bryts den annars gällande sekretessen mellan myndigheter om en uppgiftsskyldighet följer av lag eller förordning. En sådan uppgifts- skyldighet måste vara uttrycklig. Bestämmelsen i 12 § förordningen (1977:284) om arbetsskadeförsäkring och statligt personskadeskydd är ett exempel på en sådan bestämmelse. Det behov av reglering av infor- mationsutbytet angående arbetsskador som Arbetsmiljöverket efterlyst i sitt remissvar är alltså beaktat i den föreslagna lagen. Punkt 2 avser i första hand dels sådana sekretessbrytande bestämmel- ser som avses i 7 kap. 7 § fjärde stycket eller 9 kap. 25 § andra stycket sekretesslagen (1980:100), dels vissa särskilda bestämmelser om utläm- nande på medium för automatiserad behandling som återfinns antingen i den föreslagna lagen eller i förordning. Exempel på bestämmelser av det förstnämnda slaget är 20 kap. 9 a § lagen (1962:381) om allmän försäkring, 3 § lagen (1993:16) om försäk- ring mot vissa semesterlönekostnader, 11 § och 27 § lagen (1991:1047) om sjuklön, 15 kap. 15 § lagen (1998:674) om inkomstgrundad ålders- pension, 6 kap. 3 § lagen (1998:702) om garantipension, 22 § lagen (1998:703) om handikappersättning och vårdbidrag och 10 § lagen (2000:461) om efterlevandepension och efterlevandestöd till barn. En annan typ av bestämmelse som avses i den aktuella punkten är vissa fall av utlämnanden på medium för automatiserad behandling som särskilt reglerats i denna lag eller i förordning, exempelvis socialförsäk- ringsregisterförordningen (1998:1576). Ytterligare ett exempel på en regel som avses i punkt 2 är 19 § tredje stycket personuppgiftslagen. (I prop. 2002/03:50 lämnas emellertid vissa förslag till ändring av bestäm- melsen i personuppgiftslagen och att bestämmelsen om utlämnande för forskning skall föras över till en särskild lag, lagen om etikprövning av forskning som avser människor, som föreslås träda i kraft den 1 januari 2004.) Härigenom tillgodoses det av Försäkringskasseförbundet påtalade behovet av reglering av utlämnande för forskningsändamål. Härutöver omfattas även vissa utlämnanden av information om pen- sionsförhållanden m.m. av särskilda regleringar som föreslås. I det ena fallet avses utlämnande av uppgifter till den registrerade i fråga för ge- mensam pensionsinformation via den s.k. Pensionsportalen. Pensions- portalen är en planerad hemsida på Internet där den enskilde genom upp- giftsinhämtande från såväl offentliga som privata organ skall kunna få en helhetsbild av sina pensionsförhållanden. Det andra fallet är utlämnande av personuppgifter för användning vid skadereglering till organ som driver försäkringsrörelse. I artikel 84 i förordningen (EEG) nr 1408/71 om tillämpningen av sy- stemen för social trygghet när anställda, egenföretagare eller deras fa- miljemedlemmar flyttar inom gemenskapen finns bestämmelser om skyl- dighet för myndigheterna inom socialförsäkringens administration att lämna ut uppgifter till socialförsäkringsmyndigheter i de andra med- lemsländerna. Förordningen ingår i gemenskapsrätten och gäller således i Sverige med den verkan som följer av EG-rätten. Av punkt 5 i artikel 84 framgår emellertid att då en medlemsstats myndigheter enligt förord- ningen överför personuppgifter till myndigheter eller institutioner i en annan medlemsstat, skall sådant överförande omfattas av de lagbestäm- Prop. 2002/03:135 71 melser om skydd av personuppgifter som gäller i den medlemsstat som lämnar uppgifterna. Utlämnande av uppgifter enligt förordningen är alltså underkastat den nationella lagstiftningen om behandling av person- uppgifter. Personuppgiftslagen innehåller inte några bestämmelser som tar sikte på utlämnande av uppgifter på grund av gemenskapsrätten. Ge- nom en särskild ändamålsbestämmelse i punkt 3 klargörs att utlämnande av personuppgifter från socialförsäkringens administration på grund av förordningen eller annan gemenskapsrätt får ske under de förutsättningar som anges i den föreslagna lagen, vilken får anses vara en sådan lag som avses i den ovan berörda punkt 5 i artikel 84. Utlämnande av uppgifter till socialförsäkringsorgan i andra länder sker även på grund av åligganden inom samarbetet inom Europeiska ekono- miska samarbetsområdet (EES) eller i avtal om social trygghet m.m. som Sverige ingått med andra stater. Sådana åligganden kan även omfatta ut- lämnande av uppgifter till myndigheter eller institutioner inom EU, bl.a. i fråga om personer som är medborgare i tredje land, men därutöver sker naturligtvis utlämnanden av uppgifter till socialförsäkringsorgan i andra länder i stor omfattning. För närvarande har Sverige träffat avtal om so- cial trygghet med cirka 25 länder och om utgivande av sjukvårdsförmå- ner med 7 länder. Utlämnandet av uppgifter på grund av dessa avtal bör omfattas av de sekundära ändamålen. Från myndigheterna inom socialförsäkringens administration lämnas även personuppgifter ut för tillgodoseende av behov av underlag för forskning. Med forskning avses här i första hand verksamhet som bedrivs vid institutioner, såsom universitet och högskolor eller privata forsk- ningsinstitut. Även viss annan verksamhet kan i nu berört avseende anses utgöra forskning förutsatt att det finns ett samhällsintresse av att verk- samheten bedrivs och att den är vetenskaplig i någon mening. I 9 § andra stycket personuppgiftslagen anges att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ursprungliga ändamål för vilka uppgifterna samlades in. Detta innebär att den s.k. finalitetsprincipen i personuppgiftslagen inte i sig påkallar att utlämnande av uppgifter för tillgodoseende av forsk- ningens behov anges som ett särskilt ändamål. I 19 § personuppgiftslagen anges dessutom vissa materiella regler, bl.a. för behandling av känsliga personuppgifter för forskningsändamål. I prop. 2002/03:50 har föresla- gits vissa ändringar i 19 § personuppgiftslagen som innebär att bestäm- melserna om behandling av personuppgifter för forskningsändamål skall flyttas över till en särskild lag, lagen om etikprövning av forskning som avser människor, som föreslås träda i kraft den 1 januari 2004. Reglerna i 19 § personuppgiftslagen respektive den föreslagna lagen bör vara tillämpliga i de fall det aktualiseras ett utlämnande av personuppgifter från socialförsäkringens administration för forskningsändamål. Det ter sig därför, med hänsyn till den lagtekniska konstruktionen i den före- slagna lagen med ändamålsrelaterade gränsdragningar bl.a. i fråga om behandling av känsliga personuppgifter, som mindre lämpligt att ange utlämnande av personuppgifter för forskningsändamål som ett särskilt ändamål i den föreslagna lagen. Prop. 2002/03:135 72

6.8

Behandling av känsliga personuppgifter m.m.

6.8.1

Personuppgiftslagens regler om känsliga personuppgifter

Huvudregeln är enligt personuppgiftslagen att det är förbjudet att be- handla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa el- ler sexualliv. Dessa olika slag av uppgifter kallas med en samlingsbe- teckning känsliga personuppgifter. Det finns emellertid en rad undantag från förbudet mot behandling av känsliga personuppgifter angivna direkt i personuppgiftslagen. Sålunda får sådana uppgifter enligt lagen behandlas med den registrerades ut- tryckliga samtycke eller när denne offentliggjort uppgifterna på ett tyd- ligt sätt. Känsliga personuppgifter får vidare bl.a. behandlas om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, om det är nöd- vändigt för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke eller om det är nödvändigt för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Förbudet mot att behandla känsliga personupp- gifter gäller inte heller när ideella organisationer med politiskt, filoso- fiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet be- handlar personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård eller om uppgifterna omfattas av sjukvårdssekretess. Slutligen undantas viss behandling för forsknings- och statistikändamål från förbudet mot behandling av känsliga personuppgifter. Regeringen eller den myndighet regeringen bestämmer får enligt per- sonuppgiftslagen medge ytterligare undantag från förbudet att behandla känsliga personuppgifter om det behövs med hänsyn till ett viktigt all- mänt intresse. Den 1 oktober 2001 infördes en bestämmelse i 8 § person- uppgiftsförordningen (1998:1191) om att känsliga personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Regleringen av behandling av känsliga personuppgifter i personupp- giftslagen följer i princip den motsvarande reglering som återfinns i data- skyddsdirektivet. Direktivet medger att medlemsstaterna, under förut- sättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse, i sin nationella lagstiftning eller genom ett beslut av tillsyns- myndighet beslutar om andra undantag från förbudet mot behandling av känsliga personuppgifter än dem som anges i personuppgiftslagen. Den nationella lagstiftningen kan således innehålla ytterligare undantag från förbudet mot behandling av känsliga personuppgifter. I punkt 34 i ingres- sen till direktivet anges bl.a. att När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från för- Prop. 2002/03:135 73 budet mot att behandla känsliga kategorier av uppgifter på sådana områ- Prop. 2002/03:135 den som exempelvis folkhälsa och socialskydd, särskilt för att säkerställa kvalitet och lönsamhet när det gäller förfaranden som används i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssyste- met, i samband med vetenskaplig forskning och i samband med offentlig statistik.

6.8.2

Personuppgiftslagens regler om uppgifter om lagöverträdelser m.m.

Det är enligt personuppgiftslagen förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, do- mar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden. Regeringen eller den myndighet som regeringen be- stämmer (Datainspektionen) får dock besluta om undantag från förbudet. Uttrycket myndighet i 21 § första stycket personuppgiftslagen är avsett att ha samma innebörd som i den artikel i direktivet som innehåller mot- svarande bestämmelse. Såväl de allmänna försäkringskassorna som Riks- försäkringsverket och Premiepensionsmyndigheten torde vara att anse som myndigheter i personuppgiftslagens mening. Förbudet i personupp- giftslagen mot att behandla personuppgifter om lagöverträdelser omfattar alltså inte något av dessa organ.

6.8.3

Generella regler om behandling av känsliga personuppgifter inom socialförsäkringens administration

Regeringens förslag : Känsliga personuppgifter som avses i 13 § person- uppgiftslagen skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggning av ett ärende. Känsliga per- sonuppgifter får vidare behandlas för återsökning av vägledande avgö- randen eller för något av de sekundära ändamålen om det är nödvändigt med hänsyn till ändamålet. För informationsverksamhet, behov av underlag för bedömning av rät- tigheter och skyldigheter, planering, resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. I övrigt får känsliga personupp- gifter inte behandlas för de ändamålen om det inte är fråga om behand- ling av uppgifter i handlingar i ett ärende. Behandling för planering, resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får inte ske beträffande andra käns- liga personuppgifter än sådana som behandlas eller har behandlats för in- formationsverksamhet, behov av underlag för bedömning av rättigheter och skyldigheter eller handläggning av ärenden. I fråga om behandling av känsliga personuppgifter i socialförsäkrings- databasen skall särskilda begränsningar gälla. 74

Promemorians förslag: Överensstämmer i huvudsak med regering- ens.

Remissinstanserna: 

Riksförsäkringsverket avstyrker att generella be- stämmelser om behandling av känsliga personuppgifter införs med de fö- reslagna lydelserna. Verkets uppfattning grundas på att verket och för- säkringskassorna har behov av att behandla sådana uppgifter i större om- fattning än de föreslagna bestämmelserna medger och att förslagen i promemorian innebär att möjligheterna att behandla sådana uppgifter blir mer begränsade än vad som är fallet i nuvarande lagstiftning. Verkets bedömning är att det enligt den föreslagna lagen inte blir möjligt att vid tillsyn av elektroniska akter behandla andra känsliga personuppgifter än uppgifter om hälsa. Även om det vid tillsynen inte finns ett intresse av t.ex. den sexuella läggningen hos en person går det inte att undvika att den sortens uppgifter kommer att behandlas. Även i övrigt har verket be- hov av att behandla andra känsliga personuppgifter än uppgifter om hälsa. Det är t.ex. mycket möjligt att verket kan få ett uppdrag från re- geringen att följa upp om homosexuella föräldrar behandlas annorlunda än andra. Dessutom anser verket att de föreslagna bestämmelserna är mycket svårbegripliga och svårtolkade. De tydliga ändamålsbestämmel- serna bör i kombination med gällande sekretessbestämmelser får enligt verkets uppfattning anses utgöra ett tillräckligt skydd för integriteten. Kammarrätten i Sundsvall anmärker att det är oklart hur dataskydds- direktivet skall tolkas bl.a. när det gäller registrering av känsliga person- uppgifter och innebörden av t.ex. begreppet hälsa. Vidare anser kammar- rätten att en analys av i vilken utsträckning en motsvarande behandling som den som föreslås kommer att ske i andra medlemsstater och av i vil- ken utsträckning uppgifterna kan skyddas vid överföring till andra med- lemsstater bör utföras innan lagstiftningen genomförs.

Skälen för regeringens förslag: Begränsningar av möjligheterna att behandla känsliga personuppgifter är ett viktigt inslag i registerförfatt- ningar. I en sådan verksamhet som socialförsäkringen är det emellertid nödvändigt att i viss utsträckning behandla känsliga personuppgifter. Handläggningen av olika förmånsslag såsom sjukpenning, handikapp- förmåner etc. måste med nödvändighet innebära behandling av känsliga personuppgifter redan på grund av att själva grunden för en sådan ersätt- ning är en känslig personuppgift, dvs. en personuppgift som rör hälsa. Övergången från pappersbaserade akter till ärendehanteringssystem (ÄHS) med integrerade elektroniska akter innebär dessutom att alla rele- vanta uppgifter, handlingar och all information i övrigt i ett ärende kom- mer att behandlas automatiserat. Alla inkomna handlingar i ett ärende lä- ses i ett sådant system in genom s.k. skanning och lagras elektroniskt för den aktuella försäkringskassans räkning. Eftersom det naturligtvis inte är möjligt för den handläggande personalen att påverka innehållet i de handlingar som ges in eller att radera ut eventuella känsliga personupp- gifter från de elektroniskt lagrade inkomna handlingarna måste det vara tillåtet att behandla sådana känsliga personuppgifter som lämnats i ett ärende. Även försäkringskassans beslut, tjänsteanteckningar och andra hand- lingar upprättas och lagras i den elektroniska akten. Det är omöjligt att i detalj förutse vilka känsliga personuppgifter som det kan bli nödvändigt att behandla vid upprättandet av dessa typer av elektroniska handlingar. Prop. 2002/03:135 75 Däremot kan det med säkerhet sägas att det i många fall kommer att fö- religga behov av behandling av sådana uppgifter. Detta innebär att det i sådana sammanhang i viss utsträckning måste vara tillåtet att behandla sådana uppgifter. Här föreslås att känsliga personuppgifter skall få be- handlas inom socialförsäkringsadministrationen om de är nödvändiga för handläggningen av ett ärende. En följd härav är också att det vid utövande av tillsyn måste vara möj- ligt att i ett tillsynsärende behandla alla typer av uppgifter eftersom sådan tillsyn regelmässigt innebär att akter i ärenden granskas. Som Riksförsäk- ringsverket påtalat innebär förslaget i promemorian att det vid tillsyn inte skulle vara möjligt att behandla andra känsliga uppgifter än uppgifter om hälsa. Eftersom de elektroniska akterna kan innehålla alla slags känsliga uppgifter är enligt regeringens uppfattning en sådan begränsning inte lämplig. Även när det gäller verksamhet i övrigt inom socialförsäkringens ad- ministration föreligger emellertid behov av att behandla sådana känsliga personuppgifter som rör hälsa. Vid en närmare eftertanke kan detta tyckas vara en självklarhet när det är fråga om ett system som bl.a. om- fattar den allmänna offentliga sjukförsäkringen och ett antal olika förmå- ner med inriktning på funktionshindrade. Det ankommer på såväl Riksförsäkringsverket som de allmänna för- säkringskassorna att analysera utvecklingen inom de olika förmånssla- gen, särskilt sjukförsäkringen. Detta förutsätter en omfattande kartläg- gande verksamhet, som med nödvändighet måste omfatta behandling av personuppgifter. Att ta informationstekniken i anspråk för sådana upp- gifter utgör en självklar del av modern förvaltning. Under de senaste åren har utvecklingen inom sjukförsäkringen också tagit en sådan vändning att det framstår som synnerligen motiverat att vidta kraftfulla åtgärder mot den ökade ohälsan. Detta förutsätter en in- gående kunskap om hur utvecklingen faktiskt ser ut. Den nuvarande ord- ningen i socialförsäkringsregisterlagen har emellertid ansetts utgöra ett hinder för detta. Förutsättningar måste skapas för ett arbetsliv som i större utsträckning än i dag kan vidmakthålla hälsa och lust att kvarstå i arbetslivet hos den enskilda människan. Arbetslivet, men även människans totala livssitua- tion, den enskildes fysiska och psykosociala förutsättningar samt hälso- och sjukvårdens funktionssätt är exempel på faktorer som kan förklara sjukskrivningarna i de fall där det inte finns en avgränsad tydlig sjuk- domsdiagnos. Sjukskrivningen är ofta en process där flera faktorer sam- verkar på ett sätt som är negativt för den enskilde individen. För att komma till rätta med detta krävs ett utvecklat analysarbete på olika ni- våer som kan ligga till grund för relevanta åtgärder från samhällets sida. I sitt delbetänkande (SOU 2000:72) konstaterade Sjukförsäkringsut- redningen följande. Avsaknaden av väsentliga data och bristen på en- hetlighet i befintliga data gör att det idag inte finns förutsättningar för en övergripande och fortlöpande analys av sjukfrånvaron och dess orsaker. Utredningen finner det ytterst angeläget att ett så samhällsekonomiskt betydelsefullt område som sjukfrånvaron med dess konsekvenser för in- divider, produktion och ekonomi blir föremål för en fortlöpande heltäck- ande systematisk analys och uppföljning. Riksförsäkringsverket bör där- för få möjlighet att komplettera sitt sjukdataregister med uppgifter avse- Prop. 2002/03:135 76 ende diagnoser, intygsskrivande läkare, arbetsställen och yrken. Vi förut- sätter att detta kan ske utan att den enskildes integritet hotas. Sjukförsäkringsutredningen uppdrog åt Riksförsäkringsverket att kart- lägga och redovisa vilka data som skulle erfordras för en fortlöpande och heltäckande systematisk analys av sjukfrånvaron. Kartläggningen visade att hinder i lagstiftningen för behandling av relevanta personuppgifter endast föreligger när det gäller uppgifter om diagnoser och intygsskri- vande läkare. I båda fallen var hindret förbudet mot behandling av käns- liga personuppgifter som rör hälsa som angetts i 7 § socialförsäkrings- registerlagen. Övriga uppgifter avseende individ, arbetsplats, åtgärder etc. får enligt Riksförsäkringsverkets bedömning behandlas redan inom ramen för nuvarande lagstiftning. Även utredningen Handlingsplan för ökad hälsa i arbetslivet (S 2000:07) har i sitt betänkande Handlingsplan för ökad hälsa i arbets- livet SOU 2002:5 påtalat behovet av förbättrade möjligheter till statistisk analys och uppföljning av utvecklingen av sjukfrånvaron. Utredningen noterar att ett välfungerande informationssystem är av stor vikt för såväl övergripande analys som ärendehandläggning, styrning och ledning av verksamheten inom försäkringskassorna. Utredningen hänvisar också till Sjukförsäkringsutredningens förslag angående förutsättningarna att få re- gistrera diagnos och sjukskrivande läkare samt förslaget om den statis- tiska uppföljningen av sjukfrånvaro under sjuklöneperioden. Regeringen har i sitt 11-punktsprogram för ökad hälsa i arbetslivet, som presenterats i budgetpropositionen för 2002 (2001/2002:1), berört frågan om behov av förbättrad analys. I en särskild punkt, 10. Förbättrad statistik och forskning på ohälsoområdet, konstaterar regeringen bl.a. att kunskaperna om sjukskrivningsprocessens orsaker, samband och konsekvenser behöver förbättras. Det finns därför enligt regeringen behov av mer utvecklad forskning och bättre statistik. Det är viktigt att utvecklingen av den arbetsrelaterade ohälsan följs upp och utvärderas. I linje med detta har regeringen uppdragit åt en särskild utredare att lämna förslag till utformningen och den närmare inriktningen av en analysgrupp inom området hälsa och ohälsa i arbetslivet. Enligt direktiven (dir. 2002:4) skall utredningen, som antagit namnet Utredningen (2002:1) om Analys av Hälsa och Arbete (AHA-utredning- en) bl.a. redogöra för hur det framtida systemet för produktion av sjukförsäkringsstatistik bör utformas för att detta skall kunna uppfylla kraven på ett tillfredsställande instrument för uppföljning och analys av sjukfrånvarons utveckling och bedömning av olika åtgärders effektivitet.

AHA-utredningen har i delbetänkandet Kunskapsläge sjukförsäkringen (SOU 2002:62) lämnat förslag till har det framtida systemet för produk- tion av sjukförsäkringsstatistik skall utformas. Utredningen delar de analyser som Sjukförsäkringsutredningen (S 1999:11) och Utredningen om Ökad Hälsa i Arbetslivet HpH (S 2000:07) gjort och föreslår att registerlagstiftningen för socialförsäkringens administration ändras så att en förbättrad statistik kan läggas till grund för uppföljning och prognos- arbete och användas som arbetshjälpmedel för försäkringskassornas led- ning, uppföljning och handläggning. Den enskilde bör särskilt när det gäller behandling av känsliga person- uppgifter tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter och andra som kan uppfattas som utomstående. Samtidigt Prop. 2002/03:135 77 måste dock den enskilde godta viss behandling av sådana uppgifter, framför allt från samhällets sida, när andra intressen, som av samhället bedöms som totalt sett viktigare, kräver det. När det kan vara aktuellt att behandla känsliga personuppgifter måste således en avvägning göras mellan den enskildes rätt till personlig integritet och motstående intressen såsom det allmännas behov av information och de för den registrerade positiva effekter som kan följa av en behandling av känsliga personupp- gifter. Nu gällande lagstiftning medger behandling av sådana uppgifter om hälsa som diagnos inom ramen för den officiella statistiken. Däremot är det inte tillåtet att behandla uppgifter om diagnos för lokal och regional uppföljning inom socialförsäkringens administration, vilket uppenbarli- gen kan vara till men för den registrerade själv i de fall ett förbud mot behandling av känsliga personuppgifter motverkar en effektiv rehabili- tering. Den utveckling inom sjukförsäkringen som redovisats i förening med de möjligheter till analys och uppföljning som informationstekniken innebär talar starkt för att sådana till buds stående möjligheter bör ut- nyttjas för att ligga till grund för verkningsfulla åtgärder i syfte att mot- verka den negativa utvecklingen inom ohälsoområdet. Sådana åtgärder är värdefulla för såväl enskilda individer som samhället i dess helhet. En tanke bakom den reglering av integritetsskyddet som dataskydds- lagstiftningen innebär, är att motverka risken för att omfattande samman- ställningar med integritetskänsliga personuppgifter med relativt enkla åt- gärder kan tillskapas och/eller spridas för oegentliga syften. Integritets- intresset kan dock aldrig medföra ett absolut hinder för sammanställ- ningar av integritetskänsliga uppgifter i ett utvecklat samhälle. Ett ut- vecklat välfärdssystem förutsätter att integritetskänsliga uppgifter måste kunna behandlas för olika syften. I detta sammanhang måste också vägas in att det i regel är endast ett begränsat antal personer som kan komma att få tillgång till sammanställningar av sådant slag att individerna som av- ses kan identifieras. Naturligtvis måste en registerlag för socialförsäkringens administration innehålla begränsningar för behandling av känsliga personuppgifter. Känsliga personuppgifter skall få behandlas om de lämnats till en myn- dighet i ett ärende eller är nödvändiga för handläggning av ett ärende, varmed avses även ett tillsynsärende. I dessa fall ger alltså den föreslagna lagen utrymme för att behandla samtliga kategorier av känsliga person- uppgifter. I fråga om behandling för återsökning av vägledande avgöran- den, som innefattar tillhandahållande av referat av vägledande domar och beslut, måste naturligtvis en motsvarande ordning gälla eftersom refera- ten i fråga måste kunna lagras och återges utan andra begränsningar än att i dokumenten berörda inte skall vara direkt identifierbara.

Riksförsäkringsverket har gjort gällande att behov föreligger av att kunna behandla även andra känsliga personuppgifter än uppgifter som rör hälsa för övriga primära ändamål såsom underlag för bedömning av rättigheter och skyldigheter, planering, resultatstyrning, resultatuppfölj- ning, resultatredovisning, utvärdering eller framställning av statistik. Emellertid måste enligt regeringens uppfattning sådana behov vägas mot integritetsintresset i en noggrann analys innan det kan komma i fråga att i lagstiftningen öppna för sådana behandlingar. I likhet med den bedöm- ning som redovisades i promemorian finner regeringen att det för närva- Prop. 2002/03:135 78 rande inte föreligger tillräckliga skäl för att utöka möjligheterna till be- handling av känsliga personuppgifter på det sätt verket efterfrågat. I fråga om det av verket påtalade behovet av behandling av uppgifter för tillsyn delar dock regeringen verkets uppfattning. I fråga om ärenden som gäller tillsyn bör därför göras ett undantag. Integritetsskyddet bör således upp- rätthållas genom att utrymmet för behandling av känsliga personuppgif- ter i verksamhet som omfattas av de primära ändamålen i övrigt begrän- sas så, att endast sådana känsliga personuppgifter som rör hälsa får be- handlas och endast i den utsträckning det är nödvändigt för sådan verk- samhet som anges i de i lagen intagna ändamålen. Detta innebär att be- handling av uppgifter som rör hälsa måste vara nödvändig för något av de i lagen angivna ändamålen. Ändamålen utgör således en ram för be- handlingen av känsliga uppgifter. Samtidigt möjliggörs härigenom behandling av uppgifter som rör hälsa i den mån det behövs för sådana angelägna analys- och uppföljningsän- damål som berörts ovan. Som redovisats ovan torde även en sådan re- glering som omfattar behandling av känsliga personuppgifter inom soci- alförsäkringsområdet ligga inom ramen för vad dataskyddsdirektivet medger. Emellertid bör inte känsliga personuppgifter få samlas in enbart för behandling för planering, resultatstyrning, resultatuppföljning, resultatre- dovisning, utvärdering, tillsyn eller framställning av statistik. Som ytter- ligare begränsning bör därför gälla att behandling för planering, resultat- styrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får inte ske beträffande andra känsliga per- sonuppgifter än sådana som behandlas eller har behandlats för informa- tionsverksamhet, behov av underlag för bedömning av rättigheter och skyldigheter eller handläggning av ärenden. Tillsynsärenden faller emel- lertid in under ändamålet handläggning av ärenden. I sådana fall kan alltså känsliga personuppgifter behandlas utan att de dessförinnan be- handlats för något annat ändamål. Vid behandling enligt de sekundära ändamålen måste ofta känsliga personuppgifter kunna behandlas. Det är inte möjligt att i detalj reglera alla de olika typer av utlämnanden som omfattas av de sekundära ända- målen. De olika typerna av utlämnanden som omfattas av de sekundära ändamålen grundas emellertid alltid på antingen i olika författningar in- tagna regler om utlämnande av uppgifter eller åtaganden som Sverige gjort inom ramen för internationellt samarbete. I dessa fall kan avvägning med hänsyn till integritetsintresset sägas ha skett redan vid tillkomsten av de olika bakomliggande författningarna eller åtagandena. Med hänsyn härtill framstår det som tillräckligt med en mer allmänt formulerad regel om i vilka fall känsliga personuppgifter får behandlas vid behandling en- ligt de sekundära ändamålen. Vid behandling som omfattas av något av de sekundära ändamålen skall således känsliga personuppgifter få be- handlas om det är nödvändigt med hänsyn till ändamålet i fråga. De ovan beskrivna begränsningarna för behandling av känsliga upp- gifter föreslås gälla generellt vid alla behandlingar av personuppgifter som omfattas av den föreslagna lagens tillämpningsområde. I fråga om behandling av känsliga personuppgifter i socialförsäkringsdatabasen skall gälla ytterligare särskilda begränsningar. Prop. 2002/03:135 79

Lagrådet har påtalat att förslaget till lagtext om den generella regler- Prop. 2002/03:135 ingen av behandling av känsliga personuppgifter i lagrådsremissen är svårläst. Till följd av Lagrådets synpunkter föreslås en annan lydelse, vars utformning även skett med hänsyn till Lagrådets ovan redovisade synpunkter om behovet av förtydligande vad avser ändamålet handlägg- ning av ärenden. Enligt regeringens bedömning är den utformning som de föreslagna reglerna om begränsningar för behandling av känsliga personuppgifter fått, fullt förenlig med dataskyddsdirektivet. 6.8.4 Generella regler om behandling av uppgifter om lagöverträdelser m.m. inom socialförsäkringens administration

Regeringens förslag : Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggning av ett ärende. Sådana uppgifter får även behandlas för återsökning av vägle- dande avgöranden eller för något av de sekundära ändamålen om det är nödvändigt med hänsyn till ändamålet. För informationsverksamhet, behov av underlag för bedömning av rättigheter och skyldigheter, planering, resultatstyrning, resultatupp- följning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får sådana uppgifter om lagöverträdelser som avses i 21 § personuppgiftslagen behandlas som ligger inom ramen för vad som får behandlas i socialförsäkringsdatabasen. I övrigt får sådana uppgifter inte behandlas för de ändamålen om det inte är fråga om behandling av uppgifter i handlingar i ett ärende. Behandling för planering, resul- tatstyrning, resultatuppföljning, resultatredovisning, utvärdering eller framställning av statistik får inte ske beträffande andra sådana upp- gifter än dem som behandlas eller har behandlats för informations- verksamhet, behov av underlag för bedömning av rättigheter och skyl- digheter eller handläggning av ärenden I fråga om behandling av personuppgifter i socialförsäkringsdataba- sen skall gälla särskilda begränsningar i fråga om uppgifter om lag- överträdelser som avses i 21 § personuppgiftslagen.

Promemorians förslag: Överensstämmer i huvudsak med regeringens.

Remissinstanserna: 

Riksförsäkringsverket avstyrker att generella be- stämmelser om behandling av uppgifter om lagöverträdelser m.m. införs med de föreslagna lydelserna. Verkets uppfattning grundas på att verket och försäkringskassorna har behov av att behandla sådana uppgifter i större omfattning än de föreslagna bestämmelserna medger. Det kan för- utsättas att verket och försäkringskassorna kommer att ha behov av att behandla uppgifter om lagöverträdelser i arbetet med att bekämpa fusk och missbruk inom socialförsäkringen. Dessutom anser verket att de föreslagna bestämmelserna är mycket svårbegripliga och svårtolkade. De tydliga ändamålsbestämmelserna bör i kombination med gällande sekre- tessbestämmelser anses utgöra ett tillräckligt skydd för integriteten. 80

Skälen för regeringens förslag: Det är en huvudregel i socialförsäk- ringsregisterlagen att personuppgifter om lagöverträdelser som innefattar brott m.m. inte får registreras i socialförsäkringsregister. Socialförsäk- ringsregisterlagen innebär alltså en inskränkning i förhållande till vad som gäller enligt personuppgiftslagen, eftersom restriktionerna i den lagen för behandling om uppgifter om lagöverträdelser som innefattar brott m.m. enbart omfattar andra än myndigheter. I vissa särskilt angivna fall medges dock nödvändiga undantag från huvudregeln i socialförsäkringsregisterlagen om begränsningar för regi- strering av den aktuella typen av uppgifter, dels i en i lagen intagen en lista olika typer av uppgifter som får registreras, dels undantas särskilt vissa angivna typer av uppgifter som intagits i beslut eller domar i anled- ning av socialförsäkringsärenden. Slutligen finns också en undantagsre- gel som tar sikte på s.k. elektroniska akter. Det framstår enligt regeringens uppfattning som motiverat att även i den här föreslagna lagen ha vissa begränsningar i fråga om behandling av personuppgifter om lagöverträdelser. Uppgifter om lagöverträdelser avses i 21 § personuppgiftslagen före- slås få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggning av ett ärende. Liksom i fråga om känsliga personuppgifter måste dessutom sådana uppgifter kunna behandlas i till- synsärenden om uppgifterna lämnats till en myndighet inom socialför- säkringens administration i ett ärende eller är nödvändiga för handlägg- ning av ett ärende. För informationsverksamhet, behov av underlag för bedömning av rät- tigheter och skyldigheter, planering, resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik skall emellertid i fråga om uppgifter om lagöverträdelser som avses i 21 § personuppgiftslagen en generell begränsning gälla motsvarande de särskilda begränsningarna för behandling av sådana uppgifter i socialför- säkringsdatabasen. Enligt regeringens uppfattning innebär detta emeller- tid att vissa möjligheter finns att tillgodose de behov av behandlingar som Riksförsäkringsverket påtalat när det gäller att bekämpa fusk eller missbruk inom socialförsäkringen. Det är emellertid av vikt att sådana möjligheter endast tillskapas med beaktande av integritetsintresset. Behandling av uppgifter om lagöverträdelser för planering, resultat- styrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik skall inte få ske beträffande andra sådana uppgifter än dem som behandlas eller har behandlats för informations- verksamhet, behov av underlag för bedömning av rättigheter och skyl- digheter eller handläggning av ärenden Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgifts- lagen skall få behandlas för återsökning av vägledande avgöranden eller för något av de sekundära ändamålen om det är nödvändigt med hänsyn till ändamålet.

Lagrådet har påtalat att förslaget till lagtext om den generella regler- ingen av behandling av uppgifter om lagöverträdelser m.m. i lagråds- remissen är svårläst. Till följd av Lagrådets synpunkter föreslås en annan lydelse, vars utformning även skett med hänsyn till Lagrådets ovan redovisade synpunkter om behovet av förtydligande vad avser ändamålet handläggning av ärenden. Prop. 2002/03:135 81

6.9

Behandling av personuppgifter i socialförsäkringsdatabasen

6.9.1

Endast personuppgifter som är relevanta för de primära ändamålen bör ingå i socialförsäkringsdatabasen

Regeringens förslag: I socialförsäkringsdatabasen skall endast sådana personuppgifter få behandlas som avser personer som omfattas eller har omfattats av verksamhet enligt de primära ändamålen eller om vilka uppgifter på annat sätt är nödvändiga för handläggningen av ett ärende.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har särskilt kommen- terat förslaget.

Skälen för regeringens förslag: En begränsning som bör gälla för be- handling av personuppgifter i socialförsäkringsdatabasen är, att endast de personer om vilka uppgifter finns som på något sätt är relevanta för de primära ändamålen bör förekomma. Därför föreslås att i socialförsäk- ringsdatabasen får personuppgifter behandlas endast om uppgifterna gäller sådana personer som omfattas eller har omfattats av verksamhet enligt de primära ändamålen eller om vilka uppgifter på annat sätt behövs för handläggningen av ett ärende. Denna begränsning är ett uttryck för ett grundläggande krav på integ- ritetsskydd, som innebär att behandling av personuppgifter inte skall få ske utan att det finns något godtagbart skäl för detta. Den föreslagna regeln anknyter till reglerna i 9 § personuppgiftslagen om att den person- uppgiftsansvarige skall se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, men torde samtidigt i sig innebära en precisering av vad som gäller inom socialförsäkringens administration. Vidare medför begränsningen att det för den enskilde är lättare att konstatera om han eller hon kan eller bör vara registrerad i databasen. En motsvarighet med ett något annorlunda sakligt innehåll återfinns i 5 § socialförsäkringsregisterlagen.

6.9.2

En regel om behandling av vissa kategorier av uppgifter i socialförsäkringsdatabasen

Regeringens förslag : En särskild regel skall klargöra att för de ändamål som är tillåtna enligt den föreslagna lagen skall med beaktande av vissa begränsningar identifierings- och adressuppgifter få behandlas i social- försäkringsdatabasen. Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) skall endast få behandlas i socialförsäkringsdatabasen i de fall de finns i en handling som upprättats i ett ärende och är nödvändiga för ärendets handläggning eller i en hand- ling som kommit in i ett ärende eller om det särskilt anges i lag eller för- ordning. Regeringen eller den myndighet regeringen bestämmer skall dessutom få meddela föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen. Prop. 2002/03:135 82

Promemorians förslag: Överensstämmer delvis med regeringens. I promemorian har föreslagits att det i lagen skall tas in en detaljerad upp- räkning av uppgiftskategorier av uppgifter som skall få behandlas i soci- alförsäkringsdatabasen och att uppräkningen skall kunna kompletteras genom andra bestämmelser i lag eller förordning som överensstämmer i princip med regeringens. Vidare har i promemorian föreslagits att det i lagen skall anges en upplysning om att regeringen eller den myndighet regeringen bestämmer meddelar verkställighetsföreskrifter.

Remissinstanserna: 

Riksförsäkringsverket avstyrker den föreslagna ordningen med begränsningar för behandling av vissa uppgifter och en uppräkning av olika uppgiftskategorier som får behandlas i socialförsäk- ringsdatabasen. Det finns enligt verket en uppenbar risk för att denna kommer att skapa oklarhet och osäkerhet kring vilka uppgifter som får behandlas. Verket anser att det är fullt tillräckligt att i lagen på ett mer övergripande sätt begränsa möjligheterna att behandla känsliga person- uppgifter och uppgifter om lagöverträdelser m.m. Det tydliga angivandet av ändamål för behandling av personuppgifter innebär en begränsning i sig. Detta överensstämmer dessutom betydligt bättre med den lagstift- ningsteknik som har använts inom andra verksamhetsområden som soci- altjänsten, kriminalvården eller arbetsmarknadspolitiken. Datainspektio- nen avstyrker att uppgifter om diagnos skall få behandlas på samma sätt som andra uppgifter i socialförsäkringsdatabasen. Samtidigt har Data- inspektionen förståelse för att uppgifter om diagnos kan behöva behand- las för att komma till rätta med problemen på ohälsoområdet. Enligt in- spektionens uppfattning bör det närmare anges i vilken omfattning upp- gifter om diagnos skall få förekomma, exempelvis genom att regeringen närmare preciserar i vilka situationer uppgifter om diagnos skall få be- handlas. Om det öppnas upp för ett ökat användande av uppgifter om diagnos måste man på nytt överväga om den svaga sekretess som gäller på socialförsäkringsområdet är tillräcklig jämfört med sekretessen på hälso- och sjukvårdsområdet. Premiepensionsmyndigheten gör gällande att bestämmelsen i den föreslagna lagen om ett antal uppgiftskategorier som får behandlas bör kompletteras med uppgiftskategorierna tillgodo- havande, fondfördelning, efterlevandeskydd, val av traditionell försäk- ring samt utbetalningsinformation. Även om det anges att uppräkningen i bestämmelsen inte är uttömmande framgår det inte klart om samtliga dessa kategorier kan anses innefattade i begreppet ekonomiska förhållan- den. Arbetsmarknadsstyrelsen anför att förslaget till lagtext bör ändras med hänsyn till att förordningen (1996:1100) om aktivitetsstöd har änd- rats. Arbetsmiljöverket noterar med tillfredsställelse att det i promemo- rian föreslås att uppgifter om diagnoser, arbetsställen, yrken och bran- scher där de registrerade är verksamma skall få behandlas. Sådana kom- pletteringar öppnar för goda utvecklingsmöjligheter vad beträffar sam- verkan mellan verket och Riksförsäkringsverket när det gäller samverkan i syfte att uppnå en effektivare användning av tillgängliga resurser inom rehabiliteringsområdet. Östergötlands läns allmänna försäkringskassa anser att regeringen eller den myndighet regeringen bestämmer skall ges möjlighet att komplettera den i lagen intagna uppräkningen av olika kategorier av uppgifter som får behandlas. Skälen för regeringens förslag: Behandling av personuppgifter i socialförsäkringsdatabasen kännetecknas av att åtkomsten till uppgifterna

Prop. 2002/03:135 83 inte är förbehållen ett fåtal personer. I vissa fall kan ett relativt stort antal personer komma att ta del av en enskild uppgift. Enligt regeringens upp- fattning påkallar det särskilda begränsningar när det gäller behandling av känsliga personuppgifter och sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen. Det är alltså i fråga om socialför- säkringsdatabasen inte tillräckligt att, såsom föreslagits av Riksförsäk- ringsverket, endast på ett mer övergripande sätt begränsa möjligheterna att behandla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. Av integritetsskyddsskäl föreslås därför en begränsningsregel som innebär att känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) endast skall få behandlas i socialförsäkringsdatabasen i de fall de finns i en handling som upprättats i ett ärende och är nödvändiga för ärendets handläggning eller i en handling som kommit in i ett ärende eller om det särskilt anges i lag eller i förordning.

Lagrådet har anfört att det är svårt att av en sådan regel som föreslagits i remissen, med en detaljerad uppräkning av kategorier som skall vara tillåtna att behandla i socialförsäkringsdatabasen, sluta sig till att uppräkningen inte är uttömmande på det sätt som avsetts enligt vad som förutsatts i remissen. Lagrådet framhåller även att det från rättssys- tematisk utgångspunkt är inkonsekvent och främmande att i en författ- ning som kan sägas vara ramlagsbetonad foga in en så starkt detaljpräg- lad reglering. Regeringen föreslår mot bakgrund av Lagrådets synpunkter att den föreslagna uppräkningen av kategorier av personuppgifter som skall få behandlas i socialförsäkringsdatabasen lyfts bort från lagtexten och i stället tas in i förordning. Vid en sådan utformning av regleringen uppkommer inte den problematik som Lagrådet påtalat. Genom den föreslagna lösningen uppnås ett integritetsskydd som i princip motsvarar vad som gäller enligt socialförsäkringsregisterlagen. Eftersom förslaget samtidigt innebär att känsliga personuppgifter och uppgifter om lagöverträdelser m.m. får behandlas i socialförsäkrings- databasen om det särskilt medges i lag eller förordning öppnas dock en möjlighet för regeringen att i en förordning medge att sådana kategorier av uppgifter får behandlas. En sådan möjlighet att komplettera lagstift- ningen med medgivanden att behandla känsliga personuppgifter m.m. i socialförsäkringsdatabasen är nödvändig med hänsyn till de stora svårig- heter som föreligger för att i ett lagstiftningsärende i förväg fullständigt bedöma behovet av behandling av sådana uppgifter. Möjligheten att i föreskrifter medge att ytterligare kategorier av uppgifter får behandlas bör inte delegeras till myndighetsnivå. Självklart gäller att de generella begränsningar som gäller för behandlingen av sådana uppgifter inom socialförsäkringens administration måste beaktas vid utarbetandet av så- dana förordningar som avses. Regeringen eller den myndighet regeringen bestämmer bör dock få meddela föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen. Regeringen delar Lagrådets uppfattning att den i remissen föreslagna upplysningen i lagtexten om att regeringen eller den myndighet regeringen bestämmer meddelar närmare föreskrifter i fråga om vilka uppgifter som får behandlas, bör utgå. Prop. 2002/03:135 84

6.9.3

En särskild regel om inkomna respektive upprättade handlingar i ärenden

Regeringens förslag: Uppgifter i en handling som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkringsdatabasen, om uppgifterna är nödvändiga för ärendets handläggning.

Promemorians förslag: Överensstämmer i princip med regeringens, dock har i promemorian föreslagits en annorlunda utformning av lagtex- ten.

Remissinstanserna: Ingen av remissinstanserna har särskilt kommen- terat förslaget. Skälen för regeringens förslag: Lagrådet 

har anfört att den i remissen föreslagna bestämmelsen har utformats så att den kommit att innehålla regler om vilka uppgifter handlingar i ett ärende får innehålla. Eftersom sådana regler inte hör hemma i en lag som den nu aktuella, föreslår Lagrådet att den ifrågavarande paragrafen utformas så att den inte reglerar annat än frågan om behandling av uppgifter i handlingar i ett ärende. Regeringen instämmer i Lagrådets bedömning och föreslår därför en särskild bestämmelse om att uppgifter i handlingar som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller sådana uppgifter om lagöverträdelser som avses i 21 § personuppgiftslagen. Vidare föreslås att sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkrings- databasen om uppgifterna är nödvändiga för ärendets handläggning.

6.9.4

Behörighet för behandling av personuppgifter

Regeringens förslag: Tilldelning av behörighet för åtkomst till social- försäkringsdatabasen skall inom socialförsäkringens administration ske genom en särskild handling i enlighet med vad som föreskrivs av reger- ingen eller den myndighet regeringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen skall alltid vara begränsad till den åtkomst till uppgifter som behövs för att den enskilde skall kunna fullgöra sina arbetsuppgifter.

Promemorians förslag: Innebar att tilldelning av behörighet för åt- komst till socialförsäkringsdatabasen endast skulle ske skriftligen. Den som tilldelas sådan behörighet skulle vidare skriftligen informeras om gränserna för behörigheten.

Remissinstanserna: 

Riksförsäkringsverket är mycket positivt till att en reglering om tilldelning av behörighet införs i lagen eftersom detta är ett viktigt område. Verket delar uppfattningen att det är angeläget att till- delning av behörighet dokumenteras, men avstyrker att sättet att tilldela behörighet regleras i lag eftersom det bör finnas möjlighet att tilldela be- hörighet på andra sätt än med pappersdokument. Statskontoret delar upp- fattningen att tilldelning av behörighet bör ske på ett kontrollerat sätt, Prop. 2002/03:135 85 men ifrågasätter att tilldelningen bör dokumenteras och meddelas på papper. Det bör enligt verkets mening vara fullt möjligt att på ett till- räckligt säkert och beständigt sätt både dokumentera tilldelningen elek- troniskt och meddela berörd handläggare om hennes tilldelning elektro- niskt. Verket avstyrker därför förslaget att behörighet måste tilldelas och meddelas på papper. Vidare ifrågasätter verket att det i promemorian an- vända uttrycket skriftligen är lämpligt för att uttrycka att något skall ske på papper eftersom det finns olika uppfattningar om innebörden av skriftlighetsbegreppet. Försäkringskasseförbundet, Hallands läns all- männa försäkringskassa och Östergötlands läns allmänna försäkrings- kassa är positiva till regleringen av tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen. Kraven på skriftlig tilldelning och skrift- lig information är bra och kommer att öka medvetenheten bland hand- läggarna på försäkringskassan. Förbundet anser också att det är viktigt att behörigheten för åtkomst till socialförsäkringsdatabasen alltid skall be- gränsas till den åtkomst till uppgifter som behövs för att handläggaren skall kunna fullgöra sina arbetsuppgifter. Centrala studiestödsnämnden föreslår att det av den föreslagna lagen tydligt skall framgå att bestäm- melserna om tilldelning av behörighet inte skall gälla i fråga om hand- läggare av studiestödsärenden hos Centrala studiestödsnämnden som har direktåtkomst till socialförsäkringsdatabasen.

Skälen för regeringens förslag: Regeringen instämmer i den i pro- memorian redovisade bedömningen, som även delas av samtliga remiss- instanser som uttalat sig i frågan, att tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen bör regleras särskilt i den föreslagna lagen. Den som anställs vid en myndighet inom socialförsäkringens administ- ration eller på annan grund utför arbete inom denna myndighetssfär bör av naturliga skäl inte av arbetsgivaren/uppdragsgivaren medges obegrän- sad tillgång till alla uppgifter och handlingar som behandlas i socialför- säkringsdatabasen. Det krävs således att arbetsgivaren/uppdragsgivaren aktivt tar ställning till vilket informationsbehov ett tjänsteåliggande eller uppdrag innebär och tilldelar honom eller henne behörighet till databasen härefter. I detta sammanhang är även straffbestämmelsen om dataintrång i 4 kap. 9 c § brottsbalken av betydelse. Enligt nämnda bestämmelse kan bl.a. den som olovligen bereder sig tillgång till upptagning för automa- tisk databehandling under vissa förutsättningar dömas för dataintrång till böter eller fängelse i högst två år. Bestämmelsen förutsätter inte att den som olovligen berett sig tillgång till en upptagning haft något särskilt syfte med intrånget för att gärningen skall vara straffbar. Vad som be- läggs med straff är alltså bl.a. själva intrånget i en upptagning. Avgö- rande för huruvida någon anställd eller av annan anledning verksam inom socialförsäkringens administration kan bedömas ha olovligen berett sig tillgång till exempelvis socialförsäkringsdatabasen torde vara om det skett inom ramen för dennes behörighet, dvs. den rättsligt betingade rät- tigheten att ta del av uppgifter, eller ej (se RH 2000:90). Redan detta för- hållande talar för att tilldelningen av behörighet bör ske under sådana former att det otvetydigt kan konstateras dels vilken behörighet som till- delats en person, dels att denne faktiskt tagit del av och förstått innebör- Prop. 2002/03:135 86 den av beslutet om tilldelning av behörighet och de däri angivna ramarna för behörigheten. Med hänsyn härtill och till omfattningen av integritetskänsliga uppgif- ter i socialförsäkringsdatabasen bör tilldelningen av behörighet alltså omgärdas av vissa i lag intagna regler. En rimlig utgångspunkt bör vara att ingen bör medges åtkomst till socialförsäkringsdatabasen utan att det tydligt klargjorts för honom eller henne var de rättsligt betingade grän- serna för åtkomsten går. Ett av olika tänkbara sätt att säkerställa detta är att tilldelningen av behörighet, såsom föreslagits i promemorian, endast får ske genom ett traditionellt pappersdokument. Ett sådant förfarande innebär att de ramar för behörigheten som arbetsgivaren/uppdragsgivaren ställt upp dokumenteras på ett säkert sätt och att den som tilldelats behö- righet ges rimlig möjlighet att för egen del ta del av var gränserna går för behörigheten. Såväl Riksförsäkringsverket som Statskontoret har emel- lertid anfört att detta även kan tillgodoses vid tilldelning av behörighet i andra former, exempelvis genom en elektronisk handling. Regeringen delar denna bedömning och anser att reglerna om tilldelning av behörig- het bör möjliggöra ett sådant förfarande. Det i promemorian ställda kra- vet på skriftlighet bör därför, bl.a. mot bakgrund av Statskontorets syn- punkter angående användningen detta begrepp, inte kvarstå. I stället bör det mer teknikneutrala begreppet handling användas för det dokument genom vilket behörighet tilldelas och de närmare gränserna för behörig- heten preciseras. Härigenom möjliggörs användning av såväl ett pap- persbundet förfarande som ett förfarande med elektroniska handlingar. Samtidigt medför ett införande av tilldelning av behörighet genom elek- troniska handlingar att särskilda överväganden måste göras, bl.a. angå- ende kraven på dokumentation av identifieringen av den som tilldelas en behörighet. Föreskrifter om sådana krav bör lämpligen ges i annan form än lag. Det bör därför överlåtas till regeringen eller den myndighet regeringen bestämmer att närmare föreskriva formerna för tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen. I klargörande syfte bör det även i den föreslagna lagen föreskrivas att behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas av den myndighet som tilldelar behörighet till den åtkomst till uppgifter som behövs för den enskildes fullgörande av sina arbetsuppgifter. Det förhål- landet att en tjänsteman genom tilldelning av ett tjänstekort som används för identitetskontroll (kan i vissa sammanhang benämnas behörighets- kort) vid användning av en dator eller på annat sätt getts vida faktiska möjligheter till åtkomst till uppgifter i socialförsäkringsdatabasen, saknar med hänsyn till denna regel betydelse för huruvida en åtkomst sker olov- ligen eller ej. Det är tjänsteåliggandena som ger den yttersta ramen för den egentliga behörigheten. Regeringen delar Centrala studiestödsnämndens uppfattning att det av den föreslagna lagen tydligt skall framgå att bestämmelserna om tilldel- ning av behörighet inte skall gälla i fråga om handläggare av studiestöds- ärenden hos Centrala studiestödsnämnden som har direktåtkomst till socialförsäkringsdatabasen. Regeln om att behörigheten skall begränsas till vad som behövs för att den till vilken behörighet ges skall kunna full- göra sina arbetsuppgifter gäller dock givetvis alla som får direktåtkomst till socialförsäkringsdatabasen, dvs. även handläggare hos Centrala studiestödsnämnden. Prop. 2002/03:135 87

6.10

Direktåtkomst

Prop. 2002/03:135

6.10.1

Särskilda regleringar av utlämnande av uppgifter i registerlagstiftning

I registerlagstiftning finns ofta bestämmelser som syftar till att reglera om och i vilka fall personuppgifter som behandlas hos myndigheter får lämnas ut i elektronisk form till andra myndigheter eller enskilda. All- mänt sett föreligger ofta relativt omfattande begränsningar för sådant ut- lämnande med hänsyn till de integritetsrisker som typiskt sett kan upp- komma vid omfattande utlämnanden av uppgifter i personregister etc. Som utvecklas närmare i det följande används i den aktuella typen av lagstiftning ofta begreppen direktåtkomst och utlämnande på medium för automatiserad behandling. Med direktåtkomst avses att den som använder registret på egen hand kan söka i detta och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet, samt att uppgifter i registret på det beskrivna sättet lämnas ut utan att den ansvariga myndigheten i det en- skilda fallet har kontroll över vilka uppgifter som lämnas ut (se prop. 2000/01:33 s. 111). Man gör i registerlagstiftningen åtskillnad mellan direktåtkomst och utlämnande på medium för automatiserad behandling. Ett exempel på den sistnämnda formen för utlämnande är att en myndighet tillhandahål- ler en diskett på vilken uppgifter från ett personregister lagrats. Det är alltså normalt fråga om ett överlämnande av elektroniskt lagrade uppgif- ter på någon slags medium för lagring eller överföring. I ett sådant fall skall naturligtvis en prövning i varje enskilt fall ske av huruvida uppgif- terna kan lämnas ut eller om exempelvis sekretessbestämmelser utgör hinder för utlämnandet. Direktåtkomst innebär att någon sekretessprövning inte sker vid varje enskilt fall av utlämnande av uppgift. Det innebär att enskildas direktåt- komst till personuppgifter enbart bör avse uppgifter för vilka sekretess inte kan föreligga i förhållande till honom eller henne. Lagrådet har i lag- stiftningsärendet om registerlagstiftningen inom skatteförvaltningen an- fört att ett sätt att i bestämmelser om direktåtkomst understryka att sek- retessprövning är nödvändig kan vara att i lagtexten ange att direktåt- komsten gäller uppgifter som får lämnas ut till den enskilde. Den prövning av eventuell sekretess som kan komma i fråga sker dock i praktiken av naturliga skäl vid fastställandet av det urval av uppgifter som enskilda skall ha tillgång till. Vad begreppet medium för automatiserad behandling innefattar kan inte sägas vara helt klarlagt. Syftet med de olika förekommande reglerna i registerlagstiftningen om utlämnade av uppgifter är emellertid i regel att med hänsyn till intresset av att skydda medborgarnas integritet inskränka möjligheterna för utomstående att genom överföring av uppgifter i per- sonregister kunna upprätta egna personregister. Den tekniska metoden för överföring av uppgifter, om det sker via en diskett eller via Internet, är i det sammanhanget ointressant. Mot bakgrund härav bör även överfö- ring av uppgifter via Internet till en persondator, vilket även om huvud- syftet är att innehavaren skall ta del av uppgifterna på skärmen i regel dessutom innebär att uppgifterna på något sätt kan lagras i persondatorn, 88 ofta vara att anse som utlämnande av uppgifter på medium för automati- Prop. 2002/03:135 serad behandling. En annan sak är att de skyddsaspekter som ligger till grund för registerlagstiftningen naturligtvis inte på samma sätt gör sig gällande när det är fråga om uppgifter om enstaka personer som utlämnas till honom eller henne själv.

6.10.2

Direktåtkomst till uppgifter och handlingar i socialförsäkringsdatabasen

Regeringens förslag: Direktåtkomst till uppgifter i socialförsäkrings- databasen får endast förekomma i den utsträckning som anges i lag eller förordning.

Promemorians förslag: Överensstämmer i princip med regeringens, dock har det i promemorian föreslagits att direktåtkomst skall vara tillåten i den utsträckning som anges i lag eller annan författning.

Remissinstanserna: Västernorrlands läns allmänna försäkringskassa delar uppfattningen att det är viktigt att direktåtkomst till uppgifter i socialförsäkringsdatabasen endast får förekomma i den utsträckning som anges i lagen samt konstaterar att det är tillfredsställande att möjlighe- terna för enskilda att kunna överblicka spridningen av personuppgifter som rör dem själva särskilt har beaktats i förslaget. Datainspektionen an- för att det framstår som oklart vad som ur integritetsaspekt skiljer ett ut- lämnande av uppgifter genom direktåtkomst från ett utlämnande av upp- gifter på medium för automatiserad behandling och varför den enskildes åtkomst till uppgifter genom automatiserad behandling regleras i lagen, men inte förutsättningarna för att den enskilde skall få ha direktåtkomst till uppgifterna. Enligt inspektionens uppfattning bör direktåtkomst be- gränsas vad avser antalet integritetskänsliga uppgifter genom föreskrifter i förordning. Statskontoret anser att begreppen direktåtkomst och utläm- nande på medium för automatiserad behandling mister något av sin exakthet och relevans vid användning av nya kommunikationstekniker. Dessa begrepp bör enligt verkets uppfattning utmönstras på sikt. Premie- pensionsmyndigheten anser att uppdelningen i olika regler för direktåt- komst respektive utlämnande på medium för automatiserad behandling inte är hållbar. Myndigheten anför att den tekniska utvecklingen har kommit så långt att det inte längre är någon väsentlig skillnad mellan de olika utlämningssätten samt att begreppen är oklart definierade i prome- morian. Enligt myndighetens uppfattning måste det kunna överlämnas till myndigheterna själva att avgöra vilket utlämningssätt som är lämpligast i vart fall när det är fråga om utlämning av uppgifter till den enskilde själv.

Södermanlands läns allmänna försäkringskassa, Jönköpings läns all- männa försäkringskassa delar den i promemorian redovisade uppfatt- ningen att direktåtkomst till uppgifter i socialförsäkringsdatabasen endast får förekomma i den utsträckning som anges i lagen.

Skälen för regeringens förslag: Ett flertal remissinstanser har berört att de tekniska möjligheterna för tillhandahållanden av uppgifter genom direktåtkomst respektive utlämnande på medium för automatiserad be- handling i hög grad har utvecklats och att det i vissa fall framstår som i integritetshänseende mindre centralt vilket sätt för utlämnande som an- 89 vänds. Enligt regeringens mening finns det emellertid inte tillräckliga Prop. 2002/03:135 skäl att i detta sammanhang frångå den strukturella uppdelning som tillämpas allmänt i gällande registerlagstiftning. Direktåtkomst innebär att uppgifter lämnas ut direkt från en myndighets datasystem utan att den ansvariga myndigheten i det enskilda fallet har kontroll över vilka upp- gifter som lämnas ut. Ett utlämnande måste alltid vara förenligt med sek- retessregleringen. Uppgifter som är åtkomliga via terminal måste vara sådana som alltid får lämnas ut till den mottagande myndigheten. Upp- gifterna bör ha ett godtagbart sekretesskydd även hos den myndighet där terminalen finns. De allmänna handlingar hos en myndighet som en annan myndighet får tillgång till genom direktåtkomst utgör allmän handling även hos den sistnämnda myndigheten. Direktåtkomsten kan således medföra att sekretessen för uppgifter, på grund av avsaknad av överföringssekretess, kan ha ett annat innehåll hos den mottagande myn- digheten än hos den utlämnande. Regeringen delar därför den i prome- morian redovisade bedömningen att det behövs särskilda regler för i vil- ken utsträckning direktåtkomst skall få finnas. När det gäller behandling av personuppgifter med sådant integritets- känsligt innehåll som ofta är fallet inom socialförsäkringens administra- tion, är det naturligtvis i allmänhet påkallat att i möjligaste mån ned- bringa antalet individer som har direkt tillgång till uppgifterna. En viktig aspekt är dessutom möjligheterna för enskilda att kunna överblicka spridningen av personuppgifter som rör dem själva. Lagrådet har påtalat att det i remissen lämnade förslaget innebär en möjlighet att medge direktåtkomst genom myndighetsföreskrifter. Enligt regeringens uppfatt- ning bör direktåtkomst till socialförsäkringsdatabasen endast kunna med- ges i lag eller förordning. Regeringen föreslår därför att direktåtkomst till uppgifter i socialförsäkringsdatabasen endast skall få förekomma i den utsträckning som anges i lag eller förordning.

6.10.3

Myndigheterna inom socialförsäkringens administration

Regeringens förslag: De allmänna försäkringskassorna, Riksförsäk- ringsverket och Premiepensionsmyndigheten skall få ha direktåtkomst till uppgifter i socialförsäkringsdatabasen i den utsträckning det behövs för verksamhet enligt de primära eller sekundära ändamålen. Sådan direktåt- komst skall endast medges de personer som på grund av sina arbetsupp- gifter behöver tillgång till uppgifterna. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om direktåtkomsten.

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: Västernorrlands läns allmänna försäkringskassa, Västerbottens läns allmänna försäkringskassa och Jämtlands läns all- männa försäkringskassa anser att förslaget förefaller väl underbyggt och motiverat. Det är dock av vikt att datasystemen anpassas till att ge för- säkringskassorna möjlighet att tillgodose de utökade kraven på säker- hetsnivå som aktualiseras vid direktåtkomst mellan flera kassor. Försla- get förefaller enligt Södermanlands läns allmänna försäkringskassa, Jönköpings läns allmänna försäkringskassa, Västra Götalands läns all- 90 männa försäkringskassa väl underbyggt och motiverat. Västra Götalands läns allmänna försäkringskassa har även anfört att när det gäller gemen- sam direktåtkomst för t.ex. kundtjänsten hos ett antal försäkringskassor är det av vikt att författningsförslaget ställer krav på att socialförsäk- ringsdatabasen anpassas till att kunna tillhandahålla en godtagbar åt- komst- och spårbarhetsnivå med flexibla möjligheter att även begränsa åtkomsten.

Skälen för regeringens förslag: En rimlig avvägning mellan integri- tets- och effektivitetshänsyn ger vid handen att de allmänna försäkrings- kassorna, Riksförsäkringsverket och Premiepensionsmyndigheten får ha direktåtkomst till uppgifter i socialförsäkringsdatabasen i den utsträck- ning det behövs för verksamhet enligt ändamålen. En lagregel med det innehållet föreslås därför. Den mer detaljerade reglering som bör kom- plettera en sådan allmänt hållen regel vad avser myndighetsöverskri- dande direktåtkomst till uppgifter som behandlas i socialförsäkringsdata- basen bör dock ske genom föreskrifter som utfärdas av regeringen eller den myndighet regeringen bestämmer. Direktåtkomsten för de allmänna försäkringskassorna, Riksförsäkringsverket och Premiepensionsmyndig- heten bör emellertid vara förbehållen de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna.

6.10.4

Statens pensionsverk och KPA Pension AB

Regeringens förslag: Statens pensionsverk och det för kommunerna och landstingen gemensamma organet för administration av personalpensio- ner (KPA Pension AB) skall, i den utsträckning som föreskrivs av re- geringen eller den myndighet regeringen bestämmer, få ha direktåtkomst till uppgifter i socialförsäkringsdatabasen för samordning av tjänstepen- sioner. Statens pensionsverk skall, i den utsträckning som föreskrivs av re- geringen eller den myndighet regeringen bestämmer, få ha direktåtkomst till uppgifter i socialförsäkringsdatabasen för handläggning av ärenden i vilka reglerna om statens tjänstegrupplivförsäkring skall tillämpas. Direktåtkomst till personuppgifter i socialförsäkringsdatabasen skall endast få ges till den som behöver ha tillgång till uppgifterna för att kunna utföra sitt arbete.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: 

Riksförsäkringsverket delar inte bedömningen att Statens pensionsverk och KPA Pension AB skall få ha direktåtkomst till socialförsäkringsdatabasen. Enligt verkets uppfattning saknas det numera skäl för att dessa organ skall ha direktåtkomst till socialförsäkringsdata- basen. Sådan direktåtkomst kan dessutom ifrågasättas av såväl integri- tets- som konkurrensskäl. De behov som finns av uppgifter från social- försäkringsdatabasen kommer att kunna tillgodoses genom utlämnande på medium för automatiserad behandling. Premiepensionsmyndigheten anser att det inte finns något vägande skäl för att positivt särbehandla Statens pensionsverk och KPA på det sätt som föreslagits i promemorian när det gäller direktåtkomst till socialförsäkringsdatabasen. Statens pen- sionsverk välkomnar förslaget om fortsatt direktåtkomst till uppgifter i Prop. 2002/03:135 91 socialförsäkringsdatabasen för verket. Enligt verkets uppfattning kan en frågerutin av det slag som berörs i promemorian inte ersätta direktåt- komsten. Det är endast verket som kan informera statspensionärer om den allmänna pensionens betydelse för storleken av den bruttosamord- nade tjänstepensionen. KPA Pension AB konstaterar med tillfredsställelse att förslagen i promemorian innebär att bolaget även fortsättningsvis kommer att få direktåtkomst till uppgifter i socialförsäkringsdatabasen för samordning av kommunala tjänstepensioner. Detta är enligt bolagets uppfattning nödvändigt för att säkerställa högsta kvalitet och säkerhet i bolagets pensionsadministration. Bolaget förutsätter att förslaget medger att bolaget får tillgång till de uppgifter om sjukersättning/aktivitets- ersättning som är nödvändiga för att fastställa och beräkna den kommunala tjänstepensionen. Bolaget skulle gärna se att man även fortsättningsvis kommer att få tillgång till nödvändiga uppgifter om all- män pension som behövs för att man skall kunna lämna information om pensionsförmåner till sina kunder. Södermanlands läns allmänna försäk- ringskassa tillstyrker förslaget att Statens pensionsverk och KPA Pension AB skall ha direktåtkomst till socialförsäkringsdatabasen för samordning av tjänstepensioner. Svenska kommunförbundet och Landstingsförbundet anför att administrationen av tjänstepensionsförmåner utförs antingen av respektive kommun/landsting eller av en administratör som kommu- nen/landstinget slutit avtal med samt att det för närvarande finns minst två möjliga administratörer, dvs. KPA Pension AB och SPV/SPP. För- bunden föreslår att direktåtkomst för samordning av bruttopension skall medges till såväl de kommuner eller landsting som själva administrerar tjänstepensionsförmåner som till de organ som på avtalsrättslig grund administrerar tjänstepensionsförmåner. Den föreslagna regeln om tyst- nadsplikt kan därvid utvidgas till att avse den som på avtalsrättslig grund administrerar tjänstepensioner för kommunens räkning.

Skälen för regeringens förslag: Det finns enligt regeringens uppfatt- ning starka skäl att vara återhållsam med att tillåta myndigheter eller andra utanför socialförsäkringens administration att ha direktåtkomst till socialförsäkringsdatabasen. Om det är nödvändigt att lämna ut uppgifter för automatiserad behandling måste man i första hand överväga om inte andra alternativ, som exempelvis utlämnande på media för automatiserad behandling, kan användas för informationshanteringen. Bedömningen av om direktåtkomst skall medges eller inte måste således utmynna i en av- vägning mellan behovet av effektivitet i olika samhällsfunktioner och en- skildas behov av starkt integritetsskydd. Om direktåtkomst medges är det väsentligt att den endast avser sådana uppgifter där det är av stor bety- delse att utlämnandet sker genom direktåtkomst. Mottagarens legitima uppgiftsbehov i övrigt bör således tillgodoses på annat sätt. Statens pensionsverk och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner (KPA Pension AB) får, i den utsträckning som föreskrivs av regeringen eller den myn- dighet regeringen bestämmer, enligt socialförsäkringsregisterlagen ha direktåtkomst till uppgifter i socialförsäkringsregister för handläggning av ärenden om utbetalning av socialförsäkringsförmåner och samordning av tjänstepensionsförmåner. En viktig faktor bakom denna regel om tillåtande av direktåtkomst till socialförsäkringsregister för dessa organ har varit utformningen av vissa Prop. 2002/03:135 92 regler om beräkning av tjänstepension inom det statliga respektive kom- munala området. Vad som åsyftas är att tjänstepensionen beräknas ge- nom s.k. bruttosamordning med offentlig pension och vissa andra offent- liga förmåner, dvs. tjänstepensionen beräknas med utgångspunkt från det sammanlagda beloppet av dessa förmåner som utbetalas till den som är berättigad till tjänstepension. De aktuella reglerna tillämpas alltjämt och kommer att tillämpas under lång tid framöver i fråga om redan beviljade pensioner. Det innebär att utbetalaren av tjänstepension varje månad måste ha kännedom om det sammanlagda beloppet av offentlig pension och andra ersättningar som samordnas med tjänstepensionen för att kunna beräkna denna. Denna konstruktion har medfört att Statens pen- sionsverk och KPA Pension AB ålagts att betala ut även de offentliga förmåner som samordnas med tjänstepensionen. Som ett led i reforme- ringen av ålderspensionssystemet har emellertid beslutats att denna ord- ning skall upphöra. I stället skall Riksförsäkringsverket betala ut all offentlig pension m.m. Statens pensionsverk får även, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, använda social- försäkringsregister för handläggning av ärenden om statens tjänstegrupp- livförsäkring. I anledning av utlämnandet av uppgifter till KPA Pension AB finns i 16 § socialförsäkringsregisterlagen även en särskild regel om tystnads- plikt för den som genom sin befattning med ett socialförsäkringsregister hos det för kommunerna och landstingen gemensamma organet för administration av personalpensioner får kännedom om vissa personupp- gifter.

Riksförsäkringsverket har i remissyttrandet och i en skrivelse till soci- aldepartementet 2001-10-30 (Dnr S2001/9762 SF) ifrågasatt den nuva- rande ordningen med tillåtande av direktåtkomst för Statens pensions- verk och KPA Pension AB. I första hand anförs som skäl för att direktåt- komsten skall upphöra att de bägge organens uppdrag att betala ut offentlig pension upphört vid årsskiftet 2002/03. Riksförsäkringsverket anför också vikten av konkurrensneutralitet och integritetsaspekter som skäl för att ovan nämnda bestämmelser i socialförsäkringsregisterlagen skall upphävas. Riksförsäkringsverket föreslår att möjligheten till direkt- åtkomst skall upphöra och helt ersättas med utlämnande av erforderliga uppgifter för samordning och beräkning av ersättning på medium för automatiserad behandling. Statens pensionsverk och KPA Pension AB har gjort gällande att den avtalsenliga bruttosamordningen av tjänstepensionerna, som kommer att tillämpas under lång tid framöver, påkallar att de medges fortsatt direkt- åtkomst. De har dessutom anfört att direktåtkomsten medför möjligheter till rättelse av felaktigheter i socialförsäkringsregistren och en service- nivå i förhållande till tjänstepensionärerna som inte längre skulle före- ligga om direktåtkomsten upphör. Statens pensionsverk som KPA Pension AB bör enligt regeringens uppfattning även fortsättningsvis få tillgång till uppgifter om offentliga pensioner och andra förmåner i den utsträckning som är nödvändig för att tjänstepensionerna inom respektive avtalsområde skall kunna administre- ras på ett effektivt och tillfredsställande sätt. Den s.k. bruttosamord- ningen hanteras i dag huvudsakligen genom ett omfattande system för Prop. 2002/03:135 93 utlämnade av uppgifter på medium för automatiserad behandling. Detta Prop. 2002/03:135 system är under uppbyggnad i samråd mellan de båda organen och Riks- försäkringsverket. Systemet med filöverföring innebär att information överförs på två sätt; dels med automatik så till vida att när registrering sker i socialförsäkringsregister av uppgifter som är relevanta för Statens pensionsverk respektive KPA Pension AB så översänds automatiskt upp- dateringar till den av dem som har behov av informationen, dels efter för- frågningar från Statens pensionsverk eller KPA Pension AB via fråge- rutiner genom filöverföring som besvaras genom elektronisk behandling i s.k. s-poster inom högst ett dygn. Den förstnämnda typen av informa- tionsöverföring fungerar redan i dag. Funktionen med frågerutiner är dock ännu inte införd. Vissa typer av uppgifter om delpension samt arbets- och yrkesskadelivränta kan för närvarande inte lämnas i s-poster, men kommer att kunna lämnas på detta sätt efter viss systemutveckling. Genom utvecklingsarbete i samråd mellan å ena sidan Riksförsäkrings- verket och å andra sidan Statens pensionsverk och KPA Pension AB måste eventuella problem i systemet för filöverföring kunna förutsättas vara lösta under en relativt nära framtid. Regeringen förutsätter att lik- nande system kan tillämpas i fråga om andra utbetalare av bruttosamord- nade tjänstepensioner. Någon anledning att i nuläget medge direktåt- komst för exempelvis kommuner eller andra utbetalare av tjänstepension föreligger således inte. Eftersom tekniken för närvarande inte fyller det behov som Statens pensionsverk och KPA Pension AB har föreslår emellertid regeringen att en motsvarighet till 15 § socialförsäkringsregisterlagen införs i den nya lagen. Någon utökning av ramarna för direktåtkomsten bör emellertid inte ske. Eftersom inget av de aktuella organen fortsättningsvis skall ut- betala någon offentlig socialförsäkringsförmån bör dock en viss justering ske i förhållande till nuvarande reglering. Genom den tillämpade lagtek- niska lösningen, som innebär att direktåtkomst förutsätter föreskrifter av regeringen eller den myndighet regeringen bestämmer, föreligger emel- lertid möjligheter att i förordning anpassa medgivandet av direktåtkomst i linje med de ställningstaganden som regeringen tidigare gjort i fråga om direktåtkomst. Samma begränsningar i fråga om direktåtkomst och tilldelning av be- hörighet för tillgång till socialförsäkringsdatabasen som gäller för myn- digheterna inom socialförsäkringens administration bör även gälla Statens pensionsverk och KPA Pension AB. När det gäller tilldelning av behörighet får det naturligtvis ankomma på dessa organ att för respektive verksamhet meddela beslut om behörighet och tilldela behörighet.

6.10.5

Centrala studiestödsnämnden och arbetslöshetskassorna

Regeringens förslag : Centrala studiestödsnämnden och arbetslöshets- kassorna skall få ha direktåtkomst till uppgifter i socialförsäkringsdata- basen i den utsträckning det behövs för verksamhet enligt det sekundära ändamål som omfattar utlämnande av uppgifter till dem. Regeringen meddelar föreskrifter om vilka uppgifter direktåtkomsten får omfatta. 94

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: Södermanlands läns allmänna försäkringskassa tillstyrker att Centrala studiestödsnämnden och arbetslöshetskassorna skall ha direktåtkomst för de ändamål som gäller enligt nuvarande lag- stiftning. Riksskatteverket anför att även exekutionsväsendet och skatte- förvaltningen bör anslutas till det utbyte av information som sker genom direktåtkomst för Centrala studiestödsnämnden, de allmänna arbetslös- hetskassorna, Riksförsäkringsverket och de allmänna försäkringskas- sorna. De uppgifter som skulle lämnas ut till exekutionsväsendet och skatteförvaltningen är de nämnda organen skyldiga att lämna ut till skat- teförvaltningen och kronofogdemyndigheterna på grund av särskilda sek- retessbrytande bestämmelser. Uppgifterna lämnas i dag ut i pappersform. Verket upplever att detta förfarande medför otillfredsställande tidsför- luster utifrån de möjligheter till effektivitet och kvalitet som elektronisk handläggning erbjuder. Direktåtkomst för skatteförvaltningen och exe- kutionsväsendet till uppgifterna i socialförsäkringsdatabasen uppfyller kravet på snabb ärendehantering. Utlämnande på medium för automatise- rad behandling kan i många fall ersätta behovet av direktåtkomst. En för- utsättning är dock att de manuella inslagen utformas så att informations- utbytet kan ske utan dröjsmål. Arbetslöshetskassornas samorganisation (SO) tillstyrker förslagen om utlämnande av uppgifter till arbetslöshets- kassorna genom direktåtkomst respektive utlämnande på medium för automatiserad behandling.

Skälen för regeringens förslag: Sedan den 1 juli 2002 får Centrala studiestödsnämnden och arbetslöshetskassorna enligt 14 a § socialförsäk- ringsregisterlagen ha direktåtkomst till socialförsäkringsregister om det behövs för att upprätta underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. Denna direktåtkomst utgör en be- ståndsdel i utbyggnaden av ett utökat informationsutbyte mellan å ena sidan de allmänna försäkringskassorna och Riksförsäkringsverket och å andra sidan Centrala studiestödsnämnden och arbetslöshetskassorna. Syftet med förändringarna är att säkerställa korrekta underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild (se prop. 2000/01:129, bet. 2001/02:KU3, rskr. 2001/02:18). Till stor del sker informationsutbytet genom utlämnande av uppgifter på medium för automatiserad behandling, men i fråga om vissa precise- rade fall har regering och riksdag funnit att direktåtkomst till uppgifter bör få förekomma. Regeringen har den 1 juli 2002 meddelat föreskrifter om vilka uppgifter sådan direktåtkomst får omfatta i 5 a § socialförsäk- ringsregisterförordningen (1998:1576). Regeringen föreslår att Centrala studiestödsnämnden och arbetslöshetskassorna skall medges direktåt- komst till personuppgifter i socialförsäkringsdatabasen motsvarande vad som gäller enligt nuvarande bestämmelser i lag. En anslutning av även exekutionsväsendet och skatteförvaltningen till det utbyte av information som sker genom direktåtkomst för Centrala studiestödsnämnden m.fl. bör enligt regeringens uppfattning inte komma i fråga om de behov som föreligger på ett tillfredsställande sätt kan till- godoses i annan ordning. De uppgifter som i enlighet med Riksskattever- kets förslag skulle lämnas ut till exekutionsväsendet och skatteförvalt- ningen är de nämnda organen enligt verkets uppfattning skyldiga att lämna ut till skatteförvaltningen och kronofogdemyndigheterna på grund Prop. 2002/03:135 95 av särskilda sekretessbrytande bestämmelser. Regeringen konstaterar att Prop. 2002/03:135 det lämnade förslaget om utlämnande av personuppgifter på medium för automatiserad behandling innebär att sådana uppgifter får lämnas ut på sådant medium till skatteförvaltningen och kronofogdemyndigheterna.

6.10.6

Enskilda

Regeringens förslag: En enskild skall få ha direktåtkomst till uppgifter om sig själv i socialförsäkringsdatabasen som får lämnas ut till honom eller henne om det medges i lag eller förordning.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: 

Datainspektionen anför att det framstår som oklart varför den enskildes åtkomst till uppgifter genom automatiserad behandling regleras i lagen, men inte förutsättningarna för att den en- skilde skall få ha direktåtkomst till uppgifterna.

Skälen för regeringens förslag: Den direktåtkomst till socialförsäk- ringsdatabasen som är aktuell för enskilda är direktåtkomst till uppgifter via Internet. Det är regeringens principiella uppfattning att den tekniska infrastrukturen för den offentliga förvaltningens kommunikation med medborgarna bör bygga på Internet. Myndigheterna bör använda Internet för att utveckla tjänster som förenklar kontakterna mellan medborgare och förvaltningen. Under förutsättning att säkerheten är tillräcklig anser regeringen att det inte finns några integritetsskäl som talar mot att en- skilda kan ta del av uppgifter om sig själva via Internet. Regeringen anser emellertid i linje med de ställningstaganden som tidigare gjorts på områ- det (se prop. 2000/01:33 s. 112 ff.) att enskildas direktåtkomst till upp- gifter i socialförsäkringsdatabasen med hänsyn till bl.a. sekretessproble- matiken och vikten av en säker identifiering endast bör vara tillåten i de fall sådan åtkomst särskilt medges i lag eller förordning. Någon motsva- righet till den generella regel som föreslås i fråga om utlämnande på medium för automatiserad behandling till enskilda bör därför inte infö- ras. Det kan förutses att huvuddelen av de medgivanden om direktåt- komst för enskilda som kan komma att författningsregleras kommer att tas in i förordningar meddelade av regeringen. I 3 § förordningen (2001:1125) om försöksverksamhet med 24-tim- marsmyndighet inom socialförsäkringsadministrationen finns bestäm- melser om direktåtkomst för enskilda till socialförsäkringsregister. I detta fall är det fråga om direktåtkomst till uppgifter i socialförsäkringsregister via Internet för användning i ett system med självbetjäningstjänster. 96

6.11

Utlämnande av uppgifter på medium för automatiserad behandling

6.11.1

Utlämnande får ske till den registrerade samt enligt de sekundära ändamålen

Regeringens förslag : Personuppgifter om en enskild fysisk person som får lämnas ut till honom eller henne skall alltid få lämnas ut på medium för automatiserad behandling till denne själv. Personuppgifter och handlingar som innehåller personuppgifter i soci- alförsäkringsdatabasen skall i övrigt endast få lämnas ut på medium för automatiserad behandling till myndigheter eller enskilda om det sker i enlighet med de sekundära ändamålen.

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: 

Försäkringsförbundet anför att det inte borde finnas några sådana begränsningar som föreslås när det gäller möjlighe- terna att lämna ut uppgifter på medium för automatiserad behandling. Statens pensionsverk föreslår att uppgifter i socialförsäkringsdatabasen som får lämnas ut till en myndighet alltid får lämnas till myndigheten på medium för automatiserad behandling. Det skulle således räcka med att uppgifterna inte är föremål för sekretess eller att, om sekretess föreligger, en sekretessbrytande bestämmelse i sekretesslagen är tillämplig. Söder- manlands läns allmänna försäkringskassa tillstyrker förslaget om utläm- nande av uppgifter på medium för automatiserad behandling. Riksskatte- verket ifrågasätter om det behövs eller ens är lämpligt med en särskild reglering av vilket medium som får användas när uppgifter lämnas till andra myndigheter. Uppgifter bör enligt verkets mening få lämnas ut till myndigheter på medium för automatiserad behandling utan att det anges särskilt, om myndigheten har rätt att få ut uppgifterna. Centrala studie- stödsnämnden föreslår att bestämmelsen i den föreslagna lagen om ut- lämnande på medium för automatiserad behandling kan göras tydligare genom att den delas upp på två stycken.

Skälen för regeringens förslag: Kortfattat kan sägas att begreppet utlämnande på medium för automatiserad behandling torde omfatta ut- lämnande av uppgifter på en rad olika sätt såsom e-post, diskett, cd-rom, direkt överföring av filer via fasta förbindelser i telenät eller annat nät- verk eller via Internet. I de fall uppgifter lämnas på något av dessa sätt till en mottagare som endast skall behandla uppgifterna för den utläm- nandes räkning såsom ett led i en teknisk bearbetning eller vid framställ- ning av trycksaker etc. torde det emellertid inte vara fråga om ett utläm- nande i registerlagstiftningens mening. Att ett utlämnande av uppgifter sker på medium för automatiserad be- handling betyder att informationen lämnas ut i elektronisk form på ett så- dant sätt att mottagaren kan bearbeta informationen. En betydande del om inte merparten av utlämnandet av uppgifter i elektronisk form från socialförsäkringens administration sker på medium för automatiserad be- handling. Av naturliga skäl medför ett utlämnande på medium för auto- matiserad behandling i regel en avsevärt högre effektivitet när det gäller mottagarens möjlighet till behandling av uppgifterna. I vissa fall bör möjligheten till denna effektivitet naturligtvis tas till vara. I andra fall Prop. 2002/03:135 97 kan de stora möjligheterna till bearbetning av omfattande samlingar av personuppgifter innebära ett hot mot integriteten. Detta har medfört att s.k. registerlagstiftning regelmässigt innehåller olika typer av regleringar av i vilka fall utlämnande på medium för automatiserad behandling får ske. Den tekniska utvecklingen har dock samtidigt inneburit att även om- fattande samlingar av pappersbundna uppgifter genom s.k. skanning re- lativt enkelt och snabbt kan läsas in på en datafil och därigenom bli till- gängliga för bearbetning genom automatiserad behandling. De integritetsaspekter som ligger bakom den beskrivna regleringen av utlämnande på medium för automatiserad behandling gör sig enligt regeringens uppfattning inte gällande när det är fråga om utlämnande av sådana personuppgifter som uteslutande avser mottagarna själva. I de fall ett utlämnande inte hindras av sekretess bör därför sådana uppgifter alltid kunna lämnas ut på medium för automatiserad behandling till den regi- strerade själv. Det finns inte tillräckliga skäl att kräva att den registrerade personligen måste göra en framställan om ett sådant utlämnande eller motta uppgif- terna. Även ett ombud med fullmakt från den registrerade bör alltså kunna göra en framställan respektive motta sådana personuppgifter för den registrerades räkning. Det är givetvis av vikt att utlämnande myndig- het i sådant fall prövar fullmaktens giltighet med tillbörlig omsorg. Regeringen föreslår emellertid att utlämnande av personuppgifter på medium för automatiserad behandling från socialförsäkringsdatabasen, utöver utlämnande till den registrerade själv, endast skall få ske om det sker i enlighet med de sekundära ändamålen, dvs. de sekundära ändamå- len utgör en ram för i vilka fall personuppgifter skall få lämnas ut på me- dium för automatiserad behandling. De sekundära ändamålen omfattar utlämnanden med stöd av olika ty- per av sekretessbrytande bestämmelser som tar sikte på myndigheter re- spektive enskilda, särskilt i den föreslagna lagen eller andra författningar reglerade utlämnanden, utlämnanden på grund av skyldigheter som följer av gemenskapsrätten samt utlämnanden på grund av åtaganden i samar- betet inom Europeiska ekonomiska samarbetsområdet (EES) eller i avtal om social trygghet eller utgivande av sjukvårdsförmåner som Sverige in- gått med andra stater. Den lagtekniska konstruktion som föreslås innebär att även utlämnande av personuppgifter på medium för automatiserad behandling mellan myndigheter inom socialförsäkringens administration förutsätter stöd i författning. Sådana regler finns för närvarande i bl.a. förordningen (1980:995) om skyldighet för de allmänna försäkringskas- sorna att lämna uppgifter till andra myndigheter. I samtliga fall kan det sägas föreligga bakomliggande specifika ställ- ningstaganden i författning eller regeringsbeslut om att viss information skall eller får lämnas ut från de myndigheter som ingår i socialförsäk- ringens administration. Dessa ställningstaganden tar i och för sig i regel sikte mer på det sakliga innehållet i de uppgifter som avses än formen för utlämnande. Emellertid kan det förutsättas att integritetsaspekten har be- aktats även om de skäl som talat för att utlämnande av uppgifterna i fråga skall få ske vid en avvägning har befunnits väga över. Detta i förening med effektivitetsintresset talar generellt sett för att uppgifterna i fråga även bör få lämnas ut på medium för automatiserad behandling. Prop. 2002/03:135 98 För myndigheter som mottar personuppgifter på medium för automati- serad behandling finns det vanligtvis särskilda författningar som reglerar vilka behandlingar av personuppgifter som får förekomma hos respektive myndighet. I dessa författningar regleras även ändamålen med behand- lingarna. En myndighet som tar emot uppgifter från andra myndigheter har inte rättsligt stöd för att behandla uppgifterna på annat sätt än i enlig- het med de för myndigheten gällande författningarna. Risken för att en mottagande myndighet skulle behandla personuppgifter som mottas på medium för automatiserad behandling på ett sätt som avviker från de för myndigheten gällande författningarna måste anses liten. Samtidigt finns det skäl att i detta sammanhang erinra om den s.k. finalitetsprincipen i personuppgiftslagen, som innebär att uppgifter som samlats in för ett visst ändamål därefter inte får behandlas för något annat ändamål som är oförenligt med det ursprungliga ändamålet. Om uppgifter som inhämtats för socialförsäkringens behov utan begränsning får spridas till andra myndigheter finns alltid en risk för att efterkommande behandlingar kan komma att strida mot finalitetsprincipen. Detta talar för att utlämnandet av uppgifter på medium för automatiserad till andra myndigheter bör in- skränkas till vad som faller inom ramen för de i den föreslagna lagen an- givna ändamålen. Den lösning som föreslås torde dessutom enligt reger- ingens uppfattning innebära goda möjligheter att tillgodose i princip alla rimliga behov av informationsöverföring mellan myndigheterna. I de fall det föreligger en skyldighet att lämna ut uppgifter enligt en särskild sekretessbrytande regel bör det således vara tillåtet att lämna ut informationen på medium för automatiserad behandling. Därutöver bör uppgifter få lämnas ut till myndigheter på medium för automatiserad be- handling i de fall det i lag eller förordning finns särskilda föreskrifter som medger att utlämnande av uppgifter får ske på sådant medium. Ett annat exempel är bestämmelsen i 19 § tredje stycket personuppgiftslagen om att personuppgifter får lämnas ut för att användas i forsknings- eller statistikprojekt (i prop. 2002/03:50 föreslås vissa ändringar av denna be- stämmelse). När det gäller utlämnande av personuppgifter till andra enskilda än den registrerade, varmed avses även privaträttsliga subjekt såsom företag och organisationer, kan konstateras att den behandling som kan komma att ske hos andra än privatpersoner är underkastad personuppgiftslagens regler. Det innebär att ett visst skydd mot integritetshotande behandling hos mottagaren föreligger, men generellt sett torde detta skydd inte vara lika starkt som det som gäller för myndigheters behandling av person- uppgifter. Utlämnande av personuppgifter på medium för automatiserad behand- ling till andra enskilda än den registrerade bör emellertid medges i sär- skilt reglerade fall. Ett rimligt hänsynstagande till de ovan berörda aspekterna ger vid handen att utlämnande på medium för automatiserad behandling till enskilda får ske i de fall det finns särskilda sekretessbry- tande bestämmelser som medger att vissa uppgifter lämnas ut. Enligt den här föreslagna regeln om utlämnande av uppgifter på sådant medium i förening med punkten 2 i de sekundära ändamålen får således utläm- nande ske på medium för automatiserad behandling i de fall utlämnade sker med stöd av en sådan särskild sekretessbrytande regel som tar sikte på enskilda (exempelvis 20 kap. 9 a § lagen [1962:381] om allmän för- Prop. 2002/03:135 99 säkring) eller med stöd av exempelvis 19 § tredje stycket personupp- Prop. 2002/03:135 giftslagen. (I prop. 2002/03:50 lämnas emellertid vissa förslag till änd- ring av bestämmelsen i personuppgiftslagen och att bestämmelsen om utlämnande för forskning skall föras över till en särskild lag, lagen om etikprövning av forskning som avser människor, som föreslås träda i kraft den 1 januari 2004.) Enligt 17 § socialförsäkringsregisterlagen får uppgift lämnas ut på medium för automatiserad behandling även i de fall uppgiften skall användas för framställning av statistik. Regeringen har inte för avsikt att genom den nu föreslagna lagen begränsa möjligheterna att lämna ut uppgifter på medium för automatiserad behandling för så- dana ändamål i förhållande till hur den bestämmelsen tillämpas i dag. I huvudsak torde utlämnande för sådana ändamål omfattas av antingen sekretessbrytande bestämmelser eller bestämmelser om utlämnande på medium för automatiserad behandling i nu gällande författningar. I den mån det visar sig behövas kan det dock förutsättas att erforderliga kom- pletteringar kommer till stånd genom förordningar meddelade av reger- ingen. Att utlämnande av uppgifter på medium för automatiserad behandling får ske till myndighet i de fall det finns en särskild bestämmelse i lag eller förordning som medger utlämnande på sådant medium har berörts ovan. Sådana bestämmelser kan dock även ta sikte på utlämnanden till enskilda. Ett exempel är vissa av bestämmelserna i socialförsäkrings- registerförordningen (1998:1576). Även i de fall ett utlämnande av personuppgifter sker på grund av ge- menskapsrätten eller i anledning av olika internationella åtaganden bör utlämnande på medium för automatiserad behandling få ske.

6.11.2

Utlämnande för direkt marknadsföring

Regeringens bedömning: Personuppgifter bör inte få lämnas ut från socialförsäkringens administration på medium för automatiserad be- handling för direkt marknadsföring.

Promemorians bedömning: Överensstämmer med regeringens. Remissinstanserna: 

Datainspektionen instämmer med de argument som anförs i promemorian och det restriktiva förhållningssätt som inta- gits beträffande huruvida det skall införas en bestämmelse om att per- sonuppgifter skall få lämnas ut på medium för automatiserad behandling för direkt marknadsföring. Premiepensionsmyndigheten föreslår att myn- digheten bör ges en generell möjlighet att efter sekretessprövning avgöra på vilket sätt begärda uppgifter ska lämnas ut. Myndigheten anser att den tekniska metoden inte ska få medföra någon skillnad när det gäller frågan i vilken utsträckning som personuppgifter får behandlas. Försäkringsför- bundet anför att försäkringsbolagen på samma sätt som gällt enligt tidi- gare beslut av Datainspektion måste kunna få del av vissa uppgifter från myndigheterna. Med stöd av sådana uppgifter kan försäkringsbolagen på ett rationellt sätt komplettera den information som lämnas av t.ex. Premiepensionsmyndigheten beträffande vad som erbjuds av de olika fondförvaltarna. De uppgifter som avsetts med Försäkringsförbundets framställan till Socialdepartementet är av sådan karaktär att de rimligen 100 kan lämnas ut på medium för automatiserad behandling utan samtycke från de registrerade. Ett krav på samtycke skulle försvåra den enskildes möjligheter att på ett tidigt stadium få information om de olika placer- ingsalternativ som står till buds. Om ett krav på samtycke skulle ställas menar förbundet att det är en naturlig ordning att ett samtycke skall kunna lämnas till Premiepensionsmyndigheten liksom till annan myndig- het som kan ha tillgång till information av aktuellt slag. Om utlämnandet av personuppgifter på medium för automatiserad behandling för direkt- marknadsföringsändamål inte medges måste försäkringsbolagens mark- nadsföring grundas på att bolagen införskaffar de nödvändiga uppgif- terna på papper. De synnerligen stora resurskrav som detta ställer på så- väl myndigheterna som försäkringsbolagen kan enligt förbundets mening inte försvaras. Skälen för regeringens bedömning: 17 § socialförsäkringsregister- lagen innebär i princip ett förbud mot utlämnande av uppgifter i social- försäkringsregister på medium för automatiserad behandling om det inte framgår av särskild lag eller förordning att uppgifterna får lämnas ut. Fram till den 1 oktober 2001 kunde Datainspektionen ge tillstånd till så- dant utlämnande i enstaka fall (se prop. 1996/97:155 s. 84).

Datainspektionen meddelade även sådana tillstånd. Bl.a. gavs tillstånd till försäkringsbolag m.fl. att få ut urval av personuppgifter på medium för automatiserad behandling för användning vid direkt marknadsföring. Denna möjlighet har emellertid nu upphört. I anledning av detta har Sveriges Försäkringsförbund inkommit till Socialdepartementet med en framställan (dnr S2001/4669/SF) om lagstiftning om att t.ex. försäk- ringsbolag skall kunna få uppgifter utlämnade på medium för automatise- rad behandling i samma omfattning som tidigare medgetts av Data- inspektionen. Sveriges Försäkringsförbund har i efterhand förtydligat att de uppgifter man önskar få ut är uppgifter om pensionsspararnas namn, postadress och de sex första siffrorna i personnumret samt, om det är möjligt ur sekretessynpunkt, även de sista fyra siffrorna i personnumret och information om intjänad pensionsrätt. Det finns möjlighet att med stöd av tryckfrihetsförordningen få ut per- sonuppgifter för direkt marknadsföring på papper. Med hänsyn till den omedelbara tillgängligheten till stora mängder information som utläm- nande på medium för automatiserad behandling innebär, finns det en be- aktansvärd skillnad i integritetshänseende om personuppgifter också skulle få lämnas ut från en myndighet på medium för automatiserad be- handling för direkt marknadsföring. Det är därför viktigt att särskilt beakta integritetshänsyn i detta fall. En viktig aspekt är därvid att de ändamål för vilka personuppgifterna i pre- miepensionssystemet samlats in relativt markant avviker från ändamålet direkt marknadsföring. Det är dessutom av betydelse att uppgifterna i fråga har samlats in utan samtycke från de registrerade. Mot den bak- grunden finns det skäl att inta ett relativt restriktivt förhållningssätt i fråga om utlämnande av de aktuella personuppgifterna på medium för automatiserad behandling för direkt marknadsföring. Något förslag om att sådant utlämnande skall vara tillåtet lämnas därför inte. Prop. 2002/03:135 101

6.12

Särskilt reglerade behandlingar

6.12.1

Pensionsportalen

Regeringens förslag: Personuppgifter i socialförsäkringsdatabasen skall få lämnas ut på medium för automatiserad behandling för sammanställ- ning av gemensam pensionsinformation om den registrerade samtyckt till det. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: 

Datainspektionen anför i fråga om förslaget till bestämmelse om gemensam pensionsinformation att det inte framgår till vem uppgifter skall lämnas ut och vem som är personuppgiftsansvarig för sådana behandlingar av personuppgifter. Inspektionen förutsätter vidare att det går att säkerställa att uppgifterna lämnas ut till rätt person. Premiepensionsmyndigheten anför att den föreslagna regeln om Pen- sionsportalen bör göras mer oberoende av teknisk lösning. Sveriges aka- demikers centralorganisation (SACO), Södermanlands läns allmänna försäkringskassa och Hallands läns allmänna försäkringskassa tillstyr- ker förslaget om utlämnande av uppgifter för gemensam pensionsinfor- mation. Försäkringsförbundet har inte något att erinra mot en lagstiftning enligt vilket det krävs ett samtycke från den enskilde för att personupp- gifter i socialförsäkringsdatabasen skall kunna lämnas ut på medium för automatiserad behandling för gemensam pensionsinformation. Förbundet utgår från att ett samtycke skall kunna lämnas genom att den enskilde på Internet redovisar sin inställning. Med hänsyn till kravet på samtycke ifrågasätter förbundet behovet av de kompletterande regler som föreslås. Pensionärernas Riksorganisation (PRO) tillstyrker att personuppgifter får lämnas ut på medium för automatiserad behandling för sammanställ- ning av gemensam pensionsinformation om den registrerade samtyckt till det. PRO framhåller att det är angeläget att enskilda kan få så god infor- mation som möjligt över sina samlade pensionsrättigheter och instämmer i den i promemorian redovisade uppfattningen att en säker metod för identifiering av den registrerade måste tillämpas för att ett utlämnande skall få ske.

Skälen för regeringens förslag: I syfte att förbättra allmänhetens kunskaper och den enskildes möjligheter att skaffa sig en god bild av sin framtida pension har regeringen gett Riksförsäkringsverket i uppdrag att redogöra för hur arbetet med att ta fram en portal på Internet för pen- sionsinformation, Pensionsportalen, fortskrider. Om en portal inte be- döms kunna genomföras genom samverkan på frivillig väg med andra parter skall verket även lämna förslag om hur en lagreglering av hur del- tagandet i en sådan portal skulle kunna utformas. Avsikten är att infor- mationen som lämnas via en portal skall bl.a. innefatta uppskattningar av den framtida totala pensionen under vissa antaganden om tillväxt, pen- sionsålder m.m. Målsättningen med Pensionsportalen är att ge en hel- täckande bild av individens samlade framtida ålderspensionsförmåner, inklusive de förmåner som utbetalas i anledning av såväl kollektivavtal som individuella avtal om pensionsförsäkring. Det är alltså frågan om en Prop. 2002/03:135 102 sammanställning för gemensam pensionsinformation. I ett första steg är dock avsikten att endast offentlig ålderspension och tjänstepensioner skall ingå. Avsikten är att den enskilde efter att via Internet ha kopplat upp sig mot den aktuella hemsidan och på ett säkert sätt identifierat sig genom en enkel funktion på hemsidan skall sända ut förfrågningar i elektronisk form till Riksförsäkringsverket, Premiepensionsmyndigheten och försäk- ringsbolag m.fl. som kan tänkas ha uppgifter att lämna om hans eller hennes framtida ålderspension. Enligt regeringens bedömning måste ett samtycke från den enskilde till det utlämnande det är fråga om kunna lämnas via Internet. De tillfrågade organen svarar sedan på förfrågning- arna genom automatiserad behandling på så sätt att en fil med individ- relaterad pensionsinformation sänds till den server som hanterar Pen- sionsportalen. Där sammanställs sedan automatiskt en översikt av den registrerades pensionssituation som baseras på uppgifterna från de olika organ från vilka uppgifter inhämtats. Den registrerade kan sedan via Internet ta del av översikten. I de fall individrelaterad pensionsinforma- tion på fil översänds från Riksförsäkringsverket eller Premiepensions- myndigheten till en server som disponeras av ett annat organ är det emellertid utan tvivel frågan om utlämnande av personuppgifter på medium för automatiserad behandling. Däremot torde förfarandet inte kunna gå in under begreppet direktåtkomst. Något sådant utlämnande på medium för automatiserad behandling från Riksförsäkringsverket eller Premiepensionsmyndigheten är i dag inte tillåtet enligt socialförsäkrings- registerlagen. Inte heller skulle ett sådant utlämnande av uppgifter vara tillåtet enligt den här föreslagna lagen om det inte fanns en särskild be- stämmelse som medgav att ett sådant utlämnande fick ske. I någon mening kan hävdas att informationen genom det beskrivna för- farandet egentligen inte lämnas ut till någon annan än den registrerade själv, eftersom sammanställningen sker automatiskt med hjälp av pro- gramvara på den server som hanterar Pensionsportalen. Utlämnandet skulle då kunna ske med stöd av den ovan föreslagna regeln som innebär att uppgifter om den registrerade själv alltid skall kunna lämnas ut till denne på medium för automatiserad behandling. Samtidigt är det egentli- gen inte de uppgifter som lämnas ut från Riksförsäkringsverket, Premie- pensionsmyndigheten m.fl. som omedelbart utlämnas till den registre- rade, utan det sker en viss bearbetning av dessa innan utlämnandet sker till den registrerade, vilket närmast talar för att det ursprungliga utläm- nandet från myndigheterna sker till annan än den registrerade. Reger- ingen föreslår därför en särskild regel om utlämnande av uppgifter till Pensionsportalen. Premiepensionsmyndigheten har framfört ståndpunk- ten att förslaget i promemorian skulle vara beroende av någon viss tek- nisk lösning utan att över huvud taget precisera vad myndigheten bygger sin uppfattning på. Enligt regeringens bedömning kan det utlämnande av uppgifter som kommer att ske inte betecknas som direktåtkomst. Som Datainspektionen anmärkt är det ännu inte klarlagt vilket organ som kommer att bli huvudman för hanteringen av Pensionsportalen och såle- des vara mottagare av de uppgifter som hämtas in från olika håll. Om nå- gon av myndigheterna inom socialförsäkringens administration skulle komma att bli huvudman skulle det i fråga om de fall då den myndighe- ten tillför uppgifter för gemensam pensionsinformation kunna sägas att Prop. 2002/03:135 103 det inte är fråga om utlämnande på medium för automatiserad behand- Prop. 2002/03:135 ling. Emellertid torde Pensionsportalen även i sådant fall förutsätta en regel av det slag som föreslås när det gäller utlämnande av uppgifter från en annan myndighet inom socialförsäkringens administration. En grundläggande förutsättning för att ett utlämnande av uppgifter om offentlig pension skall få ske är emellertid att metoder för säker identifie- ring av den enskilde tillämpas vid uppkopplingen till den aktuella hemsi- dan. Detta gäller inte minst med hänsyn till att det inte kan uteslutas att sekretess kan gälla för vissa av de aktuella uppgifterna i förhållande till annan än den registrerade. Under denna förutsättning bör utlämnanden av det aktuella slaget tillåtas. Här föreslås därför en bestämmelse som med- ger utlämnande av uppgifter på det sätt som planeras. Närmare föreskrifter om vilka uppgifter som skall få lämnas ut på medium för automatiserad behandling för det här aktuella ändamålet bör lämnas av regeringen eller den myndighet regeringen bestämmer.

6.12.2

Utökning av möjlighet till utlämnande av uppgifter för skadereglering

Regeringens förslag : Personuppgifter som behövs för skadereglering skall få lämnas ut på medium för automatiserad behandling till organ som driver försäkringsrörelse. En förutsättning skall dock vara att den försäkrade samtyckt till att mottagaren får del av uppgifterna. Om utläm- nandet avser känsliga personuppgifter enligt 13 § personuppgiftslagen skall samtycket vara uttryckligt. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som skall få lämnas ut.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: 

Riksförsäkringsverket tillstyrker förslaget om ut- lämnande av personuppgifter för skadereglering på medium för automa- tiserad behandling till organ som driver försäkringsrörelse. Verket anser dock att det bör förtydligas vad som menas med skadereglering. Vidare ifrågasätter verket användandet av uttrycket uttryckligen. I kommenta- ren till personuppgiftslagen sägs att det är något oklart vad som menas med att samtycket skall vara uttryckligt. Ett samtycke måste alltid till- komma på ett sådant sätt att en utomstående kan iaktta det, och sam- tycket måste då på något sätt vara uttryckligt. Enligt verkets uppfattning ger användningen av begreppet intryck av att något annat avses än då be- greppet samtycke används i personuppgiftslagen. Eftersom detta knap- past är avsikten bör begreppet samtycke användas i detta fall. Försäk- ringsförbundet välkomnar att personuppgifter skall få lämnas till försäk- ringsbolag på medium för automatiserad behandling. I detta sammanhang har förbundet inte något att erinra mot kravet på uttryckligt samtycke, men ifrågasätter behovet av kompletterande regler mot bakgrund av att samtycke från den registrerade krävs. Sveriges akademikers centralorga- nisation (SACO) ställer sig bakom förslaget om utökade möjligheter till utlämnande av uppgifter för skadereglering. Uppsala läns allmänna för- säkringskassa anför att det vore att föredra att överföring av personupp- gifter för skadereglering kunde ske utan den registrerades samtycke samt 104 invänder mot den i promemorian redovisade uppfattningen att tillämp- ningsområdet för 20 kap. 9 a § lagen om allmän försäkring skulle kunna inskränkas som följd av förslagen i promemorian. AFA anser att försla- gen om utökning av möjligheter till utlämnande av uppgifter för skadere- glering är invändningsfria och att ett genomförande av förslagen leder till administrativa förenklingar i kontakterna mellan AFA och socialförsäk- ringens administration.

Skälen för regeringens förslag: Riksförsäkringsverket och försäk- ringskassorna lämnar regelbundet ut personuppgifter till olika försäk- ringsbolag, bl.a. till AFA Sjukförsäkring och AFA Trygghetsförsäkring, dels på medium för automatiserad behandling (när det gäller utlämnande av uppgifter till AFA finns ett system för utlämnande av uppgifter på fil med fråga/svar-rutiner som utarbetats i samråd mellan AFA och Riksför- säkringsverket), dels på papper. Utlämnandet sker med stöd av två be- stämmelser i lagen (1962:381) om allmän försäkring. I det ena fallet, som gäller överföring på medium för automatiserad behandling, sker behandlingen med stöd av en sekretessbrytande be- stämmelser i 20 kap. 9 a § lagen om allmän försäkring. Enligt denna be- stämmelse får en allmän försäkringskassa, Riksförsäkringsverket och en domstol utan hinder av sekretess lämna ut uppgifter om sådana ersätt- ningar åt enskilda, som utbetalas enligt lagstiftningen om allmän försäk- ring eller arbetsskadeförsäkring eller enligt lagstiftning om annan jäm- förbar ekonomisk förmån för enskilda, under förutsättning att en försäk- ringsinrättning, ett försäkringsbolag eller en arbetsgivare behöver upp- giften för samordning med ersättning därifrån. Av 17 § socialförsäkrings- registerlagen följer att utlämnande på medium för automatiserad behand- ling i nu nämnda fall får ske av uppgifter som behövs för samordning. Övrigt utlämnande av personuppgifter sker med stöd av 18 kap. 2 § första stycket punkt 4 lagen om allmän försäkring, enligt vilken försäk- ringskassan skall lämna hjälp vid handhavandet av annan verksamhet enligt vad regeringen bestämmer. I beslut 1978-10-12 har regeringen föreskrivit att försäkringskassorna skall tillhandahålla AMF-Trygghets- försäkring vissa uppgifter i arbetsskadeärenden enligt anvisningar som utfärdas av RFV. AMF skall betala försäkringskassornas kostnader för verksamheten enligt grunder som kan överenskommas mellan RFV och AMF. RFV har med stöd av regeringsbeslutet utfärdat föreskrifter (RFFS 1979:20) om tillhandahållande av de aktuella uppgifterna. AFA Trygghetsförsäkring och AFA Sjukförsäkring (nedan anges bola- gen gemensamt under det gemensamma begreppet AFA) har vid kon- takter med Socialdepartementet aktualiserat frågan om inte allt utläm- nande av personuppgifter, alltså även sådant utlämnande som inte avser samordning av ersättning, skulle kunna ske på medium för automatiserad behandling. AFA har därvid framhållit att man utöver behovet av upp- gifter för samordning har behov av en rad olika typer av uppgifter för annan skadereglering än samordning. För samordningsändamål behöver AFA uppgifter om bl.a. insjuknandedag, ersättningshistorik, sjukpenning, livränta, arbetsoförmågans omfattning, rehabiliteringsersättning vid arbetsskada och sjukpenninggrundande inkomst. När det gäller annan skadereglering finns även behov av andra uppgifter. Prop. 2002/03:135 105 20 kap. 9 a § lagen om allmän försäkring torde emellertid till följd av den i bestämmelsen angivna begränsningen till samordningsfall inte kunna omfatta ett utlämnande av uppgifter i flertalet av dessa fall. De framställningar som AFA gjort om en utökning av möjligheterna till utlämnande av uppgifter på medium för automatiserad behandling aktualiserar en generell frågeställning om utlämnande av sådana person- uppgifter från socialförsäkringens administration som försäkringsgivare behöver för sin skadereglering. Även andra försäkringsgivare har lik- nande behov av uppgifter och får också ut uppgifter från socialförsäk- ringens administration. Det finns naturligtvis inte någon rimlig anledning att särbehandla AFA i detta avseende. En utökning av möjligheterna att få ut uppgifter på medium för automatiserad behandling bör således avse försäkringsgivare i allmänhet. I effektivitetshänseende torde det vara en betydande fördel för såväl försäkringsgivare som socialförsäkringens administration att de person- uppgifter som socialförsäkringens administration förfogar över och som försäkringsgivare behöver för sin skadereglering i så stor utsträckning som möjligt lämnas ut på medium för automatiserad behandling. Inte minst gäller detta eftersom systemet med fråga/svar-rutiner torde inne- bära ett minimum av manuell hantering. En utökning av möjligheterna att lämna ut uppgifter på medium för automatiserad behandling för skade- reglering måste förutsättas minska den manuella hanteringen av person- uppgifter. De uppgifter som skulle kunna tänkas komma att lämnas ut på medium för automatiserad behandling vid en sådan förändring som påkallats av AFA kan i vissa fall vara mycket integritetskänsliga. Eftersom uppgif- terna för att kunna lämnas ut samtidigt skall behövas för skaderegler- ingen i ett enskilt fall och därigenom utgöra en del av själva grunden för försäkringsersättning är det dock i första hand den försäkrades eget an- hängiggörande av försäkringsfall som är avgörande för om sådana upp- gifter skall behandlas av en försäkringsgivare eller ej. Det torde dessutom vara ett utbrett förfarande att den försäkrade i ett enskilt skadeärende lämnar fullmakt/medgivande till försäkringsgivaren att från myndigheter få ut erforderliga uppgifter för skaderegleringen. I regel innebär ett sådant samtycke att den enskilde måste anses ha efter- gett den sekretess som gäller till förmån för honom eller henne (se 14 kap. 4 § sekretesslagen) till förmån för försäkringsgivaren, med följd att uppgifter som utan hinder av sekretesslagen kan lämnas ut till den registrerade även får lämnas ut till den samtycket avser. Vad beträffar AFA så ger den försäkrade i samband med att han eller hon anhängiggör ett försäkringsfall regelmässigt AFA fullmakt/medgivande att från försäkringskassan, Riksförsäkringsverket eller annan myndighet inhämta uppgifter och handlingar som behövs för att AFA ska kunna bedöma den enskildes rätt till försäkringsersättning. Således föreligger i nu nämnda fall ett uttryckligt samtycke från den försäkrade till utlämnande av upp- gifter från de nämnda organen. Samtycket gäller dessutom utlämnande av alla uppgifter som är nödvändiga för skaderegleringen och inte endast de uppgifter som behövs för samordning. En utökning av möjligheterna till utlämnande på medium för automati- serad behandling är dessutom på många sätt ägnad att minska risken för integritetsintrång dels genom att den nuvarande manuella hanteringen av Prop. 2002/03:135 106 uppgifter minskar i allmänhet, dels genom att det kan tänkas leda till att Prop. 2002/03:135 försäkringsbolag i sin skadereglering anknyter till bedömningar av arbetsoförmåga m.m. som gjorts inom den allmänna försäkringen och därigenom inte behöver behandla exempelvis uppgifter som rör hälsa i samma utsträckning som i dag. Mot bakgrund av de ovan redovisade förhållandena måste det bedömas som att det i princip inte föreligger några bärande integritetsskäl för att ifrågasätta en utvidgning av möjligheterna att få ut uppgifter på medium för automatiserad behandling på ett sådant sätt som avses i AFA:s fram- ställningar. En viktig förutsättning är dock den försäkrades samtycke till utlämnande av uppgifter. Om utlämnandet avser känsliga personuppgif- ter enligt 13 § personuppgiftslagen skall samtycket vara uttryckligt. En- ligt regeringens uppfattning är ett skriftligt medgivande av en registrerad till att ett försäkringsbolag från en myndighet inhämtar uppgifter och handlingar som behövs för att AFA ska kunna bedöma den enskildes rätt till försäkringsersättning att anse som ett uttryckligt samtycke. Sammanfattningsvis föreslås alltså att en särskild bestämmelse i lagen om behandling av personuppgifter inom socialförsäkringens administra- tion om att personuppgifter som behövs för skadereglering får lämnas ut på medium för automatiserad behandling till organ som driver försäk- ringsrörelse. Vad som avses med att en uppgift behövs för skadereglering torde i huvudsak bestämmas av försäkringsvillkoren som gäller i det en- skilda fallet. Om dessa förutsätter klarläggande av en viss omständighet så behövs uppgiften för skaderegleringen. En förutsättning för utläm- nande av uppgifter för skadereglering skall dock vara att den försäkrade samtyckt avser utlämnandet känsliga personuppgifter skall samtycket vara uttryckligt till att mottagaren får del av de uppgifter som lämnas ut. Som berörts ovan är en sådan bestämmelse inte i sig sekretessbry- tande. Däremot kan ett samtycke från den registrerade till utlämnande av uppgifter innebära att sekretess till förmån för honom eller henne efter- ges i förhållande till försäkringsgivaren. Det bör dock ankomma på regeringen eller den myndighet regeringen bestämmer att närmare föreskriva vilka uppgifter som skall få lämnas ut.

6.13

Sökbegrepp

6.13.1

Begränsningar för vissa fall

Regeringens förslag : Känsliga personuppgifter eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall inte få användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning i socialförsäkringsdatabasen som omfattar innehållet i fler än en handling som kommit in i anledning av ett ärende eller upprättats i ett ärende skall endast ärendebeteckning eller beteckning på handling få användas som sökbegrepp. Regeringen eller den myndighet regeringen bestämmer meddelar före- skrifter om begränsningar i övrigt av vilka sökbegrepp som får användas. 107

Promemorians förslag: Överensstämmer i huvudsak med regering- ens.

Remissinstanserna: Försäkringskasseförbundet och ett flertal försäk- ringskassor anser att det är viktigt att det säkerställs att det inte sker otillbörliga ingrepp i den personliga integriteten vid behandling av per- sonuppgifter. Övergången till elektroniska akter och ärendehanterings- system gör detta än mer angeläget. Det är emellertid enligt förbundets respektive kassornas uppfattning även viktigt att inte begräsningen av vilka sökgrepp som får användas går ut över kassornas möjligheter att effektivt kunna utnyttja de möjligheter till uppföljning som den tekniska utvecklingen medger. Mot bakgrund av de krav som ställs på socialför- säkringens administration i regleringsbrev m.m. angående uppföljning av fusk och missbruk är det enligt förbundet och kassorna en förutsättning att försäkringskassorna ges möjlighet att använda uppgifter om lagöver- trädelser som sökbegrepp. En variant är att tillåta att sökbegrepp får an- vändas om det är uppenbart att intresset av att sökbegreppen används har företräde framför det intresse som menar att ett användande medför oacceptabla integritetsintrång. Även Östergötlands läns allmänna försäk- ringskassa anser att försäkringskassorna bör ges möjlighet att använda uppgifter om lagöverträdelser som sökbegrepp. Datainspektionen har inget att erinra mot de överväganden som gjorts med hänsyn till de regi- strerades integritet, men föreslår att sökbegränsningarna endast skall gälla vid sökning efter en handling. Riksskatteverket anför att den före- slagna sökbegränsningen beträffande sökning i handlingar som kommit in i ett ärende eller som har upprättats i ett ärende är mycket långtgående. För det första hindrar bestämmelsen sökning efter handlingar utifrån andra sökbegrepp. Det kan enligt verkets uppfattning ifrågasättas om inte sökbegreppen bör utökas till de uppgifter som enligt 15 kap. 1 § 

14

 sek- retesslagen (1980:100) skall framgå av ett diarium. För det andra hindrar bestämmelsen sökning i en viss handling, till och med när en handläg- gare väl har tagit fram den på sin bildskärm. Enligt verkets mening kan begränsningen i detta avseende antas hindra effektivitet vid handläggning av ärenden utan att kunna motiveras av hänsyn till den enskildes behov av integritetsskydd.

Skälen för regeringens förslag: I en databas eller annan textmassa som lagrats på medium för automatiserad behandling är det möjligt att genom att ange ett begrepp i en s.k. sökmotor söka igenom den lagrade informationen och hitta de poster eller uppgiftskonstellationer där be- greppet förekommer (enkel sökning). Med användande av enkel sökning är det alltså ofta möjligt att snabbt göra en sammanställning av exempel- vis förekomsten av vissa känsliga personuppgifter i en databas och där- igenom även att göra en sammanställning av dessa uppgifter. Är en myn- dighets samlingar av elektroniskt lagrade personuppgifter tillgängliga för sökning utan några begränsningar, uppkommer utan tvivel betydande ris- ker för otillbörliga intrång i enskildas integritet. Detta har medfört att man i registerlagstiftning i regel även har regler som begränsar hur sök- ning får ske i myndigheternas system för automatiserad behandling. Så- dana begränsningar bör finnas även i den nya lagen. Vid bedömningen av vilka sökbegrepp som bör vara tillåtna vid sök- ning i socialförsäkringsdatabasen måste enligt regeringens uppfattning en avvägning göras mellan effektivitetskrav och risken för integritetsin- Prop. 2002/03:135 108 trång. Något generellt förbud mot sökning i databasen är naturligtvis inte motiverat. Ofta kan en sökmotor vara ett värdefullt redskap vid automati- serad behandling, utan att det på något sätt kan innebära risker för integ- riteten. Den nya tekniken bör kunna tas i anspråk i alla de fall när det inte skulle innebära en icke acceptabel risk för otillbörliga integritetsintrång. Reglerna om sökning bör alltså i princip ta sikte direkt på sådana typer av sökning som kan medföra särskilda integritetsrisker. I vissa sådana fall måste integriteten ges företräde även om goda skäl kan anföras för mot- satsen. Försäkringskasseförbundet och ett flertal försäkringskassor har påtalat ett behov av att använda uppgifter om lagöverträdelser som sök- begrepp. Regeringen kan dock inte utifrån de skäl som anförts till stöd för detta finna att tillräckliga motiv skulle föreligga för att sådana integ- ritetskänsliga behandlingar skulle vara tillåtna. Liksom föreslagits i pro- memorian anser regeringen således att känsliga personuppgifter eller så- dana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen inte skall få användas som sökbegrepp vid sökning i socialför- säkringsdatabasen. Hantering av sådana personuppgifter innebär typiskt sett alltid en risk för integritetsintrång. Det finns ett legitimt behov av att för bl.a. uppföljningsändamål göra sammanställningar av uppgifter som kan komma att hämtas från elektro- niska handlingar. Av integritetsskyddsskäl bör detta dock inte ske genom enkel sökning utan genom i särskild ordning framställda handlingar. För att ärendehanteringen skall kunna skötas på ett effektivt sätt är det dock nödvändigt att handläggare ges möjlighet att söka efter såväl ett ärende som enskilda handlingar, t.ex. med angivande av ärendebeteck- ning eller beteckning på en specifik handling. Behandlingen av person- uppgifter i elektroniska akter som hanteras i system för elektronisk ären- dehantering kan emellertid innebära speciella risker för otillbörliga in- trång i den personliga integriteten. Detta har bl.a. sin grund i att i fråga om elektroniskt lagrade handlingar som kommit in eller upprättats i ett ärende, så gäller att de innehållsmässiga begränsningarna för vilka upp- gifter som får behandlas inte kan vara så långtgående som när det gäller annan behandling. Det är därför nödvändigt att ställa upp särskilda be- gränsningar när det gäller sökning som omfattar elektroniskt lagrade handlingar. Sådana begränsningar bör dock, som påtalats av Datainspek- tionen och Riksskatteverket, inte gälla vid sökning i en enstaka handling. I det fallet framstår sökningen inte som en särskild integritetsrisk. Där- emot bör en begränsning gälla vid en sökning som omfattar innehållet i fler än en handling. Vad som avses med sökning som omfattar innehållet i fler än en handling är, att sökmotorn i en sökning som omfattar mer än en enda handling kan hitta matchande begrepp till det sökbegrepp som används även i den text som finns i de enskilda handlingarna. En sökning vid vil- ken detta inte är möjligt omfattas inte av den här föreslagna bestämmel- sen om sökning som omfattar innehållet i fler än en handling. Det är alltså möjligt att använda sig av ett söksystem för att hitta eller sortera elektroniska akter som bygger på begrepp som personnummer, inkomstdatum, ärendeprocess eller bevakningsdatum så länge sökfunk- tionen inte kan läsa av uppgifterna i sådana handlingar eller känsliga per- sonuppgifter eller uppgifter om lagöverträdelser används som sökbe- Prop. 2002/03:135 109 grepp. Därigenom torde de möjligheter som Riksskatteverket föreslagit Prop. 2002/03:135 rörande sökning på uppgifter som skall ingå i ett diarium i vart fall delvis kunna tillgodoses. Regeringen föreslår således att vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen, varmed avses att en sök- motor kan läsa texten i handlingarna och söka efter matchande begrepp, som kommit in i anledning av ett ärende eller upprättats i ett ärende skall endast ärendebeteckning eller beteckning på handling få användas som sökbegrepp. Härutöver kan regeringen eller den myndighet regeringen bestämmer komma att meddela föreskrifter om ytterligare begränsningar för vilka sökbegrepp som får användas.

6.13.2

Sammanställningar av uppgifter

Regeringens förslag : Utan hinder av begränsningarna för sökning i den föreslagna lagen skall personuppgifter som rör hälsa få användas som urvalskriterium vid sammanställningar om regeringen har meddelat föreskrifter om det.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: 

Datainspektionen ifrågasätter om inte det integ- ritetsskydd som åstadkoms genom sökbegränsningar sätts ur spel genom den föreslagna bestämmelsen om att uppgifter som rör hälsa skall få an- vändas som urvalskriterium vid sammanställningar om regeringen har meddelat föreskrifter om det. Riksförsäkringsverket anser att bestämmel- sen om urvalskriterium vid sammanställningar bör utvidgas så att det blir möjligt att som urvalskriterium använda både andra typer av känsliga uppgifter än uppgifter om hälsa och uppgifter om lagöverträdelser m.m. Skälen för regeringens förslag: Utvecklingen inom informationstek- niken har inneburit att nya förutsättningar ständigt skapats för behandling av information för olika ändamål. Det är enligt regeringens mening moti- verat att den nya tekniken på ett annat sätt än i dag skall kunna tas i an- språk för bl.a. uppföljning av utvecklingen inom olika förmånsslag så- som sjukpenningen. I vissa fall är det naturligtvis möjligt att uppnå ett rimligt resultat genom användning av avidentifierade uppgifter, dvs. det är i sådant fall inte fråga om användning av personuppgifter. Emellertid krävs det även att möjligheter finns att behandla personuppgifter för de olika primära ändamålen, bl.a. därför att det i vissa fall handlar om be- handlingar som utgör ett led i handläggningen av individuella ärenden eller uppföljningar av exempelvis långtidssjukskrivning eller utgivandet av andra ersättningar som kräver att individer måste kunna följas under en längre tid.

Vad som avses är att man utifrån registrerade uppgifter skall kunna på ett systematiskt sätt sammanställa kunskap och därigenom kunna utar- beta metoder och instrument för att påverka utvecklingen i en riktning som är till gagn för såväl individerna i socialförsäkringssystemet som hela samhället. Till en del kan detta betecknas som framställning av stati- stik avseende den verksamhet som bedrivs inom socialförsäkringens ad- ministration. Tanken är emellertid att sammanställningar även skall 110 kunna göras som ett led i verksamhet enligt de i punkterna 4 och 5 an- givna ändamålen, dvs. uppgiftssammanställningarna skall ligga direkt till grund för åtgärder i sådan verksamhet, i vissa fall i enskilda ärenden. I vissa sådana fall kan det hävdas att sammanställningarna inte sker för ett i egentlig mening statistiskt ändamål. Genom sammanställningar av det aktuella slaget ges möjligheter för systematisk återkoppling från försäkringskassan till exempelvis olika arbetsplatser eller sjukskrivande läkare. Exempel på områden där beho- vet av detta är starkt är den förebyggande verksamheten inom ohälsoom- rådet och den rehabiliteringsverksamhet som ankommer på de allmänna försäkringskassorna. Detta förutsätter emellertid att automatiserad behandling av känsliga personuppgifter såsom uppgifter som rör hälsa får ske med syfte att upp- rätta olika sammanställningar av sådana uppgifter. I viss utsträckning på- går naturligtvis ett sådant arbete redan i dag, men detta sker huvudsakli- gen manuellt. De möjligheter som informationstekniken ger att effektivt och säkert kunna utvärdera utvecklingen kan i dag inte tas till vara på ett rimligt sätt. Genom övergången till ärendehanteringssystem och elektro- niska akter möjliggörs uppbyggnaden av ett nytt system för samman- ställning av kunskaper om utvecklingen på bl.a. ohälsoområdet. Från de elektroniska akterna kan således för olika syften relevanta uppgifter ex- porteras för användning i bl.a. utvärderings- och uppföljningsarbete. I vissa fall kan det som ovan berörts även vara aktuellt att som ett led i ärendehanteringen sammanställa uppgifter för systematiskt och rationellt arbete med rehabilitering av exempelvis långtidssjukskrivna personer. För att kunna säkerställa ett effektivt utnyttjande av resurserna som är avsatta för rehabilitering är det således nödvändigt att utifrån uppgifter om diagnos etc. kunna analysera de olika behoven av rehabilitering inom gruppen långtidssjukskrivna hos en försäkringskassa och även att välja ut deltagare till olika åtgärder. I ett sådant fall är det alltså fråga om att en sammanställning görs som ett direkt led i handläggningen av ärenden. För att uppnå de beskrivna syftena bör enligt regeringens mening sammanställningar kunna tillskapas genom olika urvals- och uteslut- ningsmetoder, som bygger på att ett dataprogram letar upp vissa begrepp i en databas eller annan uppgiftssamling och utesluter respektive inbegri- per en uppgiftspost i förhållande till en önskad sammanställning, bero- ende på förekomsten av dessa begrepp. Sammanställningen kan sedan genom olika funktioner såsom användning av urvalskriterier m.m. sorte- ras efter de ingående begreppen. På olika sätt omfattar det tekniska förfa- randet vid sammanställning alltså i någon mening sökning bland uppgif- ter. Det är samtidigt enligt regeringens uppfattning i vissa fall nödvändigt att använda uppgifter som rör hälsa som urvalskriterier i ett sådant arbete. Med hänsyn till den ovan föreslagna begränsningen för använd- ning av sökbegrepp vid sökning i socialförsäkringsdatabasen är det på- kallat med en särskild regel som klargör att uppgifter som rör hälsa får användas som urvalskriterier vid sådana sammanställningar utan hinder av de begränsningar som gäller för sökning i allmänhet. Emellertid måste även integritetsaspekten beaktas i detta sammanhang. Enligt regeringens uppfattning bör det inte i den nya lagen, såsom före- slagits av Riksförsäkringsverket, öppnas upp generellt för användning av känsliga uppgifter och uppgifter om lagöverträdelse som urvalskriterier. Prop. 2002/03:135 111 En begränsning till uppgifter som rör hälsa bör gälla. Ett ianspråktagande Prop. 2002/03:135 av personuppgifter för de ändamål som det är fråga om måste vidare ske på ett sätt som är förenligt med människors rätt till skydd för integriteten. Det är således inte tänkbart att tillåta att sådana sammanställningar som avses fritt skall kunna göras oreglerat genom enkel sökning i social- försäkringsdatabasen. Som framgått ovan är avsikten att sökmöjlig- heterna i socialförsäkringsdatabasen skall vara begränsade på olika sätt. En regel som endast medger att vissa uppgifter får användas som urvalskriterier vid sortering av uppgifter i en databas såsom föreslagits i promemorian innebär endast ett mycket begränsat undantag från de föreslagna sökbegränsningarna. Kretsen av personer som skall arbeta med framtagning av sammanställningar av det aktuella slaget bör också på olika sätt begränsas. Ett sätt att uppnå detta är att åtkomst till sam- manställningsfunktionerna i systemet endast kan erhållas vid viss tillde- lad behörighet som anges i ett tekniskt system för kontroll av identitet och behörighet. Det finns alltså ett krav på att verksamheten att samman- ställa kunskaper inom socialförsäkringsområdet på olika sätt är reglerad med hänsyn tagen till integritetsaspekter. I detta sammanhang finns även skäl att erinra om att sekretess enligt sekretesslagen (1980:100) gäller hos allmän försäkringskassa, Premiepensionsmyndigheten och Riksför- säkringsverket i ärende enligt socialförsäkringslagstiftningen för uppgift om någons hälsotillstånd eller andra personliga förhållanden, om det kan antas att den som uppgiften rör eller någon honom eller henne närstående lider men om uppgiften röjs. En sammanställning av hälsouppgifter som avslöjar enskilda personer torde normalt vara föremål för sekretess. Mot bakgrund härav kan regeringen inte instämma i Datainspektionens farhå- gor om att det integritetsskydd som åstadkoms genom sökbegränsning- arna sätts ur spel genom förslaget om att uppgifter som rör hälsa skall få användas som urvalskriterium. Det är inte möjligt att i lag i detalj reglera alla de tänkbara fall där be- hov av sammanställningar av kunskap föreligger. Särskilda övervägan- den krävs för olika fall. Det måste därför ankomma på regeringen att i förordning reglera i vilka fall det skall vara tillåtet att använda uppgifter som rör hälsa som urvalskriterier vid sammanställningar.

6.14

Överföring av personuppgifter till tredje land

Regeringens förslag : Överföring av personuppgifter till tredje land som

är nödvändig på grund av åtaganden i avtal om social trygghet som

Sverige ingått med andra stater skall få ske utan hinder av 33 § person-

uppgiftslagen.

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: Ingen av remissinstanserna har särskilt kommen-

terat förslaget.

Skälen för regeringens förslag: Enligt 33 § personuppgiftslagen är

det förbjudet att till tredje land föra över personuppgifter som är under

behandling om landet inte har en adekvat nivå för skyddet av personupp-

gifterna. Förbudet gäller också överföring av personuppgifter för be-

handling i tredje land. Överföring av uppgifter får enligt 34 § personupp-

112

giftslagen ske om den registrerade har lämnat sitt samtycke till överfö- Prop. 2002/03:135 ringen eller om överföringen är nödvändig för att ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras, rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller vitala intressen för den registrerade skall kunna skyddas. Det är också tillåtet att föra över personuppgifter för användning en- bart i en stat som har anslutit sig till Europarådets dataskyddskonvention. I 35 § personuppgiftslagen anges att regeringen i vissa fall får meddela föreskrifter om undantag från förbudet i 33 § för överföring av person- uppgifter till vissa stater. Dataskyddsdirektivet medger också undantag från förbudet mot överföring av personuppgifter med hänsyn till ett vik- tigt allmänt intresse. Som redovisats ovan anges det i punkt 58 i ingres- sen i direktivet att undantag från förbudet får medges om skyddet av väsentliga samhällsintressen kräver det, till exempel vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter eller mellan socialförsäkringsmyndigheter. Bland de länder med vilka Sverige träffat avtal om social trygghet eller utgivande av sjukvårdsförmåner torde det finnas sådana stater som inte har en adekvat nivå för skyddet av personuppgifter. I de flesta fall torde dock de ovan redovisade undantagen i personuppgiftslagen från förbudet vara tillämpliga i fråga om utlämnande av uppgifter på grund av något av de internationella avtalen. Emellertid kan det i avtalen även förekomma skyldigheter att lämna ut uppgifter för andra syften än vad som omfattas av dessa undantag. I samtliga tänkbara fall måste det emellertid anses vara ett sådant väsentligt eller viktigt samhällsintresse som avses i artikel 26 respektive ingresspunkt 58 i dataskyddsdirektivet att efterkomma skyldigheter enligt avtalen. Det är därför motiverat att genom en särskild bestämmelse i den föreslagna lagen föreskriva att utlämnande får ske utan hinder av bestämmelserna i 33 § personuppgiftslagen om det är nödvändigt på grund av sådana internationella avtal.

6.15

Information

Regeringens förslag : I fråga om behandling av personuppgifter som om- fattas av lagen om behandling av personuppgifter inom socialförsäkring- ens administration skall bestämmelserna om information till den registre- rade i 23 och 2527 §§ personuppgiftslagen tillämpas, dock med den be- gränsningen att uppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende inte behöver tas med i information enligt 26 § per- sonuppgiftslagen om den registrerade tagit del av handlingens innehåll. Av informationen skall dock framgå vilka sådana handlingar som be- handlas. Om den registrerade begär det och anger vilken handling som avses skall dock informationen, om inte annat följer av bestämmelser om sekretess, även omfatta uppgifter i en sådan handling. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. 113

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har särskilt kommen- terat förslaget.

Skälen för regeringens förslag: Regeringens föreslår en bestämmelse om information som är avsedd att motsvara vad som i dag i detta avse- ende gäller enligt socialförsäkringsregisterlagen. I huvudsak innebär detta att personuppgiftslagens bestämmelser om information skall gälla inom socialförsäkringens administration. Den föreslagna bestämmelsen har dock anpassats till den nya lagens tillämpningsområde. Det är av integritetsskäl angeläget att den enskilde får information om bl.a. att personuppgifter om honom eller henne behandlas, ändamålen för behandlingen, vilka typer av uppgifter som behandlas, vem som är per- sonuppgiftsansvarig och vilka rättigheter den enskilde har i anledning av behandlingen. Bestämmelserna i 2327 §§ personuppgiftslagen innehåller regler om information till den registrerade. Viss sådan information skall lämnas självmant medan annan information endast skall lämnas på begäran. En- ligt 23 § skall, om uppgifter om en person samlas in från personen själv, den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna. Den bestäm- melsen bör gälla också inom socialförsäkringens administration. I 24 § första stycket personuppgiftslagen regleras de situationer då per- sonuppgifterna har samlats in från någon annan källa än från den regi- strerade. Den personuppgiftsansvarige skall i dessa fall självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Om uppgifterna är avsedda att lämnas ut till tredje man, be- höver informationen dock inte ges förrän uppgifterna lämnas ut för första gången. Av paragrafens andra stycke följer emellertid att information enligt första stycket inte behöver lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. I den här föreslagna lagen återfinns regler om registre- ring. Detta innebär för den verksamhet som omfattas av lagen att infor- mation utan att ansökan därom har gjorts endast behöver ske när infor- mationen samlats in från den enskilde själv, om det inte särskilt före- skrivs en längre gående informationsskyldighet än vad som följer av per- sonuppgiftslagen. I 21 § socialförsäkringsregisterlagen finns det i dag bestämmelser om en sådan längre gående informationsskyldighet. Bestämmelserna i fråga härstammar från den registerlagstiftning som gällde innan socialförsäk- ringsregisterlagen, dvs. lagen (1993:747) om sjukförsäkringsregister hos de allmänna försäkringskassorna och lagen (1994:1517) om socialförsäk- ringsregister (se prop. 1996/97:155 s. 85). Enligt 21 § första stycket skall den som är personuppgiftsansvarig för ett socialförsäkringsregister se till att den som är eller avses bli registrerad på lämpligt sätt får information om registret. Informationen skall enligt andra stycket innehålla en be- skrivning av de uppgifter som registret får innehålla samt

1.

upplysning om ändamålen med registret,

2.

de sekretess- och säkerhetsbestämmelser som gäller för registret,

3.

rätten att ta del av uppgifter enligt 26 § personuppgiftslagen,

4.

rätten till rättelse enligt personuppgiftslagen och socialförsäkrings- registerlagen samt

Prop. 2002/03:135 114

5.

de begränsningar i fråga om direktåtkomst, utlämnande av upp- gifter på medium för automatiserad behandling, sökbegrepp och bevarande av uppgifter som gäller för registret.

Lydelsen av 21 § kan ge intryck av att där föreskrivs en i olika avseen- den långtgående skyldighet att ge individuellt anpassad information till de registrerade. Emellertid är tanken med bestämmelserna att informatio- nen inte skall behöva ges individuellt till varje försäkrad inför varje ny registrering av uppgifter om honom eller henne. I stället är avsikten att information skall lämnas genom t.ex. annonser, broschyrer eller anslag i lokalkontorets lokaler eller i informationsrutor etc i de handlingar i ären- den som den enskilde får del av från försäkringskassorna eller Riksför- säkringsverket i samband med att uppgifter till ett register hämtas in från honom eller henne (se prop. 1992/93:193 s. 78, prop. 1994/95:8 s 68, prop. 1996/97:155 s. 85 och prop. 2000/01:69 s. 35). Någon motsvarighet till informationsskyldigheten enligt 24 § personuppgiftslagen är det alltså inte fråga om. Den informationsverksamhet som föreskrivs i 21 § socialförsäkrings- registerlagen, dvs. information till allmänheten om behandlingen av per- sonuppgifter inom socialförsäkringens administration genom t.ex. annon- ser, broschyrer eller anslag i lokalkontorets lokaler har naturligtvis ett värde i sig och bör enligt regeringens bedömning behållas. En sådan skyldighet att tillhandahålla allmänheten information om den behandling av personuppgifter som förekommer inom socialförsäkring- ens administration bör dock inte såsom i dag åvila varje personuppgifts- ansvarig myndighet inom socialförsäkringens administration. Ansvaret bör i stället åvila den myndighet som har en överblick över personupp- giftsbehandlingen och resurser för utformning och genomförande av in- formationsinsatser, nämligen Riksförsäkringsverket. Det kan förutsättas att övriga myndigheter inom socialförsäkringens administration på eget initiativ hjälper till att sprida den information i form av t.ex. broschyrer och affischer som verket har att utforma. Allmänheten bör alltså i framti- den ha rätt att få motsvarande information som i dag enligt 21 § social- försäkringsregisterlagen, men det bör ankomma på Riksförsäkringsverket att ansvara för uppfyllandet av informationsskyldigheten. Det är inte nödvändigt att slå fast det ansvaret i lag, utan en motsvarande bestäm- melse bör i stället tas in i förordningen (1998:739) med instruktion för Riksförsäkringsverket. Avslutningsvis bör i denna del betonas att den föreslagna informa- tionsskyldigheten för Riksförsäkringsverket är avsedd att gälla vid sidan av informationsskyldigheten i personuppgiftslagen. I 26 § personuppgiftslagen finns föreskrifter om den information som skall lämnas efter ansökan. Sådan ansökan skall göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. In- formationen skall ge besked om huruvida personuppgifter som rör den sökande behandlas eller inte behandlas. Om sådana uppgifter behandlas skall skriftlig information lämnas om vilka uppgifter om den sökande som behandlas, varifrån uppgifterna har hämtats, ändamålen med be- handlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Informationen skall lämnas gratis en gång per kalenderår och normalt inom en månad från ansökan. Om det finns sär- skilda skäl för det, t.ex. att personuppgifterna är krypterade, att sökmöj- Prop. 2002/03:135 115 ligheterna är begränsade eller att personuppgifterna är uppdelade på olika register, får informationen lämnas senare, dock senast inom fyra månader från ansökan. Information behöver emellertid inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om uppgifterna har lämnats ut till tredje man om de behandlas enbart för historiska, statistiska eller vetenskapliga ändamål eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under längre tid än ett år. Med löpande text avses härvid information som inte har strukturerats så att sökning av personuppgifter underlättas. Med text som inte har fått sin slutliga utformning avses kon- cept, utkast och liknande. Text som är avsedd att tid efter annan ändras eller kompletteras och aldrig kommer att få någon slutlig utformning om- fattas således inte. Med text som utgör minnesanteckning avses prome- morior och liknande som har tillkommit bara för att bereda något slags ärende. Med behandling för historiska, statistiska eller vetenskapliga än- damål avses detsamma som enligt artikel 6 i dataskyddsdirektivet. Huvudfallet är här att ett utkast eller en minnesanteckning har tagits om hand för arkivering (jfr prop. 1997/98:44 s. 132 ff.). Sparas sådana hand- läggningshjälpmedel som minnesanteckningar och liknande sedan ärendet avgjorts eller annars slutbehandlats, bör den registrerade få ta del av uppgifterna på motsvarande sätt som allmänheten har rätt att ta del av uppgifter i myndigheters minnesanteckningar och liknande som tagits om hand för arkivering (jfr prop. 1997/98:44 s. 84). När det gäller vilken in- formation som måste lämnas den enskilde kan det inte, enligt förarbe- tena, anses krävas att en personuppgiftsansvarig ordnar sina uppgifts- samlingar på ett sådant sätt att det är möjligt att söka fram alla uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat skäl, skulle i själva verket kunna hota den personliga integriteten efter- som det då skulle bli enkelt att kartlägga en person. Skulle det t.ex. fin- nas begränsningar i sökmöjligheterna, kan det inte krävas annat än att den personuppgiftsansvarige utnyttjar de sök- och sammanställnings- möjligheter som denne faktiskt och rättsligt har tillgång till (jfr prop. 1997/98:44 s 82 ff.). Regleringen i personuppgiftslagen innebär att den som en personuppgift rör har rätt att i vissa fall få information i vidare utsträckning än vad som följer av tryckfrihetsförordningen. Rätten enligt tryckfrihetsförordningen att få ta del av uppgifter rör ju bara all- männa handlingar. Allmänt gäller dock att informationsskyldigheten en- ligt personuppgiftslagen, både vad avser den information som skall ges självmant och den som skall ges efter ansökan, viker för sekretess. Föreskrifterna i 23 och 2527 §§ personuppgiftslagen gäller enligt 20 § socialförsäkringsregisterlagen i princip även personuppgifter som be- handlas i socialförsäkringsregister. En motsvarande ordning följer emel- lertid redan av personuppgiftslagen och 4 § i den föreslagna lagen och detta behöver därför inte särskilt anges i den föreslagna lagen. För sådana handlingar som avses i 11 § socialförsäkringsregisterlagen dvs. hand- lingar i elektroniska akter m.m. gäller dock i dag den begränsningen att uppgifter i sådana handlingar inte behöver tas med i information enligt 26 § personuppgiftslagen. Däremot skall av informationen framgå vilka Prop. 2002/03:135 116 handlingar avseende den registrerade som finns i registret. Den enskilde Prop. 2002/03:135 ges dock möjlighet att få information även om uppgifter som behandlas i sådana handlingar om han eller hon särskilt begär det. Eftersom en en- skild normalt inte vet vilka sådana handlingar som finns registrerade gäller ettårsbegränsningen, avseende rätten att gratis få information som finns i 26 § personuppgiftslagen, för varje handling för sig. Den enskilde kan då först lämna en allmän ansökan om information enligt 26 § och därefter, när han eller hon fått vetskap om vilka handlingar som finns i registret som omfattas av 11 § socialförsäkringsregisterlagen, ansöka om och få information om de handlingar han eller hon då närmare anger. Detta innebär naturligtvis inte att den enskilde inte redan från början kan ange att ansökan även avser samtliga handlingar som avses i 11 § social- försäkringsregisterlagen. De allmänna begränsningarna i personupp- giftslagen om personuppgifter i löpande text och minnesanteckningar m.m. samt de begränsningar som följer av sekretess mot den enskilde gäller naturligtvis även i detta avseende. I 29 § personuppgiftslagen finns bestämmelser om s.k. automatiserade beslut. Om ett beslut som har rättsliga följder för en fysisk person eller annars har märkbara verkningar för den fysiska personen, grundas enbart på automatiserad behandling av sådana personuppgifter som är avsedda att bedöma egenskaper hos personen, skall den som berörs av beslutet ha möjlighet att på begäran få beslutet omprövat av någon person. Var och en som varit föremål för ett sådant beslut som avses i första stycket har rätt att på ansökan få information från den personuppgiftsansvarige om vad som har styrt den automatiserade behandling som lett fram till be- slutet. I fråga om ansökan och lämnandet av information gäller i tillämp- liga delar bestämmelserna i 26 §. Eftersom personuppgiftslagen gäller vid behandling av personuppgifter inom de verksamheter som omfattas av den nya lagen, om inte annat följer av den nya lagen eller föreskrifter som meddelas i enlighet med den lagen eller personuppgiftslagen är även 29 § personuppgiftslagen tillämplig i fråga om behandling av personupp- gifter inom socialförsäkringens administration. Emellertid har det inte framkommit några indikationer på att det förekommer automatiska beslut i den mening som avses i personuppgiftslagen inom socialförsäkringens administration.

6.16

Gallring

Regeringens förslag : Personuppgifter som behandlas automatiserat skall

gallras när de inte längre är nödvändiga för de ändamål som anges i 7 §.

Regeringen eller den myndighet regeringen bestämmer får dock meddela

föreskrifter om att uppgifter får bevaras för historiska, statistiska och

vetenskapliga ändamål.

Promemorians förslag: Överensstämmer i huvudsak med regering-

ens.

Remissinstanserna: Kammarrätten i Sundsvall har anfört att förslaget

till gallringsregel skulle kunna anses strida mot dataskyddsdirektivet

genom att regeringen eller den myndighet som regeringen bestämmer får

föreskriva att uppgifterna skall bevaras. Enligt kammarrättens mening

117

bör huvudprinciperna för gallring anges i lagstiftningen. Datainspektio- nen förutsätter att de myndighetsföreskrifter som avses komplettera be- stämmelsen om gallring ger tydlig vägledning när det gäller frågan om när uppgifterna skall gallras och hur gallringsbedömningen skall göras. Riksförsäkringsverket föreslår att bemyndigandet för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om bevarande av handlingar eller uppgifter utvidgas till att gälla även gallring. Premie- pensionsmyndigheten tillstyrker den föreslagna bestämmelsen om gall- ring. Riksarkivet föreslår att huvudregeln i förslaget till registerförfatt- ning skall vara bevarande, med möjlighet för regeringen eller den myn- dighet som regeringen föreskriver att föreskriva om gallring. Det är Riksarkivets uppfattning att socialförsäkringsområdet är så väsentligt för den enskilde och rör så stora värden att gallring inom området måste ske efter en samlad bedömning av en myndighet som har ett långsiktigt per- spektiv. Den enskildes integritet bör enligt Riksarkivets mening i första hand skyddas på annat sätt än genom att allmänna handlingar gallras, t.ex. genom sökbegränsningar eller ett utökat sekretesskydd. Enligt Riks- arkivets uppfattning finns det, åtminstone inom vissa verksamheter, an- ledning att ifrågasätta sanningen i att den enskildes integritet bäst skyd- das genom att uppgifter utplånas. Sådana områden är både den rättski- pande verksamheten och socialförsäkringens administration. Det är ett vitalt intresse att allmänna handlingar som kommer från rättskipningen bevaras så att kraven i tryckfrihetsförordningen och arkivlagen kan upp- fyllas. Flera uppmärksammade frågor de senaste åren visar att det kan ligga i den enskildes intresse att arkiven bevaras även om de innehåller mycket känsliga uppgifter. Att uppgifter bevaras innebär att den enskilde i efterhand, också efter många år, har möjlighet att granska makten och kontrollera vilka åtgärder som vidtagits mot honom och vid konstaterade felaktigheter i handläggning eller andra bristfälligheter kunna få upprät- telse. Skälen för regeringens förslag: Med gallring avses här att handlingar eller personuppgifter sorteras ut och förstörs eller utplånas. I personupp- giftslagen saknas uttryckliga regler om gallring. Däremot anges i 9 § punkt i) personuppgiftslagen att personuppgifter inte får bevaras längre än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Enligt 8 § andra stycket personuppgiftslagen gäller dock att myndigheternas bevarande av allmänna handlingar inte hindras av personuppgiftslagen. Personuppgiftslagens reglering innebär alltså i den meningen en prioritering av intresset av att bevara allmänna handlingar framför integritetsintresset. Dataskyddsdirektivet medger enligt regeringens mening en sådan ordning genom ingresspunkt 72, som stadgar att direktivet gör det möjligt att vid genomförandet av bestämmelserna i direktivet ta hänsyn till principen om allmänhetens rätt till tillgång till allmänna handlingar.

Grundläggande bestämmelser om bevarande och gallring av allmänna handlingar hos myndigheter finns i 2 kap. tryckfrihetsförordningen och i arkivlagen (1990:782). Av 1 § arkivlagen följer att lagen skall tillämpas av Riksförsäkringsverket, Premiepensionsmyndigheten och de allmänna försäkringskassorna. Myndigheternas arkiv skall enligt arkivlagen bevaras, hållas ordnade och vårdas så att de tillgodoser Prop. 2002/03:135 118

1.

rätten att ta del av allmänna handlingar,

2.

behovet av information för rättskipningen och förvaltningen, och

3.

forskningens behov.

Huvudregeln i arkivlagen är alltså att de allmänna handlingar som ut- gör en myndighets arkiv skall bevaras i sin helhet. Undantag från detta medges bl.a. genom bestämmelser om gallring i 10 § arkivlagen. Vid gallring enligt arkivlagen skall dock alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna till- godose de ändamål som anges i punkterna 13 ovan. Statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsfö- reskrifter finns i lag eller förordning, se 14 § arkivförordningen (1991:446). I arkivlagen finns en bestämmelse med innebörden att undantag från reglerna i den lagen om gallring skall göras om det i lag eller förordning finns avvikande regler om gallring. Sådana gallringsregler återfinns regelmässigt i registerförfattningar och de träder således då i stället för arkivlagens regler om gallring. Oftast är gallringsbestämmelserna i registerförfattningar utformade så att personuppgifterna i fråga skall gall- ras inom en viss tid efter det att exempelvis insamlandet av uppgifter eller avslutandet av ett ärende skett, om det inte finns särskilda före- skrifter om bevarande. Det förekommer dock även att gallringsreglerna i registerförfattningar, i likhet med regleringen i personuppgiftslagen, är ändamålsrelaterade (se exempelvis 7 § lagen [2001:617] om behandling av personuppgifter inom kriminalvården). Dessutom finns det exempel på registerförfattningar där särskilda gallringsregler saknas (se lagen [2001:182] om behandling av personuppgifter i skatteförvaltningens folkbokföringsverksamhet), vilket innebär att arkivlagens regler blir styrande för gallringen av personuppgifter inom tillämpningsområdet för den registerlagen. Gallringsbestämmelserna i 19 § socialförsäkringsregisterlagen har ut- formats så, att det föreskrivs att gallring av uppgifter i socialförsäkrings- register skall ske senast tio år efter det att de registrerades eller inom den kortare tidsfrist som föreskrivs av regeringen eller den myndighet reger- ingen bestämmer. Detta gäller emellertid inte om uppgifterna fortfarande kan antas ha betydelse för handläggning av ett ärende. Handlingar i elektroniska akter skall dock gallras ut senast tre år efter utgången av det år under vilket ärendet avslutades. Regeringen eller den myndighet regeringen bestämmer får föreskriva undantag från dessa bestämmelser för bevarande av ett urval av material för forskningens behov. Det har dock visat sig att de tidsramar som anges i 19 § inte är tillräckliga. Exempelvis har de ansetts inte ligga i linje med de tekniska lösningar för behandling av information, dvs. elektronisk lagring, som med nödvän- dighet och i enlighet med beslut av regering och riksdag valts för exem- pelvis ålderspensionssystemet eller ärendehanteringssystemet med elek- troniska akter. I fråga om socialförsäkringsärenden är det till en början så, att även om den mer aktiva handläggningen av ett ärende i princip har avslutats, så pågår därefter ofta utbetalning av ersättning under ett stort antal år. I vissa fall betalas olika typer av ersättningar till en och samma individ i en aldrig avslutad kedja från vaggan till graven där uppgifter från de in- ledningsvis utgivna ersättningarna på olika sätt kan ligga till grund för Prop. 2002/03:135 119 handläggningen av de senare utgivna ersättningarna. Dessutom kan olika förmånsslag såsom exempelvis sjukpenning och förtidspen- sion/sjukersättning utges parallellt i olika kvotdelar, vilket i sig är ägnat att sträcka ut den tid under vilken en uppgift måste bevaras. Arbetsskadelivränta utges vanligtvis under tiden från beviljandet fram till tidpunkten för ålderspension. Däremot utges yrkesskadelivräntor en- ligt äldre bestämmelser i princip livsvarigt. Samordnings- och ompröv- ningsbestämmelser avseende såväl arbetsskade- som yrkesskadelivräntor påkallar bevarande av såväl underlag för beslut om själva rätten till er- sättning som underlaget för beräkningen av ersättningens storlek under mycket lång tid och i vissa fall livsvarigt. En liknande situation gäller i fråga om systemet för ersättning vid långvarigt nedsatt arbetsförmåga. Som berörts ovan hänger olika förmåner inom socialförsäkringen ofta samman på så sätt att uppgifter som är primärt relevanta för handlägg- ningen av ett ärende om ett visst förmånsslag, efter en lång tid därefter kan vara relevanta för handläggningen av ett annat förmånsslag. Efterle- vandeskyddet, och användningen av den sjukpenninggrundande inkoms- ten vid beräkning av andra förmåner än sjukpenning är ett exempel på detta. Behov av personuppgifter från ärenden som avslutats kan i prakti- ken föreligga i ett efterkommande ärende långt mer än tio år efter det att det första ärendet avslutats. Det är helt enkelt så att några fasta tidsgrän- ser när detta inte längre sker inte finns i regelverket. Av väsentlig betydelse i detta sammanhang är även att det inom socialförsäkringens administration är en nödvändighet att behandla personuppgifter för andra ändamål än ren ärendehandläggning. Således är det en viktig del av arbetet för att komma till rätta med den ökade ohälsan och utvecklingen inom sjukförsäkringen att kunna genomföra ett kvalificerat analys- och uppföljningsarbete som inbegriper behandling av personuppgifter i longitudinella studier som sträcker sig över längre peri- oder. Även detta innebär ett krav på möjligheter till behandling av per- sonuppgifter som går utöver de nu gällande tidsramarna. I fråga om pappersbundna handlingar, som omfattas av de ovan nämnda bestämmelserna i arkivlagen, har mot bakgrund av den i nu be- rört avseende specifika situationen inom socialförsäkringens administra- tion utarbetats en synnerligen omfattande reglering för gallring, i vilken särskilda gallringsbestämmelser angetts för i princip varje förmånsslag (se Riksarkivets föreskrifter och allmänna råd om gallring och återläm- nande av handlingar [RAMS 1996:73] hos Riksförsäkringsverket och de allmänna försäkringskassorna). Den ovan berörda bestämmelsen i arkivlagen om att en myndighets arkiv skall bevaras så att rätten att ta del av allmänna handlingar tillgodo- ses, syftar till att säkerställa den i 2 kap. 1 § tryckfrihetsförordningen an- givna rätten att till främjande av ett fritt meningsutbyte och en allsidig upplysning ta del av allmänna handlingar. Denna rätt kan när det exem- pelvis gäller ett avslutat ärende endast tillgodoses om handlingarna i ärendet verkligen finns bevarade. Övergången till ett sådant system med elektronisk ärendehantering och elektroniska akter som är på väg att in- föras inom de allmänna försäkringskassorna innebär att det pappers- bundna bevarandet av personuppgifter och handlingar ersätts av lagring av personuppgifter och handlingar på medium för automatiserad behand- ling. Prop. 2002/03:135 120 För att den i tryckfrihetsförordningen stadgade rätten att ta del av all- männa handlingar inte skall bli illusorisk krävs naturligtvis i sådant fall att handlingar i viss utsträckning bevaras även med hänsynstagande till denna rätt. Motsvarande bör även gälla i fråga om de övriga intressen som skall beaktas enligt arkivlagens regler. Enligt personuppgiftslagen gäller dessutom att uppgifter eller handlingar bör få bevaras för histo- riska, statistiska eller vetenskapliga ändamål. Sammanfattningsvis innebär dessa omständigheter att en regel om gall- ring med fasta tidsramar av den typ som finns i socialförsäkringsregis- terlagen och som vanligtvis förekommer inom registerlagstiftning inte framstår som helt ändamålsenlig, även om det finns möjligheter att be- sluta om bevarande utöver de angivna tidsramarna. I linje med regleringen i 9 § punkt i) personuppgiftslagen föreslog regeringen därför i lagrådsremissen en gallringsbestämmelse med inne- börden att en uppgift eller handling som behandlas automatiserat skall gallras när den inte längre är nödvändig med hänsyn till de primära ändamålen. En sådan bestämmelse innebär att de personuppgifts- ansvariga måste utarbeta rutiner för återkommande genomgång av myn- digheternas uppgiftssamlingar och bedömning av när olika uppgifter inte längre behövs med hänsyn till ändamålen. Bestämmelsen avsågs kom- pletteras med myndighetsföreskrifter som mer preciserat anger när upp- gifter skall gallras och hur gallringsbedömningen skall göras, och det föreslogs i lagrådsremissen en bestämmelse som erinrar om att reger- ingen eller den myndighet regeringen bestämmer meddelar verkställig- hetsföreskrifter om gallring. En gallringsregel av förevarande slag måste emellertid genom undan- tagsbestämmelser ge utrymme för ett bevarande av personuppgifter med hänsyn till sådana angelägna intressen som arkivlagens bestämmelser syftar till att tillgodose. I syfte att ge utrymme för bevarande för att till- godose de intressen som ligger bakom arkivlagen föreslogs vidare i lag- rådsremissen att regeringen eller den myndighet regeringen bestämmer skulle få föreskriva att handlingar eller uppgifter skulle bevaras.

Lagrådets uppfattning är att den i lagrådsremissen föreslagna särskilda bestämmelsen om gallring har fått en till såväl form som innehåll mindre tillfredsställande utformning. Enligt Lagrådet framstår en bestämmelse som i sak endast slår fast att uppgifter skall gallras när de inte längre är nödvändiga för sitt ändamål som föga upplysande. Lagrådet anser att en sådan bestämmelse knappast tillför något utöver regleringen i 9 § per- sonuppgiftslagen. Lagrådet konstaterar vidare bl.a. att den föreslagna gallringsbestämmelsen innebär att arkivlagens gallrings- och bevarande- bestämmelser inte blir tillämpliga och att det föreslagna bemyndigandet att meddela föreskrifter om att handlingar eller uppgifter skall bevaras inte innehåller några preciseringar av för vilka skäl uppgifter skall beva- ras. Lagrådet ställer sig tvivlande till om de i och för sig något motstri- diga syftena med den föreslagna regleringen blir bättre tillgodosedda med den föreslagna regleringen än om inga särskilda gallringsregler in- förs. Den tänkta huvudregeln om att gallring skall ske är enligt Lagrådet så vag att det kan ifrågasättas om den tillför det integritetsintresse som åberopas som skäl för den något utöver vad som följer av personupp- giftslagen. Lagrådet konstaterar att det blir regeringen eller den myndig- het som regeringen bestämmer som kommer att ge bestämmelsen inne- Prop. 2002/03:135 121 håll. Även de bevarandeintressen som återspeglas i arkivlagens regler av- ses bli tillgodosedda men de av riksdagen fastlagda principerna för detta sätts ur spel och ersätts av ett blankt bemyndigande. Lagrådet anser mot denna bakgrund att en lämpligare lösning vore att inte ha några sär- skilda gallringsbestämmelser utan låta arkivlagens och personuppgifts- lagens regler gälla. Regeringen har viss förståelse för Lagrådets synpunkter. Regleringen i 9 § första stycket i personuppgiftslagen gäller emellertid inte i den ut- sträckningen att det skulle hindra en myndighet att arkivera och bevara allmänna handlingar. Det följer av 8 § andra stycket personuppgiftslagen. Utan en gallringsbestämmelse i en registerlag skulle det således inte fin- nas någon skyldighet att alls gallra personuppgifter i allmänna handlingar som inte längre behövs i verksamheten. Med hänsyn till integritetsintres- set är det enligt regeringens uppfattning nödvändigt att, liksom fallet är i dag enligt socialförsäkringsregisterlagen, ha en regel om gallring i den lagstiftning som avser den automatiserade behandlingen av personupp- gifter inom socialförsäkringens administration. När det gäller utformningen av huvudregeln om gallring har Lagrådet noterat att den till skillnad från bestämmelserna i nuvarande socialför- säkringsregisterlag och andra registerlagar inte anger någon viss tid efter vilken uppgifterna skall gallras. Lagrådet anser att regeln är för vag. Regeringens skäl för att gå ifrån en gallringsregel med en bestämd tids- frist till en som i stället anknyter till ändamålet med behandlingen har redovisats i det föregående. Det finns vidare många exempel på gall- ringsregler i registerlagar som på samma eller liknande sätt anknyter till ändamålet med behandlingen, se 13 § polisdatalagen (1998:622), 15 § lagen (1998:938) om behandling av personuppgifter om totalförsvars- pliktiga, 15 § lagen (1999:90) om behandling av personuppgifter vid skattemyndigheters medverkan i brottsutredningar, 19 § lagen (2001:99) om den officiella statistiken, 22 § lagen (2001:85) om behandling av per- sonuppgifter i Tullverkets brottsbekämpande verksamhet och 7 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården. Mot den redovisade bakgrunden kan regeringen inte finna att den föreslagna gallringsregeln är alltför vag. Vad sedan gäller utformningen av bemyndigandet att föreskriva undantag från gallringsregeln har Lagrådet förordat att det preciseras så att det framgår för vilka ändamål personuppgifter skall få bevaras. Regeringen godtar vad Lagrådet förordat och föreslår i linje med vad som gäller enligt 13 § polisdatalagen, 15 § lagen om behandling av personuppgifter vid skattemyndigheters medverkan i brottsutredningar, 23 § lagen om behandling av personuppgifter i Tullverkets brottsbekämpande verksamhet och 7 § lagen om behandling av personuppgifter inom kriminalvården en bestämmelse om att regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om att uppgifter får bevaras för historiska, statistiska och vetenskapliga ändamål. Härav följer bl.a. att rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov får beaktas, dvs. de ändamål som arkivlagen syftar till att tillgodose (se prop. 1997/98:44 s. 47 f.). Lagrådet har vidare förordat att upplysningen i lagtexten om att reger- ingen eller den myndighet regeringen bestämmer meddelar verkställig- Prop. 2002/03:135 122 hetsföreskrifter om gallring utgår. Regeringen anser att Lagrådets förslag Prop. 2002/03:135 bör följas.

Riksarkivet har anfört att det finns risk för att Riksarkivet, som har att bevaka området bevarande och gallring, inte kommer att ha möjlighet att meddela undantag från gallringsregler i den utsträckning som kan för- väntas för att den i tryckfrihetsförordningen stadgade rätten att ta del av allmänna handlingar inte skall bli illusorisk. Enligt Riksarkivets mening finns det två omständigheter som gör det extra komplicerat att använda den vanliga tekniken med gallring som huvudregel, nämligen att verk- samheten behöver uppgifterna under lång tid samt att verksamhetsom- rådet är svåröverskådligt. Uppgiften att utfärda föreskrifter om undantag från den föreslagna regeln om gallring är enligt regeringens uppfattning utan tvivel en mycket kvalificerad uppgift. Emellertid måste det kunna förutsättas att Riksarkivet med utgångspunkt i arkivlagens bestämmelser och integritetsintresset kommer att utarbeta erforderliga föreskrifter om att personuppgifter i viss utsträckning skall bevaras trots att de inte längre behövs för de ursprungliga ändamålen. Den föreslagna regeln om möjligheter att föreskriva undantag från gallringsregeln torde dessutom ge Riksarkivet det utrymme för egna bedömningar som behövs för denna uppgift.

6.17

Avgifter

Regeringens förslag: Avgifter skall få tas ut för utlämnande av uppgifter

och handlingar från socialförsäkringsdatabasen enligt de närmare före-

skrifter som meddelas av regeringen eller den myndighet regeringen be-

stämmer. Rätten att ta ut avgifter få dock inte innebära inskränkning i

rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en

allmän handling enligt tryckfrihetsförordningen.

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: Södermanlands läns allmänna försäkringskassa

tillstyrker förslaget.

Skälen för regeringens förslag: Elektronisk hantering av uppgifter

och handlingar inom socialförsäkringens administration innebär att det

på ett enkelt sätt är möjligt att överföra information på olika medier till

enskilda och myndigheter. I vissa avseenden innebär dock utlämnande

genom automatiserad behandling eller direktåtkomst ett visst merarbete

och materialkostnader. Det bör därför finnas möjligheter för de berörda

myndigheterna att ta ut avgifter för det merarbete och kostnader i övrigt

som uppkommer i sådana fall. Bestämmelser om att sådana avgifter får

tas ut kan i och för sig beslutas av regeringen i förordning. Lagrådet har

därför ifrågasatt att avgiften skall slås fast i lag samt, för det fall att det

anses att en avgiftsbestämmelse skall finnas i lag, påtalat att det i lagen

bör framgå att rätten att ta ut avgifter inte får inskränka enskildas rätt att

enligt offentlighetsprincipen ta del av allmänna handlingar. Regeringen

konstaterar att en motsvarande regel om avgiftsdebitering tagits in i

registerlagar för andra verksamheter, såsom för skatteförvaltningen,

kronofogdemyndigheterna och Tullverket. Bakgrunden till detta är bl.a.

det förhållandet att riksdagen utifrån vissa utgångspunkter tagit ställning

123

till en enhetlig princip för myndigheternas uttag av avgifter för att i elek- Prop. 2002/03:135 tronisk form tillhandahålla begärda uppgifter (prop. 2000/01:33 s. 119 f.). Enligt regeringens mening bör det redan av lagen framgå att myndigheterna har rätt att ta ut avgifter. De närmare bestämmelserna om avgifter bör dock regleras i förordning eller genom föreskrifter av den myndighet regeringen bestämmer. Lagrådets förslag om att det i lagen bör framgå att rätten att ta ut avgifter inte får inskränka enskildas rätt att enligt offentlighetsprincipen ta del av allmänna handlingar bör enligt regeringens uppfattning följas.

6.18

Skadestånd m.m.

Regeringens förslag: Vid behandling av personuppgifter i strid med

lagen om behandling av personuppgifter inom socialförsäkringens admi-

nistration skall gälla en motsvarande skyldighet att betala skadestånd

som enligt personuppgiftslagen gäller vid behandling av personuppgifter

i strid med den lagen.

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: Ingen av remissinstanserna har särskilt kommen-

terat förslaget.

Skälen för regeringens förslag: Enligt 48 § personuppgiftslagen skall

den personuppgiftsansvarige ersätta en registrerad för skada och kränk-

ning av den personliga integriteten som en behandling av personuppgifter

i strid med personuppgiftslagen har orsakat. Ersättningsskyldigheten kan

i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige

visar att felet inte berodde på honom eller henne. Skadeståndsbestäm-

melserna i personuppgiftslagen gäller framför de allmänna bestämmel-

serna om skadestånd i skadeståndslagen (1972:207). I den mån en fråga

inte är reglerad i personuppgiftslagen skall dock bestämmelserna i ska-

deståndslagen tillämpas. Det gäller exempelvis frågor om beräkning av

ersättningens storlek.

Skillnaden mellan de särskilda bestämmelserna i personuppgiftslagen

och bestämmelserna i skadeståndslagen består främst i att ersättning en-

ligt personuppgiftslagen kan utgå för ren förmögenhetsskada och för

kränkning av den personliga integriteten även om brottslig gärning inte

begåtts. En annan viktig skillnad är att personuppgiftslagens skade-

ståndsbestämmelse bygger på ett i princip strikt skadeståndsansvar me-

dan skadeståndsskyldighet enligt skadeståndslagen förutsätter åtminstone

ett oaktsamt handlande från skadevållarens sida.

Skadeståndsbestämmelserna i personuppgiftslagen gäller dock bara vid

behandling av personuppgifter i strid med bestämmelserna i den lagen.

De är alltså inte tillämpliga vid behandling av personuppgifter i strid med

andra författningar. Ett motsvarande skadeståndsansvar som det som

gäller enligt personuppgiftslagen bör dock finnas även vid behandlingar

som utförs i strid med den här föreslagna lagen. En bestämmelse med

denna innebörd bör därför tas in i den lagen.

Den som bryter mot bestämmelserna i personuppgiftslagen kan inte

bara drabbas av skadestånd. Vissa av lagens bestämmelser är enligt 49 §

personuppgiftslagen även straffsanktionerade. Straffansvaret enligt denna

124

bestämmelse kommer naturligtvis att gälla även vid behandling av per- Prop. 2002/03:135 sonuppgifter i strid med personuppgiftslagens bestämmelser inom social- försäkringens administration, om inte särskilda bestämmelser i den före- slagna lagen trätt i ställe för personuppgiftslagens bestämmelser. Något behov av särskilda straffsanktioner vid överträdelser av reglerna i den föreslagna lagen torde emellertid inte föreligga och någon sådan regel förslås därför inte.

6.19

Rättelse m.m.

Regeringens förslag : Personuppgiftslagens bestämmelser om rättelse, blockering eller utplåning av personuppgifter skall gälla på motsvarande sätt vid behandling av personuppgifter inom socialförsäkringens admi- nistration i strid med den föreslagna lagen.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har särskilt kommen- terat förslaget. Skälen för regeringens förslag: Enligt 28 § personuppgiftslagen gäller att den personuppgiftsansvarige är skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med den lagen eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige skall också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olä- genhet för den registrerade skulle kunna undvikas genom en underrät- telse. Någon sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsin- sats.

Personuppgiftslagens regler om rättelse, blockering eller utplåning av personuppgifter är endast tillämpliga när uppgifter behandlats i strid med den lagen. Har personuppgifter behandlats på något sätt som endast står i strid med en registerförfattning kan alltså inte rättelse, blockering eller utplåning ske med stöd av personuppgiftslagens regler. Den registrerade bör emellertid ha samma möjlighet att få personuppgifter rättade, blocke- rade eller utplånade vid behandling av personuppgifter i strid med den nu föreslagna lagen. Det är därför nödvändigt att ha en särskild bestämmelse om rättelse, blockering och utplåning i den lagen som bör utformas som en hänvisning till personuppgiftslagens bestämmelser.

6.20

Säkerhet m.m.

Regeringens förslag : De allmänna försäkringskassorna, Riksförsäk- ringsverket och Premiepensionsmyndigheten skall åläggas att genom sär- skilda åtgärder kontrollera efterlevnaden av denna lag enligt vad som föreskrivs av regeringen eller den myndighet regeringen bestämmer. 125

Promemorians förslag: Överensstämmer med regeringens.

Prop. 2002/03:135

Remissinstanserna: 

Datainspektionen anför att det av lagförslaget

inte framgår att det är säkerhetsåtgärder som avses med bestämmelsen

samt att det kan ifrågasättas vad innehållet i denna bestämmelse ger för

mervärde jämfört med säkerhetsbestämmelserna i personuppgiftslagen.

Skälen för regeringens förslag: Enligt 31 § personuppgiftslagen skall

den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska

åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna

skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av

a)

de tekniska möjligheter som finns,

b)

vad det skulle kosta att genomföra åtgärderna,

c)

de särskilda risker som finns med behandlingen av personuppgif- terna, och

d)

hur pass känsliga de behandlade personuppgifterna är.

Några särskilda bestämmelser om säkerhet vid automatiserad behand- ling anges inte i socialförsäkringsregisterlagen. Den ökning av automati- serad behandling av känsliga personuppgifter inom socialförsäkringens administration som övergången till elektroniskt ärendehanteringssystem och elektroniska akter medför samt de vidgade möjligheter till behand- ling av känsliga personuppgifter som föreslås i den här föreslagna lagen bör emellertid enligt regeringens uppfattning medföra att det införs en särskild bestämmelse med sikte på datasäkerheten inom socialförsäkring- ens administration. Den föreslagna bestämmelsen innebär en konkretise- ring i aktuellt avseende av personuppgiftslagens bestämmelser om säker- het. Naturligtvis åsidosätts inte dessa bestämmelser genom införandet av en sådan bestämmelse som föreslås. Bestämmelsen bör innefatta ett uttryckligt åläggande för myndighe- terna inom socialförsäkringens administration att kontrollera efterlevna- den av lagen. Företrädesvis bör detta ske genom regelbunden kontroll av loggfiler etc. med syfte att kontrollera att inte sådan sökning eller andra behandlingar skett som står i strid med lagens bestämmelser. Förslaget är naturligtvis inte avsett att innebära någon inskränkning av den tillsyns- verksamhet som utövas av Datainspektionen. De närmare bestämmel- serna om kontrollverksamheten bör emellertid meddelas av regeringen eller den myndighet regeringen bestämmer.

6.21

Tystnadsplikt vid KPA Pension AB

Regeringens förslag : Den som genom sin befattning med uppgifter från

socialförsäkringsdatabasen hos det för kommunerna och landstingen ge-

mensamma organet för administration av personalpensioner får känne-

dom om uppgifter om enskildas ekonomiska och personliga förhållanden

får inte obehörigen röja dessa uppgifter.

Promemorians förslag: Överensstämmer med regeringens.

Remissinstanserna: Ingen av remissinstanserna har särskilt kommen-

terat förslaget.

Skälen för regeringens förslag: Statens pensionsverk och det organ

för administration av personalpensioner som är gemensamt för kommu-

nerna och landstingen (KPA Pension AB) skall även fortsättningsvis

126

medges viss direktåtkomst till personuppgifter som behandlas inom soci- Prop. 2002/03:135 alförsäkringens administration. Dessutom kommer personuppgifter att lämnas ut till de organen på medium för automatiserad behandling. I princip kommer inte den föreslagna lagen att innebära några avgörande skillnader i förhållanden till nuvarande reglering när det gäller omfatt- ningen av de uppgifter som anställda och andra verksamma inom dessa organ faktiskt tar del av. Förhållandena är inte sådana att sekretesslagens regelsystem är tillämpligt i fråga om KPA Pension AB:s verksamhet, jfr 1 kap. 9 § sekretesslagen (1980:100). Därför bör en motsvarighet till nu- varande bestämmelser i 16 § i socialförsäkringsregisterlagen om tyst- nadsplikt införas i den föreslagna lagen.

6.22

Överklagande

Regeringens förslag : En myndighets beslut om rättelse och eller om av- slag på ansökan om information enligt 26 § personuppgiftslagen får över- klagas hos allmän förvaltningsdomstol. Andra beslut får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten.

Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Ingen av remissinstanserna har särskilt kommen- terat förslaget.

Skälen för regeringens förslag: Möjligheterna att överklaga förvalt- ningsbeslut enligt den föreslagna lagen bör motsvara vad som i dag gäller enligt socialförsäkringsregisterlagen. Enligt 21 b § socialförsäkringsregi- sterlagen får en myndighets beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen överklagas hos allmän för- valtningsdomstol. Andra beslut enligt socialförsäkringsregisterlagen får inte överklagas.

6.23

Ikraftträdande- och övergångsbestämmelser

Regeringens förslag : Den nya lagen skall träda i kraft den 1 december 2003. Samtidigt skall socialförsäkringsregisterlagen upphöra att gälla. Bestämmelserna i den nya lagen skall inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling av per- sonuppgifter som utförs för ett visst ändamål om manuell behandling för ändamålet påbörjats före den 24 oktober 1998. Den nya lagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som ett yrkande om skadestånd grundas på har inträf- fat efter det att den nya lagen har trätt i kraft. I annat fall tillämpas de äldre bestämmelserna.

Promemorians förslag: Innebär att den nya lagen skall träda i kraft den 1 november 2003.

Remissinstanserna: 

Riksförsäkringsverket anför att det mot bakgrund av den systemutveckling som pågår inom verket är mycket angeläget att 127 den nya lagen kan träda i kraft vid den i promemorian föreslagna tid- Prop. 2002/03:135 punkten, dvs. den 1 november 2003.

Skälen för regeringens förslag: Lagen om behandling av personupp- gifter inom socialförsäkringens administration föreslås ersätta socialför- säkringsregisterlagen och träda i kraft den 1 december 2003. Tidpunkten för ikraftträdande har justerats något i förhållande till vad som föreslogs i lagrådsremissen mot bakgrund av de tidsramar som är erforderliga för riksdagsbehandlingen. I enlighet med vad som anförts i avsnitt 6.3 bör bestämmelserna i den nya lagen inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som på- börjats före den 24 oktober 1998 eller manuell behandling som utförts för ett visst ändamål om manuell behandling för ändamålet påbörjades före den 24 oktober 1998.

7

Konsekvenser av förslagen

Regeringens bedömning: Den föreslagna lagen möjliggör på olika sätt

såväl en effektivare handläggning inom socialförsäkringens administra-

tion som förbättrade förutsättningar att motverka den negativa utveck-

lingen inom ohälsoområdet och den därmed sammanhängande kraftiga

ökningen av kostnader för förmåner som betalas ut till följd av ohälsan.

Detta kommer på sikt att innebära kostnadsbesparingar. Vid ett genomfö-

rande av förslagen kommer givetvis vissa kostnader för utbildnings- och

informationsinsatser att uppstå. Dessa kostnader är dock inte större än att

de kan täckas inom ramen för myndigheternas ordinarie resursramar.

Promemorians bedömning: Överensstämmer med regeringens.

Skälen för regeringens bedömning: När det gäller anpassningen till

personuppgiftslagen måste det allmänt sett sägas vara en mycket kvalifi-

cerad för att inte säga omöjlig uppgift att närmare uppskatta de långsik-

tiga finansiella konsekvenserna av förslagen. I väsentliga delar såsom

reglerna om informationsskyldighet, skadeståndsskyldighet och rättelse

är socialförsäkringsregisterlagen redan anpassad till personuppgiftslagen.

De förslag som lämnas ansluter i dessa delar i princip helt och hållet till

vad som redan gäller enligt socialförsäkringsregisterlagen. I vissa delar,

såsom exempelvis övergången till en mer ramlagsbetonad lagstiftning,

kan de lämnade förslagen sägas ställa högre krav på kvalificerade be-

dömningar inom de myndigheter som kommer att omfattas av den nya

lagen, vilket dock i sig inte automatiskt föranleder några egentliga kost-

nadsökningar. Å andra sidan har det vid utarbetandet av förslagen varit

en ambition att genom förtydliganden och andra kompletteringar till

reglerna i personuppgiftslagen underlätta myndigheternas beslutsfat-

tande. Förslagen innebär även en ökad flexibilitet i förhållande till kom-

mande tänkbara organisatoriska förändringar inom socialförsäkringen.

Exempelvis gäller detta nya samarbetsformer med gränsöverskridande

insatser mellan olika försäkringskassor.

Det är svårt att identifiera några egentliga tänkbara kostnadsökningar

som följd av de förslag som lämnas med syfte att möjliggöra en utökad

användning av informationstekniken inom socialförsäkringen. I den ut-

128

sträckning som identifierbara kostnadsökningar på något sätt kan knytas Prop. 2002/03:135 till förslagen är det snarast så, att det egentligen är bakomliggande beslut om rationaliserings- och effektiviseringsinsatser inom socialförsäkring- ens administration genom exempelvis övergång till ärendehanterings- system och elektroniska akter som genererat ökningen av kostnader. Däremot möjliggör givetvis förslagen angelägna insatser för såväl effek- tivisering av socialförsäkringens administration som åtgärder mot den negativa utvecklingen inom ohälsoområdet. Därigenom måste förslagen förväntas bidra till besparingar på dessa områden. De informations- och utbildningsinsatser som kommer att vara nöd- vändiga vid ett genomförande av förslagen bedöms inte vara av större omfattning än att finansieringen av dem kommer att kunna rymmas inom ordinarie anslag. 8 Författningskommentar 1 § I paragrafen anges den föreslagna lagens tillämpningsområde. Bestäm- melsen behandlas utförligt i avsnitt 6.3. Lagen skall enligt första stycket tillämpas vid behandling av person- uppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen ankommer på Riksförsäkringsverket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten. Som samlingsbe- grepp för de nämnda myndigheterna används i lagen socialförsäkring- ens administration. Tillämpningsområdet inbegriper vissa fall av be- handling av personuppgifter av administrativ karaktär, exempelvis de fall då ett ärendehanteringssystem innehåller integrerade funktioner för ad- ministrativ uppföljning. Vidare inbegrips användning av administrativa system för utbetalning etc. när det finns en koppling till en person som registrerats i egenskap av försäkrad. Sådan rent administrativ verksamhet som inte på något sätt innefattar behandling av personuppgifter som är hänförliga till kärnverksamheten faller dock utanför lagens tillämpnings- område. I sådana fall är personuppgiftslagen tillämplig. I andra stycket klargörs att tillämpningsområdet även är begränsat till helt eller delvis automatiserad behandling eller behandling av person- uppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Genom denna definition ansluter den föreslagna lagens tillämpningsområde till definitionen av personuppgiftslagens tillämpningsområde i 5 § personuppgiftslagen. Praxis rörande person- uppgiftslagens tillämpningsområde torde således vara vägledande vid bedömning av frågor rörande den föreslagna lagens tillämpningsområde. Genom den föreslagna bestämmelsen omfattas bl.a. behandling i dator av personuppgifter i löpande text eller i form av bilder på individer eller bil- der på textuppgifter om individer av tillämpningsområdet för den före- slagna lagen. Med automatiserad behandling avses i princip behandling i datorer. 129 Genom bestämmelsen i tredje stycket om att vissa angivna bestämmel- ser skall gälla avlidna personer utvidgas den föreslagna lagens tillämp- ningsområde i förhållande till personuppgiftslagen. 2 § Bakgrunden till bestämmelsen avhandlas i avsnitt 6.3. Behandlingar som är tillåtna enligt den föreslagna lagen skall få utföras även om den regi- strerade motsätter sig behandlingen. Om det enligt lagen krävs samtycke är behandlingen naturligtvis inte tillåten om inte samtycke ges. 3 § Bestämmelsen behandlas i avsnitt 6.3. Det kan hävdas att det i 1 § defini- erade tillämpningsområdet omfattar även Riksförsäkringsverkets verk- samhet att utgöra statistikansvarig myndighet inom den officiella statisti- ken (se bilaga till förordningen [2001:100] om den officiella statistiken). I fråga om den verksamheten finns emellertid särskilda bestämmelser om behandling av personuppgifter i lagen (2001:99) om den officiella stati- stiken och till den lagen anslutande författningar. Den föreslagna lagen bör därför inte vara tillämplig i sådan verksamhet. 4 § Bestämmelsen behandlas i avsnitt 6.3. På Lagrådets inrådan har bestäm- melsen flyttats i förhållande till den placering som föreslogs i lagråds- remissen. I bestämmelsen definieras socialförsäkringsdatabasen. Data- basbegreppet är i detta fall en juridisk konstruktion som utgör underlag för en gemensam reglering av vissa behandlingar av personuppgifter, nämligen sådana behandlingar som avser personuppgifter som används gemensamt i verksamheten. Begreppet bygger alltså inte på tekniska av- gränsningar eller utformningar i övrigt av uppgiftshanteringen. Det av- görande för om en uppgift skall anses användas gemensamt är om den behandlas på ett sådant sätt att den utgör allmän egendom i verksam- heten. En viktig utgångspunkt för gränsdragningen är den avsedda om- fattningen av den krets av tjänstemän som på sikt kan förmodas ha behov av uppgiften i fråga som är betingade av deras tjänst. Gränserna för soci- alförsäkringsdatabasen har utförligt berörts i avsnitt 6.3. 5 § Bestämmelsen behandlas i avsnitt 6.3. Som framgår av lydelsen i para- grafen gäller personuppgiftslagen för behandling av personuppgifter inom socialförsäkringens administration om inte avvikande bestämmel- ser finns i den föreslagna lagen eller föreskrifter som meddelas i enlighet med den lagen eller med stöd av personuppgiftslagen. Den föreslagna la- gen omfattar således endast de särbestämmelser och förtydliganden som det bedöms föreligga behov av. 6 § Bestämmelsen har behandlats utförligt i avsnitt 6.4. En myndighet inom socialförsäkringens administration är personuppgiftsansvarig för den be- handling som utförs av myndigheten. Med personuppgiftsansvaret följer en rad skyldigheter enligt såväl personuppgiftslagen som den föreslagna lagen. Ansvaret gäller naturligtvis underlåtenhet att fullgöra de skyldig- Prop. 2002/03:135 130 heterna. Om samma uppgifter om en person förekommer hos olika myn- digheter kan var och en av myndigheterna vara personuppgiftsansvarig för de behandlingar som sker hos respektive myndighet. Personuppgifts- ansvaret begränsas dock av att en myndighet måste ha faktisk möjlighet att kunna påverka behandlingen för att det skall gälla, men för varje be- handling finns det någon myndighet som är personuppgiftsansvarig. Per- sonuppgiftsansvaret enligt den föreslagna lagen innefattar även ett ansvar att följa de bestämmelser som gäller behandlingar av uppgifter om av- lidna personer. 7 § Bestämmelsen behandlas utförligt i avsnitt 6.6. I paragrafen anges de primära ändamålen för behandling av personuppgifter. De primära än- damålen återspeglar i princip de behov av olika behandlingar, såsom in- samling, lagring, utlämnande etc, som förekommer inom den kärnverk- samhet som bedrivs av myndigheterna inom socialförsäkringens admi- nistration. På inrådan av Lagrådet har lydelsen av ändamålet som anges i första stycket 2 ändrats i förhållande till förslaget i lagrådsremissen på så sätt att ordet socialförsäkringsförmåner bytts ut mot förmåner och er- sättningar som nämns i 1 §. Med ändamålet handläggning av ärenden avses inte endast handläggning av ärenden om fastställande av förmåner utan även exempelvis tillsynsärenden. De primära ändamålen ger till- sammans med de i 8 § angivna sekundära ändamålen en ram för vilka behandlingar som är tillåtna. I fråga om innehållet i de olika punkterna i paragrafen hänvisas till avsnitt 6.6. Andra stycket innehåller en begräns- ningsregel med sikte på de referat av vägledande domar eller beslut som avses i punkt 1 i uppräkningen av de primära ändamålen. Begränsnings- regeln innebär att personnummer eller namn på de personer som berörs i referaten måste elimineras. 8 § Bestämmelsen behandlas i avsnitt 6.7. I paragrafen anges de sekundära ändamålen, som återspeglar det huvudsakliga utlämnandet av person- uppgifter som behandlas med stöd av de primära ändamålen från myn- digheterna inom socialförsäkringens administration. I fråga om den när- mare innebörden av de angivna ändamålen hänvisas till avsnitt 6.7. I an- ledning av synpunkter från Lagrådet har andra stycket 1 ändrats i förtyd- ligande syfte. 9 § Bestämmelsen behandlas i avsnitt 6.5. Genom den föreslagna bestäm- melsen klargörs att behandlingar av personuppgifter får ske även för andra ändamål än de i lagen uttryckligen angivna primära eller sekundära ändamålen, förutsatt att dessa inte kan anses oförenliga med det ändamål för vilket uppgifterna samlades in. Givetvis gäller de grundläggande kra- ven i 9 § personuppgiftslagen, däribland finalitetsprincipen, i fråga om all behandling av personuppgifter inom socialförsäkringens administra- tion. Syftet med förevarande paragraf är endast att klargöra att behand- ling av personuppgifter kan ske inom socialförsäkringens administration för andra ändamål än de som uttryckligen anges i 7 och 8 §§. Bestäm- melsen har tillkommit efter påpekande av Lagrådet . De begränsningar Prop. 2002/03:135 131 för behandling av personuppgifter som har ett integritetsskyddande syfte och som tagits in i den föreslagna lagen gäller naturligtvis även de behandlingar som sker för andra ändamål än de som uttryckligen anges i 7 och 8 §§. 10 § Bestämmelsen behandlas i avsnitt 6.8.3. En omarbetning har, bl.a. i an- ledning av synpunkter från Lagrådet , skett av bestämmelsen i förhållan- de till den utformning som föreslogs i lagrådsremissen. I paragrafen ges en ram för i vilken utsträckning känsliga personuppgifter som avses i 13 § personuppgiftslagen skall få behandlas. Denna ram gäller all be- handling av personuppgifter inom den föreslagna lagens tillämpningsom- råde, dvs. oavsett om uppgifterna behandlas i den i 4 § definierade soci- alförsäkringsdatabasen eller ej. I första stycket klargörs att känsliga per- sonuppgifter generellt får behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggningen av ett ärende. Denna regel blir bl.a. aktuell vid handläggning av ärenden i ärendehanteringssystem med elektroniska akter. Även annan ärendehandläggning omfattas dock, exempelvis tillsynsärenden. I verksamhet enligt flertalet av de primära ändamålen i övrigt får endast sådana känsliga personuppgifter som rör hälsa och som är nödvändiga för sådan verksamhet behandlas. Vid behandling enligt de sekundära ändamålen och vid behandling för återsökning av vägledande avgöranden får känsliga uppgifter behandlas om det är nödvändigt med hänsyn till ändamålen. I paragrafen klargörs även att inga andra känsliga personuppgifter än de som samlats in för andra ändamål får behandlas för planering, resultatstyrning, resultatupp- följning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik om det inte är frågan om handläggning av ärenden. 11 § Bestämmelsen behandlas i avsnitt 6.8.4. Paragrafen innehåller vissa ge- nerella begränsningar för behandling av sådana uppgifter om lagöverträ- delser som avses i 21 § personuppgiftslagen. I huvudsak innebär den en motsvarande ordning som enligt 10 § gäller för behandling av känsliga personuppgifter. Liksom 10 § har bestämmelsen, bl.a. i anledning av synpunkter från Lagrådet , omarbetats i förhållande till den utformning som föreslogs i lagrådsremissen. 12 § Paragrafen innehåller en erinran om att utöver de generella begränsningar som anges i 10 och 11 §§ så gäller särskilda begränsningar för behand- ling av känsliga personuppgifter respektive sådana uppgifter om lag- överträdelser som avses i 21 § personuppgiftslagen i socialförsäkrings- databasen. 13 § Bestämmelsen behandlas utförligt i avsnitt 6.9. I bestämmelsen definie- ras den krets av personer beträffande vilka uppgifter får behandlas i soci- alförsäkringsdatabasen. Begreppet ärende i bestämmelsen är avsett att ha samma innebörd som motsvarande begrepp i 7 §. Definitionen av socialförsäkringsdatabasen har på inrådan av Lagrådet placerats i 4 §. Prop. 2002/03:135 132 14 § Bestämmelsen behandlas i avsnitt 6.9.2. Syftet bakom regeln i första stycket är att klargöra att personuppgifter som hör till de angivna katego- rierna får behandlas i socialförsäkringsdatabasen om det sker för de än- damål som anges i 7 och 8 §§. Dock skall de begränsningar som anges i 7 och 13 §§ gälla. I andra stycket anges emellertid en begränsningsregel som innebär att känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) endast skall få behandlas i socialförsäkringsdatabasen i de fall de finns i en handling som upprättats i ett ärende och är nödvändiga för ärendets handläggning eller i en hand- ling som kommit in i ett ärende, eller om det särskilt anges i lag eller i förordning. Gränserna för vad som kan medges i en förordning ges naturligtvis bl.a. av den ram som anges i lagen. Slutligen framgår av andra stycket att regeringen eller den myndighet regeringen bestämmer meddelar föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen. Para- grafen har utformats med beaktande av Lagrådets synpunkter. 15 § Bestämmelsen behandlas i avsnitt 6.9.3. I paragrafen klargörs att upp- gifter i en handling som kommit in i ett ärende får behandlas i socialför- säkringsdatabasen även om de utgör känsliga personuppgifter eller upp- gifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får även behandlas i socialförsäkringsdatabasen, om uppgifterna är nödvän- diga för ärendets handläggning. Bestämmelsen har utformats i enlighet med Lagrådets förslag. 16 § Bestämmelsen behandlas i avsnitt 6.9.4. I paragrafens första stycke anges vissa formkrav för hur tilldelning av behörighet för åtkomst till socialför- säkringsdatabasen skall ske. Sådan tilldelning skall inom socialförsäk- ringens administration ske genom en särskild handling i enlighet med vad som föreskrivs av regeringen eller den myndighet regeringen be- stämmer. Bestämmelsen innebär att tilldelning av behörighet även får ske genom en elektronisk handling. Kravet på särskild handling innebär emellertid ett åliggande för myndigheterna inom socialförsäkringens administration att tilldelningen av behörighet skall vara väl dokumen- terad vad avser såväl information om gränserna för behörigheten som mottagarens emottagande av informationen. Andra stycket i paragrafen innehåller en bestämmelse om vad behörigheten för en viss person får omfatta. 17 § Bestämmelsen behandlas i avsnitt 6.10.2. I paragrafen klargörs att en förutsättning för direktåtkomst till socialförsäkringsdatabasen är att det finns särskilda bestämmelser om den aktuella direktåtkomsten i lag eller förordning. Bestämmelsen har justerats i förhållande till förslaget i lag- Prop. 2002/03:135 133 rådsremissen i anledning av att Lagrådet ifrågasatt huruvida direktåt- komst skall kunna medges genom myndighetsföreskrifter. 18 § Bestämmelsen behandlas i avsnitt 6.10.3. I första stycket regleras direkt- åtkomsten för de olika myndigheterna inom socialförsäkringens admi- nistration. Som allmän förutsättning för sådan direktåtkomst gäller att den skall behövas för verksamhet enligt de primära eller sekundära än- damålen. Att en myndighet har direktåtkomst innebär naturligtvis inte att samtliga anställda hos myndigheten med automatik har tillgång till alla handlingar eller uppgifter i socialförsäkringsdatabasen. Begränsningar för individens åtkomst följer av vilken behörighet som tilldelats honom eller henne. Bestämmelserna i 16 § medför en skyldighet för myndighe- terna att omsorgsfullt överväga omfattningen av de anställdas behörighet för åtkomst till socialförsäkringsdatabasen. Som en allmän begränsning för tilldelning av behörighet gäller bestämmelsen i 16 § andra stycket. Dessutom kommer sannolikt vissa tekniskt betingade begränsningar för direktåtkomsten att gälla. Det sagda innebär dock inte att det för en per- son anställd inom exempelvis en försäkringskassa föreligger hinder för åtkomst till en annan försäkringskassas ärendehanteringssystem, så länge detta kan motiveras utifrån dennes tjänsteåligganden. Av andra stycket i bestämmelsen framgår att regeringen eller den myndighet regeringen bestämmer meddelar föreskrifter om direktåtkomst för myndigheterna inom socialförsäkringens administration. 19 § Bestämmelsen behandlas i avsnitt 6.10.4. I paragrafen anges en motsva- righet till nu gällande bestämmelser i 15 § socialförsäkringsregisterlagen om direktåtkomst till socialförsäkringsregister för Statens pensionsverk och det för kommunerna och landstingen gemensamma organet för ad- ministration av personalpensioner (KPA Pension AB). Bestämmelsen i tredje stycket innebär en särskild skyldighet för de berörda organen att pröva vilka anställda som skall tilldelas behörighet för direktåtkomsten. 20 § Bestämmelsen behandlas i avsnitt 6.10.5. I paragrafen anges en motsva- righet till nu gällande bestämmelser i 14 a § socialförsäkringsregister- lagen om direktåtkomst till socialförsäkringsregister för Centrala studie- stödsnämnden och arbetslöshetskassorna. 21 § Bestämmelsen behandlas i avsnitt 6.11. På förslag av Lagrådet har be- stämmelsen ändrats i förhållande till förslaget i lagrådsremissen så till vida att orden eller handlingar utgått. Av första meningen i paragrafen framgår att personuppgifter om en enskild fysisk person alltid skall få lämnas ut till denne på medium för automatiserad behandling om hinder inte möter på grund av sekretess. Något krav på att den registrerade per- sonligen begär att få ut uppgifter respektive mottar uppgifter på medium för automatiserad behandling ställs inte. Även ett ombud med fullmakt från den registrerade kan alltså framställa en sådan begäran respektive motta uppgifter för den registrerades räkning. För utlämnande av person- Prop. 2002/03:135 134 uppgifter på medium för automatiserad behandling i övrigt gäller en ram som utgörs av de sekundära ändamål som anges i 8 §, inklusive de än- damål som anges i första stycket i den paragrafen. 22 § Bestämmelsen behandlas i avsnitt 6.12.1. Genom vad som föreskrivs i första stycket möjliggörs utlämnande via Internet av personuppgifter från socialförsäkringsdatabasen för gemensam pensionsinformation. Utläm- nande enligt denna bestämmelse förutsätter uttryckligt samtycke från den registrerade. Med hänsyn till att det är den registrerade som själv via Internet begär att uppgifterna skall lämnas ut torde sådant samtycke alltid kunna lämnas i samband därmed på webbplatsen. Av andra stycket fram- går att närmare föreskrifter om vilka uppgifter som får lämnas ut med stöd av paragrafen lämnas av regeringen eller den myndighet regeringen bestämmer. 23 § Bestämmelsen behandlas i avsnitt 6.12.2. Av vad som anges i första stycket följer att personuppgifter som behövs för skadereglering under förutsättning av den registrerades samtycke skall få lämnas ut på medium för automatiserad behandling till organ som driver försäkringsrörelse. Detta innebär även att skannade handlingar som innehåller personupp- gifter får lämnas ut på medium för automatiserad behandling om de an- givna förutsättningarna är uppfyllda. Samtycket skall vara uttryckligt. Bestämmelsen om utlämnande är inte i sig sekretessbrytande. Däremot kan den registrerades samtycke till utlämnande innebära att sekretessen efterges. Av 20 kap. 9 a § lagen om allmän försäkring följer att uppgifter kan lämnas ut till en försäkringsgivare utan hinder av sekretess om upp- giften behövs för samordning. Av andra stycket framgår att närmare föreskrifter om vilka uppgifter som får lämnas ut med stöd av paragrafen lämnas av regeringen eller den myndighet regeringen bestämmer. 24 § Bestämmelsen behandlas i avsnitt 6.13.1. I paragrafen anges begräns- ningar för användningen av sökbegrepp i socialförsäkringsdatabasen. Med sökning avses här i första hand att man genom att ange ett begrepp i en s.k. sökmotor och söka igenom en informationsmängd hittar de poster eller uppgiftskonstellationer där begreppet förekommer. Med använ- dande av sökning är det alltså ofta möjligt att snabbt göra en samman- ställning av exempelvis förekomsten av vissa känsliga personuppgifter i en databas och därigenom även att göra en sammanställning av dessa uppgifter. Genom begränsningar av vilka sökbegrepp som är tillåtna be- gränsas även vad som är att anse som en allmän handling. Känsliga per- sonuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall inte få användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. I tredje stycket anges att regeringen eller den myndighet regeringen bestämmer meddelar föreskrifter om begränsningar i övrigt för vilka Prop. 2002/03:135 135 sökbegrepp som får användas. Ytterligare begränsningar för sökning i socialförsäkringsdatabasen kan alltså komma att föreskrivas. 25 § Bestämmelsen behandlas i avsnitt 6.13.2. Enligt vad som anges i paragra- fen får personuppgifter som rör hälsa utan hinder av vad som anges i 24 § användas som urvalskriterier vid sammanställningar under förutsätt- ning av att regeringen har meddelat föreskrifter om det. Tanken är att sammanställningar i datateknisk mening skall kunna tillskapas genom olika urvals- och uteslutningsmetoder, som bygger på att ett dataprogram letar upp vissa begrepp i en uppgiftssamling och utesluter respektive in- begriper en uppgiftspost i förhållande till en önskad sammanställning, beroende på förekomsten av dessa begrepp. Sammanställningen kan se- dan genom olika funktioner såsom användning av urvalskriterier m.m. sorteras efter de ingående begreppen. På olika sätt omfattar det tekniska förfarandet vid sammanställning alltså i någon mening sökning bland uppgifter. Med hänsyn till de i 24 § angivna begränsningarna för an- vändning av sökbegrepp vid sökning i socialförsäkringsdatabasen behövs det en särskild regel om att uppgifter som rör hälsa får användas som ur- valskriterier. 26 § Bestämmelsen behandlas i avsnitt 6.14. Genom vad som föreskrivs i paragrafen får överföring av vissa personuppgifter ske till andra länder utan hinder av förbudet i 33 § personuppgiftslagen att föra över person- uppgifter till tredje land. 27 § Bestämmelsen behandlas i avsnitt 6.15. Paragrafen innehåller bestäm- melser om skyldigheten att informera den registrerade om behandling av personuppgifter som gäller honom eller henne. Regleringen motsvarar vad som i dag gäller enligt 20 § socialförsäkringsregisterlagen. 28 § Bestämmelsen behandlas i avsnitt 6.16. Med gallring avses att handlingar eller personuppgifter sorteras ut och förstörs eller utplånas. Den i första stycket angivna gallringsbestämmelsen tar över arkivlagens bestämmelser om bevarande och gallring. Regeringen eller den myndighet regeringen bestämmer får enligt bestämmelsen meddela föreskrifter om att personuppgifter får bevaras för historiska, statistiska och vetenskapliga ändamål. Bestämmelserna i paragrafen har utformats med beaktande av Lagrådets synpunkter på förslaget i lagrådsremissen. 29 § Bestämmelsen behandlas i avsnitt 6.17. Genom vad som anges i paragra- fen ges en särskild grund att debitera mottagare för utlämnande av upp- gifter och handlingar från socialförsäkringsdatabasen på medium för automatiserad behandling eller genom direktåtkomst. Rätten att ta ut av- gifter får självklart inte inskränka den enskildes rätt att med stöd av offentlighetsprincipen ta del av allmänna handlingar eller att få informa- Prop. 2002/03:135 136 tion enligt bestämmelserna i personuppgiftslagen. Andra stycket har lagts till i paragrafen i enlighet med Lagrådets förslag. 30 § Bestämmelsen behandlas i avsnitt 6.18 och 6.19. Innebörden av paragra- fen är dels att ett motsvarande skadeståndsansvar som gäller vid behand- ling i strid med personuppgiftslagen skall gälla vid behandling i strid med den föreslagna lagen, dels att personuppgiftslagens bestämmelser i 28 § om rättelse m.m. skall tillämpas även vid behandling av personupp- gifter inom socialförsäkringens administration. 31 § Bestämmelsen behandlas i avsnitt 6.20. Genom vad som föreskrivs i paragrafen åläggs myndigheterna inom socialförsäkringens administra- tion att företa vissa kontroller av efterlevnaden av bestämmelserna i den föreslagna lagen enligt vad som föreskrivs av regeringen eller den myn- dighet regeringen bestämmer. Det innebär ingen begränsning av Data- inspektionens ansvar och befogenheter. 32 § Bestämmelsen behandlas i avsnitt 6.21. Regeln om tystnadsplikt motsva- rar nuvarande bestämmelser i 16 § socialförsäkringsregisterlagen om tystnadsplikt. 33 § Bestämmelsen behandlas i avsnitt 6.22. Prop. 2002/03:135 137 Sammanfattning av förslagen i departementspromemorian En ny lag om behandling av personuppgifter inom socialförsäkringens administration (Ds 2002:60) I departementspromemorian föreslås en ny lag om behandling av person- uppgifter inom socialförsäkringens administration. Den föreslagna lagen är en sådan s.k. registerlag, som utgör ett komplement till personupp- giftslagens (1998:204) bestämmelser om skydd för den personliga integ- riteten vid automatiserad behandling av personuppgifter m.m. med avse- ende på behandling av personuppgifter i myndigheters verksamhet. Lagen skall ersätta socialförsäkringsregisterlagen (1997:934). De centrala delarna i den föreslagna lagen innehåller i huvudsak föl- jande.

-

Lagen skall tillämpas vid behandling av personuppgifter vid Riks- försäkringsverket, de allmänna försäkringskassorna eller Premiepen- sionsmyndigheten (socialförsäkringens administration). Lagen gäller dock endast om behandlingen är helt eller delvis automatiserad eller om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Detta innebär att den föreslagna lagens tillämpningsområde anpassats till personuppgiftslagens tillämpningsområde. Emellertid föreslås att bestämmelserna i den föreslagna lagen om bl.a. ändamål, känsliga uppgifter, gallring, data- bas och sökbegrepp i tillämpliga delar även skall gälla uppgifter om avlidna personer, vilket innebär en utvidgning av tillämpningsområ- det i förhållande till personuppgiftslagens bestämmelser.

-

Den föreslagna lagen utgör endast ett komplement till personupp- giftslagen. Även personuppgiftslagen skall alltså gälla vid behandling av personuppgifter inom de verksamheter som omfattas av den nya lagen, om inte annat följer av den lagen eller föreskrifter som med- delas i enlighet med denna eller personuppgiftslagen.

-

I den föreslagna lagen anges ändamål för behandling av personupp- gifter som på ett övergripande sätt återspeglar den behandling som förekommer. Ändamålen delas in i primära ändamål och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för tillgodoseende av de behov som finns inom socialförsäkringens administration. De sekundära ändamålen avser utlämnande av person- uppgifter från myndigheter inom socialförsäkringens administration. Såväl de primära som de sekundära ändamålen utgör även grunden för ett antal av de föreslagna detaljreglerna med integritetsskyddande syfte.

-

Känsliga personuppgifter som avses i 13 § personuppgiftslagen, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv, skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för hand- läggning av ett ärende. För informationsverksamhet, behov av under- lag för bedömning av rättigheter och skyldigheter, planering, resultat-

Prop. 2002/03:135 Bilaga 1 138 uppföljning, resultatredovisning, utvärdering, tillsyn eller framställ- ning av statistik får endast sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Be- handling för planering, resultatuppföljning, resultatredovisning, ut- värdering, tillsyn eller framställning av statistik får inte ske beträff- ande andra känsliga uppgifter än sådana som behandlas eller har be- handlats för informationsverksamhet, behov av underlag för bedöm- ning av rättigheter och skyldigheter eller handläggning av ärenden. Känsliga personuppgifter får behandlas för återsökning av vägledande avgöranden eller för något av de sekundära ändamålen om det är nödvändigt med hänsyn till ändamålet.

-

Uppgifter om lagöverträdelser avses i 21 § personuppgiftslagen skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggning av ett ärende. För informationsverk- samhet, dokumentation för framtida handläggning, planering, resul- tatuppföljning, resultatredovisning, utvärdering, tillsyn eller fram- ställning av statistik får endast sådana uppgifter om lagöverträdelser behandlas som ligger inom ramen för vad som får behandlas i social- försäkringsdatabasen. Behandling för planering, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får inte ske beträffande andra sådana uppgifter än dem som behandlas eller har behandlats för informationsverksamhet, dokumentation för framtida handläggning eller handläggning av ärenden. Uppgifter om lagöverträdelser avses i 21 § personuppgiftslagen får behandlas för återsökning av vägledande avgöranden eller för något av de sekun- dära ändamålen om det är nödvändigt med hänsyn till ändamålet.

-

Den övergripande regleringen av de mer integritetskänsliga typerna av behandlingar utgår från begreppet socialförsäkringsdatabasen. Det innebär att det s.k. registerbegreppet överges som utgångspunkt för regleringen. Socialförsäkringsdatabasen avser den samling uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt inom socialförsäkringens administration. Begreppet inne- fattar allt från enkla datorregister till avancerade datorsystem som kan hantera elektroniska dokument. Avgörande för att viss behandling av personuppgifter skall omfattas av de särskilda bestämmelser som relaterar till socialförsäkringsdatabasen är om uppgifter eller hand- lingar hanteras för gemensamt bruk inom myndigheterna. För be- handling i socialförsäkringsdatabasen av känsliga personuppgifter respektive sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall särskilda begränsningar gälla.

-

I syfte att möta de integritetsrisker som följer med ett ökat inslag av informationsteknik inom förvaltningen föreslås även vissa regler om ökad datasäkerhet. Tilldelning av behörighet för åtkomst till social- försäkringsdatabasen skall endast ske skriftligen. Den som tilldelas sådan behörighet skall skriftligen informeras om gränserna för behö- righeten. Behörighet för åtkomst till socialförsäkringsdatabasen skall alltid begränsas till den åtkomst till uppgifter som behövs för den en- skildes fullgörande av sina arbetsuppgifter.

-

Direktåtkomst till uppgifter i socialförsäkringsdatabasen skall förut- sätta särskilt medgivande i lag eller annan författning. De allmänna

försäkringskassorna, Riksförsäkringsverket och Premiepensionsmyn- Prop. 2002/03:135 Bilaga 1 139

digheten skall dock få ha direktåtkomst till uppgifter i socialförsäk-

Prop. 2002/03:135

ringsdatabasen i den utsträckning det behövs för verksamhet enligt de

Bilaga 1

primära eller sekundära ändamålen. Statens pensionsverk och det för

kommunerna och landstingen gemensamma organet för administra-

tion av personalpensioner (KPA Pension AB i det följande benämnt

KPA) skall, i den utsträckning som föreskrivs av regeringen eller den

myndighet regeringen bestämmer, få ha direktåtkomst till uppgifter i

socialförsäkringsdatabasen för samordning av tjänstepensioner.

Statens pensionsverk skall, i den utsträckning som föreskrivs av

regeringen eller den myndighet regeringen bestämmer, få ha direktåt-

komst till uppgifter i socialförsäkringsdatabasen även för handlägg-

ning av ärenden i vilka reglerna om statens tjänstegrupplivförsäkring

skall tillämpas. Även Centrala studiestödsnämnden och arbetslöshets-

kassorna skall få ha direktåtkomst till vissa uppgifter i socialförsäk-

ringsdatabasen.

-

Personuppgifter om en enskild fysisk person som får lämnas ut till honom eller henne skall alltid få lämnas ut på medium för automatise- rad behandling till denne själv. Personuppgifter och handlingar som innehåller personuppgifter i socialförsäkringsdatabasen skall i övrigt endast få lämnas ut på medium för automatiserad behandling till myndigheter eller enskilda om det sker i enlighet med de sekundära ändamålen.

-

Personuppgifter i socialförsäkringsdatabasen skall få lämnas ut på medium för automatiserad behandling för sammanställning av ge- mensam pensionsinformation om den registrerade samtyckt till det.

-

Personuppgifter som behövs för skadereglering skall få lämnas ut på medium för automatiserad behandling till organ som driver försäk- ringsrörelse. En förutsättning skall dock vara att den försäkrade sam- tyckt till att mottagaren får del av uppgifterna.

-

Känsliga personuppgifter eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall inte få användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning i handlingar som kommit in i anledning av ett ärende eller upprättats i ett ärende och som lagrats på medium för automatiserad behandling skall endast ärendebeteckning eller beteckning på handling få använ- das som sökbegrepp. Utan hinder av begränsningarna för sökning i den föreslagna lagen skall dock personuppgifter som rör hälsa få an- vändas som urvalskriterium vid sammanställningar om regeringen har meddelat föreskrifter om det.

-

Överföring av personuppgifter till tredje land som är nödvändig på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater skall få ske utan hinder av 33 § personuppgiftslagen.

-

I fråga om automatiserad behandling av personuppgifter som omfat- tas av den nya lagen skall bestämmelserna om information till den registrerade i 23 och 

25-27 §§ personuppgiftslagen tillämpas, dock med den begränsningen att uppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende inte behöver tas med i information enligt 26 § personuppgiftslagen om den registrerade tagit del av handlingens innehåll. Av informationen skall dock framgå vilka så- dana handlingar som behandlas. Om den registrerade begär det och 140

anger vilken handling som avses skall dock informationen, om inte

Prop. 2002/03:135

annat följer av bestämmelser om sekretess, även omfatta uppgifter i

Bilaga 1

en sådan handling. I sistnämnda fall skall begränsningen i 26 § per-

sonuppgiftslagen om att information bara behöver lämnas gratis en

gång per kalenderår gälla varje handling för sig.

-

Vid behandling av personuppgifter i strid med den nya lagen skall gälla en motsvarande skyldighet till skadestånd som enligt person- uppgiftslagen gäller vid behandling av personuppgifter i strid med den lagen.

-

Personuppgift eller handling som behandlas automatiserat skall gall- ras när det inte längre är nödvändigt med hänsyn till de primära än- damålen att bevara den. Regeringen eller den myndighet regeringen bestämmer får dock föreskriva att handlingar eller uppgifter skall be- varas.

-

Personuppgiftslagens bestämmelser om rättelse, blockering eller ut- plåning av personuppgifter skall gälla på motsvarande sätt vid be- handling av personuppgifter inom socialförsäkringens administration i strid med den föreslagna lagen.

-

De allmänna försäkringskassorna, Riksförsäkringsverket och Premie- pensionsmyndigheten åläggs att genom särskilda åtgärder kontrollera efterlevnaden av den nya lagen, enligt vad som föreskrivs av reger- ingen eller den myndighet regeringen bestämmer.

141 Lagförslag i departementspromemorian En ny lag om behandling av personuppgifter inom socialförsäkringens administration (Ds 2002:60) Förslag till lag om behandling av personuppgifter inom socialförsäkringens administration Härigenom föreskrivs följande Prop. 2002/03:135 Bilaga 2 Lagens tillämpningsområde

1 § Denna lag tillämpas vid behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersätt- ningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Riksförsäkringsverket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Bestämmelserna i 613, 22, 23 och 26 §§ gäller i tillämpliga delar även uppgifter om avlidna personer.

2 § Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen.

3 § I fråga om behandling av personuppgifter inom ramen för den offici- ella statistiken finns särskilda bestämmelser i lagen (2001:99) om den officiella statistiken och i författningar som ansluter till den lagen. Be- stämmelsen i 1 § tredje stycket nämnda lag gäller inte i fråga om fram- ställning av statistik inom socialförsäkringens administration. Förhållandet till personuppgiftslagen

4 § Personuppgiftslagen (1998:204) gäller vid behandling av personupp- gifter inom socialförsäkringens administration, om inte annat följer av denna lag eller föreskrifter som meddelas i enlighet med denna lag eller med stöd av personuppgiftslagen. Personuppgiftsansvar

5 § En myndighet inom socialförsäkringens administration är personupp- giftsansvarig för den behandling av personuppgifter som den utför. 142 Primära ändamål

6 § De allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får i sin verksamhet behandla personuppgifter om det är nödvändigt för att

1.

återsöka vägledande avgöranden,

2.

tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om socialförsäkrings- förmåner skall kunna bedömas eller fastställas,

3.

informera om socialförsäkringsförmåner,

4.

handlägga ärenden,

5.

planera, samt göra resultatuppföljning, resultatredovisning, utvärde- ring och tillsyn av respektive verksamhet,

6.

framställa statistik avseende verksamhet enligt 4 och 5.

Vid behandling för det ändamål som anges i första stycket 1 får inte användas uppgifter som direkt pekar ut den registrerade. Prop. 2002/03:135 Bilaga 2 Sekundära ändamål

7 § Personuppgifter som behandlas för ändamål som anges i 6 § får också behandlas av de allmänna försäkringskassorna och Riksförsäkringsverket för tillhandahållande av information som behövs

1.

som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av Centrala studiestödsnämnden och arbetslöshetskassorna,

2.

för samordning av tjänstepensioner i den verksamhet som bedrivs av Statens pensionsverk och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner eller

3.

för handläggning av ärenden som handläggs av Statens pensionsverk

i

vilka reglerna om statens tjänstegrupplivförsäkring skall tillämpas,

De allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får även behandla personuppgifter som behandlas för ändamål som anges i 6 § för att tillhandahålla information till motta- gare utanför den egna myndigheten på grund av

1.

sådan skyldighet att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning,

2.

sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning,

3.

sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen,

4.

åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet eller i avtal om social trygghet eller utgivande av sjukvårdsförmå- ner som Sverige ingått med andra stater.

Behandling av känsliga personuppgifter m.m.

8 § Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) ( känsliga personuppgifter ) får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. 143

För något av de ändamål som anges i 6 § första stycket 2, 3, 5 och 6 får

Prop. 2002/03:135

sådana känsliga personuppgifter behandlas som rör hälsa och som är

Bilaga 2

nödvändiga med hänsyn till ändamålet. I övrigt får känsliga personupp-

gifter inte behandlas för de ändamålen. Behandling för något av de än-

damål som anges i 6 § första stycket 5 och 6 får inte ske beträffande

andra sådana känsliga personuppgifter än dem som behandlas eller har

behandlats för något av de ändamål som anges i 6 § första stycket 24.

Känsliga personuppgifter får behandlas för något av de ändamål som

anges i 6 § första stycket 1 eller 7 § om det är nödvändigt med hänsyn till

ändamålet.

9 § Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp-

giftslagen (1998:204) får behandlas om uppgifterna lämnats till en myn-

dighet inom socialförsäkringens administration i ett ärende eller är nöd-

vändiga för handläggning av ett ärende.

För något av de ändamål som anges i 6 § första stycket 2, 3, 5 och 6 får

sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp-

giftslagen (1998:204) behandlas som enligt 12 § får behandlas i social-

försäkringsdatabasen. I övrigt får sådana uppgifter inte behandlas för de

ändamålen. Behandling för något av de ändamål som anges i 6 § första

stycket 5 och 6 får inte ske beträffande andra sådana uppgifter om lag-

överträdelser än dem som behandlas eller har behandlats för något av de

ändamål som anges i 6 § första stycket 24.

Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgifts-

lagen (1998:204) får behandlas för något av de ändamål som anges i 6 §

första stycket 1 eller 7 § om det är nödvändigt med hänsyn till ändamålet.

10 § I 12 § finns särskilda bestämmelser om behandling av känsliga per-

sonuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 §

personuppgiftslagen (1998:204) i socialförsäkringsdatabasen.

Socialförsäkringsdatabasen

11 § Den samling uppgifter och handlingar som med hjälp av automatise-

rad behandling används gemensamt i verksamhet som avses i 1 § utgör

socialförsäkringsdatabasen.

I socialförsäkringsdatabasen får endast sådana personuppgifter be-

handlas som avser personer som omfattas eller har omfattats av verk-

samhet enligt de ändamål som anges i 6 § eller personer om vilka upp-

gifter på annat sätt behövs för handläggningen av ett ärende.

12 § För de ändamål som anges i 6 och 7 §§ får, med beaktande av de begränsningar som följer av 6, 8, 9 och 11 §§, i socialförsäkringsdataba- sen behandlas identifierings- och adressuppgifter samt uppgifter om

1.

kön,

2.

civilstånd,

3.

medborgarskap,

4.

födelseort,

5.

förekomsten av ansökan eller anmälan i ärenden,

144

6. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för er-

Prop. 2002/03:135

sättningsgrundande förhållanden, i ärenden,

Bilaga 2

7.

grad av nedsatt arbetsförmåga,

8.

förekomsten av intyg och utlåtande av läkare eller annan intygs- givare,

9.

förekomsten av rehabiliteringsutredning eller annan utredning i rehabiliteringsärende samt av fastställd rehabiliteringsplan,

10.

arten av och tidpunkter för föreslagna, planerade och vidtagna rehabiliteringsåtgärder,

11.

förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om bostadsbidrag,

12.

den registrerade får eller har fått vård eller försörjning helt eller delvis på det allmännas bekostnad,

13.

den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt har tagits om hand på det allmännas bekostnad,

14.

den registrerade vistas eller bor i en särskild boendeform enligt socialtjänstlagen (2001:453) eller vistas eller bor på annat liknande sätt,

15.

fråga om återbetalningsskyldighet har uppkommit,

16.

vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till handikappade som den bilstödsberättigade hör till,

17.

att godmanskap eller förvaltarskap är anordnat enligt föräldrabal-

ken,

18.

att en förälder på grund av sjukdom eller handikapp varaktigt sak- nar förmåga att vårda barn,

19.

att den registrerade får aktivitetsstöd enligt 5 § tredje stycket för- ordningen (1996:1100) om aktivitetsstöd,

20.

att den registrerade har rätt till ersättning enligt 

16-22 §§ förord- ningen om aktivitetsstöd,

21.

bevakningsanledning,

22.

anledningen till att ett ärende avslutats.

23.

vårdgivare i ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa

24.

förekomsten av begäran om förhandsprövning enligt förordningen om tandvårdstaxa samt kod för behandlingsförslag som begäran avser,

25.

kod för behandling som avses i förordningen om tandvårdstaxa,

26.

att den registrerade har rätt till ersättning enligt 9, 13 eller 14 § för- ordningen om tandvårdstaxa,

27.

förhållanden som anges i 15 § andra stycket förordningen om tand- vårdstaxa,

28.

förekomsten av remiss i ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa, remitterande vårdgivares namn och nam- net på den vårdgivare till vilken remiss har skett,

29.

patientavgift och tandvårdsersättning.

30.

avgöranden av domstol, Riksförsäkringsverket, Premiepensions- myndigheten eller allmän försäkringskassa som är av betydelse för en-

skilda ärenden såvitt avser uppgifter om utgången, de bestämmelser som

har tillämpats, och huruvida avgörandet har överklagats

31. diagnos,

145

32. läkare som utfärdat intyg som ligger till grund för beslut om ersätt-

Prop. 2002/03:135

ning,

Bilaga 2

33. ekonomiska förhållanden,

34. arbetsgivare,

35. arbetsställe,

36. yrke,

37. bransch där den registrerade är verksam och

38. beslut i ärenden.

Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som

avses i 21 § personuppgiftslagen (1998:204) får utöver vad som anges i

första stycket och 13 § endast behandlas i socialförsäkringsdatabasen om

det särskilt anges i lag eller förordning. Regeringen eller den myndighet

regeringen bestämmer meddelar föreskrifter om ytterligare begränsningar

för vilka uppgifter som får behandlas i socialförsäkringsdatabasen samt

närmare föreskrifter om vilka uppgifter som får behandlas.

13 § En handling som kommit in i ett ärende får behandlas i socialförsäk-

ringsdatabasen och får innehålla känsliga personuppgifter och uppgifter

om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen

(1998:204). En handling som upprättats i ett ärende får behandlas i soci-

alförsäkringsdatabasen och får innehålla sådana uppgifter om de är nöd-

vändiga för ärendets handläggning.

14 § Behörighet för åtkomst till socialförsäkringsdatabasen får endast

tilldelas skriftligen. Den som tilldelas sådan behörighet skall skriftligen

informeras om gränserna för den.

Behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas

till vad som behövs för att den enskilde skall kunna fullgöra sina arbets-

uppgifter.

Direktåtkomst

15 § Direktåtkomst till socialförsäkringsdatabasen är endast tillåten i den

utsträckning som anges i denna lag eller annan författning.

16 § De allmänna försäkringskassorna, Riksförsäkringsverket och Premie-

pensionsmyndigheten får ha direktåtkomst till socialförsäkringsdatabasen

i den utsträckning det behövs för de ändamål som anges i 6 och 7 §§.

Sådan direktåtkomst skall vara förbehållen de personkategorier som på

grund av sina arbetsuppgifter behöver tillgång till uppgifterna.

Regeringen eller den myndighet regeringen bestämmer meddelar när-

mare föreskrifter om direktåtkomst som avses i första stycket.

17 § Statens pensionsverk och det för kommunerna och landstingen ge-

mensamma organet för administration av personalpensioner får ha

direktåtkomst till socialförsäkringsdatabasen för samordning av tjänste-

pensioner med socialförsäkringsförmåner.

146

Statens pensionsverk får ha direktåtkomst till socialförsäkringsdata-

Prop. 2002/03:135

basen för handläggning av ärenden i vilka reglerna om statens tjänste-

Bilaga 2

grupplivförsäkring skall tillämpas.

Bestämmelserna i 14 § och 16 § första stycket andra meningen gäller

också för pensionsverket och det gemensamma organet.

Regeringen eller den myndighet regeringen bestämmer meddelar före-

skrifter om vilka uppgifter direktåtkomst enligt första och andra stycket

får omfatta.

18 § Centrala studiestödsnämnden och arbetslöshetskassorna får ha

direktåtkomst till socialförsäkringsdatabasen i den utsträckning det be-

hövs för ändamål som anges i 7 § första stycket 1.

Regeringen meddelar föreskrifter om vilka uppgifter direktåtkomst en-

ligt första stycket får omfatta.

Utlämnande på medium för automatiserad behandling

19 § Personuppgifter i socialförsäkringsdatabasen som får lämnas ut till

den registrerade får lämnas ut till denne på medium för automatiserad

behandling. Personuppgifter eller handlingar i socialförsäkringsdatabasen

som innehåller personuppgifter får i övrigt lämnas ut på medium för

automatiserad behandling endast om det behövs för något av de ändamål

som anges i 7 §.

Särskilt reglerade behandlingar

20 § Personuppgifter i socialförsäkringsdatabasen får lämnas ut på

medium för automatiserad behandling för sammanställning av gemensam

pensionsinformation om den registrerade uttryckligen samtyckt till ut-

lämnandet.

Regeringen eller den myndighet regeringen bestämmer meddelar när-

mare föreskrifter om vilka uppgifter som får lämnas ut enligt första

stycket.

21 § Personuppgifter som behövs för skadereglering får lämnas ut på

medium för automatiserad behandling till organ som driver försäkrings-

rörelse om den registrerade uttryckligen samtyckt till utlämnandet.

Regeringen eller den myndighet regeringen bestämmer meddelar när-

mare föreskrifter om vilka uppgifter som skall få lämnas ut enligt första

stycket.

Sökbegrepp

22 § Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m.

som avses i 21 § personuppgiftslagen (1998:204) får inte användas som

sökbegrepp vid sökning i socialförsäkringsdatabasen.

Vid sökning i handlingar i socialförsäkringsdatabasen som kommit in

i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller

beteckning på handling användas som sökbegrepp.

147

Regeringen eller den myndighet regeringen bestämmer meddelar före-

Prop. 2002/03:135

skrifter om begränsningar i övrigt för vilka sökbegrepp som får använ-

Bilaga 2

das.

23 § Utan hinder av begränsningarna för sökning som anges i 22 § får

personuppgifter som rör hälsa användas som urvalskriterium vid sam-

manställningar om regeringen har meddelat föreskrifter om det.

Överföring av personuppgifter till tredje land

24 § Överföring av personuppgifter till tredje land på grund av åtaganden

i avtal om social trygghet som Sverige ingått med andra stater får ske

utan hinder av 33 § personuppgiftslagen (1998:204).

Information

25 § Personuppgifter i handlingar i socialförsäkringsdatabasen som

kommit in i ett ärende eller upprättats i ett ärende behöver inte tas med i

information enligt 26 § personuppgiftslagen om den registrerade tagit del

av handlingens innehåll. Av informationen skall det dock framgå vilka

sådana handlingar som behandlas. Om den registrerade begär att infor-

meras om uppgifter i en sådan handling och anger vilken handling som

avses, skall dock informationen omfatta dessa uppgifter, om inte annat

följer av bestämmelser om sekretess. I sistnämnda fall skall begräns-

ningen i 26 § personuppgiftslagen om att information bara behöver läm-

nas gratis en gång per kalenderår gälla varje handling för sig.

Gallring

26 § Personuppgifter eller handlingar som behandlas automatiserat skall

gallras när de inte längre är nödvändiga för de ändamål som anges i 6 §.

Regeringen eller den myndighet regeringen bestämmer får dock före-

skriva att handlingar eller uppgifter skall bevaras.

Avgifter

27 § Avgifter får tas ut för utlämnande av uppgifter och handlingar från

socialförsäkringsdatabasen enligt de närmare föreskrifter som meddelas

av regeringen eller den myndighet regeringen bestämmer.

Rättelse och skadestånd

28 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och

skadestånd gäller vid behandling av personuppgifter enligt denna lag

eller föreskrifter som har meddelats i anslutning till denna lag.

Kontrollverksamhet

29 § De allmänna försäkringskassorna, Riksförsäkringsverket och

Premiepensionsmyndigheten skall genom särskilda åtgärder kontrollera

efterlevnaden av denna lag enligt vad som föreskrivs av regeringen eller

den myndighet regeringen bestämmer.

148

Tystnadsplikt

30 § Den som genom sin befattning med personuppgifter som inhämtats från socialförsäkringsdatabasen till det för kommunerna och landstingen gemensamma organet för administration av personalpensioner får känne- dom om uppgifter om enskildas ekonomiska och personliga förhållanden får inte obehörigen röja dessa uppgifter. Överklagande

31 § En myndighets beslut om rättelse eller om avslag på ansökan om in- formation enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte över- klagas. Prövningstillstånd krävs vid överklagande till kammarrätten.

1.

Denna lag träder i kraft den 1 november 2003, då socialförsäkrings- registerlagen (1997:934) upphör att gälla.

2.

Bestämmelserna i denna lag skall inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling av per- sonuppgifter som utförs för ett visst ändamål om manuell behandling för ändamålet påbörjats före den 24 oktober 1998.

3.

Den nya lagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som ett yrkande om skadestånd grundas på har in- träffat efter det att den nya lagen har trätt i kraft. I annat fall tillämpas de äldre bestämmelserna.

Prop. 2002/03:135 Bilaga 2 149 Förteckning över remissinstanser som avgett yttrande angående departementspromemorian En ny lag om behandling av personuppgifter inom socialförsäkringens administration (Ds 2002:60) Göta hovrätt, Kammarrätten i Sundsvall, Länsrätten i Skåne län, Justitie- ombudsmannen, Justitiekanslern, Riksåklagaren, Datainspektionen, Statskontoret, Statistiska centralbyrån, Riksförsäkringsverket, Social- styrelsen, Handikappombudsmannen, Riksrevisionsverket, Riksskatte- verket, Arbetsgivarverket, Premiepensionsmyndigheten, Centrala studie- stödsnämnden, Riksarkivet, Post- och telestyrelsen, Arbetsmarknads- styrelsen, Arbetslivsinstitutet, Arbetsmiljöverket, Institutet för arbets- marknadspolitisk utvärdering, Statens pensionsverk, KPA Pension AB, Försäkringskasseförbundet, Landsorganisationen i Sverige, Sveriges Akademikers Centralorganisation, Tjänstemännens Centralorganisation, Svenska Läkaresällskapet, Svenskt Näringsliv, Svenska kommunför- bundet, Landstingsförbundet, Arbetslöshetskassornas Samorganisation, Sveriges Försäkringsförbund, AFA, Handikappförbundens Samarbets- organ och Pensionärernas Riksorganisation. Prop. 2002/03:135 Bilaga 3 150 Lagrådsremissens lagförslag Förslag till lag om behandling av personuppgifter inom socialförsäkringens administration Härigenom föreskrivs följande. Lagens tillämpningsområde

1 § Denna lag tillämpas vid behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersätt- ningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Riksförsäkringsverket, de allmänna försäkringskassorna eller Premiepensionsmyndigheten (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Bestämmelserna i 613, 22, 23 och 26 §§ gäller i tillämpliga delar även uppgifter om avlidna personer.

2 § Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen.

3 § I fråga om behandling av personuppgifter inom ramen för den offici- ella statistiken finns särskilda bestämmelser i lagen (2001:99) om den of- ficiella statistiken och i författningar som ansluter till den lagen. Be- stämmelsen i 1 § tredje stycket nämnda lag gäller inte i fråga om fram- ställning av statistik inom socialförsäkringens administration. Förhållandet till personuppgiftslagen

4 § Personuppgiftslagen (1998:204) gäller vid behandling av personupp- gifter inom socialförsäkringens administration, om inte annat följer av denna lag eller föreskrifter som meddelas i enlighet med denna lag eller med stöd av personuppgiftslagen. Personuppgiftsansvar

5 § En myndighet inom socialförsäkringens administration är personupp- giftsansvarig för den behandling av personuppgifter som den utför. Primära ändamål för behandling av personuppgifter

6 § De allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får i sin verksamhet behandla personuppgifter om det är nödvändigt för att 1. återsöka vägledande avgöranden, Prop. 2002/03:135 Bilaga 4 151 2. tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om socialförsäkrings- förmåner skall kunna bedömas eller fastställas,

3.

informera om socialförsäkringsförmåner,

4.

handlägga ärenden,

5.

planera verksamhet samt genomföra resultatstyrning, resultatupp- följning, resultatredovisning, utvärdering och tillsyn av respektive verk- samhet,

6.

framställa statistik avseende verksamhet enligt 4 och 5.

Vid behandling för det ändamål som anges i första stycket 1 får inte uppgifter som direkt pekar ut den registrerade användas. Sekundära ändamål för behandling av personuppgifter

7 § Personuppgifter som behandlas för ändamål som anges i 6 § får också behandlas av de allmänna försäkringskassorna och Riksförsäkringsverket för tillhandahållande av information som behövs

1.

som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av Centrala stu- diestödsnämnden och arbetslöshetskassorna,

2.

för samordning av tjänstepensioner i den verksamhet som bedrivs av Statens pensionsverk och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner eller

3.

för handläggning av ärenden som handläggs av Statens pensionsverk och där reglerna om statens tjänstegrupplivförsäkring skall tillämpas.

De allmänna försäkringskassorna, Premiepensionsmyndigheten och Riksförsäkringsverket får även behandla personuppgifter som behandlas för ändamål som anges i 6 § för att tillhandahålla information utanför den egna myndigheten på grund av

1.

sådan skyldighet att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller annan författning,

2.

sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller annan författning,

3.

sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen,

4.

åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet eller i avtal om social trygghet eller utgivande av sjukvårdsförmå- ner som Sverige ingått med andra stater.

Behandling av känsliga personuppgifter m.m.

8 § Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) ( känsliga personuppgifter ) får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. För något av de ändamål som anges i 6 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. I tillsynsärenden får även andra känsliga personuppgifter behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. I övrigt får känsliga personupp- Prop. 2002/03:135 Bilaga 4 152 gifter inte behandlas för de ändamål som anges i 6 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 6 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har behandlats för något av de ändamål som anges i 6 § första stycket 24.

Känsliga personuppgifter får behandlas för något av de ändamål som anges i 6 § första stycket 1 eller 7 § om det är nödvändigt med hänsyn till ändamålet.

9 § Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) får behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. För något av de ändamål som anges i 6 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) behandlas som enligt 12 § får behandlas i social- försäkringsdatabasen. I tillsynsärenden får även andra sådana uppgifter behandlas om uppgifterna lämnats till en myndighet inom socialförsäk- ringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. I övrigt får sådana uppgifter inte behandlas för de ända- målen. Behandling för något av de ändamål som anges i 6 § första stycket 5 och 6 får inte ske i fråga om andra sådana uppgifter om lag- överträdelser än dem som behandlas eller har behandlats för något av de ändamål som anges i 6 § första stycket 24.

Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgifts- lagen (1998:204) får behandlas för något av de ändamål som anges i 6 § första stycket 1 eller 7 § om det är nödvändigt med hänsyn till ändamålet.

10 § I 12 § finns särskilda bestämmelser om behandling av känsliga per- sonuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) i socialförsäkringsdatabasen. Socialförsäkringsdatabasen

11 § Den samling uppgifter och handlingar som med hjälp av automatise- rad behandling används gemensamt i verksamhet som avses i 1 § utgör socialförsäkringsdatabasen. I socialförsäkringsdatabasen får endast sådana personuppgifter be- handlas som avser personer som omfattas eller har omfattats av verk- samhet enligt de ändamål som anges i 6 § eller personer om vilka upp- gifter på annat sätt behövs för handläggningen av ett ärende.

12 § För de ändamål som anges i 6 och 7 §§ får, med beaktande av de begränsningar som följer av 6, 8, 9 och 11 §§, i socialförsäkringsdata- basen behandlas identifierings- och adressuppgifter samt uppgifter om

1.

kön,

2.

civilstånd,

3.

medborgarskap,

4.

födelseort,

5.

förekomsten av ansökan eller anmälan i ärenden,

Prop. 2002/03:135 Bilaga 4 153

6. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för er-

Prop. 2002/03:135

sättningsgrundande förhållanden, i ärenden,

Bilaga 4

7.

grad av nedsatt arbetsförmåga,

8.

förekomsten av intyg och utlåtande av läkare eller annan intygsgivare,

9.

förekomsten av rehabiliteringsutredning eller annan utredning i re- habiliteringsärende samt av fastställd rehabiliteringsplan,

10.

arten av och tidpunkter för föreslagna, planerade och vidtagna re- habiliteringsåtgärder,

11.

förekomsten av sådan särskild grund för beaktande av högre bo- stadskostnad som avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om bostadsbidrag,

12.

att den registrerade får eller har fått vård eller försörjning helt eller delvis på det allmännas bekostnad,

13.

att den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt har tagits om hand på det allmännas bekostnad,

14.

att den registrerade vistas eller bor i en särskild boendeform enligt socialtjänstlagen (2001:453) eller vistas eller bor på annat liknande sätt,

15.

fråga om återbetalningsskyldighet har uppkommit,

16.

vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till handikappade som den bilstödsberättigade hör till,

17.

att godmanskap eller förvaltarskap är anordnat enligt föräldrabal-

ken,

18.

att en förälder på grund av sjukdom eller handikapp varaktigt sak- nar förmåga att vårda barn,

19.

att den registrerade får aktivitetsstöd enligt 5 § tredje stycket för- ordningen (1996:1100) om aktivitetsstöd,

20.

bevakningsanledning,

21.

anledningen till att ett ärende avslutats,

22.

vårdgivare i ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa,

23.

förekomsten av begäran om förhandsprövning enligt förordningen om tandvårdstaxa samt kod för behandlingsförslag som begäran avser,

24.

kod för behandling som avses i förordningen om tandvårdstaxa,

25.

att den registrerade har rätt till ersättning enligt 9, 13 eller 14 § för- ordningen om tandvårdstaxa,

26.

förhållanden som anges i 15 § andra stycket förordningen om tand- vårdstaxa,

27.

förekomsten av remiss i ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa, remitterande vårdgivares namn och nam- net på den vårdgivare till vilken remiss har skett,

28.

patientavgift och tandvårdsersättning.

29.

avgöranden av domstol, Riksförsäkringsverket, Premiepensions- myndigheten eller allmän försäkringskassa som är av betydelse för en- skilda ärenden i fråga om uppgifter om utgången, de bestämmelser som har tillämpats och huruvida avgörandet har överklagats,

30.

diagnos,

31.

läkare som utfärdat intyg som ligger till grund för beslut om ersätt-

ning,

154

32. ekonomiska förhållanden,

Prop. 2002/03:135

33. arbetsgivare,

Bilaga 4

34.

arbetsställe,

35.

yrke,

36.

bransch där den registrerade är verksam och

37.

beslut i ärenden.

Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får utöver vad som anges i första stycket och 13 § behandlas i socialförsäkringsdatabasen endast om det särskilt anges i denna lag eller annan författning. Regeringen eller den myndighet regeringen bestämmer meddelar föreskrifter om ytterli- gare begränsningar för vilka uppgifter som får behandlas i socialförsäk- ringsdatabasen samt närmare föreskrifter om vilka uppgifter som får be- handlas.

13 § En handling som kommit in i ett ärende får behandlas i socialförsäk- ringsdatabasen och får innehålla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). En handling som upprättats i ett ärende får behandlas i socialförsäk- ringsdatabasen och får innehålla sådana uppgifter om de är nödvändiga för ärendets handläggning. Det gäller även om ärendet avser tillsyn. Tilldelning av behörighet

14 § Behörighet för åtkomst till socialförsäkringsdatabasen skall inom socialförsäkringens administration tilldelas genom en särskild handling i enlighet med vad som föreskrivs av regeringen eller den myndighet re- geringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas till vad som behövs för att den enskilde skall kunna fullgöra sina arbets- uppgifter. Direktåtkomst

15 § Direktåtkomst till socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i denna lag eller annan författning.

16 § De allmänna försäkringskassorna, Riksförsäkringsverket och Pre- miepensionsmyndigheten får ha direktåtkomst till socialförsäkringsdata- basen i den utsträckning det behövs för de ändamål som anges i 6 och 7 §§. Sådan direktåtkomst skall vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om direktåtkomst som avses i första stycket.

17 § Statens pensionsverk och det för kommunerna och landstingen ge- mensamma organet för administration av personalpensioner får ha di- rektåtkomst till socialförsäkringsdatabasen för samordning av tjänstepen- sioner med socialförsäkringsförmåner. 155

Statens pensionsverk får ha direktåtkomst till socialförsäkringsdata-

Prop. 2002/03:135

basen för handläggning av ärenden där reglerna om statens tjänstegrupp-

Bilaga 4

livförsäkring skall tillämpas.

Bestämmelserna i 14 § och 16 § första stycket andra meningen gäller

också för pensionsverket och det gemensamma organet.

Regeringen eller den myndighet regeringen bestämmer meddelar före-

skrifter om vilka uppgifter direktåtkomst enligt första och andra stycket

får omfatta.

18 § Centrala studiestödsnämnden och arbetslöshetskassorna får ha di-

rektåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs

för ändamål som anges i 7 § första stycket 1.

Regeringen meddelar föreskrifter om vilka uppgifter direktåtkomst en-

ligt första stycket får omfatta.

Utlämnande på medium för automatiserad behandling

19 § Personuppgifter i socialförsäkringsdatabasen som får lämnas ut till den registrerade får lämnas ut till denne på medium för automatiserad behandling. Personuppgifter eller handlingar i socialförsäkringsdatabasen som innehåller personuppgifter får i övrigt lämnas ut på medium för au- tomatiserad behandling endast om det behövs för något av de ändamål som anges i 7 §. Särskilt reglerade behandlingar

20 § Personuppgifter i socialförsäkringsdatabasen får lämnas ut på me- dium för automatiserad behandling för sammanställning av gemensam pensionsinformation om den registrerade uttryckligen samtyckt till ut- lämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första stycket.

21 § Personuppgifter som behövs för skadereglering får lämnas ut på medium för automatiserad behandling till organ som driver försäkrings- rörelse om den registrerade uttryckligen samtyckt till utlämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första stycket. Sökbegrepp

22 § Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialför- säkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. 156

Regeringen eller den myndighet regeringen bestämmer meddelar före-

Prop. 2002/03:135

skrifter om begränsningar i övrigt för vilka sökbegrepp som får använ-

Bilaga 4

das.

23 § Utan hinder av de begränsningar för sökning som anges i 22 § får

personuppgifter som rör hälsa användas som urvalskriterium vid sam-

manställningar om regeringen har meddelat föreskrifter om det.

Överföring av personuppgifter till tredje land

24 § Överföring av personuppgifter till tredje land på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater får ske utan hinder av 33 § personuppgiftslagen (1998:204). Information

25 § Personuppgifter i handlingar i socialförsäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende behöver inte tas med i information enligt 26 § personuppgiftslagen om den registrerade tagit del av handlingens innehåll. Av informationen skall det dock framgå vilka sådana handlingar som behandlas. Om den registrerade begär att infor- meras om uppgifter i en sådan handling och anger vilken handling som avses, skall dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess. I sistnämnda fall skall begräns- ningen i 26 § personuppgiftslagen om att information bara behöver läm- nas gratis en gång per kalenderår gälla varje handling för sig. Gallring

26 § Personuppgifter eller handlingar som behandlas automatiserat skall gallras när de inte längre är nödvändiga för de ändamål som anges i 6 §. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om gallring. Regeringen eller den myndighet regeringen bestämmer får dock före- skriva att handlingar eller uppgifter skall bevaras. Avgifter

27 § Avgifter får tas ut för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen enligt de närmare föreskrifter som meddelas av regeringen eller den myndighet regeringen bestämmer. Rättelse och skadestånd

28 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag el- ler föreskrifter som har meddelats i anslutning till denna lag. 157 Kontrollverksamhet

29 § De allmänna försäkringskassorna, Riksförsäkringsverket och Pre- miepensionsmyndigheten skall genom särskilda åtgärder kontrollera ef- terlevnaden av denna lag enligt vad som föreskrivs av regeringen eller den myndighet regeringen bestämmer. Tystnadsplikt

30 § Den som genom sin befattning med personuppgifter som inhämtats från socialförsäkringsdatabasen till det för kommunerna och landstingen gemensamma organet för administration av personalpensioner får känne- dom om uppgifter om enskildas ekonomiska och personliga förhållanden får inte obehörigen röja dessa uppgifter. Överklagande

31 § En myndighets beslut om rättelse eller om avslag på ansökan om in- formation enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte över- klagas. Prövningstillstånd krävs vid överklagande till kammarrätten.

1.

Denna lag träder i kraft den 1 november 2003, då socialförsäkrings- registerlagen (1997:934) upphör att gälla.

2.

Bestämmelserna i denna lag skall inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling av per- sonuppgifter som utförs för ett visst ändamål om manuell behandling för ändamålet påbörjats före den 24 oktober 1998.

3.

Den nya lagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som ett yrkande om skadestånd grundas på har in- träffat efter det att den nya lagen har trätt i kraft. I annat fall tillämpas de äldre bestämmelserna.

Prop. 2002/03:135 Bilaga 4 158

Lagrådets yttrande

Prop. 2002/03:135

Bilaga 5

Utdrag ur protokoll vid sammanträde 2003-05-15

Närvarande : f.d. regeringsrådet Karl-Ingvar Rundqvist, regerings-

rådet Marianne Eliason, justitierådet Severin Blomstrand.

Enligt en lagrådsremiss den 16 april 2003 (Socialdepartementet) har

regeringen beslutat inhämta Lagrådets yttrande över förslag till lag om

behandling av personuppgifter inom socialförsäkringensadministration.

Förslaget har inför Lagrådet föredragits av hovrättsassessorn

Tomas Forenius.

Förslaget föranleder följande yttrande av Lagrådet :

3 §

I paragrafen lämnas en upplysning om att i fråga om behandling av per-

sonuppgifter inom ramen för den officiella statistiken särskilda bestäm-

melser finns i bl.a. lagen (2001:99) om den officiella statistiken. I andra

meningen sägs att bestämmelsen i 1 § tredje stycket i den nu nämnda

lagen inte gäller i fråga om framställning av statistik inom socialförsäk-

ringens administration. I det stycket anges att bestämmelserna om be-

handling av personuppgifter och om gallring skall gälla även vid fram-

ställning av annan statistik än officiell statistik hos en statistikansvarig

myndighet. Riksförsäkringsverket är statistikansvarig myndighet för viss

statistik på socialförsäkringsområdet, se bilagan till förordningen

(2001:100) om den officiella statistiken.

I lagrådsremissen framförs (avsnitt 6.3) som skäl för förslaget i den

aktuella paragrafens andra mening att framställning av annan statistik än

officiell statistik uteslutande bör regleras i den föreslagna lagen. Härige-

nom uppnås enligt regeringen betydligt bättre förutsättningar för preci-

sion och tydlighet i regleringen av sådan statistikframställning.

Ett förslag med den nu angivna innebörden fanns redan i den remitte-

rade departementspromemorian. Riksförsäkringsverket påpekade under

remissbehandlingen att bestämmelsen borde föranleda en ändring i lagen

om den officiella statistiken. Regeringen konstaterar i remissen att en så-

dan ändring förutsätter en bredare översyn än vad som är möjlig i före-

varande lagstiftningsärende.

Enligt Lagrådets uppfattning bör ett undantag från en bestämmelse i en

lag föranlett av att specialbestämmelser finns i en annan lag tas in i den

lag från vilken undantag görs. Att detta kräver en bredare översyn är inte

skäl att nu frångå denna ordning. Frågan om förhållandet mellan lagen

om den officiella statistiken och de olika lagarna om behandling av integ-

ritetskänsliga personuppgifter torde vara av betydelse även i andra fall än

det nu aktuella. Det är angeläget att det finns klara regler om vad som av-

ses gälla på området. Lagrådet förordar att frågan övervägs ytterligare

under ärendets fortsatta beredning.

159 6 och 7 §§ I dessa paragrafer anges ändamål för vilka behandling av personuppgifter får ske. De primära ändamålen specificeras i 6 § genom uppräkning i sex punkter och de sekundära i 7 § genom uppräkning i tre punkter i första stycket och i fyra punkter i andra stycket. Uppbyggnaden och utform- ningen av bestämmelserna ger intryck av att ändamålen är uttömmande angivna. Av den allmänna motiveringen (avsnitt 6.5) framgår emellertid att så inte avses vara fallet. Där framhålls i stället att en detaljerad ända- målsbeskrivning som omfattar alla typer av behandlingar av personupp- gifter med nödvändighet skulle bli mycket svåröverskådlig och att social- försäkringen i sig är en dynamisk verksamhet som ständigt förändras vad avser de olika förmånernas utformning. För socialförsäkringens admi- nistration bedöms det därför inte vara någon lämplig lösning att i en registerlag ange en uttömmande uppräkning av ändamålen. Den uppräk- ning som görs enligt förslaget avses att i förening med regleringen i 9 § första stycket d) och andra stycket personuppgiftslagen (1998:204) tjäna som en ram för vad som är tillåtna behandlingar av personuppgifter. Lagrådet kan inte finna att de föreslagna bestämmelserna sedda för sig eller lästa tillsammans med den allmänna regeln i 4 § om förhållandet till personuppgiftslagen ger klart uttryck för det synsätt som redovisas i mo- tiven. Att bestämmelserna har getts en tillåtande innebörd genom valet av ordet får och att lydelsen avviker från motsvarande reglering i andra registerlagar så till vida, att ordet bara inte infogats före orden om det är nödvändigt . kan knappast anses som tillräckliga markeringar av den avsedda betydelsen. Att föreslå en färdig lösning på hur utformningen skall ändras förut- sätter att olika tänkbara ändamål som inte täcks in av den befintliga upp- räkningen kan överblickas. Lagrådet anser sig inte ha den överblick som fordras och avstår därför från att försöka bidra med förslag till ändringar i detta hänseende. Allmänt kan sägas att det även såvitt avser det nu aktuella området är önskvärt att samtliga ändamål för vilka behandling skall vara tillåten framgår av lagen. Detta skulle också medföra viss för- enkling av de onekligen komplicerade reglerna om i vilka fall behandling skall få ske. 6 § Till de primära ändamål för vilka personuppgifter får behandlas hör en- ligt första stycket 2 tillgodoseende av det behov av underlag som krävs för att rättigheter eller skyldigheter i fråga om socialförsäkringsförmåner skall kunna bedömas eller fastställas och enligt första stycket 3 uppgiften att informera om socialförsäkringsförmåner. I dessa båda punkter nämns således egentliga socialförsäkringsförmåner men inte andra förmåner och ersättningar som enligt huvudbestämmelsen om lagens tillämpningsom- råde (1 § första stycket) också omfattas. Eftersom avsikten inte kan vara att här göra åtskillnad mellan olika slag av verksamheter avseende för- måner och ersättningar som omfattas av lagen bör de nämnda punkterna kompletteras, vilket förslagsvis kan ske genom att ordet socialförsäk- ringsförmåner byts ut mot förmåner och ersättningar som nämns i 1 §. Prop. 2002/03:135 Bilaga 5 160 I första stycket 4 upptas ändamålet att handlägga ärenden. Detta kan uppfattas avse ärendehandläggning i viss avgränsad betydelse, nämligen sådan som avser bestämmande av förmåner och ersättningar som sägs i 1 §, i all synnerhet som tillsynsärenden nämns särskilt på andra ställen i lagen (8, 9 och 13 §§). I författningskommentaren framhålls emellertid att avsikten är att inbegripa inte endast ärenden om fastställande av för- måner utan även exempelvis tillsynsärenden. Enligt Lagrådets mening bör förtydligande ske i punkt 4 eller ändring göras på de ställen där till- synsärenden omnämns så att ordet ärende används med en enhetlig inne- börd i lagen. 7 § Enligt paragrafens andra stycke får socialförsäkringens administration behandla personuppgifter för att tillhandahålla information utanför den egna myndigheten på grund av bl.a. sådan skyldighet att lämna ut upp- gifter som följer av särskilda bestämmelser i lag eller annan författning (punkt 1). I remissen anförs (avsnittt 6.7.2) att bestämmelsen avser sådana för- fattningar som innebär att riksdagen eller regeringen specifikt tagit ställ- ning till att vissa uppgifter skall lämnas ut från en myndighet till en annan. Kravet på ett specifikt ställningstagande uttrycks genom att det skall vara fråga om särskilda bestämmelser. Härigenom klargörs enligt regeringen att bestämmelsen i punkten inte avser utlämnande med stöd av tryckfrihetsförordningen eller mer allmänt hållna föreskrifter om sam- arbete mellan myndigheterna eller om att uppgifter skall lämnas mellan myndigheterna, exempelvis 15 kap. 5 § sekretesslagen (1980:100). De författningar som avses omfattas av punkten är sådana s.k. sekretessbry- tande regler som avses i 14 kap. 1 § sekretesslagen. Lagrådet är inte berett att ansluta sig till att det valda uttrycket kan ges denna innebörd. Tryckfrihetsförordningen talar om varje medborgares rätt att ta del av allmänna handlingar. Detta skulle möjligen inte upp- fattas som en sådan särskild bestämmelse som avses. Motivuttalandet framstår ändå som missvisande i den meningen att det skulle kunna upp- fattas som att något utlämnande enligt tryckfrihetsförordningen av upp- gifter inom socialförsäkringens administration inte skall få ske. Detta kan inte vara avsikten. Uttalandet ger därutöver bl.a. genom hänvisningen till 14 kap. 1 § sekretesslagen intryck av att bestämmelsen endast skulle ta sikte på utlämnande till andra myndigheter. Detta kan dock inte utläsas av lagtexten. Om bestämmelsen avses reglera endast utlämnande till andra myndigheter är tryckfrihetsförordningens bestämmelser över huvud taget inte aktuella, eftersom den endast handlar om enskildas rätt att ta del av allmänna handlingar. Om avsikten är den nu beskrivna, bör lagtexten förtydligas i denna del. Bestämmelsen i 15 kap. 5 § sekretesslagen säger att en myndighet på begäran skall lämna annan myndighet uppgifter. Lagrådet är benäget att anse att en bestämmelse formulerad på det sättet faller in under den nu aktuella paragrafens begrepp skyldighet att lämna ut uppgifter som föl- jer av särskilda bestämmelser. Om avsikten är att utlämnande enligt 15 kap. 5 § inte skall få förekomma av uppgifter inom socialförsäk- Prop. 2002/03:135 Bilaga 5 161 ringens administration är Lagrådet av uppfattningen att detta bör regleras uttryckligen. Det sägs vidare i paragrafen att skyldigheten skall följa av särskilda bestämmelser i lag eller annan författning. Begreppet författning in- kluderar även föreskrifter på myndighetsnivå. Frågan är om avsikten är att sådan skyldighet skall kunna föreskrivas även av myndigheter under regeringen (jfr vad Lagrådet anför under 12 §). För att myndigheter skall få besluta föreskrifter krävs alltid bemyndiganden men dessa är ibland så vida att det inte kan uteslutas att en myndighet inom ramen för ett givet bemyndigande skulle kunna besluta föreskrifter av nu aktuellt slag. Lag- rådet förordar att denna fråga övervägs ytterligare under det fortsatta be- redningsarbetet. 8 § Paragrafen innehåller bestämmelser om i vilken utsträckning sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen får be- handlas. I första stycket föreskrivs att sådana uppgifter får behandlas, om uppgifterna har lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggningen av ett ärende. Bestämmelserna i andra stycket begränsar möjligheterna att be- handla känsliga personuppgifter för andra ändamål som anges i 6 §. Dock görs i andra styckets andra mening undantag för tillsynsärenden; i sådana ärenden får känsliga personuppgifter behandlas, om uppgifterna har lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggningen av ett ärende. Så som andra stycket är utformat har det blivit svårläst. Undantaget i andra meningen avser sådana uppgifter som avhandlas i paragrafens för- sta stycke. Lagrådet förordar att undantaget får utgå och ersättas av en ny andra mening i första stycket med förslagsvis följande lydelse: Sådana uppgifter får behandlas även i ärenden som avser tillsyn. Styckets tredje mening kan i så fall avslutas med orden . för dessa ändamål. 9 § I paragrafen finns bestämmelser om behandling av sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen. Paragrafen är utformad på samma sätt som 8 §. Vad Lagrådet har anfört i anslutning till 8 § aktualiseras också beträffande 9 §. Lagrådet förordar således att andra styckets andra mening får utgå och ersättas av en ny andra mening i första stycket med förslagsvis följande lydelse: Sådana uppgifter får behandlas även i ärenden som avser tillsyn. I paragrafen förekommer ordet socialförsäkringsdatabasen utan nå- gon närmare förklaring. En sådan lämnas först i 11 §. I anslutning till den paragrafen återkommer Lagrådet till frågan hur socialförsäkringsdataba- sen lämpligen bör presenteras i lagen. Prop. 2002/03:135 Bilaga 5 162 11 § I paragrafens första stycke anges vad som utgör socialförsäkringsdata- basen. En databas med denna beteckning har emellertid i lagförslaget omnämnts redan i 9 och 10 §§ utan att ha definierats. Enligt Lagrådets uppfattning bör definitionen flyttas från förevarande paragraf och place- ras in på lämpligt ställe tidigare i lagen. En lämplig plats skulle kunna vara i en särskild paragraf sist i lagens inledande avsnitt, vilket därvid fick rubriceras Lagens tillämpningsområde m.m.. Lagrådet förordar vidare att rubriken närmast före 11 § ges lydelsen Behandling av per- sonuppgifter i socialförsäkringsdatabasen. I den föreslagna definitionen nämns förutom uppgifter, som med hjälp av automatisk behandling används gemensamt i verksamhet som avses i 1 §, även handlingar som används på samma sätt. Att såväl uppgifter som handlingar nämns förklaras i den allmänna motiveringen (avsnitt 6.9.1) främst med att det språkligt sett inte är naturligt eller tillfredsställ- ande att använda sig enbart av begreppet uppgift när man vill täcka in även handlingar som kommit in eller upprättats i ett ärende, särskilt som sådana handlingar kan innehålla ett stort antal komplexa sammanställ- ningar av uppgifter och vissa av handlingarna kommer att vara lagrade i ett fixerat skick så att de ursprungliga uppgifterna däri inte kan elimine- ras eller förvanskas. Lagrådet konstaterar att den föreslagna parallella användningen av uppgifter och handlingar inte förekommer i de motsvarande definitioner på databaser som finns i registerlagar för andra verksamheter, såsom för skatteförvaltningen, kronofogdemyndigheterna, Tullverket och den arbetsmarknadspolitiska verksamheten. Den terminologi som används i dessa lagar svarar bättre mot den i bl.a. personuppgiftslagen och sekre- tesslagen och bör användas även här. I det föreslagna andra stycket nämns personer om vilka uppgifter på annat sätt behövs för handläggning av ett ärende. Av samma skäl som an- förts vid 6 § första stycket 4 kan det behövas en precisering av vilka ärendeslag som åsyftas med bestämmelsen. Lagrådet hänvisar till vad som anförts vid nämnda lagrum. 12 § Regleringen i första stycket avses enligt författningskommentaren klar- göra att personuppgifter som hör till de uppräknade kategorierna dvs. utöver identifierings- och adressuppgifter en lång rad uppgifter som spe- cificeras i 37 punkter får behandlas i socialförsäkringsdatabasen, om det sker för ändamål som anges i 6 och 7 §§ (primära och sekundära ändamål). Det framhålls dock att avsikten inte är att endast de uppräk- nade typerna av uppgifter skall få behandlas; uppräkningen är således inte uttömmande. På sätt som Lagrådet angett vid 6 och 7 §§ är det svårt att av en reglering med föreslagen utformning sluta sig till att uppräkningen här dessutom av osedvanlig omfattning och detaljeringsgrad inte skall vara uttömmande. Detta behöver klargöras genom ändrad utformning av be- stämmelsen. Vad Lagrådet sagt vid 6 och 7 §§ om svårigheten för Lag- rådet att lägga fram konkret förslag i frågan gäller även här. I anslutning Prop. 2002/03:135 Bilaga 5 163 till att behovet av omformulering påtalas bör dock framhållas att det från rättssystematisk utgångspunkt är inkonsekvent och främmande att i en författning som kan sägas vara ramlagsbetonad foga in en så starkt detaljpräglad reglering (bl.a. innefattande hänvisningar till olika förord- ningsbestämmelser) som den nu berörda. Enligt andra stycket första meningen skall ytterligare behandling av känsliga uppgifter vara tillåten om det anges i lag eller annan författning. I författningskommentaren anges att med författning avses lag eller för- ordning. Som Lagrådet påpekat i anslutning till 7 § ryms inom begreppet författning även myndighetsföreskrifter. Om avsikten är att endast riks- dagen och regeringen skall kunna medge ytterligare behandling av käns- liga uppgifter bör ordet författning bytas ut mot förordning. Enligt andra stycket andra meningen meddelar regeringen eller den myndighet som regeringen bestämmer föreskrifter om ytterligare be- gränsningar för vilka uppgifter som får behandlas i socialförsäkrings- databasen samt närmare föreskrifter om vilka uppgifter som får behand- las. Det har vid föredragningen upplysts att den första delen av meningen innebär ett reellt bemyndigande att ytterligare begränsa behandlingen av uppgifter i databasen medan den andra delen är en upplysning om att verkställighetsföreskrifter kan komma att meddelas såvitt avser behand- ling av uppgifter generellt. De frågor som regleras i den nu aktuella lagen är i och för sig av den karaktären att de i sin helhet kan beslutas av regeringen. Några bemyndi- ganden för regeringen att besluta föreskrifter av nu aktuellt slag behövs således i och för sig inte. I den mån riksdagen har beslutat föreskrifter (jfr 8 kap. 14 § regeringsformen) hindrar det dock regeringen från att be- sluta mot lagen stridande föreskrifter (se 8 kap. 17 § regeringsformen). Om regeringen skall kunna föreskriva begränsningar i en av riksdagen beslutad lag, krävs således ett medgivande i lagen. Det finns därför inte av formella skäl anledning till erinran mot första ledet av bestämmelsen. Såvitt gäller upplysningar i lag om att verkställighetsföreskrifter kom- mer att meddelas har Lagrådet i ett annat ärende (se prop. 2002/03:110 s. 594 f.) förordat en restriktiv användning av sådana upplysningar. De skäl som anfördes i det ärendet gör sig gällande även här. Till detta kommer att regleringen i detta fall också blir svårbegriplig eftersom både medgivandet att meddela föreskrifter och upplysningen handlar om vilka uppgifter som får behandlas. Lagrådet förordar att andra delen av meningen utgår. 13 § I paragrafen finns bestämmelser om i vilken utsträckning handlingar som har kommit in i ett ärende eller har upprättats i ett ärende och som inne- håller känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. får behandlas i socialförsäkringsdatabasen. Så som paragrafen har utfor- mats har den kommit att innehålla regler om vilka uppgifter handlingar i ett ärende får innehålla. Sådana regler hör inte hemma i förevarande lag. Lagrådet förordar att paragrafen utformas så att den inte reglerar annat än frågan om behandling av uppgifter i handlingar i ett ärende (jfr vad Lag- Prop. 2002/03:135 Bilaga 5 164 rådet anfört i anslutning till 11 §). Paragrafen kan då få förslagsvis föl- jande lydelse: Uppgifter i en handling som kommit in i ett ärende får behandlas i socialförsäkringsdatabasen även om de utgör känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204). Sådana uppgifter i en handling som upprättats i ett ärende får behandlas i socialförsäkringsdatabasen, om uppgifterna är nödvändiga för ärendets handläggning. Det gäller även om ärendet avser tillsyn. För Lagrådet framstår det som oklart huruvida den sista meningen i paragrafen syftar på såväl uppgifter i inkomna handlingar som uppgifter i upprättade handlingar eller på enbart det sistnämnda slaget av uppgifter. Detta bör klargöras. 15 § Även i denna bestämmelse talas om lag eller annan författning. Lag- rådet hänvisar till vad som har anförts därom under 7 §. 19 § Vad Lagrådet anfört under 11 § om den parallella användningen av upp- gifter och handlingar gäller även här. Orden eller handlingar bör såle- des utgå. 26 § I paragrafen behandlas frågan om gallring. Avsikten är att bestämmelsen skall ta över arkivlagens bestämmelser om bevarande och gallring (se författningskommentaren). Det anförs i remissen att det med hänsyn till integritetsintresset är nödvändigt att ha en regel om gallring i den lag- stiftning som avser den automatiserade behandlingen av personuppgifter inom socialförsäkringens administration (avsnitt 6.16). Paragrafen har dock enligt Lagrådets uppfattning såväl till form som innehåll fått en mindre tillfredsställande utformning. Till skillnad från bestämmelserna i den nuvarande lagen om socialför- säkringsregister och andra registerlagar som ansetts skola innehålla gall- ringsregler anges inte någon viss tid efter vilken uppgifterna skall gallras. Regeringen utvecklar i remissen skälen till att den inte anser en ordning med en fast tidsgräns möjlig och föreslår istället en regel av innebörd att en uppgift eller handling som behandlas automatiserat skall gallras när den inte längre är nödvändig med hänsyn till de primära ändamålen. En bestämmelse som i sak endast slår fast att uppgifter skall gallras när de inte längre är nödvändiga för sitt ändamål framstår som föga upp- lysande om vad som avses gälla på området och tillför knappast något utöver regleringen i 9 § personuppgiftslagen. I remissen sägs också att en sådan regel måste kompletteras med en bestämmelse som erinrar om att regeringen eller den myndighet som regeringen bestämmer meddelar verkställighetsföreskrifter om gallring och en sådan erinran har tagits in i första stycket. Prop. 2002/03:135 Bilaga 5 165 De skäl som Lagrådet anfört mot bestämmelser som endast är en erin- ran (se ovan under 12 §) gör sig gällande även här. Till detta kommer att bestämmelsen i detta fall lätt kan uppfattas som ett bemyndigande av innebörd att bestämmelser skall kunna meddelas om att gallring skall vara tillåten även av andra skäl än att uppgifterna inte längre är nödvän- diga med hänsyn till de ändamål som föranlett dem, således ett reellt be- myndigande. Jämförd med bemyndigandet i andra stycket (se nedan) framstår då regleringen som närmast motstridig och i vart fall svårbe- griplig. Införandet av gallringsregler i den nu aktuella lagen innebär som redo- visats ovan att arkivlagens gallrings- och bevarandebestämmelser inte blir tillämpliga. I remissen uttalas i denna del att en gallringsbestämmelse genom undantagsbestämmelser bör ge utrymme för ett bevarande av per- sonuppgifter med hänsyn till rätten att ta del av allmänna handlingar och för historiska, statistiska eller vetenskapliga ändamål. Det har därför i andra stycket införts en bestämmelse om att regeringen eller den myn- dighet som regeringen bestämmer skall få föreskriva att handlingar eller uppgifter skall bevaras. Till skillnad från vad som gäller enligt arkivlagen innehåller dock bemyndigandet inte några preciseringar av för vilka skäl uppgifter skall bevaras (jfr t.ex. 19 § socialförsäkringsregisterlagen och 16 § lagen /2002:546/ om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten). Lagrådet ställer sig mot bakgrund av vad som nu redovisats tvivlande till om de i och för sig något motstridiga syftena med den föreslagna regleringen blir bättre tillgodosedda med den föreslagna regleringen än om inga särskilda gallringsregler införs. Den tänkta huvudregeln om att gallring skall ske är så vag att det kan ifrågasättas om den tillför det in- tegritetsintresse som åberopas som skäl för den något utöver vad som följer av personuppgiftslagen. Det blir regeringen eller den myndighet som regeringen bestämmer som kommer att ge bestämmelsen innehåll. Även de bevarandeintressen som återspeglas i arkivlagens regler avses bli tillgodosedda men de av riksdagen fastlagda principerna för detta sätts ur spel och ersätts av ett blankt bemyndigande. Lagrådet anser mot denna bakgrund att en lämpligare lösning vore att inte ha några sär- skilda gallringsbestämmelser utan låta arkivlagens och personuppgifts- lagens regler gälla (jfr t.ex. lagen /1998:543/ om hälsodataregister). Om den nu föreslagna lösningen inte godtas förordar Lagrådet i vart fall att andra meningen i första stycket utgår, alternativt utformas som ett med- givande att meddela ytterligare föreskrifter om gallring, och att bemyn- digandet i andra stycket preciseras så att det framgår för vilka ändamål uppgifter skall få bevaras. Frågan bör övervägas ytterligare i den fortsatta beredningen. Vad gäller uttrycket personuppgifter eller handlingar hänvisas till vad Lagrådet anfört i anslutning till 11 §. Prop. 2002/03:135 Bilaga 5 166 27 § Paragrafen innehåller ett bemyndigande för regeringen eller den myndig- het som regeringen bestämmer att meddela föreskrifter om avgifter. I remissen anförs (avsnitt 6.17) att bestämmelser om att avgifter för merarbete och kostnader för att lämna ut uppgifter genom automatiserad behandling i och för sig kan beslutas av regeringen i förordning men att den här avsedda möjligheten ändå bör slås fast i lag. Vilka överväganden detta ställningstagande grundas på framgår dock inte av remissen (jfr Lagrådets yttrande i prop. 2000/01:33 s. 351). Också Lagrådet är för sin del närmast av uppfattningen att det är fråga om en avgift som kan beslutas av regeringen utan lagstöd (jfr 4 § 9 av- giftsförordningen /1992:191/). Om det är fråga om en sådan avgift ser Lagrådet ingen anledning att den skall slås fast i lag. Det påpekas vidare i remissen att rätten att ta ut avgifter självklart inte får inskränka den en- skildes rätt att enligt offentlighetsprincipen ta del av allmänna hand- lingar. Om det anses att en avgiftsbestämmelse skall finnas i lag bör det framgå av lagen att bestämmelsen inte innebär någon sådan begränsning (jfr 2 kap. 14 § lagen /2001:181/ om behandling av uppgifter i skatteför- valtningens beskattningsverksamhet). Prop. 2002/03:135 Bilaga 5 167

Socialdepartementet Utdrag ur protokoll vid regeringssammanträde den 28 maj 2003 Närvarande: statsministern[REDACTED_EFTERNAMN], ordförande, och statsråden[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], Engqvist,[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN] J. O.,[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN] H., Nykvist,[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN] Föredragande: statsrådet Engqvist Regeringen beslutar proposition 2002/03:135 Behandling av personuppgifter inom socialförsäkringens administration Prop. 2002/03:135 168