Bättre förutsättningar för uppföljning av Finsam-insatser

Promemoria Bättre förutsättningar för uppföljning av Finsam-insatser Socialdepartementet

Sammanfattning

För personer som har behov av samordnade rehabiliteringsinsatser är det sedan 2004 möjligt för Försäkringskassan, Arbetsförmedlingen, regioner och kommuner att genom samordningsförbund finansiera sådana insatser, i enlighet med lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser. Insatser inom ramen för den finansiella samordningen bör följas upp och utvärderas på såväl lokal som nationell nivå. För att kunna genomföra uppföljningar av insatsernas resultat och dess samhällsekonomiska effektivitet behövs tillräckligt underlag om rehabiliteringsinsatser som finansieras av samordningsförbund. Berörda aktörer har under en längre tid lyft behovet av att få behandla personuppgifter vid uppföljning och Försäkringskassan har kommit in med en framställan om översyn av bestämmelser om personuppgiftshantering avseende uppföljning av insatser som finansieras av samordningsförbunden (S2024/01218). I denna promemoria föreslås en ny lag för behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Den föreslagna lagen ger Försäkringskassan möjlighet att behandla personuppgifter vid sådan uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Den ger också möjlighet till elektroniskt utlämnande av uppgifterna, exempelvis genom direktåtkomst, till Arbetsförmedlingen samt kommuner och regioner som är medlemmar i samordningsförbund. Samordningsförbunden föreslås få underlag från Försäkringskassan för uppföljning av de rehabiliteringsinsatser som de finansierar utan att personuppgifter hanteras. Vidare föreslås bestämmelser om uppgiftsskyldighet och sekretess för samverkan mellan de samverkande parterna – Försäkringskassan, Arbetsförmedlingen, regioner och kommuner – samt samordningsförbund. Dessutom föreslås bestämmelser som

syftar till att skydda människor mot att deras personliga integritet kränks vid behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Den nya lagen och övriga författningsändringar föreslås träda i kraft den 1 juli 2027.

1 Författningsförslag

1.1 Förslag till lag om behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund

Härigenom föreskrivs följande.

Lagens syfte

1 § Syftet med denna lag är att ge Försäkringskassan möjlighet att behandla personuppgifter på ett ändamålsenligt sätt vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund och att skydda människor mot att deras personliga integritet kränks vid sådan behandling.

Lagens tillämpningsområde

2 § Denna lag gäller vid behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund enligt lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register.

Författningsförslag

Förhållandet till annan reglering

3 § Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandlingen av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Uppgifter om avlidna personer

4 § Vid behandling av uppgifter om avlidna personer ska följande reglering tillämpas: 1. denna lag och föreskrifter som har meddelats i anslutning till lagen, 2. EU:s dataskyddsförordning, och 3. lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen.

Personuppgiftsansvar

5 § Försäkringskassan är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen.

Ändamål

6 § Personuppgifter får behandlas om det är nödvändigt för att utföra verksamhet enligt 2 § första stycket.

Författningsförslag

7 § Personuppgifter som behandlas enligt 6 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

8 § Personuppgifter som behandlas enligt 6 § får också behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med de ändamål som uppgifterna samlades in för.

Känsliga personuppgifter

9 § Sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning får behandlas, om det är nödvändigt med hänsyn till ändamålet med behandlingen.

Sökbegränsningar

10 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Förbudet omfattar dock inte sökningar i syfte att få fram ett urval av personer grundat på personuppgifter om hälsa, om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av denna lag.

Åtkomst till personuppgifter

11 § Åtkomsten till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter enligt denna lag. Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet.

Elektroniskt utlämnande av personuppgifter

12 § Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt.

Författningsförslag

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt.

Längsta tid för behandling

13 § Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter längst får behandlas under viss tid.

Begränsning av rätten att göra invändningar

14 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Denna lag träder i kraft den 1 juli 2027.

Författningsförslag

1.2 Förslag till lag om ändring i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser

Härigenom föreskrivs att det i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser 1 ska införas två nya paragrafer, 27 a och 27 b §§, och närmast före 27 a § en ny rubrik av följande lydelse.

Denna lag träder i kraft den 1 juli 2027. 1 Senaste lydelse av lagens rubrik 2004:793.

Författningsförslag

1.3 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att det i offentlighets- och sekretesslagen (2009:400) ska införas en ny paragraf, 28 kap. 4 c §, och närmast före 28 kap. 4 c § en ny rubrik av följande lydelse.

28 kap.

Denna lag träder i kraft den 1 juli 2027.

Författningsförslag

1.4 Förslag till förordning om ändring i förordningen (2009:1174) med instruktion för Försäkringskassan

Härigenom föreskrivs att det i förordningen (2009:1174) med instruktion för Försäkringskassan ska införas en ny paragraf, 5 c §, av följande lydelse.

Denna förordning träder i kraft den 1 juli 2027.

Författningsförslag

1.5 Förslag till förordning om ändring i förordningen (2024:14) om behandling av personuppgifter vid Försäkringskassan och Pensionsmyndigheten

Härigenom föreskrivs att 5 § förordningen (2024:14) om behandling av personuppgifter vid Försäkringskassan och Pensionsmyndigheten ska upphöra att gälla vid utgången av juni 2027.

2 Ärendet

I maj 2024 kom Försäkringskassan in med en framställan om en översyn av bestämmelserna om personuppgiftshantering avseende uppföljning av insatser som finanserias av samordningsförbunden (S2024/01218). Det nuvarande regelverket ger, enligt Försäkringskassan, inte ett tillräckligt stöd för att hantera personuppgifter för uppföljning av insatser inom den finansiella samordningen. Vidare finns det inte tillräckligt sekretesskydd för uppgifterna som lämnas för uppföljning. Det saknas också sekretessbrytande regler som ger stöd för utbyte av uppgifter för uppföljning. På grund av hur regleringen ser ut saknas det möjlighet att göra mer än en begränsad uppföljning och utvärdering av insatserna. Om en ändamålsenlig uppföljning av insatserna ska kunna ske behöver regleringen ses över. I denna promemoria lämnas författningsförslag som ger förutsättningar för, och skydd för den enskilde i samband med, behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund.

3 Utgångspunkter för promemorians förslag och bedömningar

3.1 Finansiell samordning möjlig sedan 2004

För personer som har behov av samordnade rehabiliteringsinsatser är det sedan 2004 möjligt för Försäkringskassan, Arbetsförmedlingen, regioner och kommuner att genom samordningsförbund finansiera sådana insatser, i enlighet med lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser, förkortad finsam-lagen. Det är frivilligt för parterna att delta i finansiell samordning enligt denna lag. Ett samordningsförbund utgör en offentligrättslig juridisk person som har egen rättskapacitet. Samordningsförbundet beslutar om mål och riktlinjer för den finansiella samordningen samt finansierar insatser i enlighet med syftet med den finansiella samordningen. Samordningsförbundet ska dessutom stödja samarbetet mellan samverkansparterna. Däremot ska samordningsförbundet inte besluta om förmåner eller rättigheter för enskilda eller i övrigt vidta åtgärder som innefattar myndighetsutövning. I förarbetena anges att eftersom samordningsförbundet inte ska bedriva myndighetsutövning gentemot enskilda personer behövs inga särskilda sekretessbestämmelser för detta (prop. 2002/03:132 s. 61). Samordningsförbunden leds av en styrelse som utses av medlemmarna. Varje förbundsmedlem ska vara representerad i styrelsen med minst en ledamot och en ersättare. Styrelsens ledamöter ska antingen vara ledamöter i kommun- eller regionfullmäktige eller anställda vid Arbetsförmedlingen eller

Försäkringskassan. Vid utgången av 2024 fanns det 69 samordningsförbund som innefattade 274 av Sveriges 290 kommuner och samtliga regioner. Finansiell samordning enligt finsam-lagen får bedrivas för att uppnå en effektiv resursanvändning. Insatserna inom den finansiella samordningen ska avse individer som är i behov av samordnade rehabiliteringsinsatser och ska syfta till att dessa uppnår eller förbättrar sin förmåga att utföra förvärvsarbete. Samordningsförbunden koordinerar resurser som de samverkande parterna bidrar med för såväl individinriktade som strukturinriktade insatser. I individinriktade insatser koordinerar samordningsförbunden de resurser som de samverkande parterna avsätter för individer som behöver stöd från flera aktörer. Det är vanligt att s.k. samordningsteam gör en gemensam översyn av personens situation och ger förslag på relevanta insatser som finansieras av förbunden. Exempel på sådana insatser är individuell coachning eller handledning, gruppaktiviteter, arbetsträning, arbetsprövning eller arbetspraktik. De strukturinriktade insatserna syftar till att förbättra samverkan mellan de samverkande parterna. Det kan vara genom att öka medarbetarnas kunskap om individer som behöver samordnad rehabilitering eller genom att skapa goda kontakter för att underlätta samarbetet mellan parterna. Varje samverkande part deltar i insatserna utifrån sitt ansvarsområde. De samverkande parterna kommer överens om vilken part som ska göra vad inom en insats. Även om samtliga parter inte alltid deltar i alla insatser kan de var och en remittera deltagare till insatsen i den omfattning som en individ bedöms ha behov av den aktuella insatsen för att uppnå eller förbättra sin förmåga att utföra förvärvsarbete. Möjligheten att remittera är inte beroende av vilka parter som ansvarar för insatsen. Eftersom insatserna berör en målgrupp med behov av samordnat stöd är det vanligt förekommande att en deltagare har kontakt med flera av de samverkande parterna. Under 2024 var totalt 23 849 individer registrerade i uppföljningssystemet Uppföljning Finsam som deltagare i sådana insatser, varav 57 procent var kvinnor och 43 procent var män (Försäkringskassan, Rapport – Redovisning av målgrupper och insatser som finansieras av samordningsförbund 2024 ). Målgruppen

för samordningsförbundsfinansierade insatser bedöms dessutom omfatta fler individer än så. 2

3.2 Uppföljning och utvärdering av finansiell samordning

Som framgår i förarbetena till finsam-lagen ska uppföljning och utvärdering ges mycket hög prioritet. Finansiell samordning bör följas upp och utvärderas på såväl lokal som nationell nivå. I syfte att säkerställa att de åtgärder som ett samordningsförbund finansierar och tillhandahåller ger avsett resultat krävs det att åtgärderna följs upp och utvärderas på lokal nivå. För att utröna om finansiell samordning är ett samhällsekonomiskt effektivt medel för att bedriva samordnade insatser krävs en oberoende uppföljning och utvärdering av den finansiella samordningen på nationell nivå (prop. 2002/03:132, s. 100). Uppföljning och utvärdering ska, enligt förarbetena till finsamlagen, ske löpande och på ett sådant sätt att behovet av tillförlitlig uppföljning på både lokal och nationell nivå säkerställs. Uppföljning och utvärdering ska vara en integrerad del av verksamheten så att resultaten och erfarenheterna blir till nytta för den pågående verksamheten. Insatser som bedrivs inom ramen för finansiell samordning bör bedömas och värderas utifrån de gemensamma samverkansmålen och de mål som samordningsförbundet anger för sin verksamhet. Det är särskilt viktigt med återkoppling till berörd personal för att kunna se nyttan på handläggar- och verksamhetsnivå (prop. 2002/03:132 s. 101 och 102). Samordningsförbunden ska svara för uppföljning och utvärdering av rehabiliteringsinsatserna (7 § 5 finsam-lagen). Förbundens uppgifter är dock av övergripande natur och deras beslut avser inte enskilda personer i målgruppen. Orsaken till detta är att samordningsförbund varken övertar eller begränsar huvudmännens ansvar för stöd och förmåner till enskilda personer. Beslutanderätten över åtgärder som riktar sig direkt till den enskilde ligger kvar hos de samverkande parterna. Det har dock förekommit att

2 I förarbetena till finsam-lagen anges att målgruppen kan uppgå till 5 procent av befolkningen i förvärvsaktiv ålder, vilket då motsvarade cirka 280 000 personer (prop. 2002/03:132, s. 49).

samordningsförbund har behandlat personuppgifter på ett sätt som det saknats rättsliga förutsättningar för. Dåvarande Datainspektionen (nuvarande Integritetsskyddsmyndigheten, förkortad IMY) konstaterade 2016 att ett samordningsförbund behandlade personuppgifter i strid med dataskyddslagstiftningen. Datainspektionen förelade samordningsförbundet att upphöra att behandla personuppgifter som inte enbart är av administrativ karaktär (tillsynsbeslut dnr 391-2015). Detta innebär att det finns begränsningar för vilken typ av uppföljning ett samordningsförbund kan och ska genomföra. Vid sidan av uppföljning och utvärdering kopplad till enskilda samordningsförbund finns det som ovan nämnts behov av nationell uppföljning och utvärdering i syfte att belysa om finansiell samordning är ett samhällsekonomiskt effektivt medel för att bedriva samordnade insatser (prop. 2002/03:132 s. 102). Försäkringskassan har återkommande i myndighetens regleringsbrev tilldelats uppdrag att samlat redovisa målgrupper och insatser som finansieras av samordningsförbunden. Vidare har regeringen gett utvärderingsuppdrag till Statskontoret (S2003/9151) och Inspektionen för socialförsäkringen, förkortad ISF (S2017/02622 och S2024/00723).

3.3 Underlag för uppföljning av finansiell samordning

3.3.1 Behov av sektorsövergripande system för uppföljning

Av förarbetena till finsam-lagen framgår det att för en ändamålsenlig uppföljning och resultatredovisning av insatser som bedrivs i samverkan är det angeläget att utveckla sektorsövergripande metoder för uppföljning och utvärdering. Stora ansträngningar måste göras för att skapa de utvärderingsverktyg som behövs för att skapa en tillförlitlig uppföljning och resultatredovisning på lokal och nationell nivå (prop. 2002/03:132 s. 100 och 101). De myndigheter som då var centrala för att skapa förutsättningar för en effektiv samverkan inom rehabiliteringsområdet var Arbetsmarknadsstyrelsen (AMS), Arbetsmiljöverket (AV), Riksförsäkringsverket

(RFV) och Socialstyrelsen (SoS). I regleringsbreven för 2003 till AMS, RFV och SoS fick dessa myndigheter i uppdrag att utveckla rutiner för ett sektorsövergripande system för löpande uppföljning av resultaten av samverkan inom rehabiliteringsområdet. Det uppdrag som gavs 2003 resulterade i skapandet av uppföljningssystemet SUS (sektorsövergripande system för uppföljning av samverkan och finansiell samordning inom rehabiliteringsområdet).

3.3.2 Uppgifter om individinsatser som underlag för uppföljning

I uppföljningssystemet SUS registrerades uppgift om namn, personnummer, adress, utbildningsbakgrund, typ av försörjning samt vilken insats som personen skrevs in i. När insatsen avslutades registrerades bl.a. varför så skedde och vilken försörjning personen hade efteråt. Av tekniska skäl ersattes SUS från och med 2023 av systemet Uppföljning Finsam. I likhet med SUS är det Försäkringskassan som förvaltar Uppföljning Finsam. I samband med övergång till det nya uppföljningssystemet Uppföljning Finsam bedömde Försäkringskassan att det saknas rättsligt stöd för att registrera och utbyta personuppgifter i ett gemensamt system. Som en konsekvens av denna bedömning har det inte samlats in eller registrerats några personuppgifter i uppföljningssystemet efter den 1 januari 2023. Uppföljning Finsam innehåller uppgifter om samordningsförbunden och deras ekonomi, samt de insatser som de finansierar och vilka målgrupper insatserna främst riktar sig till. Dessa uppgifter registreras av medarbetare på samordningsförbundet. Utsedda medarbetare från parterna, s.k. deltagaransvariga, registrerar uppgifter om deltagarna för respektive insats. I dagsläget registreras endast antalet män och kvinnor som deltar i de individinriktade insatserna. Till följd av den minskade tillgången på underlag för uppföljning är Försäkringskassans uppdrag om uppföljning begränsat till att avse redovisning av målgrupper och insatser som finansieras av samordningsförbunden. Tidigare, före 2023, redovisade Försäkringskassan även resultat av insatserna med avseende på deltagarnas försörjning och sysselsättning efter insats. ISF, som har utvärderat samordningsförbunden vid flera tillfällen, har i en rapport från 2023 angett att de har använt sig av en

experimentell ansats för att utvärdera effekterna av de samordningsteam som samordningsförbunden finansierar och att det huvudsakliga skälet till tillvägagångsättet är att det varken finns ett heltäckande register med information om de individer som behöver samordnad rehabilitering eller något heltäckande register över de individer som får ta del av de insatser som förbunden finansierar. Vidare bedömer ISF att det utan ett heltäckande uppföljningssystem av förbundens verksamhet är omöjligt att följa upp och verifiera den verksamhet som förbunden finansierar. Det går inte heller att genomföra utvärderingar och uppföljningar av god kvalitet utifrån nuvarande underlag, varken på lokal eller nationell nivå. ISF befarar att det faktum att det inte går att följa upp den verksamhet som förbunden finansierar på individnivå kan komma att få betydande konsekvenser för såväl samordningsförbundens verksamhet som för möjligheterna att följa upp hur de statliga medlen som tilldelas förbunden kommer till användning ( En analys av effekterna av samordningsförbundens verksamhet på individnivå , ISF 2023:2).

3.4 Dagens rättsliga reglering

3.4.1 EU:s dataskyddsförordning och nationell rätt

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), nedan kallad EU:s dataskyddsförordning, utgör den primära rättskällan avseende dataskydd inom EU. Kompletterande nationella bestämmelser till förordningen finns i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, förkortad dataskyddslagen. I svensk rätt finns även specialförfattningar som reglerar dataskydd och personuppgiftsbehandling, s.k. registerförfattningar. Dessa författningar reglerar mer i detalj hur specifika myndigheter får behandla personuppgifter. Registerförfattningar utgör ett komplement till den generella dataskyddsregleringen, dvs. EU:s dataskyddsförordning och dataskyddslagen. Syftet med registerförfattningar är att anpassa

regleringen till de särskilda behov av personuppgiftsbehandling som myndigheterna har i sina respektive verksamheter. Ett flertal myndigheter saknar registerförfattningar. Dessa myndigheter tillämpar enbart den generella dataskyddsregleringen vid personuppgiftsbehandling. Gemensamt för de samverkande parterna är att det saknas rättslig reglering avseende personuppgiftsbehandling vid uppföljning av samordnade rehabiliteringsinsatser. För Försäkringskassans del regleras myndighetens möjligheter att behandla personuppgifter i 114 kap. socialförsäkringsbalken, förkortad SFB, medan Arbetsförmedlingens behandling av personuppgifter regleras genom lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten, förkortad APL. För kommuner tillämpas lagen (2001:454) om behandling av personuppgifter inom socialtjänsten, förkortad SoLPuL, och inom regionerna tillämpas patientdatalagen (2008:355), förkortad PDL, för behandling av personuppgifter inom sjukvården. Inom Arbetsförmedlingen får personuppgifter behandlas för att fullgöra ett uppgiftsutlämnande som anges i lag eller förordning (5 § APL). Arbetsförmedlingen får med stöd av samma lag behandla känsliga personuppgifter om de har lämnats i ett ärende (9 § APL). För kommuner får personuppgifter behandlas om behandlingen är nödvändig för uppgiftsutlämnande som anges i lag eller förordning (6 § SoLPuL). Socialtjänsten får med stöd av samma lag behandla känsliga personuppgifter (7 § SoLPuL). Inom regionerna får personuppgifter behandlas för att fullgöra ett uppgiftsutlämnande som anges i lag eller förordning (2 kap. 5 § PDL). Vårdgivare får med stöd av samma lag behandla känsliga personuppgifter (2 kap. 7 a § PDL).

3.4.2 Sekretessregleringen

Det saknas sekretessbrytande regler

Vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund behövs uppgifter från samtliga samverkande parter. Vissa uppgifter är också sekretessbelagda hos respektive myndighet (25 kap. 1 §, 26 kap. 1 § samt 28 kap. 1 och 11 §§

offentlighets- och sekretesslagen [2009:400], förkortad OSL). Om en uppgift är sekretessbelagd behöver myndigheten ha stöd av en sekretessbrytande bestämmelse för att lämna uppgiften till en annan myndighet (se t.ex. 10 kap. 28 § OSL). Inom den finansiella samordningen saknas specifika bestämmelser som möjliggör att uppgifter lämnas för uppföljning. Enligt Försäkringskassan har ett sekretessbrytande samtycke i praktiken inhämtats enligt 12 kap. 2 § OSL från de deltagare som anvisas till insatser (S2024/01218).

Sekretesskydd för uppgifter vid uppföljningen

Vid Försäkringskassans verksamhet med uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund kan 28 kap. 1 § OSL tillämpas för de personer som har ett ärende hos Försäkringskassan. För övriga deltagare återstår endast det generella skyddet i 21 kap. OSL, som kan ge visst skydd för uppgift om hälsa. I de fall uppgifterna är sekretessreglerade enligt 28 kap. 1 § OSL hos Försäkringskassan kan den sekretessen föras över till övriga myndigheter om de har elektronisk tillgång till en upptagning för automatiserad behandling, s.k. direktåtkomst (11 kap. 4 § OSL). Om det redan finns en tillämplig primär sekretessbestämmelse hos den mottagande myndigheten för uppgifter kan den i stället vara tillämplig enligt 11 kap. 8 § OSL. Försäkringskassan är den myndighet som har i uppdrag att genomföra uppföljning. Myndigheten har, i framställan om översyn av bestämmelser om personuppgiftshantering avseende uppföljning av insatser som finansieras av samordningsförbunden (S2024/01218), gjort bedömningen att bristen på tillämpliga regler leder till att uppgifter som lämnas mellan myndigheterna kan förlora sitt sekretesskydd och att sekretessfrågor i praktiken kan bli komplicerade eftersom en uppgift som behandlas inom uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund kan få olika sekretesskydd beroende av om personen har ett ärende hos Försäkringskassan eller inte. Samtidigt gör Försäkringskassan bedömningen att det visserligen inte sker något röjande av uppgifter i strid med lagstiftning i uppföljningssystemet, men att skyddet för uppgifterna inte kan anses tillräckligt. Försäkringskassan anser att det går att ifrågasätta om behandling av personuppgifter enligt dessa

förutsättningar är förenlig med principen om korrekthet i artikel 5.1 a i EU:s dataskyddsförordning. Den principen innebär att behandlingen av personuppgifter ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de registrerade. Även om hanteringen inte bryter mot denna princip kan regleringen anses otillfredsställande ur integritetssynpunkt.

Olika sekretesskydd för uppgift om hälsa

Försäkringskassan, Arbetsförmedlingen, kommunerna och regionerna omfattas av olika bestämmelser om sekretess enligt offentlighets- och sekretesslagen. Bestämmelserna skiljer sig åt gällande vilka uppgifter de omfattar samt förutsättningarna för sekretess, vilket innebär att samma uppgift kan omfattas av olika sekretesskydd beroende på i vilket sammanhang uppgiften behandlas. Inom hälso- och sjukvården gäller sekretess för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men (25 kap. 1 § OSL). Inom socialtjänsten gäller sekretess för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men (26 kap. 1 § första stycket OSL). Inom Försäkringskassan gäller sekretess för uppgift om en enskilds hälsotillstånd eller andra personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs och uppgiften förekommer i ärendehandläggningen (28 kap. 1 § första stycket OSL). Inom den arbetsmarknadspolitiska verksamheten gäller sekretess för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till denne lider men om uppgiften röjs (28 kap. 11 § OSL).

4 En ny lag för behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund

4.1 Behov av en ny lag

Promemorians förslag

Det ska införas en ny lag om behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund.

Skälen för förslaget

Personuppgifter behövs som underlag för uppföljning Ett samordningsförbund ska enligt 7 § finsam-lagen svara för uppföljning och utvärdering av de rehabiliteringsinsatser som samordningsförbundet finansierar. Försäkringskassan har i myndighetens regleringsbrev getts i uppdrag att samlat redovisa målgrupper och insatser som finansieras av samordningsförbunden.

Uppföljning är en aktivitet som görs löpande för att granska hur t.ex. en insats utvecklas i olika avseenden. Utvärdering är en aktivitet som sker vid särskilda tillfällen och som till skillnad från uppföljning innebär mer av värdering och djupare analys. I utvärderingen görs också mer kvalificerade bedömningar eller så reser man frågor om orsakssamband, dvs. vilken insats som lett till vilken effekt. 3 De förslag som lämnas i denna promemoria syftar till att skapa förutsättningar för löpande uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Den löpande uppföljningen ska ge underlag för en samlad nationell redovisning av de målgrupper och insatser som finansieras av samordningsförbunden. Den ska också ge underlag för respektive samordningsförbund att på lokal nivå följa upp de rehabiliteringsinsatser som förbunden finansierar. Uppföljningen skapar också förutsättningar för att samordningsförbundens respektive parter ska kunna göra longitudinella uppföljningar av hur försörjningssituationen för en insatsdeltagare har förändrats efter deltagande i en rehabiliteringsinsats som finansierats av samordningsförbund. Den kan även användas som underlag för lokala utvärderingar av insatser som samordningsförbund finansierar, t.ex. med avseende på samhällsekonomisk effektivitet. Utvärdering är dock, som framgår ovan, mer omfattande än uppföljning och behöver därför omfatta även andra underlag för att det ska vara möjligt att värdera effekterna av de insatser som samordningsförbunden finansierar. Som framgår av förarbetena till finsam-lagen bedöms det vara lämpligt att fristående expertis anlitas i utvärderingsarbetet. Sådan fristående expertis kan vara universitet och högskolor eller konsulter (prop. 2002/03:132 s. 102). Dessutom kan uppföljningen användas som underlag vid en nationell utvärdering av finansiell samordning för att värdera insatsernas samhällsekonomiska effektivitet. För att en ändamålsenlig uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund ska kunna genomföras krävs tillräckligt underlag i form av uppgifter på individnivå gällande de personer som omfattas av insatserna. Det har inte samlats in eller registrerats några personuppgifter efter den 1 januari 2023 till följd av Försäkringskassans bedömning att det saknas rättsligt stöd för att registrera och utbyta personuppgifter i ett gemensamt system.

3 Riksrevisionen, RiR 2016:29, Statens styrning genom riktade statsbidrag inom hälso- och sjukvården, Bilaga 3. Uppföljningar och utvärderingar.

Denna avsaknad av personuppgifter resulterar i att underlaget för uppföljning blir otillräckligt, vilket i sin tur försvårar möjligheterna till att genomföra verkningsfulla uppföljningar av de insatser som finansieras. Försäkringskassan har påtalat behovet av en översyn av bestämmelserna om personuppgiftsbehandling vid sådan uppföljning. ISF befarar att den bristfälliga rättsliga regleringen kan komma att få betydande konsekvenser för såväl samordningsförbundens verksamhet som för möjligheterna att följa upp hur de statliga medlen som tilldelas förbunden kommer till användning. Vidare har Datainspektionen (nuvarande Integritetsskyddsmyndigheten, IMY) 2016 bedömt att ett samordningsförbund behandlade personuppgifter i strid med nu upphävda personuppgiftslagen (1998:204), tillsynsbeslut dnr 391-2015. Aspekterna angivna ovan illustrerar behovet av rättsligt stöd för personuppgiftsbehandling vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Den personuppgiftsbehandling som fordras för uppföljning berör de parter som ingår i ett samordningsförbund – Försäkringskassan, Arbetsförmedlingen, regioner och kommuner – samt samordningsförbunden. Det innebär att det finns behov av en reglering som omfattar samverkan mellan samtliga samverkande parter liksom samordningsförbund. I syfte att möta detta behov bör det införas en ny dataskyddslag för uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund.

Den nya lagens utformning

Registerförfattningar är ofta uppbyggda på liknande sätt. De inledande bestämmelserna anger författningens tillämpningsområde, t.ex. en viss verksamhet inom en viss myndighet. Även förhållandet till annan reglering brukar anges i inledningen. De allra flesta registerförfattningar innehåller därefter ändamålsbestämmelser som kan delas upp i bestämmelser om primära och sekundära ändamål. Utöver detta anges inte sällan att uppgifter får behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Det anges ofta att uppgifter får behandlas för andra ändamål, under förutsättning att uppgifterna

inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Efter ändamålsbestämmelserna finns oftast bestämmelser om bl.a. personuppgiftsansvar, behandling av känsliga personuppgifter, förbud mot vissa sökningar och begränsningar av tillgången till personuppgifter. Flera registerförfattningar innehåller villkor för olika former av elektroniskt utlämnande av uppgifter. Den föreslagna lagen om personuppgiftshantering vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbud föreslås vara uppbyggd på ett motsvarande rätt.

4.2 Allmänna bestämmelser om personuppgiftsbehandling i den nya lagen

4.2.1 Lagens syfte

Promemorians förslag

Lagen ska ge Försäkringskassan möjligheter att behandla personuppgifter på ett ändamålsenligt sätt vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Lagen ska samtidigt skydda människor mot att deras personliga integritet kränks vid personuppgiftsbehandlingen.

Skälen för förslaget

En syftesbestämmelse saknar visserligen eget materiellt innehåll, men kan ge värdefull vägledning i fråga om hur de materiella bestämmelserna i en författning ska tolkas. Det bedöms därför vara motiverat att det i lagen införs en bestämmelse som anger i vilket sammanhang det finns ett behov av lagens bestämmelser samt anger ramarna för den personuppgiftsbehandling som aktualiseras vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Den föreslagna lagen syftar dels till att möjliggöra en ändamålsenlig personuppgiftsbehandling vid uppföljningen, dels till

att skydda enskilda mot integritetsintrång vid sådan behandling. Det föreslås att detta dubbla syfte ska framgå av en inledande bestämmelse i lagen. Bestämmelsens formulering bör vara att verksamhet som finansieras av samordningsförbund ska kunna följas upp på ett ändamålsenligt sätt och att människor ska skyddas mot att deras personliga integritet kränks vid sådan behandling. Motsvarande formulering finns i vissa moderna dataskyddslagar, se t.ex. 1 § beskattningsdatalagen (2026:125), 1 § kronofogdedatalagen (2026:128) samt 1 och 2 §§ i den föreslagna lagen om socialdataregister (prop. 2025/26:165).

4.2.2 Lagens tillämpningsområde

Promemorians förslag

Lagen ska gälla vid behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register.

Skälen för förslaget

För Försäkringskassans del gäller socialförsäkringsbalkens bestämmelser om behandling av personuppgifter i verksamhet som avser förmåner enligt balken samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan. När det gäller personer som har ett förmånsärende hos Försäkringskassan går det att argumentera för att uppföljningen av insatserna i samordningsförbunden kan vara en del av uppföljningen av förmånen och att 114 kap. SFB därmed är tillämplig för personuppgiftsbehandlingen. När det gäller rehabiliteringsinsatser som finansieras av samordningsförbund ges insatser även till personer som inte har något förmånsärende hos Försäkringskassan. För dessa personer omfattas inte personuppgiftsbehandlingen av socialförsäkringsbalken och Arbetsför-

medlingen, kommunerna och regionerna har – till skillnad från Försäkringskassan – inget uppdrag att hantera personuppgifter för gemensam uppföljning. Tillämpningsområdet för den föreslagna lagen bör därför vara uppföljning av verksamhet som avses i 1 § finsam-lagen, oaktat vilka parter som samverkar. Den föreslagna lagen bör endast gälla vid helt eller delvis automatiserad (elektronisk) behandling av personuppgifter eller om personuppgifterna ingår i eller kommer ingå i ett register (system för uppföljning). Det föreslås komma till uttryck i den nya lagen. Syftet är att visa att lagens tillämpningsområde ansluter till EU:s dataskyddsförordning (artikel 2.1 i förordningen). Med automatiserad behandling avses elektronisk behandling. Delvis automatiserad behandling kan i sin tur vara när personuppgifter t.ex. samlas in manuellt i syfte att senare föras in i ett automatiserat register. Det gäller när tjänstemän från de samverkande parterna muntligen eller skriftligen i fysisk form (på papper) tar emot information om en deltagare som sedan registreras i uppföljningssystemet. Minnesanteckningar som enbart förs på papper kommer inte omfattas av lagens tillämpningsområde.

4.2.3 Lagens förhållande till annan reglering

Promemorians förslag

Lagen ska innehålla en bestämmelse som upplyser om att lagen kompletterar EU:s dataskyddsförordning. Lagen ska även innehålla en bestämmelse som anger att dataskyddslagen samt föreskrifter som har meddelats i anslutning till den lagen gäller vid behandlingen av personuppgifter enligt den nya lagen, om inte annat följer av den nya lagen eller föreskrifter som har meddelats i anslutning till denna.

Skälen för förslaget

EU:s dataskyddsförordning utgör den generella regleringen av personuppgiftsbehandling inom EU. Den är i alla delar bindande och

direkt tillämplig i medlemsstaterna. Förordningen ska alltså tillämpas av myndigheter och enskilda på samma sätt som om den vore en nationell lag. Den gäller oavsett om det i lagen införs en bestämmelse som hänvisar till den eller inte. En upplysningsbestämmelse bör dock införas för att tydliggöra att lagen innehåller kompletterande bestämmelser till förordningen. En sådan upplysningsbestämmelse klargör framför allt att lagen inte kan tillämpas fristående, utan att lagen ska tillämpas tillsammans med EU:s dataskyddsförordning. Motsvarande bestämmelse finns i Försäkringskassans och Arbetsförmedlingens registerförfattningar (114 kap. 3 § SFB och 2 § APL). I svensk rätt har det antagits generella kompletterande bestämmelser till EU:s dataskyddsförordning genom dataskyddslagen. Bestämmelserna i dataskyddslagen är subsidiära i förhållande till annan nationell dataskyddsreglering. Specialbestämmelser i andra författningar om behandling av personuppgifter ska därför tillämpas före de allmänna bestämmelserna i dataskyddslagen. Det behövs därför inte någon materiell bestämmelse för att specialbestämmelser i de nya lagarna ska ges företräde framför de generella bestämmelserna i dataskyddslagen. För att det, liksom inom annan motsvarande lagstiftning, ska vara tydligt hur den nya lagen förhåller sig till dataskyddslagen föreslås dock att den föreslagna lagen ska innehålla en upplysningsbestämmelse om att dataskyddslagen är subsidiär i förhållande till lagen.

4.2.4 Särskilt om avlidna personer

Promemorians förslag

Vid behandling av uppgifter om avlidna personer ska lagen och föreskrifter som har meddelats i anslutning till lagen, EU:s dataskyddsförordning, och dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen tillämpas.

Skälen för förslaget

EU:s dataskyddsförordning är inte tillämplig på uppgifter om avlidna personer. En medlemsstat får dock fastställa bestämmelser för behandling av sådana personuppgifter (skäl 27 till EU:s dataskyddsförordning). Det kan förekomma att personer som har deltagit i rehabiliteringsinsatser som finansieras av samordningsförbund avlider innan deras personuppgifter har slutbehandlats i systemet för uppföljning av sådana insatser (jfr avsnitt 4.9). För att kunna använda uppföljningssystemet även för uppföljning över tid är det därför nödvändigt att kunna behandla samtliga uppgifter i registret, även uppgifter om personer som efter registreringen i uppföljningssystemet har avlidit. De uppgifter om avlidna som kan förekomma i uppföljningssystemet är av mer eller mindre integritetskänslig natur. Regeringen har konstaterat att avlidna personer inte har samma behov av integritetsskydd som levande men att det kan finnas skäl att tillämpa vissa grundläggande bestämmelser även på andra uppgifter än personuppgifter (prop. 2018/19:33 s. 67). Eftersom de personuppgifter som kommer att förekomma i systemet för uppföljning av rehabiliteringsinsatser regelmässigt kommer vara av känslig natur (jfr avsnitt 4.5) är det angeläget att sådana uppgifter omfattas av det integritetsskyddande regelverket som denna promemorias förslag till lag om behandling av personuppgifter utgör. Att lagen gäller även för uppgifter om avlidna kan också anses bidra till att upprätthålla den frid som bör tillkomma en avliden person. Även för efterlevande kan det vara betydelsefullt att uppgifter om avlidna skyddas (jfr prop. 2025/26:165 s. 38). Det

ligger dock i sakens natur att bestämmelser som på något sätt kräver den registrerades agerande eller medverkan i övrigt inte är tillämpliga på avlidna personer. Detsamma gäller rättigheter som tillkom den avlidne när denne var i livet. Det innebär t.ex. att bestämmelser om rätten till information, rätten till skadestånd och möjligheten att begära rättelse av registrerades personuppgifter inte är tillämpliga i förhållande till avlidna (jfr prop. 2019/20:106 s. 32). För att få en enhetlig och heltäckande reglering bör även EU:s dataskyddsförordning, dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen gälla för uppgifter om avlidna. I huvudsak bör samma krav gälla för uppgifter om avlidna personer som för levandes personuppgifter. Exempelvis bör ändamålsbestämmelser, krav för behandling av känsliga personuppgifter och de principer som följer av artikel 5 i EU:s dataskyddsförordning gälla för uppgifter om avlidna personer. Att vissa bestämmelser inte är tillämpliga vid behandling av uppgifter som avser avlidna personer följer av de regelverk som paragrafen hänvisar till. Det bedöms därför inte finnas skäl att ange detta uttryckligen i lagtexten.

4.3 Personuppgiftsansvar

Promemorians förslag

Försäkringskassan ska vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen eller enligt föreskrifter som har meddelats i anslutning till lagen.

Skälen för förslaget

Begreppet personuppgiftsansvar är centralt i EU:s dataskyddsförordning. Med personuppgiftsansvarig avses en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7 i EU:s dataskyddsförordning).

Det kan förekomma att personuppgiftsbiträden anlitas. Myndigheterna kan t.ex. anlita en aktör som ska ansvara för viss behandling av personuppgifter. I sådana fall ska parterna skriva ett s.k. personuppgiftsbiträdesavtal (artikel 28.3 i EU:s dataskyddsförordning). Vad som gäller när personuppgiftsansvariga anlitar personuppgiftsbiträden regleras på ett detaljerat sätt i EU:s dataskyddsförordning. Det bedöms därför inte finnas något behov av att införa bestämmelser om personuppgiftsbiträden i den nya lagen. Det ska finnas en personuppgiftsansvarig för all behandling av personuppgifter. Försäkringskassan har idag genom myndighetens regleringsbrev i uppdrag att samlat redovisa målgrupper och insatser som finansieras av samordningsförbunden. För genomförande av detta uppdrag har uppföljningssystemet Uppföljning Finsam skapats. Det är Försäkringskassan som ansvarar för drift och utveckling av systemet Uppföljning Finsam. Det bedöms ändamålsenligt att Försäkringskassan även fortsättningsvis är ansvarig myndighet för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Försäkringskassan föreslås därför vara personuppgiftsansvarig för behandlingen av personuppgifter i uppföljningssystemet som myndigheten utför med stöd av lagen, liksom enligt föreskrifter som har meddelats i anslutning till lagen. Det innebär att myndigheten ansvarar för lagring av uppgifter, hur de processas och för utlämnande. Samtliga överväganden, exempelvis ändamål och skyddsåtgärder i lagen, utgår från en ordning där Försäkringskassan är ensam personuppgiftsansvarig. Även om dessa överväganden skulle kunna gälla även andra myndigheter görs bedömningen att, om det i framtiden anses att andra myndigheter utöver eller i stället för Försäkringskassan ska kunna förvalta ett uppföljningssystem för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund, en sådan ändring i så fall bör föregås av en lagändring med de överväganden som ett lagstiftningsförfarande kräver. Det bör därför införas en bestämmelse som anger att Försäkringskassan är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen, eller enligt föreskrifter som har meddelats i anslutning till lagen.

4.4 Ändamålet för behandling av personuppgifter

4.4.1 Rättslig grund för behandling av personuppgifter

Promemorians förslag

Försäkringskassans ansvar för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund ska anges i förordningen med instruktion för Försäkringskassan.

Promemorians bedömning

Försäkringskassans behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund har stöd främst i den rättsliga grunden allmänt intresse men även i den rättsliga grunden rättslig förpliktelse i EU:s dataskyddsförordning. Arbetsförmedlingens, kommuners och regioners behandling av personuppgifter vid Försäkringskassans uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund har stöd främst i den rättsliga grunden rättslig förpliktelse och allmänt intresse.

Skälen för förslaget och bedömningen

Behandling av personuppgifter vid nationell uppföljning

För att behandling av personuppgifter över huvud taget ska vara tillåten krävs att någon av de rättsliga grunder (villkor för laglig behandling) som anges i artikel 6 i EU:s dataskyddsförordning är tillämplig. Av särskilt intresse för myndigheters verksamhet är artikel 6.1 c. Denna rättsliga grund gäller när behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Även artikel 6.1 e är av särskilt intresse. Denna rättsliga grund gäller i sin tur när behandlingen är nödvändig

för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden måste fastställas i enligt med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av (artikel 6.3 första stycket). Det innebär att det är lagstiftarens sak att tillhandahålla den rättsliga grunden för myndigheternas behandling av personuppgifter (jfr skäl 47 till EU:s dataskyddsförordning). Detta görs t.ex. i myndigheternas instruktioner, i vilka det bl.a. framgår vad respektive myndighet har för uppgifter. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste bedömas från fall till fall utifrån behandlingens och verksamhetens karaktär. Försäkringskassan får årligen genom regleringsbrev i uppdrag att följa upp insatserna som finansieras av samordningsförbunden. Genom finsam-lagen blir detta uppdrag en uppgift som är återkommande och långsiktig. En sådan uppgift bör anges i förordningen (2009:1174) med instruktion för Försäkringskassan, här benämnd Försäkringskassans instruktion. Därigenom får Försäkringskassan en rättslig grund för personuppgiftsbehandlingen som uppfyller EU:s dataskyddsförordnings krav på tydlighet, precision, förutsebarhet och proportionalitet.

Behandling av personuppgifter till följd av uppgiftsskyldigheter

Arbetsförmedlingen, kommuner och regioner behöver behandla personuppgifter för att möjliggöra sin uppgiftsskyldighet vid Försäkringskassans uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Stöd för en sådan behandling finns i EU:s dataskyddsförordning i artikel 6.1 c (rättslig förpliktelse) och 6.1 e (allmänt intresse). I avsnitt 5.1 föreslås att Arbetsförmedlingen samt region och kommun som är medlem i ett samordningsförbund ska vara skyldiga att lämna de uppgifter som de förfogar över och som behövs för uppföljning av den finansiella samordningen till Försäkringskassan. Detta innebär att den rättsliga grunden för behandlingen kommer att vara fastställd i den nationella

rätten på det sätt som krävs enligt artikel 6.3 i EU:s dataskyddsförordning. En bestämmelse om uppgiftsskyldighet bryter sekretessen mellan myndigheterna och utgör rättslig grund för den personuppgiftsbehandling som uppgiftslämnandet utgör, för Försäkringskassan och för den part som lämnar uppgiften. Den föreslagna bestämmelsen om uppgiftsskyldighet bedöms ge rättslig grund för Arbetsförmedlingens, kommuners och regioners personuppgiftsbehandling med anledning av uppgiftslämnandet.

4.4.2 Primärt ändamål

Promemorians förslag

Personuppgifter ska få behandlas om det är nödvändigt för att följa upp rehabiliteringsinsatser som finansieras av samordningsförbund.

Skälen för förslaget

Utöver rättslig grund ska all behandling av personuppgifter genomföras i enlighet med EU:s dataskyddsförordnings grundläggande principer. Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål, vilket betyder att det alltid måste finnas minst ett ändamål med personuppgiftsbehandlingen. Ändamålet med behandlingen är avgörande för flera av de grundläggande principerna i EU:s dataskyddsförordning, bl.a. för att avgöra vilka personuppgifter som får behandlas. En behandling enligt artikel 6.1 c eller e i EU:s dataskyddsförordning är bara tillåten om den är nödvändig. Vanligtvis anses det nödvändigt att behandla personuppgifter elektroniskt eftersom en manuell informationshantering inte utgör ett realistiskt alternativ för vare sig myndigheter eller företag (prop. 2017/18:105 s. 46 och 47 och EU-domstolens dom i målet Huber mot Tyskland C-524/06, EU:C:2008:724). Att behandlingen ska vara nödvändig innebär inte

att det ska vara omöjligt att uppnå syftet med behandlingen utan att personuppgifter behandlas elektroniskt. Kravet på nödvändighet innebär dock att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås med andra medel, t.ex. genom att anonymisera uppgifterna (prop. 2017/18:232 s. 117). En bedömning av om nödvändighetskravet är uppfyllt måste göras inför varje behandling. Det föreslås att personuppgifter ska få behandlas elektroniskt vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund, under förutsättning att det är nödvändigt att behandla personuppgifterna för att följa upp rehabiliteringsinsatser finansierade av samordningsförbund. Syftet med personuppgiftsbehandlingen bedöms inte kunna uppnås på annat sätt; manuell informationshantering är inte ett realistiskt alternativ.

4.4.3 Sekundära ändamål

Promemorians förslag

Personuppgifter som behandlas enligt det primära ändamålet ska även få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Skälen för förslaget

Personuppgifter kan behandlas enligt primära eller sekundära ändamål. Syftet med denna uppdelning är att göra det tydligt hur personuppgifter dels behandlas i myndigheters egen verksamhet, dels behandlas för att lämnas ut till andra. Primära ändamål speglar ofta en myndighets författningsreglerade uppdrag och arbetsuppgifter. Sekundära ändamål avser vanligtvis tillhandahållande av personuppgifter till externa mottagare, inte sällan andra myndigheter, i syfte att tillgodose dessa aktörers behov. Så är fallet även i fråga om uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Försäkringskassan föreslås ha det författningsreglerade uppdraget att svara för uppföljning av

rehabiliteringsinsatser som finansieras av samordningsförbund medan Arbetsförmedlingen samt kommuner och regioner som ingår i samverkan föreslås ha uppdraget att lämna de uppgifter till Försäkringskassan som behövs för uppföljningen av den finansiella samordningen. Sedan 2023 sker ingen registrering av personuppgifter, eftersom Försäkringskassan har gjort bedömningen att det nuvarande regelverket inte ger ett tillräckligt stöd för att hantera personuppgifter för uppföljning av insatser som finansieras av samordningsförbund. Före 2023 registrerade medarbetare hos någon av de samverkande parterna – Arbetsförmedlingen, kommun, region eller Försäkringskassan – uppgifter, däribland personuppgifter, i ett gemensamt uppföljningssystem som tillhandahölls av Försäkringskassan (se avsnitt 3.3.2). De uppgifter som registrerades hade lämnats av de enskilda individer som deltog i en insats, muntligen eller via blankett. En del i att följa upp rehabiliteringsinsatser som finansieras av samordningsförbund är att registrera uppgifter om individer som deltar i sådana insatser. Registrering behöver göras av medarbetare från de samverkande parterna. Det kan ske på olika sätt. En medarbetare som tilldelas en samordnande roll (s.k. deltagaransvarig) kan ha behov av att registrera uppgifter om individer som anvisas från annan än den egna myndigheten. Vidare kan det vara så att medarbetare från en samverkande part får i uppgift att skriva in en individ i en insats medan en medarbetare från en annan samverkande part får i uppgift att skriva ut individen från insatsen. Det kan även hända att någon uppgift ändras under tiden mellan inskrivning och utskrivning. En sådan åtgärd ska någon av de medarbetare som har tilldelats behörighet kunna vidta, oavsett vilken av parterna som har anvisat individen till rehabiliteringsinsatsen. Under förutsättning att tekniska lösningar finns att tillgå kan personuppgifter komma att registreras direkt av remitterande part i Försäkringskassans uppföljningssystem. Eftersom arbete med rehabiliteringsinsatser som finansieras av samordningsförbund sker i samverkan mellan Försäkringskassan, Arbetsförmedlingen samt region och kommun som är medlem i ett samordningsförbund måste personuppgifter som behandlas enligt det primära ändamålet även få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

4.4.4 Finalitetsprincipen

Promemorians förslag

Personuppgifter som behandlas för det primära ändamålet ska även få behandlas för andra ändamål, under förutsättning att dessa inte är oförenliga med det ändamål för vilket de samlades in.

Skälen för förslaget

En upplysningsbestämmelse om att finalitetsprincipen gäller ska införas

Av artikel 5.1 b i EU:s dataskyddsförordning framgår principen om ändamålsbegränsning (finalitetsprincipen). Den innebär att uppgifter inte får vidarebehandlas för ändamål som är oförenliga med insamlingsändamålet. Vid tillämpning av finalitetsprincipen ska myndigheterna beakta det sammanhang inom vilket personuppgifterna har samlats in, personuppgifternas art, eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen och förekomsten av lämpliga skyddsåtgärder. Finalitetsprincipen bör utgöra den yttersta ramen för personuppgiftsbehandlingen i ett uppföljningssystem för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Finalitetsprincipen innebär i sig ett integritetsskydd eftersom den förbjuder ytterligare behandling av personuppgifter som är oförenlig med ursprungsändamålen. Vid tillämpning av finalitetsprincipen ska kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen, det sammanhang inom vilket personuppgifterna har samlats in, personuppgifternas art, eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen och förekomsten av lämpliga skyddsåtgärder beaktas (artikel 6.4 i EU:s dataskyddsförordning). Finalitetsprincipen kan alltså inte tillämpas utan avvägningar som i praktiken innebär att de nya ändamålen kommer att behöva ligga

mycket nära de ursprungliga ändamålen eller kunna ses som en naturlig förlängning av de ursprungliga ändamålen. Vid utlämnande av personuppgifter gäller dessutom bestämmelser om sekretess (jfr prop. 2023/24:29 s. 50). Bestämmelser om finalitetsprincipen i EU:s dataskyddsförordning är direkt tillämpliga vid Försäkringskassans behandling av personuppgifter. Vidare kommer finalitetsprincipen till uttryck i dataskyddslagarna för Försäkringskassan och Arbetsförmedlingen (114 kap. 10 § SFB respektive 5 a § APL). Av tydlighetsskäl föreslås att det bör införas en bestämmelse som ger uttryck för finalitetsprincipen genom att ange att personuppgifter som behandlas för något av de i lagen angivna ändamålen även får behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Långtidsuppföljningar, utvärdering och forskning

Finalitetsprincipen kan ge stöd för att samköra uppgifter i ett system för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund med uppgifter från befintliga register hos t.ex. Arbetsförmedlingen, Socialstyrelsen och Statistikmyndigheten SCB. Sådan samkörning av uppgifter ska syfta till att ge ökad kunskap om resultaten av rehabiliteringsinsatser som finansieras av samordningsförbund. Det kan handla om att genom samkörning följa upp hur försörjningssituationen för en insatsdeltagare har förändrats efter deltagande i en rehabiliteringsinsats som finansierats av samordningsförbund, s.k. långtidsuppföljningar. Ett sådant exempel kan vara att Arbetsförmedlingen följer upp de individer som myndigheten anvisat till en rehabiliteringsinsats som finansieras av samordningsförbund genom att samköra uppgifter i uppföljningssystemet med Arbetsförmedlingens registeruppgifter för dessa individer. Det kan också handla om att genom samkörning få ytterligare underlag för att utvärdera insatser som finansieras av samordningsförbund. Det kan vidare handla om att samköra uppgifter för forskningsändamål. Samtidigt som samkörning anses kunna medföra stor nytta för att exempelvis vidga kunskapen inom ett aktuellt område, kan

samkörning av stora uppgiftsmängder mellan flera system även medföra större risker ur integritetssynpunkt. Personuppgiftsansvarig, som föreslås vara Försäkringskassan, bör genomföra en noggrann prövning enligt artikel 6.4 EU:s dataskyddsförordning om en samkörning är förenlig med insamlingsändamålen. Vid denna prövning ska personuppgifternas känslighet särskilt beaktas (artikel 6.4 c). Samkörning får vidare endast ske om det är tillåtet enligt relevanta bestämmelser om sekretess. Försäkringskassan måste även vid en proportionalitetsavvägning noggrant pröva samtliga skäl som talar för respektive emot en sådan behandling av personuppgifter.

4.5 Känsliga personuppgifter

Promemorians förslag

Försäkringskassan ska få behandla känsliga personuppgifter när det är nödvändigt med hänsyn till ändamålet med behandlingen.

Skälen för förslaget

Behandling av känsliga personuppgifter

Personuppgifter är all slags information som direkt eller indirekt kan knytas till en person som är i livet. Det är som huvudregel förbjudet att behandla känsliga personuppgifter enligt EU:s dataskyddsförordning. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning (artikel 9.1). Det finns ett antal undantag från förbudet (artikel 9.2). Det är t.ex. tillåtet att behandla känsliga personuppgifter om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval

av unionsrätten eller medlemsstaternas nationella rätt. Behandlingen av de känsliga personuppgifterna ska då stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel 9.2 g). Det anses utgöra ett viktigt allmänt intresse att svenska myndigheter kan bedriva den verksamhet som tydligt faller inom ramen för deras uppdrag på ett korrekt, rättssäkert och effektivt sätt (prop. 2017/18:105 s. 83).

Känsliga personuppgifter ska få behandlas vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund

Försäkringskassan föreslås, som ovan nämnts, vara personuppgiftsansvarig för behandlingen av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. För att kunna genomföra uppföljningar av god kvalitet är det nödvändigt att behandla känsliga personuppgifter, framför allt uppgifter om hälsa. Behandlingen av de känsliga personuppgifterna bedöms stå i proportion till det eftersträvade syftet samt i övrigt uppfylla kraven enligt EU:s dataskyddsförordning. Vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund förekommer uppgift om hälsa direkt eller indirekt. En individs behov av en rehabiliteringsinsats som finansieras av samordningsförbund bedöms i sig vara en känslig personuppgift. Vidare förekommer behandling av uppgifter som indirekt avser hälsa. Det kan avse uppgifter om en individs försörjning, t.ex. om individen har beviljats en socialförsäkringsförmån och till vilken omfattning förmånen utgår. Även uppgift om att en deltagare anvisats till en rehabiliteringsinsats av hälso- och sjukvården är exempel på uppgift om hälsa som skulle kunna förekomma. Sådana uppgifter behövs för att kunna följa upp insatserna på ett ändamålsenligt sätt. I förlängningen handlar det om att ge underlag för att utforma insatser av god kvalitet. Mot denna bakgrund föreslås att Försäkringskassan ska få behandla personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) när det är nödvändigt vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund.

Begreppet nödvändigt innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Det behöver alltså inte vara omöjligt för myndigheterna att utföra sina författningsreglerade uppgifter om inte känsliga personuppgifter behandlas. Behandlingen ska dock alltid vara motiverad utifrån de författningsreglerade uppgifterna. Behandlingen ska även behövas för att myndigheterna ska kunna bedriva sina verksamheter på ett korrekt, rättssäkert och effektivt sätt. I kravet på nödvändighet ligger även att känsliga personuppgifter inte får behandlas om syftet med behandlingen kan uppnås genom andra medel, t.ex. genom att anonymisera uppgifterna eller att i stället behandla andra typer av uppgifter. Det ligger i sakens natur att direkta eller indirekta uppgifter om hälsa är nödvändiga att behandla om rehabiliteringsinsatser ska kunna följas upp. I egenskap av ansvarig för personuppgiftsbehandlingen har Försäkringskassan dock att ta ställning till vilka personuppgifter som behövs vid uppföljningen. Den föreslagna regleringen om behandling av känsliga personuppgifter bör av tydlighetsskäl hänvisa till uppgifter som anges i artikel 9.1 i EU:s dataskyddsförordning. Det blir då tydligt vad som avses med känsliga personuppgifter. Hänvisningen bör vara dynamisk, dvs. avse EU:s dataskyddsförordning i den vid varje tidpunkt gällande lydelsen. På så sätt säkerställs att eventuella ändringar i dataskyddsförordningen får omedelbart genomslag.

4.6 Sökbegränsningar

Promemorians förslag

Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökningar i syfte att få fram ett urval av personer grundat på personuppgifter om hälsa ska dock få göras om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av lagen.

Skälen för förslaget

Sökning är en form av personuppgiftsbehandling enligt EU:s dataskyddsförordning (artikel 4.2). Sökningar som avslöjar och sammanställer känsliga personuppgifter innebär särskilda risker för enskildas personliga integritet. Möjligheter att söka på känsliga personuppgifter kan leda till kartläggning av personer på grundval av t.ex. etnicitet, politisk ståndpunkt eller religiös uppfattning. Av integritetsskäl är det vanligt förekommande med säkerhetsåtgärder i form av sökbegränsningar som utgår från syftet med en sökning i dataskyddslagar. Sådan reglering finns exempelvis i Försäkringskassans och Arbetsförmedlingens registerförfattningar (114 kap. 12 § SFB och 14 § APL). Eftersom känsliga personuppgifter kommer att förekomma i verksamheten med uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund bör en motsvarande sökbegränsning som utgår från syftet med sökningen införas i den nya lagen. Sökbegränsningen bör utformas så att det som utgångspunkt ska vara förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Om syftet med sökningen inte är att få fram ett urval grundat på känsliga personuppgifter är den tillåten, även om känsliga personuppgifter används vid sökningen (jfr prop. 2017/18:105 s. 91). Det är alltså syftet med resultatet av sökningen som är avgörande för om det föreligger ett sökförbud eller inte. Sökbegränsningen hindrar inte sökningar som görs för att t.ex. ta fram verksamhetsstatistik, för registervård eller för att söka efter ett namn (jfr prop. 2017/18:105 s. 91). Det är dock inte tillåtet att utföra sökningar som innebär att personer kartläggs på grundval av känsliga personuppgifter. Sökbegränsningen omfattar alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Eftersom uppgift om hälsa kommer behandlas både direkt och indirekt vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund så behöver det finnas möjlighet att utföra sökningar grundat på personuppgifter om hälsa, om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av den föreslagna lagen.

Sammanfattningsvis föreslås att det i lagen införs en sökbegränsning i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Sökningar i syfte att få fram ett urval av personer grundat på personuppgifter om hälsa föreslås dock få göras i de fall sökningen bedöms vara nödvändig för att utföra en uppgift i verksamhet som omfattas av lagen.

4.7 Åtkomst till personuppgifter

Promemorians förslag

Försäkringskassan ska begränsa åtkomsten till personuppgifter till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter enligt lagen. Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet.

Skälen för förslaget

Behörighetsbegränsning som skyddsåtgärd

Utgångspunkten är att personuppgifter inte ska spridas till fler än vad som är nödvändigt med hänsyn till ändamålet med personuppgiftsbehandlingen (artikel 5.1 f i EU:s dataskyddsförordning). Om personuppgifter sprids ökar risken för att uppgifterna kan användas på ett sätt som medför integritetsintrång. Att begränsa tillgången till personuppgifter är en viktig åtgärd för att säkerställa den registrerades grundläggande rättigheter och intressen. Det följer redan av EU:s dataskyddförordning (jfr artikel 9.2 g). Av integritetsskäl bör det finnas en reglering i den nya lagen som tydliggör att tillgången till personuppgifter ska begränsas. Den myndighet som är ansvarig för personuppgiftsbehandlingen har ansvar att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifter inte sprids utanför den krets

av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter (jfr artikel 32 i EU:s dataskyddsförordning).

Begränsad åtkomst till personuppgifter

Frågan är på vilket sätt åtkomsten till personuppgifter bör begränsas. Utgångspunkten vid all personuppgiftsbehandling är att det ska finnas ett berättigat behov av åtkomst till personuppgifter. Den som arbetar vid Försäkringskassan ska alltså inte ges obegränsad tillgång till alla personuppgifter som behandlas i uppföljningssystemet. Åtkomsten ska gälla sådana uppgifter som det är tänkbart att personen behöver utifrån sina arbetsuppgifter. Uttrycket ”var och en” inkluderar såväl tillsvidareanställd personal som personer med en tidsbegränsad anställning och konsulter (jfr prop. 2025/26:88 s. 122). Avsikten är att alla som kommer i kontakt med personuppgifter vid arbetet med uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund ska omfattas av bestämmelsen och alltså endast få tillgång till de personuppgifter som behövs för att utföra arbetsuppgifterna. Vilken åtkomst till uppgifter som ges till anställda hos Försäkringskassan eller annan bestäms av Försäkringskassan i egenskap av personuppgiftsansvarig. Med annan avses exempelvis en konsult hos Försäkringskassan eller en anställd hos någon av de andra samverkande parterna och som har ett personuppgiftsbiträdesavtal (jfr avsnitt 4.3). I fråga om möjligheten för andra myndigheter att ta del av uppgifter i systemet för uppföljning av rehabiliteringsinsatser, se avsnitt 4.8 om elektroniskt utlämnande av personuppgifter. Åtkomsten till personuppgifter bör begränsas till vad var och en hos Försäkringskassan behöver för att kunna fullgöra sina arbetsuppgifter vid verksamheten med uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund.

Kontroll och uppföljning av åtkomsten till personuppgifter

I syfte att begränsa intrånget i enskildas integritet och för att Försäkringskassan ska kunna upptäcka och åtgärda obehörig åtkomst bör åtkomsten till personuppgifter kontrolleras och följas

upp regelbundet. Ett sådant krav utgör en skyddsåtgärd i EU:s dataskyddsförordnings mening. Liknande regleringar finns i Försäkringskassans och Arbetsförmedlingens registerförfattningar (114 kap. 13 § SFB och 11 § APL). Kontroller ska genomföras systematiskt och återkommande. De ska alltså inte bara genomföras när Försäkringskassan får anledning att misstänka att obehörig åtkomst har förekommit. En kontroll kan t.ex. ske genom uppföljning av loggar. Det bör dock vara upp till de samverkande parterna att närmare bestämma formerna för kontrollerna.

4.8 Elektroniskt utlämnande av personuppgifter

Promemorians förslag

Personuppgifter ska få lämnas ut elektroniskt om det inte är olämpligt. Det ska upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt. Bestämmelsen i förordningen om behandling av personuppgifter vid Försäkringskassan och Pensionsmyndigheten om direktåtkomst till personuppgifter hos Försäkringskassan för Arbetsförmedlingen, kommuner och regioner inom ramen för rehabiliteringsinsatser som finansieras av samordningsförbund ska upphävas.

Promemorians bedömning

Det bör inte göras någon åtskillnad mellan direktåtkomst och andra former av elektroniskt utlämnande.

Skälen för förslaget och bedömningen

Personuppgifter ska få lämnas ut elektroniskt från uppföljningssystemet

Arbetet hos myndigheter har länge varit digitaliserat. Den tekniska utvecklingen innebär att manuell informationshantering mellan myndigheter inte längre är realistisk. För Försäkringskassan, Arbetsförmedlingen, regioner och kommuner finns därför ett stort och legitimt behov av att kunna behandla personuppgifter elektroniskt vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Sådan behandling kan t.ex. vara utlämnande av uppgifter i form av tillgång till personuppgifter genom det uppföljningssystem som tillhandahålls av Försäkringskassan eller på annat sätt elektroniskt utlämnande av uppgifter från uppföljningssystemet. Arbetsförmedlingen, regioner och kommuner har behov av tillgång till uppföljningssystemet och personuppgifter för att kunna avregistrera en individ från en rehabiliteringsinsats. Det kan även hända att någon uppgift ändras under tiden mellan inskrivning och utskrivning. Elektroniskt utlämnande av personuppgifter från uppföljningssystemet till Arbetsförmedlingen, regioner och kommuner föreslås därför vara tillåtet om det inte är olämpligt. För att upprätthålla ett adekvat skydd för den personliga integriteten vid utlämnande i elektronisk form är det viktigt att inte fler uppgifter än nödvändigt lämnas ut. Utlämnandet ska dessutom ske på ett sätt som säkerställer lämplig säkerhet för personuppgifterna. Det inbegriper skydd mot obehörig eller otillåten behandling genom lämpliga tekniska eller organisatoriska åtgärder. För att uppnå en ändamålsenlig avvägning mellan myndigheternas intresse av att på ett effektivt sätt lämna ut personuppgifter elektroniskt och riskerna med sådant utlämnande, innehåller kompletterande dataskyddsregleringar ofta en reglering som anger när sådant utlämnande får ske. Den formulering som har valts i modernare dataskyddsförfattningar är att elektroniskt utlämnande får ske om det inte är olämpligt (jfr t.ex. 11 § i den föreslagna lagen om socialdataregister [prop. 2025/26:165] och 15 § beskattningsdatalagen [2026:125]). All automatiserad behandling av stora mängder personuppgifter kan medföra risker ur integritetssynpunkt. Ett omfattande

elektroniskt utlämnande av personuppgifter kan innebära att uppgifterna får en större spridning, vilket ytterligare ökar integritetsriskerna. Det är därför inte säkert att en avvägning mellan behovet och riskerna i alla tänkbara fall medger att uppgifter ska lämnas ut elektroniskt. Varje enskild informationsöverföring ska inte kräva omfattande bedömningar. Myndigheterna bör dock överväga de aspekter som är väsentliga ur integritetssynpunkt. Det gäller t.ex. vid inrättande av nya system för överföring eller när nya skyldigheter att lämna ut information införs. Riskerna med att överföra uppgifter elektroniskt måste då vägas mot myndigheternas och uppgiftsmottagarnas behov av effektiva arbetssätt. Myndigheterna måste även beakta principen om uppgiftsminimering, som innebär att personuppgifter inte får vara för omfattande i förhållande till de ändamål för vilka de behandlas (artikel 5.1 a i EU:s dataskyddsförordning). Vid lämplighetsbedömningen måste även typen personuppgifter beaktas, t.ex. om det rör känsliga personuppgifter (jfr artikel 9.1 i EU:s dataskyddsförordning). Vid överföring av sådana uppgifter bör integritets- och informationssäkerhetsaspekter ges särskilt stor betydelse. Regeringen har i tidigare lagstiftningsärenden varit av uppfattningen att det normalt sett aldrig bör anses olämpligt att lämna ut personuppgifter elektroniskt till andra myndigheter. I normalfallet bör det därför inte heller i fortsättningen anses olämpligt att lämna ut personuppgifter elektroniskt till andra myndigheter (prop. 2025/26:88 s. 155). Den föreslagna regleringen ska inte tolkas som att den medför en rätt för vare sig mottagande myndigheter eller enskilda att få ut uppgifter elektroniskt. Regleringen innebär inte heller någon generell eller specifik skyldighet att lämna ut uppgifter på ett visst sätt. Det kan uppkomma behov av att förtydliga möjligheter att lämna ut personuppgifter elektroniskt. Bestämmelser om detta bör kunna meddelas i förordning med stöd av regeringens restkompetens. Det föreslås därför att det ska finnas utrymme för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter som begränsar myndigheternas möjligheter att själva avgöra när det är lämpligt eller olämpligt att lämna ut personuppgifter elektroniskt. Av tydlighetsskäl bör en upplysningsbestämmelse som avser detta

föras in i den nya dataskyddslagen i anslutning till den föreslagna regleringen om elektroniskt utlämnande.

Formerna för elektroniskt utlämnande

Elektroniskt utlämnande av uppgifter kan ske antingen genom direktåtkomst eller genom elektroniskt utlämnande på annat sätt än direktåtkomst. Direktåtkomst är ett sätt att ta del av uppgifter på elektronisk väg. Begreppet definieras inte i lag eller i någon annan författning. En myndighet som har direktåtkomst till en annan myndighets databas kan på egen hand söka efter uppgifter i samma databas. Den myndighet som mottar uppgifter kan även hämta in information till sitt eget system och bearbeta den där. Den mottagande myndigheten kan dock inte påverka innehållet i databasen med stöd av direktåtkomst. Elektroniskt utlämnande av uppgifter på annat sätt än genom direktåtkomst kallas ibland för utlämnande på medium för automatiserad behandling. Det kan ske på olika sätt och exempelvis genom att uppgifter lämnas ut via e-post, USB-minne eller genom filöverföring från ett IT-system till ett annat. Utlämnandet kan även ske automatiskt, t.ex. genom en s.k. fråga-svarstjänst. Det har i olika sammanhang uttryckts att den tekniska utvecklingen har medfört att det är svårt att särskilja direktåtkomst från annat elektroniskt utlämnande (jfr prop. 2000/01:33 s. 110 och 111 och SOU 2012:90 s. 199). Regeringen har uttalat att det inte är en stor skillnad mellan direktåtkomst och en elektronisk fråga-svarfunktion i fråga om risken för integritetsintrång (prop. 2021/22:177 s. 79). Det är mer teknikneutralt att inte göra någon skillnad på direktåtkomst och andra former av elektroniskt utlämnade. Direktåtkomst kan vara att föredra i vissa situationer. Det gäller t.ex. om den utlämnande myndigheten av integritetsskäl vill förhindra att uppgifter hämtas till och bearbetas hos den mottagande myndigheten. Den utlämnande myndigheten kan då bygga in säkerhetsfunktioner som innebär att den mottagande myndigheten enbart kan läsa uppgifterna, men inte kopiera eller i övrigt bearbeta dem. Direktåtkomst kan även vara att föredra om syftet med behandlingen hos den utlämnande myndigheten är informationsförsörjning. Ett annat exempel är situationer där två eller flera

myndigheter är gemensamt ansvariga för att utföra en viss uppgift, då kan direktåtkomst komma att framstå som det mest ändamålsenliga sättet för utlämnande (jfr prop. 2025/26:88 s. 157 och 206). Direktåtkomst medför även nackdelar. Direktåtkomst till en databas medför typiskt sett att fler uppgifter än nödvändigt delas. Detta kan jämföras med när specifika uppgifter delas på begäran, t.ex. genom en s.k. fråga-svarstjänst. Informationsöverskottet leder till att informationen får en större spridning, vilket ökar risken för kränkningar av den personliga integriteten. EU:s dataskyddsförordning reglerar inte formerna för utlämnande av personuppgifter. Det bör därför inte finnas några omotiverade begränsningar för elektronisk informationshantering i nationell rätt. Regeringen har tidigare gjort bedömningen att en väl analyserad och förberedd direktåtkomst inte behöver innebära större risker för den enskildes integritet än andra former av elektroniskt utlämnande. Det gäller om de inblandade myndigheterna har övervägt och löst frågor som rör sekretesskydd på varsitt håll, vidtagit behövliga säkerhetsåtgärder, begränsat eventuell överskottsinformation och övervägt frågan om eventuella begränsningar i den mottagande myndighetens möjlighet att använda sig av de uppgifter som blir åtkomliga (prop. 2025/26:88 s. 157). IMY har uttalat att det kan finnas skäl att med anledning av både rättsutvecklingen och den tekniska utvecklingen utreda frågan om direktåtkomst fortsättningsvis bör särregleras i förhållande till andra former av utlämnande (IMY:s yttrande över eSam:s promemoria En modern registerförfattning [ES 2022:6], IMY-2022-1665, s. 9). För att i möjligaste mån uppnå en modern och teknikneutral lagstiftning har regeringen tidigare bedömt att det är nödvändigt att inte göra någon åtskillnad mellan olika former av elektroniskt utlämnande (prop. 2025/26:88 s. 157). Sammantaget görs bedömningen att direktåtkomst inte behöver regleras särskilt för att vara tillåtet vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. De samverkande parterna bör därför ges möjligheter att själva välja formerna för elektroniskt utlämnande.

Den befintliga bestämmelsen om direktåtkomst ska upphävas

I nuläget regleras frågan om direktåtkomst för Arbetsförmedlingen, kommuner och regioner inom ramen för rehabiliteringsinsatser som finansieras av samordningsförbund i 5 § förordningen (2024:14) om behandling av personuppgifter vid Försäkringskassan och Pensionsmyndigheten. Enligt bestämmelsen får Arbetsförmedlingen och sådana kommuner och regioner som deltar i samverkan och finansiell samordning inom rehabiliteringsområdet ha direktåtkomst till personuppgifter hos Försäkringskassan i den utsträckning den registrerade samtycker till det. För att samordningsförbundens verksamhet ska fungera på bästa sätt är det viktigt att det finns ett fullgott underlag för uppföljning. Det framstår därför inte som en tillfredsställande lösning att låta möjligheterna till en heltäckande uppföljning begränsas av den registrerades samtycke. ISF har i en rapport också framfört att kravet på samtycke var en av orsakerna till att det tidigare uppföljningssystemet SUS hade brister (ISF Rapport 2023:2, Samordnat stöd gör skillnad , s. 127). Det föreslås därför att 5 § förordningen om behandling av personuppgifter vid Försäkringskassan och Pensionsmyndigheten upphävs och ersätts av den föreslagna bestämmelsen om att personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Det innebär att uppföljning kan ske utan inhämtande av samtycke. I sammanhanget bör också nämnas att genom den föreslagna bestämmelsen om åtkomst till personuppgifter (avsnitt 4.7) begränsas den krets som kommer att ha rätt att ta del av personuppgifter i uppföljningssystemet. Av samma bestämmelse framgår dessutom att det ankommer på Försäkringskassan som personuppgiftsansvarig att regelbundet kontrollera och följa upp denna åtkomst.

4.9 Längsta tid för behandling

Promemorians förslag

Personuppgifter ska inte få behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Det ska upplysas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt.

Skälen för förslaget

En av de grundläggande principerna för behandling av personuppgifter enligt EU:s dataskyddsförordning är principen om lagringsminimering (artikel 5.1 e). Principen innebär att personuppgifter inte får förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som behövs för de ändamål för vilka personuppgifterna behandlas. Principen om lagringsminimering ställer krav på den personuppgiftsansvarige att kunna motivera fortsatt behandling av personuppgifter, t.ex. inför en tillsynsmyndighet. Försäkringskassans och Arbetsförmedlingens registerförfattningar innehåller bestämmelser om gallring (114 kap. 15 § SFB och 16 § APL). Till skydd för personuppgifterna hos enskilda som deltar i rehabiliteringsinsatser finansierade av samordningsförbund bör motsvarande också gälla enligt den nya lagen. Den föreslagna regleringen förtydligar att det är ändamålet med behandlingen som avgör hur länge uppgifterna får behandlas. Den föreslagna regleringen möjliggör samtidigt behandling under den tid som den är nödvändig för ändamålet, t.ex. för att följa en historisk utveckling av en viss företeelse. Det är framför allt verksamhetsskäl och myndighetssamverkan som bör vara styrande för bedömningen av om uppgifterna fortfarande behövs. Berättigade och motiverade behov av en längre tids behandling kan på så sätt tillgodoses. Den föreslagna regleringen motsvarar vad som fördes fram som skäl i

propositionen Framtidens dataskydd - vid Skatteverket, Tullverket och Kronofogden (prop. 2025/26:88 s. 129–130). Som framgår ovan har det inte kommit fram något behov av att föreslå en reglering som närmare anger den längsta tid som uppgifter får behandlas. Regeringen eller den myndighet som regeringen bestämmer kan dock med stöd av 8 kap. 7 § regeringsformen, förkortad RF (den s.k. rest kompetensen) meddela föreskrifter om mer preciserade tidsfrister för behandlingen i vissa fall. Det föreslås därför att en upplysningsbestämmelse om restkompetensen ska införas i den nya dataskyddslagen.

4.10 Enskildas rättigheter

Promemorians förslag

Rätten att göra invändningar mot personuppgiftsbehandling ska inte gälla vid sådan behandling som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till lagen.

Promemorians bedömning

I övrigt bör lagen inte innehålla några begränsningar av den registrerades rättigheter enligt EU:s dataskyddsförordning.

Skälen för förslaget och bedömningen

Begränsning av rätten att göra invändningar

Rätten att göra invändningar mot personuppgiftsbehandling regleras i artikel 21 i EU:s dataskyddsförordning. Rätten innebär att när en myndighet behandlar personuppgifter ska den registrerade ha rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behandlingen. Den personuppgiftsansvarige får då inte längre behandla uppgifterna om inte denne kan påvisa tvingande berättigade skäl för behandlingen som

väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk. Vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund behandlas personuppgifter primärt genom registrering i det uppföljningssystem som tillhandahålls av Försäkringskassan. För Försäkringskassans verksamhet i övrigt finns undantag från rätten att göra invändningar enligt EU:s dataskyddsförordning (114 kap. 6 § SFB). En bestämmelse om begränsning av de registrerades rättigheter förutsätter att de villkor som anges i artikel 23 i EU:s dataskyddsförordning är uppfyllda. Ett av kraven är att bestämmelsen utgör en åtgärd i syfte att säkerställa något av de mål som anges i artikel 23.1 i EU:s dataskyddsförordning. Ett av dessa mål, enligt artikel 23.1e i samma förordning, gäller ”andra av unionens eller en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av unionens eller en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet”. Regeringen har tidigare ansett att bedrivande av verksamhet inom bl.a. socialförsäkring och pensioner, inklusive den administration dessa verksamheter kräver, är ett sådant allmänt intresse som avses i artikel 23.1 e i EU:s dataskyddsförordning (prop. 2017/18:171 s. 189). Även den verksamhet som bedrivs inom ramen för rehabiliteringsinsatser som finansieras av samordningsförbund måste anses utgöra ett sådant allmänt intresse. En ytterligare förutsättning för att en begränsning ska få göras enligt artikel 23.1 i EU:s dataskyddsförordning är att den utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa det aktuella intresset. Försäkringskassan har uppdraget att samlat redovisa målgrupper och insatser som finansieras av samordningsförbunden. En del i genomförandet av uppdraget är tillhandahållande av ett uppföljningssystem. Genom uppföljningssystemet behandlas personuppgifter helt eller delvis automatiserat. Uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund kan genomföras även om inte samtliga enskilda omfattas av uppföljningsunderlaget. För att underlaget ska vara ändamålsenligt krävs dock i princip att samtliga deltagare omfattas av uppföljningen. Härtill skulle en möjlighet för den registrerade att invända mot den normala hanteringen försvåra

arbetet för myndigheterna, en delvis manuell hantering skulle minska effektiviteten och därmed öka kostnaderna. Mot bakgrund av det starka intresset av ett ändamålsenligt underlag för uppföljning bör ett undantag från rätten att invända mot behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund anses utgöra en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa ett viktigt mål av generellt allmänt intresse. Begränsningen kan inte heller anses strida mot andemeningen i de grundläggande rättigheterna och friheterna. Det föreslås därför att lagen ska ha en bestämmelse om begränsning av rätten att göra invändningar motsvarande den reglering som finns avseende Försäkringskassans personuppgiftsbehandling i övrigt (114 kap. 6 § SFB). Hänvisningen till artikel 21.1 i EU:s dataskyddsförordning bör vara dynamisk, dvs. avse dataskyddsförordningen i den vid varje tidpunkt gällande lydelsen. På så sätt säkerställs att eventuella ändringar i dataskyddsförordningen får omedelbart genomslag.

Enskildas rättigheter i övrigt

EU:s dataskyddsförordning innehåller ett flertal bestämmelser om den registrerades rättigheter som syftar till att ge den registrerade ökad kontroll över sina personuppgifter. Det handlar bl.a. om information om, tillgång till, rättelse av, radering av och begränsning av behandling av egna personuppgifter samt att kunna göra invändningar mot behandlingen av uppgifterna (artiklarna 12–22). Rättigheterna är inte i alla delar absoluta och det finns såväl direkt tillämpliga undantag som möjlighet att i nationell rätt göra ytterligare undantag i vissa fall. Rätten till radering gäller exempelvis inte i den utsträckning som behandlingen är nödvändig för att uppfylla en rättslig förpliktelse eller för att utföra en uppgift av allmänt intresse (artikel 17.3 b). Om en personuppgiftsansvarig behandlar uppgifter för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål får det enligt artikel 89.2 i unionsrätten eller nationell rätt under vissa förutsättningar också föreskrivas undantag från rätten till tillgång (artikel 15), rätten till

rättelse (artikel 16), rätten till begränsning (artikel 18) och rätten att göra invändningar (artikel 21). Det här gäller dock med förbehåll för de villkor och skyddsåtgärder som avses i artikel 89.1. Vissa rättigheter är vidare beroende av den rättsliga grund som ligger till grund för behandlingen. Det gäller särskilt rätten att göra invändningar där den registrerade endast har rätt att göra invändningar mot behandling av personuppgifter som grundar sig på artikel 6.1 e och f i EU:s dataskyddsförordning, dvs. när personuppgifter behandlas för att utföra en uppgift av allmänt intresse, som ett led i myndighetsutövning eller efter en intresseavvägning. Även här gäller särskilda regler när personuppgifterna behandlas för vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Artikel 14 i EU:s dataskyddsförordning reglerar skyldigheten för den personuppgiftsansvarige att lämna information till den registrerade om personuppgifterna har erhållits från annan än den registrerade själv. I artikel 14.5 anges ett antal undantag från den personuppgiftsansvariges informationsskyldighet. Det gäller bl.a. om tillhandahållandet av informationen visar sig vara omöjligt eller skulle medföra en oproportionerlig ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 (artikel 14.5 b). Försäkringskassan håller allmän information om myndighetens behandling av personuppgifter tillgänglig på myndighetens webbplats. Härutöver har myndigheten möjlighet att tillse att deltagarna får information om personuppgiftsbehandling för uppföljningssyfte i samband med inskrivning i en rehabiliteringsinsats. Det föreslås, som framgår ovan, att rätten att göra invändningar ska begränsas. I övrigt har det inte kommit fram skäl att föreslå ytterligare begränsning av de rättigheter som EU:s dataskyddsförordning anger och som blir tillämpliga vid behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser

5 Uppgiftsskyldighet och sekretess

5.1 Skyldighet att lämna uppgifter

Promemorians förslag

Arbetsförmedlingen samt den region och kommun som är medlem i ett samordningsförbund ska vara skyldiga att lämna de uppgifter som behövs för uppföljning av den finansiella samordningen till Försäkringskassan. Samordningsförbund ska vara skyldiga att lämna de uppgifter som behövs för uppföljning av den finansiella samordningen till Försäkringskassan. Försäkringskassan ska vara skyldig att lämna uppgifter som behövs för lokal uppföljning av den finansiella samordningen till samordningsförbund.

Skälen för förslaget

Uppgifter om individer som deltar i rehabiliteringsinsatser

Som framgår av förarbetena till finsam-lagen ska finansiell samordning följas upp på både lokal och nationella nivå (se vidare avsnitt 3). För att genomföra ändamålsenliga uppföljningar av den finansiella samordningen krävs uppgifter om de individer som deltar i rehabiliteringsinsatser som finansieras av samordningsförbund.

Försäkringskassan har föreslagit att det införs en ny bestämmelse som ger Arbetsförmedlingen, regionerna och kommunerna en skyldighet att lämna de uppgifter som behövs för uppföljningen av den finansiella samordningen till Försäkringskassan (se Försäkringskassans svar på regeringsuppdrag Rapport – Uppdrag att analysera behovet av förändringar i lagen [2003:1210] om finansiell samordning av rehabiliteringsinsatser , S2024/01218). För att åstadkomma en ändamålsenlig uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund föreslås att Arbetsförmedlingen samt sådana regioner och kommuner som är medlemmar i ett samordningsförbund ska vara skyldiga att lämna de uppgifter, inklusive känsliga personuppgifter, som behövs för sådan uppföljning. För en person (angiven med namn och personnummer) som deltar i en rehabiliteringsinsats som finansieras av samordningsförbund kan det avse uppgift om utbildningsbakgrund, sysselsättning och typ av försörjning före och efter insatsen. Utöver den föreslagna uppgiftsskyldigheten för Arbetsförmedlingen samt sådana regioner och kommuner som är medlemmar i ett samordningsförbund så har Försäkringskassan att förse uppföljningssystemet med uppgifter om individer som deltar i rehabiliteringsinsatser. Det ankommer på de samverkande parterna att bestämma vilka uppgifter som ska lämnas för denna uppföljning. Det kan förekomma att de samverkande parterna av olika anledningar har behov av att ta del av personuppgifter från systemet för uppföljning, t.ex. för uppföljning av sina egna verksamheter. Detta behov bedöms kunna tillgodoses genom elektroniskt utlämnande med stöd av den föreslagna lagen om behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund (se vidare avsnitt 4.8).

Uppgifter om samordningsförbundens verksamhet

Eftersom samordningsförbunden inte beslutar om förmåner eller rättigheter för enskilda eller i övrigt vidtar åtgärder som innefattar myndighetsutövning och därmed inte hanterar några personuppgifter i syfte att följa upp rehabiliteringsinsatser som finansieras av samordningsförbund, kommer merparten av uppgifterna som behövs för uppföljning att lämnas av de samverkande parterna.

Samordningsförbunden behöver dock bidra med mer generella uppgifter, som t.ex. budgeterade och förbrukade medel samt uppgifter om insatserna som förbundet finansierar. För att Försäkringskassan ska få tillgång till dessa uppgifter bör det införas en uppgiftsskyldighet för samordningsförbunden. I praktiken bör det ankomma på Försäkringskassan att i samråd med samordningsförbunden bestämma vilka uppgifter som samordningsförbunden behöver lämna för uppföljningen.

Underlag till samordningsförbundens uppföljning

Samordningsförbunden ska svara för uppföljning och utvärdering av rehabiliteringsinsatserna (7 § finsam-lagen). Som framgår i avsnitt 3 syftar förslaget i denna promemoria till att skapa förutsättningar för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Försäkringskassan, som föreslås tillhandahålla det nationella uppföljningssystemet, ska ge samordningsförbunden tillgång till underlag för respektive förbunds uppföljning. Försäkringskassans ansvar att förse samordningsförbunden med underlag för förbundens uppföljning av de rehabiliteringsinsatser som de finansierar föreslås regleras i Försäkringskassans instruktion. Samordningsförbundens uppdrag sätter ramarna för vilken typ av uppföljning ett förbund kan och ska genomföra och vilket underlag som kan användas vid uppföljningen. Förbundets uppgifter är av övergripande natur och dess beslut avser inte enskilda personer (se avsnitt 3.1). Uppföljningssystemet behöver därför utformas så att samordningsförbunden kan få underlag för uppföljning utan att personuppgifter hanteras. Det ankommer på Försäkringskassan att i samråd med samordningsförbunden bestämma formerna för samordningsförbundens tillgång till underlag för uppföljning.

5.2 Det bör införas en ny bestämmelse om sekretess

Promemorians förslag

Sekretess ska gälla hos Försäkringskassan i verksamhet som rör uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs. För uppgift i en allmän handling ska sekretess gälla i högst sjuttio år.

Skälen för förslaget

De samverkande parterna i ett samordningsförbund har generellt att tillämpa separata sekretessbestämmelser med olika lydelse. Sekretesskyddet för uppgift om hälsa skiljer sig åt mellan de samverkande parterna, då det är starkare inom hälso- och sjukvård och socialtjänst än inom socialförsäkringen och den arbetsmarknadspolitiska verksamheten (25 kap. 1 § OSL, 26 kap. 1 § OSL samt 28 kap. 1 och 11 §§ OSL). För uppgift om en enskilds personliga förhållanden i verksamhet som rör uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund saknas en specifik sekretessbestämmelse. Dessa uppgifter omfattas i stället av det generella sekretesskyddet i 21 kap. 1 § OSL, som ger ett visst skydd för uppgifter om t.ex. hälsa. Rätten att ta del av allmänna handlingar får begränsas endast om det krävs med hänsyn till vissa intressen (2 kap. 2 § tryckfrihetsförordningen, TF). När det övervägs att införa en ny sekretessbestämmelse i OSL ska det alltid göras en avvägning mellan sekretessintresset och insynsintresset (prop. 1979/80:2 Del A s. 75– 76). Det kan här konstateras att de uppgifter som kommer att samlas in och behandlas inom ramen för uppföljningen i stor utsträckning utgörs av känsliga personuppgifter (se avsnitt 4.5). Flera av uppgifterna kommer dessutom finnas hos Försäkringskassan som en följd av de samverkande parternas uppgiftsskyldighet. Enskilda som medverkar i rehabiliteringsinsatser kommer alltså inte att kunna

förhindra att uppgifterna lämnas in till och förvaras hos Försäkringskassan. Vid en avvägning mellan intresset av ett relativt starkt sekretesskydd i verksamheten får det anses väga tyngre än insynsintresset. Såvitt nu är relevant har de generella sekretessbestämmelserna i 21 kap. OSL ett kvalificerat rakt skaderekvisit, vilket innebär en presumtion för offentlighet. Detta kan inte anses utgöra ett tillräckligt sekretesskydd för sådana uppgifter som det är fråga om vid uppföljningen av rehabiliteringsinsatser som finansieras av samordningsförbund. Nuvarande sekretessreglering bedöms därför inte vara ändamålsenlig för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Mot denna bakgrund föreslås att det införs en bestämmelse i offentlighets- och sekretesslagen som anger att sekretess gäller hos Försäkringskassan för uppgift om en enskilds personliga förhållanden i verksamhet som rör uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Försäkringskassan är den myndighet som behandlar personuppgifter i syfte att genomföra uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Inom Försäkringskassans verksamhet i övrigt tillämpas, såvitt nu är aktuellt, socialförsäkringssekretess enligt 28 kap. 1 § OSL. I syfte att Försäkringskassan inte ska ha olika sekretesskydd för samma uppgift bör motsvarande sekretesskydd gälla inom uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Att sekretesskyddet är starkare inom hälso- och sjukvård samt socialtjänsten skulle innebära att en och samma uppgift får ett lägre sekretesskydd hos Försäkringskassan när uppgiften behandlas för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Situationen är inte ny utan motsvarande gäller för andra uppgifter som Försäkringskassan får del av från hälso- och sjukvård samt socialtjänst. Vidare har regeringen tidigare gjort bedömningen att sekretesskyddet för uppgifter hos en myndighet kan vara starkare än det sekretesskydd som kommer att gälla för uppgifterna efter överlämnande till en annan myndighet. Situationen är en effekt av att behovet av sekretess och sekretessens styrka i varje sammanhang ska vägas mot intresset av insyn i myndigheternas verksamhet (jfr prop. 2024/25:36 s. 58 f.). Sammanfattningsvis föreslås det att sekretess ska gälla om det kan antas att den enskilde eller någon närstående till honom eller henne

lider men om uppgiften röjs. Bestämmelsen innebär att en uppgift om en enskilds personliga förhållanden som lämnas från Arbetsförmedlingen, region eller kommun till Försäkringskassan inom ramen för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund kommer omfattas av sekretess om det kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs. För allmän handling föreslås sekretessen gälla i högst sjuttio år. Tiden motsvarar sekretesskydd inom Försäkringskassan, Arbetsförmedlingen, region och kommun (28 kap. 1 och 11 §§, 25 kap. 1 § och 26 kap. 1 § OSL). Den nya sekretessbestämmelsen bör införas i anslutning till övriga sekretessbestämmelser som gäller för Försäkringskassans verksamhet. Det föreslås därför att sekretessbestämmelsen införs som en ny paragraf; 28 kap. 4 c § OSL. Därtill föreslås en ny rubrik till paragrafen. Sekretess innebär såväl handlingssekretess som tystnadsplikt. Rätten att meddela och offentliggöra uppgifter enligt 1 kap. 1 och 7 §§ TF och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen har som huvudregel företräde framför tystnadsplikten. Det finns i aktuellt fall inte skäl att frångå den huvudregeln och rätten att meddela och offentliggöra uppgifter bör inte inskränkas.

6 Samlad integritets- och proportionalitetsanalys

Promemorians bedömning

Den personuppgiftsbehandling som möjliggörs genom förslagen utgör en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna samt Europeiska unionens stadga om de grundläggande rättigheterna. Förslagen är förenliga med kravet på proportionalitet i EU:s dataskyddsförordning.

Skälen för bedömningen

Utgångspunkter för bedömningen av förslagens påverkan på den personliga integriteten och proportionalitet

Förslaget om en lag om behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund och bestämmelserna om uppgiftsskyldighet innebär att Försäkringskassan får rätt att samla in och behandla personuppgifter vid sådan uppföljning. Förslaget innebär en ökad personuppgiftsbehandling, både sett till antal personuppgifter och antalet registrerade. Även Arbetsförmedlingen, kommun och region kan komma att behöva behandla personuppgifter i en större omfattning med anledning av den föreslagna uppgiftsskyldigheten.

Behandlingen som kommer att utföras med stöd av den föreslagna lagen inkluderar bl.a. uppgifter som utgör känsliga personuppgifter enligt EU:s dataskyddsförordning, och andra personuppgifter av mer eller mindre integritetskänslig karaktär. Registren är personnummerbaserade, rikstäckande och omfattar personer som tar del av rehabiliteringsinsatser finansierade av samordningsförbund. Det innebär att behandlingen inbegriper särskilt skyddsvärda personuppgifter vilket kan medföra ett betydande intrång i den enskildes personliga integritet. Därför är det nödvändigt att noga bedöma hur den föreslagna lagen, både enskilt och sammantaget, förhåller sig till de regelverk som syftar till att värna om den personliga integriteten. I det följande redovisas samlade överväganden i fråga om lagens risker för den personliga integriteten, integritetsstärkande åtgärder, behovet av den föreslagna regleringen och proportionalitet liksom förslagens förenlighet med EU:s dataskyddsförordning. Vissa faktorer har i tidigare lagstiftningssammanhang ansetts särskilt viktiga att ta hänsyn till när det gäller att bedöma integritetskänsligheten vid behandling av personuppgifter. Det gäller arten av personuppgifter som samlas in och registreras, varför detta görs, hur och av vem uppgifterna används samt mängden uppgifter som samlas på ett och samma ställe eller som på något annat sätt är tillgängliga för bearbetningar och sammanställningar. Även rådande samhällsvärderingar påverkar vad som kan uppfattas som ett integritetsintrång och kan därmed ha viss påverkan på vilken reglering och begränsning av behandlingen av personuppgifter som är nödvändig för att skydda den personliga integriteten (se t.ex. prop. 2005/06:173 s. 15 och prop. 2022/23:34 s. 162).

Innebörden av uttrycket betydande intrång i den personliga integriteten

I regeringsformen, finns grundläggande bestämmelser till skydd för den personliga integriteten. Var och en är gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket RF). Begreppet enskildas personliga förhållanden har samma innebörd som i sekretesslagstiftningen och avser alltså bl.a. namn och andra

identifikationsuppgifter, adress, familjeförhållanden, hälsa, fotografisk bild, uppgift om anställning och en persons ekonomi (prop. 2009/10:80 s. 177). Vid bedömningen av om en åtgärd innebär kartläggning ska åtgärdens effekter snarare än det huvudsakliga syftet med åtgärden beaktas (prop. 2009/10:80 s. 180 och 182). Vad som utgör ett betydande intrång avgörs utifrån bl.a. uppgifternas karaktär och omfattning samt ändamålet med behandlingen (prop. 2009/10:80 s. 183 och 184).

Det får göras begränsningar i skyddet för den personliga integriteten

Regler till skydd mot intrång i den personliga integriteten finns i bl.a. regeringsformen, olika internationella rättsakter, EU:s dataskyddsförordning och sekretesslagstiftningen. Den enskildes personuppgifter ska skyddas. I de fall en myndighet vill behandla personuppgifter måste den beakta dessa rättigheter. Försäkringskassans personuppgiftsbehandling vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund bedöms, med hänsyn till uppgifternas karaktär och mängden uppgifter i fråga, i vissa fall komma att innebära ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket RF. Motsvarande bedömning görs avseende den personuppgiftsbehandling som följer av förslaget om en ny och utökad uppgiftsskyldighet. Rätten till skydd för den personliga integriteten enligt regeringsformen är inte absolut utan kan inskränkas genom lag. Begränsningar får endast göras för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett begränsningen, och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar (2 kap. 21 § RF). Enligt artikel 8.2 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, här benämnd Europakonventionen, får rätten till skydd för privatlivet inte inskränkas annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till den nationella säkerheten, den allmänna säkerheten, landets ekonomiska välstånd

eller till förebyggande av oordning eller brott eller skydd för hälsa eller moral eller för andra personers fri- och rättigheter. I artiklarna 3, 7 och 8 i Europeiska unionens stadga om de grundläggande rättigheterna (2010/C 83/02), här benämnd EU:s rättighetsstadga, slås det fast att var och en har rätt till fysisk och mental integritet, respekt för sitt privat- och familjeliv, sin bostad och sina kommunikationer samt skydd av de personuppgifter som rör honom eller henne. Även i EU:s rättighetsstadga är utgångspunkten att en inskränkning endast får göras i lag och måste vara förenlig med det väsentliga innehållet i de rättigheter och friheter som erkänns i stadgan. Begränsningar får med beaktande av proportionalitetsprincipen endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter (artikel 52.1). EU:s dataskyddsförordning förutsätter också att proportionalitetsbedömningar görs vid behandling av personuppgifter. Den rättsliga grunden som avser rättslig förpliktelse (artikel 6.1 c) och uppgift av allmänt intresse (artikel 6.1 e) ska vara proportionerlig mot det legitima mål som eftersträvas (artikel 6.3 andra stycket). Behandling av känsliga personuppgifter enligt artikel 9.2 g och j är endast tillåten om behandlingen står i proportion till det eftersträvade syftet. Rätten till skydd för den personliga integriteten måste vidare enligt skälen i EU:s dataskyddsförordning förstås utifrån sin uppgift i samhället och vägas mot andra grundläggande rättigheter utifrån proportionalitetsprincipen (skäl 4). Ovanstående villkor innebär bl.a. att det vid en begränsning i skyddet för den personliga integriteten ska göras en proportionalitetsbedömning där integritetsriskerna med personuppgiftsbehandlingen vägs mot fördelarna med behandlingen. I detta ingår att bedöma om behandlingen av personuppgifterna är nödvändig utifrån det avsedda ändamålet med behandlingen och om det finns alternativ som är mindre integritetskänsliga. För att det ska vara motiverat att införa utökade möjligheter att samla in och behandla personuppgifter i ett uppföljningssystem är alltså en förutsättning att det finns ett konkret och påtagligt behov av behandlingen och att ändamålet inte kan uppnås genom mindre ingripande åtgärder. Den nytta som den utökade personuppgiftsbehandlingen innebär måste stå i proportion till integritetsintrånget

för de personer som berörs av den ökade spridning av personuppgifter som en utökad behandling medför.

Integritetsrisker

Genom den föreslagna personuppgiftsbehandlingen får Försäkringskassan rätt att samla in och behandla personuppgifter vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund. Det innebär i sig en integritetsrisk, eftersom en utökad behandling av personuppgifter generellt sett är förenad med större integritetsrisker än vad en mer begränsad behandling är. Enligt förslaget kommer personuppgifterna att samlas in på ett sådant sätt att informationen kan sammanställas och systematiseras, vilket innebär en möjlig kartläggning av individer. Uppgiftssamlingen i sig innebär därför en särskild integritetsrisk. Vid en obehörig befattning med uppgifterna är riskerna dessutom särskilt stora mot bakgrund av att stora mängder uppgifter är samlade hos en och samma aktör (jfr prop. 2025/26:165 s. 101–102). Vid en förlorad kontroll över uppgifterna, exempelvis vid en personuppgiftsincident eller otillbörlig åtkomst, skulle uppgifterna kunna komma i utomståendes händer och användas för negativ särbehandling, övervakning, kartläggning av enskildas personliga förhållanden eller för att utsätta de registrerade för fara eller kränkningar. Oavsett om en otillbörlig spridning av personuppgifterna medför att den enskilde kommer till skada eller blir behandlad på ett negativt sätt, kan den enskilde komma att uppleva ett lidande av att integritetskänslig information blivit känd för andra i omgivningen utanför den enskildes privata krets eller behöriga befattningshavare på Försäkringskassan. Arbetsförmedlingen, kommuner och regioner som åläggs en uppgiftsskyldighet kan för detta ändamål komma att behöva behandla fler personuppgifter eller i vart fall att behandla befintliga personuppgifter för ytterligare ett ändamål (jfr avsnitt 4.4.3). Även hos Arbetsförmedlingen, kommuner och regioner finns det på samma sätt som hos Försäkringskassan en risk för intrång, obehörig hantering av uppgifterna samt risk att uppgifter lämnas på ett sätt som leder till fara för att uppgifterna kan komma i orätta händer.

Utöver de risker som finns med själva spridningen av personuppgifterna innebär även personuppgifternas särskilt integritetskänsliga karaktär utökade integritetsrisker. Detta gäller i synnerhet den föreslagna tillåtna behandlingen av känsliga personuppgifter. Uppgifter i ett uppföljningssystem över rehabiliteringsinsatser finansierade av samordningsförbund kommer till stor del att omfatta personer som i mer än ett avseende har behov av samhällets stöd och som därmed, ur detta perspektiv, skiljer ut dem från den övriga befolkningen. Otillbörlig användning och spridning av sådana uppgifter utanför den enskildes förtroendekrets kan därför uppfattas som särskilt känslig. Vid förlorad kontroll över uppgifterna skulle exempelvis hälsouppgifter kunna vidareförmedlas till någon som använder dem för att selektera bort personer med vissa hälsotillstånd i anställningsprocesser, höja försäkringspremier eller liknande som förutom integritetsintrånget i sig även kan leda till materiella nackdelar för den enskilde. Även behandling av sådana personuppgifter som inte är känsliga på det sätt som avses i EU:s dataskyddsförordning kan vara förenad med integritetsrisker. Behandling av exempelvis personnummer och andra personuppgifter som direkt kan hänföras till den registrerade kan utgöra en integritetsrisk eftersom det möjliggör samkörning av uppgifter som finns i olika källor och behandling för andra ändamål än de ursprungligen avsedda. En samling av flera personuppgifter som är av mindre känslig karaktär kan tillsammans skapa en integritetskänslig sammanställning om en person som kan ligga till grund för utökad kartläggning. Av denna anledning betraktas samkörning ofta som en särskilt integritetskänslig form av personuppgiftsbehandling. Eftersom den föreslagna lagen möjliggör en omfattande behandling av personuppgifter som även kommer att inbegripa samkörning finns alltså risken för sådana integritetskänsliga sammanställningar. I ett uppföljningssystem över rehabiliteringsinsatser finansierade av samordningsförbund kommer det även att finnas personuppgifter om flera grupper med behov av särskilt skydd. Exempelvis kan personer med vissa kognitiva funktionsnedsättningar vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Deras personuppgifter förtjänar därför ett särskilt skydd (jfr skäl 38 i EU:s dataskyddsförordning). Det finns också särskilt stora integritets-

risker vid personuppgiftsbehandling som rör personer med skyddade personuppgifter och personer som i övrigt är utsatta för våld eller förtryck. När den enskilde deltar i en rehabiliteringsinsats finansierad av ett samordningsförbund, kan det vara svårt honom eller henne att förutse eller förstå att personuppgifterna i framtiden kan komma att behandlas av Försäkringskassan i statistik- och analyssammanhang. Behandling av personuppgifter för andra ändamål än ursprungsändamålet innebär därmed i sig en integritetsrisk, eftersom det innebär att det är svårt för den registrerade att ha full kontroll över sina personuppgifter. Detta gäller särskilt som den enskilde inte kan motsätta sig behandlingen. Utöver detta finns det en risk för att en individ upplever ett obligatoriskt insamlande av uppgifter från socialtjänstens, Försäkringskassans, Arbetsförmedlingens och sjukvårdens verksamheter till ett uppföljningssystem för samordnade rehabiliteringsinsatser som en kränkning av integriteten, något som i sin tur skulle kunna innebära att enskilda avhåller sig från att delta i insatser. Vetskapen om att finnas i ett register kan skapa olust hos en enskild, oaktat om denne befarar att registrets uppgifter kommer ut eller att andra negativa konsekvenser kan uppstå.

Föreslagna skyddsåtgärder begränsar riskerna

För att motverka de integritetsrisker som identifierats ovan föreslås ett samlat regelverk med både generella bestämmelser i integritetshöjande syfte och bestämmelser om särskilda skydds- och säkerhetsåtgärder. Eftersom det hittills har saknats ett samlat regelverk för behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund kan redan förslaget om en ny lag anses innebära en integritetshöjande åtgärd. En särskild reglering bidrar till att Försäkringskassan får ett tydligt rättsligt stöd och rättsliga ramar för sin personuppgiftsbehandling samtidigt som regleringen ökar transparensen gentemot de registrerade och allmänheten. I avsnitt 4.4 föreslås bestämmelser om ändamål för behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund. De föreslagna ändamålen

utgör en grundläggande begränsning av all behandling vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund. Genom att det i lag fastställs för vilka ändamål Försäkringskassan får behandla personuppgifter bestäms en yttersta ram för behandlingen, som endast kan ändras genom lag. Visserligen är de tillåtna ändamålen förhållandevis brett formulerade, vilket ställer högre krav på såväl regleringen i övrigt som på Försäkringskassan själv att uppfylla de krav som finns i EU:s dataskyddsförordning. Bedömningen görs att det inte är möjligt att fastställa mer konkreta ändamål, givet myndighetens breda uppdrag att svara för nationell uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. En mer detaljerad ändamålsbestämmelse skulle snarare riskera att bli svåröverskådlig och skapa hinder för myndigheten att utföra sitt uppdrag på ett ändamålsenligt sätt. Det bör noteras att ändamålsbestämmelserna ska läsas tillsammans med lagen i dess helhet och särskilt bestämmelsen om lagens syfte. Genom att de breda ändamålsformuleringarna sätts i en kontext tydliggörs ramarna för behandlingen ytterligare. Regleringen i lag medför att ändringar på lägre författningsnivå, såsom en ändring av myndighetens instruktion, inte kan utöka myndighetens utrymme att behandla personuppgifter i ett uppföljningssystem, som skulle kunna få direkta effekter mot en enskild. Denna reglering bedöms minska integritetsriskerna och därmed utgöra en skyddsåtgärd. I avsnitt 4.5 föreslås att känsliga personuppgifter som utgångspunkt ska få behandlas om det är nödvändigt med hänsyn till ändamålet med behandlingen. Vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund förekommer uppgift om hälsa. I avsnitt 4.6 föreslås att sökningar ska få utföras i syfte att få fram ett urval av personer grundat på den känsliga personuppgiften hälsa endast om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av lagen. I avsnitt 4.7 föreslås att åtkomst till personuppgifter i uppföljningssystemet ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Vidare föreslås att åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet. Förslaget om begränsad åtkomst till personuppgifterna säkerställer ett aktivt arbete med s.k. behörighetsstyrning. Det bör endast vara ett begränsat antal medarbetare som har behov av att ta del av de personuppgifter som finns i ett uppföljningssystem. Det bör i många

fall även vara tillräckligt för dem som arbetar med att exempelvis ta fram statistiskt underlag för analys att ta del av uppgifter som inte är direkt hänförliga till den registrerade. Kravet på att regelbundet kontrollera och följa upp åtkomsten till personuppgifter bidrar till att missbruk av behörigheter, intrång och andra säkerhetsrisker kan förebyggas och upptäckas i ett tidigt skede, vilket minskar risken för att personuppgifter används på ett sätt som de inte var avsedda för vid insamlingen. Risken minskar också för att personuppgiftsincidenter i övrigt inträffar. Det kan även framhållas att Försäkringskassan har en lång erfarenhet av registerhållning och redan i dag har tydliga rutiner där all åtkomst av personuppgifter sker inom det skalskydd som avgränsas fysiskt, tekniskt och med behörighetsstyrning. Bestämmelsen utgör därmed en skyddsåtgärd. Även de föreslagna bestämmelserna i avsnitt 4.8 om elektroniskt utlämnande bör betraktas som en skydds- och integritetshöjande åtgärd eftersom en sådan bestämmelse tydliggör och säkerställer att det alltid görs en lämplighetsavvägning innan personuppgifter lämnas ut elektroniskt. Vikten av en sådan avvägning blir särskilt relevant i förhållande till de mer integritetskänsliga formerna av elektroniskt utlämnande. I sammanhanget bör nämnas att avsikten med den aktuella personuppgiftsbehandlingen är att följa upp resultaten av rehabiliteringsinsatser som finansieras av samordningsförbund genom sammanställning av avidentifierade personuppgifter. För att motverka risken för att enskilda på grund av obehag av att finnas med i ett register inte vill medverka i insatser finansierade av samordningsförbund är det viktigt med tydlig information om såväl ändamålet och syftet med att uppgifterna behandlas som att de behandlade personuppgifterna omfattas av sekretess, säkerheten i behandlingen är stark och tillgången kontrollerad. Vidare bör Försäkringskassan informera om registren genom att hålla allmän information om registren tillgänglig på myndighetens webbplats. Ett tillhandahållande av information säkerställer transparens och öppenhet och bör bidra till att trygga skyddet för den enskilde och säkerställa dennes rättigheter och intressen.

Registrerades rättigheter respekteras

Utöver de skyddsåtgärder och övriga bestämmelser i integritetshöjande syfte som föreslås i den nya lagen, ger de krav som följer av den allmänna dataskyddsregleringen ett gott skydd för personuppgifterna vid behandling av personuppgifter under uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund. Ett exempel på en central skyddsbestämmelse är kravet i artikel 24 i EU:s dataskyddsförordning på att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen sker i enlighet med EU:s dataskyddsförordning. Kravet på inbyggt dataskydd och dataskydd som standard samt krav på att vidta lämpliga tekniska och organisatoriska skyddsåtgärder för att säkerställa en lämplig säkerhetsnivå följer också av artiklarna 25 och 32 i EU:s dataskyddsförordning. Försäkringskassan har alltså ett ansvar för att säkerställa skyddet för de uppgifter som myndigheten kommer att behandla. Den föreslagna sekretessregleringen utgör också en betydelsefull skyddsåtgärd i syfte att minska spridningsrisken för personuppgifterna. Som anges i avsnitt 5.2 föreslås sekretess gälla hos Försäkringskassan för uppgift om en enskilds personliga förhållanden i verksamhet som rör uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund om det kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs. Sekretessen gäller samtliga personuppgifter, oavsett från vilken av de samverkande parternas verksamhet uppgiften härrör.

Personuppgiftsbehandlingen bedöms vara nödvändig

Som framgår i avsnitt 3.2 är det ett angeläget samhällsintresse att förbättra Försäkringskassans möjligheter att framställa nationell statistik och underlag som kan ligga till grund för uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund, eftersom uppföljning är nödvändig för att det ska gå att uttala sig om resultaten av samordnade rehabiliteringsinsatser. Redan av förarbetena till finsam-lagen framgår att det är angeläget att utveckla sektorsövergripande metoder för att åstadkomma en ändamålsenlig

uppföljning och resultatredovisning på lokal och nationell nivå av insatser som bedrivs i samverkan (prop. 2002/03:132 s. 101). I avsnitt 4.4 redovisas närmare bedömningar och förslag avseende vilka personuppgifter som ska få behandlas i uppföljningssystemet samt skälen för att uppgiften i fråga bör kunna finnas i systemet. Som exemplifierats ovan kan sådana uppgifter genom framställning av nationell statistik och analysunderlag ge värdefull kunskap om resultaten av samordnade rehabiliteringsinsatser. Att personbundna uppgifter om orsak till en insats får behandlas av Försäkringskassan för att följa upp resultaten av samordnade rehabiliteringsinsatser har ett uppenbart värde.

Behandlingen av personuppgifter bedöms vara proportionerlig

Den nya lagen möjliggör för Försäkringskassan att utan den enskilda personens samtycke samla in, behandla och även lämna ut uppgifter om enskildas personliga förhållanden. Särskilt mot bakgrund av den relativt stora omfattningen av personuppgifter som får behandlas vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund innebär förslagen ett intrång i den personliga integriteten, ett intrång som måste vägas mot behovet av att behandla uppgifterna i det avsedda syftet. Den föreslagna regleringen syftar till att balansera Försäkringskassans behov av att utföra sitt samhällsviktiga uppdrag på ett ändamålsenligt sätt och samtidigt säkerställa ett starkt skydd för enskildas personliga integritet. Detta skydd bedöms vara tillräckligt starkt med hänsyn till föreslagna begränsningar och skyddsåtgärder. Även om den föreslagna regleringen syftar till att uppnå en rimlig balans mellan behov av behandling av personuppgifter i syfte att genomföra uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund och de effekter på den personliga integriteten som förslagen kan komma att få, kommer vissa risker för integritetsintrång att kvarstå. Förslagen om uppgiftsskyldighet bedöms också uppnå en rimlig balans mellan behovet av ett utökat underlag för uppföljning och det intrång i den personliga integriteten som detta kan medföra. Överföringen av personuppgifter ska ske på ett säkert sätt. Den personuppgiftsansvariga myndigheten eller utföraren ansvarar för

att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken samt för att säkerställa och kunna visa att behandlingen utförs i enlighet med EU:s dataskyddsförordning (artiklarna 24, 25 och 32). Personuppgiftsbehandlingen i uppföljningssystemet hos Försäkringskassan omgärdas dessutom av flera olika skyddsåtgärder. Som tidigare beskrivits motiveras behandlingen av personuppgifter vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund av tydliga behov och förväntad nytta för såväl samhället i stort som för berörda enskilda utifrån ett behov som under en längre tid har lyfts av berörda aktörer. Personuppgiftsbehandlingen syftar alltså till att tillgodose ändamål som bedöms vara godtagbara i ett demokratiskt samhälle, och därför kan rättfärdiga en inskränkning av skyddet för den personliga integriteten i bl.a. regeringsformen. Det bedöms inte vara möjligt att uppnå förslagens syfte med mindre integritetskänsliga alternativ. Därför bedöms det nödvändigt att ge Försäkringskassan en uttrycklig möjlighet att samla in och behandla personuppgifter för att det ska vara möjligt att kunna följa upp den finansiella samordningen på ett ändamålsenligt rätt. Nyttan med personuppgiftsbehandlingen bedöms stå i rimlig proportion till det intrång som uppstår i de enskildas integritet. Den föreslagna behandlingen av personuppgifter bedöms därför inte gå utöver vad som är nödvändigt med hänsyn till de syften som ligger till grund för förslagen. Behandlingen av uppgifterna hos Försäkringskassan kommer vidare att omfattas av såväl generella bestämmelser i integritetshöjande syfte som bestämmelser om särskilda skydds- och säkerhetsåtgärder. Uppgifterna föreslås omfattas av sekretesskydd. Genom de föreslagna skyddsbestämmelserna, det dataskyddsrättsliga regelverket i övrigt samt föreslagen bestämmelse om sekretess säkerställs ett integritetsskydd som bedöms vara hållbart och tillfredsställande. Den sammantagna bedömningen är att det föreslagna regelverket innebär en godtagbar avvägning mellan intresset av att uppgifterna samlas in och behandlas av Försäkringskassan och intresset av att skydda den enskildes personliga integritet. Det starka allmänintresset av att stärka den nationella statistiken och säkerställa ett kunskapsunderlag med hög kvalitet för uppföljning av

rehabiliteringsinsatser finansierade av samordningsförbund, står i rimlig proportion till det intrång i den personliga integriteten som en utökad obligatorisk insamling av uppgifter i ett uppföljningssystem innebär. Intrånget bedöms följaktligen vara motiverat och proportionerligt i förhållande till Försäkringskassans behov av att behandla personuppgifter för de föreslagna ändamålen och inom de övriga ramar som anges i den nya lagen. Den personuppgiftsbehandling som möjliggörs av förslagen bedöms utgöra en proportionerlig inskränkning av det skydd för den personliga integriteten som finns i regeringsformen, Europakonventionen samt EU:s rättighetsstadga. Förslagen bedöms vara förenliga med kraven på proportionalitet enligt EU:s dataskyddsförordning. Det bedöms därmed inte krävas någon ytterligare reglering i dataskyddsrättsligt hänseende.

7 Ikraftträdande- och övergångsbestämmelser

Promemorians förslag

Författningsförslagen ska träda i kraft den 1 juli 2027.

Promemorians bedömning

Det behövs inga övergångsbestämmelser.

Skälen för förslaget och bedömningen

Ikraftträdande

Behandlingen av personuppgifter vid uppföljning av rehabiliteringsinsatser finansierade av samordningsförbund motiveras av tydliga behov och förväntad nytta för såväl samhället i stort som berörda enskilda. Detta behov har lyfts av berörda aktörer under en längre tid. Det talar för att förslagen bör träda i kraft så snart som möjligt. Personuppgiftsbehandlingen kommer ske i Försäkringskassans befintliga system för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Systemet behöver dock vidareutvecklas för det utökade användningsområdet. Vid utveckling av systemet kommer Försäkringskassan behöva samverka med övriga samverkande parter – Arbetsförmedlingen, kommuner och regioner – samt samordningsförbund. För att skapa tidsmässiga förutsättningar för nödvändigt utvecklingsarbete föreslås författningsförslagen träda i kraft den 1 juli 2027.

Övergångsbestämmelser

Syftet med författningsförslagen är att möjliggöra behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund samt att skydda människor mot att deras personliga integritet kränks vid denna behandling. Den personuppgiftsbehandling som regleras sker inte i dag, det finns därför inget behov av övergångsbestämmelser.

8 Förslagens konsekvenser

8.1 Samhällsekonomiska konsekvenser

Förslaget innebär att personuppgifter för de individer som deltar i en insats som finansieras av samordningsförbund får registreras i ett nationellt uppföljningssystem. Det ger förutsättningar för att följa upp och utvärdera de insatser som finansieras av samordningsförbund. ISF, som har utvärderat samordningsförbunden vid flera tillfällen, har tidigare bedömt att utan ett heltäckande uppföljningssystem av samordningsförbundens verksamhet är det omöjligt att följa upp och verifiera den verksamhet som förbunden finansierar. Vidare har ISF dragit slutsatsen att den omständigheten att det inte går att följa upp den verksamhet som förbunden finansierar på individnivå kan komma att få betydande konsekvenser för såväl samordningsförbundens verksamhet som för möjligheterna att följa upp hur de statliga medlen som tilldelas förbunden kommer till användning (En analys av effekterna av samordningsförbundens verksamhet på individnivå, ISF 2023:2). Att kunna behandla personuppgifter som en del i ett heltäckande uppföljningssystem ger möjlighet att följa upp hur statliga, regionala och kommunala medel används inom den finansiella samordningen av rehabiliteringsinsatser. Ett sådant uppföljningssystem kan också utgöra underlag för lokal och nationell utvärdering av finansiell samordning för att värdera insatsernas samhällsekonomiska effektivitet. Att möjliggöra uppföljning och utvärdering av insatser som finansieras av samordningsförbund kan bidra till att utveckla och effektivisera stödet till personerna i målgruppen för finansiell samordning. I förlängningen kan det bidra till att öka personernas arbetsförmåga och återgång i arbete vilket i sin tur kan minska utgifterna för transfereringar och välfärdstjänster.

Konsekvenser

8.2 Konsekvenser för de samverkande parterna

8.2.1 Försäkringskassan

Ny rättslig reglering

Genom förslaget om en ny lag om personuppgiftsbehandling inom den finansiella samordningen och i övrigt föreslagna regeländringar ges Försäkringskassan rättsligt stöd för att samla in och behandla personuppgifter i syfte att följa upp den finansiella samordningen. Det ger också Försäkringskassan en skyldighet att förse samordningsförbunden med de uppgifter som förbunden behöver för att, inom ramen för förbundens verksamhet, genomföra uppföljning och utvärdering av rehabiliteringsinsatserna enligt 7 § finsam-lagen. Det ger Försäkringskassan en tydlig rättslig grund för personuppgiftsbehandlingen och innebär ett utökat ansvar i förhållande till myndighetens arbete med det befintliga uppföljningssystemet.

Registrering av uppgifter i uppföljningssystemet

Försäkringskassans handläggare behöver registrera uppgifter i uppföljningssystemet om individer som är aktuella hos Försäkringskassan och som Försäkringskassan har anvisat till en samordnad rehabiliteringsinsats. Möjligheten att behandla personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund innebär ingen ny arbetsuppgift för Försäkringskassan, utan det innebär i stället att fler uppgifter ska registreras inom ramen för det nuvarande samverkansarbetet av berörd personal hos Försäkringskassan. Det bedöms rymmas inom Försäkringskassans befintliga ekonomiska ramar. Samverkan inom ramen för samordningsförbundens verksamhet innebär även att medarbetare från de samverkande parterna kan inneha en administrativ roll i genomförandet av en samordningsförbundsfinansierad insats, s.k. deltagaransvarig. En medarbetare från Försäkringskassan som är deltagaransvarig kommer därvid att registrera information om deltagare som anvisats till en insats från

Konsekvenser

någon av de andra samverkansparterna i uppföljningssystemet. Inte heller denna arbetsuppgift är ny och det bedöms rymmas inom Försäkringskassans befintliga ekonomiska ramar. Försäkringskassan behöver också tillsammans med övriga parter bestämma vilka uppgifter som ska registreras i uppföljningssystemet.

Utlämnande av uppgifter från uppföljningssystemet och behov av systemutveckling

För att få ta del av uppgifter från uppföljningssystemet kommer de andra parterna behöva begära det hos Försäkringskassan, och Försäkringskassan behöver hantera parternas begäran. Förslaget innebär vidare att Försäkringskassan behöver vidareutveckla myndighetens befintliga system för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. I utvecklingen av systemet kommer Försäkringskassan att behöva ta ställning till om systemet ska möjliggöra direktåtkomst för respektive part gällande uppgifter om de individer som respektive parter anvisat till insatser som finansieras av samordningsförbund. Försäkringskassan kommer vidare att behöva utveckla rutiner och eventuella tekniska lösningar för att kunna förse respektive samordningsförbund med uppgifter som är nödvändiga för att samordningsförbunden på lokal nivå ska kunna följa upp de insatser de finansierar. Kostnaderna för systemutveckling beräknas uppgå till 18 miljoner kronor 2027, och ryms därefter inom myndighetens befintliga förvaltningsanslag.

8.2.2 Arbetsförmedlingen

Förslaget innebär att Arbetsförmedlingen blir skyldig att lämna uppgifter till Försäkringskassan om individer som Arbetsförmedlingen själva har anvisat som behövs för uppföljningen av den finansiella samordningen. Möjligheten att behandla personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund innebär ingen ny arbetsuppgift för Arbetsförmedlingen utan det innebär i stället att fler uppgifter ska registreras inom ramen för det nuvarande samverkansarbetet för

Konsekvenser

berörd personal hos Arbetsförmedlingen. Det bedöms rymmas inom Arbetsförmedlingens befintliga ekonomiska ramar. Även medarbetare från Arbetsförmedlingen kan inneha den administrativa rollen deltagaransvarig i genomförandet av en samordningsförbundsfinansierad insats, som innebär att han eller hon kommer att registrera information om deltagare som anvisats till en insats från någon av de andra samverkansparterna i uppföljningssystemet som tillhandahålls av Försäkringskassan. Inte heller detta innebär en ny arbetsuppgift för Arbetsförmedlingen, utan innebär i stället ett tillkommande moment i det nuvarande samverkansarbetet för berörd personal hos Arbetsförmedlingen och det bedöms rymmas inom Arbetsförmedlingens befintliga ekonomiska ramar. För att få ta del av uppgifter från uppföljningssystemet kommer Arbetsförmedlingen behöva begära det hos Försäkringskassan. Arbetsförmedlingen behöver också tillsammans med övriga parter bestämma vilka uppgifter som ska registreras i uppföljningssystemet.

8.2.3 Kommuner och regioner

Uppgiftsskyldighet

Förslaget innebär att regioner och kommuner blir skyldiga att lämna uppgifter om individer som de själva har anvisat som behövs för uppföljningen av den finansiella samordningen till Försäkringskassan. Möjligheten att behandla personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund innebär ingen ny arbetsuppgift för region och kommun, utan det innebär i stället att fler uppgifter ska registreras inom ramen för det nuvarande samverkansarbetet för berörd personal hos kommun och region. Den ökade uppgiftsbördan bedöms vara av marginell omfattning. Även medarbetare från regioner och kommuner kan redan idag inneha den administrativa rollen deltagaransvarig i genomförandet av en samordningsförbundsfinansierad insats, som innebär att han eller hon kommer att registrera information om deltagare som anvisats till en insats från någon av de andra samverkansparterna i

Konsekvenser

uppföljningssystemet som tillhandahålls av Försäkringskassan. Det administrativa momentet som sådant är dock inte nytt utan även i dagsläget registreras uppgifter i uppföljningssystemet i samband med att en deltagare påbörjar samt avslutar en insats. Därutöver är det frivilligt för kommunerna och regionerna att delta i finansiell samordning, varför den ökade uppgiftsbördan endast uppstår om kommunen eller regionen väljer att delta. Därmed är det inte aktuellt med kompensation enligt den kommunala finansieringsprincipen. Regioner och kommuner behöver också tillsammans med övriga parter bestämma vilka uppgifter som ska registreras i uppföljningssystemet.

Nödvändiga och proportionerliga inskränkningar i den kommunala självstyrelsen

Enligt 14 kap. 2 § RF sköter kommunerna lokala och regionala angelägenheter av allmänt intresse på den kommunala självstyrelsens grund. Enligt 14 kap. 3 § RF bör en inskränkning i den kommunala självstyrelsen inte gå utöver vad som är nödvändigt med hänsyn till de ändamål som föranlett den. Denna proportionalitetsprincip innebär att ett förslag inte får vara onödigt långtgående och om syftet med det kan uppnås på ett mindre ingripande sätt ska den väg väljas som lägger minst band på kommunernas självbestämmanderätt (jfr prop. 2009/10:80 s. 212). Vid proportionalitetsbedömningen ska det göras dels en bedömning av de konsekvenser det tänkta förslaget eller förslagen får för den kommunala självstyrelsen, dels en avvägning mellan de kommunala självstyrelseintressena och de nationella intressena som den föreslagna lagstiftningen ska tillgodose. Det är frivilligt för en kommun eller region att delta i finansiell samordning enligt finsamlagen. Genom förslaget om uppgiftsskyldighet åläggs kommuner och regioner som deltar i finansiell samordning en skyldighet att lämna de uppgifter som behövs för uppföljningen av den finansiella samordningen till Försäkringskassan. Syftet med bestämmelsen är att möjliggöra insamling av de uppgifter som behövs för att nationellt kunna följa upp samordnade rehabiliteringsinsatser samt hur tilldelade medel används. Ytterligare syfte är att samordningsförbunden ska kunna genomföra uppföljning av rehabiliteringsinsatserna enligt 7 § finsam-lagen. Det bedöms inte finnas några för

Konsekvenser

den kommunala självstyrelsen mindre ingripande alternativ än de förslag som lämnas. Förslagen bedöms vara nödvändiga och proportionerliga med hänsyn till behovet av att kunna följa upp finansiell samordning där kommuner och regioner är samverkande parter.

8.3 Konsekvenser för samordningsförbund

Samordningsförbunden ska svara för uppföljning och utvärdering av rehabiliteringsinsatserna (7 § finsam-lagen). För att kunna genomföra denna uppgift behöver förbunden tillgång till underlag för uppföljning och utvärdering. Den föreslagna regleringen möjliggör behandling av personuppgifter för uppföljning och ålägger Försäkringskassan att ge förbunden tillgång till de uppgifter som är nödvändiga för att de insatser som respektive samordningsförbund finansierar ska kunna följas upp. Dessa uppgifter kan också utgöra underlag för samordningsförbundens uppgift att utvärdera rehabiliteringsinsatser som man finansierar. Det bidrar till att samordningsförbunden kan bedöma och värdera de insatser som de finansierar utifrån samhällsekonomisk effektivitet, de gemensamma samverkansmålen och de mål som samordningsförbundet anger för sin verksamhet.

8.4 Konsekvenser för enskilda

Förslaget innebär att Försäkringskassan får behandla enskildas personuppgifter i syfte att möjliggöra uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Personuppgiftsbehandlingen är ny och innebär därmed en ökad personuppgiftsbehandling, både sett till antal personuppgifter och antalet registrerade. Samtidigt innebär den nya lagen en integritetshöjande åtgärd eftersom det hittills har saknats ett samlat regelverk för personuppgiftsbehandlingen. Redan förslaget om en ny lag om behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund kan således anses innebära en integritetshöjande åtgärd. En särskild reglering bidrar till att Försäkringskassan får ett tydligt rättsligt stöd och rättsliga ramar för sin personuppgiftsbehandling samtidigt som regleringen

Konsekvenser

ökar transparensen gentemot de registrerade och allmänheten (se även avsnitt 6).

8.5 Övriga konsekvenser

8.5.1 Konsekvenser för jämställdheten

Totalt har 23 849 individer under 2024 deltagit i de individinriktade insatser som samordningsförbunden finansierat och av dessa var 57 procent kvinnor och 43 procent män (Försäkringskassan, Rapport – Redovisning av målgrupper och insatser som finansieras av samordningsförbund 2024 ). Förslaget innebär ett förbättrat underlag för uppföljning av samordningsförbundens insatser, vilket kan bidra till att utveckla stödet till de kvinnor och män som deltar i sådana insatser. Om det förekommer olikheter mellan män och kvinnor inom de samordnade rehabiliteringsinsatserna är det till fördel ur ett jämställdhetsperspektiv att sådana skillnader synliggörs, vilket ett förbättrat underlag för uppföljning kan möjliggöra.

8.5.2 Konsekvenser för arbetsutbudet

Förslaget innebär ett förbättrat underlag för att följa upp och utvärdera insatser som finansieras av samordningsförbund. Det skapar förutsättningar för att de insatser som har goda resultat kan spridas, vilket i sin tur kan bidra till att fler snabbare bör kunna lämna offentlig försörjning och stå till arbetsmarknadens förfogande.

8.5.3 Konsekvenser för unionsåtaganden och andra internationella åtaganden

Förslagen har tagits fram med hänsyn till bl.a. den europeiska konventionen den 4 november 1950 om skydd för de mänskliga rättigheterna och de grundläggande friheterna, Sveriges internationella åtaganden samt de åtaganden som följer av Sveriges anslutning till Europeiska unionen. Förslagen bedöms inte ha några EU-rättsliga konsekvenser.

Konsekvenser

8.5.4 Övriga konsekvensbedömningar

Förslaget bedöms inte ha några konsekvenser för brottsligheten eller för felaktiga utbetalningar. Förslagen bedöms inte heller ha några konsekvenser för de integrationspolitiska målen, för barnens situation eller miljön.

9 Författningskommentar

9.1 Förslaget till lag om behandling av personuppgifter vid uppföljning av finansiell samordning av rehabiliteringsinsatser

Lagens syfte

1 § Syftet med denna lag är att ge Försäkringskassan möjlighet att behandla personuppgifter på ett ändamålsenligt sätt vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund och att skydda människor mot att deras personliga integritet kränks vid sådan behandling.

I paragrafen anges lagens två syften. Det ena syftet är att ge Försäkringskassan möjlighet att behandla personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund enligt finsam-lagen. Det andra är att skydda människor mot att deras personliga integritet kränks vid en sådan behandling. Övervägandena finns i avsnitt 4.2.1.

Lagens tillämpningsområde

2 § Denna lag gäller vid behandling av personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund enligt lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller kommer att ingå i ett register.

I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 4.2.2. Med uppföljning av rehabiliteringsinsatser enligt första stycket avses dels den uppföljning som samordningsförbund svarar för

Författningskommentar

enligt 7 § finsam-lagen, dels den uppföljning på nationell nivå som Försäkringskassan föreslås svara för genom en ny bestämmelse i 5 c § Försäkringskassans instruktion. Av bestämmelsen följer att lagen endast är tillämplig vid Försäkringskassans verksamhet med uppföljning av rehabiliteringsinsatser enligt finsam-lagen. Lagen är alltså inte tillämplig i någon annan del av Försäkringskassans verksamhet. Definitioner av begreppen personuppgifter och behandling finns i artikel 4.1 och 4.2 EU:s dataskyddsförordning. I andra stycket begränsas paragrafens tillämpningsområde till en viss typ av behandling av personuppgifter. Bestämmelsen är utformad i nära anslutning till artikel 2.1 i EU:s dataskyddsförordning och bör tolkas på samma sätt som den artikeln. En definition av begreppet register finns i artikel 4.6 i samma förordning. Bestämmelsen innebär att t.ex. minnesanteckningar som enbart förs på papper inte omfattas av lagens tillämpningsområde.

Förhållandet till annan reglering

3 § Denna lag innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning. Vid behandlingen av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Paragrafen anger lagens förhållande till annan dataskyddsreglering. Övervägandena finns i avsnitt 4.2.3. Av första stycket framgår att lagen kompletterar EU:s dataskyddsförordning. Det innebär att lagen inte kan tillämpas fristående, utan endast tillsammans med EU:s dataskyddsförordning. EU:s dataskyddsförordning är direkt tillämplig men förutsätter eller tillåter i vissa avseenden nationella bestämmelser som kompletterar förordningen. I andra stycket anges lagens förhållande till dataskyddslagen. Dataskyddslagen, som kompletterar EU:s dataskyddsförordning på nationell generell nivå, är subsidiär i förhållande till denna lag. Bestämmelsen innebär att om inte annat följer av denna lag eller

Författningskommentar

föreskrifter som har meddelats i anslutning till lagen, gäller dataskyddslagen.

Uppgifter om avlidna personer

4 § Vid behandling av uppgifter om avlidna personer ska följande reglering tillämpas: 1. denna lag och föreskrifter som har meddelats i anslutning till lagen, 2. EU:s dataskyddsförordning, och 3. lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen.

I paragrafen regleras vad som gäller vid behandling av uppgifter om avlidna personer. Övervägandena finns i avsnitt 4.2.4. I paragrafen slås fast att lagen och föreskrifter som har meddelats i anslutning till lagen ska tillämpas vid behandling av uppgifter om avlidna personer. Även EU:s dataskyddsförordning och dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen ska tillämpas vid behandling av sådana uppgifter. Genom paragrafen utvidgas därmed lagens tillämpningsområde i förhållande till EU:s dataskyddsförordning. En del av bestämmelserna i de rättsakter som listas kräver den registrerades aktiva medverkan. Det gäller t.ex. artiklarna i EU:s dataskyddsförordning om den registrerades rättigheter. Dessa och andra bestämmelser som kräver den registrerades medverkan kan av naturliga skäl inte tillämpas för uppgifter om avlidna personer. Paragrafen innebär inte att efterlevande och andra ges möjlighet att göra gällande rättigheter som tillkom den avlidne när denne var i livet.

Personuppgiftsansvar

5 § Försäkringskassan är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen.

Av paragrafen framgår att Försäkringskassan är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför enligt lagen eller enligt föreskrifter som har meddelats i anslutning till lagen. I artikel 4.7 i EU:s dataskyddsförordning finns definitionen av personuppgiftsansvarig. Övervägandena finns i avsnitt 4.3.

Författningskommentar

Ändamål

6 § Personuppgifter får behandlas om det är nödvändigt för att utföra verksamhet enligt 2 §.

I paragrafen anges det primära ändamålet för Försäkringskassans behandling av personuppgifter enligt lagen, dvs. uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Övervägandena finns i avsnitt 4.4.2. Ändamålet återspeglar behovet av att kunna behandla personuppgifter för att kunna genomföra kraven på uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund som följer av 7 § finsam-lagen och den föreslagna 5 c § Försäkringskassans instruktion. Det primära ändamålet ger tillsammans med den sekundära ändamålsbestämmelsen (7 §), bestämmelsen om finalitetsprincipen (8 §) och bestämmelsen om syftet med lagen (1 §) en ram för den personuppgiftsbehandling som är tillåten. Av paragrafen framgår att en grundläggande förutsättning för att behandla personuppgifter vid uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund är att behandlingen är nödvändig för detta ändamål. Kravet på nödvändighet innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig. Behandlingen kan anses nödvändig och därmed tillåten, om behandlingen leder till effektivitetsvinster (prop. 2017/18:105 s. 189). Att behandlingen skulle kunna ske manuellt, dvs. utan tekniska hjälpmedel, medför därför inte per automatik att behandlingen inte anses nödvändig. I kravet på nödvändighet ligger dock att personuppgifter inte får behandlas om syftet med behandlingen kan uppnås lika bra med andra medel, t.ex. genom att uppgifterna anonymiseras (jfr prop. 2017/18:232 s. 117).

7 § Personuppgifter som behandlas enligt 6 § får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Paragrafen anger för vilka sekundära ändamål Försäkringskassan får behandla personuppgifter inom lagens tillämpningsområde. Övervägandena finns i avsnitt 4.4.3. Personuppgifter som behandlas för primära ändamål får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Med detta avses att uppgifts-

Författningskommentar

lämnandet sker med stöd av bestämmelser som påbjuder eller tillåter utlämnande. Det kan t.ex. röra sig om en uttrycklig uppgiftsskyldighet (10 kap. 28 § OSL) eller uppgiftslämnande som sker i syfte att fullgöra serviceskyldigheten gentemot enskilda enligt förvaltningslagen (2017:900) eller som följer av skyldigheten för en myndighet att på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång (6 kap. 5 § OSL).

8 § Personuppgifter som behandlas enligt 6 § får också behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med de ändamål som uppgifterna samlades in för.

Paragrafen innehåller en bestämmelse om den s.k. finalitetsprincipen i EU:s dataskyddsförordning. Övervägandena finns i avsnitt 4.4.4. Bestämmelsen tydliggör att finalitetsprincipen i artikel 5.1 b i EU:s dataskyddsförordning gäller vid behandling av personuppgifter enligt lagen. Utvidgad behandling av personuppgifter enligt denna paragraf förutsätter att uppgifterna har samlats in för det primära ändamål som anges i 6 §. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i EU:s dataskyddsförordning och bör tolkas på samma sätt. Detta innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 i EU:s dataskyddsförordning inte ska anses vara oförenlig med de ursprungliga ändamålen. Det innebär också att de omständigheter som anges i artikel 6.4 i EU:s dataskyddsförordning ska beaktas vid bedömningen av om behandlingen är förenlig med finalitetsprincipen. Bestämmelsen medför t.ex. att det kan vara tillåtet att samköra uppgifter som samlats in för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund med uppgifter från andra register under förutsättning att ändamålet med en sådan behandling inte är oförenligt med det ändamål som anges i 6 §.

Känsliga personuppgifter

9 § Sådana känsliga personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning får behandlas, om det är nödvändigt med hänsyn till ändamålet med behandlingen.

Författningskommentar

Paragrafen reglerar möjligheten till behandling av känsliga personuppgifter. Övervägandena finns i avsnitt 4.5. Bestämmelsen innebär ett undantag från förbudet mot behandling av känsliga personuppgifter enligt artikel 9.1 i EU:s dataskyddsförordning. I artikel 9.2 finns ett antal undantag, som trots förbudet i vissa fall tillåter behandling av personuppgifter. För behandlingen av personuppgifter i verksamheten med att följa upp rehabiliteringsinsatser som finansieras av samordningsförbund finns stöd i undantagen för behandling som är nödvändig av hänsyn till ett viktigt allmänt intresse enligt artikel 9.2 g. De personuppgifter som myndigheten får behandla med stöd av bestämmelsen är sådana som avses i artikel 9.1 i EU:s dataskyddsförordning, dvs. personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Definitioner av genetiska och biometriska uppgifter samt uppgifter om hälsa finns i artikel 4.13, 4.14 och 4.15 i EU:s dataskyddsförordning. Känsliga personuppgifter får endast behandlas om det är nödvändigt med hänsyn till ändamålet med behandlingen. Det innebär att behandlingen måste kunna motiveras i varje enskilt fall. Nödvändighetsrekvisitet har samma innebörd som i 6 § (jfr prop. 2017/18:105 s. 75 och 76). Med uttrycket ”ändamålet med behandlingen” avses behandling som utförs både med stöd av den primära och med stöd av den sekundära ändamålsbestämmelsen. Hänvisningen till EU:s dataskyddsförordning är dynamisk och avser alltså förordningen i den vid varje tidpunkt gällande lydelsen.

Sökbegränsningar

10 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Förbudet omfattar dock inte sökningar i syfte att få fram ett urval av personer grundat på personuppgifter om hälsa, om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av denna lag.

Paragrafen reglerar sökbegränsningar avseende känsliga personuppgifter. Övervägandena finns i avsnitt 4.6.

Författningskommentar

Enligt första stycket är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Bestämmelsen utgår från syftet med en sökning. Definitionen av känsliga personuppgifter finns i 9 §, som hänvisar till artikel 9.1 i EU:s dataskyddsförordning. Sökförbudet avser alla tekniska åtgärder som innebär att uppgifter används för att strukturera eller systematisera information i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Däremot hindrar bestämmelsen inte sökningar som görs i ett annat syfte än att identifiera ett urval av individer, t.ex. för att ta fram verksamhetsstatistik eller för registervård (prop. 2017/18:105 s. 91 och 195). Bestämmelsen innebär att Försäkringskassan inte får utföra sökningar i syfte att få fram ett urval av personer grundat på genetiska eller biometriska uppgifter eller uppgifter som avslöjar en persons politiska åsikter, religiösa eller filosofiska övertygelser eller medlemskap i en fackförening. I andra stycket anges att förbudet inte omfattar sökningar i syfte att få fram ett urval av personer grundat på personuppgifter om hälsa, om sökningen är nödvändig för att utföra en uppgift i verksamhet som omfattas av lagen, dvs. uppföljning rehabiliteringsinsatser som finansieras av samordningsförbund. Vid sådan uppföljning kan förekomma uppgifter om individers försörjning, t.ex. om individen har beviljats en socialförsäkringsförmån och till vilken omfattning förmånen utgår. Det kan också förekomma uppgifter om att den deltagande individen har anvisats insatsen av hälso- och sjukvården. Även den omständigheten att individen överhuvudtaget deltar i en rehabiliteringsinsats kan anses vara en personuppgift om hälsa. Sådana uppgifter behövs för att kunna följa upp insatserna på ett ändamålsenligt sätt. Förutsättningen för att det ska vara tillåtet att göra sökningar i enlighet med undantaget är att sökningen är nödvändig för att utföra en uppgift i den aktuella uppföljningen.

Åtkomst till personuppgifter

11 § Åtkomsten till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter enligt denna lag. Åtkomsten till personuppgifter ska kontrolleras och följas upp regelbundet.

Författningskommentar

Paragrafen reglerar den interna tillgången till personuppgifter vid verksamheten med uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Övervägandena finns i avsnitt 4.7. Uttrycket ”var och en” i första stycket inkluderar såväl tillsvidareanställd personal som personer med tidsbegränsade anställningar eller uppdrag vid Försäkringskassan. Det ankommer på Försäkringskassan som personuppgiftsansvarig att aktivt ta ställning till vilket informationsbehov ett tjänsteåliggande eller uppdrag medför och tilldela den behörighet som behövs utifrån det. Myndigheten har ett ansvar för att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att personuppgifter inte sprids utanför den krets av personer som behöver ha tillgång till dessa för att kunna utföra sina arbetsuppgifter (jfr artikel 32 i EU:s dataskyddsförordning). Enligt andra stycket ska Försäkringskassan kontrollera och följa upp åtkomsten till personuppgifter regelbundet. Kontroller ska genomföras systematiskt och återkommande och inte bara när Försäkringskassan av någon orsak har fått anledning att misstänka att obehörig åtkomst har förekommit. Kontroll kan t.ex. ske genom uppföljning av loggar i ett system.

Elektroniskt utlämnande av personuppgifter

12 § Personuppgifter får lämnas ut elektroniskt om det inte är olämpligt. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsningar av möjligheten att lämna ut personuppgifter elektroniskt.

Paragrafen reglerar förutsättningarna för elektroniskt utlämnande av personuppgifter. Övervägandena finns i avsnitt 4.8. Av första stycket framgår att elektroniskt utlämnande är tillåtet om det inte är olämpligt. Med elektroniskt utlämnande avses såväl utlämnande genom direktåtkomst som annat elektroniskt utlämnande, t.ex. utlämnande genom e-post. Bedömningen av om utlämnandet är olämpligt ska ske med beaktande av bestämmelser om sekretess, vad syftet med utlämnandet är, vem mottagaren är, vilka uppgifter det rör sig om samt om nödvändiga säkerhetsåtgärder är vidtagna. Elektroniskt utlämnande på andra sätt än genom direktåtkomst till andra offentliga aktörer bör som utgångspunkt anses vara lämpligt. Vid utlämnande genom direktåtkomst är större restriktivitet påkallad. Bedömningen bör då innefatta en noggrann

Författningskommentar

prövning av vilka särskilda integritetsrisker ett sådant elektroniskt utlämnande kan innebära. Myndigheten kan vid bedömningen behöva överväga typen av personuppgifter, sekretesskyddet hos mottagaren, behovet av säkerhetsåtgärder, t.ex. tekniska begränsningar för att säkerställa skyddet för den personliga integriteten, mottagarens förmåga att vidta åtgärder för att säkerställa skyddet för den personliga integriteten, mottagarens förmåga att vidta nödvändiga säkerhetsåtgärder, behovet av effektivitet m.m. Att mottagaren har ett kontinuerligt eller stort behov av uppgifterna i sin verksamhet kan tala för att direktåtkomst inte är olämplig. Motsatsvis bör direktåtkomst till uppgifter som mottagaren sällan kan komma att behöva, eller som inte är av särskilt stor betydelse för mottagaren, i högre utsträckning betraktas som olämplig. Om det rör uppgifter som inte är av integritetskänslig karaktär kan detta tala för att ett utlämnande kan ske via direktåtkomst, eller om det finns ett nära samband mellan de olika verksamheterna. Även i situationer där två eller flera myndigheter är gemensamt ansvariga för att utföra en viss uppgift kan direktåtkomst komma att framstå som det mest lämpliga sättet för utlämnande. Detta kan t.ex. aktualiseras i fall där andra medlemmar i ett samordningsförbund än Försäkringskassan har behov av personuppgifter för att uppfylla kraven i sin egen uppföljningsverksamhet. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om begränsningar av möjligheterna att lämna ut personuppgifter elektroniskt.

Längsta tid för behandling

13 § Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter längst får behandlas under viss tid.

Paragrafen innehåller en huvudregel om längsta tid för behandlingen av personuppgifter vid verksamheten med uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Bestämmelsen motsvarar principen om lagringsminimering i artikel

Författningskommentar

5.1 e i EU:s dataskyddsförordning. Övervägandena finns i avsnitt 4.9. Första stycket innebär en skyldighet för Försäkringskassan att upphöra med behandlingen av personuppgifterna så snart de inte längre behövs med hänsyn till det ändamål för vilket de behandlas. Det är alltså ändamålet med behandlingen som avgör hur länge uppgifterna får behandlas. När det inte längre, med hänsyn till ändamålet, finns något behov av att behandla personuppgifterna ska dessa tas bort eller avidentifieras på ett sådant sätt att alla identifieringsmöjligheter försvinner. Bestämmelsen ställer krav på Försäkringskassan att kunna motivera fortsatt behandling av personuppgifter, t.ex. inför en tillsynsmyndighet. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter som längst får behandlas under viss tid.

Begränsning av rätten att göra invändningar

14 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Paragrafen innebär ett undantag från den rätt för registrerade att göra invändningar mot behandlingen av personuppgifter som regleras i artikel 21.1 i EU:s dataskyddsförordning. Hänvisningen till EU:s dataskyddsförordning är dynamisk och avser alltså förordningen i den vid varje tidpunkt gällande lydelsen. Övervägandena finns i avsnitt 4.10.

9.2 Förslaget till lag om ändring i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser

Uppgiftsskyldighet

27 a § Arbetsförmedlingen samt den region och kommun som är medlem i ett samordningsförbund ska lämna de uppgifter till Försäkringskassan som behövs för uppföljningen av den finansiella samordningen.

Författningskommentar

Paragrafen, som är ny, reglerar samordningsförbundens medlemmars skyldighet att lämna uppgifter till Försäkringskassan inom ramen för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Övervägandena finns i avsnitt 5.1. Sådana uppgifter kan t.ex. vara namn och personnummer på deltagare i rehabiliteringsinsatser samt deras utbildningsbakgrund, sysselsättning och försörjning före och efter insatsen. Med uppföljning avses här såväl den lokala uppföljningen som samordningsförbunden svarar för enligt 7 § finsam-lagen som den nationella uppföljningen som Försäkringskassan ansvarar för enligt den föreslagna 5 c § Försäkringskassans instruktion. Bestämmelsen korresponderar med 6 § i den föreslagna lagen om behandling av personuppgifter vid uppföljning av finansiell samordning av rehabiliteringsinsatser. Av den bestämmelsen framgår att Försäkringskassan endast får behandla uppgifter enligt lagen om det är nödvändigt för att utföra verksamheten med att följa upp rehabiliteringsinsatser som finansieras av samordningsförbund.

27 b § Ett samordningsförbund ska lämna de uppgifter till Försäkringskassan som behövs för uppföljningen av den finansiella samordningen.

Paragrafen, som är ny, reglerar samordningsförbundens skyldighet att lämna uppgifter till Försäkringskassan inom ramen för uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Övervägandena finns i avsnitt 5.1. Av den föreslagna 5 c § Försäkringskassans instruktion följer att Försäkringskassan ska ansvara för den nationella uppföljningen av rehabiliteringsinsatser som finansieras av samordningsförbund. Uppgifter av vikt för denna uppföljning kan t.ex. vara tilldelade medel, budgeterade och förbrukade medel samt uppgifter om insatserna som samordningsförbunden finansierar.

9.3 Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)

28 kap .

Uppföljning av rehabiliteringsinsatser

Författningskommentar

4 c § Sekretess gäller hos Försäkringskassan i verksamhet som rör uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund enligt lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser för uppgift om en enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till honom eller henne lider men om uppgiften röjs. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

Paragrafen, som är ny, reglerar sekretess i verksamhet som rör uppföljning av rehabiliteringsinsatser som finansieras av samordningsförbund. Övervägandena finns i avsnitt 5.2. Första stycket innehåller ett så kallat rakt skaderekvisit, vilket innebär en presumtion för offentlighet. Sekretessen motsvarar det skydd som gäller enligt 28 kap. 1 § första stycket OSL. Bestämmelsen tar sikte på sådana uppgifter som enligt 27 a och 27 b §§ finsam-lagen ska lämnas till Försäkringskassan av Arbetsförmedlingen samt regioner och kommuner som är medlemmar i samordningsförbund respektive av samordningsförbunden själva. Till det kommer sådana uppgifter som Försäkringskassan, i egenskap av medlem i samordningsförbund, förser uppföljningssystemet med. Av andra stycket framgår att sekretessen gäller i högst sjuttio år för en uppgift i en allmän handling.