Ändring i Arbetsförmedlingens registerlag

Lagrådsremiss

Regeringen överlämnar denna remiss till Lagrådet.

Stockholm den 23 maj 2013

Hillevi Engström

Catharina Nordlander (Arbetsmarknadsdepartementet)

Lagrådsremissens huvudsakliga innehåll

I lagrådsremissen föreslås en ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Arbetsförmedlingens registerlag). Lagförslaget har tillkommit mot bakgrund av de nyligen beslutade lagändringarna i prop. 2012/13:12 Åtgärder inom arbetslöshetsförsäkringen m.m., som bl.a. innebär att det införs en skyldighet för arbetssökande att regelbundet lämna in en aktivitetsrapport till Arbetsförmedlingen där de fritt ska kunna lämna information kring sitt arbetssökande. En effektiv hantering av aktivitetsrapporten hos Arbetsförmedlingen förutsätter en ändring i Arbetsförmedlingens registerlag. Förslaget är att 10 § ändras på så sätt att det ska bli tillåtet för Arbetsförmedlingen att behandla uppgifter i en databas om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716), men endast om uppgifterna har lämnats i ett ärende. Lagändringen föreslås träda i kraft den 1 februari 2014.

1 Beslut

Regeringen har beslutat att inhämta Lagrådets yttrande över förslag till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten.

2 Förslag till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten

Härigenom föreskrivs att 10 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska ha följande lydelse.

10 §

varit föremål för åtgärd enligt varit föremål för åtgärd enligt

Denna lag träder i kraft den 1 februari 2014.

Senaste lydelse 2011:545.

3 Ärendet och dess beredning

Promemorian Förslag till ändring i 10 § Arbetsförmedlingens registerlag – utökad möjlighet att behandla lämnade uppgifter i en databas (dnr A2013/1422/A) har utarbetats inom Arbetsmarknadsdepartementet. En sammanfattning av promemorian finns i bilaga 1 . Promemorians lagförslag finns i bilaga 2 . Promemorian har remissbehandlats och en förteckning över remissinstanserna finns i bilaga 3 . Remissyttrandena finns tillgängliga i Arbetsmarknadsdepartementet (dnr A2013/1422/A).

4 Arbetsförmedlingens registerlag ändras

4.1 Bakgrund och gällande rätt

4.1.1 Grundläggande skyddsbestämmelser

Informationsteknikens utveckling och den ökande användningen av denna för behandling av information om enskilda medför ett särskilt behov av skydd för användning av individrelaterad information som kan anses utgöra ett otillbörligt intrång i den personliga integriteten. Reglering för sådan behandling av information har utarbetats både i internationella sammanhang och i nationell lagstiftning. Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen, förkortad RF. Av det allmänna målsättningsstadgandet i 1 kap. 2 § RF följer att det allmänna ska värna om den enskildes privatliv. I 2 kap. 4 och 5 §§ finns bestämmelser om absolut skydd mot vissa allvarliga fysiska integritetsintrång. Enligt 6 § samma kapitel är var och en därutöver gentemot det allmänna skyddad mot påtvingat kroppsligt ingrepp samt mot vissa andra former av intrång i den personliga sfären (kroppsvisitation och husrannsakan samt undersökning av förtrolig försändelse m.m.). Genom ändringar som trädde i kraft den 1 januari 2011 (prop. 2009/10:80, En reformerad grundlag, bet. 2009/10:KU19, rskr. 2009/10:304, bet. 2010/11:KU4, rskr. 2010/11:21) har det generella grundlagsskyddet för den personliga integriteten stärkts. I 2 kap. 6 § RF har det införts en ny bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet enligt den nya grundlagsbestämmelsen är inte absolut. Det kan inskränkas i lag, under förutsättning att det sker för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får dock aldrig gå utöver vad som är nödvändigt med hänsyn till det

ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF). Enligt artikel 8 i Europakonventionen har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag. Inskränkningar får endast göras om det är nödvändigt i ett demokratiskt samhälle med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Europakonventionen gäller sedan den 1 januari 1995 som svensk lag. Av grundlag följer även att en lag eller annan föreskrift inte får meddelas i strid med Sveriges åtaganden enligt konventionen (2 kap. 19 § RF). En bestämmelse om respekt för privat- och familjelivet finns även i artikel 7 i EU:s stadga om de grundläggande rättigheterna. Av artikel 8 följer att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Uppgifterna ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. De grundläggande bestämmelserna om behandling av personuppgifter finns i personuppgiftslagen (1998:204). Genom lagen genomfördes Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Personuppgiftslagen är generellt tillämplig, men om det i en annan lag eller förordning har meddelats avvikande bestämmelser, så gäller de bestämmelserna. Sedan slutet av 1990-talet har det utöver personuppgiftslagen utarbetats en stor mängd särskilda s.k. registerförfattningar med bestämmelser om behandling av personuppgifter, däribland lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Syftet med de särskilda registerförfattningarna har varit att anpassa regleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter och att göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för den enskildes integritet.

4.1.2 Arbetsförmedlingens registerlag

Arbetsförmedlingens registerlag, lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, trädde i kraft den 1 augusti 2002 och ersatte då lagen (1994:459) om arbetsförmedlingsregister. Lagen innehåller de särregler som har ansetts nödvändiga för Arbetsförmedlingens verksamhet i förhållande till reglerna i personuppgiftslagen. I lagen finns särskilda bestämmelser om vilka personuppgifter som får behandlas i en databas. Med databas i den arbetsmarknadspolitiska verksamheten förstås en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de ändamål som föreskrivs i lagen.

EUT L 281, 23.11.1995, s. 31 (Celex 31995L0046). 6

I lagen anges ett antal ändamål för vilka personuppgifter får behandlas. Ändamålsbestämmelserna tar i första hand sikte på behandling av personuppgifter för Arbetsförmedlingens egen verksamhet (4 §, de s.k. primära ändamålen). Därutöver innehåller lagen bestämmelser om när behandling av personuppgifter är tillåten för att Arbetsförmedlingen ska kunna tillhandahålla personuppgifter till andra myndigheter och organ som behöver uppgifterna i sina respektive verksamheter (5 §, de s.k. sekundära ändamålen). Av ändamålsbestämmelsen i 4 § 1 framgår att Arbetsförmedlingen får behandla personuppgifter inom den arbetsmarknadspolitiska verksamheten om det behövs för handläggning av ärenden. I 9 och 10 §§ Arbetsförmedlingens registerlag finns bestämmelser om vilka personuppgifter som får behandlas i Arbetsförmedlingens databas. Beträffande känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204), personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och uppgifter som rör hälsa eller sexualliv, och vissa andra integritetskänsliga personuppgifter finns begränsningar för databasbehandling i 9 §. Vidare får enligt 10 § uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716) inte behandlas i en arbetsmarknadspolitisk databas. De senare uppgifterna definieras tillsammans med de som anges i 9 § andra stycket – uppgifter om sociala förhållanden och omdömen, slutsatser eller andra värderande upplysningar om en enskild – i lagen (14 §) som ömtåliga personuppgifter.

4.1.3 Nyligen beslutade ändringar i Arbetsförmedlingens registerlag och -förordning

Regeringen beslutade den 27 september 2012 om propositionen 2012/13:12 Åtgärder inom arbetslöshetsförsäkringen m.m. som omfattar bl.a. en ändring i Arbetsförmedlingens registerlag. Riksdagen har bifallit propositionens förslag. Ändringen, som träder i kraft den 1 september 2013, gäller 9 § och innebär att samtliga känsliga personuppgifter som avses i personuppgiftslagen ska få behandlas i en databas, om de har lämnats i ett ärende. Skälet till ändringen är att det genom propositionen, som en del av ändrade regler för åtgärdssystemet inom arbetslöshetsförsäkringen, införs en skyldighet för den arbetssökande att regelbundet lämna information till Arbetsförmedlingen kring sitt arbetssökande i form av en aktivitetsrapport. För att uppnå en effektiv hantering av aktivitetsrapporten ska denna i första hand utgöras av en webbaserad blankett som skickas av den arbetssökande i elektronisk form till Arbetsförmedlingen och införs i dess databas. Rapporten ska innehålla ett fritextfält där den arbetssökande fritt ska kunna lämna information. Med ett fritextfält är det inte möjligt att förutse vilka uppgifter den sökande finner nödvändiga att ange när han eller hon skickar in aktivitetsrapporten. I propositionen konstaterar regeringen sammanfattningsvis att Arbetsförmedlingen i princip inte kommer att ha någon möjlighet att

styra över vad den enskilde redovisar i aktivitetsrapporten och att den risk för intrång i enskildas personliga integritet som ändringen i Arbetsförmedlingens registerlag medför inte väger tyngre än behovet av effektiva arbetssätt för Arbetsförmedlingen. Regeringen anser därför att samtliga i 13 § personuppgiftslagen angivna känsliga personuppgifter bör få behandlas i en databas, om uppgifterna har lämnats i ett ärende. Regeringen har som en följd av ändringen i Arbetsförmedlingens registerlag även beslutat om en ändring i förordningen (2002:623) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Arbetsförmedlingens registerförordning). I förordningen ges kompletterande föreskrifter om sådan behandling av personuppgifter som omfattas av Arbetsförmedlingens registerlag, bl.a. om vilka uppgifter som får behandlas i en databas. Av 9 § framgår att endast vissa personuppgifter om den arbetssökandes hälsa och sociala förhållanden får behandlas i en databas, av 9 a § att uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får behandlas i en databas endast när de avser uppgifter om verkställigheten av frihetsberövandet och av 10 § att sådana personuppgifter som avslöjar att en registrerad har varit föremål för tvångsingripande enligt olika sociala tvångsvårdslagstiftningar inte får behandlas i en databas. Genom ändringen i förordningen har det införts en ny paragraf, 10 a §, som innebär att begränsningarna i 9–10 §§ för vilka personuppgifter som får behandlas i en databas inte ska gälla uppgifter som den arbetssökande lämnar i en aktivitetsrapport. Förordningsändringen träder i kraft den 1 september 2013.

4.2 Behovet av en ytterligare ändring i Arbetsförmedlingens registerlag

Utöver de ovan nämnda ändringarna i Arbetsförmedlingens registerlag och -förordning har det framkommit att Arbetsförmedlingen anser att det finns behov av ytterligare en ändring i Arbetsförmedlingens registerlag. Arbetsförmedlingen har pekat på att enligt 10 § registerlagen får inte uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen eller varit föremål för åtgärd enligt utlänningslagen behandlas i en arbetsmarknadspolitisk databas, vilket kommer att medföra problem för Arbetsförmedlingens hantering av den aktivitetsrapport som ska införas. Regeringens proposition 2012/13:12 Åtgärder inom arbetslöshetsförsäkringen m.m. innebär som nämnts i föregående avsnitt att det införs en skyldighet för den arbetssökande att regelbundet lämna information till Arbetsförmedlingen kring sitt arbetssökande i form av en aktivitetsrapport. Denna kommer i huvudsak att utgöras av en webbaserad blankett som skickas av den arbetssökande i elektronisk form till Arbetsförmedlingen och införs i dess databas. I rapportens fritextfält ska den arbetssökande fritt kunna lämna information. Det är därför inte möjligt att förutse vilka uppgifter den sökande finner nödvändiga att ange när han eller hon skickar in aktivitetsrapporten. Enligt Arbetsförmedlingen medför fritextfältet i aktivitetsrapporten att det finns en risk för att den enskilde lämnar sådana uppgifter som

omfattas av 10 § Arbetsförmedlingens registerlag och som därmed i strid med 10 § kommer att finnas i myndighetens databas. Arbetsförmedlingen menar att denna risk inte kan uteslutas även om myndigheten utfärdar tydliga skriftliga instruktioner om att sådana uppgifter inte ska lämnas i rapporten, eftersom man inte kan utgå från att alla tar del av eller följer instruktionerna. Arbetsförmedlingens handläggare kommer därför att vara tvungna att förhandsgranska uppgifterna i aktivitetsrapporterna innan de läggs in i databasen för att användas vid ärendenas handläggning. Detta kommer på grund av mängden aktivitetsrapporter att innebära ett omfattande arbete och kräva avsevärda handläggarresurser. Arbetsförmedlingen anser därför att 10 § bör ändras så att sådana uppgifter som omfattas av bestämmelsen kan behandlas i myndighetens databas om de lämnas i en aktivitetsrapport. Som en följd av lagändringarna i propositionen har regeringen nyligen beslutat om en ändring i förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten, som träder i kraft den 1 september 2013, med bl.a. bestämmelser om den nya aktivitetsrapporten. Enligt dessa ska arbetssökande regelbundet lämna aktivitetsrapporter till Arbetsförmedlingen och för den som får eller begär arbetslöshetsersättning ska det ske minst en gång per månad. Det kommer alltså att ske regelbundna uppföljningar av den enskilde i aktivitetsrapporten. I propositionen konstaterar regeringen att den valda lösningen för rapporten, med en webbaserad blankett som skickas av den arbetssökande i elektronisk form till Arbetsförmedlingen och införs i dess databas, gör att det uppnås en effektiv hantering av aktivitetsrapporten och ett effektivt utnyttjande av myndighetens resurser. Det som Arbetsförmedlingen anfört om nödvändigheten av att förhandsgranska uppgifterna i aktivitetsrapporterna på grund av den nuvarande utformningen av 10 § motverkar kraftigt fördelarna med den valda lösningen. Regeringen anser därför att det finns behov av ytterligare en ändring i Arbetsförmedlingens registerlag.

4.3 Arbetsförmedlingen får utökad möjlighet att behandla uppgifter i en databas

Regeringens förslag: Uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen eller varit föremål för åtgärd enligt utlänningslagen ska få behandlas i en databas, om de har lämnats i ett ärende.

Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Arbetsförmedlingen välkomnar förslaget och anför ytterligare argument kring behovet av den nu föreslagna lagändringen. Förvaltningsrätten i Göteborg och Socialstyrelsen har inte något att erinra mot förslaget. Justitiekanslern har inte några synpunkter på förslaget men förutsätter att Arbetsförmedlingen kommer att ha vidtagit de åtgärder som syftar till att skydda den personliga integriteten och som närmare analyseras i propositionen 2012/13:12 Åtgärder inom arbetslöshetsförsäkringen m.m. när lagen träder i kraft. Inspektionen för

arbetslöshetsförsäkringen (IAF) och Migrationsverket motsätter sig inte förslaget men framför synpunkter gällande skyddet av den personliga integriteten. IAF anser att det bör regleras i någon form att Arbetsförmedlingen har en skyldighet att utfärda tydliga skriftliga instruktioner till den enskilde om vilken information som är relevant att lämna i aktivitetsrapporten och hur denna ska utformas. Migrationsverket påpekar att de mottagna uppgifterna måste omfattas av ett tillfredställande sekretesskydd hos Arbetsförmedlingen och att det är viktigt att skyddet av den personliga integriteten beaktas i användningen av webbformulär genom tydlig information, alternativa redovisningslösningar och datasäkerhet. Datainspektionen anför att förslaget leder till ett försämrat integritetsskydd för den enskilde som måste kompenseras med lämpliga skyddsåtgärder. Datainspektionen pekar i sitt yttrande på att det i dagsläget brister i skyddsåtgärder som avser behörighetsstyrning, dvs. den interna åtkomsten till personuppgifter, och att det är oklart hur den externa åtkomsten till uppgifter är begränsad och okänt hur aktivitetsrapporten är utformad eller kommer att utformas. Till dess det nya behörighetssystemet är på plats kan Datainspektionen inte tillstyrka den föreslagna ändringen i Arbetsförmedlingens registerlag.

Skälen för regeringens förslag

En grundläggande förutsättning för att en viss behandling av personuppgifter ska vara laglig är att ändamålen med behandlingen är tillåten. Av 4 § 1 Arbetsförmedlingens registerlag framgår att Arbetsförmedlingen får behandla personuppgifter som behövs för handläggningen av ärenden. Aktivitetsrapporten, som införs från och med den 1 september i år, kommer att ingå i handläggningen av en enskild arbetssökandes ärende om arbetsförmedling. Behandling av personuppgifter i aktivitetsrapporten är därför förenlig med Arbetsförmedlingens primära ändamål för databasbehandling av personuppgifter.

Nackdelar med nuvarande reglering Arbetsförmedlingen delar synen i promemorian på att mängden aktivitetsrapporter kommer att innebära ett omfattande arbete och kräva avsevärda handläggarresurser om varje rapport med fritext måste granskas före införande i databasen. Arbetsförmedlingen vill dock anföra ytterligare argument kring behovet av den föreslagna lagändringen. Myndigheten framhåller att om den enskilde lämnar otillåtna uppgifter riskerar Arbetsförmedlingen i dagsläget skadeståndsansvar. Om det förekommer uppgifter som är otillåtna att föra i Arbetsförmedlingens databas så måste dessa uppgifter skrivas ut och hanteras på papper, med kostnader som följd. Myndigheten anför även att den med 10 § i dess nuvarande lydelse inte heller kan instruera den som lämnar uppgifter att lämna uppgifterna annat än pappersvis eftersom uppgifterna inte får föras i något av Arbetsförmedlingens elektroniska system. Regeringen noterar att om inte Arbetsförmedlingen får möjlighet att behandla uppgifter som avses i 10 § Arbetsförmedlingens registerlag i 10 dess databas krävs att myndighetens handläggare förhandsgranskar alla

aktivitetsrapporter innan de läggs in i databasen för vidare handläggning. Som Arbetsförmedlingen anför skulle det innebära ett omfattande arbete att göra denna granskning av alla aktivitetsrapporter, vilket avsevärt skulle försvåra för myndigheten att bedriva en effektiv ärendehantering. Vad Arbetsförmedlingen i övrigt pekar på utgör andra nackdelar med det nuvarande förbudet i 10 §.

En jämförelse mellan 9 och 10 §§ Arbetsförmedlingens registerlag Att aktivitetsrapporten införs är bakgrunden till den nyligen gjorda ändringen i 9 § Arbetsförmedlingens registerlag om att samtliga känsliga personuppgifter enligt personuppgiftslagen får behandlas i en databas, om de har lämnats i ett ärende. I den kommande aktivitetsrapportens fritextfält ska den enskilde fritt kunna lämna information kring sitt arbetssökande. Med ett fritextfält är det inte möjligt att förutse vilka uppgifter den arbetssökande finner nödvändiga att ange när han eller hon lämnar aktivitetsrapporten. Arbetsförmedlingen har därmed begränsad möjlighet att styra över vad den enskilde redovisar i rapporten. En skillnad mellan 9 och 10 § är att den förra omfattar behandling av alla slags känsliga personuppgifter enligt 13 § personuppgiftslagen (uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv) medan den senare omfattar behandling av vissa specifika uppgifter, att den enskilde har vårdats med stöd av socialtjänstlagen eller varit föremål för åtgärd enligt utlänningslagen. Det kan finnas situationer som berör sådana uppgifter som avses i 10 § och som påverkar en arbetssökandes möjlighet att söka och ta ett arbete. Att det handlar om vissa specifika uppgifter gör dock att det är lättare att genom instruktioner till den enskilde motverka risken för att uppgifter som är av betydelse i ett ärende men som omfattas av 10 § lämnas i en aktivitetsrapport, utan i stället lämnas på annat sätt. Som Arbetsförmedlingen framhåller måste dock beaktas att även om myndigheten instruerar den som lämnar uppgifterna kring vilka uppgifter som får lämnas, får dessa instruktioner inte alltid full effekt.

Bestämmelser till skydd för den personliga integriteten Regeringen har i propositionen 2012/13:12, där förslaget om ändring av 9 § Arbetsförmedlingens registerlag finns, gjort en analys (s. 76–81) av hur det förslaget påverkar den personliga integriteten och av de regler som ska skydda denna. Analysen är av betydelse även för en ändring av 10 § och följande kan här framhållas. Sådana personuppgifter som avses i 10 § Arbetsförmedlingens registerlag får inte användas som sökbegrepp i en databas. Som IAF anför bidrar denna begränsning av möjligheten att söka personuppgifter till att reducera risken för intrång i den personliga integriteten. Migrationsverket understryker att det är viktigt att fortsatt behandling av känsliga och ömtåliga personuppgifter får ett skydd i Arbetsförmedlingens databaser och att det bl.a. handlar om att de mottagna uppgifterna måste omfattas av ett tillfredsställande sekretesskydd hos Arbetsförmedlingen. De tillämpliga sekretessbestämmelserna i offentlighets- och sekretesslagen (2009:400) finns i

28 kap. 11 och 12 §§. Enligt den första bestämmelsen gäller sekretess för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men och uppgiften förekommer i ett ärende om arbetsförmedling. Sekretessen gäller dock inte för beslut i dessa ärenden. Enligt den andra bestämmelsen gäller sekretess för uppgift om en enskilds affärs- eller driftsförhållanden i ärende om arbetsförmedling, om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada. Sekretessbestämmelserna som gäller för Arbetsförmedlingens verksamhet har alltså s.k. omvända skaderekvisit och erbjuder ett starkt skydd för uppgifter som behandlas i en databas. När uppgifter ska lämnas mellan myndigheter måste hänsyn tas till sekretessregleringen. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får uppgifter för vilka sekretess gäller inte röjas för andra myndigheter, om inte annat framgår av offentlighets- och sekretesslagen eller av lag eller förordning till vilken denna lag hänvisar. I offentlighets- och sekretesslagen finns bestämmelser som anger när sekretessen mellan myndigheter bryts. Det framgår bl.a. av 10 kap. 28 § att sekretess inte hindrar att en uppgift får lämnas till en annan myndighet, om uppgiftsskyldighet följer av lag eller förordning. Enligt 48 a § lagen (1997:238) om arbetslöshetsförsäkring ska Arbetsförmedlingen till en arbetslöshetskassa lämna de uppgifter om en arbetssökande som har betydelse för tillämpningen av den lagen. Arbetsförmedlingens uppgiftsskyldighet begränsas dock av 20 § förordningen (1997:835) om arbetslöshetsförsäkring till vissa konkreta uppgifter, bl.a. från och med vilken dag den enskilde är anmäld eller avanmäld som arbetssökande hos Arbetsförmedlingen. Känsliga och ömtåliga personuppgifter omfattas inte av uppgiftsskyldigheten, utan utlämnande av sådana uppgifter får endast ske efter en prövning av skaderekvisiten i nämnda sekretessbestämmelser. Av 2 kap. 4 § och bilagan till offentlighets- och sekretesslagen framgår att arbetslöshetskassorna jämställs med myndigheter vid tillämpning av lagen. Om uppgifter som avses i 10 § Arbetsförmedlingens registerlag på begäran av en arbetslöshetskassa, efter sekretessprövning, lämnas ut från Arbetsförmedlingen till kassan gäller därför sekretess enligt 28 kap. 13 § offentlighets- och sekretesslagen i ärende om arbetslöshetsersättning enligt lagen om arbetslöshetsförsäkring för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs. Denna sekretessbestämmelse kan hindra att personuppgifter som förekommer vid kassornas handläggning av ersättningsärenden lämnas ut. Till skillnad mot vad som gäller för Arbetsförmedlingens verksamhet, innebär sekretessbestämmelsens utformning med s.k. rakt skaderekvisit att det här inte finns någon presumtion för att sekretess gäller. Även om det således gäller en presumtion för offentlighet ska men anses föreligga om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra en påtaglig nackdel för den enskilde. Regeringen har tidigare gjort bedömningen att det är tillräckligt med ett rakt skaderekvisit i ärenden om arbetslöshetsersättning för att tillgodose behovet av skydd för uppgifter om enskilda (se prop. 2000/01:129 12 s. 53 f.).

Av 48 § personuppgiftslagen och 15 § Arbetsförmedlingens registerlag framgår att skadeståndsskyldighet kan uppkomma för Arbetsförmedlingen gentemot en enskild vid behandling av personuppgifter, som en enskild exempelvis lämnar i en aktivitetsrapport, i strid med nämnda lagars bestämmelser om krav på behandlingen av personuppgifter. Det kan avse ersättning för personskada, sakskada, ren förmögenhetsskada och kränkning av den personliga integriteten som den olagliga behandlingen av personuppgifter har orsakat.

Information i samband med att uppgifter lämnas i aktivitetsrapporten Migrationsverket påpekar att det är viktigt att skyddet av den personliga integriteten beaktas i användningen av webbformulär genom tydlig information, alternativa redovisningslösningar och datasäkerhet. Om Arbetsförmedlingen ges möjlighet att behandla flera känsliga personuppgifter i en databas är det enligt regeringen viktigt att myndigheten tydligt, i samband med att den enskilde via ett webbformulär kan lämna fritextinformation, informerar om att de lämnade uppgifterna kommer att behandlas i en databas. Den enskilde bör i samband med varje registreringstillfälle informeras av Arbetsförmedlingen om alternativa sätt, t.ex. muntligt, via telefon eller epost, som han eller hon kan lämna uppgifterna. IAF delar de överväganden som görs i promemorian om att det är viktigt att Arbetsförmedlingen utfärdar tydliga skriftliga instruktioner till den enskilde om vilken information som är relevant att lämna i aktivitetsrapporten och att rapporten utformas på ett sätt som underlättar detta. IAF anser dock att det bör regleras i någon form att Arbetsförmedlingen har en skyldighet att utfärda nämnda instruktioner och hur aktivitetsrapporten ska utformas. Datainspektionen anför att aktivitetsrapporten bör utformas så att bara ett minimum av för ändamålet nödvändiga uppgifter kan lämnas och att lämpliga skyddsåtgärder bör innefatta information om vad som är relevant att fylla i fritextfältet och utformningen av fritextfältet. Regeringen anser att det är angeläget att det så långt möjligt bara är uppgifter som behövs för handläggning av ärenden som anges av den enskilde i aktivitetsrapporten och således förs in i Arbetsförmedlingens databas. Regeringen har nyligen beslutat om en ändring i förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten som ska träda i kraft den 1 september 2013. Det införs bestämmelser om aktivitetsrapporten och i 6 b § får Arbetsförmedlingen föreskriftsrätt bl.a. om aktivitetsrapportens utformning. Regeringen förlitar sig på att Arbetsförmedlingen kommer att meddela nödvändiga och lämpliga föreskrifter om vilken information som den enskilde ska lämna i aktivitetsrapporten och dess fritextfält.

Lämpliga skyddsåtgärder mot ett försämrat integritetsskydd Datainspektionen anför att förslaget leder till ett försämrat integritetsskydd för den enskilde som måste kompenseras med lämpliga skyddsåtgärder. Enligt Datainspektionen kan lämpliga skyddsåtgärder i detta fall t.ex. vara Arbetsförmedlingens nya behörighetssystem som begränsar den interna åtkomsten till uppgifterna i databasen, men myndigheten anser att det i dag inte finns ett behörighetssystem i drift

som kan utgöra en lämplig skyddsåtgärd. Datainspektionen är insatt i Arbetsförmedlingens omfattande och ambitiösa arbete med att ta fram ett nytt behörighetssystem. Först när systemet väl är i drift och det har verifierats att systemet fungerar som det är tänkt, bl.a. att antalet handläggare med behörighet till en arbetssökandes uppgifter är begränsat till ett minimum, anser myndigheten att behörighetssystemet kan anses utgöra en lämplig skyddsåtgärd. Till dess det nya behörighetssystemet är på plats kan Datainspektionen inte tillstyrka den föreslagna ändringen i Arbetsförmedlingens registerlag. Datainspektionens yttrande i denna del aktualiserar betydelsen av det nya ärendehanteringssystem som Arbetsförmedlingen håller på att utarbeta och som enligt Arbetsförmedlingen i huvudsak kommer att vara på plats när aktivitetsrapporten införs den 1 september i år. Syftet är att skapa ett högt inbyggt integritetsskydd i ärendehanteringssystemet som säkerställer ett fullgott integritetsskydd och en fullgod datasäkerhet för att motverka risker för intrång i den personliga integriteten. Arbetsförmedlingen har nyligen lämnat en rapport om det nya systemet för behörighetsstyrning varav följande framgår. Den 25 maj i år ska de sista IT-komponenterna i det nya systemet för behörighetsstyrning sättas i drift. Systemet ska säkra att medarbetarnas tillgång till kunders personuppgifter styrs av behovet av tillgång till viss information i den specifika arbetsuppgiften. För att åstadkomma detta implementeras en ny form av behörighet kallad ”kundspecifik behörighet”. Behörigheten ges till en medarbetare och gäller en viss arbetssökande. Behörighetens styrka och varaktighet styrs av behovet i arbetsuppgiften. I de flesta fall kommer behörigheten att tilldelas av it-systemet utifrån fördefinierade verksamhetsregler. I fåtalet fall kommer behörigheter administreras av medarbetare i rollen ”ansvarig handläggare” eller med den särskilda behörigheten som ”behörighetsadministratör”. För att hjälpa medarbetarna att bedöma hur många behörigheter det kan finnas behov av i ett ärende finns det spärrar för manuellt tilldelade behörigheter, som gör att det på manuell väg inte kan skapas för många behörigheter per arbetssökande. Det krävs numera en starkare motivering av behovet i arbetsuppgiften för att tilldelas behörighet. Att vara anställd på det kontor där den arbetssökande är inskriven anses inte längre vara tillräcklig motivering för att tilldelas behörighet. All tilldelning, ändring, borttagning och användning av kundspecifik behörighet loggas. Samrådsmöten har hållits med Datainspektionen var sjätte vecka, utifrån vilka Arbetsförmedlingen kontinuerligt har arbetat in Datainspektionens synpunkter. Regeringen konstaterar att Arbetsförmedlingens redogörelse för det pågående arbetet med det nya behörighetssystemet ger grund för slutsatsen att myndigheten kommer att ha ett behörighetssystem på plats till den 1 september i år med sådan begränsning av den interna åtkomsten till personuppgifter som uppfyller Datainspektionens krav på en lämplig skyddsåtgärd. En ytterligare synpunkt från Datainspektionen är att lämpliga skyddsåtgärder även bör innefatta noga uppstyrd extern åtkomst och att frågan om direktåtkomst behöver analyseras. Myndigheten pekar på att enligt 12 § Arbetsförmedlingens registerlag får flera myndigheter ha 14 direktåtkomst till personuppgifter som behandlas i en arbetsmarknads-

politisk databas om det behövs för de ändamål som avses i 5 §. Exempelvis får Arbetsförmedlingen enligt 5 § 1 behandla personuppgifter för tillhandahållande av information som behövs inom Försäkringskassans, Centrala studiestödsnämndens eller arbetslöshetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd. Ett annat exempel är att enligt 5 § 3 får Arbetsförmedlingen behandla personuppgifter för tillhandahållande av information som behövs inom sådan verksamhet vid IAF som avser bl.a. tillsyn. Regeringen konstaterar att enligt 12 § fjärde stycket Arbetsförmedlingens registerlag meddelar regeringen föreskrifter om vilka personuppgifter som får omfattas av direktåtkomst enligt första–tredje styckena. Det har meddelats sådana föreskrifter i 16 och 16 a §§ Arbetsförmedlingens registerförordning. Av bestämmelserna med hänvisningar framgår att arbetsgivare och vissa myndigheter, bl.a. de ovan nämnda, och arbetslöshetskassorna för respektive ändamål i 5 § Arbetsförmedlingens registerlag i allmänhet endast får ha direktåtkomst till särskilt angivna personuppgifter som det bedömts att de behöver ha tillgång till. Av hänvisningen i 16 § till 7 a § 6 framgår dock att IAF i sin verksamhet som avser tillsyn får ha direktåtkomst till personuppgifter om tidpunkter, händelser och innehåll i kontakter med Arbetsförmedlingen. Det är rimligt att betrakta aktivitetsrapporten, som den arbetssökande lämnar in till Arbetsförmedlingen, som en form av kontakt med Arbetsförmedlingen vars innehåll IAF i sin tillsynsverksamhet med stöd av bestämmelsen får ha direktåtkomst till. Det är också ändamålsenligt att IAF har denna direktåtkomst i tillsynsverksamheten. Det är här viktigt att påpeka att enligt 11 kap. 1 § offentlighets- och sekretesslagen gäller att får en myndighet i verksamhet som avser tillsyn, från en annan myndighet en sekretessbelagd uppgift, blir sekretessbestämmelsen tillämplig på uppgiften även hos den mottagande myndigheten, s.k. överföring av sekretess. Det innebär att de strikta sekretessbestämmelserna i 28 kap. 11 och 12 §§ offentlighets- och sekretesslagen som gäller för Arbetsförmedlingens verksamhet och som behandlats ovan ska tillämpas av IAF på uppgifter som myndigheten får del av i sin tillsynsverksamhet. Eftersom tillsynsuppgifterna avser ärenden om arbetsförmedling och sekretessreglerna avser att skydda uppgifter i denna verksamhet kommer bestämmelserna att utgöra s.k. primära sekretessbestämmelser även hos IAF, vilket betyder att de blir tillämpliga på samma sätt som hos Arbetsförmedlingen. Eventuella känsliga uppgifter, och hit hör tveklöst uppgifter som avses i 10 § Arbetsförmedlingens registerlag, i aktivitetsrapporter som IAF får del av i sin tillsynsverksamhet kommer således att vara skyddade av dessa sekretessbestämmelser. För övriga myndigheter, arbetslöshetskassorna och arbetsgivare kommer det enligt 16 § Arbetsförmedlingens registerförordning inte att finnas någon liknande direktåtkomst till aktivitetsrapportens uppgifter.

Sammanfattande bedömning Regeringen konstaterar att förslaget att även uppgifter som avses i 10 § Arbetsförmedlingens registerlag som lämnats i ett ärende ska få behandlas i en databas medför ett försämrat integritetsskydd för den

enskilde genom att sådana ömtåliga uppgifter i enskilda fall kan hamna i Arbetsförmedlingens databas. Det är samtidigt viktigt att regleringen kring behandlingen av personuppgifter inte omöjliggör effektiva arbetssätt för Arbetsförmedlingen, vilket förutsätter att uppgifterna som lämnas i aktivitetsrapporten kan hanteras elektroniskt. Regeringen bedömer att det försämrade integritetsskyddet som blir följden av lagändringen kompenseras tillräckligt genom ovan nämnda skyddsåtgärder, särskilt Arbetsförmedlingens nya strikta behörighetssystem. Regeringen anser därför att även uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen eller varit föremål för åtgärd enligt utlänningslagen ska få behandlas i en databas, men endast om de har lämnats i ett ärende.

5 Ikraftträdande

Regeringens förslag: Lagändringen ska träda i kraft den 1 februari 2014.

Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Ingen remissinstans yttrar sig i frågan. Skälen för regeringens förslag: Aktivitetsrapporten kommer att börja användas av de arbetssökande den 1 september i år. För att Arbetsförmedlingen ska kunna ha en effektiv hantering av den webbaserade aktivitetsrapporten bör ändringen i Arbetsförmedlingens registerlag träda i kraft så snart som möjligt. Regeringen konstaterar att det vore önskvärt om lagändringen kunde träda i kraft samtidigt som aktivitetsrapporten införs. Förslaget kan dock tidigast lämnas i en proposition till riksdagen under hösten och tidigast möjliga datum för ikraftträdande är därför den 1 februari 2014. Arbetsförmedlingen får till dess hantera eventuella lämnade uppgifter som avses i 10 § Arbetsförmedlingens registerlag på annat sätt än i en databas.

6 Konsekvenser

Genom de ändringar i regelverket som här föreslås, skapas förutsättningar för en digital hantering av den s.k. aktivitetsrapporten. Det är i linje med regeringens ambition om en utveckling av verksamheten genom så kallad e-förvaltning, vilket leder till en mer rättssäker och enhetlig hantering av personuppgifter. Förslaget innebär att Arbetsförmedlingens verksamhet underlättas. Det förväntas medföra ett effektivare nyttjande av personella resurser, vilka därmed i stället kan användas i Arbetsförmedlingens matchningsarbete. Aktivitetsrapporten kommer att utgöra underlag för Arbetsförmedlingens dialog med den arbetssökande för att identifiera förbättringsområden och behov av ökat stöd för den arbetssökande. Utöver detta kommer rapporten även att bli ett verktyg i

Arbetsförmedlingens kontrollarbete och ett stöd för den enskilde i hans eller hennes arbete med att lösa arbetslöshetssituationen. För den enskilde kan aktivitetsrapporten innebära en ökad behandling av personuppgifter, beroende på vilka uppgifter han eller hon väljer att lämna i aktivitetsrapporten. För att värna den personliga integriteten är det därför av största vikt att Arbetsförmedlingen löpande följer upp bl.a. arbetsrutiner och system för behörighetstilldelning, och strävar efter att säkerställa ett fullgott integritetsskydd och en fullgod datasäkerhet. Förslaget förväntas inte ha några konsekvenser som påverkar Sveriges åtaganden med avseende på den personliga integriteten inom EU. Förslaget bedöms inte heller ha några ekonomiska konsekvenser för staten.

7 Författningskommentar

Förslaget till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten

10 §

Förslaget behandlas i avsnitt 4.3. I paragrafen regleras Arbetsförmedlingens möjlighet att i en arbetsmarknadspolitisk databas behandla uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716). Med åtgärd enligt utlänningslagen avses exempelvis att den enskilde tas i förvar eller ställs under uppsikt enligt bestämmelser i 10 kap. utlänningslagen. Bestämmelsen förändras på så sätt att Arbetsförmedlingen, till skillnad från tidigare, ska få behandla dessa uppgifter i en databas, men endast om de har lämnats i ett ärende.

Sammanfattning av promemorian Förslag till ändring i 10 § Arbetsförmedlingens registerlag – utökad möjlighet att behandla lämnade uppgifter i en databas (dnr A2013/1422/A)

I promemorian behandlas ett förslag till ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Arbetsförmedlingens registerlag). Bakgrunden är de nyligen beslutade lagändringarna i prop. 2012/13:12 Åtgärder inom arbetslöshetsförsäkringen m.m., som bl.a. innebär införande av en skyldighet för arbetssökande att regelbundet lämna in en webbaserad aktivitetsrapport till Arbetsförmedlingen där de fritt ska kunna lämna information kring sitt arbetssökande. För att inte hindra Arbetsförmedlingen att ha en effektiv hantering av aktivitetsrapporten föreslås en ändring i Arbetsförmedlingens registerlag. Det föreslås att 10 § ändras på så sätt att det ska bli tillåtet för Arbetsförmedlingen att behandla uppgifter i en databas om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (2005:716), om uppgifterna har lämnats i ett ärende. Ändringen föreslås träda i kraft den 1 februari 2014.

Promemorians lagförslag

Förslag till lag om ändring i lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten

Härigenom föreskrivs att 10 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ska ha följande lydelse.

10 §

har vårdats med stöd av har vårdats med stöd av socialtjänstlagen (2001:453) eller socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt varit föremål för åtgärd enligt utlänningslagen (2005:716) får utlänningslagen (2005:716) får inte behandlas i en behandlas i en databas endast om arbetsmarknadspolitisk databas . de har lämnats i ett ärende .

Denna lag träder i kraft den 1 februari 2014.

1 Senaste lydelse 2011:545.

Förteckning över remissinstanserna

Förvaltningsrätten i Göteborg, Justitiekanslern, Migrationsverket, Datainspektionen, Socialstyrelsen, Arbetsförmedlingen och Inspektionen för arbetslöshetsförsäkringen har kommit in med remissyttranden. Föreningen Sveriges socialchefer har fått tillfälle men avstått från att yttra sig.