PM Hemställan om ändringar i 114 kap. SFB och förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

Försäkringskassans dnr FK 2020/001747 Pensionsmyndighetens dnr VER 2020-180

Hemställan om ändringar i 114 kap. SFB och förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

___________________

Försäkringskassan och Pensionsmyndigheten har på eget initiativ genomfört en översyn av 114 kap. SFB och förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration. Senast det gjordes en fullständig översyn av bestämmelserna var 2003 och sedan dess har myndigheternas verksamheter genomgått stora förändringar, framför allt som en följd av den digitala utvecklingen. Det finns därför ett stort behov av en omarbetning av 114 kap. SFB. Vi överlämnar härmed en promemoria med förslag om ändringar till Socialdepartementet och hemställer om att förslagen genomförs.

Beslut i detta ärende har fattats av generaldirektörerna.

Nils Öberg Daniel Barr Försäkringskassan Pensionsmyndigheten

Sammanfattning

Behov av en översyn

Försäkringskassan och Pensionsmyndigheten har på eget initiativ gjort en översyn av bestämmelserna i 114 kap. SFB och anslutande förordning, som reglerar behandlingen av personuppgifter inom myndigheternas förmånsverksamhet. Senast det gjordes en fullständig översyn av bestämmelserna var 2003 och sedan dess har verksamheten genomgått stora förändringar, framför allt som en följd av den digitala utvecklingen. Befintlig reglering är inte längre anpassad till verksamhetens behov och de förväntningar som finns på myndigheten att utnyttja de digitala möjligheterna. Det finns därför behov av en omarbetning av 114 kap. SFB.

Tillämpningsområdet

Bestämmelserna i 114 kap. SFB föreslås, i likhet med vad som gäller idag, tillämpas vid behandling av personuppgifter i verksamhet som gäller förmåner enligt SFB, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten. Bestämmelserna ska komplettera dataskyddsförordningen och på motsvarande sätt inte gälla vid helt manuell behandling. Bestämmelserna ska inte heller gälla för sådan behandling som omfattas av tillämpningsområdet för lagen (2001:99) om den officiella statistiken och anslutande författningar.

Dataskyddslagen och anslutande förordning gäller om inte annat följer av 114 kap. SFB eller föreskrifter som har meddelats i anslutning till kapitlet.

Vid behandling av uppgifter om avlidna föreslås 114 kap. SFB och föreskrifter som har meddelats i anslutning till kapitlet, dataskyddsförordningen, dataskyddslagen och föreskrifter som har meddelats i anslutning till den gälla i tillämpliga delar.

Personuppgiftsansvar

Försäkringskassan och Pensionsmyndigheten ska vara personuppgiftsansvarig för behandling av personuppgifter i respektive myndighets verksamhet.

Socialförsäkringsdatabasen

Begreppet socialförsäkringsdatabasen föreslås tas bort ur regleringen. Istället ska samtliga bestämmelser gälla all personuppgiftsbehandling inom kapitlets tillämpningsområde.

Ändamål

Försäkringskassan och Pensionsmyndigheten får redan idag behandla personuppgifter om det är nödvändigt för att handlägga ärenden, för att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, för att informera om förmåner och ersättningar, för att framställa statistik och för att planera, styra, följa upp, redovisa och utvärdera verksamheten. Därutöver föreslås myndigheterna få behandla personuppgifter om det är nödvändigt för att vidta kontroll- och analysåtgärder samt utvecklingsåtgärder. Som ett alternativ till dessa, mer detaljerat utformade primära ändamål, föreslås att Försäkringskassan och Pensionsmyndigheten ska få behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna. Myndigheterna förordar ett sådant bredare ändamål. Det förutsätter dock att myndigheterna själva formulerar mer preciserade ändamål för de specifika behandlingar av personuppgifter som sker i verksamheterna.

De personuppgifter som behandlas för primära ändamål föreslås också få behandlas om det behövs för att fullgöra uppgiftslämnanden som sker i överensstämmelse med lag eller förordning, eller som följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention eller ett avtal med främmande stat eller mellanfolklig organisation.

Finalitetsprincipen bör även fortsättningsvis utgöra den yttersta ramen för behandling av personuppgifter inom tillämpningsområdet för 114 kap. SFB.

Känsliga personuppgifter

Samtliga kategorier av känsliga personuppgifter föreslås få behandlas av Försäkringskassan och Pensionsmyndigheten om det är nödvändigt för att handlägga ärenden eller för att lämna ut personuppgifter. Uppgifter om hälsa föreslås få behandlas om det är nödvändigt för övriga ändamål. Som en skyddsåtgärd måste känsliga personuppgifter först behandlas för att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas eller för att informera om förmåner och ersättningar innan de får behandlas för övriga ändamål.

Sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter föreslås som huvudregel vara förbjudna. Personuppgifter som rör hälsa ska dock få användas i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning och som urvalskriterium vid sammanställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det.

Uppgifter om lagöverträdelser

Bestämmelser om behandling av uppgifter om lagöverträdelser föreslås upphävas.

Direktåtkomst

Direktåtkomst bör, precis som tidigare, vara tillåten endast i den utsträckning som anges i lag eller förordning. Befintliga bestämmelser om rätt till direktåtkomst i förordning föreslås, i syfte att skapa en tydligare systematik, istället regleras i lag. Befintliga bestämmelser om direktåtkomst som inte längre tillämpas föreslås upphävas medan bestämmelser som ger stöd för sådan direktåtkomst som används bör behållas.

Möjligheten för registrerade att få direktåtkomst till sina egna uppgifter hos Försäkringskassan och Pensionsmyndigheten föreslås omfatta personuppgifter som behandlas för vissa ändamål. Även förmyndare, förvaltare, god man och ombud för den registrerade föreslås kunna få direktåtkomst.

Försäkringskassan och Pensionsmyndigheten, som idag har tillgång till varandras uppgifter genom rätten till åtkomst till socialförsäkringsdatabasen, föreslås få direktåtkomst till varandras personuppgifter. Sådan direktåtkomst bör gälla i den utsträckning det behövs för vissa primära ändamål och under förutsättning att det inte föreligger hinder i form av sekretess. För att undanröja hinder i form av sekretess föreslås en sekretessbrytande bestämmelse som innebär att myndigheterna utan hinder av sekretess ska ha rätt att ta del av sådana personuppgifter som myndigheterna har möjlighet att ge varandra direktåtkomst till.

Utlämnande på medium för automatiserad behandling

Samtliga bestämmelser om utlämnande på medium för automatiserad behandling föreslås upphävas eftersom övriga krav vid utlämnanden av uppgifter bedöms medföra ett tillräckligt skydd. Ändamålsbestämmelser anger t.ex. när personuppgifter får behandlas i syfte att lämnas ut. Om mottagaren av personuppgifterna är en myndighet styrs även dennas personuppgiftsbehandling vanligtvis av en registerlagstiftning med ändamålsbestämmelser som begränsar möjligheterna att behandla personuppgifter. Den personuppgiftsansvariga myndigheten är också skyldig att vidta lämpliga säkerhetsåtgärder för att skydda de uppgifter som behandlas, t.ex. genom kryptering. Därutöver ska utlämnanden vara förenliga med bestämmelser om sekretess.

Säkerhetsåtgärder

I linje med vad som redan gäller idag, föreslås 114 kap. SFB innehålla krav på att tillgången till personuppgifter inom lagens tillämpningsområde ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt.

Inskränkning av rättigheter som följer av dataskyddsförordningen

Sådan behandling av personuppgifter som är tillåten enligt 114 kap. SFB föreslås även fortsättningsvis få utföras även om den registrerade motsätter sig behandlingen.

Bestämmelsen i 114 kap. SFB om begränsningar av skyldigheten att lämna information enligt artikel 15 i dataskyddsförordningen föreslås ändras på så sätt att personuppgifter som den registrerade har tagit del av och som behandlas i löpande text i ärenden endast behöver tas med i sådan information om den registrerade begär det. Av informationen bör det dock framgå i vilka ärenden det behandlas personuppgifter i löpande text.

Gallring

Bestämmelsen i 114 kap. SFB om gallring föreslås ändras på så sätt att den avser personuppgifter som behandlas inom kapitlets tillämpningsområde oavsett ändamål.

Överföring till tredjeland

Sådan överföring av personuppgifter till tredjeland som avses i befintlig bestämmelse i 114 kap. SFB är tillåten med direkt tillämpning av dataskyddsförordningen. Bestämmelsen är därmed överflödig och riskerar också att uppfattas som uttömmande. Den föreslås därför upphävas.

Nytt kapitel

I syfte att renodla 114 kap. SFB till att endast innehålla dataskyddsbestämmelser, föreslås att några av bestämmelserna i kapitlet flyttas till ett nytt kapitel, 114 a kap. SFB.

Ikraftträdande

De föreslagna ändringarna föreslås träda i kraft så snart som möjligt. Det saknas behov av övergångsbestämmelser.

Konsekvenser

Förslagen medför begränsade kostnader för de berörda myndigheterna. Förslagen ger myndigheterna möjlighet att utföra sina uppdrag på ett ändamålsenligt sätt samtidigt som de ger tillräckligt skydd för den enskildes personliga integritet.

1 Författningsförslag

1.1 Förslag till lag om ändring i socialförsäkringsbalken

1.1.1 Förslag med detaljerat angivna primära ändamål

Härigenom föreskrivs i fråga om socialförsäkringsbalken dels att 114 kap. 5, 9, 12, 13, 14, 15, 16, 24, 25, 26, 26 a, 28, 29, 32, 34 och 35 §§ ska upphöra att gälla, dels att rubrikerna närmast före 114 kap. 14, 24, 29, 32, 34 och 35 §§ ska utgå, dels att 114 kap. 1, 2, 6, 6 a, 7, 8, 10, 11, 17, 18, 19, 21, 22, 27, 30 och 31 §§ och rubrikerna närmast före 11, 17 och 27 §§ ska ha följande lydelse, dels att det ska införas ett nytt 114 a kapitel och två nya paragrafer, 114 kap. 20 och 23 §§.

114 kap.

förordning eller särskilt beslut av regering- förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller en handläggs av Försäkringskassan eller Pensionsmyndigheten. Med socialförsäk- Pensionsmyndigheten. ringens administration avses i detta kapitel administration hos dessa myndigheter. Kapitlet gäller endast om behandlingen Kapitlet gäller endast om behandlingen är helt eller delvis automatiserad eller om är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personupp- i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller gifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. sammanställning enligt särskilda kriterier. Bestämmelserna i 7–16, 27, 28 och Vid behandling av uppgifter om avlidna 31 §§ gäller i tillämpliga delar även upp- ska detta kapitel och föreskrifter som har gifter om avlidna personer. meddelats i anslutning till det, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen gälla i tillämpliga delar.

6 § Detta kapitel innehåller bestämmelser Detta kapitel innehåller bestämmelser som kompletterar Europaparlamentets och som kompletterar EU:s dataskyddsförordrådets förordning (EU) 2016/679 av den 27 ning. april 2016 om skydd för fysiska personer Vid behandling av personuppgifter enmed avseende på behandling av person- ligt detta kapitel gäller dataskyddslagen uppgifter och om det fria flödet av sådana och föreskrifter som har meddelats i anuppgifter och om upphävande av direktiv slutning till den lagen, om inte annat följer 95/46/EG (allmän dataskyddsförordning), av detta kapitel eller föreskrifter som har här benämnd EU:s dataskyddsförordning. meddelats i anslutning till kapitlet. Vid behandling av personuppgifter enligt detta kapitel gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet.

6 a § En myndighet inom socialförsäkringens Försäkringskassan och Pensionsmynadministration är personuppgiftsansvarig digheten är personuppgiftsansvarig för för den behandling av personuppgifter som behandling av personuppgifter i respektive den utför . myndighets verksamhet .

7 § Försäkringskassan och Pensionsmyn- Försäkringskassan och Pensionsmyndigheten får i sin verksamhet behandla digheten får behandla personuppgifter om personuppgifter om det är nödvändigt för det är nödvändigt för att att 1. handlägga ärenden, 1. återsöka vägledande avgöranden, 2. tillgodose behov av underlag som krävs 2. tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska för att den registrerades eller annans rättig- kunna bedömas eller fastställas, heter eller skyldigheter i fråga om förmåner 3. informera om förmåner och ersättningar, och ersättningar som avses i 2 § ska kunna 4. vidta kontroll- och analysåtgärder, bedömas eller fastställas, 5. vidta utvecklingsåtgärder, 3. informera om sådana förmåner och 6. framställa statistik , eller ersättningar som avses i 2 §, 7. planera, styra, följa upp, redovisa och 4. handlägga ärenden, utvärdera verksamheten. 5. planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet, eller 6. framställa statistik i fråga om verksamhet enligt 4 och 5. Vid behandling för det ändamål som anges i första stycket 1 får inte uppgifter som direkt pekar ut den registrerade användas.

8 § Personuppgifter som behandlas för än- Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas damål som anges i 7 § får också behandlas av Försäkringskassan och Pensionsmyn- av Försäkringskassan och Pensionsmyndigheten för tillhandahållande av informa- digheten för att fullgöra uppgiftslämnande tion som behövs som 1. som underlag för beslut om och kontroll 1. s ker i överensstämmelse med lag eller av förmåner, ersättningar och andra stöd förordning, eller åt enskilda i den verksamhet som bedrivs av 2. följer av Sveriges medlemskap i Europe- Centrala studiestödsnämnden och iska unionen eller av uppgiftsskyldighet arbetslöshetskassorna, enligt en internationell konvention som 2. för samordning av tjänstepensioner i den Sverige har tillträtt eller enligt ett av verksamhet som bedrivs av Statens tjänste- riksdagen godkänt avtal med främmande pensionsverk och det för kommunerna och stat eller mellanfolklig organisation . regionerna gemensamma organet för administration av personalpensioner, 3. för handläggning av ärenden hos Statens tjänstepensionsverk där regler om statens

tjänstegrupplivförsäkring ska tillämpas, eller 4. som underlag för beslut om och kontroll av ekonomiskt bistånd enligt 4 kap. socialtjänstlagen (2001:453) åt enskild i den verksamhet som bedrivs av socialnämnderna.

10 § Personuppgifter som behandlas enligt Personuppgifter som behandlas för 7–9 §§ får behandlas även för andra ända- något av de ändamål som anges i 7 och mål, under förutsättning att uppgifterna inte 8 §§ får behandlas även för andra ändamål, behandlas på ett sätt som är oförenligt med under förutsättning att uppgifterna inte det ändamål för vilket uppgifterna sam- behandlas på ett sätt som är oförenligt med lades in. det ändamål för vilket uppgifterna samlades in.

Behandling av känsliga personuppgifter Behandling av känsliga personuppgifter m.m.

11 § Personuppgifter som avses i artikel 9.1 i Samtliga sådana personuppgifter som EU:s dataskyddsförordning (känsliga per- avses i artikel 9.1 i EU:s dataskyddsförordsonuppgifter) får behandlas om uppgifterna ning (känsliga personuppgifter) får behandlämnats till en myndighet inom social- las om det är nödvändigt för något av de försäkringens administration i ett ärende ändamål som anges i 7 § 1 samt 8 §. eller är nödvändiga för handläggning av Känsliga personuppgifter om hälsa får ett ärende. Känsliga personuppgifter får också behandlas om det är nödvändigt för vidare behandlas för något av de ändamål något av de ändamål som anges i 7 § 2–7 som anges i 7 § första stycket 1 samt 8 och och 10 §. 9 §§ om det är nödvändigt med hänsyn till För de ändamål som anges i 7 § 4–7, 8 ändamålet. och 10 §§ får dock endast sådana känsliga För något av de ändamål som anges i personuppgifter behandlas som behandlas 7 § första stycket 2, 3, 5 och 6 får sådana eller har behandlats för något av de ändakänsliga personuppgifter behandlas som mål som anges i 7 § 1–3. rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2– 4.

Tilldelning av behörighet Tillgång till personuppgifter

17 § Behörighet för åtkomst till socialförsäk- Tillgången till personuppgifter ska beringsdatabasen ska inom socialförsäkring- gränsas till vad var och en behöver för att ens administration tilldelas genom en kunna fullgöra sina arbetsuppgifter. särskild handling i enlighet med före- Åtkomsten till personuppgifter ska konskrifter som meddelas av regeringen eller trolleras på ett ändamålsenligt sätt. den myndighet som regeringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen och till personuppgifter hos Migrationsverket ska begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter.

18 § Direktåtkomst till socialförsäkrings- Direktåtkomst till personuppgifter hos databasen är tillåten endast i den utsträck- Försäkringskassan och Pensionsmyndigning som anges i lag eller förordning. heten är tillåten endast i den utsträckning som anges i lag eller förordning.

19 § Försäkringskassan och Pensionsmyn- Försäkringskassan får, om det behövs digheten får ha direktåtkomst till socialför- för något av de ändamål som anges i 7 § 1 säkringsdatabasen i den utsträckning det och 2, ha direktåtkomst till personuppgifter behövs för de ändamål som anges i 7–9 §§. hos Pensionsmyndigheten. Sådan direktåtkomst ska vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna.

20 § Pensionsmyndigheten får, om det behövs för något av de ändamål som anges i 7 § 1 och 2, ha direktåtkomst till personuppgifter hos Försäkringskassan.

21 § Centrala studiestödsnämnden och Arbetsförmedlingen, kommuner och arbetslöshetskassorna får ha direktåtkomst regioner som deltar i samverkan och sådan till socialförsäkringsdatabasen i den ut- finansiell samordning som avses i lagen sträckning det behövs för ändamål som (2003:1210) om finansiell samordning av anges i 8 § 1. rehabiliteringsinsatser får ha direktåtkomst till sådana personuppgifter hos Försäkringskassan som behandlas med anledning av samordningen i den utsträckning den registrerade samtycker till det.

22 § En socialnämnd får ha direktåtkomst till Den registrerade får ha direktåtkomst socialförsäkringsdatabasen i den utsträck- till sådana personuppgifter om sig själv ning det behövs för ändamål som anges i som behandlas hos Försäkringskassan och 8 § 4. En socialnämnd får ha direktåtkomst Pensionsmyndigheten för något av de först sedan Försäkringskassan eller Pen- ändamål som anges i 7 § 1 och 2 under sionsmyndigheten har försäkrat sig om att förutsättning att uppgifterna får lämnas ut handläggare hos socialnämnd bara kan ta till denne. Motsvarande direktåtkomst får del av uppgifter om personer som är även ges till förmyndare, förvaltare, god aktuella i ärenden hos nämnden. man och ombud för den registrerade.

23 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst.

Sökbegrepp Sökbegränsning

27 § Känsliga personuppgifter eller upp- Det är förbjudet att utföra sökningar i gifter som avses i 12 § första stycket får inte syfte att få fram ett urval av personer användas som sökbegrepp vid sökning i grundat på känsliga personuppgifter. socialförsäkringsdatabasen. Utan hinder av de begränsningar för Vid sökning som omfattar innehållet i sökning som anges i första stycket får fler än en handling i socialförsäkrings- personuppgifter som rör hälsa användas databasen som kommit in i ett ärende eller 1. i syfte att få fram ett urval av personer upprättats i ett ärende får endast ärende- grundat på uppgift om förmån eller beteckning eller beteckning på handling ersättning, och användas som sökbegrepp. 2. som urvalskriterium vid sammanställ- Regeringen eller den myndighet som ningar om regeringen eller den myndighet regeringen bestämmer meddelar före- som regeringen bestämmer har meddelat skrifter om begränsningar i övrigt för vilka föreskrifter om det. sökbegrepp som får användas.

30 § Personuppgifter i handlingar som kom- Personuppgifter som den registrerade mit in i ett ärende eller upprättats i ett har tagit del av och som behandlas i ärende behöver inte tas med i sådan löpande text i ärenden behöver endast tas information som avses i artikel 15 i EU:s med i sådan information som avses i artikel dataskyddsförordning om den registrerade 15 i EU:s dataskyddsförordning om den tagit del av handlingens innehåll. Av registrerade begär det. Av informationen informationen ska det dock framgå vilka ska det dock framgå i vilka ärenden det sådana handlingar som behandlas. Om den behandlas personuppgifter i löpande text. registrerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess.

31 § Personuppgifter som behandlas auto- Personuppgifter som behandlas automatiserat ska gallras när de inte längre är matiserat ska gallras när de inte längre är nödvändiga för de ändamål som anges i nödvändiga för det ändamål de behandlas 7 § , om inte regeringen eller den myndighet för , om inte regeringen eller den myndighet som regeringen bestämmer meddelar som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, veten- arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål skapliga eller historiska forskningsändamål eller statistiska ändamål. eller statistiska ändamål.

1.1.2 Förslag med ett brett primärt ändamål

Härigenom föreskrivs i fråga om socialförsäkringsbalken dels att 114 kap. 5, 9, 12, 13, 14, 15, 16, 24, 25, 26, 26 a, 28, 29, 32, 34 och 35 §§ ska upphöra att gälla, dels att rubrikerna närmast före 114 kap. 14, 24, 29, 32, 34 och 35 §§ ska utgå, dels att 114 kap. 1, 2, 6, 6 a, 7, 8, 10, 11, 17, 18, 19, 21, 22, 27, 30 och 31 §§ och rubrikerna närmast före 11, 17 och 27 §§ ska ha följande lydelse, dels att det ska införas ett nytt 114 a kapitel och två nya paragrafer, 114 kap. 20 och 23 §§.

114 kap.

- gallring i 31 §, - gallring i 31 §. - avgifter i 32 §, - kontrollverksamhet i 34 §, och - tystnadsplikt i 35 §.

2 § Detta kapitel tillämpas vid behandling Detta kapitel tillämpas vid behandling av personuppgifter i verksamhet som gäller av personuppgifter i verksamhet som gäller förmåner enligt denna balk, samt andra för- förmåner enligt denna balk, samt andra förmåner och ersättningar som enligt lag eller måner och ersättningar som enligt lag eller förordning eller särskilt beslut av regering- förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller en handläggs av Försäkringskassan eller Pensionsmyndigheten. Med socialförsäk- Pensionsmyndigheten. ringens administration avses i detta kapitel administration hos dessa myndigheter. Kapitlet gäller endast om behandlingen Kapitlet gäller endast om behandlingen är helt eller delvis automatiserad eller om är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppi en strukturerad samling av personupp- gifter som är tillgängliga för sökning eller gifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. sammanställning enligt särskilda kriterier. Vid behandling av uppgifter om avlidna Bestämmelserna i 7–16, 27, 28 och ska detta kapitel och föreskrifter som har 31 §§ gäller i tillämpliga delar även upp- meddelats i anslutning till det, Europagifter om avlidna personer. parlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen gälla i tillämpliga delar.

6 § Detta kapitel innehåller bestämmelser Detta kapitel innehåller bestämmelser som kompletterar Europaparlamentets och som kompletterar EU:s dataskyddsförordrådets förordning (EU) 2016/679 av den 27 ning. april 2016 om skydd för fysiska personer Vid behandling av personuppgifter enmed avseende på behandling av person- ligt detta kapitel gäller dataskyddslagen uppgifter och om det fria flödet av sådana och föreskrifter som har meddelats i anuppgifter och om upphävande av direktiv slutning till den lagen, om inte annat följer 95/46/EG (allmän dataskyddsförordning), av detta kapitel eller föreskrifter som har här benämnd EU:s dataskyddsförordning. meddelats i anslutning till kapitlet. Vid behandling av personuppgifter enligt detta kapitel gäller lagen (2018:218)

med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet.

6 a § En myndighet inom socialförsäkringens Försäkringskassan och Pensionsmynadministration är personuppgiftsansvarig digheten är personuppgiftsansvarig för för den behandling av personuppgifter som behandling av personuppgifter i respektive den utför . myndighets verksamhet .

7 § Försäkringskassan och Pensionsmyn- Försäkringskassan och Pensionsmyndigheten får i sin verksamhet behandla digheten får behandla personuppgifter om personuppgifter om det är nödvändigt för det är nödvändigt för att administrera att socialförsäkringen och andra förmåner och 1. återsöka vägledande avgöranden, ersättningar som enligt lag eller förordning 2. tillgodose behov av underlag som krävs ska administreras av myndigheterna. för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersättningar som avses i 2 § ska kunna bedömas eller fastställas, 3. informera om sådana förmåner och ersättningar som avses i 2 §, 4. handlägga ärenden, 5. planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet, eller 6. framställa statistik i fråga om verksamhet enligt 4 och 5. Vid behandling för det ändamål som anges i första stycket 1 får inte uppgifter som direkt pekar ut den registrerade användas.

8 § Personuppgifter som behandlas för än- Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas damål som anges i 7 § får också behandlas av Försäkringskassan och Pensionsmyn- av Försäkringskassan och Pensionsmyndigheten för tillhandahållande av informa- digheten för att fullgöra uppgiftslämnande tion som behövs som 1. som underlag för beslut om och kontroll 1. s ker i överensstämmelse med lag eller av förmåner, ersättningar och andra stöd förordning, eller åt enskilda i den verksamhet som bedrivs av

Centrala studiestödsnämnden och arbets- 2. följer av Sveriges medlemskap i löshetskassorna, Europeiska unionen eller av uppgiftsskyl- 2. för samordning av tjänstepensioner i den dighet enligt en internationell konvention verksamhet som bedrivs av Statens tjänste- som Sverige har tillträtt eller enligt ett av pensionsverk och det för kommunerna och riksdagen godkänt avtal med främmande regionerna gemensamma organet för stat eller mellanfolklig organisation . administration av personalpensioner, 3. för handläggning av ärenden hos Statens tjänstepensionsverk där regler om statens tjänstegrupplivförsäkring ska tillämpas, eller 4. som underlag för beslut om och kontroll av ekonomiskt bistånd enligt 4 kap. socialtjänstlagen (2001:453) åt enskild i den verksamhet som bedrivs av socialnämnderna.

10 § Personuppgifter som behandlas enligt Personuppgifter som behandlas för 7–9 §§ får behandlas även för andra ända- något av de ändamål som anges i 7 och mål, under förutsättning att uppgifterna inte 8 §§ får behandlas även för andra ändamål, behandlas på ett sätt som är oförenligt med under förutsättning att uppgifterna inte det ändamål för vilket uppgifterna sam- behandlas på ett sätt som är oförenligt med lades in. det ändamål för vilket uppgifterna samlades in.

Behandling av känsliga personuppgifter Behandling av känsliga personuppgifter m.m.

11 §

Personuppgifter som avses i artikel 9.1 i Samtliga sådana personuppgifter som EU:s dataskyddsförordning (känsliga per- avses i artikel 9.1 i EU:s dataskyddsförsonuppgifter) får behandlas om uppgifterna ordning (känsliga personuppgifter) får belämnats till en myndighet inom social- handlas om det är nödvändigt för något av försäkringens administration i ett ärende de ändamål som anges i 7 och 8 §§. eller är nödvändiga för handläggning av Känsliga personuppgifter om hälsa får ett ärende. Känsliga personuppgifter får också behandlas om det är nödvändigt för vidare behandlas för något av de ändamål det ändamål som anges i 10 §. som anges i 7 § första stycket 1 samt 8 och För de ändamål som anges i 8 och 10 §§ 9 §§ om det är nödvändigt med hänsyn till får dock endast sådana känsliga personändamålet. uppgifter behandlas som behandlas eller För något av de ändamål som anges i har behandlats för det ändamål som anges 7 § första stycket 2, 3, 5 och 6 får sådana i 7 §. känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Utöver vad som följer av första stycket första meningen och andra stycket får

känsliga personuppgifter inte behandlas för de ändamål som anges i 7 § första stycket 2, 3, 5 och 6. Behandling för något av de ändamål som anges i 7 § första stycket 5 och 6 får inte ske i fråga om andra sådana känsliga personuppgifter än dem som behandlas eller har behandlats för något av de ändamål som anges i 7 § första stycket 2–4.

Tilldelning av behörighet Tillgång till personuppgifter

17 § Behörighet för åtkomst till socialförsäk- Tillgången till personuppgifter ska beringsdatabasen ska inom socialförsäkring- gränsas till vad var och en behöver för att ens administration tilldelas genom en kunna fullgöra sina arbetsuppgifter. särskild handling i enlighet med före- Åtkomsten till personuppgifter ska konskrifter som meddelas av regeringen eller trolleras på ett ändamålsenligt sätt. den myndighet som regeringen bestämmer. Behörighet för åtkomst till socialförsäkringsdatabasen och till personuppgifter hos Migrationsverket ska begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter.

18 § Direktåtkomst till socialförsäkrings- Direktåtkomst till personuppgifter hos databasen är tillåten endast i den utsträck- Försäkringskassan och Pensionsmyndigning som anges i lag eller förordning. heten är tillåten endast i den utsträckning som anges i lag eller förordning.

19 § Försäkringskassan och Pensionsmyn- Försäkringskassan får, om det behövs digheten får ha direktåtkomst till social- för det ändamål som anges i 7 §, ha direktförsäkringsdatabasen i den utsträckning åtkomst till personuppgifter hos Pendet behövs för de ändamål som anges i 7– sionsmyndigheten. 9 §§. Sådan direktåtkomst ska vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna.

20 § Pensionsmyndigheten får, om det behövs för det ändamål som anges i 7 §, ha direktåtkomst till personuppgifter hos Försäkringskassan.

21 § Centrala studiestödsnämnden och Arbetsförmedlingen, kommuner och arbetslöshetskassorna får ha direktåtkomst regioner som deltar i samverkan och sådan till socialförsäkringsdatabasen i den ut- finansiell samordning som avses i lagen sträckning det behövs för ändamål som (2003:1210) om finansiell samordning av anges i 8 § 1. rehabiliteringsinsatser får ha direktåtkomst till sådana personuppgifter hos Försäkringskassan som behandlas med anledning av samordningen i den utsträckning den registrerade samtycker till det.

22 § En socialnämnd får ha direktåtkomst till Den registrerade får ha direktåtkomst socialförsäkringsdatabasen i den utsträck- till sådana personuppgifter om sig själv ning det behövs för ändamål som anges i som behandlas hos Försäkringskassan och 8 § 4. En socialnämnd får ha direktåtkomst Pensionsmyndigheten under förutsättning först sedan Försäkringskassan eller Pen- att uppgifterna får lämnas ut till denne. sionsmyndigheten har försäkrat sig om att Motsvarande direktåtkomst får även ges till handläggare hos socialnämnd bara kan ta förmyndare, förvaltare, god man och omdel av uppgifter om personer som är aktu- bud för den registrerade. ella i ärenden hos nämnden.

23 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst.

Sökbegrepp Sökbegränsning

27 § Känsliga personuppgifter eller upp- Det är förbjudet att utföra sökningar i gifter som avses i 12 § första stycket får inte syfte att få fram ett urval av personer användas som sökbegrepp vid sökning i grundat på känsliga personuppgifter. socialförsäkringsdatabasen. Utan hinder av de begränsningar för Vid sökning som omfattar innehållet i sökning som anges i första stycket får fler än en handling i socialförsäkrings- personuppgifter som rör hälsa användas databasen som kommit in i ett ärende eller 1. i syfte att få fram ett urval av personer upprättats i ett ärende får endast ärende- grundat på uppgift om förmån eller beteckning eller beteckning på handling ersättning, och användas som sökbegrepp. 2. som urvalskriterium vid sammanställ- Regeringen eller den myndighet som ningar om regeringen eller den myndighet regeringen bestämmer meddelar före- som regeringen bestämmer har meddelat skrifter om begränsningar i övrigt för vilka föreskrifter om det. sökbegrepp som får användas.

30 § Personuppgifter i handlingar som kom- Personuppgifter som den registrerade mit in i ett ärende eller upprättats i ett har tagit del av och som behandlas i

ärende behöver inte tas med i sådan löpande text i ärenden behöver endast tas information som avses i artikel 15 i EU:s med i sådan information som avses i artikel dataskyddsförordning om den registrerade 15 i EU:s dataskyddsförordning om den tagit del av handlingens innehåll. Av registrerade begär det. Av informationen informationen ska det dock framgå vilka ska det dock framgå i vilka ärenden det sådana handlingar som behandlas. Om den behandlas personuppgifter i löpande text. registrerade begär information om uppgifter i en sådan handling och anger vilken handling som avses, ska dock informationen omfatta dessa uppgifter, om inte annat följer av bestämmelser om sekretess.

31 § Personuppgifter som behandlas auto- Personuppgifter som behandlas automatiserat ska gallras när de inte längre är matiserat ska gallras när de inte längre är nödvändiga för de ändamål som anges i nödvändiga för det ändamål de behandlas 7 § , om inte regeringen eller den myndighet för , om inte regeringen eller den myndighet som regeringen bestämmer meddelar som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, veten- arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål skapliga eller historiska forskningsändamål eller statistiska ändamål. eller statistiska ändamål.

114 a kap.

Innehåll

1 § I detta kapitel finns bestämmelser om - avgifter i 2 §, - uppgiftsskyldighet i 3 och 4 §§, och - tystnadsplikt i 5 §.

Avgifter

2 § Avgifter får tas ut för utlämnande av uppgifter och handlingar från sådan verksamhet som avses i 114 kap. 2 §. Rätten att ta ut avgifter enligt första stycket får inte innebära inskränkning i 1. rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen, eller 2. en registrerads rätt enligt artikel 12.5 i EU:s dataskyddsförordning .

Uppgiftsskyldighet

3 § Försäkringskassan och Pensionsmyndigheten ska på begäran lämna Inspektionen för socialförsäkringen de uppgifter som inspektionen behöver för sin systemtillsyn och effektivitetsgranskning enligt 2 § första stycket 1 och 2 samt 3 § förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen.

4 § Försäkringskassan och Pensionsmyndigheten har rätt att, utan hinder av sekretess, ta del av sådana personuppgifter som myndigheterna har möjlighet att ge varandra direktåtkomst till med stöd av 114 kap. 19 och 20 §§.

Tystnadsplikt

5 § Den som genom sin befattning med personuppgifter som inhämtats från Försäkringskassan eller Pensionsmyndigheten till det för kommunerna och regionerna gemensamma organet för administration av personalpensioner får kännedom om uppgifter om enskildas ekonomiska och personliga förhållanden får inte obehörigen röja dessa uppgifter.

1.2 Förslag till förordning om ändring i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration

Härigenom föreskrivs i fråga om förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration dels att 2, 3, 3 b, 4 a–5 a §§ ska upphöra att gälla, dels att rubrikerna närmast före 2, 3, 4 a, 5 a §§ ska utgå, dels att författningsrubriken och 1, 3 a, 4, 6 och 8 §§ ska ha följande lydelse, dels att det ska införas en ny paragraf, 9 §.

Förordning (2003:766) om behandling av personuppgifter hos Försäkringskassan och Pensionsmyndigheten m.m.

3 a §

1. stöd för prioritering och planering av 1. som stöd för prioritering och planering av handläggningen, handläggningen, 2. urval av ärenden för en tidig bedömning 2. för urval av ärenden för en tidig bedömav den försäkrades möjligheter att återfå ning av den försäkrades möjligheter att arbetsförmågan, återfå arbetsförmågan, 3. underlag för diskussioner med arbets- 3. som underlag för diskussioner med givare, vårdgivare eller leverantörer, arbetsgivare, vårdgivare eller leverantörer, 4. urval av ärenden för särskilda rehabili- 4. för urval av ärenden för särskilda teringsinsatser, och rehabiliteringsinsatser, 5. uppföljning och utvärdering av vidtagna 5. för uppföljning och utvärdering av vidåtgärder. tagna åtgärder, eller Behörighet att göra sådana samman- 6. för tillsyn. ställningar får ges endast till ett begränsat antal personer vid Försäkringskassan.

8 § Försäkringskassan får meddela före- Försäkringskassan får meddela föreskrifter i fråga om skrifter i fråga om 1. formerna för tilldelning av behörighet för 1. formerna för tilldelning och återkallande åtkomst till socialförsäkringsdatabasen av behörighet för åtkomst till persongenom en särskild handling , uppgifter , 2. vilka uppgifter i socialförsäkringsdata- 2. vilka uppgifter Pensionsmyndigheten får basen Försäkringskassan och Pensions- ha direktåtkomst till och formerna för myndigheten får ha direktåtkomst till och direktåtkomsten, formerna för direktåtkomsten, 4. vilka uppgifter i socialförsäkringsdatabasen Statens tjänstepensionsverk och det för kommunerna och regionerna gemensamma organet för administration av personalpensioner får ha direktåtkomst till, 5. vilka uppgifter i socialförsäkringsdatabasen som får lämnas ut på medium för automatiserad behandling för sammanställning av gemensam pensionsinformation, 6. vilka uppgifter i socialförsäkringsdatabasen som får lämnas ut på medium för automatiserad behandling till organ som driver försäkringsrörelse, 7. begränsningar av de sökbegrepp som får användas vid sökning i socialförsäkringsdatabasen, 8 . fastställande av avgifter för utlämnade 3 . fastställande av sådana avgifter som av uppgifter och handlingar från social- avses i 114 a kap. 2 § socialförsäkringsförsäkringsdatabasen , om inte utlämnandet balken , om inte utlämnandet är avgiftsfritt är avgiftsfritt till följd av att det sker till en till följd av att det sker till en annan annan myndighet på grund av att det myndighet på grund av att det föreligger en föreligger en sådan skyldighet i lag eller sådan skyldighet i lag eller förordning, och förordning, och

9. vilka särskilda åtgärder som För- 4. åtgärder för kontroll av åtkomsten till säkringskassan och Pensionsmyndigheten personuppgifter. ska vidta för att kontrollera efterlevnaden av bestämmelserna i 114 kap. socialförsäkringsbalken. Om föreskrifterna enligt första stycket avser uppgifter som faller under Pensionsmyndighetens personuppgiftsansvar enligt 114 kap. 6 a § socialförsäkringsbalken, ska föreskrifterna beslutas i samråd med Pensionsmyndigheten.

9 § Pensionsmyndigheten får meddela föreskrifter i fråga om 1. formerna för tilldelning och återkallande av behörighet för åtkomst till personuppgifter, 2. vilka uppgifter Försäkringskassan får ha direktåtkomst till och formerna för direktåtkomsten, 3. fastställande av sådana avgifter som avses i 114 a kap. 2 § socialförsäkringsbalken, om inte utlämnandet är avgiftsfritt till följd av att det sker till en annan myndighet på grund av att det föreligger en sådan skyldighet i lag eller förordning, och 4. åtgärder för kontroll av åtkomsten till personuppgifter.

2 Utredningsarbetet och promemorian

2.1 Bakgrund och syfte

Försäkringskassan och Pensionsmyndigheten har gemensamt och på eget initiativ analyserat behovet av en reformering av bestämmelserna i 114 kap. SFB och anslutande förordning, som reglerar behandlingen av personuppgifter inom myndigheternas förmånsverksamhet. Skälet till att myndigheterna har tagit detta initiativ är att det inte har gjorts någon fullständig översyn av regleringen av behandlingen av personuppgifter hos Försäkringskassan och Pensionsmyndigheten sedan 2003. Sedan dess har Riksförsäkringsverket och de allmänna försäkringskassorna år 2005 bildat Försäkringskassan, som år 2010 delades i Försäkringskassan och Pensionsmyndigheten. Den digitala utvecklingen har helt förändrat verksamheterna och befintlig reglering är inte anpassad till rådande behov och förutsättningar. Myndigheterna använder sig numera i stor utsträckning av elektroniska, delvis gemensamma system, kommunicerar digitalt med andra myndigheter och parter och har dessutom fått nya uppdrag som kräver behandling av personuppgifter.

Behovet av en omarbetning av 114 kap. SFB och anslutande förordning gäller överlag men gör sig särskilt gällande avseende de bestämmelser som handlar om i vilka fall det är tillåtet att lämna ut personuppgifter på medium för automatiserad behandling. Som regleringen ser ut i dagsläget utgör den ett stort hinder i myndigheternas dagliga verksamhet. Bestämmelsernas detaljerade utformning medför att det ofta krävs en förändring av en befintlig bestämmelse, alternativt en ny bestämmelse, varje gång elektroniska tjänster utvecklas eller förändras. Myndigheterna har därför vid upprepade tillfällen lämnat framställningar till Socialdepartementet med önskemål om författningsstöd för utlämnande på medium för automatiserad behandling. Myndigheterna genomför nu en översyn av behovet av ändringar i regleringen i sin helhet och lämnar därvid förslag till lagtext med kommentarer.

2.2 Utredningsarbetet

Försäkringskassan och Pensionsmyndigheten har genomfört arbetet med översynen tillsammans och regelbundna arbetsmöten har hållits gällande de frågor som behandlas i promemorian. Förslagen har beretts inom respektive myndighet, inklusive med det allmänna ombudet på Försäkringskassan. Även dataskyddsombuden har getts tillfälle att lämna synpunkter. Myndigheterna har också stämt av med och inhämtat yttrande från Sveriges a-kassor, Centrala studiestödsnämnden (CSN) och Sveriges kommuner och regioner (SKR) angående de förslag som avser bestämmelser om tillgång till personuppgifter genom direktåtkomst som berör a-kassorna, CSN och kommunernas socialnämnder. Ett möte har hållits med CSN. Dessa aktörers respektive yttranden finns intagna i promemorian som bilagor.

2.3 Promemorians disposition

Promemorian innehåller utöver detta kapitel

• våra författningsförslag (kap. 1), • en genomgång av gällande rätt (kap. 3), • en redovisning av Försäkringskassans respektive Pensionsmyndighetens verksamheter (kap. 4 och 5), • våra generella överväganden avseende bl.a. behovet av en översyn av 114 kap. SFB och anslutande föreskrifter, normgivningsnivå, rättslig grund för behandlingen av personuppgifter, begreppet socialförsäkringsdatabasen och elektroniskt utlämnande (kap. 6),

• våra särskilda överväganden rörande befintliga bestämmelser och förslag till nya bestämmelser i 114 kap. SFB och förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration (kap. 7), • ikraftträdande och behovet av övergångsbestämmelser (kap. 8) • konsekvenser av våra förslag (kap. 9) • en författningskommentar (kap. 10).

BAKGRUND

3 Gällande rätt

3.1 Europakonventionen

Artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) avser rätt till skydd för privat- och familjeliv. Artikeln lyder enligt följande:

1. Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. 2. Offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av ordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter.

Artikel 8 är tillämplig på behandling av personuppgifter men omfattar inte all slags behandling av personuppgifter – frågan måste gälla privatliv, familjeliv, hem eller korrespondens. Europakonventionen tar i första hand sikte på åtgärder av det allmänna.

3.2 Dataskyddsförordningen och dataskyddslagen

Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd dataskyddsförordningen, antogs den 27 april 2016. Syftet med förordningen är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd för personuppgifter, och att främja det fria flödet av personuppgifter inom unionen. Dataskyddsförordningen, som är direkt tillämplig i alla medlemsstater, ersatte från och med den 25 maj 2018 1995 års dataskyddsdirektiv och utgör numera den generella regleringen av personuppgiftsbehandling inom EU.

Det materiella tillämpningsområdet för dataskyddsförordningen omfattar sådan behandling av personuppgifter som helt eller delvis företas på automatisk väg samt annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1). Vissa undantag från tillämpningsområdet görs dock. Exempelvis ska behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten inte heller omfattas av förordningens bestämmelser (artikel 2.2 a). Genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) har dock förordningens tillämpningsområde utvidgats till att även omfatta behandling av personuppgifter i verksamhet som inte omfattas av unionsrätten, med vissa specifika undantag (1 kap. 2 och 3 §§ dataskyddslagen). Dataskyddsförordningen gäller inte heller för sådan personuppgiftsbehandling som omfattas av data- 1 skyddsdirektivets tillämpningsområde (artikel 2.2 d).

1 Dataskyddsförordningen ska enligt artikel 2.2 d i dataskyddsförordningen inte tillämpas på behandling av personuppgifter som behöriga myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Sådan behandling av personuppgifter omfattas av tillämpningsområdet för Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (dataskyddsdirektivet). I Sverige har dataskyddsdirektivet genomförts genom brottsdatalagen (2018:1177).

I artikel 6 i dataskyddsförordningen uttrycks det grundläggande kravet att det ska finnas en giltig rättslig grund för varje behandling av personuppgifter. Bland de rättsliga grunder som anges i artikeln kan nämnas att behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c) eller för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e).

Därutöver omgärdas varje behandling av personuppgifter också av andra krav. I artikel 5 ställs ett antal allmänna principer för behandlingen upp. Däribland kan nämnas att uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Uppgifterna ska vidare vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. De ska vidare vara riktiga och, om nödvändigt, uppdaterade. Alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. De får inte senare behandlas på ett sätt som är oförenligt med dessa ursprungliga ändamål. Vidare får personuppgifter inte förvaras under en längre tid än vad som är nödvändigt och de måste behandlas på ett sätt som säkerställer lämplig säkerhet. Artiklarna 5 och 6 är grundläggande och kumulativa. Det innebär att någon av de rättsliga grunderna i artikel 6 måste vara tillämplig, samtidigt som samtliga principer i artikel 5 ska följas.

Även om dataskyddsförordningen är direkt tillämplig och ska tillämpas precis som om den vore svensk lag, både förutsätter och medger den nationella bestämmelser som kompletterar delar av förordningen genom specificeringar eller undantag. Detta gäller särskilt sådan behandling som sker inom den offentliga sektorn. I artikel 6.2 anges att medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen när det gäller behandling som sker enligt artikel 6.1 c (rättslig förpliktelse) och 6.1 e (uppgift av allmänt intresse och myndighetsutövning). Detta får ske genom att medlemsstaterna närmare fastställer specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling. Av skäl 10 till förordningen framgår att detta även gäller för behandlingen av känsliga personuppgifter. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av artikel 6.3 framgår vidare att vid behandling enligt artikel 6.1 c och e, ska den rättsliga grunden fastställas i unionsrätten eller i nationell rätt. Där anges också att den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen, bl.a. de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling.

Förordningen innehåller också andra artiklar som tillåter kompletterande bestämmelser i vissa avseenden, exempelvis när det gäller känsliga personuppgifter (artikel 9) och begränsningar av den registrerades rättigheter enligt artikel 23. Vissa av de rättigheter och skyldigheter som föreskrivs i förordningen får begränsas i nationell rätt. Detta förutsätter att begränsningarna sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle. Det förutsätter också att begränsningen sker i syfte att säkerställa något av de ändamål som anges i artikel 23.1, t.ex. en medlemsstats viktiga mål av generellt allmänt intresse.

Om dataskyddsförordningen föreskriver att förtydliganden eller begränsningar av dess bestämmelser kan ske genom medlemsstaternas nationella rätt, kan medlemsstaterna, i den utsträckning det är nödvändigt för samstämmigheten och för att göra de nationella bestämmelserna begripliga för de personer som de tillämpas på, införliva delar av förordningen i nationell rätt (se skäl 8). Som framgår av den bedömning regeringen har gjort i förarbetena till dataskyddslagen innebär detta att förordningen ger medlemsstaterna möjlighet att i lagar på nationell nivå 2 föreskriva vissa anpassade bestämmelser. Principen om unionsrättens företräde innebär dock att bestämmelser i sådana författningar måste vara förenliga med dataskyddsförordningen.

Den 25 maj 2018 trädde dataskyddslagen i kraft och samtidigt upphävdes personuppgiftslagen (1998:204). Dataskyddslagen innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Inom ramen för det utrymme som dataskyddsförordningen ger reglerar lagen bl.a. frågor om rättslig grund för behandling av personuppgifter, känsliga personuppgifter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande. Dataskyddslagen är, på samma sätt som personuppgiftslagen var, subsidiär i förhållande till annan lag eller förordning. Det gör det möjligt att även fortsättningsvis ha från dataskyddslagen avvikande bestämmelser i sektorsspecifika registerförfattningar.

3.3 114 kapitlet socialförsäkringsbalken

Försäkringskassans och Pensionsmyndighetens registerlagstiftning finns i 114 kap. SFB. Kapitlet reglerar bl.a. ändamål, känsliga personuppgifter, behandling av personuppgifter i den s.k. socialförsäkringsdatabasen, direktåtkomst, utlämnande på medium för automatisk behandling och säkerhetsåtgärder. För beskrivning av innehållet i bestämmelserna, se kapitel 7 med särskilda överväganden.

2 Prop. 2017/18:105 s. 21–23.

4 Försäkringskassans verksamhet

4.1 Myndighetens uppdrag

Försäkringskassan är enligt 1 § förordningen (2009:1174) med instruktion för Försäkringskassan förvaltningsmyndighet för de delar av socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av Försäkringskassan. Verksamheten består huvudsakligen i att besluta och betala ut sådana förmåner och ersättningar som myndigheten ansvarar för; det är detta som är myndighetens kärnverksamhet.

Ytterligare uppdrag framgår av 2–5 §§ i instruktionen, där det bl.a. anges att Försäkringskassan ska informera om socialförsäkringen och säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott. Försäkringskassan ska också delta i det myndighetsgemensamma arbetet mot den grova och organiserade brottsligheten, följa, analysera och förmedla socialförsäkringssystemets utveckling och effekter för enskilda och samhälle, ansvara för att en kvalificerad kunskapsuppbyggnad sker i fråga om de verksamhetsområden som myndigheten har ansvar för och stödja forskning inom socialförsäkringsområdet. Ytterligare uppdrag är bl.a. att medverka i EU-arbetet och annat internationellt arbete, utföra datorbearbetningar och tjänster som är förenliga med myndighetens uppgifter och verksamhetsområde och bedriva viss samverkan och finansiell samordning.

4.2 Myndighetens verksamhet

4.2.1 Organisation Försäkringskassan leds av en styrelse som består av högst nio ledamöter. Myndigheten har en generaldirektör, en överdirektör och tolv avdelningar. Förutom försäkringsavdelningarna finns en avdelning för analys och prognos, en avdelning för ledningsstöd som består av de tre staberna Ekonomistaben, Ledningsstaben och Säkerhetsstaben, en avdelning för verksamhetsstöd, en HR-avdelning, en IT-avdelning, en kommunikationsavdelning och en rättsavdelning. Det finns dessutom en internrevision, ett allmänt ombud och ett dataskyddsombud.

4.2.2 Utreda rätten till, besluta och betala ut förmåner och ersättningar Försäkringskassans främsta uppdrag är att administrera en stor del av den svenska socialförsäkringen. Utöver det hanterar myndigheten även ett antal andra bidrag och ersättningar. Socialförsäkringen är en viktig del av de offentliga trygghetssystemen och har stor betydelse för enskilda, hushåll och företag och därmed hela samhällsekonomin.

Försäkringskassan är organiserad i försäkringsavdelningar och övriga avdelningar. Övriga avdelningar har en stödjande eller styrande funktion medan försäkringsavdelningarna har det primära ansvaret för kontakter med de enskilda, dvs. att • utreda rätten till, besluta om och betala ut förmåner, bidrag och andra ersättningar • ge information och service • motverka felaktiga utbetalningar • motverka brott mot socialförsäkringen.

Handläggningen sker i princip uteslutande elektroniskt. Som stöd i sitt arbete har verksamheten tillgång till ett flertal olika IT-stöd, bl.a. ärendehanteringssystemet ÄHS. Viss handläggning sker automatiserat i IT-systemen. Den automatiserade handläggningen kompletteras också med

manuell handläggning då uppgifter i ärendet föranleder särskilda åtgärder eller ställningstaganden. Ett utökat digitaliserat informationsutbyte med andra myndigheter underlättar inhämtande av uppgifter. Även användningen av elektroniska läkarintyg ökar kontinuerligt.

För handläggning och administration av socialförsäkringsärenden behandlas uppgifter om bl.a. personers namn, adress, civilstånd, medborgarskap, relationer och arbetsgivare i IT-systemet Generell personinformation (GEPI). Registret innehåller uppgifter om både personer som är folkbokförda i Sverige och utlandsbosatta personer som har eller har haft anknytning till svensk socialförsäkring. Uppgifterna kommer från såväl interna register som externa aviseringar från andra myndigheter.

Elektroniska akter och dokument lagras i IT-produkten DiLA, som är ett digitalt arkiv. I DiLA finns även en gallringsfunktion vilket garanterar en lagenlig, automatiserad gallring av ärenden. DiLA ansvarar också för att dokument som ska bevaras omfattas av ett godkänt arkivformat och skyddas från uppdateringar eller förändringar.

Inom Försäkringskassan pågår en utveckling av informationsmodeller. Befintliga IT-system för hantering och lagring av uppgifter kan därför komma att förändras.

Försäkringskassan arbetar aktivt med att minska antalet utskick av fysiska brev till förmån för digitala alternativ. Försäkrade kan välja att få post från Försäkringskassan digitalt på Mina sidor i stället för genom pappersutskick. En stor del av de digitala kontakterna med försäkrade sker genom webbtjänsten Mina Sidor. Där kan enskilda genom säker inloggning bl.a. få tillgång till egna uppgifter och hantera ansökningar. Försäkringskassan är också ansluten till den externa tjänsten Mina meddelanden, en digital infrastruktur för förmedling av myndighetspost.

4.2.3 Information om socialförsäkringen I Försäkringskassans uppdrag ingår att informera om socialförsäkringen och de förmåner som myndigheten ansvarar för. Informationen riktar sig till olika mottagare – de som har ett pågående ärende hos Försäkringskassan, de som har haft kontakt med myndigheten tidigare och de som aldrig har haft kontakt.

Försäkringskassan informerar om aktuella regeländringar, statistik och rapporter, forskning samt nyheter. Informationen sker såväl i externa kanaler som i myndighetens egna. Kommunikationen anpassas till olika målgrupper. Det betyder att kommunikation mot exempelvis föräldrar eller nyanlända sker i relevant kanal och format. Viss information finns även tillgänglig på andra språk. Försäkringskassan följer även de standarder som finns för att anpassa information på webbplatsen för personer med olika typer av funktionsnedsättningar. Myndigheten genomför riktade informationsinsatser och arrangerar webbinarier för att sprida kunskap, samverka och diskutera socialförsäkringen.

4.2.4 Säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott Arbetet med att säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott sker på flera sätt inom myndigheten. Under senare år har myndigheten satsat på att ta fram riskbaserade kontroller genom dataanalys. Sådana kontroller bygger på analys av förmånsrelaterad data och kan med relativt hög träffsäkerhet identifiera ärenden där det finns risk för felaktiga utbetalningar. Riskbaserade kontroller används i såväl ordinarie handläggning som för efterkontroller.

Intern försäkringskontroll genomförs i alla förmåner för att upptäcka och motverka felaktiga utbetalningar, misstänkta interna överträdelser, systematiska avvikelser som kan leda till felaktiga utbetalningar samt avvikelser som gäller registrerade kontonummer. Det är också ett sätt att följa upp att de manuella och maskinella kontrollerna innan utbetalning fungerar och är ändamålsenliga. Den interna försäkringskontrollen ger Försäkringskassan möjlighet att göra undantag från dualitetsprincipen, det vill säga att utbetalningar ska verkställas först när två personer godkänt utbetalningen.

Försäkringskassan genomför kontrollutredningar för att upptäcka och stoppa bidragsbrott. Kontrollutredningarna är i huvudsak inriktade på att identifiera och åtgärda fel där en person eller en annan aktör avsiktligt lämnat felaktiga uppgifter i syfte att få ersättning. En kontrollutredning startar genom en underrättelse från en myndighet eller en förmånshandläggare. Den kan också starta efter en anmälan från allmänheten eller kontroller som Försäkringskassan initierar. Orsaker till felaktiga utbetalningar som upptäcks i kontrollutredningarna återkopplas till de handläggande avdelningarna för att användas i deras utvecklingsarbete.

Försäkringskassan deltar sedan 2009 tillsammans med elva andra myndigheter i en myndighetsgemensam satsning mot den organiserade brottsligheten. Därutöver ingår Försäkringskassan i myndighetsnätverk som syftar till att minska felutbetalningar och motverka bidragsbrott.

4.2.5 Följa, analysera och förmedla socialförsäkringssystemets utveckling och ansvara för en kvalificerad kunskapsuppbyggnad Försäkringskassan har som statistikansvarig myndighet ansvar för att producera och publicera officiell och annan statistik inom områdena Stöd till barnfamiljer och Stöd vid sjukdom och handikapp. Därutöver ansvarar Försäkringskassan för en kvalificerad kunskapsuppbyggnad inom sitt verksamhetsområde. Det innebär att myndigheten följer och analyserar socialförsäkringssystemets utveckling och effekter för enskilda och samhället. Resultaten av analyserna förmedlas genom socialförsäkringsrapporter och på andra sätt till regeringen och allmänheten. Försäkringskassan ansvarar också för utbyte av kunskap med andra länder samt för att stödja regeringen i det internationella arbetet.

Informationshanteringen sker bl.a. i IT-systemet STORE – en förkortning för ”Statistik och resultat” – som innefattar Försäkringskassans datalager och beslutsstöds- och analysplattform. STORE används inom flera olika områden och för skiftande ändamål. Det handlar om produktionsinformation, ledningsinformation, ärendestatistik, resultatmått, försäkringsstatistik, riktade kontroller, officiell statistik, utgiftsprognoser, ärendeprognoser och analysdata för forskare m.fl. STORE innehåller uppgifter som huvudsakligen kommer från handläggningen av socialförsäkringsärenden men där finns även uppgifter som hämtats in från andra, bl.a. Skatteverket och Statistiska centralbyrån (SCB).

4.2.6 Samordnad och säker IT-drift Försäkringskassan har fått i uppdrag av regeringen att erbjuda en samordnad och säker statlig IT-drift. Inom ramen för uppdraget har Försäkringskassan tagit över IT-driften för flera myndigheter, bl.a. Statens servicecenter och Barnombudsmannen. Sedan tidigare sköter myndigheten också IT-driften åt Pensionsmyndigheten och Myndigheten för digital förvaltning (DIGG).

4.2.7 Samordningsförbund för bättre samverkan och rehabilitering Försäkringskassan, Arbetsförmedlingen, kommuner och regioner samverkar i samordningsförbund. Samverkan syftar till att personer ska uppnå eller förbättra sin arbetsförmåga och samordningsförbunden finansierar såväl strukturövergripande som individinriktade insatser. De individinriktade insatserna är arbetslivsinriktade, aktiverande och motiverande, behandlande eller förebyggande.

5 Pensionsmyndighetens verksamhet

5.1 Myndighetens uppdrag

Pensionsmyndigheten är enligt 1 § förordningen (2009:1173) med instruktion för Pensionsmyndigheten (instruktionen) förvaltningsmyndighet för ålderspensionssystemet inom socialförsäkringen och för andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheten.

Myndigheten ska enligt instruktionen även informera om och ge pensionsspararna och pensionärerna en samlad bild av hela pensionen, samt informera om vilka faktorer och livsval som påverkar pensionens storlek. Dessutom ska myndigheten stärka pensionsspararnas och pensionärernas ställning som konsumenter av finansiella produkter inom pensionsområdet genom individuell vägledning. I Pensionsmyndighetens premiepensionsadministration ingår förvaltning av fondtorget, fondhandeln och fondinformation. Pensionsmyndigheten ska även bistå regeringen och andra intressenter med pålitliga fakta och analyser inom pensionsområdet. Myndigheten ska även medverka i EU-arbetet och annat internationellt arbete. Myndigheten får utföra datorbearbetningar och tjänster som är förenliga med myndighetens uppgifter och verksamhetsområde och ska bedriva viss samverkan med andra aktörer.

5.2 Myndighetens verksamhet

5.2.1 Organisation Pensionsmyndigheten leds av en styrelse som består av högst nio ledamöter. Myndigheten har åtta avdelningar och en stab. Produktionsavdelningen administrerar och handlägger Pensionsmyndighetens förmåner och ansvarar för myndighetens kundkontakter och kanaler. Fondtorgsavdelningen ansvarar för arbetet med premiepensionssystemets fondtorg, daglig handel med och värdering av premiepensionens fonder, granskning av fondförvaltare och fonder inför tecknande av avtal samt att de fondbolag Pensionsmyndigheten har avtal med lever upp till regelverkets krav. Kommunikationsavdelningen ansvarar för extern och intern kommunikation samt utveckling och förvaltning av kund- och kanalstrategin. Analysavdelningen ansvarar för Pensionsmyndighetens uppdrag som officiell statistikmyndighet för pensionsområdet samt för statistikproduktion för övriga externa användare. Avdelningen förvaltar pensionsmodellen och analyserar och beskriver effekter för pensionssparare, pensionärer och samhälle. Vidare utför avdelningen försäkringsmatematiska beräkningar, prognoser och analyser. Utvecklingsavdelningen håller samman och genomför all långsiktig och strukturerad utveckling av kärnverksamheten och ansvarar för förvaltning, förenkling och vidareutveckling av Pensionsmyndighetens försäkringsprodukter. I övrigt finns en IT-avdelning, administrativ avdelning, juridikavdelning och en ledningsstab. Pensionsmyndigheten har även en internrevision och ett dataskyddsombud.

5.2.2 Utreda rätten till, besluta och betala ut förmåner och ersättningar Pensionsmyndigheten har i uppdrag att administrera och betala ut pensioner och andra förmåner som administreras av myndigheten. För att myndigheten ska kunna fullgöra uppdraget krävs en omfattande behandling av personuppgifter om i princip hela Sveriges befolkning. Pensionsmyndighetens uppdrag att administrera och betala ut pension pågår så länge den enskilde är i livet. Många uppgifter behöver därför sparas under en lång tid. Det finns behov av att t.ex. behandla uppgifter om namn, medborgarskap, adress, civilstånd, make/maka, barn, vårdnad, god man eller förvaltare, skatteförhållanden, samordningskoder, förmånstyper, omfattningen

av förmåner och storlek på utbetalningar (belopp/period), beslut av olika slag, återbetalningsskyldighet och kontonummer. Uppgifterna presenteras på individnivå knutna till personnummer eller ett särskilt ID-nummer. Uppgifterna kommer från såväl interna register som externa aviseringar från andra myndigheter.

Som stöd i sitt arbete har myndigheten tillgång till ett flertal olika IT-stöd. Viss handläggning sker automatiserat i IT-systemen. Den automatiserade handläggningen kompletteras också med manuell handläggning då uppgifter i ärendet föranleder särskilda åtgärder eller ställningstaganden. Ett utökat digitaliserat informationsutbyte med andra myndigheter underlättar inhämtande av uppgifter. En stor del av Pensionsmyndighetens personuppgiftsbehandling sker med hjälp av IT-system som finns hos Försäkringskassan.

Det pågår ett aktivt arbete med att minska antalet utskick av fysiska brev till förmån för digitala alternativ. Pensionärer och pensionssparare kan välja att få post från myndigheten digitalt i stället för genom pappersutskick. Genom e-tjänster på Mina sidor kan pensionärer och pensionssparare sköta sina kontakter med Pensionsmyndigheten digitalt. Myndigheten är också ansluten till tjänsten Mina meddelanden som är infrastrukturen för att ta emot, läsa och samla myndighetspost digitalt.

Pensionsmyndigheten ingår i och är värdmyndighet för E-samverkansprogrammet (eSam), som är ett samarbete mellan myndigheter och Sveriges Kommuner och Regioner för digital samverkan.

5.2.3 Informationsuppdraget En av Pensionsmyndighetens kärnuppgifter är att ge pensionssparare och pensionärer korrekt information om, och en samlad bild av hela pensionen på ett sätt som är lätt att förstå. Myndigheten ska bland annat verka för att samtliga pensionssparare och pensionärer ska få en samlad bild av hela sin pension. Arbetet med att genomföra uppdragen inom informationsområdet sker med olika metoder och mötesformer. Pensionsmyndigheten arbetar både för att nå ut med information till de som inte själva eftersöker den samt med att tillhandahålla information i de kanaler som pensionssparare och pensionärer själva väljer när de aktivt söker information. I Pensionsmyndighetens arbete med information prioriterar myndigheten först och främst att sprida basinformation om hela pensionen, vilka faktorer som påverkar den och vilka konsekvenser olika val kan få till alla som arbetar, betalar skatt och har tjänstepension.

Pensionsmyndigheten samverkar med bolaget Min Pension AB i syfte att tillhandahålla enkel, detaljerad och samlad pensionsinformation till användarna, samt verka för en utökad standardisering, transparens och effektivitet inom pensionsinformationsområdet.

5.2.4 Konsumentuppdraget Pensionsmyndighetens uppdrag är också att stärka pensionssparares och pensionärers ställning som konsumenter av finansiella produkter inom pensionsområdet genom att ge vägledning som är anpassad till individens behov och livssituation.

Pensionsmyndigheten arbetar för att göra det enklare för pensionssparare och pensionärer att fatta medvetna beslut i pensionsfrågor genom att erbjuda lättförståelig, objektiv och relevant vägledning samt stimulerar pensionsbranschen till mera konsumentvänligt agerande genom att verka för bra pensionsprodukter och ett ökat konsumentskydd för pensionssparare och

pensionärer inom pensionsområdet. I återrapporteringen av Pensionsmyndighetens regleringsbrevsuppdrag lämnar myndigheten förslag på hur olika systemval och information kring dessa kan förenklas för pensionssparare och pensionärer. Ett arbete sker också med att fånga upp företeelser som påverkar konsumenterna på pensionsmarknaden, analysera dessa och sprida information utifrån de konsumentstärkande åtgärder som myndigheten gör. En viktig del i konsumentuppdraget är att samverka med andra organisationer.

5.2.5 Säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott Arbetet med att säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott sker på flera sätt inom myndigheten. Pensionsmyndigheten genomför bland annat kontrollutredningar för att upptäcka och stoppa bidragsbrott. En kontrollutredning vid misstanke om brott genomförs då en person misstänks avsiktligt ha orsakat felaktiga utbetalningar från Pensionsmyndigheten. Bosättningsförhållanden och utlandsvistelse utanför EU i kombination med utbetalning av bosättningsbaserade förmåner är de vanligaste anledningarna till att en kontrollutredning påbörjas. Majoriteten av alla kontrollutredningar initieras genom anonyma anmälningar från allmänheten. Initiativ till utredningar uppstår även utifrån manuella eller maskinella kontroller i Pensionsmyndighetens förmånshandläggning. En kontrollutredning kan även påbörjas efter inkomna uppgifter från Polismyndigheten eller andra myndigheter. Pensionsmyndigheten är vidare en aktiv deltagare i de externa myndighetsnätverk som blir allt viktigare i arbetet med att minska felutbetalningar och motverka bidragsbrott. Här ska initiativet MUR nämnas som står för Motståndskraft hos utbetalande och rättsvårdande myndigheter, där 18 olika myndigheter deltar i ett arbete mot missbruk och brott i välfärdssystemen.

5.2.6 Följa, analysera och förmedla ålderspensionssystemets utveckling och effekter för enskilda och samhälle Pensionsmyndigheten har som statistikansvarig myndighet ansvar för att producera och publicera officiell och annan statistik inom området för stöd vid ålderdom. Därutöver ansvarar Pensionsmyndigheten för att följa, analysera och förmedla ålderspensionssystemets utveckling och effekter för enskilda och samhälle. Resultaten av analyserna förmedlas genom rapporter och på andra sätt till regeringen och allmänheten. Pensionsmyndigheten ansvarar också för utbyte av kunskap med andra länder samt för att stödja regeringen i det internationella arbetet. Pensionsmyndigheten företräder Sverige i internationella organisationer och inom EU där regelutveckling inom myndighetens ansvarsområde sker.

I Pensionsmyndighetens arbete med att ta fram information för att planera verksamheten samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av verksamheten samt framställa statistik inom socialförsäkringens administration samlas relevanta uppgifter i ett datalager betecknat Pedal. Inom Pedal samlas uppgifter från förmånssystemen inom socialförsäkringen. Där samlas även information från andra myndigheter, t.ex. Skatteverket och Statistiska Centralbyrån (SCB). Uppgiftssamlingarna innehåller information om samtliga individer som omfattas av socialförsäkringen och uppdateras fortlöpande.

ÖVERVÄGANDEN OCH FÖRSLAG

6 Generella överväganden

6.1 Reglering av Försäkringskassans och Pensionsmyndighetens behandling av personuppgifter

6.1.1 Det finns behov av en översyn och omarbetning av 114 kap. SFB Bedömning: Det finns behov av en översyn och omarbetning av 114 kap. SFB.

Regleringen av behandling av personuppgifter inom socialförsäkringens administration går långt tillbaka. Lagen (1993:747) om sjukförsäkringsregister hos de allmänna försäkringskassorna och lagen (1994:1517) om socialförsäkringsregister utfärdades redan på 1990-talet. Lagen om socialförsäkringsregister ersatte de tillstånd från Datainspektionen som förandet av personregister på ADB-medium annars förutsatte enligt datalagen (1973:289). Socialförsäkringsregisterlagen (1997:934) ersatte de två lagarna några år senare och ytterligare några år senare anpassades den till personuppgiftslagen (1998:204). En fullständig översyn av registerlagstiftningen inom socialförsäkringens administration ledde 2003 till att socialförsäkringsregisterlagen ersattes av en ny lag och förordning – lagen (2003:763) respektive förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration. Lagen om behandling av personuppgifter inom socialförsäkringens administration inkorporerades sedermera som det 114 kapitlet i socialförsäkringsbalken (114 kap. SFB).

I samband med att dataskyddsförordningen skulle börja tillämpas, gjordes en anpassning av 114 kap. SFB till dataskyddsförordningen. Den översyn som gjordes med anledning av detta syftade enbart till att anpassa befintlig lagstiftning till dataskyddsförordningen och innebar ingen översyn av bestämmelserna i sak.

Det har således inte gjorts någon full översyn av regleringen av behandlingen av personuppgifter hos Försäkringskassan och Pensionsmyndigheten sedan 2003. Sedan dess har Riksförsäkringsverket och de allmänna försäkringskassorna år 2005 bildat Försäkringskassan, som år 2010 delades i Försäkringskassan och Pensionsmyndigheten. Den digitala utvecklingen har helt förändrat verksamheterna. Vid tillkomsten av regleringen var användningen av elektroniska, gemensamma system undantag snarare än huvudregel och den enskilde tjänstemannen arbetade i sin egen dator utan koppling till gemensamma IT-lösningar. Då bedömdes det också integritetskänsligt att lämna ut elektroniska uppgifter eftersom de lättare kunde bearbetas än uppgifter som lämnades ut på papper. Numera använder myndigheterna i stor utsträckning elektroniska, delvis gemensamma system och kommunicerar digitalt med andra myndigheter och parter. Att uppgifter skulle skickas på papper mellan myndigheter framstår som kontraproduktivt både ur effektivitets- och säkerhetssynvinkel. Regleringen av behandlingen av personuppgifter försvårar därför ofta den digitala utvecklingen. Förarbetena ger inte heller tillräcklig vägledning eftersom de utgår från andra digitala förutsättningar. Därutöver pågår ett arbete med att separera myndigheternas IT-miljöer, vilket har belyst att de rättsliga förutsättningarna för att dela uppgifter mellan myndigheterna inte är tillfredsställande. Försäkringskassan och Pensionsmyndigheten har över tid också fått nya uppdrag som kräver behandling av personuppgifter.

Sammantaget finns ett stort behov av en omarbetning av 114 kap. SFB.

6.1.2 Grundlagsskydd för den personliga integriteten Bedömning: En reglering av Försäkringskassans och Pensionsmyndighetens behandling av personuppgifter är förenlig med skyddet för den personliga integriteten enligt regeringsformen.

Skydd för den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen Sedan 2011 gäller ett utökat grundlagsskydd för den personliga integriteten enligt 2 kap. 6 § andra stycket regeringsformen (RF). Där anges att var och en gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Enligt 2 kap. 20 § RF får skyddet begränsas genom lag under de förutsättningar som anges i 2 kap. 21 § RF.

Lagen om behandling av personuppgifter inom socialförsäkringens administration kom långt innan det utökade grundlagsskyddet och någon bedömning i förhållande till 2 kap. 6 § RF gjordes inte när lagen inkorporerades i SFB eftersom bestämmelserna i huvudsak behölls oförändrade. 3 När regleringen ses över och ändamålen för behandling av personuppgifter nu föreslås revideras, finns därför anledning att bedöma om regleringen medför ett betydande intrång i den personliga integriteten och om det i så fall är tillåtet.

Begreppet enskildas personliga förhållanden i 2 kap. 6 § andra stycket RF har samma innebörd som i sekretesslagstiftningen och avser alltså bl.a. namn och andra identifikationsuppgifter, adress, familjeförhållanden, hälsa, fotografisk bild, uppgift om anställning och en persons ekonomi. 4 Vid bedömningen av om en åtgärd innebär kartläggning ska åtgärdens effekter snarare än det huvudsakliga syftet med åtgärden beaktas. I förarbetena till 2 kap. 6 § andra stycket RF anges som exempel att en åtgärd från det allmännas sida som vidtas primärt i syfte att ge myndigheterna underlag för beslutsfattande i enskilda fall, många gånger kan anses innebära kartläggning av enskildas förhållanden. Detta trots att avsikten med åtgärden inte är att kartlägga enskilda. Det konstateras vidare att det förekommer myndighetsspecifika verksamhetsregister och databaser med information som är knuten till en myndighets ärendehantering inom i stort sett all statlig och kommunal förvaltning och att informationshanteringen i många fall finns särskilt reglerad. Enligt förarbetena får uppgifterna i flertalet fall anses tillgängliga för myndigheterna på sådant sätt att lagringen och behandlingen av uppgifterna kan sägas innebära att enskilda kartläggs, även om det huvudsakliga ändamålet 5 med behandlingen är ett helt annat. Integritetskommittén angav Skatteverket, Kronofogdemyndigheten, Försäkringskassan och socialtjänsten som exempel på myndigheter eller myndighetsområden som har informationssamlingar beträffande enskildas personliga förhållanden som 6 kan sägas ha en sådan omfattning att de i praktiken innebär en kartläggning.

Behandling av personuppgifter med stöd av samtycke är undantaget i 2 kap. 6 § andra stycket RF. Sådan behandling anses inte utgöra samma integritetsintrång som behandling som sker utan att den registrerade tillfrågas. Integritetsskyddet i RF avser att omfatta sådana åtgärder som den 7 enskilde själv inte kan få kännedom om eller påverka genom ett krav på frivilligt godkännande.

3 Prop. 2008/09:200. 4 Prop. 2009/10:80 s. 177. 5 Prop. 2009/10:80 s. 180 f. Det kan dock noteras att Informationshanteringsutredningen i SOU 2015:39 s. 198 ff. argumenterar för att det inte är helt självklart att bestämmelser i registerförfattningar alltid måste anses utgöra sådan reglering som medför ett betydande intrång i den personliga integriteten. 6 SOU 2008:3 s. 272. 7 Prop. 2009/10:80 s. 178.

En reglerad skyldighet att behandla personuppgifter, exempelvis en föreskrift om att en myndighet ska föra ett visst register med personuppgifter eller att uppgifter ska lämnas från en personuppgiftsansvarig till en annan får därför alltid anses medföra ett visst intrång i enskildas personliga integritet. Skyldigheten att behandla vissa personuppgifter innebär att den registrerade inte själv kan påverka behandlingen eller omfattningen av den. Även en tillåtande bestämmelse som innebär att en myndighet får möjlighet att utföra en viss behandling av personuppgifter som annars skulle ha varit otillåten, får anses medföra ett intrång i enskildas personliga integritet. I och med att behandlingen av personuppgifter har gjorts tillåten, tvingas den enskilde finna sig i eventualiteten att hans eller hennes personuppgifter behandlas utan att samtycke först inhämtas.

Vad som utgör ett betydande intrång får enligt förarbetena avgöras utifrån bl.a. uppgifternas karaktär och omfattning. En hantering av känsliga uppgifter kan innebära ett betydande intrång i den personliga integriteten även om det rör sig om ett fåtal uppgifter. Å andra sidan kan mängden uppgifter i sig vara en betydelsefull faktor i sammanhanget. Även ändamålet med behandlingen är av vikt för att avgöra om det rör sig om ett betydande intrång. En hantering som syftar till att utreda brott anses i förarbetena normalt vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Omfattningen av utlämnande av uppgifter till andra som sker utan omedelbart 8 stöd av offentlighetsprincipen kan också vara av betydelse vid bedömningen.

Integritetsskyddskommittén, som lämnade förslaget till grundlagsbestämmelsen i 2 kap. 6 § andra stycket RF, konstaterade att de från integritetsskyddssynpunkt viktigaste momenten i hanteringen handlar om hur uppgifter om enskilda får samlas in, ändamålet med behandlingen och i vilken utsträckning uppgifter på grund av uppgiftsskyldighet, som alltså bryter sekretess som gäller för uppgifterna, ska lämnas ut till andra för samkörning med uppgifter i andra myndighetsregister eller av andra skäl. 9

Bestämmelser som inte föranleder behandling av personuppgifter utan i stället begränsar den personuppgiftsansvariges möjligheter att behandla personuppgifter, t.ex. i form av olika skyddsåtgärder, kan däremot inte i sig anses medföra intrång i den personliga integriteten. Bestämmelser om begränsning av åtkomst till personuppgifter, krav på behörighetstilldelning och krav på pseudonymisering av personuppgifter skapar självständigt ingen möjlighet till behandling av personuppgifter utan utgör snarare regler om skydd för den enskildes personliga integritet.

Försäkringskassan och Pensionsmyndigheten behandlar i sina respektive verksamheter stora mängder uppgifter som rör enskildas personliga förhållanden. Det handlar om uppgifter om enskilda i livets alla faser och rör både privatliv och arbetsliv. Uppgifterna avser större delen av Sveriges befolkning och även människor i andra länder och många uppgifter hos Försäkringskassan är mycket integritetskänsliga. Den behandling av personuppgifter som Försäkringskassan och Pensionsmyndigheten utför i sina respektive kärnverksamheter får mot bakgrund av detta anses innebära kartläggning av enskildas personliga förhållanden. Intrånget får anses betydande mot bakgrund av uppgifternas karaktär, omfattning, att uppgifterna lagras under lång tid och kan påverka bedömningar hos myndigheterna under lång tid. Myndigheternas personuppgiftsbehandling sker utan ett sådant samtycke från den enskilde som avses i 2 kap. 6 § andra stycket RF. Försäkringskassans och Pensionsmyndighetens behandling

8 Prop. 2009/10:80 s. 183 f. 9 SOU 2008:3 s. 272.

av personuppgifter i sina respektive kärnverksamheter får därmed anses utgöra ett sådant betydande intrång i den personliga integriteten som avses i 2 kap. 6 § andra stycket RF.

Begränsning av skyddet för den personliga integriteten Skyddet för den personliga integriteten enligt 2 kap. 6 § andra stycket RF är inte absolut och kan under vissa förutsättningar begränsas med hänsyn till andra motstående intressen. En begränsning måste dock enligt 2 kap. 20 § RF ske genom lag och får enligt 2 kap. 21 § RF göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Begränsningen får inte göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning.

Regleringen avser enligt förarbetena att understryka kravet på att lagstiftaren, när en fri- och 10 rättighetsinskränkande lag beslutas, noga redovisar sina syften. Eftersom begränsningen inte får gå utöver vad som är nödvändigt med hänsyn till ändamålet, måste ett lagstiftningsarbete som påverkar skyddet av den personliga integriteten inkludera en integritetsanalys. Det intrång som sker i den enskildes personliga integritet måste vara befogat och stå i rimlig proportion till de fördelar som intrånget bidrar med till det motstående intresset. Det är endast tillåtet med lagar som inskränker integritetsskyddet om det inte finns några mindre integritetskänsliga alternativ och det intresse som ska tillgodoses är så starkt att det väger över intresset av skydd för den personliga integriteten. I förarbetena framfördes en förväntan på att kravet på att lagstiftaren tydligt redovisar vilka avvägningar som gjorts vid proportionalitetsbedömningen skulle medföra att avvägningarna i fråga om integritetsintrånget skulle bli mer ingående belysta 11 och presenteras på ett sådant sätt att kvaliteten i lagstiftningen skulle höjas ytterligare.

Reglering i form av en registerlagstiftning kompletterar dataskyddsförordningen, vilket innebär att registerlagstiftningen är tillåten endast under förutsättning att den inte strider mot dataskyddsförordningen. Kravet på rättslig grund enligt artikel 6 i dataskyddsförordningen medför t.ex. att en myndighet får behandla personuppgifter endast om det är nödvändigt för att fullgöra en rättslig förpliktelse, för att utföra en arbetsuppgift av allmänt intresse eller som ett 12 led i myndighetsutövning. Myndighetsutövning mot enskild måste alltid ha stöd i författning och rättsliga förpliktelser är till sin natur sådana förpliktelser som redan framgår av eller meddelas med stöd av gällande rätt. Även arbetsuppgifter av allmänt intresse måste enligt artikel 6.3 i dataskyddsförordningen vara rättsligt förankrade. Dataskyddsförordningen förutsätter alltså att de åtgärder som föranleder behandling av personuppgifter är rättsligt reglerade.

Sådana åtgärder som aktualiserar behandling av personuppgifter beskrivs i registerlagstiftningen som ändamål. Ändamålen utgår från myndigheternas uppdrag och därtill knutna behov av att behandla personuppgifter. Den rättsliga regleringen finns i bl.a. myndighetsförordningen, myndigheternas instruktioner, regeringsuppdrag och annan lagstiftning som myndigheterna ska tillämpa. Det bör kunna förutsättas att ändamål som utgår från sådan rättslig reglering är godtagbara i ett demokratiskt samhälle.

Prop. 1975/76:209 s. 153. 10 11 Prop. 2009/10:80 s. 177. 12 8 kap. 2 § 2 och 3 § RF.

Den behandling av personuppgifter som tillåts med stöd av registerlagstiftningen får därtill aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. Det kan konstateras att det inom dataskyddslagstiftningen finns ett nödvändighetskrav – behandlingen av personuppgifter ska vara nödvändig för angivet ändamål. Kravet på nödvändighet innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig; behandlingen kan anses nödvändig om behandlingen leder till effektivitetsvinster. Att behandlingen skulle kunna ske manuellt, dvs. utan tekniska hjälpmedel, medför därför normalt inte att automatisk behandling inte anses nödvändig enligt dataskyddslagstiftningen (se avsnitt 6.4.2). Nödvändighetskravet knyter dock behandlingen till ändamålet, som i sig måste vara förankrat i annan lagstiftning.

Sammantaget kan en registerlagstiftning inte ge möjlighet att behandla personuppgifter för annat än sådant som riksdag och regering bedömer att en myndighet ska göra. Att en myndighet behandlar personuppgifter för att fullgöra sitt uppdrag måste generellt anses vara att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. I övrigt kan konstateras att Försäkringskassan och Pensionsmyndigheten administrerar socialförsäkringen, som är en samhällsviktig verksamhet genom att den bl.a. tillgodoser behovet av försörjning för många människor. Myndigheternas behov av att behandla personuppgifter är direkt kopplat till administrationen av socialförsäkringen. Regleringen av personuppgiftsbehandlingen avser att balansera behovet av effektiva arbetsformer mot enskildas rätt till skydd för sin personliga integritet. Genom regleringen säkerställs att den tillåtna behandlingen av personuppgifter inte går längre än vad som är nödvändigt för att uppnå detta ändamål. Begränsningen av 2 kap. 6 § andra stycket RF får därmed anses proportionerlig och uppfylla de krav som gäller enligt 2 kap. 20–21 §§ RF. Se också integritetsanalysen i avsnitt 9.3.

6.1.3 Normgivningsnivå Bedömning: Myndigheternas behandling av personuppgifter bör regleras i lag och förordning.

I enlighet med vad som konstaterats i föregående avsnitt, måste ramarna för Försäkringskassans och Pensionsmyndighetens personuppgiftsbehandling enligt 2 kap. 20 § RF slås fast i lag. Därutöver bör de bestämmelser som är av central betydelse för integritetsskyddet ges lagform; av lagförarbeten framgår att myndighetsregister med ett stort antal registrerade och ett särskilt känsligt innehåll ska regleras särskilt i lag. 13

Det finns dock även utrymme att reglera viss annan personuppgiftsbehandling på lägre normgivningsnivå. Regeringen får med stöd av 8 kap. 7 § RF meddela dels föreskrifter om verkställighet av lag, dels förskrifter inom den s.k. restkompetensen, dvs. sådana föreskrifter som inte enligt grundlag ska meddelas av riksdagen. Därutöver kan regeringen meddela föreskrifter med stöd av ett bemyndigande i lag.

Försäkringskassans och Pensionsmyndighetens registerlagstiftning finns sedan tidigare i 114 kap. SFB och är således reglerad i lag. I förordningen om behandling av personuppgifter inom socialförsäkringens administration finns kompletterande bestämmelser. Viss föreskriftsrätt har i förordningen delegerats vidare till Försäkringskassan. Om föreskrifterna avser uppgifter som faller under Pensionsmyndighetens personuppgiftsansvar, ska föreskrifterna beslutas i samråd med Pensionsmyndigheten. Försäkringskassan och Pensionsmyndighet anser att viss reglering även fortsättningsvis bör ske i förordning och myndighetsföreskrifter.

13 Se bland annat prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och prop. 1997/98:44 s. 41. 47

114 kap. SFB bör därför vid behov innehålla bestämmelser med bemyndigande för regeringen eller den myndighet regeringen bestämmer.

6.2 Ett nytt kapitel

Förslag: Ett nytt kapitel, 114 a kap. SFB, ska föras in i lagen.

Det finns bestämmelser i både 114 kap. SFB och i anslutande förordning vars placering kan ifrågasättas då de till sin natur och sitt innehåll saknar omedelbart samband med övriga bestämmelser i aktuell reglering. Dessa bestämmelser handlar inte om tillåten behandling av personuppgifter inom Försäkringskassans och Pensionsmyndighetens respektive verksamhet, utan om vad som i vissa fall gäller när uppgifter lämnas ut från myndigheterna.

De förslag som vi nu lämnar syftar till att bidra till ett tydligt regelverk som är lätt att förstå och använda. I syfte att göra regleringen enklare, mer överskådlig och lättare att tillämpa föreslår vi därför att det i lagen ska föras in ett nytt kapitel, 114 a kap. SFB. I detta kapitel bör sådana bestämmelser samlas som visserligen handlar om utlämnande av uppgifter inom socialförsäkringsområdet, men som saknar omedelbar koppling till övriga bestämmelser om dataskydd i 114 kap. och anslutande förordning.

6.3 Förordningen om behandling av personuppgifter inom socialförsäkringens administration ska byta rubrik

Förslag: Förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration ska ha rubriken förordningen (2003:766) om behandling av personuppgifter hos Försäkringskassan och Pensionsmyndigheten m.m.

Begreppet socialförsäkringens administration föreslås i avsnitt 7.1.7 utmönstras ur regleringen och bör därför inte användas i rubriken till förordningen (2003:766) om behandlingen av personuppgifter inom socialförsäkringens administration. I förordningen ska regeringen dessutom kunna utfärda föreskrifter i anslutning till såväl 114 kap. som det föreslagna 114 a kap. SFB (se avsnitt 6.2 och 7.21). Vi föreslår därför att förordningen ska ha rubriken förordningen (2003:766) om behandling av personuppgifter hos Försäkringskassan och Pensionsmyndigheten m.m.

6.4 Rättslig grund för behandlingen av personuppgifter

Bedömning: Den verksamhet som myndigheterna bedriver enligt kapitel 4 och 5 är sådana uppgifter av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. En stor del av myndigheternas behandling av personuppgifter grundar sig också på myndighetsutövning och även på rättsliga förpliktelser.

6.4.1 Olika rättsliga grunder enligt dataskyddsförordningen För att det över huvud taget ska vara tillåtet att behandla personuppgifter krävs att det finns en rättslig grund för behandlingen. De rättsliga grunderna räknas upp i artikel 6.1 a–f i dataskyddsförordningen. För Försäkringskassan och Pensionsmyndigheten är framför allt punkterna c och e aktuella. Enligt punkten c kan behandling utföras om den är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Enligt punkten e kan behandling utföras om den är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

Andra alternativa rättsliga grunder är samtycke (artikel 6.1 a) och intresseavvägning (artikel 6.1 f). Av skäl 43 till dataskyddsförordningen framgår dock att samtycke inte bör utgöra giltig rättslig grund när det råder betydande ojämlikhet mellan den registrerade och den personuppgiftsansvarige, särskilt om den personuppgiftsansvarige är en offentlig myndighet 14 och det därför är osannolikt att samtycket har lämnats frivilligt. Artikel 29-gruppen har i sina riktlinjer om samtycke enligt dataskyddsförordningen konstaterat att maktobalansen mellan den offentliga myndigheten och den enskilde i de flesta fall innebär att den registrerade faktiskt inte kommer att ha något annat val än att godta den personuppgiftsansvariges behandling. Mot den bakgrunden bedömde Artikel 29-gruppen att det är lämpligare att tillämpa artikel 6.1 c och e i dataskyddsförordningen för offentliga myndigheters verksamhet. 15

Behandling av personuppgifter som utförs av offentliga myndigheter när de fullgör sina uppgifter får enligt artikel 6.1 andra stycket i dataskyddsförordningen inte ske med stöd av en intresseavvägning. Det innebär att Försäkringskassan och Pensionsmyndigheten inte kan behandla personuppgifter med stöd av en intresseavvägning enligt 6.1 f i dataskyddsförordningen. Övriga rättsliga grunder i artikel 6 bedöms inte relevanta för myndigheternas kärnverksamhet.

Allmänt intresse Behandling av personuppgifter får enligt artikel 6.1 e i dataskyddsförordningen ske om den är nödvändig för att utföra en uppgift av allmänt intresse. Vad som är ett allmänt intresse definieras inte i dataskyddsförordningen men av skäl 45 till dataskyddsförordningen framgår att i vart fall hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, anses ingå i allmänintresset.

I förarbetena till dataskyddslagen anges att begreppet uppgift av allmänt intresse rent språkligt kan antas avse något som är av intresse för eller berör många människor på ett bredare plan, i motsats till ett särintresse eller ett enskilt intresse. Utöver en hänvisning till vad som anges i skäl 45 till dataskyddsförordningen, konstateras att begreppet förekommer i motsvarande bestämmelser i artikel 7 e i 1995 års dataskyddsdirektiv och 10 § d personuppgiftslagen och att 16 ledning kan hämtas från hur begreppet tolkats enligt dessa bestämmelser.

Det saknas praxis från EU-domstolen där innebörden av begreppet allmänt intresse har utvecklats. I förarbetena till personuppgiftslagen nämndes dock som exempel på arbetsuppgifter som kan vara av allmänt intresse arkivering, forskning, framställning av statistik, etablerade idrottsorganisationers registrering av vilka personer som har vunnit svenska mästerskap eller innehar svenskt rekord i erkända sportgrenar och registrering som sker av 17 personer som har fått allmänt erkända utmärkelser, t.ex. Nobelpris. I andra förarbeten har det ansetts vara ett viktigt allmänt intresse t.ex. att Rättsmedicinalverket kan upprätthålla och förbättra kvaliteten och enhetligheten i sitt arbete med uppföljning, utvärdering och kvalitets- 18 19 säkring , att socialtjänsten ska kunna utföra sina arbetsuppgifter på ett tillfredsställande sätt

14 Artikel 29-gruppen inrättades enligt artikel 29 i 1995 års dataskyddsdirektiv. Den var ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet. 15 Artikel 29-gruppens riktlinjer om samtycke enligt förordning (EU) 2016/679, s. 6. 16 Prop. 2017/18:105 s. 55. SOU 1997:39 s. 364. 17 18 Prop. 1998/99:72 s. 38. 19 Prop. 2000/01:80 s. 144. 49

och att Inspektionen för socialförsäkringen får behandla känsliga personuppgifter vid sin tillsyn 20 och granskning . Datainspektionen har bl.a. ansett att förbättrande av kvaliteten inom hälso- 21 och sjukvården är en verksamhet av allmänt intresse.

För att myndigheternas verksamhet ska kunna fungera anser regeringen i förarbetena till dataskyddslagen att begreppet uppgift av allmänt intresse måste ges en vid betydelse. Alla uppgifter som riksdag eller regering gett i uppdrag åt statliga myndigheter att utföra är enligt regeringen av allmänt intresse. Om uppgifterna inte vore av allmänt intresse skulle myndigheterna inte ha ålagts att utföra dem. Detta måste enligt regeringen gälla även i dataskyddsförordningens mening, eftersom det är upp till varje medlemsstat att fastställa de uppgifter som är av allmänt intresse. 22

Begreppet uppgifter av allmänt intresse omfattar dock inte bara sådant som utförs som en följd av ett offentligrättsligt och uttryckligt åliggande eller uppdrag. Den verksamhet som en statlig myndighet bedriver inom ramen för sin befogenhet, bedöms i förarbetena till dataskyddslagen vara av allmänt intresse. Det är därmed den rättsliga grunden i artikel 6.1 e i dataskyddsförordningen som vanligen bör tillämpas av myndigheter, även utanför området för myndighetsutövning. Regeringen konstaterar dock att det inte utesluter att också andra rättsliga grunder 23 samtidigt kan vara tillämpliga i vissa situationer.

Myndighetsutövning Enligt artikel 6.1 e i dataskyddsförordningen får personuppgifter behandlas bl.a. om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning. I 2 kap. 2 § 2 dataskyddslagen förtydligas att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen, om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.

Utgångspunkten är att det som i Sverige brukar anses som myndighetsutövning faller under 24 begreppet. Myndighetsutövning mot enskilda karaktäriseras av beslut eller andra ensidiga åtgärder som ytterst är uttryck för samhällets maktbefogenheter i förhållande till medborgarna. Myndighetsutövning kan också ske i förhållandet mellan myndigheter, t.ex. när en myndighet har tillsyn över en annan myndighets verksamhet. Utanför begreppet myndighetsutövning faller däremot råd, upplysningar och andra inte bindande uttalanden samt sådan faktisk verksamhet som inte innebär tvång, t.ex. avtal eller affärsmässig verksamhet. Myndighetsutövning kan aldrig utövas utan stöd i gällande rätt.

Det rör sig om myndighetsutövning i den mening som avses i dataskyddsförordningen när Försäkringskassan och Pensionsmyndigheten beslutar om rätt till olika förmåner och ersättningar.

Rättsliga förpliktelser Behandling av personuppgifter får ske om den i enlighet med artikel 6.1 c dataskyddsförordningen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

20 SOU 2014:67 s. 112. 21 Datainspektionens rapport 2002:1 Nationella kvalitetsregister, s. 9. Prop. 2017/18:105 s. 56 f. 22 23 Prop. 2017/18:105 s. 57. 24 SOU 1997:39 s. 362 och prop. 2017/18:105 s. 62. 50

I förarbetena till dataskyddslagen konstateras att myndigheters uppdrag i första hand utgör en uppgift av allmänt intresse och att behandling av personuppgifter som föranleds av uppdraget därför i första hand sker med stöd av artikel 6.1 e i dataskyddsförordningen. Det förekommer dock författningsreglerade förpliktelser som avser t.ex. personaladministration och som i sig kräver personuppgiftsbehandling. Vidare kan en myndighets uppdrag enligt instruktionen till myndigheten eller ett regleringsbrev i vissa fall utgöra en i enlighet med nationell rätt fastställd rättslig förpliktelse i dataskyddsförordningens mening, t.ex. om myndigheten ges i uppdrag att 25 föra ett visst register.

6.4.2 Krav på den rättsliga grunden Nödvändighetskravet För att behandlingen av personuppgifter ska vara tillåten måste den vara nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Motsvarande krav på att behandlingen ska vara nödvändig fanns i artikel 7 i 1995 års dataskyddsdirektiv. Enligt EU-domstolen hade begreppet nödvändigt i 1995 års dataskyddsdirektiv en unionsrättslig innebörd. Kravet på nödvändighet enligt dataskyddsdirektivet ansågs inte innebära att det skulle vara omöjligt att utföra arbetsuppgiften om inte personuppgifter behandlas. Trots att en arbetsuppgift skulle kunna utföras utan att personuppgifter behandlas på visst sätt kunde behandlingen anses nödvändig om den innebär effektivitetsvinster. 26

Enligt förarbetena till dataskyddslagen bör EU-domstolens praxis om nödvändighetskravet i 1995 års dataskyddsdirektiv kunna utgöra stöd även vid tolkning av dataskyddsförordningen. Regeringen konstaterar att det i dagsläget mer eller mindre regelmässigt bör anses vara nödvändigt att använda tekniska hjälpmedel och därmed behandla personuppgifter på automatisk väg, eftersom manuell informationshantering inte utgör ett realistiskt alternativ. 27

Grunden ska vara rättsligt fastställd Grunden för sådan behandling av personuppgifter som är nödvändig för att fullgöra en rättslig förpliktelse, för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning måste enligt artikel 6.3 i dataskyddsförordningen fastställas i nationell rätt eller EU-rätt. I skäl 45 till dataskyddsförordningen anges att förordningen inte medför något krav på en särskild lag för varje enskild behandling och av ordalydelsen i artikel 6.3 första stycket framgår att det som ska fastställas i unionsrätten eller i nationell rätt är den grund för behandlingen som avses i artikel 6.1 c och e i dataskyddsförordningen. Det krävs således inte en reglering i unionsrätten eller i nationell rätt av den behandling av personuppgifter som ska ske med stöd av dessa rättsliga grunder. Det som måste ha stöd i rättsordningen är i stället den rättsliga förpliktelsen respektive uppgiften av allmänt intresse eller rätten till myndighetsutövning.

I förarbetena till dataskyddslagen betonas att dataskyddsförordningens krav på att grunden för behandlingen ska vara fastställd inte utgör någon nyhet när det gäller svenska myndigheters behandling av personuppgifter utan att det är i linje med legalitetsprincipen. Myndigheternas

Prop. 2017/18:105 s. 53 f. 25 26 EU-domstolens dom av den 16 december 2008, Huber C-524/06, EU:C:2008:724. 27 Prop. 2017/18:105 s. 47. 51

maktutövning, även i den mån denna förutsätter behandling av personuppgifter, måste ha stöd 28 i någon av de källor som tillsammans bildar rättsordningen.

Av skäl 41 till dataskyddsförordningen framgår att den rättsliga grunden bör vara tydlig och precis och dess tillämpning förutsägbar för dem som omfattas av den, i enlighet med rättspraxis vid EU-domstolen och Europadomstolen. Även detta är, enligt förarbetena till dataskyddslagen, ett uttryck för legalitetsprincipen. Vilken grad av tydlighet och precision som krävs i fråga om den rättsliga grunden för att en viss behandling av personuppgifter ska anses vara nödvändig måste enligt regeringens mening bedömas från fall till fall, utifrån behandlingens och verksamhetens karaktär. En behandling av personuppgifter som inte utgör någon egentlig kränkning av den personliga integriteten kan ske med stöd av en rättslig grund som är allmänt hållen. Ett mer kännbart intrång kräver att den rättsliga grunden är mer preciserad och därmed gör intrånget förutsebart. Om intrånget är betydande och innebär övervakning eller kartläggning av den enskildes personliga förhållanden krävs dessutom särskilt lagstöd enligt 2 kap. 6 och 20 §§ 29 RF.

Grunden för behandlingen ska enligt artikel 6.3 första stycket i dataskyddsförordningen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av. Med detta avses inte, enligt förarbetena till dataskyddslagen, att den rättsliga grunden nödvändigtvis måste fastställas i eller i enlighet med en av riksdagen beslutad lag. Däremot måste grunden vara fastställd i laga ordning, på ett konstitutionellt korrekt sätt. I en upplysningsbestämmelse i 2 kap. 2 § 1 dataskyddslagen anges att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen, om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning, eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning.

Syftet med behandlingen ska fastställas eller vara nödvändigt Enligt artikel 6.3 första stycket i dataskyddsförordningen ska syftet med behandlingen fastställas i den rättsliga grunden när det gäller rättsliga förpliktelser och i fråga om behandling enligt 6.1 e i dataskyddsförordningen vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Bestämmelsen anknyter till kravet på särskilda, uttryckligt angivna och berättigade ändamål enligt artikel 5.1 b i dataskyddsförordningen och uttrycker det samband som måste finnas mellan behandlingen och den rättsligt fastställda grunden. Den specifika behandlingen måste vara nödvändig för ett ändamål som i sin tur är nödvändigt för att myndigheten ska kunna utföra den arbetsuppgift som är en följd av en rättslig förpliktelse, en uppgift av allmänt intresse eller krav på myndighetsutövning.

Kravet på att syftet ska vara nödvändigt ska enligt förarbetena till dataskyddslagen inte tolkas som att arbetsuppgiften av allmänt intresse måste vara avgränsad så att den bara kan utföras på ett sätt. Den metod som den personuppgiftsansvarige väljer för att utföra sin arbetsuppgift måste dock – som all offentlig förvaltning – vara ändamålsenlig, effektiv och proportionerlig och får

28 Prop. 2017/18:105 s. 49 f. 29 Prop. 2017/18:105 s. 51. 52

därmed inte medföra ett onödigt intrång i enskildas privatliv. Ju mer detaljerat en viss arbetsuppgift har reglerats, desto mindre utrymme torde det finnas för den personuppgiftsansvarige 30 att välja olika tillvägagångssätt.

Proportionalitet och mål av allmänt intresse Unionsrätten eller den nationella rätt som utgör den rättsliga grunden för behandlingen av personuppgifter enligt artikel 6.1 e i dataskyddsförordningen måste enligt artikel 6.3 andra stycket sista meningen i dataskyddsförordningen också uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Det finns därmed en gräns för vilka arbetsuppgifter som över huvud taget kan läggas till grund för behandling av personuppgifter. Bestämmelsen motsvarar, enligt förarbetena till dataskyddslagen, det krav som Europakon- 31 ventionen ställer på lagstiftaren i en rättsstat. Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna har Europakonventionen inkorporerats i svensk rätt. Vidare gäller enligt 2 kap. 19 § RF att lagar och andra föreskrifter inte får meddelas i strid med Sveriges åtaganden enligt Europakonventionen. Det bör därför vara mycket ovanligt att svensk rätt inte uppfyller Europakonventionens krav. Mot denna bakgrund bör, enligt förarbetena, utgångspunkten vara att även dataskyddsförordningens motsvarande krav är uppfyllt i fråga om de rättsliga förpliktelser, uppgifter av allmänt intresse och den myndighetsutövning som fastställs i enlighet med svensk 32 rätt.

6.4.3 Rättslig grund för behandlingen av personuppgifter inom Försäkringskassans och Pensionsmyndighetens verksamheter Av redogörelsen i föregående avsnitt framgår att sådan verksamhet som en statlig myndighet bedriver inom ramen för sin befogenhet är av allmänt intresse. Den verksamhet som Försäkringskassan och Pensionsmyndigheten bedriver enligt kapitel 4 och 5 utgör alltså sådana uppgifter av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. En stor del av myndigheternas behandling av personuppgifter grundar sig också på myndighetsutövning och i vissa fall även på rättsliga förpliktelser.

Sammanfattningsvis har myndigheterna alltså stöd för att behandla personuppgifter under förutsättning att behandlingen av personuppgifter bedöms nödvändig såtillvida att den medför en effektivisering av verksamheten och • arbetsuppgiften har rättsligt stöd i regleringen av myndighetens uppgifter • den specifika behandlingen är nödvändig för ett ändamål som i sin tur är nödvändigt för att myndigheten ska kunna utföra en arbetsuppgift • den rättsliga grunden uppfyller ett mål av allmänt intresse och är proportionerlig mot det legitima mål som eftersträvas.

6.5 Socialförsäkringsdatabasen

Förslag: Begreppet socialförsäkringsdatabasen ska tas bort ur 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration. Bestämmelser som särskilt reglerar sådan personuppgiftsbehandling som sker i socialförsäkringsdatabasen ska upphävas eller ändras.

Prop. 2017/18:105 s. 60. 30 31 Prop. 2017/18:105 s. 50. 32 Prop. 2017/18:105 s. 50. 53

6.5.1 Databasbegreppet Tillämpningsområdet för 114 kap. SFB omfattar enligt 114 kap. 2 § SFB i princip all automatiserad behandling av personuppgifter, även eventuell behandling av personuppgifter som sker i ordbehandlingsprogram på en enstaka persondator. Vi har bedömt att bestämmelsen om tillämpningsområdet inte behöver ändras i det avseendet (se avsnitt 7.1).

Det finns flera exempel på lagstiftningsärenden rörande personuppgiftsbehandling där det har ansetts motiverat från integritetssynpunkt att ange särskilda skyddsregler för uppgiftssamlingar 33 som ger möjlighet till sammanställningar av personuppgifter. En vanligt förekommande teknik har varit att använda begrepp som exempelvis register eller databas och låta dem beteckna sådana större uppgiftssamlingar som behöver särskilda skyddsregler. I datalagen (1973:289) användes begreppet personregister som utgångspunkt för reglering av sådan automatiserad behandling av personuppgifter som krävde tillstånd från Datainspektionen. Med personregister avsågs register, förteckning eller andra anteckningar som fördes med hjälp av automatisk databehandling och som innehöll personuppgift som kunde hänföras till den som avsågs med uppgiften. I socialförsäkringsregisterlagen (1997:934) användes begreppet socialförsäkringsregister.

I den numera upphävda personuppgiftslagen användes inte begreppet register över huvud taget. I stället talades det om behandling av personuppgifter. I vissa lagar om behandling av personuppgifter inom beskattnings-, tull- och exekutionsverksamheterna infördes begreppet databas för de elektroniska sammanställningar av personuppgifter som förekommer i dessa verksamheter (se exempelvis lagen [2001:181] om behandling av uppgifter i skatteförvaltningens beskattningsverksamhet). Skälet till det var bl.a. att begreppet databas rent språkligt 34 ansågs ha en mer naturlig anknytning till automatiserade sammanställningar i allmänhet. Även för den lagstiftning som numera finns i 114 kap. SFB och anslutande förordning valdes begreppet databas som centralt begrepp då regeringen bedömde att det fanns ett behov av en särreglering av de gemensamt tillgängliga samlingarna av personuppgifter och handlingar som 35 fanns inom socialförsäkringens administration.

Enligt 114 kap. 5 § SFB omfattar begreppet socialförsäkringsdatabasen den samling uppgifter som med hjälp av automatiserad behandling används gemensamt i sådan verksamhet som omfattas av tillämpningsområdet för 114 kap. SFB. Av förarbeten till 114 kap. SFB framgår att vad som närmare avses med begreppet socialförsäkringsdatabasen i princip är den inom socialförsäkringens administration gemensamt använda samling av personuppgifter. Samlingen består av dels uppgifter i olika personregister i egentlig mening, dvs. på visst sätt organiserade sammanställningar av personuppgifter som används som underlag för beslutsfattande, utbetalning, uppföljning m.m., som för närvarande förs eller framgent kommer att föras inom socialförsäkringens administration, dels uppgifter i handlingar som inkommit eller upprättats i ett ärende och som lagrats elektroniskt för användning i ett ärendehanteringssystem inom 36 socialförsäkringens administration. Den grundläggande tanken med användningen av begreppet socialförsäkringsdatabasen är att reglera behandling av personuppgifter som på grund av just gemensam användning är att anse som särskilt integritetskänslig. 37 Särskilda bestämmelser

33 Jfr. prop. 2009/10:85 s. 127 f. 34 Prop. 2000/01:33 s. 90. Prop. 2002/03:135 s. 47 ff. 35 36 Prop. 2002/03:135 s. 49. 37 Prop. 2002/03:135 s. 50. 54

om behandling av personuppgifter i socialförsäkringsdatabasen finns därför i 114 kap. 14– 28 §§ SFB. Det finns också särskilda bestämmelser om socialförsäkringsdatabasen i förordningen om behandling av personuppgifter inom socialförsäkringens administration.

6.5.2 Gränserna för socialförsäkringsdatabasen Av förarbetena till 114 kap. SFB framgår att det avgörande för om en uppgift används gemensamt i en verksamhet och därmed utgör en beståndsdel i socialförsäkringsdatabasen är om den behandlas på ett sätt som medför att den utgör ”allmän egendom” i verksamheten. En uppgift anses gemensamt tillgänglig om den registreras och lagras på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang – t.ex. i samband med handläggningen av ett ärende – ta del av uppgiften direkt på automatiserad väg. Behandling av personuppgifter i socialförsäkringsdatabasen kännetecknas alltså av att åtkomsten till uppgifterna inte är förbehållen ett fåtal personer. Begreppet socialförsäkringsdatabasen är ett juridiskt begrepp och bygger inte på tekniska avgränsningar 38 eller utformningar i övrigt av uppgiftshanteringen.

Eftersom ärendehandläggning och hantering av personuppgifter i övrigt numera sker huvudsakligen digitalt i gemensamma system, sker idag majoriteten av all behandling av personuppgifter i Försäkringskassans och Pensionsmyndighetens kärnverksamheter i socialförsäkringsdatabasen. Samtliga ärendehanteringssystem och gemensamma filer, register och informationssamlingar som används i förmånsverksamheten får anses ingå i socialförsäkringsdatabasen. E-posthantering som utförs av en enstaka tjänsteman omfattas däremot inte om endast tjänstemannen och t.ex. en systemadministratör har tillgång till uppgifterna. Samma sak gäller sådan ordbehandling som ligger utanför ärendehanteringssystemet. Inte heller t.ex. dataanalyser som sker avgränsat från övrig verksamhet med mycket begränsad åtkomst kan anses omfattas av socialförsäkringsdatabasen.

6.5.3 Begreppet socialförsäkringsdatabasen bör tas bort 39 Begreppet databas används fortfarande i registerförfattningar och i annan författning. Användningen av begreppet har dock under senare år kritiserats bl.a. därför att det har en stark teknisk anknytning och leder tanken till ett visst, i tekniskt avseende avgränsat, informationssystem. Ett sådant sätt att se på samlingar av uppgifter i elektronisk form är inte heller längre relevant. Det väsentliga är inte på vilket sätt uppgifterna är lagrade, utan i vilken omfattning uppgifterna är tillgängliga, sökbara och möjliga att bearbeta. 40

Vi kan konstatera att begreppet socialförsäkringsdatabasen har skapat vissa tolknings- och tillämpningssvårigheter i samband med personuppgiftsbehandlingen inom myndigheternas verksamhet. Socialförsäkringsdatabasen omfattar större delen av de personuppgifter som behandlas av båda myndigheterna inom respektive verksamhet och dessa uppgiftsmängder är inte avgränsade på ett sådant sätt att det finns fog för att tala om en socialförsäkringsdatabas. Trots detta gäller olika regler beroende på om viss behandling av personuppgifter kan anses omfattas av socialförsäkringsdatabasen eller inte.

Enligt vår uppfattning beskriver inte längre termen databas på ett adekvat och relevant sätt hur personuppgifter hanteras i Försäkringskassans och Pensionsmyndighetens verksamheter och än

Prop. 2002/03:135 s. 50. 38 39 Se t.ex. prop. 2017/18:112 s. 59. 40 Jfr. prop. 2011/12:176 s. 39 f. 55

mindre hur behandlingen med största sannolikhet kommer att se ut framöver. Användningen av begreppet ger enligt myndigheternas mening i ljuset av dagens språkbruk felaktigt ett intryck av att uppgifterna lagras avgränsat och samlat på ett visst ställe. En ny modern reglering av personuppgiftsbehandlingen för Försäkringskassans och Pensionsmyndighetens verksamhet bör vara teknikneutral och utan koppling till var eller med vilken metod uppgifterna rent tekniskt lagras eller om de struktureras på visst sätt.

Tillämpningsområdet för 114 kap. SFB bör även i fortsättningen omfatta behandling av personuppgifter i verksamhet som gäller förmåner enligt SFB, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten (se avsnitt 7.1). Tillämpningsområdet omfattar således inte bara socialförsäkringsdatabasen utan även sådan behandling som utförs av en enskild tjänsteman eller en begränsad grupp av personer. Frågan är då om det finns skäl att behålla någon form av särreglering för uppgifter som används gemensamt i verksamheten.

Risken för otillbörliga intrång i den personliga integriteten till följd av hur personuppgifterna behandlas behöver inte i sig, enligt vår mening, per automatik vara större när personuppgifter behandlas av flera gemensamt i verksamheten, än när behandlingen sker av en enskild tjänsteman i ett utrymme med begränsad åtkomst. Många gånger är mängden uppgifter och dess karaktär viktiga faktorer vid bedömningen av om det är fråga om ett otillbörligt intrång, liksom ändamålet med behandlingen. Risken för obehörig spridning av uppgifterna till en krets utöver den avsedda kan i och för sig vara större när uppgifterna görs tillgängliga för en vidare krets av mottagare, men samma begränsningar för spridning bör gälla oavsett i vilket sammanhang de behandlas. Mot bakgrund av att den behandling av personuppgifter som omfattas av tillämpningsområdet för 114 kap. SFB ofta avser uppgifter om hälsa och andra personliga förhållanden, är det nödvändigt att upprätthålla en hög skyddsnivå oavsett om uppgifterna behandlas i ett gemensamt IT-system eller i ett utrymme med begränsad åtkomst. Risken för integritetsförlust för den enskilde individen till följd av felaktig behandling av personuppgifter kan vara minst lika stor i den sist nämnda situationen.

Dataskyddsförordningen ställer inga krav på att särskilda regler i nationell rätt ska omgärda sådan behandling av sådana personuppgifter som ska användas gemensamt i verksamheten. Det har enligt vår mening ett stort praktiskt värde om all personuppgiftsbehandling omfattas av samma reglering, eftersom man därigenom undviker gränsdragningsproblem utifrån begreppsdefinitioner. Eftersom dataskyddslagstiftningen redan som utgångspunkt består av flera olika författningar – dataskyddsförordningen, dataskyddslagen och registerförfattning – underlättar det för tillämparen av lagstiftningen att endast behöva förhålla sig till ett enhetligt ”lager” av regelverk i registerförfattningen. Det kan också förväntas leda till ökad förutsebarhet och tydlighet. Att undvika särreglering utifrån någon specifik ”uppgiftssamling” ligger även väl i linje med vår strävan att regleringen så långt som möjligt ska vara teknikneutral. Vi menar därför att samma generella regler bör gälla för all behandling av personuppgifter som sker inom ramen för den verksamhet som omfattas 114 kap. SFB.

Sammantaget anser vi att enhetliga regler för samtlig personuppgiftsbehandling som faller inom tillämpningsområdet för 114 kap. SFB bör kunna ge ett tillräckligt skydd för de enskildas personliga integritet. Någon särreglering för uppgifter som används gemensamt i verksamheten behövs inte. Vi föreslår därför att begreppet socialförsäkringsdatabasen tas bort ur 114 kap.

SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration. Under de särskilda övervägandena framgår vilka bestämmelser som närmare berörs av förslaget och vad förslaget innebär i de avsnitt där de berörda bestämmelserna analyseras.

6.6 Elektroniskt utlämnande

Bedömning: Bestämmelser om utlämnande på medium för automatiserad behandling i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration bör upphävas. Bestämmelser om direktåtkomst i samma författningar bör upphävas om de inte längre tillämpas. Direktåtkomst bör vara tillåten endast i den utsträckning som anges i lag eller förordning.

6.6.1 Olika former av elektroniskt utlämnande Myndigheter har en långtgående skyldighet att bistå varandra och samverka, vilket bl.a. kommer till uttryck i 8 § förvaltningslagen (2017:900). Informationsskyldigheten mellan myndigheter regleras i 6 kap. 5 § offentlighets- och sekretesslagen (2009:400), OSL, där det framgår att en myndighet på begäran av en annan myndighet ska lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. I olika författningar finns dessutom sekretessbrytande bestämmelser om uppgiftsskyldighet och olika medgivanden att lämna uppgifter. Dessa bestämmelser reglerar dock inte hur uppgifterna ska eller får lämnas.

Ett elektroniskt utlämnande av personuppgifter innebär en behandling av personuppgifter och omfattas av dataskyddsregleringen. Det kan handla om allt från utlämnande via e-post, sms, på ett USB-minne eller en CD-skiva till överföring av uppgifter från ett datorsystem till ett annat eller att en mottagare ges elektronisk tillgång till det utlämnande organets IT-miljö.

I 114 kap. SFB, i likhet med många andra registerförfattningar och författningar som reglerar personuppgiftsbehandling, finns både bestämmelser där det framgår för vilka sekundära ändamål som personuppgifter får behandlas genom att lämnas ut till en extern mottagare utanför myndigheten, och bestämmelser som begränsar möjligheterna att lämna ut uppgifter i elektronisk form till andra myndigheter eller enskilda. Anledningen till att man valt att reglera sättet eller den särskilda tekniken för utlämnandet är att den elektroniska formen har ansetts medföra ökade risker för otillbörliga integritetsintrång. Den elektroniska formen har ansetts ge mottagaren större möjligheter att bearbeta informationen än om den hade erhållits på papper. Möjligheten till bearbetning ger i sin tur möjlighet till sammanställningar och ytterligare spridning.

Inom dataskyddslagstiftningen används för elektroniska utlämnanden ofta begreppen direktåtkomst och utlämnande på medium för automatiserad behandling. Den allmänna innebörden av begreppet direktåtkomst är att någon utomstående har direkt tillgång till uppgifter som behandlas hos en myndighet. Den utomstående kan på egen hand ta fram uppgifter och på så sätt få uppgifter utlämnade till sig. Prövningen av om ett utlämnande är förenligt med OSL måste därför ske redan då uppgifterna görs tillgängliga för direktåtkomst, oavsett om någon mottagare vid den tidpunkten tar del av dem eller inte. Den faktiska begränsningen av direktåtkomsten görs sedan med hjälp av olika tekniska lösningar beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet. Vid utlämnande på medium för automatiserad behandling lämnas uppgifter i stället ut av en utlämnande myndighet på begäran av

mottagaren eller på initiativ av den utlämnande myndigheten som förfogar över uppgiften och bestämmer om den ska lämnas ut eller inte.

Den tekniska utvecklingen har inneburit att det numera finns betydligt många fler sätt att överföra uppgifter elektroniskt än tidigare och att nya metoder tillkommer. Detta har fört med sig att begreppen direktåtkomst och utlämnande på medium för automatiserad behandling vanligen uppfattas som oklara när de ska tillämpas. De används inte heller med en enhetlig systematik i olika registerförfattningar; utöver nämnda begrepp används t.ex. uttrycket ”elek- 41 tronisk åtkomst”. Skillnaderna mellan direktåtkomst och annat uppgiftslämnande på automatiserad väg har blivit så små och i vissa fall så betydelselösa att det kan vara svårt att dra en gräns mellan olika former för utlämnande. Det medför i sig svårigheter, eftersom de olika sätten för utlämnande kan användas vid olika förutsättningar. Det kan för vissa uppgifter och ändamål vara tillåtet att lämna ut uppgifterna på medium för automatiserad behandling men inte för direktåtkomst och vice versa. Då måste det vara tydligt vilket slags utlämnande den tekniska utformningen faktiskt medför.

Informationshanteringsutredningen hade i uppdrag att överväga om det finns skäl att i 42 registerförfattningar behålla åtskillnaden mellan olika former av elektroniskt utlämnande. Utredningen framhöll att direktåtkomst medför både rättsliga och sakliga konsekvenser som inte uppkommer vid andra former av utlämnanden. En rättslig konsekvens är att de upptagningar/handlingar hos den utlämnande myndigheten som direktåtkomsten omfattar blir expedierade i den mening som avses i 2 kap. 6 § första stycket TF redan i och med att systemet för direktåtkomst tas i bruk. I och med detta blir upptagningarna tekniskt tillgängliga för den mottagande myndigheten så att de kan läsas, avlyssnas eller på annat sätt uppfattas. Direktåtkomst medför därmed att handlingarna är att anse som allmänna både hos den utlämnande och mottagande myndigheten. Huruvida den mottagande myndigheten faktiskt har använt sig av direktåtkomsten har ingen betydelse. I och med detta har den utlämnande myndigheten heller ingen möjlighet att påverka hur den mottagande myndigheten utnyttjar direktåtkomsten. Eftersom samtliga uppgifter som omfattas av direktåtkomsten blir expedierade i det ögonblick åtkomsten etableras, måste också en eventuell sekretessproblematik vara löst redan innan direktåtkomsten tas i bruk. En sekretessbrytande bestämmelse måste möjliggöra ett utlämnande av samtliga uppgifter som tillgängliggörs genom direktåtkomsten. Informationshanteringsutredningen, som även diskuterade fler rättsliga och praktiska konsekvenser, bedömde sammantaget att det finns skäl att behålla en begreppsmässig skillnad mellan 43 direktåtkomst och annat utlämnande i elektronisk form.

Högsta förvaltningsdomstolen (HFD) gjorde förtydliganden av vad som ska betraktas som direktåtkomst respektive utlämnande på medium för automatiserad behandling i det s.k. LEFI Online-målet. Frågan i målet var om ett utlämnande via Försäkringskassans fråga/svarstjänst LEFI Online var att anse som direktåtkomst enligt 114 kap. 22 § SFB. HFD bedömde att gränsdragningen mellan vad som enligt bestämmelsen i 114 kap. 22 § SFB är direktåtkomst och vad som är utlämnande på medium för automatiserad behandling är beroende av om den aktuella upptagningen kan anses förvarad hos den mottagande myndigheten enligt (nuvarande 2 kap. 6 § första stycket) TF, dvs. om den är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Eftersom ett utlämnande genom LEFI Online förutsätter att

Se t.ex. 4 kap. patientdatalagen (2008:355). 41 42 Kommittédirektiv 2011:86. 43 SOU 2015:39 s. 135 f. 58

Försäkringskassan reagerar på en begäran om att de efterfrågade uppgifterna ska lämnas ut ansågs Försäkringskassan förfoga över frågan om, och i så fall vilka, uppgifter som skulle lämnas ut. Någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 6 § första stycket TF bedömdes därmed inte föreligga. Detta innebar att förfarandet inte var att betrakta som 44 direktåtkomst.

LEFI Online-målet rörde i och för sig enbart begreppet direktåtkomst enligt SFB, men HFD har senare konstaterat att en myndighet har direktåtkomst till uppgifter hos en annan myndighet om uppgifterna finns i en upptagning som i tryckfrihetsförordningens mening kan anses förvarad 45 hos den förstnämnda myndigheten. LEFI-domen har därmed givits generell tillämplighet. Den tekniska utformningen av myndigheters system för utlämnande av uppgifter kan således bli avgörande för om utlämnandet ska anses som direktåtkomst eller som utlämnande på medium för automatiserad behandling.

6.6.2 Dataskyddsförordningen I dataskyddsförordningen finns det inga särskilda bestämmelser som direkt rör på vilket sätt personuppgifter får lämnas ut, utan det krävs – i likhet med vad som gäller för all behandling av personuppgifter – att behandlingen uppfyller tillämpliga grundläggande krav i artikel 5 i dataskyddsförordningen och har lagligt stöd enligt artikel 6 i dataskyddsförordningen. Det krävs också att säkerhetsåtgärder enligt artikel 24.1 och 32 i dataskyddsförordningen är vidtagna. Om utlämnandet avser känsliga personuppgifter eller uppgifter om lagöverträdelser, krävs i tillämpliga fall stöd enligt artikel 9 respektive artikel 10 i dataskyddsförordningen. Om utlämnandet i sig är tillåtet enligt dataskyddsförordningen, får det således ske på vilket sätt som helst så länge föreskrivna säkerhetsåtgärder vidtas.

Bestämmelser om direktåtkomst och utlämnande på medium för automatiserad behandling har av regeringen bedömts vara skyddsåtgärder som det är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse 46 eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen. Sådan behandling av personuppgifter som sker inom tillämpningsområdet för 114 kap. SFB sker huvudsakligen med stöd av ett allmänt intresse (se avsnitt 6.4). Det innebär att det är förenligt med dataskyddsförordningen att reglera sättet för elektroniskt utlämnande av personuppgifter i 114 kap. SFB med anslutande förordning.

6.6.3 Konsekvenser av direktåtkomst Direktåtkomst medför ett flertal olika rättsliga och praktiska konsekvenser. Informationshanteringsutredningen har i sina betänkanden Överskottsinformation vid direktåtkomst 47 och Myndighetsdatalag 48 redogjort för olika konsekvenser och vi hänvisar i huvudsak till utredningens redogörelser. Här nämns några av konsekvenserna.

Direktåtkomst innebär rättsligt att gränsen mellan de uppgiftsutbytande myndigheterna delvis tas bort. Ur förvaltningsrättsligt och övrigt rättssäkerhetsperspektiv är det viktigt att myndigheternas gränser är tydliga; otydliga gränser kan väcka frågor kring ansvarsförhållanden. En användning av system för direktåtkomst ställer således stora krav på myndigheterna att

44 HFD 2015 ref. 61. 45 HFD 2020 not 16. Prop. 2017/18:171 s. 136 f. 46 47 SOU 2012:90. 48 SOU 2015 39. 59

analysera eventuella konsekvenser och vidta åtgärder för att undanröja oönskade effekter innan en direktåtkomst faktiskt etableras.

Direktåtkomst kan också orsaka problem med överskottsinformation. Med överskottsinformation avses genom direktåtkomst tillgänglig information som en mottagarmyndighet endera inte har rätt att ta del av eller som den visserligen får ta del av men där detta ännu inte har skett i den meningen att mottagarmyndigheten inte har vidtagit någon åtgärd i syfte att överföra informationen till sig. Tillgången till överskottsinformation och omständigheten att den utlämnande myndigheten inte har någon möjlighet att påverka hur den mottagande myndigheten använder direktåtkomsten åberopas ofta som grund för att direktåtkomst till personuppgifter utifrån integritetssynpunkt är en särskilt känslig elektronisk utlämnandeform som bör särregleras i registerlagstiftning.

Tillgången till överskottsinformation påverkar också vad som ska anses som allmän handling hos den mottagande myndigheten. Eftersom uppgifter som görs tillgängliga för direktåtkomst anses expedierade redan när direktåtkomsten etableras enligt 2 kap. 6 § första stycket TF, kan uppgifter hos den utlämnande myndigheten begäras ut som allmän handling hos den mottagande myndigheten, trots att den mottagande myndigheten inte inhämtat uppgifterna till sin verksamhet. Att överskottsinformation omfattas av offentlighetsprincipen innebär alltså en risk för oavsiktlig spridning av personuppgifter.

Sekretess överförs vid direktåtkomst till den mottagande myndigheten enligt 11 kap. 4 § OSL men om det finns en annan primär sekretessbestämmelse till skydd för samma intresse som är tillämplig hos den mottagande myndigheten gäller denna enligt 11 kap. 8 § OSL. Direktåtkomsten kan således medföra att sekretessen för uppgifter, på grund av avsaknad av överföringssekretess, kan ha ett annat innehåll hos den mottagande myndigheten än hos den utlämnande.

Uppgifter görs tillgängliga genom direktåtkomst på grund av att det finns ett potentiellt behov av uppgifterna hos den mottagande myndigheten. Av grundläggande dataskyddsregler gäller att den mottagande myndigheten inte har rätt att ta del av personuppgifter som myndigheten inte har behov av, oavsett om det finns en praktisk möjlighet att ta del av uppgifterna. Uppgifter ska därför inhämtas enbart när myndigheten har behov av dem för sin verksamhet. En begäran om allmän handling kan dock medföra att den mottagande myndigheten, trots avsaknad av interna verksamhetsrelaterade behov, måste behandla uppgifterna. Behovet uppstår i och med en begäran om allmän handling. Regelsystemet kan alltså leda till oönskad behandling av personuppgifter. Sökbegränsningar i den utlämnande myndighetens registerlagstiftning gäller inte heller alltid hos den mottagande myndigheten, vilket kan medföra att möjligheten att skapa sammanställningar blir mer omfattande hos den mottagande myndigheten än hos den 49 utlämnande myndigheten.

En mottagarmyndighet kan således vara skyldig enligt TF att söka fram, sekretesspröva och kanske lämna ut överskottsinformation trots att mottagarmyndigheten själv inte har eller har haft något intresse av informationen i sin verksamhet.

49 Angående utlämnande myndighets sökbegränsningar, se SOU 2015:39 s. 456 f. 60

6.6.4 eSams inställning eSamverkansprogrammet (eSam) förespråkar att nya elektroniska tjänster inom den offentliga förvaltningen framöver inte ska konstrueras så att de utgör direktåtkomst. Ställningstagandet bottnar i Informationshanteringsutredningens problembeskrivning och Högsta förvaltningsdomstolens ställningstagande i LEFI Online-målet och sammanfattas i tre huvudsakliga argument. Det första är att gränsen mellan de uppgiftsutbytande myndigheterna delvis tas bort med direktåtkomst och att det är ett starkt rättssäkerhetskrav att gränserna mellan myndigheterna i rättslig mening kan upprätthållas. Det andra argumentet är att det genom direktåtkomst uppstår överskottsinformation, vilket ökar risken för integritetsintrång och annan spridning av känsliga uppgifter. Slutligen framhåller eSam att det av ingresspunkt 31 i dataskyddsförordningen framgår att varje begäran från en myndighet ska vara skriftlig, motiverad, läggas fram i det enskilda fallet och inte gälla ett helt register eller leda till att register 50 kopplas samman.

eSam har tagit fram vägledningen ”Elektroniskt informationsutbyte – en vägledning för utlämnande i elektronisk form” som beskriver en modell för elektroniskt utlämnande som inte ska komma i konflikt med de krav i författning som gäller för direktåtkomst och inte heller föra med sig något överskott av allmänna handlingar hos en mottagande myndighet.

6.6.5 Reglering av elektroniskt utlämnande i 114 kap. SFB Utlämnande på medium för automatiserad behandling Försäkringskassan och Pensionsmyndigheten har en omfattande elektronisk kommunikation med andra myndigheter, privata aktörer i form av t.ex. försäkringsbolag och privatpersoner. Det kan handla om att uppgifter om enskildas tillgångar och skulder kan behöva hämtas in från banker som underlag i vissa ärenden. Från Skatteverket kan uppgifter om folkbokföring och inkomster behöva hämtas för att rätt till förmån ska kunna bedömas. Kommunikationen sker bl.a. genom direkta dataförbindelser och olika webbtjänster, men även via e-post och annan media.

All form av elektroniskt utlämnande av uppgifter från socialförsäkringsdatabasen, såväl via direktåtkomst som på medium för automatiserad behandling, förutsätter stöd i författning. Av 114 kap. 24 § SFB framgår att personuppgifter i socialförsäkringsdatabasen får lämnas ut på medium för automatiserad behandling till andra än den registrerade själv endast om det behövs för något av de sekundära ändamål som anges i 8 och 9 §§ i samma kapitel. Hänvisningen till 8 och 9 §§ medför att det oftast krävs en reglerad uppgiftsskyldighet eller en bestämmelse om att uppgifter får lämnas ut, för att Försäkringskassan och Pensionsmyndigheten ska få lämna ut uppgifter på medium för automatiserad behandling. Hänvisningen innebär också att personuppgifter endast kan lämnas ut på medium för automatiserad behandling för ett sekundärt ändamål och inte, som egentligen ofta är fallet, som ett led i handläggningen av ett ärende (jämför avsnitt 7.7.4).

Ett sätt att ge myndigheterna stöd att lämna ut personuppgifter elektroniskt har varit att i förordningen om behandling av personuppgifter inom socialförsäkringens administration ange att det är tillåtet att lämna vissa personuppgifter för vissa ändamål till vissa myndigheter på medium för automatiserad behandling. Sådana bestämmelser omfattas av det sekundära ändamålet i 114 kap. 9 § 2 SFB. Bestämmelsernas detaljerade utformning innebär dock att det ofta

50 eSam, Elektroniskt informationsutbyte – en vägledning för utlämnande i elektronisk form . 61

krävs en förändring av en befintlig bestämmelse, alternativt en ny bestämmelse, varje gång elektroniska tjänster utvecklas eller förändras.

Detaljregleringen av utlämnande av personuppgifter på medium för automatiserad behandling medför att Försäkringskassan och Pensionsmyndigheten inte kan efterfråga uppgifter om en individ i en fråga/svar-tjänst utan författningsstöd. Myndigheternas handläggare kan inte heller skicka e-post med uppgifter om enskilda utan uttryckligt författningsstöd, oavsett kryptering och andra säkerhetsåtgärder. Istället måste handläggarna på otidsenligt sätt skicka vanlig post, ringa eller skicka faxmeddelanden. Myndigheterna har vid upprepade tillfällen därför lämnat framställningar till Socialdepartementet med önskemål om utökat författningsstöd för utlämnande på medium för automatiserad behandling. På senare tid har framställningarna bland annat handlat om stöd för att kunna efterfråga s.k. månadsuppgifter hos Skatteverket, stöd för att lämna uppgifter elektroniskt till domstolar och stöd för att lämna ut personuppgifter elektroniskt till banker. 51

Andra myndigheter, t.ex. Skatteverket och Kronofogdemyndigheten, begränsas inte av särskilda bestämmelser om utlämnande på medium för automatiserad behandling vid utlämnande till andra myndigheter. I förarbetena till lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet och lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet konstaterade regeringen att under förutsättning att den utlämnande myndigheten har möjlighet att avgöra vilka uppgifter som ska lämnas ut saknas det anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. Det bedömdes inte finnas några bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektroniskt. 52

Ett annat exempel är domstolarna som enligt 16 § domstolsdatalagen (2015:728) får lämna ut personuppgifter på medium för automatiserad behandling om det inte är olämpligt. I förarbetena konstaterades att de eventuella integritetsrisker som är förknippade med elektroniskt utlämnande inte har direkt med den utlämnande myndighetens verksamhet att göra, utan hänför sig i 53 allt väsentligt till de åtgärder som mottagaren kan tänkas vidta med de utlämnade uppgifterna.

Liknande reglering finns i kustbevakningsdatalagen (2019:429) enligt vilken personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om det inte är olämpligt. Regeringen anförde i förarbetena att regleringen är proportionerlig i förhållande till enskildas 54 personliga integritet. Inte heller lagen (2018:1212) om nationell läkemedelslista innehåller några andra bestämmelser om elektroniskt utlämnande än sådana som avser direktåtkomst. Bland ytterligare exempel på senare lagstiftning där utlämnande på medium för automatiserad behandling är oreglerad kan nämnas vägtrafikdatalagen (2019:369). I förarbetena angav regeringen att dataskyddsförordningens och vägtrafikdatalagens allmänna bestämmelser om 55 krav och begränsningar för behandling av personuppgifter genom utlämnande är tillräckliga.

51 Se två framställningar från Försäkringskassan om behov av ändring i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration, FK:s dnr 018418-2018 respektive 8066-2019 samt Pensionsmyndighetens framställan om ändring i förordningen (2003:766) om behandling av personuppgifter inom socialförsäkringens administration, dnr VER 2020-53. 52 Prop. 2000/01:33 s. 111 f. Prop. 2014/15:148 s. 76. 53 54 Prop. 2018/19:65 s. 80 ff. 55 Prop. 2018/19:33 s. 153 ff. 62

Kravet på särskild reglering och detaljnivån på regleringen i 114 kap. SFB är en följd av att risken för otillbörliga integritetsintrång traditionellt sett har ansetts större när mottagaren erhåller elektroniska uppgifter som är lätta att bearbeta än när utlämnandet sker på papper. I dagsläget sker dock nästan all hantering av personuppgifter digitalt. Att myndigheter ska skicka papper emellan sig framstår som onödigt ineffektivt och tidskrävande, när övrig hantering av information inom myndigheterna i allt större utsträckning är helt elektronisk. Skillnaden mellan uppgifter på papper och elektroniska uppgifter ska i dagsläget inte heller överdrivas. Med modern teknik kan text på papper förhållandevis enkelt omvandlas till elektroniska uppgifter.

Syftet med nu aktuell översyn av Försäkringskassans och Pensionsmyndighetens registerlagstiftning är att skapa en teknikneutral och flexibel lag som så långt det är möjligt inte ska behöva förändras i takt med den tekniska utvecklingen eller till följd av förändringar av myndigheternas behov att behandla personuppgifter. Det framstår, i ljuset av den snabba tekniska utvecklingen och de ökade kraven på att informationshanteringen sker elektroniskt, som orimligt att upprätthålla en detaljreglering i registerlagstiftningen av i vilka fall personuppgifter får lämnas ut på medium för automatiserad behandling. Skyddet för den personliga integriteten kan, för att främja effektiv samverkan och underlätta nödvändigt informationsutbyte, enligt vår mening upprätthållas på andra sätt än genom begränsning av formen för utlämnande. Även om bestämmelser om hur uppgifter får lämnas ut tas bort, styrs myndigheterna av ändamålsbestämmelser som bl.a. anger när personuppgifter får behandlas i syfte att lämnas ut. Om mottagaren av personuppgifterna är en myndighet styrs även mottagarens personuppgiftsbehandling vanligtvis av en registerlagstiftning med ändamålsbestämmelser som reglerar för vilka ändamål behandling får ske. Vidare är den personuppgiftsansvariga myndigheten skyldig att vidta lämpliga säkerhetsåtgärder för att skydda de uppgifter som behandlas. Myndigheten ansvarar således för att överföringen sker på ett säkert sätt, t.ex. att uppgifterna krypteras innan de överförs till mottagaren. Därutöver ska utlämnanden vara förenliga med bestämmelser om sekretess.

Vi bedömer att dataskyddsförordningens krav tillsammans med de begränsningar som i övrigt följer av förslaget till utformning av 114 kap. SFB och föreliggande sekretesslagstiftning räcker för att utlämnanden på medium för automatiserad behandling inte ska medföra obefogat intrång i den personliga integriteten. Bestämmelser om utlämnande på medium för automatiserad behandling kan därför tas bort ur 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration. Innebörden av förslaget och vilka bestämmelser som berörs av det behandlas i de avsnitt där de berörda bestämmelserna analyseras.

Direktåtkomst Av 114 kap. 18 § SFB framgår att direktåtkomst till socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i lag eller förordning. I 19–22 §§ finns bestämmelser om tillåten direktåtkomst. I förordningen om behandling av personuppgifter inom socialförsäkringens administration finns ytterligare bestämmelser om direktåtkomst.

En vanlig utgångspunkt är att direktåtkomst antas vara det mest effektiva sättet att utbyta information. Mot bakgrund av den tekniska utvecklingen och möjligheterna att bygga fråga/svar-tjänster som har förmåga att lämna uppgifter lika snabbt som det är möjligt att hämta uppgifter genom direktåtkomst, har effektivitetsskäl dock minskat i relevans som argument för direktåtkomst. Information kan ofta utbytas genom fråga/svar-tjänster som inte förutsätter direktåtkomst. Många myndigheter, inklusive Försäkringskassan och Pensionsmyndigheten, föredrar att i enlighet med eSams rekommendation utforma nya systemlösningar för överföring

av information mellan myndigheterna som fråga/svar-tjänster. Ett exempel är överföringen av s.k. månadsuppgifter från Skatteverket till Försäkringskassan som sker genom en av myndigheterna framtagen fråga/svar-tjänst, trots att regeringen givit Försäkringskassan rätt att få direktåtkomst till uppgifterna i beskattningsdatabasen.

Teknikutvecklingen har alltså lett till att de effektivitetsvinster som tidigare har motiverat ett system med direktåtkomst numera också ofta kan utvinnas ur ett fråga/svar-system som baseras på utlämnande på medium för automatiserad behandling. Med hänsyn till att det med möjligheten till direktåtkomst följer en ökad risk för intrång i den personliga integriteteten instämmer vi i eSams bedömning att framtida elektroniska utlämnanden av personuppgifter från myndigheternas respektive verksamheter inte bör ske genom direktåtkomst. Framtida elektroniska tjänster för utlämnande av personuppgifter elektroniskt bör i stället utformas på ett sätt som inte är att betrakta som direktåtkomst.

Bestämmelser som reglerar direktåtkomst i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration bör mot bakgrund av detta upphävas under förutsättning att de inte fyller någon funktion i den meningen att de tjänar som stöd för 56 ett behov av att kunna lämna ut/inhämta uppgifter. Vad detta konkret innebär behandlas i de avsnitt där berörda bestämmelser analyseras.

Det ligger i direktåtkomstens natur att den är förenad med vissa risker ur integritetsskyddssynpunkt. Tillgång till uppgifter genom direktåtkomst sker som tidigare nämnts utan föregående sekretessprövning i det enskilda fallet och kan ge upphov till överskottsinformation. Det finns också en gränsdragnings- och ansvarsproblematik. Vi instämmer därför i Informationshanteringsutredningens bedömning att i den mån direktåtkomst är motiverad, behövs särskilda bestämmelser som anger gränserna för direktåtkomsten. Regleringen av vilka som ska kunna få direktåtkomst till Försäkringskassans och Pensionsmyndighetens personuppgifter bör därför vara uttömmande.

I de fall bestämmelser om direktåtkomst i Försäkringskassans och Pensionsmyndighetens registerlagstiftning tillämpas som grund för befintliga systemlösningar, bör de aktuella bestämmelserna behållas. Även om utgångspunkten bör vara att direktåtkomst inte ska användas, får hänsyn tas till att fortsatt systemfunktionalitet måste upprätthållas. I takt med att nya systemlösningar byggs utifrån de principer som härrör från LEFI Online-målet och som har slagits fast i eSams vägledning om elektroniskt informationsutbyte, kan sådana bestämmelser upphävas. Till dess att sådana lösningar finns på plats får dock de avvägningar som tidigare har motiverat bestämmelser om direktåtkomst till socialförsäkringsdatabasen anses ha fortsatt relevans och tjäna som grund för en fortsatt hantering enligt tidigare struktur. En noggrann översyn krävs dock av de särskilda frågor och krav på skydd som direktåtkomst ger upphov till och som Informationshanteringsutredningen har pekat på.

Vi bedömer sammanfattningsvis att befintliga bestämmelser om direktåtkomst i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration bör upphävas i den mån de inte längre tillämpas. Bestämmelser om direktåtkomst som tillämpas bör behållas.

56 Jfr. Socialdepartementets promemoria 2017-02-01, S2004/07368/RS. 64

7 Särskilda överväganden och förslag

7.1 Kapitlets tillämpningsområde

Förslag: Kapitlets tillämpningsområde ska i huvudsak behållas oförändrat. Begreppet socialförsäkringens administration ska dock utmönstras ur regleringen. Vid behandling av uppgifter om avlidna ska 114 kap. SFB och föreskrifter som har meddelats i anslutning till kapitlet, dataskyddsförordningen, dataskyddslagen och föreskrifter som har meddelats i anslutning till den gälla i tillämpliga delar.

7.1.1 Verksamhet som gäller förmåner och ersättningar Bestämmelserna i 114 kap. SFB tillämpas enligt 114 kap. 2 § SFB vid behandling av personuppgifter i verksamhet som gäller förmåner enligt SFB, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten. Kapitlet gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I vissa delar ska kapitlet även tillämpas på uppgifter om avlidna personer.

Myndigheternas uppgifter styrs, förutom av instruktionerna, genom myndighetsförordningen (2007:515), de årliga regleringsbreven och särskilda uppdrag. Myndighetsförordningen gäller för samtliga förvaltningsmyndigheter under regeringen medan instruktioner och regleringsbrev ger mer specifik styrning. Av instruktionerna framgår den långsiktiga styrningen som kompletteras av regleringsbreven som under senare år i stor utsträckning har renodlats till att avse den 57 årliga styrningen. Myndigheternas kärnuppdrag framgår alltså av instruktionerna men även regleringsbreven kan innehålla uppdrag från regeringen till den aktuella myndigheten.

Tillämpningsområdet för 114 kap. SFB anknyter till Försäkringskassans och Pensionsmyndighetens instruktioner. För myndigheterna är det långsiktiga uppdraget – kärnuppdraget – att förvalta socialförsäkringen och andra förmåner och ersättningar som ska administreras av myndigheterna. Försäkringskassan är enligt 1 § förordningen med instruktion för Försäkringskassan förvaltningsmyndighet för de delar av socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av Försäkringskassan. Pensionsmyndigheten är enligt motsvarande paragraf i sin instruktion, 1 § förordningen med instruktion för Pensionsmyndigheten, förvaltningsmyndighet för ålderspensionssystemet inom socialförsäkringen och för andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheten.

I Försäkringskassans instruktion preciseras myndighetens uppdrag i 2–5 §§, där det bl.a. framgår att Försäkringskassan ska informera om socialförsäkringen och säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott. Försäkringskassan ska också följa, analysera och förmedla socialförsäkringssystemets utveckling och effekter för enskilda och samhälle, ansvara för att en kvalificerad kunskapsuppbyggnad sker i fråga om de verksamhetsområden som myndigheten har ansvar för och stödja forskning inom socialförsäkringsområdet. Ytterligare uppdrag är bl.a. att medverka i EU-arbetet och annat internationellt arbete, utföra datorbearbetningar och tjänster som är förenliga med myndighetens uppgifter och verksamhetsområde och bedriva viss samverkan och finansiell samordning.

57 Bet. 2012/13:KU10 s. 80 ff. 65

Pensionsmyndighetens uppdrag har på likartat sätt preciserats i 2–6 §§ i myndighetens instruktion, där det bl.a. anges att Pensionsmyndigheten ska ge information och vägledning rörande pensioner och andra förmåner, följa, analysera och förmedla ålderspensionssystemets utveckling och effekter för enskilda och samhälle och säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott. Pensionsmyndigheten har också i uppdrag att bl.a. medverka i EUarbetet och annat internationellt samarbete, samverka med berörda myndigheter, kommuner och andra berörda parter och utföra uppdrag relaterade till administrativa tjänster för Min Pension i Sverige AB och datorbearbetning inom ramen för myndighetens statistikuppdrag.

I myndigheternas regleringsbrev och särskilda regeringsbeslut ges uppdrag som hänför sig till såväl kärnverksamhet som övrig administrativ verksamhet. Det handlar om allt från att utveckla och införa IT-lösningar, följa upp förmånsverksamheten, vidta åtgärder för effektivisering och utveckla administrativa aspekter av verksamheten till att planera civilförsvar, verka för förbättrad upptäckt av våld i nära relationer och anställa personer som står långt från arbetsmarknaden. Uppdragen ger i varierande utsträckning anledning att behandla personuppgifter.

Uppdraget att vara förvaltningsmyndighet för socialförsäkringen och andra förmåner och ersättningar är således brett och förutsätter i hög grad behandling av personuppgifter för olika ändamål. Den stora mängden uppgifter om enskilda finns dock i myndigheternas kärnverksamheter. Det är också den verksamheten som är unik för Försäkringskassan och Pensionsmyndigheten; olika administrativa verksamheter förekommer på alla myndigheter och bör inte regleras särskilt för Försäkringskassan och Pensionsmyndigheten. Tillämpningsområdet för kapitlet bör därför, i likhet med tidigare, utgå från Försäkringskassans respektive Pensionsmyndighetens kärnuppdrag såsom det är formulerat i myndigheternas instruktioner.

Tillämpningsområdet för 114 kap . SFB ska därför omfatta behandling av personuppgifter i verksamhet som gäller förmåner enligt SFB, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten. Tillämpningsområdet avgränsar inom vilken verksamhet övriga bestämmelser i kapitlet är tillämpliga. Någon hänvisning från övriga bestämmelser till den bestämmelse som avser tillämpningsområde är inte nödvändig.

Allmänna ombudet Enligt 2 kap. 2 § SFB ska det hos Försäkringskassan finnas ett allmänt ombud för socialförsäkringen. Ombudet är således organisatoriskt inordnad i Försäkringskassan.

Det allmänna ombudets uppdrag definieras inte i lag eller förordning men av 113 kap. 12 § SFB framgår att ett beslut av Försäkringskassan eller Pensionsmyndigheten får överklagas av det allmänna ombudet. Enligt förarbetena bör möjligheten att överklaga beslut huvudsakligen användas då det krävs för att utjämna en oenhetlig rättstillämpning på områden där behov av 58 prejudikat är särskilt framträdande. I budgetpropositionen för år 2017, med anledning av resurstillskott till allmänna ombudet, uttalas att förstärkningen av allmänna ombudet framförallt syftar till att det ska drivas fram fler vägledande domar inom områden där bedömningsutrymmet i de enskilda fallen är stort liksom där besluten har påtagliga ekonomiska konsek- 59 venser för enskilda och det allmänna. Det allmänna ombudet agerar således i verksamhet som gäller förmåner som utgår direkt eller indirekt från SFB. Tillämpningsområdet för 114 kap.

58 Prop. 2003/04:152 s. 242 f. 59 Prop. 2016/17:1, utgiftsområde 10 s. 32. 66

SFB får därför anses omfatta det allmänna ombudets verksamhet. Att det allmänna ombudet utses av regeringen och har en självständig ställning i förhållande till både Försäkringskassan och Pensionsmyndigheten bör inte påverka bedömningen, eftersom tillämpningsområdet är kopplat till ombudets verksamhet.

Fondtorgsverksamheten inom Pensionsmyndigheten Pensionsmyndigheten behandlar personuppgifter inom ramen för myndighetens fondtorgsverksamhet. Den verksamheten innefattar arbetet med premiepensionssystemets fondtorg, daglig handel med och värdering av premiepensionens fonder, granskning av fondförvaltare och fonder inför tecknande av avtal samt granskning av att de fondbolag Pensionsmyndigheten har avtal med lever upp till regelverkets krav.

Vi ansluter oss till den bedömning som Utredningen om ett upphandlat fondtorg för premiepension gör i betänkandet Ett bättre premiepensionssystem avseende i vilken utsträckning den aktuella verksamheten ska anses omfattas av 114 kap. SFB. Bestämmelserna i 114 kap. SFB ska tillämpas på Pensionsmyndighetens behandling av personuppgifter i förhållande till pensionsspararna inom ramen för fondtorgsverksamheten eftersom sådan behandling kan anses ske inom ramen för verksamhet som gäller en förmån enligt SFB. Pensionsmyndighetens premiepensionsverksamhet i förhållande till fondförvaltarna bör dock inte anses utgöra verksamhet som gäller förmåner enligt SFB. Personuppgiftsbehandling som sker inom ramen för sådan verksamhet kan därför inte anses ske med stöd av bestämmelserna i 114 kap. SFB. För behandling av personuppgifter inom den verksamheten gäller därmed enbart bestämmelserna i 60 dataskyddsförordningen och dataskyddslagen.

7.1.2 Administrativ verksamhet Myndigheterna behandlar också personuppgifter i den interna administrationen vid hantering av exempelvis personal- och lokalfrågor och ekonomiadministration. Det kan handla om behandling av personuppgifter för allt från behörighetssystem, passersystem, löneutbetalning och flextid till köp av tjänster eller varor. Behandlingen av personuppgifter i den administrativa verksamheten har inte någon närmare koppling till de arbetsuppgifter som myndigheterna är ålagda att göra inom ramen för deras kärnverksamheter. Den behandling av personuppgifter som sker inom den administrativa verksamheten skiljer sig inte heller nämnvärt från den behandling som utförs av andra myndigheter eller enskilda företag och föranleder därför inte något behov av särreglering. Myndigheternas behandling av personuppgifter inom den administrativa verksamheten bör därför inte omfattas av kapitlets tillämpningsområde. I stället ska, förutom dataskyddsförordningen, dataskyddslagen tillämpas inom den verksamheten.

Uppgifter om de anställda inom kärnverksamheten Uppgifter om myndighetens personal förekommer inte enbart inom den personaladministrativa verksamheten utan även inom kärnverksamheten. I ärendehanteringen registreras bl.a. uppgifter om vem som har handlagt vilket ärende. Det finns uttalanden i förarbetena till 114 kap. SFB där bestämmelsernas tillämplighet i förhållande till uppgifter om myndighetens personal diskuteras. Det talas bl.a. om ”integrering av funktioner för administrativ uppföljning av verksamheten i system för ärendehantering” och konstateras att viss uppföljning av kärnverksamheten kan inkludera administrativa uppgifter om t.ex. vem som är ansvarig för ett visst ärende vid en viss tidpunkt eller om vem som faktiskt utfört handläggningen av ett ärende. En

60 Jfr. SOU 2019:44 s. 598. 67

sådan uppföljning anses kunna ske med stöd av kapitlets primära ändamål. 61 Även i motiven rörande kapitlets primära ändamål betonas behovet av uppföljningar som inkluderar uppgifter 62 om handläggarna. Uttalandena är dock otydliga och det framstår som oklart om avsikten är att sådan uppföljning ska ske med stöd av bestämmelserna i 114 kap. SFB och om den i så fall enbart kan ske med stöd av den regleringen.

Även i andra förarbeten resoneras kring administrativa uppgifter om personalen och förhållandet till registerlagstiftningens bestämmelser. I förarbetena till bl.a. lagen (2001:181) om behandling av personuppgifter inom beskattningsverksamheten konstateras att administrativa uppgifter kan behandlas i samma datasystem som de uppgifter som används gemensamt för den materiella verksamheten. Som exempel på rent administrativa uppgifter nämns uppgift om till vilken enhet inom en myndighet ett visst ärende hör, uppgift om vem som handlägger ett visst ärende eller uppgift om vilka specialkunskaper en handläggare har. Dessa administrativa uppgifter konstateras kunna behandlas tillsammans med andra uppgifter i en databas utan särskilt stöd i registerlagstiftningen, under förutsättning att behandlingen sker i enlighet med 63 ändamålen för databasen.

Det finns inget generellt krav i dataskyddslagstiftningen på att administrativa uppgifter måste behandlas för samma ändamål eller ens med stöd av samma registerlagstiftning som kärnverksamhetsrelaterade uppgifter, även om de behandlas i samma datasystem. I förarbeten till registerförfattningar är det vanligt med korta uttalanden med innebörden att administrativa uppgifter inte anses omfattas av registerförfattningens tillämpningsområde. I regel behandlas administrativa uppgifter också för delvis andra syften än personuppgifter som hör till kärnverksamheten. Det kan handla om att uppgifter registreras av arbetsledande skäl eller för möjlighet till uppföljning. Uppgifter registreras också av spårbarhets- och säkerhetsmässiga skäl. När uppgifter om anställda registreras av administrativa skäl, kan det ifrågasättas hur ändamålsenligt det är att koppla uppgifterna till registerlagstiftningens ändamål, som är anpassade utifrån myndigheternas kärnuppdrag. De skäl som finns för att i registerlagstiftning rama in möjligheterna att behandla personuppgifter i kärnverksamheten gäller inte heller för behandling av uppgifter om myndighetens personal.

Vi anser att nuvarande formuleringar i förarbetena till 114 kap. SFB inte bidrar med klargöranden, utan snarare skapar otydlighet i fråga om vilka bestämmelser som styr behandlingen av uppgifter om de anställda. Vår uppfattning är att behandling av uppgifter om anställda ska omfattas av registerlagstiftningens tillämpningsområde när personuppgifter behandlas för ändamål som är knutna till förmånsverksamheten – t.ex. när en anställd fattar ett beslut, gör en tjänsteanteckning eller skriver under ett brev. När personuppgifter behandlas av administrativa skäl, ska enbart dataskyddsförordningen och dataskyddslagen tillämpas. Uppföljning av uppgifter som är knutna till förmånsverksamheten får därmed bedömas utifrån registerlagstiftningens bestämmelser medan uppföljning som inkluderar personuppgifter av mer administrativ art ska prövas mot de krav och förutsättningar som gäller enligt dataskyddsförordningen och dataskyddslagen. Det innebär inte att uppföljningar som inkluderar såväl uppgifter som omfattas av registerlagstiftningens tillämpningsområde som uppgifter som behandlas med stöd av enbart dataskyddsförordningen och dataskyddslagen inte kan göras. Bedömningen av uppföljningen ska då, för respektive typ av uppgift, göras i förhållande till antingen ändamålen i 114 kap. SFB eller kraven på rättslig grund och ändamål

Prop. 2002/03:135 s. 44. 61 62 Prop. 2002/03:135 s. 65. 63 Prop. 2000/01:33 s. 103 f. 68

i dataskyddsförordningen. Det bör inte kunna medföra att uppföljningar som hade kunnat göras med stöd av 114 kap. SFB inte kan göras med stöd av dataskyddsförordningen, eftersom alla ändamål som anges i en registerlagstiftning – och därmed all behandling som sker med stöd av registerlagstiftningen – måste ha stöd i dataskyddsförordningen.

Internutredningar Inom Försäkringskassan och Pensionsmyndigheten finns en funktion som utreder interna överträdelser. Utredningarna kan avse allt från otillåtna sökningar i IT-systemen och jävsförhållanden till otillåten användning av arbetstiden.

Behandling av personuppgifter inom internutredningsverksamheten sker huvudsakligen inte med stöd av 114 kap. SFB. Loggning och uppföljning av loggar sker dock till följd av krav i 114 kap. SFB och den behandling av uppgifter från kärnverksamheten som den medför får anses ha stöd i ändamålet uppföljning i 114 kap. 7 § 5 SFB. Övrig behandling av personuppgifter från kärnverksamheten för internutredningsändamål får i de flesta fall anses vara förenlig med det ursprungliga ändamålet som oftast är handläggning. Internutredningar får annars ur dataskyddsperspektiv snarast anses utgöra en säkerhetsåtgärd, vars utförande är en administrativ och organisatorisk åtgärd, och eventuell behandling av personuppgifter sker därmed med stöd av dataskyddsförordningen och dataskyddslagen.

7.1.3 Utlämnanden av uppgifter med stöd av offentlighetsprincipen Bestämmelserna om utlämnande av allmän handling i 2 kap. TF gäller oavsett om det finns stöd för behandlingen i uppräknade ändamål i en registerförfattning (se artikel 86 i dataskyddsförordningen). Hanteringen när begärda handlingar ska tas fram och lämnas ut, t.ex. i vilken mån det är möjligt att söka fram och sammanställa personuppgifter, omfattas dock av registerförfattningens bestämmelser i den mån handlingarna hanteras inom kärnverksamheten och innehåller personuppgifter. Även eventuellt elektroniskt utlämnande av handlingar omfattas av registerförfattningens bestämmelser.

7.1.4 Andra uppdrag som inte anknyter till kärnuppdraget Det förekommer att myndigheter får uppdrag som inte anknyter till deras kärnverksamhet. Regeringen har t.ex. gett Försäkringskassan i uppdrag att erbjuda samordnad och säker IT-drift till andra myndigheter. Uppdraget medför behandling av andra myndigheters uppgifter, dock endast i egenskap av personuppgiftsbiträde. Sådan behandling bör inte omfattas av kapitlets tillämpningsområde eftersom den inte anknyter till Försäkringskassans och Pensionsmyndighetens kärnuppdrag. Det är dessutom den dataskyddslagstiftning den personuppgiftsansvarige har att tillämpa som huvudsakligen styr behandlingen av personuppgifter, även för biträdet. I situationer då Pensionsmyndigheten är personuppgiftsansvarig och Försäkringskassan är biträde – eller tvärtom – är 114 kap. SFB dock tillämpligt på behandlingen av personuppgifter i myndigheternas kärnverksamheter.

7.1.5 Automatiserad behandling och manuella register 114 kap. SFB innehåller bestämmelser som kompletterar dataskyddsförordningen och omfattar därför, precis som dataskyddsförordningen, endast helt eller delvis automatiserad behandling av personuppgifter och annan behandling om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet ansluter därmed till dataskyddsförordningens,

dataskyddslagens och flertalet andra registerförfattningars tillämpningsområde. Det saknas anledning att ange ett annat tillämpningsområde.

7.1.6 Uppgifter om avlidna personer Dataskyddsförordningen är inte tillämplig på uppgifter om avlidna personer. Medlemsstaterna är dock oförhindrade att låta nationell lagstiftning som kompletterar dataskyddsförordningen ha ett vidare eller snävare tillämpningsområde än dataskyddsförordningen. Att medlemsstaterna får fastställa bestämmelser för behandlingen av personuppgifter om avlidna personer framgår dessutom av skäl 27 till dataskyddsförordningen.

I förarbetena till 114 kap. SFB har regeringen bedömt att det finns anledning att låta vissa av bestämmelserna i kapitlet omfatta även uppgifter om avlidna personer. Det huvudsakliga argumentet för detta har varit den stora mängden uppgifter om avlidna som behandlas inom den aktuella verksamheten. 64 Även inom andra verksamheter behandlas stora mängder uppgifter om avlidna. I förarbetena till patientdatalagen (2008:355) har regeringen konstaterat att det i hälso- och sjukvårdens verksamhet förekommer en mängd uppgifter om avlidna patienter samt 65 att dessa uppgifter kan vara integritetskänsliga. Sådana uppgifter omfattas därför av patientdatalagens bestämmelser om behandling av personuppgifter i tillämpliga delar, t.ex. när det gäller för vilka ändamål uppgifter om avlidna får användas eller när det gäller vilken elektronisk åtkomst som får förekomma till uppgifter om avlidna. Tillämpningsområdet har även för vissa andra registerförfattningar utsträckts till att gälla behandling av uppgifter om avlidna 66 personer. Däremot omfattas avlidna personer inte av tillämpningsområdet för lagen (2001:454) om behandling av personuppgifter inom socialtjänsten. Eftersom Försäkringskassan hanterar stora mängder intyg från vården, finns det skäl att göra samma bedömning som regeringen har gjort i förhållande till patientuppgifter. Med hänsyn till de stora mängderna uppgifter som behandlas inom såväl Försäkringskassan som Pensionsmyndigheten framstår det också som praktiskt motiverat att låta samtliga uppgifter om personer omfattas av samma regler.

Bestämmelserna i 114 kap. SFB kompletterar dataskyddsförordningen och utgör ingen uttömmande reglering för behandling av personuppgifter. Om enbart bestämmelserna i kapitlet ska tillämpas på uppgifter om avlidna, kommer regleringen således inte bli heltäckande. Exempelvis kommer inte de grundläggande kraven i artikel 5 i dataskyddsförordningen och de allmänna kraven på säkerhet att gälla. För att samtliga uppgifter om personer, såväl levande som avlidna, ska omfattas av samma regelverk, krävs att även dataskyddsförordningen och dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen gäller för uppgifter om avlidna. Det finns, som konstaterats ovan, inget hinder mot nationell reglering av vad som ska gälla för uppgifter om avlidna. 67

Regleringen ska givetvis endast gälla för uppgifter om avlidna i tillämpliga delar. Bestämmelser som på något sätt kräver den registrerades agerande eller medverkan i övrigt är inte tillämpliga på avlidna personer. Någon möjlighet för efterlevande eller andra att överta rättigheter som tillkom den avlidne när denne var i livet finns inte heller. Det innebär exempelvis att bestämmelser om rätten till information, rätten till skadestånd och möjligheten att begära

64 Prop. 2002/03:135 s. 45. 65 Prop. 2007/08:126 s. 52. 66 Se t.ex. lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet och lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet. 67 Jfr. 1 kap. 7 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter. 70

rättelse av registrerades personuppgifter inte är tillämpliga i förhållande till avlidna. Däremot gäller bl.a. krav för behandling av uppgifter och de principer som följer av artikel 5 i dataskyddsförordningen.

Vi föreslår att vid behandling av uppgifter om avlidna ska 114 kap. SFB och föreskrifter som har meddelats i anslutning till kapitlet, dataskyddsförordningen, dataskyddslagen och föreskrifter som har meddelats i anslutning till den gälla i tillämpliga delar.

7.1.7 Begreppet socialförsäkringens administration Av 2 kap. 2 § SFB framgår att socialförsäkringen administreras av Försäkringskassan och Pensionsmyndigheten samt av Skatteverket. För 114 kap. SFB finns dock en egen definition av begreppet socialförsäkringens administration. Enligt 114 kap. 2 § SFB avses med socialförsäkringens administration i detta kapitel administration hos Försäkringskassan och Pensionsmyndigheten. Av förarbetena till 114 kap SFB framgår att dåvarande Riksförsäkringsverket tillsammans med de allmänna försäkringskassorna och dåvarande Premiepensionsmyndigheten – Försäkringskassans respektive Pensionsmyndighetens föregångare – tidigare tillsammans 68 kallades socialförsäkringens administration.

Vi strävar efter att tydliggöra lagstiftningen och föreslår inom ramen för nu aktuell översyn även vissa moderniseringar av språket i regelverket. För att undvika otydligheter i fråga om begreppet socialförsäkringens administration och för att inte felaktigt leda tanken till verksamhet av rent administrativ karaktär, som ju faller utanför lagens tillämpningsområde, bör begreppet socialförsäkringens administration tas bort ur 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration. Det kan konstateras att redan i samband med införandet av lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration påpekade Datainspektionen som en av remissinstanserna att uttrycket ”socialförsäkringens administration” snarare för tanken till sådan rent administrativ verksamhet som inte på något sätt omfattar sådan behandling av personuppgifter som avser 69 själva kärnverksamheten och som faller inom lagens tillämpningsområde.

För att tydliggöra vilken verksamhet som avses bör i förekommande fall hänvisningar med användning av begreppet socialförsäkringens administration i den aktuella regleringen ersättas av hänvisningar till den eller de myndigheters verksamhet som respektive bestämmelse i registerlagstiftningen avser, dvs. Försäkringskassans och/eller Pensionsmyndighetens verksamhet. Bestämmelserna är i övrigt naturligtvis endast tillämpliga inom ramen för kapitlets tillämpningsområde enligt 114 kap. 2 § SFB. Vad förslaget innebär för respektive bestämmelse behandlas i de avsnitt där de berörda bestämmelserna analyseras.

7.2 Rätten att invända mot behandling av personuppgifter

Bedömning: Bestämmelsen i 114 kap. SFB om att sådan behandling av personuppgifter som är tillåten enligt kapitlet får utföras även om den registrerade motsätter sig behandlingen bör behållas.

Av 114 kap. 3 § SFB framgår att sådan behandling av personuppgifter som är tillåten enligt 114 kap. SFB får utföras även om den registrerade motsätter sig behandlingen.

68 Prop. 2002/03:135 s. 14. 69 Prop. 2002/03:135 s. 39. 71

Den registrerade har enligt artikel 21 i dataskyddsförordningen rätt att invända mot behandling av personuppgifter när det rör sig om sådan behandling som bedömts nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den behandling som omfattas av tillämpningsområdet för 114 kap. SFB är företrädelsevis sådan behandling. Bestämmelsen i 114 kap. 3 § SFB utgör således en begränsning av rätten att göra invändningar mot behandling av personuppgifter i artikel 21 i dataskyddsförordningen. En sådan bestämmelse förutsätter att de villkor som anges i artikel 23 i dataskyddsförordningen är uppfyllda.

Regeringen har i samband med att 114 kap. SFB anpassades till dataskyddsförordningen bedömt att villkoren enligt artikel 23.1 i dataskyddsförordningen är uppfyllda. 70 Det saknas anledning att göra en annan bedömning nu. Regeringen har också konstaterat att sådana specifika bestämmelser som krävs enligt artikel 23.2 finns i 114 kap. SFB. Av artikel 23.2 framgår att lagstiftningsåtgärder som innebär begränsningar av rätten att invända ska innehålla specifika bestämmelser, när så är relevant, avseende ändamålen med behandlingen eller kategorierna av behandling, kategorierna av personuppgifter, omfattningen av de införda begränsningarna, skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den personuppgiftsansvarige eller kategorierna av personuppgiftsansvariga, lagringstiden samt tillämpliga skyddsåtgärder med beaktande av behandlingens art, omfattning och ändamål eller kategorierna av behandling, riskerna för de registrerades rättigheter och friheter, och de registrerades rätt att bli informerade om begränsningen, såvida detta inte kan inverka menligt på begränsningen. Vi bedömer att 114 kap. SFB även fortsättningsvis kommer att innehålla sådana bestämmelser, trots förslag till förändringar i vissa avseenden.

Försäkringskassan och Pensionsmyndigheten har behov av att i den utsträckning som anges i 114 kap. SFB kunna behandla personuppgifter oberoende av den registrerades inställning. Regeringen har också i samband med att 114 kap. SFB anpassades till dataskyddsförordningen bedömt att kapitlet även fortsättningsvis bör innehålla en begränsning av den registrerades rätt att invända mot behandling av personuppgifter som rör honom eller henne. Det är myndigheternas uppfattning att kapitlet alltjämt bör innehålla en sådan bestämmelse.

7.3 Lagen om den officiella statistiken

Bedömning: Upplysningsbestämmelsen i 114 kap. SFB om att lagen (2001:99) om den officiella statistiken och anslutande författningar gäller för behandling av personuppgifter inom ramen för den officiella statistiken bör behållas oförändrad.

Försäkringskassan och Pensionsmyndigheten är statistikansvariga myndigheter och ansvarar för s.k. officiell statistik. För sådan verksamhet finns särskilda bestämmelser om behandling av personuppgifter i lagen (2001:99) om den officiella statistiken och anslutande författningar. I 114 kap. 4 § SFB anges därför att det i fråga om behandling av personuppgifter inom ramen för den officiella statistiken finns särskilda bestämmelser i lagen om den officiella statistiken och i författningar som ansluter till den lagen. Bestämmelserna i 114 kap. SFB bör, i likhet med vad som hittills gällt, inte vara tillämpliga i fråga om sådan verksamhet.

Enligt 1 § tredje stycket lagen om den officiella statistiken gäller vissa bestämmelser om personuppgiftsbehandling även vid framställning av annan statistik än officiell statistik hos en statistikansvarig myndighet. Som skäl för detta anförde regeringen i förarbetena att det är

70 Prop. 2017/18:171 s. 188 f. 72

betydelsefullt för den enskilde att samma regler gäller inom samma verksamhetsområde. Det ansågs inte som lämpligt att regler för uppgifter om en enskild ska vara olika hos samma myndighet och inom samma verksamhetsområde, endast av det skälet att uppgifterna i det ena fallet ska användas för officiell statistik och i det andra för annan statistik. 71 Vid översynen av lagen om den officiella statistiken med anledning av dataskyddsförordningen fick denna övergripande bedömning fortsatt anses gälla. Regeringen konstaterade dock att det finns reglering i flera olika regelverk och att detta riskerar att leda till osäkerhet för såväl den enskilde som de personuppgiftsansvariga. Regelverken för officiell statistik och annan statistik hos statistikansvariga myndigheter bedömdes därför vara i behov av en översyn för att säkerställa att det inte förekommer omotiverade skillnader. Utgångspunkten bör vara att regleringen av statistikansvariga myndigheters framställning av statistik är densamma för officiell statistik och 72 annan statistik, om inte särskilda skäl talar för något annat.

Vi kan konstatera att avgränsningen mellan vad som är annan statistik enligt lagen om officiell statistik och vad som är sådan verksamhetsstatistik som ryms inom 114 kap. SFB kan medföra tolkningssvårigheter. Det är därför av vikt att en översyn av den frågan kommer till stånd. I avvaktan på en sådan översyn föreslår vi emellertid att befintlig upplysningsbestämmelse om att lagen om den officiella statistiken och anslutande författningar gäller för behandling av personuppgifter inom ramen för den officiella statistiken ska behållas oförändrad.

7.4 Socialförsäkringsdatabasen

Förslag: Bestämmelsen i 114 kap. SFB om socialförsäkringsdatabasens definition ska upphävas.

Vi har i avsnitt 6.5 bedömt att begreppet socialförsäkringsdatabasen bör tas bort ur 114 kap. SFB. Bestämmelsen i 114 kap. 5 § SFB, som definierar begreppet, bör därför upphävas.

7.5 Förhållandet till annan reglering

Bedömning: Bestämmelsen i 114 kap. SFB om förhållandet till annan reglering bör behållas oförändrad.

Inför att dataskyddsförordningen skulle börja tillämpas i maj 2018 gjordes en anpassning av de svenska registerförfattningarna. Vid anpassningen gjordes bedömningen att registerförfattningarna skulle innehålla en upplysning om att de kompletterar dataskyddsförordningen samt att det kan finnas tillämpliga bestämmelser i dataskyddslagen och föreskrifter som har 73 meddelats i anslutning till dataskyddslagen. Det saknas anledning att göra en annan bedömning nu.

7.6 Personuppgiftsansvar

Förslag: Försäkringskassan och Pensionsmyndigheten ska vara personuppgiftsansvarig för behandling av personuppgifter i respektive myndighets verksamhet.

Prop. 2000/01:27 s. 66 71 72 Prop. 2017/18:107 s. 35. 73 Prop. 2017/18:171 s. 71 f. 73

7.6.1 Definitionen av personuppgiftsansvarig Personuppgiftsansvar är ett centralt begrepp inom dataskyddslagstiftningen. Med personuppgiftsansvaret följer en rad skyldigheter, t.ex. att se till att personuppgiftsbehandlingen är laglig och att informera registrerade om behandlingen.

Av definitionen i artikel 4 i dataskyddsförordningen framgår att personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt, kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

Det är således tillåtet att i nationell lagstiftning peka ut vem som är personuppgiftsansvarig under förutsättning att den nationella lagstiftningen även reglerar ändamål och medel för behandlingen. När behandlingen grundar sig på ett allmänt intresse eller sker som ett led i myndighetsutövning, anges det dessutom i skäl 45 till dataskyddsförordningen att medlemsstaternas nationella rätt bör reglera frågan huruvida en personuppgiftsansvarig som utför en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning ska vara en offentlig myndighet eller någon annan fysisk eller juridisk person som omfattas av offentligrättslig lagstiftning eller, om detta motiveras av allmänintresset, vilket inbegriper hälso- och sjukvårdsändamål, såsom folkhälsa och socialt skydd och förvaltning av hälso- och sjukvårdstjänster, av civilrättslig lagstiftning, exempelvis en yrkesorganisation.

När personuppgiftsansvaret inte är reglerat, bestäms det utifrån de faktiska omständigheterna i det enskilda fallet. För bedömningen av vem som bestämmer över ändamålen är det enligt Datainspektionen avgörande bl.a. varför behandlingen utförts och vem som varit initiativtagare till behandlingen. Att bestämma över medlen för en behandling innebär enligt Datainspektionen främst att bestämma över de tekniska och organisatoriska medlen för behandlingen, dvs. hur behandlingen ska gå till, t.ex. vilka personuppgifter som ska behandlas, vilka tredje män som 74 ska få tillgång till de behandlade personuppgifterna och när uppgifter ska raderas.

Av praxis framgår att det inte är ett krav att en aktör vid varje givet tillfälle ska ha faktiska möjligheter att påverka hur personuppgifterna hanteras för att bli personuppgiftsansvarig. Högsta förvaltningsdomstolen har beträffande en sms-tjänst som tillhandahållits av Försäkringskassan konstaterat att skyldigheten att göra en risk- och sårbarhetsanalys omfattar även den delen av försändelsen som sker innan myndigheten har möjlighet att påverka behandlingen av personuppgifter. Högsta förvaltningsdomstolen ansåg att Försäkringskassan hade bestämt både ändamålen med behandlingen – att anmäla olika sjukfall – och medlen för behandlingen 75 – de kommunikationsvägar som hade anvisats för anmälningarna. Rättsfallet har ansetts ge uttryck för en helhetssyn på personuppgiftsansvaret. Den som inrättar metoder, för att för ett visst syfte behandla personuppgifter, får ett personuppgiftsansvar – åtminstone såvitt beträffar säkerhetsåtgärder – för hela kedjan av behandlingsåtgärder, även om också någon annan skulle 76 ha sådant ansvar för en del av åtgärderna.

74 Se Datainspektionens beslut 2010-07-02, dnr 686-2010. HFD 2012 ref. 21. 75 76 Öman, Personuppgiftsansvaret när tjänster tillhandahålls via nätverk , Blendow Lexnova Expertkommentar – Offentlig rätt, december 2012. 74

Olika avtalskonstruktioner där personuppgiftsansvaret preciseras kan beaktas i bedömningen av vem som är personuppgiftsansvarig. Även i sådana situationer där det finns ett avtal är det emellertid den som faktiskt har bestämt över personuppgiftsbehandlingen som är personuppgiftsansvarig – det går inte att avhända sig ett ansvar genom att avtala bort det. 77 Det finns exempel i praxis på att domstol, efter en bedömning av hur det faktiskt förhållit sig med bestämmanderätten över ändamål och medel, har bortsett från ett upprättat personuppgiftsbiträdesavtal. 78 Det är den som faktiskt – med eller utan rätt – har bestämt över behandlingen som är personuppgiftsansvarig.

7.6.2 Gemensamt personuppgiftsansvar Det följer redan av definitionen av begreppet personuppgiftsansvar i artikel 4 i dataskyddsförordningen att två eller flera kan vara gemensamt personuppgiftsansvariga – ”personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter”. Av dataskyddsförordningen följer inget krav på nationell reglering för att ett gemensamt personuppgiftsansvar ska kunna uppstå. Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de enligt artikel 26 i dataskyddsförordningen vara gemensamt personuppgiftsansvariga.

Ett samarbete mellan flera personuppgiftsansvariga medför inte automatiskt ett gemensamt ansvar för behandlingen av personuppgifter. Det avgörande är om de deltagande parterna i någon mån tillsammans bestämmer ändamålen med och medlen för behandlingen. I många fall då myndigheter samarbetar framgår det av de faktiska omständigheterna vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en myndighet som har tillgång till personuppgifterna eller IT-systemet, eller om myndigheterna agerar i olika skeden av en process. Det förhållandet att två myndigheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst till ett visst datasystem innebär inte heller per automatik att det uppstår ett gemensamt personuppgiftsansvar. I de allra flesta fall är den personuppgiftsbehandling som förekommer väl avgränsad och går att härleda till en viss myndighet. Ibland förekommer det dock att flera myndigheter är ansvariga för samma behandling, om samarbetet innebär att de deltagande myndigheterna tillsammans bestämmer exempelvis vilka uppgifter som ska samlas in, lagras eller tas bort. Gemensamt personuppgiftsansvar kan också de facto uppstå vid behandling av personuppgifter i en viss situation eller på ett visst sätt. 79

Artikel 29-gruppen har behandlat frågor om personuppgiftsansvarets räckvidd och fördelning mellan olika aktörer m.m. i en rapport från 2010. 80 När det gäller personuppgiftsansvarets fördelning i komplexa situationer med flera inblandade aktörer har gruppen intagit ett ganska flexibelt betraktelsesätt på frågan om personuppgiftsansvar är gemensamt eller uppdelat. I rapporten framhålls att registeransvaret är ett funktionellt begrepp som är avsett att lägga ansvaret där det faktiska inflytandet ligger. Det är de faktiska omständigheterna som ska vara avgörande vid bedömningen. I samarbeten mellan aktörer som delar ändamål och medel för personuppgiftsbehandlingen kan personuppgiftsansvaret vara gemensamt medan samarbeten i

77 Öman, Lindblom, Personuppgiftslagen – en kommentar , fjärde upplagan, s. 93. 78 Dom av Förvaltningsrätten i Stockholm, mål nr 9987-12. 79 Prop. 2018/19:163 s. 131. The European Data Protection Board (EDPB) arbetar för närvarande med att ta fram nya riktlinjer avseende 80 personuppgiftsansvarets fördelning (”Guidelines 07/2020 on the concepts of controller and processor in the GDPR”). 75

form av informationsutbyten mellan aktörer som behandlar personuppgifter för olika ändamål ofta kan ses som överföring av data mellan separata personuppgiftsansvariga. Vid gemensamma infrastrukturer där flera aktörer tillsammans bestämmer medlen för behandling av personuppgifter kan aktörerna vara gemensamt ansvariga för infrastrukturen även om de inte har samma ändamål för sina respektive personuppgiftsbehandlingar för vilka de är separat personuppgiftsansvariga. I rapporten nämns också andra exempel på fall där personuppgiftsansvaret vid olika samarbeten m.m. kan vara delvis gemensamt, delvis uppdelat. Vidare betonas att ansvaret mycket väl kan vara differentierat mellan aktörerna och att olika grader av kontroll kan ge upphov till olika grader av ansvar. Avtalsmässiga villkor och förhållanden mellan aktörerna kan vara användbara vid bedömningen av ansvarets förläggande eller fördelning, särskilt om det inte finns någon anledning att ifrågasätta att avtalet korrekt speglar verkligheten. I komplexa system kan enskilda registrerades rätt till information och andra rättigheter tillgodoses på olika nivåer av de olika aktörerna. Särskilt viktigt är dock enligt Artikel 29gruppen att efterlevnaden av dataskyddsbestämmelserna och ansvaret för eventuella brott mot bestämmelserna är tydligt fördelade i komplexa behandlingsmiljöer samt att inga situationer uppstår där skyldigheter och rättigheter inte följs av någon av aktörerna. Så länge som fullständig efterlevnad garanteras, bör de inblandade aktörerna ha utrymme till flexibilitet i fördelningen av skyldigheter och ansvar. Den enskilde registrerade måste dock i komplexa behandlingsmiljöer få utförlig information om de olika aktörerna och personuppgiftsbehandlingens olika moment samt om hur ansvaret för att tillgodose den enskildes rättigheter fördelas mellan aktörerna. 81

Regeringen har tidigare, i samband med att olika myndigheters samarbete setts över, konstaterat att det är i rättstillämpningen som frågan om personuppgiftsansvarets fördelning slutligen 82 avgörs.

7.6.3 En bestämmelse om personuppgiftsansvar Regeringen har i samband med att 114 kap. SFB anpassades till dataskyddsförordningen, mot bakgrund av dataskyddsförordningens reglering, bedömt att bestämmelser i registerförfatt- 83 ningar om vem som är personuppgiftsansvarig kan och bör behållas. I 114 kap. SFB fanns sedan tidigare en bestämmelse om personuppgiftsansvar, som därför behölls. Av 114 kap. 6 a § SFB framgår att en myndighet inom socialförsäkringens administration är personuppgiftsansvarig för den behandling av personuppgifter som den utför. Vi ser ingen anledning att göra någon annan bedömning nu beträffande behovet av en sådan bestämmelse än den regeringen relativt nyligen har gjort.

Försäkringskassan och Pensionsmyndigheten har en omfattande samverkan inom digital informationshantering. När Pensionsmyndigheten inrättades, övertog myndigheten viss verksamhet från Försäkringskassan. Försäkringskassan fortsatte dock att sköta driften av vissa ITsystem, vilket har lett till att de båda myndigheterna har en delvis gemensam IT-miljö. Försäkringskassan ansvarar för driften och förvaltningen av de IT-system som myndigheterna samnyttjar. Försäkringskassan tillhandahåller alltså en del av Pensionsmyndighetens ITsystem, även om arbete nu pågår med att separera myndigheternas IT-system från varandra. Frågan är om Försäkringskassans och Pensionsmyndighetens personuppgiftsansvar i förhållande till varandra av denna anledning bör regleras mer detaljerat.

Opinion 1/2010 in the concept of ”controller” and ”processor”, 00264/10/EN WP 169. 81 82 Se prop. 2017/18:36 s. 19. 83 Prop. 2017/18:171 s. 191. 76

Försäkringskassan och Pensionsmyndigheten behandlar många gånger samma uppgifter, men behandlingen kan skilja sig åt såtillvida att den ena myndigheten samlar in uppgifterna och den andra myndigheten behandlar uppgifterna för att exempelvis fastställa intjänande eller för att besluta om socialförsäkringsförmåner. Det uppstår i det sammanhanget praktiska tillämpningsproblem i förhållande till skyldigheter som ankommer på den personuppgiftsansvarige, såsom skyldigheten att rapportera personuppgiftsincidenter, och i förhållande till de rättigheter som tillkommer de registrerade. Frågor som blir mer eller mindre svåra att lösa är t.ex. vilken myndighet som ska rapportera en incident avseende en uppgift som behandlas av båda myndigheterna, eller om en behandling kan begränsas hos den ena myndigheten men inte den andra. Kanske finns det hos en myndighet skäl att begränsa behandlingen, men inte hos den andra.

Enligt artikel 26 i dataskyddsförordningen ska gemensamt personuppgiftsansvariga under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt förordningen, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av.

I förarbetena till 114 kap. SFB uttalades att en rimlig utgångspunkt för fördelningen av personuppgiftsansvaret bör vara att det är den myndighet som har faktisk möjlighet att påverka om och hur en behandling ska företas som bör vara personuppgiftsansvarig för den behandlingen. Vidare konstaterades att det inte är ändamålsenligt att i lag i detalj specificera vem som ska vara personuppgiftsansvarig för alla de olika typer av behandlingar som kan tänkas förekomma inom socialförsäkringens administration. Särskilt gäller detta de mer komplexa förhållanden som råder vid myndighetsgemensam användning av de stora register som ingår i socialförsäkringsdatabasen. Regeringen konstaterade att personuppgiftsansvaret i stället bör fördelas genom en regel av mer övergripande karaktär och utifrån en bestämmelse som tar sikte på vilken myndighet som utför en behandling av personuppgifter, samt att det också är den enskilda behandlingen 84 som ska utgöra grunden för fördelningen av personuppgiftsansvaret.

Ovan redovisade resonemang är enligt Försäkringskassans och Pensionsmyndigheten fortfarande relevant. Det är inte möjligt och ändamålsenligt att specificera alla nuvarande och eventuellt kommande behandlingar av personuppgifter inom myndigheternas kärnverksamheter. Som huvudregel bör därför även fortsättningsvis gälla att respektive myndighet är personuppgiftsansvarig för den behandling av personuppgifter som den utför. Eftersom myndigheterna även i egenskap av personuppgiftsbiträde utför behandling av personuppgifter, bör dock personuppgiftsansvaret inte kopplas till behandling som utförs, utan till behandling i 85 myndigheternas verksamhet. Med myndigheternas verksamhet avses den verksamhet som ryms inom tillämpningsområdet för 114 kap. SFB.

Det saknas skäl att i 114 kap. SFB införa någon bestämmelse om att personuppgiftsansvaret i vissa fall kan vara gemensamt för Försäkringskassan och Pensionsmyndigheten. Gemensamt ansvar för behandlingen av personuppgifter uppstår i de fall Försäkringskassan och Pensionsmyndigheten i någon mån tillsammans utför behandlingen. När den personuppgiftsansvarige anlitar någon annan som rent faktiskt utför behandlingen på uppdrag av den ansvarige, blir den utförande aktören biträde. När Försäkringskassan ansvarar för förvaltning och drift av

84 Prop. 2002/03:135 s. 52 f. 85 Jfr. formuleringen i 1 kap. 8 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter. 77

Pensionsmyndighetens IT-system, blir Försäkringskassan därför personuppgiftsbiträde åt 86 Pensionsmyndigheten som är personuppgiftsansvarig. I övrigt måste myndigheterna, i enlighet med vad dataskyddsförordningen föreskriver, i samverkan fastställa allmänna riktlinjer för var gränserna ska dras för respektive myndighets personuppgiftsansvar avseende behandlingar i den gemensamma IT-miljön. Eventuella gränsdragningsproblem får lösas utifrån de faktiska omständigheterna i det enskilda fallet.

Så som har konstaterats i avsnitt 7.1. bör begreppet socialförsäkringens administration tas bort ur 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration. Formuleringen ”En myndighet inom socialförsäkringens administration” i 114 kap. 6 a § SFB bör därför ersättas med ”Försäkringskassan och Pensionsmyndigheten”.

Vi föreslår således att bestämmelsen om personuppgiftsansvar behålls i sak men att den formuleras på så sätt att Försäkringskassan och Pensionsmyndigheten ska vara personuppgiftsansvarig för behandling av personuppgifter i respektive myndighets verksamhet.

7.7 Ändamål för behandling av personuppgifter

7.7.1 Reglering av ändamålsbestämmelser Personuppgifter ska enligt artikel 5.1 b i dataskyddsförordningen samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Av definitionen av begreppet personuppgiftsansvarig i artikel 4 i dataskyddsförordningen framgår att ändamålen och medlen för behandlingen ska bestämmas av den personuppgiftsansvarige. Det är också tillåtet att fastställa ändamål för behandling av personuppgifter i nationell rätt med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Enligt skäl 39 till dataskyddsförordningen bör de specifika ändamål som personuppgifterna behandlas för vara tydliga och legitima och ha bestämts vid den tidpunkt då personuppgifterna samlades in.

Ändamålsbestämningen är central vid behandling av personuppgifter. Exempelvis avgörs vilka personuppgifter som får behandlas utifrån fastställt ändamål – personuppgifter ska enligt artikel 5.1 c i dataskyddsförordningen vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Det register varje personuppgiftsansvarig ska föra över behandling som utförts under dess ansvar enligt artikel 30 i dataskyddsförordningen ska innehålla uppgift om ändamål med behandlingen. Samma sak gäller sådan information som ska lämnas till den registrerade enligt artikel 13–15 i dataskyddsförordningen. Även vid bedömning av rätt till rättelse, radering och begränsning av behandling enligt artikel 16–18 i dataskyddsförordningen görs avvägningar med beaktande av ändamålet med behandlingen. Behandlingens ändamål har också betydelse bl.a. för vad som är en lämplig säkerhetsnivå enligt artikel 32 i dataskyddsförordningen.

När en registerlagstiftning innehåller bestämmelser som begränsar tillämpningsområdet för förordningens skyldigheter och rättigheter ska författningen, i enlighet med artikel 23.2 a i dataskyddsförordningen, åtminstone när så är relevant innehålla specifika bestämmelser avseende ändamålen med behandlingen. Vi föreslår sådana begränsande bestämmelser i avsnitt 7.2 och 7.16.

86 Det måste finnas ett skriftligt avtal med visst innehåll om personuppgiftsbiträdets behandling av personuppgifter för den ansvariges räkning (artikel 28 i dataskyddsförordningen). 78

Regeringen har tidigare uttalat att ändamålsbestämmelser bidrar till att behandlingen av personuppgifter sker på ett korrekt, lagligt och öppet sätt (jfr artikel 5.1 a i dataskyddsförordningen). Att ta bort ändamålsbestämmelserna skulle enligt regeringens mening leda till otydlighet och oförutsebarhet och inte vara till nytta för vare sig myndigheterna eller de 87 registrerade personerna. Vi instämmer i denna bedömning. Ändamålsbestämmelserna fyller en viktig funktion i och med att de sätter ramar för behandlingen av personuppgifter, vilket begränsar den personuppgiftsansvariges handlingsfrihet samtidigt som de skapar tydlighet för tillämparen. De blir därför av central betydelse för skyddet av den enskildes personliga integritet.

Ändamålsbestämmelser kan utformas på olika sätt. De ramar som ändamålen anger kan vara mer eller mindre specifika. Myndigheters uppdrag ser olika ut, vilket också föranleder behov av behandling för olika ändamål. Även med beaktande av att myndigheternas uppdrag och verksamheter skiljer sig, finns dock ingen tydlig struktur för hur ändamålen i registerförfattningar utformas. I vissa författningar ger ändamålsbestämmelserna utrymme för en vid tolkning medan andra detaljerat räknar upp för vilka specifika ändamål personuppgifter får behandlas. Domstolarna får t.ex. med stöd av 6 § domstolsdatalagen (2015:728) enbart behandla personuppgifter om det behövs för handläggning av mål och ärenden. Ändamålet ska enligt förarbetena dock inte tolkas alltför snävt utan kunna omfatta sökning efter tidigare avgöranden och hantering av sådana avgöranden i syfte att underlätta praxisdiskussioner, domskrivningsarbete eller annat kompetensutvecklingsarbete. Även hantering av inkomna handlingar som 88 egentligen inte är relevanta för ett visst mål eller ärende ska rymmas inom ändamålet. Detta kan jämföras med ändamålsuppräkningen i 4 § studiestödsdatalagen (2009:287) som anger att handlägga ärenden är ett ändamål medan administration av respektive förberedelse av handläggningen är två andra ändamål. CSN får därutöver behandla personuppgifter för flera andra specificerade ändamål. Även Skatteverket måste förhålla sig till en detaljerad uppräkning i sin ändamålsbestämmelse i 1 kap. 4 § lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet. Ändamålsbestämmelsen i 4 § lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten påminner till stor del om den ändamålsuppräkning som finns i 114 kap. 7 § SFB.

I brottsdatalagen (2018:1177) och ett flertal registerförfattningar som uteslutande reglerar personuppgiftsbehandling inom brottsdatalagens tillämpningsområde görs en tydligare åtskillnad mellan bestämmelser om rättslig grund och ändamål. Några motsvarande ändringar har dock inte föreslagits i sådana registerförfattningar som anpassats till dataskyddsförordningen. 89 Att införa bestämmelser av det slag som föreslagits på dataskyddsdirektivets område i en registerförfattning som kompletterar dataskyddsförordningen skulle alltså innebära ett avsteg från den systematik som för närvarande gäller inom dataskyddsförordningens område. Regeringen har därför i tidigare lagstiftningsarbeten valt att behålla systemet med primära och 90 sekundära ändamålsbestämmelser.

87 Prop. 2017/18:112 s. 53. 88 Prop. 2014/15:148 s. 39 f. 89 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (dataskyddsdirektivet). 90 Prop. 2018/19:65 s. 76 f. 79

Det finns dock registerlagstiftning även inom dataskyddsförordningens tillämpningsområde som har en bredare och mindre detaljerad ändamålsbestämmelse. Enligt 2 kap. 1 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter får Rättsmedicinalverket behandla personuppgifter om det är nödvändigt för att myndigheten ska kunna utföra sina uppgifter i den rättspsykiatriska, rättskemiska, rättsmedicinska eller rättsgenetiska verksamheten. Utformningen av ändamålsbestämmelsen anges i förarbetena utgöra en lämplig avgränsning som beaktar både verksamhetens behov av att behandla personuppgifter och skyddet för enskildas personliga integritet. Regeringen konstaterar dock att för att leva upp till dataskyddsförordningens krav på särskilda, uttryckligt angivna och berättigade ändamål kommer Rättsmedicinalverket normalt också att behöva formulera mer preciserade ändamål för de specifika behandlingar av personuppgifter som sker i myndighetens verksamhet. 91

De primära ändamål, för vilka Försäkringskassan och Pensionsmyndigheten i dagsläget får behandla personuppgifter internt, framgår av 114 kap. 7 § SFB. Myndigheterna får i sin verksamhet behandla personuppgifter om det är nödvändigt för att 1. återsöka vägledande avgöranden, 2. tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersättningar som avses i 2 § ska kunna bedömas eller fastställas, 3. informera om sådana förmåner och ersättningar som avses i 2 §, 4. handlägga ärenden, 5. planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet, eller 6. framställa statistik i fråga om verksamhet enligt 4 och 5.

Ändamålen har enligt förarbetena angetts så precist som det har ansetts möjligt att göra med hänsyn till att socialförsäkringen är en kontinuerligt föränderlig verksamhet och att en detaljerad ändamålsbeskrivning som omfattar alla typer av behandlingar av personuppgifter med 92 nödvändighet skulle bli mycket svåröverskådlig. Befintlig ändamålsbestämmelse innehåller således en detaljerad uppräkning av ändamål.

Vi ser både fördelar och nackdelar med en detaljerad respektive bredare ändamålsbestämmelse. En detaljerad uppräkning av de ändamål för vilka myndigheten får behandla personuppgifter är tydligare och mer förutsebar för såväl tillämpare som den registrerade. Vid behov kan personuppgifter behandlas för en kombination av flera ändamål. Vida ändamål förutsätter att myndigheten anger specifika ändamål för varje enskild behandling, vilket i sig medför en mer omständlig rättstillämpning. Å andra sidan ger en vid ändamålsbestämmelse ett större utrymme att behandla personuppgifter för de ändamål som myndighetens uppdrag förutsätter. En ökad flexibiliteten i ändamålsutformningen ger verksamheten förutsättningar att hålla jämna steg med samhällsutvecklingen. Det finns således goda skäl för båda modellerna. Med hänsyn till den snabba digitala utvecklingen och svårigheten att förutsäga myndigheternas framtida behov av personuppgiftsbehandling, förordar dock Försäkringskassan och Pensionsmyndigheten den bredare formen av ändamålsbestämmelse, som får kompletteras med specificerade ändamål som fastställs av myndigheterna själva inför varje enskild behandling. Eftersom många registerförfattningars ändamålsbestämmelser fortfarande innehåller detaljerat uppräknade ändamål, lämnar vi dock förslag till två alternativa ändamålsbestämmelser – en detaljerad och

91 Prop. 2019/20:106 s. 39. 92 Prop. 2002/03:135 s. 58. 80

en bredare. Det förslag som är mest förenligt med regeringens generella inriktning i fråga om utformningen av registerförfattningar bör läggas till grund för ny lagstiftning.

I många registerförfattningar delas ändamålen in i primära respektive sekundära ändamål. Bestämmelser om primära ändamål reglerar behandling som behövs i den berörda myndighetens egen verksamhet medan sekundära ändamål bl.a. reglerar i vilken utsträckning uppgifter som behandlas för något av de primära ändamålen får vidarebehandlas för att lämnas ut till enskilda eller till andra myndigheter. Syftet med uppdelningen i primära och sekundära ändamål är att göra det tydligt hur personuppgifter dels får användas i myndighetens egen verksamhet, dels får behandlas för att lämnas ut till andra. Systematiken används i 114 kap. SFB och vi anser att den bör användas även fortsättningsvis.

Av 114 kap. 7 § SFB framgår att Försäkringskassan och Pensionsmyndigheten i sin verksamhet får behandla personuppgifter för olika ändamål. Vilken verksamhet ändamålsbestämmelsen tar sikte på framgår av tillämpningsområdet enligt 114 kap. 2 § SFB. Något förtydligande av vilken verksamhet som avses är således inte nödvändig.

Vi har i avsnitt 6.4 bedömt att det finns en tillämplig rättslig grund enligt artikel 6 i dataskyddsförordningen för samtlig behandling av personuppgifter som sker till följd av den verksamhet som Försäkringskassan och Pensionsmyndigheten bedriver inom ramen för sina befogenheter. Myndigheterna får behandla personuppgifter när det är nödvändigt för att effektivt utföra de uppdrag som framgår av myndigheternas instruktioner, regleringsbrev, specifika regeringsuppdrag, myndighetsförordningen och verksamhetsspecifika lagstiftningar (t.ex. SFB) samt när det är nödvändigt för att fatta beslut som påverkar enskilda.

7.7.2 Primära ändamål – alternativ 1 Förslag: Försäkringskassan och Pensionsmyndigheten ska få behandla personuppgifter om det är nödvändigt för att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, informera om förmåner och ersättningar, vidta kontroll- och analysåtgärder, vidta utvecklingsåtgärder, framställa statistik och planera, styra, följa upp, redovisa och utvärdera verksamheten. Tidigare ändamål som avser återsökning av vägledande avgöranden ska tas bort.

Handlägga ärenden Handläggning av ärenden om förmåner och ersättningar är den centrala delen av Försäkringskassans och Pensionsmyndighetens kärnverksamheter. Inom handläggningen behandlas stora mängder personuppgifter, vilket är en förutsättning för att myndigheterna ska kunna fullgöra sina uppgifter. Myndigheterna måste därför även fortsättningsvis kunna behandla personuppgifter för ändamålet att handlägga ärenden.

I förvaltningslagen innefattar uttrycket handläggning av ärenden alla åtgärder som en myndighet vidtar från det att ett ärende inleds till dess att det avslutas. 93 Uttrycket ärende definieras inte i förvaltningslagen men enligt förarbetena avslutas ett ärende regelmässigt genom ett uttalande från myndighetens sida som är avsett att få faktiska verkningar för en mottagare i det

93 Prop. 2016/17:180 s. 286. 81

enskilda fallet, dvs. ett beslut. Regeringen har i förarbetena till dataskyddslagen uttalat att uttrycket handläggningen av ett ärende (3 kap. 3 § 2 dataskyddslagen) ska tolkas på samma sätt 94 som enligt förvaltningslagen.

Vi anser att begreppet handläggning bör kunna tolkas bredare än förvaltningslagens definition och innefatta alla moment som kan bli aktuella vid handläggningen av ett ärende, dvs. inte bara åtgärder som direkt syftar till att kunna fatta beslut i ett ärende utan samtliga åtgärder i ärendet. Regeringen har i förarbetena till domstolsdatalagen (2015:728) ansett att ett ändamål som avser handläggning av mål och ärenden inte ska tolkas alltför snävt; bedömningen av om en viss behandling är nödvändig ska göras i förhållande till mål- och ärendehandläggningen i stort och inte i förhållande till handläggningen av ett specifikt mål eller ärende. 95 Vi menar, i linje med regeringens resonemang att ändamålet att handlägga ärenden bör omfatta t.ex. behandling av personuppgifter i samband med mottagande och inhämtande av handlingar och uppgifter, eventuell diarieföring och registrering, beredning av ärenden, utredande åtgärder, kommunicering, kommunikation med andra tjänstemän inom samma myndighet med anledning av ärendet, praxishantering, upprättande och meddelande av beslut samt verkställande av beslutet och utbetalning av förmån eller ersättning. Även sådan behandling av personuppgifter som sker efter att ärendet avslutats bör kunna anses ske för ändamålet att handlägga ärenden, om de åtgärder som vidtas anknyter till ärendet. Det kan handla om t.ex. impulser, indexomräkningar, uppräkningar och avräkningar. En omprövning, ett överklagande, återkrav och liknande hanteras i nya ärenden men innan nya ärenden inleds – och efter att det föregående ärendet har avslutats – kan åtgärder vidtas som syftar till att bedöma om huruvida ett sådant nytt ärende ska inledas. Enbart genom att uppgifter sparas sker dessutom en behandling. Sådana personuppgifter som omfattas av gallringsbestämmelsen i 114 kap. 31 § SFB sparas under ett antal år innan de gallras. Den behandling som sker genom att uppgifterna sparas fram till dess att de gallras, måste anses ske för ändamålet handläggning av ärenden. Gallringstider bestäms bl.a. utifrån preskriptionstider för fordringar. Se närmare om gallring i avsnitt 7.17. 96

Personuppgifter som samlats in för ett visst ärende kan i vissa fall också behöva behandlas i ett annat ärende som rör samma person eller i ett ärende som rör en annan person men där den registrerade förekommer som t.ex. anhörig. Ibland kommer det in handlingar till myndigheterna som saknar betydelse för handläggningen. Ändamålet handläggning av ärenden bör ge utrymme att behandla personuppgifter i inkomna handlingar utan att det i det enskilda fallet sker någon bedömning av hur relevant uppgiften är för ett visst mål eller ärende. 97

Ändamålet handläggning av ärenden är tillämpligt i olika typer av ärenden. Framför allt aktualiseras det naturligtvis vid prövning av rätt till förmåner eller ersättningar men det ska också tillämpas vid t.ex. omprövning, processföring i domstol, skadeståndsärenden, registervårdsärenden och handläggning av remisser från JO, JK och DO om ärendena behandlar frågor som rör sådan behandling av personuppgifter som omfattas av tillämpningsområdet för 114 kap. SFB. Handläggning av kontrollutredningsärenden som rör förmåner och ersättningar omfattas, till skillnad mot kontrollåtgärder som vidtas utanför ärenderamen (se nedan), av ändamålet handläggning av ärenden.

94 Prop. 2017/18:105 s. 194. 95 Prop. 2014/15:148 s. 39 f. 96 Personuppgifter som är undantagna från gallring kommer så småningom att behandlas för arkivändamål av allmänt intresse i enlighet med dataskyddsförordningen. Det åligger myndigheterna att ta ställning till när så sker. 97 Jfr prop. 2014/15:148 s. 40. 82

Vi bedömer att nuvarande ändamål avseende handläggning av ärenden bör behållas.

Tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas Även om en stor del av behandlingen av personuppgifter sker inom ramen för ändamålet att handlägga ärenden, är det också ofta nödvändigt att företa behandlingar av personuppgifter utan att uppgifterna hör till ett ärende. Det inkommer uppgifter, t.ex. läkarintyg från vården och uppgifter om sjuklön från arbetsgivare, utan att den försäkrade först gjort en ansökan om ersättning. Myndigheter lämnar uppgifter till följd av uppgiftsskyldigheter och Försäkringskassan och Pensionsmyndigheten behöver ha tillgång till uppdaterade folkbokföringsuppgifter och andra adressuppgifter för en effektiv administration. Vissa ärenden – för Försäkringskassans del t.ex. barnbidrag – ska initieras av myndigheten själv som då utgår från inhämtade folkbokföringsuppgifter. Ålderspensionssystemet förutsätter registrering av uppgifter om inkomster, familjeförhållanden m.m. under mycket lång tid och i vissa fall under en individs hela vuxna liv. Den övervägande delen av dessa uppgifter kan vidare i händelse av dödsfall komma att behövas vid fastställande av efterlevandeförmåner till andra än den registrerade själv.

Vi bedömer att det även fortsättningsvis finns behov av ett ändamål som avser sådan behandling av personuppgifter som, utanför ärenderamen, sker i syfte att tillgodose behovet av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas.

Informera om förmåner och ersättningar Såväl Försäkringskassan som Pensionsmyndigheten har i uppdrag att informera om socialför- 98 säkringen och dess förmåner och ersättningar. Även sådan verksamhet förutsätter behandling av personuppgifter, i första hand uppgifter om namn och adresser. Det kan dock även vara aktuellt att genom olika kriterier göra urval av mottagare av informationen, vilket förutsätter fler uppgifter än enbart kontaktuppgifter. Information kan skickas ut inom ramen för ett ärende, vilket då sker med stöd av ändamålet som avser handläggning av ärenden, men ofta kan det vara fråga om mer allmänt riktad information. Försäkringskassan skickar t.ex. information till blivande föräldrar om föräldrapenning och information om regelförändringar m.m. till personer som kan tänkas bli berörda. Pensionsmyndigheten skickar årligen individrelaterad information om pensionssystemet. Pensionsmyndigheten sammanställer även gemensam pensionsinformation och gör prognoser för den allmänna pensionen i samverkan med minPension 99 .

Vi bedömer att ändamålet som avser att informera om förmåner och ersättningar bör behållas.

Kontroll- och analysåtgärder Både Försäkringskassan och Pensionsmyndigheten har i uppdrag att säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott. 100 Inom myndigheterna utförs därför förebyggande och upptäckande åtgärder i syfte att minska risken för felaktiga försäkringsbeslut och

98 2 § 1 förordningen (2009:1174) med instruktion för Försäkringskassan och 2 § 1 förordningen (2009:1173) med instruktion för Pensionsmyndigheten. minPension ägs av Min Pension i Sverige AB. 99 100 2 § 3 förordningen (2009:1174) med instruktion för Försäkringskassan och 2 § 5 förordningen (2009:1173) med instruktion för Pensionsmyndigheten. 83

utbetalningar. Åtgärderna vidtas både inom ramen för handläggningen av ärenden och inför och efter handläggning.

När personuppgifter behandlas för olika kontrolländamål inom ramen för handläggning av ärenden, kan behandlingen i de flesta fall ske med stöd av handläggningsändamålet. Detta gäller under såväl ordinarie handläggning som i s.k. kontrollutredningsärenden. Kontrollarbete kan dock även ske utanför ärendehandläggningen, bl.a. i form av analyser och uppbyggnad av s.k. urvalsprofiler. Med urvalsprofil menas matematiska eller logiska villkor och samband som kan ringa in personer eller ärenden som är relevanta ur ett visst perspektiv. Med hjälp av avancerad analysprogramvara kan man söka efter korrelationer, mönster och samband i den information som finns lagrad om personerna och deras ärenden. Profileringsmodeller utnyttjar alltså statistiska metoder för att bedöma olika sorters risk.

Det arbete som utförs när en urvalsprofil tas fram kan medföra behandling av personuppgifter. Olika datamängder behöver analyseras och utvärderas. Modeller för urval kan också behöva utvecklas och tränas. När urvalsprofilen sedan används och ett urval görs, behandlas också personuppgifter. Urvalet görs ofta efter att ett ärende avslutats och innan ett kontrollutredningsärende inleds. Arbetet med urvalsprofiler och urval kan därför inte ske enbart med stöd av ett handläggningsändamål.

Försäkringskassan har arbetat med urvalsprofilering under det senaste decenniet. Det har omnämnts i Försäkringskassans årsredovisningar sedan åtminstone år 2014 och i årsredovisningen för 2016 beskrevs arbetet mer utförligt under rubriken Riskbaserade kontroller genom dataanalys. I flera svar på regeringsuppdrag har Försäkringskassan också redogjort för 101 arbetet med urvalsprofiler , vilket innebär att regeringen har en god kännedom om arbetet. Regeringen har i lagförarbeten också förespråkat arbete med urvalsprofilering. I förarbetena till lagen (2008:145) om statligt tandvårdsstöd konstaterades att kontrollinsatser bör kunna ske i form av systematisk bearbetning av elektroniska data, s.k. datamining, där uppgifter som lämnas i samband med behandling och som av någon anledning avviker från vad som kan anses normalt eller av andra skäl bör uppmärksammas, kontrolleras särskilt. Kontroller ansågs vidare kunna genomföras utifrån särskilda kontrollprogram, där utpekade åtgärder eller åtgärdsgrupper granskas särskilt under en viss kontrollperiod. Riktade kontroller ansågs kunna göras i högre utsträckning av vårdgivare som tidigare uppgett felaktiga uppgifter eller försökt få statlig ersättning på felaktiga grunder. 102 Resonemang om den personuppgiftsbehandling kontrollinsatserna medför saknas dock. Eftersom det statliga tandvårdsstödet är en sådan förmån som enligt lag handläggs av Försäkringskassan, omfattas behandlingen av personuppgifter av tillämpningsområdet för 114 kap. SFB. Detta innebär att behandlingen måste ha stöd i kapitlets ändamålsbestämmelser.

Ändamålet kontroll finns uttryckligen angivet i ett flertal andra registerförfattningar. Enligt 1 kap. 4 § 4 lagen (2001:181) om behandling av uppgifter inom Skatteverkets beskattningsverksamhet får uppgifter behandlas för att tillhandahålla information som behövs hos Skatteverket för revision och annan analys- eller kontrollverksamhet. Tullverket får enligt 4 § 2 lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet behandla personuppgifter för

101 Särskild redovisning av arbetet med att säkerställa att felaktiga utbetalningar inte görs och att motverka bidragsbrott , dnr 003421-2014 (Försäkringskassan), Särskild redovisning av felaktiga utbetalningar, dnr 005742- 2015 (Försäkringskassan), Särskild redovisning av kvaliteten i handläggningen, dnr. 005733-2015 (Försäkringskassan). 102 Prop. 2007/08:49 s. 98. 84

bl.a. övervakning, revision och annan analys- eller kontrollverksamhet. Även Kronofogdemyndigheten, som behandlar personuppgifter i fyra olika databaser – utsöknings- och indrivningsdatabasen, betalningsföreläggande- och handräckningsdatabasen, skuldsaneringsdatabasen och konkurstillsynsdatabasen – får i respektive databas behandla personuppgifter för kontrolländamål. Detta framgår av 2 kap. 2, 8, 14 och 20 §§ lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet. Samtliga dessa registerförfattningar kompletterar dataskyddsförordningen och gäller alltså inte vid brottsutredande verksamhet.

Det finns ett behov av att det i 114 kap. SFB tydligt framgår att det är tillåtet att behandla personuppgifter i syfte att utföra sådana kontroller och därmed sammanhängande analyser som är en följd av Försäkringskassans och Pensionsmyndighetens uppdrag. Tydligheten underlättar för myndigheterna, som då de inte behöver söka stöd för verksamheten tolkningsvägen, och skapar dessutom en tydlighet för enskilda. Det kan annars framstå som oklart för enskilda att deras personuppgifter kan komma att behandlas för kontrolländamål. Även med ett kontrolländamål gäller dock naturligtvis att de grundläggande kraven enligt artikel 5 i dataskyddsförordningen ska vara uppfyllda. Det innebär bl.a. att personuppgifter endast får behandlas om de är relevanta, adekvata och inte för omfattande i förhållande till den analys eller kontroll som ska göras. Ett kontroll- och analysändamål innebär därmed inte att personuppgifter obegränsat kan behandlas för ändamålet.

Vi föreslår att personuppgifter ska få behandlas för kontrollåtgärder och därmed sammanhängande analysåtgärder inom ramen för tillämpningsområdet för 114 kap. SFB.

Utvecklingsåtgärder Försäkringskassan och Pensionsmyndigheten bedriver IT-utveckling både på eget initiativ och med anledning av olika uppdrag. Arbetet innebär såväl att säkerställa och förbättra befintliga lösningar som att ta fram nya lösningar och ny funktionalitet. Förväntningar på att myndigheterna ska driva digitaliseringen och skapa tillgängliga och effektiva lösningar medför ett kontinuerligt arbete med både system- och metodutveckling.

Vid förvaltning, utveckling och underhåll av myndigheternas IT-system krävs testning. Även metodutveckling kräver ofta testning av hypoteser och förändringsförslag. Om IT-systemet eller metoden inkluderar behandling av personuppgifter, kan testningen ofta göras med hjälp av avidentifierade uppgifter som saknar koppling till individer. Sådana uppgifter är inte personuppgifter och omfattas därmed inte av dataskyddslagstiftningen krav. Inför produktionssättning kan det dock krävas skarpa tester med personuppgifter i syfte att undvika bakslag i produktionshänseende när de nyutvecklade lösningarna tas i bruk.

Tester med personuppgifter kan således vara en förutsättning för att personuppgifter ska behandlas på ett korrekt sätt i produktion. Att behandlingen blir korrekt i produktion är naturligtvis mycket viktigt, eftersom det kan vara en förutsättning för att myndigheten ska kunna fatta korrekta beslut. När det med hänsyn till bl.a. testernas komplexitet är nödvändigt att behandla personuppgifter i testmiljö för att uppnå ett korrekt resultat i produktion, har Datainspektionen tidigare ansett att en sådan behandling kan anses vara i överensstämmelse med de grundläggande kraven i dåvarande 9 § personuppgiftslagen. Datainspektionen har också ansett

att testning inte bör ses som oförenlig med de ändamål som finns uppräknade i nuvarande 103 114 kap. 7 § SFB.

Av artikel 32.1 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken. En sådan åtgärd ska, när det är lämpligt, vara ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Redan inom ramen för dataskyddsförordningens reglering ställs alltså krav på åtgärder som avser IT-utveckling. Behandlingen av personuppgifter har då ett säkerhetsadministrativt ändamål. Utveckling av ett IT-system eller en metod kan i linje med detta till viss del anses utgöra en administrativ verksamhet som inte faller inom tillämpningsområdet för 114 kap. SFB. Själva utvecklingsprocessen ligger delvis vid sidan av förmånsverksamheten. Regeringen har i förarbetena till de ändringar i studiestödsdatalagen (2009:287) som trädde i kraft i juli 2020, konstaterat att när en myndighet, genom utförande av testverksamhet, säkerställer att den har väl fungerande IT-system för att i förlängningen kunna fullgöra de åligganden som vilar på myndigheten i dess verksamhet, kan detta röra sig om en administrativ åtgärd. 104 IT-utveckling handlar dock inte enbart om att säkerställa att myndigheten har väl fungerande IT-system. Det kan handla om en mer innovativ utveckling – att undersöka möjligheterna att använda en ny teknologi, att utveckla nya arbetsmetoder och att skapa nya lösningar. Sådan utveckling måste naturligtvis vara knuten till myndigheternas uppdrag och även vara förenlig med de grundläggande kraven i artikel 5, men även med dessa krav som utgångspunkt bör utvecklingsinsatserna innebära ett visst mått av nytänkande. När myndigheternas IT-utveckling gör anspråk på att handla om mer än enbart underhåll av befintliga lösningar och förutsätter behandling av sådana personuppgifter som lämnats till myndigheterna i syfte att användas för handläggning av socialförsäkringsärenden, får behandlingen anses falla inom kapitlets tillämpningsområde. Behandlingen av personuppgifter måste då ha stöd i kapitlets ändamålsbestämmelser. Visserligen har metod- och ITutveckling samt testning sådant samband med den ordinarie kärnverksamheten, att sådan verksamhet ofta kan utföras med stöd av finalitetsprincipen (se avsnitt 7.7.5) och därför inte behöver regleras i en särskild ändamålsbestämmelse. Mot bakgrund av det omfattande utvecklingsarbete som pågår och förväntas pågå framöver, bedömer vi dock att 114 kap. SFB bör innehålla ett självständigt ändamål som avser utvecklingsåtgärder.

Vi föreslår att personuppgifter ska få behandlas för utvecklingsåtgärder inom ramen för tillämpningsområdet för 114 kap. SFB.

Framställa statistik Försäkringskassan och Pensionsmyndigheten är enligt förordningen om den officiella statistiken ansvariga för den del av den officiella statistiken som avser socialförsäkringen. De behandlingar av personuppgifter som föranleds av uppdraget att ansvara för den officiella statistiken omfattas emellertid inte av tillämpningsområdet för 114 kap. SFB (se avsnitt 7.3). Även framställning av viss annan statistik faller utanför ramen för 114 kap. SFB. Som konstaterats i avsnitt 7.3 föreligger dock vissa oklarheter avseende vad som ska anses utgöra sådan annan statistik. Dessa oklarheter är inte unika för socialförsäkringsområdet och kan därför inte lösas inom ramen för denna översyn av 114 kap. SFB.

Datainspektionens svar på Försäkringskassans begäran om synpunkter rörande testdata, Datainspektionens dnr 103 460-2010. 104 Prop. 2019/20:113 s. 19 f. 86

Försäkringskassan och Pensionsmyndigheten tar fram statistik internt – bl.a. för verksamhetsuppföljning och planering – och med anledning av externa beställningar. Även för att kunna utföra sina uppdrag att följa, analysera och förmedla pensions- och det övriga socialförsäkringssystemets utveckling och effekter för enskilda och samhälle 105 , krävs att myndigheterna tar fram statistik. Till viss del kan statistikframställningen rymmas inom ramen för föreslagna planerings- och utvärderingsändamål (se nedan). Statistik framställs dock inte enbart med hänsyn till interna behov utan publiceras också på Försäkringskassans och Pensionsmyndighetens webbsidor och tas fram med anledning av beställningar från forskare och utredningar. Det är därför lämpligt att framställning av statistik även tills vidare anges som ett särskilt ändamål i 114 kap. SFB. Härigenom klargörs att personuppgifter får behandlas för förmånsrelaterade statistikändamål oavsett om det handlar om att tillgodose den egna myndighetens behov eller om att framställa statistik för externa behov.

Det är viktigt att myndigheterna kan ta fram verksamhetsstatistik beträffande all den verksamhet som bedrivs enligt de fastställda ändamålen. Vi bedömer därför att framställning av statistik även fortsättningsvis bör anges som ett särskilt primärt ändamål i 114 kap. SFB.

Planera, styra, följa upp, redovisa och utvärdera verksamheten Försäkringskassan och Pensionsmyndigheten har sedan tidigare möjlighet att behandla personuppgifter om det är nödvändigt för att planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet. Sådan verksamhet bedrivs i viss omfattning på alla myndigheter, men för Försäkringskassan och Pensionsmyndigheten bottnar verksamheten bl.a. i uppdrag att följa, analysera och förmedla socialförsäkringssystemets och ålderspensionssystemets utveckling och effekter för enskilda och samhälle. Verksamheten är omfattande och medför behandling av stora mängder personuppgifter; på Försäkringskassan sker behandlingen främst inom Avdelningen för analys och prognos och på Pensionsmyndigheten främst inom verksamhetsstatistikenheten på Analysavdelningen.

Lagrådet har i ett lagstiftningsärende om behandling av personuppgifter i Tullverkets brottsbekämpande verksamhet uttalat att en ändamålsbestämmelse som tar sikte på planering, uppföljning och utvärdering av verksamheten är obehövlig. Lagrådet ansåg att sådan verksamhet är en integrerad del av själva verksamheten och inte någon fristående aktivitet som behöver regleras särskilt. 106 Uttalandet kom efter att lagrådet, med anledning av lagrådsremissen rörande förslaget till lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration, anfört att uppbyggnaden och utformningen av ändamålsbestämmelserna i förslaget till lag gav intryck av att det inte fanns en avsikt att även andra efterkommande behandlingar skulle få företas förutsatt att det inte kunde anses oförenligt med de ursprungliga ändamålen. Regeringen föreslog då ett förtydligande – en hänvisning till 9 § första stycket d och andra stycket personuppgiftslagen, som reglerar finalitetsprincipen. 107 Förslaget till registerförfattning för Tullverket innehöll inte någon hänvisning till finalitetsprincipen; istället framgick uttryckligen att personuppgifter inte fick behandlas för några andra ändamål än de som angavs i lagen. Trots detta ansåg Lagrådet att det var så självklart att det inte behöver sägas att personuppgifter som får användas i verksamheten också får användas i sådan verksamhet (i det

105 2 § 4 förordningen (2009:1174) med instruktion för Försäkringskassan och 2 § 3 förordningen (2009:1173) med instruktion för Pensionsmyndigheten. 106 Prop. 2004/05:164 s. 179. 107 Se prop. 2002/03:135 s. 56. 87

aktuella fallet planering, uppföljning och utvärdering av verksamheten) som är en integrerad del av själva verksamheten och inte någon från denna fristående aktivitet.

Något särskilt ändamål för planering, uppföljning och utvärdering av verksamheten infördes inte i Tullverkets registerlagstiftning för brottsbekämpande verksamhet och regeringen har sedan dess hänvisat till Lagrådets uttalande och framhållit intresset av att regler för myndigheternas behandling av personuppgifter utformas på ett enhetligt sätt. Senare registerlagstiftningar innehåller därför i regel inte några ändamål för planering, uppföljning och 108 utvärdering.

Vi menar att det i ett enskilt lagstiftningsärende inte kan anses vara till nackdel att uttryckligen ange ändamål som i vilket fall som helst bedöms berättigade. Planering, uppföljning och utvärdering sker naturligtvis ofta som en integrerad del i övrig verksamhet, huvudsakligen den handläggande verksamheten, men det förekommer också behov av uppföljningar och utvärderingar som inte är omedelbart kopplade till handläggningen. Det kan röra sig om t.ex. uppdrag från regeringen att ta fram underlag och samarbeten mellan myndigheter. Uppdraget att följa, analysera och förmedla socialförsäkringssystemets och ålderspensionssystemets utveckling och effekter för enskilda och samhälle är vidare än de behov som är kopplade till den interna verksamheten. Att utgå från att all uppföljning och utvärdering alltid är en integrerad del av övrig verksamhet, dvs. indirekt sker för något av de andra ändamålen i 114 kap. SFB, riskerar därför att begränsa verksamheten på ett sätt som inte är avsett. Vi föreslår därför att nuvarande ändamål som avser att planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet i sak behålls. Som en ändring av rent redaktionell karaktär, föreslås dock att ordet resultat tas bort ur de uppräknade ändamålen. Begreppet tillsyn, som främst hänför sig till Riksförsäkringsverkets tidigare tillsyn över försäkringskassorna, kan också tas bort.

Vi föreslår alltså att myndigheterna, i likhet med vad som tidigare gällt, ska få behandla personuppgifter för att planera, styra, följa upp, redovisa och utvärdera verksamheten.

Återsöka vägledande avgöranden Eftersom rätten till de förmåner och ersättningar som Försäkringskassan och Pensionsmyndigheten administrerar bedöms utifrån olika krav och förutsättningar som fastställs i lagar och förordningar, består myndigheternas kärnverksamhet till stor del av tillämpning av gällande rätt. Vid sådan tillämpning måste det vara möjligt att söka efter praxis i olika rättsfallsdatabaser och beställa domar och beslut från domstolar och andra myndigheter. Domarna och besluten kan i varierande omfattning innehålla både direkta och indirekta personuppgifter, vilket innebär att hanteringen av praxis medför en behandling av personuppgifter.

När myndigheternas handläggare använder sig av vägledande avgöranden i syfte att fatta ett korrekt beslut, sker behandlingen i sådan anslutning till handläggningen av ett ärende, att behandlingen får anses ske för samma ändamål som övrig handläggning. Även olika sammanställningar av pågående mål i domstol som tas fram av administrativa skäl kopplade till handläggningen, får anses ske för samma ändamål som handläggningen. Uppföljning av domslut kopplade till myndighetens processföring i domstol, bör kunna rymmas inom ramen för

108 Se t.ex. polisdatalagen (2010:361) (prop. 2009/10:85 s. 116), åklagardatalagen (2015:433) (prop. 2014/15:63 s. 141), utlänningsdatalagen (2016:27) (prop. 2015/16:65 s. 64), domstolsdatalagen (2015:728) (prop. 2014/15:148 s. 40), kriminalvårdsdatalagen (2018:1235) (prop. 2017/18:248 s. 22), vägtrafikdatalagen (2019:369) (prop. 2018/19:33 s. 88). 88

handläggning och ändamålet att planera, styra, följa upp, redovisa och utvärdera verksamheten. Det saknas alltså behov av en särskild ändamålsbestämmelse som möjliggör behandling av 109 personuppgifter i vägledande avgöranden i samband med handläggningen av ärenden.

All hantering av praxis är dock inte omedelbart kopplad till handläggningen av enskilda förmånsärenden. Myndigheterna tar också fram vägledningar, rättsfallsöversikter och olika analyser av domstolsavgöranden, vilket medför en omfattande hantering av praxis. Denna typ av sammanställningar och analyser görs beträffande den förmånsrättsliga lagstiftningen men även med koppling till t.ex. förvaltningsrätt, offentlighet och sekretess samt dataskydd. En sådan bredare hantering av praxis kan inte anses hänförlig till handläggningen av ärenden. Syftet med behandlingen är snarare av myndighetsadministrativ art – tanken är att skapa ett generellt rättsligt stöd som ska leda till en enhetlig tillämning. Motsvarande hantering av praxis sker även hos andra myndigheter. Sådan behandling av personuppgifter som sker i syfte att ta fram olika rättsliga vägledningar och styrdokument får därför anses falla utanför tillämpningsområdet för 114 kap. SFB.

Mot bakgrund av det anförda bedömer vi att ändamålet avseende återsökning av vägledande avgöranden kan tas bort.

7.7.3 Primära ändamål – alternativ 2 Förslag: Försäkringskassan och Pensionsmyndigheten ska få behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna.

110 Försäkringskassan och Pensionsmyndigheten är enligt sina instruktioner förvaltningsmyndigheter för socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna. En avgränsning till myndigheternas kärnuppdrag, som också ansluter till tillämpningsområdet för 114 kap. 2 § SFB, skapar en lämplig ram för tillåtna behandlingar. För att leva upp till dataskyddsförordningens krav på särskilda, uttryckligt angivna och berättigade ändamål kommer dock Försäkringskassan och Pensionsmyndigheten också att behöva formulera mer preciserade ändamål för de specifika behandlingar av personuppgifter som sker i myndigheternas verksamhet.

En bred ändamålsbestämmelse som rymmer all sådan behandling som föranleds av myndigheternas uppdrag, skapar utrymme för en mer omfattande informationshantering. Myndigheternas verksamheter präglas av en snabb digital utveckling och det är förenat med svårigheter att förutse samtliga ändamål för vilka personuppgifter kan komma att behöva behandlas. En flexibilitet i ändamålsutformningen ger verksamheten förutsättningar att hålla jämna steg med samhällsutvecklingen. Försäkringskassan och Pensionsmyndigheten förordar därför denna bredare form av ändamålsbestämmelse.

Vi föreslår – och förespråkar – att Försäkringskassan och Pensionsmyndigheten ska få behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna.

Jfr. prop. 2014/15:148 s. 39 f. 109 110 Förordningen (2009:1174) med instruktion för Försäkringskassan och förordningen (2009:1173) med instruktion för Pensionsmyndigheten. 89

7.7.4 Sekundära ändamål Förslag: Nuvarande sekundära ändamålsbestämmelser i 114 kap. SFB ska ändras på så sätt att personuppgifter som behandlas för primära ändamål också ska få behandlas av Försäkringskassan och Pensionsmyndigheten om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Därutöver ska personuppgifter som behandlas för primära ändamål få behandlas för att fullgöra uppgiftslämnande som följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation.

Sekundära ändamålsbestämmelser tar sikte på uppgiftslämnande till myndigheter och andra som har behov av att ta del av uppgifter som behandlas inom den aktuella verksamheten. Utlämnande av personuppgifter medför nästan alltid en behandling i dataskyddslagstiftningens mening, oavsett om själva utlämnandet sker manuellt eller inte, eftersom uppgifterna i de flesta fall måste hämtas från ett IT-system. Ofta lämnas också uppgifterna ut digitalt. Detta medför att utlämnande av personuppgifter måste regleras i ändamålsbestämmelser för att vara tillåtet. Visst uppgiftslämnande kan ske inom ramen för något av de primära ändamålen, exempelvis när uppgiftslämnande är en del av myndigheternas handläggning av ärenden eller när ändamålet är information. Annat uppgiftslämnande måste ha stöd i ett sekundärt ändamål. Visst utlämnande kan även ske med stöd av den så kallade finalitetsprincipen.

I 114 kap. SFB regleras de sekundära ändamålen i 8 och 9 §§. Bestämmelserna innehåller detaljerade uppräkningar av ändamål för vilka personuppgifter får lämnas ut. Den ursprungliga anledningen till att det finns två bestämmelser är att den ena, 8 §, utformades i syfte att ta sikte på utlämnanden i form av direktåtkomst medan 9 § skulle vara tillämplig på andra utlämnanden. 111 Senare lagändringar och metoder för utlämnande har medfört att uppdelningen inte längre är helt relevant. Gemensamt för de sekundära ändamålsbestämmelserna är dock att alla utlämnanden baseras på bestämmelser om skyldigheter eller möjligheter att lämna ut uppgifter.

I andra registerförfattningar har regeringen valt en mer förenklad form av sekundär ändamålsbestämmelse. I stället för att detaljerat räkna upp för vilka ändamål personuppgifter får lämnas ut, anges att personuppgifter får behandlas om det behövs för att fullgöra uppgiftslämnande 112 som sker i överensstämmelse med lag eller förordning. Med detta avses att uppgiftslämnandet sker med stöd av bestämmelser som påbjuder eller tillåter utlämnande. Det kan röra sig om en sådan uttrycklig uppgiftsskyldighet som avses i 10 kap. 28 § OSL, men det räcker också med att uppgiftslämnandet sker i syfte att fullgöra serviceskyldigheten enligt förvaltningslagen eller följer av skyldigheten enligt 6 kap. 5 § OSL för en myndighet att på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. 113

Det finns mycket som talar för att det är ett rimligt förhållningssätt att personuppgifter ska få behandlas för uppgiftslämnanden som sker i överensstämmelse med lag eller förordning. Vid ett utlämnande är den viktigaste frågan ur ett integritetsperspektiv om uppgifterna överhuvudtaget ska lämnas ut. Den frågan aktualiserades redan när den bestämmelse som fastställer en

111 Prop. 2002/03:135 s. 67 f. 112 Se t.ex. 2 kap. 5 § patientdatalagen (2008:355), 7 § domstolsdatalagen (2015:728), 1 kap. 5 § 3 lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet, 7 § lagen (2018:258) om behandling av personuppgifter i Arbetsmiljöverkets informationssystem om arbetsskador, 4 § kriminalvårdsdatalagen (2018:1235). 113 Jfr. prop. 2014/15:148 s. 41 f. 90

skyldighet eller tillåter ett utlämnande infördes och det får förutsättas att det då gjordes en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet. En sådan avvägning ska därför inte behöva göras i ett lagstiftningsärende rörande sekundära ändamålsbestämmelser. Eftersom uppgifter numera hanteras digitalt – vilket är något som såväl riksdag och regering som allmänhet förväntar sig – kan begränsande sekundära ändamålsbestämmelser medföra att uppgifterna inte får lämnas ut, trots att det finns andra bestämmelser som föreskriver ett utlämnande. Även en utskrift av uppgifter från ett IT-system omfattas av dataskyddslagstiftningen, vilket innebär att utlämnande på papper inte ens alltid är ett alternativ. Det vore orimligt att utformningen av sekundära ändamålsbestämmelser på ett sådant sätt skulle begränsa vilka utlämnanden som får ske. En annan sak är att ett utlämnande av personuppgifter som sker digitalt naturligtvis måste uppfylla dataskyddsförordningens krav på säkerhet. Vi anser därför att personuppgifter ska få behandlas i syfte att fullgöra sådant uppgiftslämnande som sker i överensstämmelse med lag eller förordning.

Försäkringskassan och Pensionsmyndigheten behöver lämna ut personuppgifter även i situationer då det saknas bestämmelser som uttryckligen påbjuder ett utlämnande av uppgifter eller anger att ett utlämnande får ske. Det kan t.ex. handla om att det finns behov av att uppgifter som inte är sekretessbelagda lämnas ut på myndighetens eget initiativ. Anledningen till att uppgifter behöver lämnas ut återfinns då oftast inom myndighetens eget uppdrag. Ett typfall är när utlämnande av uppgift om personnummer krävs för att uppgifter ska kunna erhållas från en annan part, t.ex. i ett fråga/svar-system. Ändamålet är då företrädelsevis inte att lämna uppgifter utan att erhålla uppgifter och behandlingen av personuppgifter anknyter därför snarast till ett primärt ändamål, ofta att handlägga ärenden. I dagsläget kan uppgifter visserligen inte lämnas ut på medium för automatiserad behandling med stöd av ett primärt ändamål, eftersom 114 kap. 24 § SFB, som reglerar utlämnande på medium, endast hänvisar till 114 kap. 8 och 9 §§ SFB. Med de förslag vi lämnar, kommer det dock att vara möjligt.

Det är de primära ändamålsbestämmelserna som är styrande för vilka personuppgifter som får samlas in av Försäkringskassan och Pensionsmyndigheten. Uppgifter får inte samlas in enbart för att behandlas för de sekundära ändamålen, dvs. i syfte att lämnas vidare till någon annan. Detta framgår av hänvisningen till 114 kap. 7 § SFB i 114 kap. 8 respektive 9 §§. Så bör vara fallet även fortsättningsvis.

De sekundära ändamål som idag anges i 114 kap. 8 § SFB avser utlämnande av uppgifter som, åtminstone tidigare, har skett via direktåtkomst. CSN och arbetslöshetskassorna, som omnämns i 114 kap. 8 § 1 SFB, har enligt 114 kap. 21 § SFB rätt till direktåtkomst. Direktåtkomsten utnyttjas dock inte; CSN och arbetslöshetskassorna erhåller uppgifter främst via Lefi Online som är ett system som bygger på utlämnanden på medium för automatiserad behandling (se avsnitt 6.6.1). Bestämmelsen om direktåtkomst föreslås därför tas bort (se avsnitt 7.12.3) och utlämnande av personuppgifter kommer att kunna ske med stöd av en sekundär ändamålsbestämmelse som avser utlämnanden som sker i överensstämmelse med lag eller förordning. Motsvarande gäller socialnämnderna, som omfattas av det sekundära ändamålet i 114 kap. 8 § 4 SFB. De har enligt 114 kap. 22 § SFB rätt till direktåtkomst men använder sig numera i huvudsak av Lefi Online, varför bestämmelsen om direktåtkomst föreslås tas bort (se avsnitt 7.12.4). Ändamålsbestämmelserna i 114 kap. 8 § 2 och 3 SFB som gäller i förhållande till Statens tjänstepensionsverk och det för kommunerna och regionerna gemensamma organet för administration av personalpensioner hör ihop med den direktåtkomst som tidigare reglerades i

114 kap. 20 § SFB, som dock upphörde att gälla den 1 juli 2018. 114 Även detta informationsutbyte sker numera på medium för automatiserad behandling.

Ändamålsbestämmelserna i 114 kap. 9 § 1 och 2 SFB avser uppgiftslämnande som följer av sådana reglerade skyldigheter att lämna uppgifter som avses i 10 kap. 28 § OSL respektive olika reglerade medgivanden att lämna uppgifter – att uppgifter kan eller får lämnas. Det handlar alltså om sådana utlämnanden som sker i överensstämmelse med lag eller förordning. Bestämmelserna i 114 kap. 9 § 3 och 4 SFB avser sådan skyldighet att lämna ut uppgifter som följer av unionsrätten inom Europeiska unionen eller åtaganden i samarbetet inom Europeiska ekonomiska samarbetsområdet eller i avtal om social trygghet eller utgivande av sjukvårdsförmåner som Sverige ingått med andra stater. När det gäller EU-samarbetet är mycket av den personuppgiftshantering som sker reglerad i särskilda förordningar som gäller som svensk lag. I sådant fall sker utlämnanden i överensstämmelse med lag eller förordning. För att nödvändigt uppgiftslämnande ska kunna ske även då sådana särskilda bestämmelser saknas, bör det emellertid införas en särskild ändamålsbestämmelse som tillåter att uppgifter behandlas genom att lämnas ut till en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnandet av uppgifterna följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av 115 riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation. Det kan noteras att utlämnanden till utländska myndigheter och mellanfolkliga organisationer begränsas av sekretess enligt 8 kap. 3 § OSL.

Att Försäkringskassan och Pensionsmyndigheten alltid kan fullgöra sin skyldighet att lämna ut allmänna handlingar enligt 2 kap. TF följer av artikel 86 i dataskyddsförordningen och 1 kap. 7 § dataskyddslagen.

Sammantaget bedömer vi att personuppgifter som behandlas för ett primärt ändamål även bör få behandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Därutöver bör personuppgifter som behandlas för primära ändamål få behandlas för att fullgöra uppgiftslämnande som följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation.

7.7.5 Finalitetsprincipen Bedömning: Befintlig bestämmelse som ger uttryck för finalitetsprincipen bör behållas i sak.

Av 114 kap. 10 § SFB framgår att personuppgifter som behandlas enligt 7–9 §§ får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Bestämmelsen ger uttryck för den s.k. finalitetsprincipen, som framgår av artikel 5.1 b i dataskyddsförordningen.

Inför att dataskyddsförordningen skulle börja tillämpas i maj 2018 gjordes en anpassning av bl.a. 114 kap. SFB. Regeringen bedömde då att finalitetsprincipen även fortsättningsvis skulle utgöra den yttersta ram inom vilken personuppgifter får behandlas med stöd av 114 kap. SFB. Finalitetsprincipen i den direkt tillämpliga artikel 5.1 b i dataskyddsförordningen gäller visserligen, men i förarbetena bedömdes det av tydlighetsskäl finnas anledning att införa en

114 SFS 2018:670. 115 Motsvarande ändamålsbestämmelse finns i 13 § första stycket 3 utlänningsdatalagen (2016:27). 92

uttrycklig bestämmelse som innebär att uppgifter som behandlas enligt de primära ändamålen får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringen konstaterade att en sådan bestämmelse, tillsammans med uppräkningen av tillåtna ändamål, utgör en sådan ändamålsbegränsning som får införas i nationell rätt enligt artikel 6.3 i 116 dataskyddsförordningen.

Vi ser ingen anledning att göra en annan bedömning än den som gjordes vid anpassningen år 2018. Bestämmelsen i 114 kap. SFB som ger uttryck för finalitetsprincipen bör därför behållas.

7.7.6 Ändamålens förenlighet med artikel 6 i dataskyddsförordningen Som vi har konstaterat i avsnitt 6.4.3, har Försäkringskassan och Pensionsmyndigheten stöd att behandla personuppgifter under förutsättning att behandlingen av personuppgifter bedöms nödvändig såtillvida att den medför en effektivisering av verksamheten och • arbetsuppgiften har rättsligt stöd i regleringen av myndighetens uppgifter • den specifika behandlingen är nödvändig för ett ändamål som i sin tur är nödvändigt för att myndigheten ska kunna utföra en arbetsuppgift • den rättsliga grunden uppfyller ett mål av allmänt intresse och är proportionell mot det legitima mål som eftersträvas.

Tröskeln för att behandling av personuppgifter ska bedömas nödvändig är, som framgår av avsnitt 6.4.2, låg. Att för något av de förslagna ändamålen använda manuell informationshantering framstår inte som ett realistiskt alternativ. En automatiserad behandling medför en effektivisering av verksamheten och får därmed anses nödvändig.

Försäkringskassans och Pensionsmyndighetens övergripande uppdrag framgår av myndigheternas instruktioner. Regeringen lämnar också uppdrag till myndigheterna genom regleringsbrev och separata regeringsbeslut. Myndighetsförordningen styr myndighetens arbete i vissa avseenden och den förmånsspecifika regleringen i SFB och andra författningar påverkar i stor utsträckning myndigheternas arbete. Att myndigheterna behöver behandla en betydande mängd personuppgifter för att fullgöra sitt uppdrag är förutsägbart. Regleringen får anses vara tillräckligt tydlig, precis och förutsägbar för att kunna utgöra en rättslig fastställelse av arbetsuppgiften av allmänt intresse. Om en behandling av personuppgifter föranleds av denna reglering får grunden för behandlingen därför anses fastställd på det sätt som krävs enligt dataskyddsförordningen.

Handläggningen av ärenden har stöd i såväl myndigheternas instruktioner som de författningar som reglerar de förmåner och ersättningar som myndigheterna administrerar. Försäkringskassan och Pensionsmyndigheten ska enligt instruktionen administrera socialförsäkringen, inklusive ålderspensionssystemet, lämna information och följa, analysera och förmedla socialförsäkringens och ålderspensionssystemets utveckling och effekter. Att myndigheterna även utanför ren ärendehandläggning måste hantera personuppgifter som lämnas till myndigheterna och kunna hämta in folkbokföringsuppgifter och andra uppgifter som ska ligga till grund för rättigheter eller skyldigheter som ska bedömas eller fastställas är också en följd av uppdraget att administrera socialförsäkringen som framgår av instruktionerna.

116 Prop. 2017/18:171 s. 89 f. 93

Försäkringskassans och Pensionsmyndigheten har enligt sina instruktioner i uppdrag att säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott. Myndigheterna förväntas arbeta med både förebyggande åtgärder och resurseffektiva efterkontroller och i fråga om tandvårdssystemet framgår det uttryckligen av förarbeten att kontroller ska ske med hjälp av urval. Det rättsliga stödet för att vidta kontroll- och analysåtgärder får därmed anses finnas i myndigheternas instruktioner och förmånslagstiftningen. Att myndigheterna ska vidta åtgärder för att digitalisera, förvalta, effektivisera och i övrigt utveckla myndigheternas verksamhet får anses framgå implicit av de uppdrag som formulerats i myndigheternas instruktioner. I särskilda regeringsuppdrag ges myndigheterna dessutom i uppdrag att exempelvis digitalisera vissa aspekter av verksamheten.

Den verksamhet som består i att planera, styra, följa upp, redovisa och utvärdera verksamheten samt att framställa statistik har stöd i myndigheternas uppdrag att följa, analysera och förmedla socialförsäkringssystemets och ålderspensionssystemets utveckling och effekter för enskilda och samhälle.

Att det är nödvändigt att handlägga ärenden, utanför ärenderamen registrera vissa uppgifter och informera om förmåner för att kunna utföra uppgiften att administrera socialförsäkringen är obestridligt. Samtliga uppgifter ligger inom ramen för vad myndigheterna förväntas göra. Motsvarande gäller att planera, styra, följa upp, redovisa och utvärdera verksamheten samt att framställa statistik.

Att det är nödvändigt att utföra kontroll- och analysåtgärder för att myndigheten ska kunna uppfylla sitt uppdrag är möjligen inte lika självklart. Med hänsyn till att kontrollarbetet är en integrerad del av verksamheten, som syftar till att rätt person får rätt ersättning, får dock kontroll- och analysåtgärder numera anses utgöra en förutsättning för att socialförsäkringen ska kunna administreras på ett korrekt sätt. Att vidta dylika åtgärder får också anses ändamålsenligt, effektivt och proportionerligt mot bakgrund av myndigheternas uppdrag, risken för felaktigheter och de stora penningbelopp som administreras inom socialförsäkringen. Se vidare avsnitt 9.3 för bedömning av proportionalitet. Eftersom kontrollåtgärderna avser enskildas rätt till ersättning, är det nödvändigt att behandla personuppgifter för ändamålet.

Åtgärder för att utveckla myndigheternas verksamhet är nödvändiga för att det ska vara möjligt att bedriva en effektiv förvaltning. Behovet av att i sammanhanget behandla personuppgifter är kopplat till behovet av att ha fungerande IT-system för att administrera socialförsäkringen. Med hänsyn till att Försäkringskassan och Pensionsmyndigheten bidrar till försörjningen för en stor andel av befolkningen är det synnerligen viktigt att systemen inte fallerar. Det är också viktigt att den nya tekniken tas i anspråk för att skapa en effektiv administration. I enskilda fall är behandling av personuppgifter oundviklig, t.ex. vid skarpa tester i produktionsmiljö av befintliga och nya tekniska lösningar, och därmed nödvändig.

Sådana arbetsuppgifter som föranleds av Försäkringskassans och Pensionsmyndighetens instruktioner, regeringsuppdrag och övrig reglering som styr verksamheterna, inklusive den behandling av personuppgifter som arbetsuppgifterna medför får anses uppfylla dataskyddsförordningens krav på allmänt intresse och proportionalitet (se avsnitt 6.4.2).

Uppgiftslämnanden som föranleds av en uppgiftsskyldighet sker med stöd av en rättslig förpliktelse. Övriga uppgiftslämnanden som sker i överensstämmelse med lag eller förordning sker i allmänhet för att utföra en uppgift av allmänt intresse. Den rättsliga förankringen finns i den

bestämmelse som fastställer en skyldighet eller tillåter ett utlämnande och ett automatiserat utlämnande får anses nödvändigt med hänsyn till effektivitetshänsyn och att myndigheternas verksamheter i så stor utsträckning är digitaliserade. Syftet med utlämnandet framgår i regel av den bestämmelse som reglerar utlämnandet. När en bestämmelse om att uppgifter ska eller får lämnas ut tas in i lag eller förordning, föregås detta av avvägningar som balanserar myndigheters behov av uppgifter mot behovet av skydd för den personliga integriteten. Sådana bestämmelser uppfyller därmed genomgående kraven på allmänt intresse och proportionalitet i artikel 6 i dataskyddsförordningen.

Sammantaget får kraven enligt artikel 6 i dataskyddsförordningen anses uppfyllda för samtliga ändamål.

För bedömning av konsekvenser hänförliga till den personliga integriteten hänvisas till avsnitt 9.3.

7.8 Behandling av känsliga personuppgifter

7.8.1 Regleringen i dataskyddsförordningen Bedömning: Känsliga personuppgifter får behandlas för de ändamål som föreslås i avsnitt 7.7 under förutsättning att bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen framgår av gällande rätt.

Förbud att behandla känsliga personuppgifter Av artikel 9.1 i dataskyddsförordningen framgår att behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden. De angivna kategorierna av personuppgifter benämns i artikeln som särskilda kategorier av uppgifter. För att sådana personuppgifter ska få behandlas är det inte tillräckligt att det finns en tillämplig rättslig grund enligt artikel 6 i dataskyddsförordningen. Vid sådan behandling måste även artikel 9 i dataskyddsförordningen beaktas.

I 3 kap. dataskyddslagen finns kompletterande bestämmelser om behandling av känsliga personuppgifter. Enligt 3 kap. 1 § dataskyddslagen avses med känsliga personuppgifter sådana uppgifter som avses i artikel 9.1 i dataskyddsförordningen. Enligt förarbetena till dataskyddslagen är motivet till att använda det tidigare begreppet känsliga personuppgifter i lagen att det begreppet är väl inarbetat, även på EU-nivå, och att det är språkligt enklare att använda och 117 förstå, inte minst i författningstext. I 114 kap. SFB används också begreppet känsliga personuppgifter för de uppgifter som räknas upp i artikel 9.1 i dataskyddsförordningen och det saknas anledning att frångå begreppet.

Förbudet mot att behandla känsliga personuppgifter kompletteras av ett antal undantag i artikel 9.2 i dataskyddsförordningen, som anger när behandling av känsliga personuppgifter trots allt är tillåten eller kan tillåtas. Några av undantagen är direkt tillämpliga medan andra kräver viss reglering i den nationella lagstiftningen för att behandling av känsliga personuppgifter ska få ske.

117 Prop. 2017/18:105 s. 75. 95

Av artikel 9.2 a i dataskyddsförordningen följer att känsliga personuppgifter får behandlas med stöd av ett uttryckligt samtycke från den registrerade. Om behandlingen sker på grundval av EU-rätten eller medlemsstaternas nationella rätt, kan känsliga personuppgifter också behandlas bl.a. av hänsyn till ett viktigt allmänt intresse (9.2 g), och för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (9.2 j).

Undantag för viktiga allmänna intressen Känsliga personuppgifter får enligt artikel 9.2 g i dataskyddsförordningen behandlas om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.

Vad som är ett allmänt intresse respektive ett viktigt allmänt intresse är inte definierat i dataskyddsförordningen och var inte heller definierat i 1995 års dataskyddsdirektiv. Begreppets innebörd har inte heller utvecklats närmare av EU-domstolen. I förarbetena till dataskyddslagen konstateras att det är svårt att på ett generellt plan definiera vad som skiljer ett allmänt intresse från ett viktigt allmänt intresse. Enligt regeringen torde det dock stå klart att verksamhet som innefattar myndighetsutövning utgör ett viktigt allmänt intresse. När det gäller myndigheters behandling måste det också anses utgöra ett viktigt allmänt intresse att svenska myndigheter, även utanför området för myndighetsutövning, kan bedriva den verksamhet som tydligt faller inom ramen för deras befogenheter på ett korrekt, rättssäkert och effektivt sätt. 118 I avsnitt 6.4 har konstaterats att den verksamhet som Försäkringskassan och Pensionsmyndigheten bedriver inom ramen för sina uppdrag utgör sådana arbetsuppgifter av allmänt intresse som avses i artikel 6.1 e i dataskyddsförordningen. Av samma skäl och mot bakgrund av regeringens konstaterande får myndigheternas arbetsuppgifter också anses utgöra ett viktigt allmänt intresse enligt artikel 9.2 g i dataskyddsförordningen.

Ytterligare en förutsättning för att undantaget i artikel 9.2 g i dataskyddsförordningen ska vara tillämpligt är att behandlingen sker på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet. Enligt förarbetena till dataskyddslagen innebär detta att den rättsliga grunden för behandlingen typiskt sett kommer att vara någon av de som avses i artikel 6.1 c eller e i dataskyddsförordningen, dvs. en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller myndighetsutövning som har stöd i rättsordningen. Att grunden för behandlingen ska vara fastställd i enlighet med unionsrätten eller den nationella rätten innebär inte ett krav på att själva behandlingen av personuppgifter måste regleras. Det är i stället den rättsliga förpliktelsen, arbetsuppgiften av allmänt intresse respektive myndighetsutövningen som ska ha stöd i rättsordningen. 119 Detta krav är uppfyllt ifråga om behandlingar som sker till följd av uppdrag som framgår av myndigheternas instruktioner, regleringsbrev, specifika regeringsuppdrag, myndighetsförordningen och verksamhetsspecifika lagstiftningar samt när det är nödvändigt för att fatta beslut som påverkar enskilda (se avsnitt 6.4).

118 Prop. 2017/18:105 s. 83. 119 Prop. 2017/18:105 s. 48 f. och s. 84. 96

För att behandling av känsliga personuppgifter ska få ske ställs särskilda krav på det rättsliga stödet. Detta måste vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen. 120

Vad som utgör det väsentliga innehållet i rätten till dataskydd definieras inte i dataskyddsförordningen. Regeringen konstaterar i förarbetena till dataskyddslagen att kraven på det rättsliga stödet motsvarar kraven för att begränsa de rättigheter som skyddas av EU:s stadga om de grundläggande rättigheterna. I artikel 52 i stadgan anges att varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan ska vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa rättigheter och friheter. Regeringen menar också att det är svårt att föreställa sig en rättslig grund för behandling av personuppgifter som uppfyller kraven i artikel 6 i dataskyddsförordningen, men som ändå inte är förenlig med det väsentliga innehållet i rätten till dataskydd. Om grunden för behandlingen inte är förenlig med det väsentliga innehållet i rätten till dataskydd bör den inte kunna anses utgöra en godtagbar rättslig grund för behandling av personuppgifter över huvud taget. Det kan därför, enligt regeringen, ifrågasättas om tillägget i artikel 9.2 g i dataskyddsförordningen utgör ett krav som går utöver de krav som gäller enligt artikel 6 i dataskyddsförordningen och som måste vara uppfyllda vid all behandling av person- 121 uppgifter i allmänt intresse.

Någon exemplifiering av utformningen av sådana lämpliga och särskilda åtgärder, som säkerställer den registrerades grundläggande rättigheter och intressen, finns inte i dataskyddsförordningen. I registerlagstiftningar finns dock regelmässigt bestämmelser som utgör olika former av skyddsåtgärder och syftar till att begränsa riskerna vid behandling av personuppgifter. Det kan t.ex. handla om bestämmelser om sökbegränsningar, gallring, behörighetstilldelning, loggkontroll och krav på samtycke. I OSL finns bestämmelser om sekretess och förvaltningslagen ger rätt till partsinsyn.

Sammantaget innebär detta i princip att känsliga personuppgifter får behandlas för de ändamål som föreslås i avsnitt 7.7 under förutsättning att bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen framgår av gällande 122 rätt.

Av artikel 9.4 i dataskyddsförordningen framgår att medlemsstaterna får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av bl.a. uppgifter om hälsa. Bestämmelser om när myndigheter får behandla känsliga personuppgifter är också enligt artikel 6.2 och 6.3 i dataskyddsförordningen tillåtna att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen.

7.8.2 Skäl att reglera behandling av känsliga personuppgifter Bedömning: Det bör finnas bestämmelser i 114 kap. SFB som styr när det är tillåtet att behandla känsliga personuppgifter.

Prop. 2017/18:105 s. 84. 120 121 Prop. 2017/18:105 s. 84. 122 Jfr. prop. 2017/18:105 s. 84. 97

Att lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen ska framgå av gällande rätt innebär enligt regeringen inte att undantaget för behandling av 123 känsliga personuppgifter i sig måste genomföras i svensk rätt för att vara tillämpligt. Även Datainspektionen har i myndighetens remissvar återkommande uttalat sig på ett sätt som får tolkas som att Datainspektionen anser att artikel 9.2 g i dataskyddsförordningen kan tillämpas 124 självständigt. Det kan dock noteras att Socialdataskyddsutredningen har haft en annan uppfattning. 125

Regeringen bedömde i förarbetena till dataskyddslagen att det finns behov av en tydlig reglering av när behandling av känsliga personuppgifter är tillåten och framhöll att det i många fall finns sådana bestämmelser i sektorsspecifika författningar om behandling av personuppgifter. 126 Regeringens bedömning resulterade dessutom i ett för myndigheter generellt undantag från förbudet mot att behandla känsliga personuppgifter. Enligt 3 kap. 3 § dataskyddslagen får känsliga personuppgifter behandlas av en myndighet med stöd av artikel 9.2 g i dataskyddsförordningen om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Vid behandling som sker enbart med stöd av den bestämmelsen är det förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.

En reglering av när det är tillåtet att behandla känsliga personuppgifter skapar möjligheter att knyta den tillåtna behandlingen till vissa typer av känsliga personuppgifter, t.ex. uppgifter om hälsa, och vissa särskilda ändamål. Lagstiftaren kan på så sätt skapa tydliga ramar för när behandling av känsliga personuppgifter är möjlig. Om regleringen enbart består av skyddsåtgärder – bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen – som till sin karaktär är främst begränsande, blir det möjliga utrymmet för behandling av känsliga personuppgifter svårt att överblicka. Behandlingen blir beroende av bedömningar i varje enskilt fall och såväl tillämparen som allmänheten får svårt att skapa sig en bild av vad som faktiskt är tillåtet.

I Försäkringskassans verksamhet behandlas stora mängder känsliga personuppgifter, främst uppgifter om hälsa. Det förekommer behandling av känsliga personuppgifter även hos Pensionsmyndigheten, främst inom förmånen bostadstillägg, men inte i samma utsträckning som hos Försäkringskassan. Genom att ange när det är tillåtet att behandla känsliga personuppgifter inom verksamheterna, gör lagstiftaren bedömningen av vad som kan tillåtas med stöd av artikel 9.2 g i dataskyddsförordningen. Det skapar tydlighet och transparens för såväl tillämpare som allmänhet. Eventuella begränsningar av behandlingen får anses utgöra sådana bestämmelser om

Prop. 2017/18:105 s. 84. 123 Se bl.a. Datainspektionens remissvar dnr 1210-2017 s. 12, DI-2019-5478 s. 5 f. 124 125 Socialdataskyddsutredningen menade att det skulle innebära en betydande utvidgning av möjligheten att behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse jämfört med vad som gällde enligt 1995 års dataskyddsdirektiv. Där angavs i artikel 8.4 att medlemsstaterna i sin nationella lagstiftning fick besluta om undantag från förbudet mot att behandla känsliga personuppgifter av hänsyn till ett viktigt allmänt intresse. Det var också enligt artikeln tillåtet med nationell lagstiftning som gav tillsynsmyndigheten möjlighet att besluta om undantag. Utredningen ansåg att det inte är troligt att en utvidgning, som innebär att det inte längre ska krävas något nationellt författningsstöd för själva behandlingen, har varit avsedd. Dessutom framhöll utredningen att kravet på proportionalitet i artikel 9.2 g i dataskyddsförordningen är svårt att förstå om det inte hänför sig till den reglering som tillåter behandlingen av hänsyn till ett viktigt allmänt intresse. 126 Prop. 2017/18:105 s. 84. 98

lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen som oavsett behöver regleras. En reglering av när känsliga personuppgifter får behandlas ligger också i linje med såväl regeringsformens intentioner som tidigare lagförarbeten (se avsnitt 6.1.3). Det bör därför finnas bestämmelser i 114 kap. SFB som styr när det är tillåtet att behandla känsliga personuppgifter.

7.8.3 Behandling av känsliga personuppgifter hos Försäkringskassan och Pensionsmyndigheten Förslag: Befintlig reglering av behandling av känsliga personuppgifter ska ändras på så sätt att samtliga kategorier av känsliga personuppgifter ska få behandlas om det är nödvändigt för att handlägga ärenden samt för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Känsliga personuppgifter om hälsa ska få behandlas om det är nödvändigt för övriga ändamål. För de ändamål som avser att vidta kontroll- och analysåtgärder, att vidta utvecklingsåtgärder, att framställa statistik, att planera, styra, följa upp, redovisa och utvärdera verksamheten, att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen ska dock endast sådana känsliga personuppgifter få behandlas som behandlas eller har behandlats för ändamålen att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas eller för att informera om förmåner och ersättningar. Om det primära ändamålet blir att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna ska det för det ändamålet och för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning vara tillåtet att behandla samtliga kategorier av känsliga personuppgifter. Känsliga personuppgifter om hälsa ska då få behandlas om det är nödvändigt för behandling av uppgifter enligt finalitetsprincipen. För de ändamål som avser att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen ska dock endast sådana känsliga personuppgifter få behandlas som behandlas eller har behandlats för det primära ändamålet.

Nuvarande lagstiftning I 114 kap. SFB finns flera bestämmelser som reglerar under vilka förutsättningar känsliga personuppgifter får behandlas för de olika ändamål som anges i kapitlet. Av 114 kap. 11 § SFB framgår att samtliga känsliga personuppgifter får behandlas om uppgifterna lämnats till Försäkringskassan eller Pensionsmyndigheten i ett ärende eller är nödvändiga för handläggningen av ett ärende. Samtliga känsliga personuppgifter får också behandlas om det är nödvändigt för att återsöka vägledande avgöranden eller för att lämna ut uppgifter för sekundära ändamål. Känsliga personuppgifter om hälsa får behandlas om det är nödvändigt dels för att tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om förmåner och ersättningar ska kunna bedömas eller fastställas och dels för att informera om sådana förmåner och ersättningar. Om känsliga personuppgifter om hälsa först har behandlats för att tillgodose behov av underlag, för att informera om förmåner och ersättningar eller för handläggning, får de också – om det är nödvändigt – behandlas för att planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet samt för att framställa statistik.

För behandling av känsliga personuppgifter i den så kallade socialförsäkringsdatabasen gäller ytterligare begränsningar. Känsliga personuppgifter får enligt 114 kap. 16 § SFB behandlas i socialförsäkringsdatabasen om de kommit in i ett ärende eller om de är nödvändiga för ärendets handläggning. I övrigt får känsliga personuppgifter enligt 114 kap. 15 § andra stycket SFB behandlas i socialförsäkringsdatabasen bara om det särskilt anges i lag eller förordning. I 2 § 99

förordningen om behandling av personuppgifter inom socialförsäkringens administration räknas upp olika personuppgifter, däribland känsliga personuppgifter, som får behandlas i socialförsäkringsdatabasen. För behandlingen gäller också de begränsningar som framgår av 114 kap. 11 § SFB.

Behandling av känsliga personuppgifter – alternativ 1 Behandling av samtliga kategorier av känsliga personuppgifter för vissa ändamål Alla myndigheter måste kunna hantera handlingar och uppgifter som kommer in till myndigheten. Det är i praktiken svårt och inte alltid önskvärt att styra över vilka uppgifter som lämnas till en myndighet, vilket innebär att det måste finnas stöd för att behandla alla typer av personuppgifter som kommer in. Även under handläggningen måste finnas möjlighet att behandla allehanda uppgifter. Försäkringskassans handläggning av olika förmånsslag, t.ex. förmåner som beviljas på grund av sjukdom eller funktionsnedsättning, medför med nödvändighet behandling av känsliga personuppgifter om hälsa eftersom själva grunden för en sådan ersättning är personuppgifter som rör hälsa. Även andra känsliga personuppgifter kan dock bli aktuella att behandla under handläggningen beroende på vad som aktualiseras i ärendet.

I dagsläget får samtliga känsliga personuppgifter behandlas om uppgifterna lämnats till Försäkringskassan eller Pensionsmyndigheten i ett ärende eller är nödvändiga för handläggningen av ett ärende. Även av 3 kap. 3 § 1 och 2 dataskyddslagen framgår att känsliga personuppgifter får behandlas om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag eller om behandlingen är nödvändig för handläggningen av ett ärende. Inom ramen för tillämpningsområdet för 114 kap. SFB, sker behandling av inkomna personuppgifter företrädelsevis för ändamålet att handlägga ärenden. Samtliga kategorier av känsliga personuppgifter bör även fortsättningsvis få behandlas om det är nödvändigt för att handlägga ärenden. Ändamålet bör, som konstaterats i avsnitt 7.7.2, tillämpas brett och inte enbart på de åtgärder som vidtas i ett pågående ärende.

Utlämnande av personuppgifter får enligt Försäkringskassans och Pensionsmyndighetens förslag i avsnitt 7.7.4 ske i överensstämmelse med lag och förordning. Det innebär att utlämnandet måste ske med stöd av en bestämmelse som fastställer en skyldighet att lämna uppgifter eller tillåter ett sådant utlämnande. Bedömningen av huruvida uppgifterna ska eller kan lämnas bör inte göras i detta lagstiftningsärende utan när regleringen av uppgiftslämnandet sker. Det bör därför vara möjligt att automatiserat lämna ut samtliga känsliga personuppgifter under förutsättning att det i övrigt finns stöd för ett sådant utlämnande.

Behandling av uppgifter om hälsa För ändamålet att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas behöver inte samtliga kategorier av känsliga personuppgifter behandlas. Eftersom Försäkringskassan tar emot och lagrar underlag, t.ex. läkarintyg, innan den enskilde har lämnat en ansökan om ersättning till Försäkringskassan, finns dock ett påtagligt behov av att myndigheterna tillåts behandla känsliga personuppgifter om hälsa för ändamålet.

När Försäkringskassan och Pensionsmyndigheten lämnar information om socialförsäkringen och dess förmåner och ersättningar, kan det vara aktuellt att genom olika kriterier göra urval av mottagare av informationen. Information som riktar sig till enskilda som har eller har haft en viss förmån kan föranleda behandling av uppgifter om ansökt eller beviljad ersättning. Det kan,

beroende på ersättning eller förmån, vara en känslig personuppgift om hälsa. Känsliga personuppgifter om hälsa behöver därför kunna behandlas för ändamålet att informera om förmåner och ersättningar.

Kontroll- och analysåtgärder medför behandling av uppgifter i ärenden i syfte att hitta avvikelser, mönster och samband (se avsnitt 7.7.2). Sådana uppgifter som kan användas för detta kan vara uppgifter om ansökta eller beviljade förmåner, om vårdmottagningar där den enskilde sökt vård, utförda behandlingsåtgärder när det handlar om tandvårdsersättning, ersättningsperioder etc. Eftersom socialförsäkringen till så stor del medför behandling av personuppgifter om hälsa, förutsätter en ändamålsenlig kontrollverksamhet att dessa uppgifter kan behandlas. Omfattningen av känsliga personuppgifter om hälsa i myndigheternas IT-system medför också ett behov av att i vissa fall behandla uppgifterna för testning och andra utvecklingsåtgärder. Det ska dock erinras om att de grundläggande kraven i artikel 5 i dataskyddsförordningen och kravet på nödvändighet i artikel 6 i dataskyddsförordningen och ändamålsparagrafen i 114 kap. SFB begränsar möjligheterna att behandla uppgifterna. Känsliga personuppgifter om hälsa ska enbart behandlas när det inte är möjligt att vidta analys- och kontrollåtgärder respektive utvecklingsåtgärder utan att så sker.

En effektiv förvaltning förutsätter att verksamheten kan planeras, styras, följas upp, redovisas och utvärderas. Det gäller såväl den interna verksamheten ur ett organisatoriskt perspektiv som den faktiska handläggningen av ärenden i kärnverksamheten. Det handlar om att mäta ärendeflöden och resursbehov, följa upp kvalitet och rättssäkerhet, utvärdera vidtagna åtgärder och redovisa beviljade förmåner. Myndigheterna har enligt sina instruktioner också i uppdrag att följa, analysera och förmedla socialförsäkringssystemets och ålderspensionssystemets utveckling och effekter för enskilda och samhälle. Därtill kommer regeringsuppdrag att utvärdera och följa upp olika åtgärder. För dessa olika syften behöver myndigheterna också kunna ta fram statistik. För Försäkringskassan och Pensionsmyndigheten sker en övervägande del av all verksamhetsplanering, styrning, uppföljning, redovisning, utvärdering och statistikframtagning utifrån hanteringen av individärenden, vilket åtminstone för Försäkringskassans del medför ett konkret behov av behandling av uppgifter om hälsa. Även här bör erinras om att de grundläggande kraven i artikel 5 i dataskyddsförordningen dock medför begränsningar i fråga om vilka behandlingar som kan företas.

Personuppgifter som behandlas för de primära och sekundära ändamålen får enligt 114 kap. 10 § SFB behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. För att bedöma förenligheten ska den personuppgiftsansvarige enligt artikel 6.4 i dataskyddsförordningen beakta följande omständigheter:

• Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen. • Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige. • Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10. • Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen. • Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering. 101

Den s.k. finalitetsprincipen kan alltså inte tillämpas utan avvägningar som i praktiken innebär att de nya ändamålen kommer att behöva ligga mycket nära de ursprungliga ändamålen eller kunna ses som en förlängning av de ursprungliga ändamålen. De avvägningar som gjorts i fråga om behandling av uppgifter om hälsa för de uttryckligt angivna primära ändamålen gör sig därför gällande även här. När en behandling är tillåten med stöd av finalitetsprincipen och det för det ursprungliga ändamålet är tillåtet att behandla uppgifter om hälsa, anser vi därför att det ska vara tillåtet att behandla uppgifter om hälsa även för det nya ändamålet. Effekten blir annars att finalitetsprincipen inte kommer att kunna tillämpas inom Försäkringskassans förmånsverksamhet, där uppgift om flertalet förmåner är en känslig personuppgift. Finalitetsprincipen skulle då inte få den betydelse som yttersta ram för behandlingen av personuppgifter, som den avsetts att få. Det ska noteras att med hänsyn till tillämpningsområdet för 114 kap. SFB kommer behandlingen endast att kunna ske inom ramen för förmånsverksamheten och med beaktande av de säkerhetsåtgärder som gäller för all behandling. De grundläggande kraven enligt artikel 5 i dataskyddsförordningen begränsar också möjligheterna att behandla personuppgifter.

Behandling av känsliga personuppgifter – alternativ 2 Vi föreslår i avsnitt 7.7 två alternativa lösningar i fråga om primära ändamål. Om det primära ändamålet i 114 kap. SFB blir att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna, kan omfattningen av behandlingen av känsliga personuppgifter inte kopplas till olika primära ändamål. Eftersom samtliga känsliga personuppgifter måste kunna behandlas inom den handläggande verksamheten, bör samtliga känsliga personuppgifter få behandlas om det är nödvändigt för det primära ändamålet. Naturligtvis gäller de grundläggande kraven enligt artikel 5, vilket innebär att känsliga personuppgifter, oavsett reglering i 114 kap. SFB, endast får behandlas när de är adekvata och relevanta för ändamålet. Denna bedömning måste göras i varje enskilt fall.

För det sekundära ändamålet – att lämna ut personuppgifter – behöver samtliga känsliga personuppgifter kunna behandlas av de skäl som framgår under alternativ 1. Under alternativ 1 framgår också att uppgifter om hälsa behöver kunna behandlas med stöd av finalitetsprincipen.

Lämpliga och särskilda åtgärder Vi har i avsnitt 7.8.1 bedömt att känsliga personuppgifter får behandlas för de ändamål som föreslås i avsnitt 7.7 under förutsättning att bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande intressen framgår av gällande rätt.

I 114 kap. SFB kommer det att finnas lämpliga och särskilda åtgärder som skyddar enskildas integritet, t.ex. bestämmelser om sökbegränsningar, begränsad tillgång till personuppgifter, krav på uppföljning och gallring. I synnerhet sökbegränsningarna påverkar möjligheterna att behandla känsliga personuppgifter (se avsnitt 7.14).

I dagsläget krävs dessutom att personuppgifter först behandlas för att tillgodose behov av underlag, för att informera om förmåner och ersättningar eller för handläggning, för att de ska få behandlas för att planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet samt för att framställa statistik. Det innebär att känsliga personuppgifter inte får hämtas in till myndigheterna för t.ex. uppföljnings- eller statistikändamål utan uppgifterna måste härröra från de interna IT-systemen. Begränsningen innebär en åtgärd som skyddar enskildas integritet och bör behållas. Eftersom vi föreslår nya ändamål, bör begränsningen dessutom utvidgas till att omfatta dessa. För de 102

ändamål som avser att vidta kontroll- och analysåtgärder, att vidta utvecklingsåtgärder, att framställa statistik, planera, styra, följa upp, redovisa och utvärdera verksamheten, att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen bör således endast sådana känsliga personuppgifter få behandlas som behandlas eller har behandlats för ändamålen att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas eller för att informera om förmåner och ersättningar. Som alternativ lösning – om det primära ändamålet blir att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna – bör personuppgifter få behandlas för ändamålen att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen endast om de först har behandlats för de primära ändamålen.

OSL, arkivlagstiftningen och förvaltningslagen innehåller också lämpliga och särskilda åtgärder som skyddar enskildas integritet, t.ex. i form av sekretess, rätt till partsinsyn och föreskrifter om informationssäkerhet och gallring.

Kravet på lämpliga och särskilda åtgärder får därmed anses uppfyllt.

Samma reglering för samtlig behandling Vi föreslår i avsnitt7.4 att begreppet socialförsäkringsdatabasen ska tas bort ur 114 kap. SFB. En följd av detta är att samma reglering föreslås gälla för samtlig behandling av känsliga personuppgifter inom kapitlets tillämpningsområde.

Sammantagen bedömning Vi bedömer sammantaget att det ska vara tillåtet att behandla samtliga kategorier av känsliga personuppgifter om det är nödvändigt för att handlägga ärenden samt för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Känsliga personuppgifter om hälsa ska få behandlas om det är nödvändigt för övriga ändamål. För de ändamål som avser att vidta kontroll- och analysåtgärder, att vidta utvecklingsåtgärder, planera, styra, följa upp, redovisa och utvärdera verksamheten, att framställa statistik, att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen ska dock endast sådana känsliga personuppgifter få behandlas som behandlas eller har behandlats för ändamålen att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas eller för att informera om förmåner och ersättningar.

Om det primära ändamålet blir att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna ska det vara tillåtet att behandla samtliga kategorier av känsliga personuppgifter om det är nödvändigt för det primära ändamålet samt för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Känsliga personuppgifter om hälsa ska få behandlas om det är nödvändigt för behandling enligt finalitetsprincipen. För de ändamål som avser att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen ska dock endast sådana känsliga personuppgifter få behandlas som behandlas eller har behandlats för det primära ändamålet.

7.9 Uppgifter om lagöverträdelser

Förslag: Bestämmelser om behandling av uppgifter om lagöverträdelser i 114 kap. SFB ska upphävas.

Av 114 kap. 12 § SFB framgår att uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får behandlas endast under vissa förutsättningar. Sådana uppgifter får behandlas om de lämnats till Försäkringskassan eller Pensionsmyndigheten i ett ärende eller är nödvändiga för handläggningen av ett ärende och, om det är nödvändigt med hänsyn till ändamålet, för att återsöka vägledande avgöranden och för att lämna ut uppgifter med stöd av de sekundära ändamålen. I övrigt får uppgifter om lagöverträdelser enligt 114 kap. 12 § andra stycket och 15 § andra stycket SFB behandlas bara om det särskilt anges i lag eller förordning. I 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration räknas upp olika kategorier av personuppgifter som får behandlas, däribland några kategorier som kan omfatta uppgifter om lagöverträdelser. För behandling för att planera verksamhet samt genomföra resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering och tillsyn av respektive verksamhet samt för att framställa statistik krävs också att uppgifterna först har behandlats med stöd av något av de andra ändamålen. Motsvarande begränsningar för att behandla personuppgifter om lagöverträdelser gäller enligt 114 kap. 15 och 16 §§ SFB också i socialförsäkringsdatabasen.

Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål och överträdelser som innefattar brott eller därmed sammanhängande säkerhetsåtgärder enligt artikel 6.1 i dataskyddsförordningen endast utföras under kontroll av myndighet eller då behandling är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får endast föras under kontroll av en myndighet.

Den del av artikel 10 i dataskyddsförordningen som rör behandling av uppgifter under kontroll av myndighet är direkt tillämplig. Regeringen har ansett att bestämmelsen i vart fall bör innebära att det är tillåtet att behandla uppgifter som rör lagöverträdelser om den personupp- 127 giftsansvarige är en myndighet. Dataskyddsförordningen innehåller alltså inga begränsande regler för behandling av personuppgifter om lagöverträdelser för myndigheter. Inte heller dataskyddslagen innehåller några sådana begränsningar för myndigheter. Av 3 kap. 8 § första stycket dataskyddslagen framgår att personuppgifter som avses i artikel 10 i dataskyddsförordningen får behandlas av myndigheter. Myndigheter får följaktligen behandla personuppgifter om lagöverträdelser under förutsättning att det finns lagligt stöd för behandlingen enligt artikel 6.1 i dataskyddsförordningen. Det krävs inga särskilda ställningstaganden för myndigheters behandling av personuppgifter som avser lagöverträdelser utöver de ställningstaganden som allmänt ska göras i fråga om laglig grund för behandling av personuppgifter vad gäller myndigheter. 128

Trots att myndigheter får behandla personuppgifter om lagöverträdelser utan stöd för detta i registerlagstiftning, har regeringen bedömt att tidigare reglering rörande behandling av uppgifter om lagöverträdelser ska behållas i 114 kap. SFB. 129 Regleringen utgör en begränsning i förhållande till dataskyddsförordningen och dataskyddslagen men regeringen menade i förarbetena att det är svårt att se varför myndigheterna skulle få behandla sådana kategorier av personuppgifter som de hittills inte har bedömts ha behov av att behandla bara därför att dataskyddsförordningen gör det möjligt. Någon bedömning av myndigheternas behov görs inte i anslutning till denna slutsats.

Prop. 2017/18:171 s. 114. 127 128 Prop. 2017/18:171 s. 115. 129 Prop. 2017/18:171 s. 116. 104

Regleringen i 114 kap. SFB avseende behandling av personuppgifter rörande lagöverträdelser har funnits i befintlig utformning sedan lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration trädde i kraft den 1 december 2003. Begränsningarna infördes i syfte att skydda den personliga integriteten. Redan då konstaterade dåvarande Riksförsäkringsverket att verket och försäkringskassorna hade behov av att behandla uppgifter om lagöverträdelser i större omfattning än de föreslagna bestämmelserna medgav. Riksförsäkringsverket anförde att det kunde förutsättas att verket och försäkringskassorna skulle komma att ha behov av att behandla uppgifter om lagöverträdelser i arbetet med att bekämpa fusk och 130 missbruk inom socialförsäkringen. Så har varit och är också fallet. Både Försäkringskassan och Pensionsmyndigheten har i uppdrag enligt sina instruktioner att säkerställa att felaktiga utbetalningar inte görs och motverka bidragsbrott. Uppgifter om polisanmälningar, både med anledning av sådan anmälan som ska göras enligt 6 § bidragsbrottslagen (2007:612) och andra misstänkta brott, behöver behandlas inom ramen för tillämpningsområdet för 114 kap. SFB. Ofta kan uppgifterna behandlas i ärenden, vilket är tillåtet enligt nuvarande lagstiftning, men anmälningarna behöver också följas upp över tid, utvärderas och användas inom kontrollutredningsverksamheten.

Enligt nuvarande reglering av behandling av uppgifter om lagöverträdelser inom tillämpningsområdet för 114 kap. SFB kan sådana uppgifter huvudsakligen enbart behandlas i ärenden. De kan också behandlas för andra ändamål, men då krävs oftast att kategorin av uppgifter finns uppräknad i 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration. En kategori som finns uppräknad är bevakningsanledningar, vilken kan användas exempelvis när en polisanmälan följs upp.

Vi konstaterar att myndigheter helt utan registerförfattning eller med en registerförfattning som inte reglerar behandling av personuppgifter om lagöverträdelser tillåts behandla personuppgifter i större utsträckning än vad Försäkringskassan och Pensionsmyndigheten får göra. Försäkringskassan och Pensionsmyndigheten har ett tydligt behov av att behandla personuppgifter om lagöverträdelser, bl.a. mot bakgrund av uppdrag i myndigheternas instruktioner och reglering i bidragsbrottslagen, men möjligheten att göra det har begränsats just för att behovet av uppgifterna finns.

Regeringen har vid upprepade tillfällen poängterat behovet av att bekämpa fusk och missbruk av socialförsäkringen. Detta arbete omfattar oundvikligen ärenden och individer där fusk och missbruk identifierats, anmälts och enskilda dömts. Uppgifter om detta måste kunna återanvändas för att förhindra att ersättning upprepat betalas ut på felaktiga grunder. Arbetet med att anmäla misstänkta brott måste också kunna kvalitetssäkras genom uppföljningar, analyseras och följas upp. Mot bakgrund av Försäkringskassans och Pensionsmyndighetens behov av att behandla uppgifter om lagöverträdelser, bör begränsningen tas bort. Att behandlingen av uppgifter om lagöverträdelser inte regleras i 114 kap. SFB innebär inte att Försäkringskassan och Pensionsmyndigheten obegränsat kommer att kunna behandla sådana uppgifter. Behandlingen begränsas av de i kapitlet angivna ändamålen, övriga skyddsregler i kapitlet och de grundläggande kraven i artikel 5 i dataskyddsförordningen. Uppgifter om lagöverträdelser får t.ex. endast behandlas under förutsättning att de är relevanta och inte för omfattande i förhållande till de tillåtna ändamålen.

130 Prop. 2002/03:135 s. 80 f. 105

Ett alternativ skulle kunna vara att uppgifter om lagöverträdelser får behandlas för enbart vissa ändamål, främst för att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, vidta kontroll- och analysåtgärder, planera, styra, följa upp, redovisa och utvärdera verksamheten och framställa statistik. För övriga ändamål saknas behov av behandling av sådana uppgifter, vilket innebär att de grundläggande förutsättningarna för att få behandla personuppgifter ändå inte är uppfyllda. Oavsett om en sådan begränsning skulle införas, kommer möjligheterna att behandla personuppgifter om lagöverträdelser, som ovan konstaterats, ändå att begränsas av de i 114 kap. SFB angivna ändamålen, övriga skyddsregler i kapitlet och de grundläggande kraven i artikel 5 i dataskyddsförordningen.

Mot bakgrund av att dataskyddsförordningen och dataskyddslagen tillåter att myndigheter behandlar uppgifter om lagöverträdelser utan särskilt stöd i registerlagstiftning och med hänsyn till de behov av behandling av sådana uppgifter som föranleds av Försäkringskassans och Pensionsmyndighetens uppdrag, föreslår vi att 114 kap. SFB inte ska innehålla några bestämmelser om behandling av uppgifter om lagöverträdelser. Befintliga bestämmelser om detta bör därför upphävas.

7.10 Behandling av personuppgifter i socialförsäkringsdatabasen

Förslag: Bestämmelserna i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration som gäller behandling av personuppgifter i socialförsäkringsdatabasen ska upphävas.

I 114 kap. 14–16 §§ SFB och 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration finns bestämmelser som gäller behandling av personuppgifter i socialförsäkringsdatabasen. I avsnitt 7.4 föreslår vi att begreppet socialförsäkringsdatabasen ska tas bort ur 114 kap. SFB och tillhörande förordning. Som en följd av detta ska bestämmelser som särskilt reglerar sådan personuppgiftsbehandling som sker i socialförsäkringsdatabasen upphävas eller ändras.

Av 114 kap. 14 § SFB framgår att endast sådana personuppgifter som avser personer som omfattas eller har omfattats av verksamhet enligt de ändamål som anges i 7 §, eller personer om vilka uppgifter på annat sätt behövs för handläggningen av ett ärende får behandlas i socialförsäkringsdatabasen. Enligt förarbetena till bestämmelsen är begränsningen ett uttryck för ett grundläggande krav på integritetsskydd, som innebär att behandling av personuppgifter inte ska få ske utan att det finns något godtagbart skäl för detta. Den anknyter till reglerna i dåvarande 9 § personuppgiftslagen om att den personuppgiftsansvarige ska se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen men innebär samtidigt en precisering av vad som gäller inom socialförsäkringens administration.

Försäkringskassan och Pensionsmyndigheten behandlar folkbokföringsuppgifter i sina verksamheter. Uppgifterna behandlas för ändamålet att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas. Behandlingen innebär att alla som är folkbokförda i Sverige omfattas av verksamhet enligt de ändamål som anges i 7 §. Regleringen i 114 kap. 14 § SFB medför därför inte den precisering eller begränsning som är avsedd. Av de grundläggande kraven i artikel 5 i dataskyddsförordningen följer dock att personuppgifter ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. Dataskyddsförordningen är direkt tillämplig och kravet gäller därför oavsett

reglering i registerlagstiftning. Någon ytterligare begränsning behövs inte. Vi föreslår därför att bestämmelsen i 114 kap. 14 § SFB ska upphävas.

Enligt 114 kap. 15 § första stycket SFB får, för samtliga ändamål i kapitlet och med beaktande av de begränsningar som följer av 7 och 14 §§, identifierings- och adressuppgifter behandlas i socialförsäkringsdatabasen. Bestämmelsen ger stöd för att behandla bl.a. uppgift om personnummer. Av artikel 87 i dataskyddsförordningen framgår att medlemsstaterna får bestämma på vilka särskilda villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Ett nationellt identifikationsnummer eller ett annat vedertaget sätt för identifiering ska i sådana fall endast användas med iakttagande av lämpliga skyddsåtgärder för de registrerades rättigheter och friheter enligt dataskyddsförordningen. Av 3 kap. 10 § dataskyddslagen framgår att personnummer och samordningsnummer får behandlas utan samtycke endast när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Dataskyddslagen gäller om inte annat följer av 114 kap. SFB eller föreskrifter som meddelats i anslutning till kapitlet (se avsnitt 3.2).

Att identifierings- och adressuppgifter ska kunna behandlas i Försäkringskassans och Pensionsmyndighetens verksamheter framstår som självklart. Eftersom myndigheternas kärnverksamheter till större delen består av individärenden, är behovet av identifieringsuppgifter omfattande. Sådana uppgifter är relevanta och adekvata och på alla sätt nödvändiga för flera av de i avsnitt 7.7 föreslagna ändamålen. Det är dock inte möjligt och inte heller motiverat att i ett lagstiftningsarbete bedöma om det alltid är motiverat att behandla sådana uppgifter för de olika ändamålen. En bedömning av huruvida behandling av uppgifter om personnummer och samordningsnummer är klart motiverad med hänsyn till ändamålet eller vikten av säker identifiering bör, tillsammans med en bedömning av om de grundläggande kraven i artikel 5 i dataskyddsförordningen är uppfyllda, i stället göras inför varje behandling i likhet med vad som gäller för övriga personuppgifter. Någon bestämmelse i registerförfattningen, som utöver dataskyddslagens reglering ger särskilt stöd för Försäkringskassans och Pensionsmyndighetens behandling av uppgifter om personnummer och samordningsnummer, framstår därför inte som motiverad. Vi föreslår följaktligen att bestämmelsen i 114 kap. 15 § första stycket SFB upphävs.

Utöver de fall som anges i 114 kap. 15 § första stycket SFB får enligt 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration för de ändamål som avses i det stycket och med beaktande av de begränsningar som anges i samma stycke samt i 11 och 12 §§ samma kapitel, i socialförsäkringsdatabasen behandlas uppgifter i en handling som kommit in i ett ärende och sådana uppgifter i en handling som upprättats i ett ärende, som är nödvändiga för ärendets handläggning samt en mängd olika kategorier av uppgifter.

I lagrådsremissen som föregick lagen om behandling av personuppgifter inom socialförsäkringens administration hade förslagits att uppräkningen av tillåtna kategorier av uppgifter skulle regleras i lag. Av lagrådsremissen framgick också att uppräkningen inte avsågs vara uttömmande. Lagrådet påtalade att det från rättssystematisk utgångspunkt är inkonsekvent och främmande att i en författning som kan sägas vara ramlagsbetonad infoga en så starkt detaljpräglad reglering och menade också att det var svårt att av den föreslagna regleringen sluta sig till att 131 uppräkningen inte var avsedd att vara uttömmande.

131 Prop. 2002/03:135 s. 163 f. 107

Till följd av Lagrådets synpunkter placerades uppräkningen istället i förordningen om behand- 132 ling av personuppgifter inom socialförsäkringens administration. Eftersom uppräkningen i 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration inte är avsedd att vara uttömmande, tillför regleringen endast något i den aspekten att den klargör att vissa kategorier av personuppgifter har bedömts relevanta och adekvata att behandla i förhållande till ändamålen. Vi bedömer att ett sådant klargörande är överflödigt och möjligen missvisande. Det bör för varje enskild behandling bedömas om personuppgifter är relevanta och adekvata i förhållande till aktuellt ändamål.

I 114 kap. 15 § andra stycket och 16 § SFB regleras behandling av känsliga personuppgifter och uppgifter om lagöverträdelser. Förslag angående sådan behandling finns i avsnitt 7.8 och 7.9. Genom förslagen förlorar också 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration sin betydelse för att berättiga viss behandling av känsliga personuppgifter och uppgifter om lagöverträdelser, se samma avsnitt.

Sammantaget bedömer vi att innehållet i bestämmelserna i 114 kap. 14–16 §§ SFB och 2 § förordningen om behandling av personuppgifter inom socialförsäkringens administration är omhändertaget genom övrig reglering. Bestämmelserna kan därför upphävas. Detta innebär att även upplysningen om att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen i 114 kap. 15 § andra stycket bör upphävas (se avsnitt 7.21).

7.11 Säkerhetsåtgärder

Förslag: 114 kap. SFB ska innehålla krav på dels att tillgången till personuppgifter inom lagens tillämpningsområde ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter, dels att åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt. I förordningen om behandling av personuppgifter inom socialförsäkringens administration ska bemyndigandet till myndigheterna avse formerna för tilldelning och återkallande av behörighet för åtkomst till personuppgifter respektive åtgärder för kontroll av åtkomsten till personuppgifter.

7.11.1 Dataskyddsförordningen Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (principen om uppgiftsminimering). En annan grundläggande princip är att den personuppgiftsansvarige enligt artikel 5.1 f i dataskyddsförordningen ska vidta åtgärder som säkerställer lämplig säkerhet för personuppgifterna, inbegripet bl.a. skydd mot obehörig eller otillåten behandling, med användning av lämpliga tekniska eller organisatoriska åtgärder (principen om integritet och konfidentialitet).

En allmän bestämmelse om den personuppgiftsansvariges ansvar finns i artikel 24 i dataskyddsförordningen. Av den följer att den personuppgiftsansvarige, med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen. Dessa åtgärder ska ses över och uppdateras vid behov. Vidare anges att om det står i proportion till behandlingen, ska åtgärderna omfatta den personuppgiftsansvariges genomförande av lämpliga strategier för dataskydd.

132 Prop. 2002/03:135 s. 84. 108

En precisering av det nämnda ansvaret finns i artikel 25 i dataskyddsförordningen som handlar om inbyggt dataskydd och dataskydd som standard. Enligt den artikeln ska den personuppgiftsansvarige, med beaktande av den senaste utvecklingen, genomförandekostnader och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter, genomföra lämpliga tekniska och organisatoriska åtgärder, såsom pseudonymisering. Åtgärderna ska vara utformade för ett effektivt genomförande av dataskyddsprinciper, såsom uppgiftsminimering, och för integrering av de nödvändiga skyddsåtgärderna i behandlingen, så att kraven i dataskyddsförordningen uppfylls och den registrerades rättigheter skyddas. Åtgärderna ska vidtas både när det fastställs med vilka medel behandlingen utförs och vid själva behandlingen. Den personuppgiftsansvarige ska vidta åtgärder för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Vidare ska personuppgifterna som huvudregel inte utan den registrerades medverkan göras tillgängliga för ett obegränsat antal fysiska personer.

I artikel 32 i dataskyddsförordningen finns dessutom en bestämmelse som preciserar de säkerhetsåtgärder som bör vidtas enligt artikel 25 i dataskyddsförordningen. De åtgärder som ska vidtas ska, när det är lämpligt, inbegripa pseudonymisering och kryptering av personuppgifter, förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och -tjänsterna, förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet. Vid bedömningen av lämplig säkerhetsnivå ska särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Åtgärder ska vidare vidtas för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges eller personuppgiftsbiträdets överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige, om inte unionsrätten eller medlemsstaternas nationella rätt ålägger honom eller henne att göra det.

Utan att den personuppgiftsansvariges eget ansvar för att vidta lämpliga åtgärder för den skull upphör, kan mer specifika krav avseende bl.a. vilka säkerhetsåtgärder som ska vidtas i en viss verksamhet även föreskrivas i den nationella lagstiftningen med stöd av artikel 6.2 och 6.3 i dataskyddsförordningen. Att det finns lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen är vidare en förutsättning för att känsliga personuppgifter ska få behandlas för ett viktigt allmänt intresse (se avsnitt 7.8).

7.11.2 Tillgången till personuppgifter Enligt 114 kap. 19 § andra meningen SFB ska direktåtkomst till socialförsäkringsdatabasen för Försäkringskassan och Pensionsmyndigheten vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Behörighet för åtkomst till socialförsäkringsdatabasen ska enligt 114 kap. 17 § SFB begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter. För tilldelning av sådan behörighet gäller ett formkrav – behörigheten ska tilldelas genom en särskild handling i enlighet med föreskrifter som meddelas av regeringen eller den myndighet som regeringen bestämmer.

Enligt 8 § 1 förordningen om behandling av personuppgifter inom socialförsäkringens administration får Försäkringskassan meddela föreskrifter i fråga om formerna för tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen genom en särskild handling.

I förarbetena uttalas att bestämmelserna om tilldelning av behörighet inte ska gälla i fråga om handläggare av studiestödsärenden hos CSN som har direktåtkomst till socialförsäkringsdatabasen. Regeln om att behörigheten ska begränsas till vad som behövs för att den till vilken behörighet ges ska kunna fullgöra sina arbetsuppgifter ska dock gälla alla som får direktåtkomst 133 till socialförsäkringsdatabasen, dvs. även handläggare hos CSN. Även behörigheten för en handläggare på en annan myndighet än Försäkringskassan och Pensionsmyndigheten ska alltså begränsas till vad som behövs för att handläggaren ska kunna fullgöra sina arbetsuppgifter.

Även åtkomst till personuppgifter hos Migrationsverket ska enligt 114 kap. 17 § andra stycket SFB begränsas till vad som behövs för att den enskilde tjänstemannen ska kunna fullgöra sina arbetsuppgifter. Bakgrunden till detta är att det i 19 § utlänningsdatalagen (2016:27) anges att bl.a. Försäkringskassan, Pensionsmyndigheten och Skatteverket får medges direktåtkomst till personuppgifter hos Migrationsverket. Syftet med bestämmelsen i 114 kap. 17 § andra stycket SFB var att samma begränsning för åtkomst till Migrationsverkets personuppgifter som enligt 16 § första stycket utlänningsdatalagen gäller för Migrationsverkets egen personal även skulle gälla för Försäkringskassans personal vid direktåtkomst. I förarbetena till utlänningsdatalagen konstaterades att utlänningsdatalagen inte föreslås tillämpas av bl.a. Försäkringskassan och Pensionsmyndigheten och att en motsvarande begränsningsregel som den som gäller internt enligt den lagen därför bör finnas för dessa myndigheter i de författningar som närmare reglerar myndigheternas verksamhet. 134

Stora informationsmängder som är samlade så att uppgifter är enkelt sökbara på elektronisk väg medför allmänt sett en risk för intrång i den personliga integriteten. Risken för sådant intrång är särskilt stor om det – som ibland är fallet i Försäkringskassans och Pensionsmyndighetens verksamhet – rör sig om integritetskänsliga uppgifter. Vem som har rätt att använda uppgifterna och hur de sprids är omständigheter som påverkar risken för intrång i den personliga integriteten. Den stora mängd känsliga personuppgifter som behandlas av främst Försäkringskassan utgör enligt myndigheternas uppfattning skäl för att behålla en särskild bestämmelse med sikte på åtkomsten till personuppgifter inom myndigheternas verksamheter. För skyddet av den enskildes personliga integritet är det således enligt vår uppfattning viktigt att det uttryckligen regleras att personuppgifter i myndigheternas respektive verksamhet endast får göras tillgängliga för de medarbetare som behöver uppgifterna för sitt arbete. En sådan bestämmelse bör därför behållas i 114 kap. SFB.

Den som är anställd vid Försäkringskassan eller Pensionsmyndigheten eller på annan grund utför arbete inom denna myndighetssfär bör alltså inte av myndigheterna som arbetsgivare eller uppdragsgivare medges obegränsad tillgång till alla uppgifter och handlingar som behandlas inom ramen för tillämpningsområdet för 114 kap. SFB. Varje medarbetares behov av tillgång till personuppgifter ska prövas utifrån vad arbetsuppgifterna kräver och tillgången ska begränsas i enlighet med det. Det krävs således att arbetsgivaren/uppdragsgivaren aktivt tar ställning till vilket informationsbehov ett tjänsteåliggande eller uppdrag innebär och tilldelar erforderlig behörighet utifrån det.

133 Prop. 2002/03:135 s. 87. 134 Prop. 2015/16:65 s. 92. 110

Kravet på behovsprövning gäller även i de fall direktåtkomst till personuppgifter medges för andra myndigheter inom ramen för 114 kap. SFB:s tillämpningsområde. Vad gäller direktåtkomsten till Migrationsverket anser vi att det är tillräckligt med bestämmelser i Migrationsverkets och Försäkringskassans och Pensionsmyndighetens registerförfattningar om att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Ovan nämnda förarbetsuttalande avseende 114 kap. 17 § SFB talar för att bestämmelserna även omfattar situationen vid direktåtkomst. Om tillgången till personuppgifter vid direktåtkomst i något fall inte skulle omfattas av bestämmelserna i lagarna, gäller ändå dataskyddsförordningens bestämmelser om krav på säkerhet, som enligt myndigheternas uppfattning får anses medföra krav på begränsning av åtkomsten till personuppgifter. Vi ser därför inte skäl att behålla det särskilda kravet på prövning av behovet av tillgång till personuppgifter hos Migrationsverket.

Vidare anges i 114 kap. 17 § SFB att behörighet för åtkomst till socialförsäkringsdatabasen inom socialförsäkringens administration ska tilldelas genom en särskild handling . Vi anser att formkrav för hur tilldelning av behörighet för åtkomst till personuppgifter ska ske lämpligen bör ges i annan form än lag. Kravet i lagen på att behörigheten ska tilldelas genom en särskild handling bör därför tas bort. Regeringen eller den myndighet regeringen bestämmer kan dock meddela verkställighetsföreskrifter om formerna för begränsning av tillgången till personuppgifter. Någon upplysning om att regeringen kan utfärda verkställighetsföreskrifter finns det enligt vår mening inte något behov av, eftersom regeringen även utan sådan upplysning kan utfärda sådana föreskrifter i anslutning till lagen, se närmare om detta i avsnitt 7.21. Nuvarande upplysning om detta i 114 kap. 17 § första stycket ska därför tas bort. De närmare föreskrifterna bör i detta avseende lämpligen ange formerna för tilldelning av behörighet för åtkomst till personuppgifter samt krav på dokumentation av tilldelningen av behörighet. Dokumentationen bör omfatta vilken information om gränserna för behörigheten som lämnas och mottagarens mottagande av informationen. Bemyndigandet i 8 § 1 förordningen om behandling av personuppgifter inom socialförsäkringens administration att meddela föreskrifter i fråga om formerna för tilldelning av behörighet för åtkomst till socialförsäkringsdatabasen genom en särskild handling bör därför behållas men formuleringen ändras på så sätt att bemyndigandet ska avse formerna för tilldelning och återkallande av behörighet för åtkomst till personuppgifter.

Det förhållandet att en tjänsteman t.ex. genom tilldelning av ett tjänstekort som används för identitetskontroll eller liknande vid användning av en dator eller på annat sätt getts vissa faktiska möjligheter till åtkomst till uppgifter, saknar betydelse för huruvida en åtkomst sker olovligen eller inte. Med den reglering som föreslås, där tillgången ska vara behovsprövad, är det tjänsteåliggandena som ger den yttersta ramen för den egentliga behörigheten. I detta sammanhang är även straffbestämmelsen om dataintrång i 4 kap. 9 c § brottsbalken av betydelse. Enligt nämnda bestämmelse kan bl.a. den som olovligen bereder sig tillgång till upptagning för automatisk databehandling under vissa förutsättningar dömas för dataintrång till böter eller fängelse i högst två år. Bestämmelsen förutsätter inte att den som olovligen berett sig tillgång till en upptagning haft något särskilt syfte med intrånget för att gärningen skall vara straffbar. Vad som beläggs med straff är alltså bl.a. själva intrånget i en upptagning. Avgörande för huruvida någon anställd eller av annan anledning verksam inom någon av de aktuella myndigheterna kan bedömas ha olovligen berett sig tillgång till uppgifter bör vara om det skett inom ramen för dennes behörighet, dvs. den rättsligt betingade rättigheten att ta del av uppgifter,

eller inte. 135 Detta förhållande talar för att tilldelningen av behörighet bör ske under sådana former att det otvetydigt kan konstateras dels vilken behörighet som tilldelats en person, dels att denne faktiskt tagit del av och förstått innebörden av beslutet om tilldelning av behörighet och de däri angivna ramarna för behörigheten.

Vi föreslår sammantaget att 114 kap. SFB ska innehålla ett krav på att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

7.11.3 Kontroll av åtkomsten Enligt 114 kap. 34 § SFB ska Försäkringskassan genom särskilda åtgärder kontrollera efterlevnaden av kapitlet. Regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om kontrollen. I förarbetena till bestämmelsen anges att detta företrädesvis bör ske genom regelbunden kontroll av loggfiler etc. med syfte att kontrollera att inte sökning eller andra behandlingar skett som står i strid med lagens bestämmelser. 136 Försäkringskassan får enligt 8 § 9 förordningen om behandling av personuppgifter inom socialförsäkringens administration meddela föreskrifter i fråga om vilka särskilda åtgärder som Försäkringskassan och Pensionsmyndigheten ska vidta för att kontrollera efterlevnaden av bestämmelserna i 114 kap. socialförsäkringsbalken.

Av artikel 24 i dataskyddsförordningen framgår att den personuppgiftsansvarige ska genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med denna förordning. Enligt artikel 32 i dataskyddsförordningen ska åtgärder vidare vidtas för att säkerställa att varje fysisk person som utför arbete under den personuppgiftsansvariges överinseende, och som får tillgång till personuppgifter, endast behandlar dessa på instruktion från den personuppgiftsansvarige. Det framgår således av dataskyddsförordningen att den personuppgiftsansvarige ska vidta åtgärder för att kontrollera efterlevnaden av dataskyddsbestämmelserna. Mot bakgrund av den stora mängden personuppgifter som behandlas hos Försäkringskassan och Pensionsmyndigheten och den stora mängden medarbetare som kommer i kontakt med uppgifterna, anser myndigheterna att det ändå finns behov av att det av 114 kap. SFB framgår att åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt.

Kontroll kan ske genom såväl förebyggande arbete som efterkontroll. Styrning av tilldelning och begränsning av behörigheter är exempel på förebyggande tekniska och organisatoriska åtgärder. Ytterligare förebyggande arbete kan ske exempelvis genom utarbetande av verksamhetsprocesser, rutiner, internutbildningar och vid behov säkerhetsklassning av medarbetare. Anonymisering och pseudonymisering av direkt identifierbara personuppgifter är andra exempel på säkerhetsåtgärder som den personuppgiftsansvarige utifrån omständigheterna kan vidta. Kontroll av efterlevnaden av kravet på behovsbegränsning av tillgången till personuppgifter bör företrädesvis ske genom regelbunden kontroll av loggfiler och liknande. Loggkontroller medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då personuppgifter behandlats på ett otillåtet sätt. Information om att loggkontroller görs kan också ha en avskräckande funktion och därmed fungera som en förebyggande åtgärd.

Vi föreslår alltså att det i 114 kap. SFB föreskrivs att åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt. Något bemyndigande om att regeringen eller den myndighet

135 Jfr. RH 2000:90. 136 Prop. 2002/03:135 s. 126. 112

som regeringen bestämmer meddelar föreskrifter om kontrollen behövs inte eftersom det i så fall är fråga om verkställighetsföreskrifter (se avsnitt 7.21). Bemyndigandet i 8 § 9 förordningen om behandling av personuppgifter inom socialförsäkringens administration bör behållas men formuleras på så sätt att föreskrifter får meddelas i fråga om åtgärder för kontroll av åtkomsten till personuppgifter.

7.12 Direktåtkomst

7.12.1 Uttömmande reglering Förslag: Direktåtkomst till personuppgifter som behandlas inom Försäkringskassans respektive Pensionsmyndighetens verksamhet inom ramen för tillämpningsområdet för 114 kap. SFB ska endast vara tillåten i den utsträckning som anges i lag eller förordning.

Enligt 114 kap. 18 § SFB är direktåtkomst till socialförsäkringsdatabasen tillåten endast i den utsträckning som anges i lag eller förordning.

Vi har i avsnitt 7.4 föreslagit att begreppet socialförsäkringsdatabasen ska tas bort ur 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration. Eventuell direktåtkomst föreslås därför avse personuppgifter som behandlas inom ramen för tillämpningsområdet för 114 kap. SFB.

Vi har i avsnitt 6.6 konstaterat att regleringen i 114 kap. SFB av direktåtkomst bör, i den mån den förekommer, på samma sätt som idag vara uttömmande. Direktåtkomst till personuppgifter inom ramen för verksamhet som omfattas av tillämpningsområdet för 114 kap. SFB bör i enlighet med detta även i fortsättningen endast kunna medges i lag eller förordning.

7.12.2 Försäkringskassan och Pensionsmyndigheten Förslag: Försäkringskassan och Pensionsmyndigheten ska, i den utsträckning det behövs för något av de föreslagna primära ändamålen i 114 kap. 7 § 1 och 2 SFB – och alternativt det föreslagna primära ändamålet i 114 kap. 7 § SFB – och under förutsättning att uppgifter kan lämnas utan hinder av sekretess, få ha direktåtkomst till varandras personuppgifter. Vardera myndighet ska ha rätt att meddela föreskrifter i fråga om vilka uppgifter mottagaren får ha direktåtkomst till och formerna för direktåtkomsten. Myndigheterna ska utan hinder av sekretess ha rätt att ta del av sådana personuppgifter som myndigheterna har möjlighet att ge varandra direktåtkomst till.

Direktåtkomst – alternativ 1 Av 114 kap. 19 § första meningen SFB framgår att Försäkringskassan och Pensionsmyndigheten får ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för de ändamål som anges i 7–9 §§. Bestämmelsen tolkas idag som att myndigheterna får ha direktåtkomst till såväl sina egna uppgifter i socialförsäkringsdatabasen som den andra myndighetens uppgifter, under förutsättning att det behövs för de fastställda ändamålen i 114 kap. SFB. Försäkringskassan får enligt 8 § 2 förordningen om behandling av personuppgifter inom socialförsäkringens administration också meddela föreskrifter i fråga om vilka uppgifter i socialförsäkringsdatabasen Försäkringskassan och Pensionsmyndigheten får ha direktåtkomst till och formerna för direktåtkomsten.

Eftersom begreppet socialförsäkringsdatabasen föreslås tas bort (se avsnitt 7.4), behöver Försäkringskassans och Pensionsmyndighetens åtkomst till sina egna uppgifter inte regleras. 113

Som konstaterats i avsnitt 7.6 har Försäkringskassan och Pensionsmyndigheten en delvis gemensam IT-miljö. Det har sin bakgrund i att myndigheterna tidigare verkat som en gemensam myndighet. När de delades i två myndigheter fortsatte den s.k. socialförsäkringsdatabasen i vissa delar att vara gemensam. Myndigheterna kom att använda varandras uppgifter – och gör det fortfarande – dels på grund av behov som utgår från hur förmånslagstiftningen är utformad men även på grund av att IT-systemen är integrerade med varandra. Målsättningen är att myndigheternas IT-system ska separeras och ett sådant arbete pågår för närvarande. Till dess att det arbetet är färdigställt behöver dock myndigheterna, på samma sätt som tidigare, i viss utsträckning och för vissa ändamål ha direktåtkomst till varandras uppgifter.

Idag får Försäkringskassan och Pensionsmyndigheten ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för de ändamål som anges i 114 kap. 7–9 §§ SFB. Det innebär att myndigheterna får ha direktåtkomst till varandras uppgifter för andra ändamål än enbart de primära ändamålen. Det är inte rimligt att åtkomsten till uppgifter ska vara så omfattande; Försäkringskassan och Pensionsmyndigheten behöver inte ha direktåtkomst till fler uppgifter hos varandra än sådana uppgifter som behövs för tillämpningen av förmånslagstiftningen. Det rör sig alltså om uppgifter som behövs för att handlägga ärenden och uppgifter som behövs för att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, dvs. uppgifter som behövs för något av de två primära ändamål som föreslås i 114 kap. 7 § 1 och 2 SFB. Därtill kommer att principen att uppgifter inte får samlas in enbart i syfte att lämnas vidare till någon annan bör gälla. Vi föreslår därför att regleringen av direktåtkomst myndigheterna emellan ska begränsas till att avse sådana uppgifter som får behandlas med stöd av något av de primära ändamålen i 114 kap 7 § 1 och 2 SFB.

Vilka uppgifter direktåtkomsten närmare får omfatta får avgöras utifrån behovet av uppgifter inom respektive myndighets kärnverksamhet. Om Försäkringskassan, för att kunna bedöma rätten till en socialförsäkringsförmån enligt SFB typiskt sett har behov av Pensionsmyndighetens uppgift om en person, ska direktåtkomsten kunna omfatta denna uppgift.

En bestämmelse om att Försäkringskassan respektive Pensionsmyndigheten får ha direktåtkomst till varandras personuppgifter om det behövs för något av två av de primära ändamålen innebär alltså en begränsning av befintlig rätt till direktåtkomst. Åtkomsten är därutöver begränsad av sekretess och båda myndigheterna omfattas dessutom av krav på behörighetsbegränsningar (se avsnitt 7.11) som medför att endast de personer som behöver uppgifterna för sitt arbete, får utnyttja direktåtkomsten. I övrigt gäller naturligtvis dataskyddsförordningens krav på säkerhet. Om uppgifterna inte lämnas via direktåtkomst, finns möjlighet att istället lämna dem på medium för automatiserad behandling. Sammantaget bedömer vi att det finns stöd för bestämmelser om direktåtkomst.

När Försäkringskassan och Pensionsmyndigheten har separerat sina IT-system är målsättningen att all överföring av personuppgifter ska kunna ske på medium för automatiserad behandling. Till dess att sådan IT-utveckling är färdigställd föreslår dock myndigheterna att de – i den utsträckning det behövs för de föreslagna primära ändamålen i 114 kap. 7 § 1 och 2 SFB och under förutsättning att uppgifter kan lämnas utan hinder av sekretess – ska få ha direktåtkomst till varandras personuppgifter.

Av 114 kap. 19 § andra meningen SFB framgår att direktåtkomsten enligt första meningen ska vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Bestämmelsen är en säkerhetsåtgärd. Vi föreslår i avsnitt 7.11 att tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

I 8 § 2 förordningen om behandling av personuppgifter inom socialförsäkringens administration bemyndigas Försäkringskassan att meddela föreskrifter i fråga om vilka uppgifter i socialförsäkringsdatabasen Försäkringskassan och Pensionsmyndigheten får ha direktåtkomst till och formerna för direktåtkomsten. Försäkringskassan, men också Pensionsmyndigheten, bör var för sig på motsvarande sätt ha möjlighet att ange vilka uppgifter Försäkringskassan respektive Pensionsmyndigheten får ha direktåtkomst till och formerna för direktåtkomsten. Sådana föreskrifter begränsar möjligheten till direktåtkomst och får därför anses ha karaktären av säkerhetsåtgärder. Regeringen eller den myndighet som regeringen bestämmer ska enligt förslag i avsnitt 7.21 få meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. Det befintliga bemyndigandet i 8 § 2 förordningen om behandling av personuppgifter inom socialförsäkringens administration bör med stöd av riksdagens bemyndigande delas upp i två bestämmelser i samma förordning som ger vardera myndighet rätt att meddela föreskrifter i fråga om vilka uppgifter de får ha direktåtkomst till och formerna för direktåtkomsten.

Direktåtkomst – alternativ 2 Vi föreslår i avsnitt 7.7 två alternativa lösningar i fråga om primära ändamål. Om det primära ändamålet i 114 kap. SFB blir att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna, föreslår vi att Försäkringskassan och Pensionsmyndigheten ska få ha direktåtkomst till varandras uppgifter i den utsträckning det behövs för detta primära ändamål.

En sekretessbrytande bestämmelse En bestämmelse om direktåtkomst reglerar på vilket sätt uppgifter får lämnas ut från myndigheten. En sådan bestämmelse har dock ingen sekretessbrytande effekt utan måste kompletteras med en sekretessbrytande bestämmelse, om det finns en tillämplig bestämmelse om sekretess som omfattar den aktuella uppgiften. För förmånsuppgifter hos Försäkringskassan och Pensionsmyndigheten gäller sekretess enligt 28 kap. 1 § OSL och bestämmelser om direktåtkomst mellan myndigheterna kompletteras därför lämpligen med en uppgiftsskyldighet i enlighet med 10 kap. 28 § OSL. Det finns en sekretessbrytande bestämmelse i 110 kap. 31 § SFB som innebär att Försäkringskassan och Pensionsmyndigheten är skyldiga att till varandra på begäran lämna uppgifter som avser en namngiven person när det gäller förhållanden som är av betydelse för tillämpningen av SFB. Sekretessbrytande regler som ska möjliggöra ett uppgiftsutbyte mellan två myndigheter genom direktåtkomst måste dock omfatta alla uppgifter som den utlämnande myndigheten rent tekniskt gör tillgängliga för den mottagande myndig- 137 heten. Den sekretessbrytande regeln kan således inte begränsas till att enbart avse sådana uppgifter som den mottagande myndigheten i konkreta fall har rätt att ta del av. Bestämmelsen i 110 kap. 31 § SFB kan därför inte ligga till grund för sådan rätt till direktåtkomst som vi nu föreslår. Några andra sekretessbrytande bestämmelser som kan ge stöd för föreslagen direktåtkomst myndigheterna emellan finns inte. Vi bedömer därför att det finns behov av en ny uppgiftsskyldighet mellan myndigheterna.

137 Prop. 2007/08:160 s. 70 f. 115

Bestämmelser om uppgiftsskyldighet bör utformas efter en intresseavvägning mellan myndigheternas behov av att ta del av uppgifterna och de intressen de aktuella sekretessbestämmelserna avser att skydda. Det är viktigt att uppgiftsskyldigheten inte leder till att fler uppgifter än nödvändigt lämnas, inte minst ur integritetssynpunkt. Detta följer även av dataskyddsförordningen och principen om uppgiftsminimering. I det här fallet avser uppgiftsskyldigheten att omfatta sådana uppgifter som Försäkringskassan och Pensionsmyndigheten har behov av i sina handläggande verksamheter. Intresset av att myndigheterna kan utbyta information får därför anses motivera att uppgifter lämnas mellan myndigheterna för ändamål som är direkt knutna till den verksamheten.

En uppgiftsskyldighet som är kopplad till en direktåtkomst utformas ofta på så sätt att de uppgifter skyldigheten ska omfatta detaljerat räknas upp i bestämmelsen. Ibland anges även de ändamål för vilka uppgifterna ska behandlas hos den mottagande myndigheten. 138 Med hänsyn till att Försäkringskassans och Pensionsmyndighetens IT-system sedan lång tid tillbaka är integrerade och att behovet av uppgifter är varierande, är det dock inte möjligt att närmare precisera vilka uppgifter som ska omfattas av uppgiftsskyldigheten. Uppgiftsskyldigheten måste därför istället enbart förhålla sig till de ändamål för vilka uppgifterna ska behandlas hos den mottagande myndigheten, dvs. samma rekvisit som anges i direktåtkomstbestämmelsen. Försäkringskassan och Pensionsmyndigheten behöver, som ovan konstaterats, utbyta information genom direktåtkomst med varandra för de föreslagna primära ändamålen i 114 kap. 7 § 1 och 2 SFB. Detta framgår av den bestämmelse om direktåtkomst som vi föreslår. Den sekretessbrytande bestämmelsen ska därför utformas så att uppgiftsskyldighet ska gälla vid sådan direktåtkomst som vi föreslår. Uppgiftsskyldigheten ska därmed formuleras så att Försäkringskassan och Pensionsmyndigheten har rätt att, utan hinder av sekretess, ta del av sådana personuppgifter som myndigheterna har möjlighet att ge varandra direktåtkomst till med stöd av den föreslagna direktåtkomstbestämmelsen.

Den föreslagna regleringen ska ha en sekretessbrytande effekt i den mening som avses i 10 kap. 28 § OSL. De uppgifter som omfattas av uppgiftsskyldigheten ska, så som bestämmelsen föreslås formuleras, kunna lämnas utan en uttrycklig begäran i varje enskilt fall. Den kommer alltså att omfatta alla de uppgifter som tekniskt tillgängliggörs genom direktåtkomsten. Direktåtkomst är dock endast tillåten när uppgifterna behövs för vissa specifika ändamål i den mottagande myndighetens kärnverksamhet. Ett medgivande till direktåtkomst måste därför alltid föregås av en dialog mellan de berörda aktörerna. I samband med det får den mottagande myndigheten precisera vilka uppgifter myndigheten anser sig behöva få del av. Utlämnande myndighet får i samband med detta ta ställning till om uppgifterna omfattas av den föreslagna uppgiftsskyldigheten.

Det kan konstateras att sekretess enligt 28 kap. 1 § OSL kan gälla i både Försäkringskassans och Pensionsmyndighetens verksamhet. I Pensionsmyndighetens verksamhet kan uppgifter även omfattas av sekretess enligt 28 kap. 5 § OSL. Det bör dock inte vara aktuellt för Försäkringskassan att till sin verksamhet inhämta sådana uppgifter som omfattas av den sistnämnda sekretessregleringen. Eftersom båda myndigheterna således tillämpar samma primära sekretess, aktualiseras inte bestämmelser om överföring av sekretess utan myndigheterna kommer att tillämpa 28 kap. 1 § OSL på såväl sina egna uppgifter som sådana som myndigheten har direktåtkomst till.

138 Se t.ex. 7 § förordningen (2001:588) om behandling av uppgifter i Skatteverkets beskattningsverksamhet och 17 kap. 3 § utlänningslagen (2005:716) samt 7 kap. 15 a § utlänningsförordningen (2006:97). 116

Vi föreslår i avsnitt 6.2 att ett nytt kapitel, 114 a kap. SFB, ska föras in i lagen. Kapitlet ska bl.a. innehålla en uppgiftsskyldighet i förhållande till Inspektionen för socialförsäkringen. Det framstår som lämpligt att en uppgiftsskyldighet mellan myndigheterna placeras i samma kapitel. Ett annat alternativ är att placera bestämmelsen i 110 kap. SFB, där flera andra uppgiftsskyldigheter på socialförsäkringsområdet återfinns. Den direkta kopplingen till 114 kap. SFB och det faktum att uppgiftsskyldigheten i förhållande till ISF föreslås placeras i det nya 114 a kap. SFB talar dock för att även denna uppgiftsskyldighet bör föras in där.

Vi föreslår sammantaget att en ny uppgiftsskyldighet mellan Försäkringskassan och Pensionsmyndigheten, som avser sådana personuppgifter som myndigheterna har möjlighet att ge varandra direktåtkomst till med stöd av den föreslagna direktåtkomstbestämmelsen, ska föras in i det i avsnitt 6.2 föreslagna 114 a kap. SFB. Bestämmelsen bör vara en sådan sekretessbrytande bestämmelse som avses i 10 kap. 28 § OSL.

Allmänna ombudet Enligt 2 kap. 2 § SFB ska det hos Försäkringskassan finnas ett allmänt ombud för socialförsäkringen som utses av regeringen. Allmänna ombudet och dess kansli är således organisatoriskt inordnad i Försäkringskassan. Trots ombudets självständiga ställning konstateras i förarbetena att ombudets verksamhet inte är en sådan skild verksamhetsgren som avses i 8 kap. 2 § OSL. 139 Bedömningen görs mot bakgrund av att såväl ombudet som Försäkringskassan tillämpar socialförsäkringssekretessen enligt 28 kap. 1 § OSL. Det föreligger alltså ingen sekretessgräns mellan Försäkringskassan och det allmänna ombudet. Däremot blir handlingar, i enlighet med 2 kap. 11 § TF, allmänna om de lämnas mellan Försäkringskassan och det 140 allmänna ombudet.

Allmänna ombudet har i dagsläget tillgång till Försäkringskassans ärendehanteringssystem och kan ta del av innehållet i akterna direkt i systemet. För att ombudet ska kunna ta del av uppgifter i förmånsärenden hos Försäkringskassan, krävs ingen sekretessbrytande bestämmelse eftersom det inte föreligger någon sekretessgräns mellan Försäkringskassan och ombudet. När uppgifter lämnas från Pensionsmyndigheten till det allmänna ombudet, sker dock ett utlämnande från en myndighet till en annan. För att det allmänna ombudet ska kunna ta del av sekretessbelagda förmånsuppgifter hos Pensionsmyndigheten, krävs därför en sekretessbrytande bestämmelse. När det allmänna ombudet begär uppgifter från Pensionsmyndigheten, kan bestämmelsen i 110 kap. 31 § SFB tillämpas. I övrigt lämnas uppgifter ut med stöd av generalklausulen.

Bestämmelsen i 114 kap. 19 § SFB ger idag såväl Försäkringskassan som Pensionsmyndigheten stöd för direktåtkomst till socialförsäkringsdatabasen. Eftersom det allmänna ombudet omfattas av tillämpningsområdet för 114 kap. SFB (se avsnitt 7.1.1) och är organisatoriskt inordnad hos Försäkringskassan, får även ombudet anses ha stöd för direktåtkomst till socialförsäkringsdatabasen. Frågan är om förslaget att ta bort begreppet socialförsäkringsdatabasen (se avsnitt 7.4) påverkar det allmänna ombudets möjlighet att få digital åtkomst till Försäkringskassans och Pensionsmyndighetens förmånsuppgifter.

Följden av förslaget att ta bort begreppet socialförsäkringsdatabasen är att det saknas behov av att reglera intern direktåtkomst. Myndigheterna förutsätts istället ha digital åtkomst till sina

139 Prop. 2003/04:152 s. 150. 140 Prop. 2003/04:152 s. 249. 117

personuppgifter. För att de anställda inte ska ha obegränsad åtkomst, ska behörigheter utformas utifrån vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (se avsnitt 7.11). Detta innebär att även det allmänna ombudet, som är en organisatorisk del av Försäkringskassan, utan särskilt lagstöd kan medges digital åtkomst till uppgifter i Försäkringskassans förmånsärenden. I likhet med alla andra som arbetar hos Försäkringskassan ska även allmänna ombudets tillgång till personuppgifter begränsas utifrån vad ombudet behöver för att kunna fullgöra sina arbetsuppgifter.

Försäkringskassan förslås få direktåtkomst till Pensionsmyndighetens personuppgifter. Detta förslag medför att även det allmänna ombudet, som en organisatorisk del av Försäkringskassan, inom ramen för sin ärendehandläggning kan få direktåtkomst till personuppgifter hos Pensionsmyndigheten. Den nya sekretessbrytande bestämmelse som föreslås ovan kommer att vara tillämplig även för det allmänna ombudet. Motsvarande sekretessbrytande bestämmelse saknas idag. Det allmänna ombudet kommer därför som en följd av förslagen att kunna få direktåtkomst till Pensionsmyndighetens uppgifter; något som inte är möjligt idag på grund av att det saknas en tillämplig sekretessbrytande uppgiftsskyldighet.

Vi föreslår följaktligen inga särskilda bestämmelser ifråga om det allmänna ombudets åtkomst till personuppgifter hos Försäkringskassan och Pensionsmyndigheten.

7.12.3 Centrala studiestödsnämnden och arbetslöshetskassorna Förslag: Bestämmelserna i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration om att Centrala studiestödsnämnden och arbetslöshetskassorna får ha direktåtkomst till socialförsäkringsdatabasen ska upphävas.

Av 114 kap. 21 § SFB framgår att Centrala studiestödsnämnden (CSN) och arbetslöshetskassorna får ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för ändamål som anges i 8 § 1. Enligt 3 § förordningen om behandling av personuppgifter inom socialförsäkringens administration får CSN och arbetslöshetskassorna ha direktåtkomst till dels sådana personuppgifter i socialförsäkringsdatabasen som gäller den registrerades namn, personnummer och, i förekommande fall, samordningsnummer och dels avses i 2 § 10, 16 och 33 samma förordning.

Såvitt har framkommit inom ramen för nu aktuell översyn använder inte CSN och arbetslöshetskassorna sin möjlighet till direktåtkomst till socialförsäkringsdatabasen i dag (se bilagorna 1 och 2). Uppgifter lämnas istället på medium för automatiserad behandling. 141 CSN har dock framfört att föreslagen ändring, på grund av utformningen av 15 § andra stycket studiestödsdataförordningen (2009:321), skulle kräva en ändring av eller tillägg till regleringen i 15 § andra stycket studiestödsdataförordningen för att nuvarande informationsutbyte mellan myndigheterna ska kunna fortgå. Nämnda reglering i studiestödsdataförordningen möjliggör enligt CSN för myndigheten att lämna ut uppgifter elektroniskt till Försäkringskassan, tack vare att CSN har direktåtkomst till socialförsäkringsdatabasen (se bilaga 1). Vi menar dock att 15 § andra stycket studiestödsdataförordningen bör vara möjlig att tillämpa även då det inte finns en författningsreglerad möjlighet att använda sig av direktåtkomst hos Försäkringskassan och Pensionsmyndigheten, eftersom 15 § andra stycket studiestödsdataförordningen ger stöd för att lämna ut personuppgifter på medium för automatiserad behandling när ett utlämnande behövs

141 Högsta förvaltningsdomstolen har i HFD 2015 ref. 61 konstaterat att utlämnande av uppgifter via LEFI Online inte är direktåtkomst. 118

för att en annan part ska kunna lämna uppgifter till CSN. Ett exempel på sådant utlämnande bör kunna vara när CSN efterfrågar uppgifter hos Försäkringskassan i ett fråga/svar-system. Vi menar att det inte följer av vare sig 15 § andra stycket studiestödsdataförordningen eller förarbetena till bestämmelsen 142 att det är en förutsättning att CSN har direktåtkomst till Försäkringskassan för att bestämmelsen ska kunna tillämpas.

Eftersom bestämmelserna om direktåtkomst i 114 kap. 21 § SFB och 3 § förordningen om behandling av personuppgifter inom socialförsäkringens administration inte behövs anser vi, i enlighet med de slutsatser som framgår av avsnitt 6.6, att bestämmelserna bör upphävas.

7.12.4 Socialnämnder Förslag: Bestämmelserna i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration om att en socialnämnd får ha direktåtkomst till socialförsäkringsdatabasen ska upphävas.

Enligt 114 kap. 22 § SFB får en socialnämnd ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för ändamål som anges i 8 § 4. En socialnämnd får ha direktåtkomst först sedan Försäkringskassan eller Pensionsmyndigheten har försäkrat sig om att handläggare hos socialnämnd bara kan ta del av uppgifter om personer som är aktuella i ärenden hos nämnden. Av 3 b § förordningen om behandling av personuppgifter inom socialförsäkringens administration framgår att en socialnämnd under de förutsättningar som anges i 114 kap. 22 § SFB får ha direktåtkomst till sådana personuppgifter i socialförsäkringsdatabasen som Försäkringskassan och Pensionsmyndigheten enligt förordningen (2008:975) om uppgiftsskyldighet i vissa fall enligt socialtjänstlagen (2001:453) ska lämna ut till socialnämnden.

Vi kan konstatera att uppgiftsutbytet med kommunernas socialnämnder i dagsläget sker på 143 medium för automatiserad behandling. Eftersom socialnämnderna erhåller uppgifter på annat sätt än genom direktåtkomst (se bilaga 3), anser vi i enlighet med de slutsatser som framgår av avsnitt 6.6 att bestämmelserna i 114 kap. 22 § SFB och 3 b § förordningen om behandling av personuppgifter inom socialförsäkringens administration bör upphävas.

7.12.5 Samverkan avseende rehabiliteringsinsatser Förslag: Bestämmelsen i förordningen om behandling av personuppgifter inom socialförsäkringens administration om att Arbetsförmedlingen, kommuner och regioner som deltar i samverkan och finansiell samordning inom rehabiliteringsområdet får ha direktåtkomst till personuppgifter i socialförsäkringsdatabasen i den utsträckning den registrerade samtycker till det ska regleras i lag och föras in i 114 kap. SFB med vissa mindre redaktionella ändringar. Bestämmelsen om att endast de personer vid nämnda myndigheter som ansvarar för den lokala samverkansaktivitet i vilken den registrerade deltar får ges behörighet för direktåtkomst till sådana personuppgifter ska behållas i förordningen.

Av 3 a § förordningen om behandling av personuppgifter inom socialförsäkringens administration framgår att Arbetsförmedlingen, kommuner och regioner som deltar i samverkan och finansiell samordning inom rehabiliteringsområdet får ha direktåtkomst till personuppgifter i socialförsäkringsdatabasen i den utsträckning den registrerade samtycker till det. Endast de

Prop. 2008/09: 96 s. 61. 142 143 Högsta förvaltningsdomstolen har i HFD 2015 ref. 61 konstaterat att utlämnande av uppgifter via LEFI Online inte är direktåtkomst. 119

personer vid nämnda myndigheter som ansvarar för den lokala samverkansaktivitet i vilken den registrerade deltar får ges behörighet för direktåtkomst till sådana personuppgifter.

Arbetsförmedlingen och Försäkringskassan samverkar enligt lag och förordning, både i särskilda regeringsuppdrag och egeninitierade projekt och arbetsgrupper. Försäkringskassan, Arbetsförmedlingen, kommuner och regioner får som medlemmar i ett samordningsförbund också bedriva finansiell samordning av insatser avseende individer som är i behov av samordnade rehabiliteringsinsatser. Detta framgår av lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser. För att insatserna och samverkan ska kunna administreras och följas upp på ett effektivt sätt, har det tagits fram ett IT-system som kallas SUS.

Regeringen har genom bestämmelsen i 3 a § förordningen om behandling av personuppgifter inom socialförsäkringens administration möjliggjort för Arbetsförmedlingen, kommuner och regioner att ha direktåtkomst till personuppgifter i socialförsäkringsdatabasen, vilket får tolkas som att 114 kap. SFB är tillämpligt och att SUS är en del av socialförsäkringsdatabasen. Försäkringskassan är därmed personuppgiftsansvarig för de uppgifter som registrerats i SUS och ändamålet får anses rymmas inom angivna primära ändamål i 114 kap. 7 § SFB. Arbetsförmedlingen, kommuner och regioner anses lämna uppgifter till Försäkringskassan när de registrerar uppgifter i SUS och de har sedan direktåtkomst till uppgifterna.

Som förutsättning för direktåtkomsten gäller att den enskilde, som är föremål för rehabiliteringsinsatserna, ger sitt samtycke till den. Samtycket utgör inte en rättslig grund för behandlingen av personuppgifter utan får snarare anses utgöra en integritetshöjande åtgärd, dvs. en skyddsåtgärd 144 . Skyddsåtgärder är sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2. och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsför- 145 ordningen.

Vi bedömer att Arbetsförmedlingen, kommuner och regioner som deltar i samverkan och finansiell samordning inom rehabiliteringsområdet även fortsättningsvis behöver ha direktåtkomst till uppgifter som registreras med anledning av samordningen. Eftersom Försäkringskassan, Arbetsförmedlingen, kommuner och regioner använder ett gemensamt IT-system för uppföljning, kan överföringen av uppgifter inte lösas genom utlämnande på medium för automatiserad behandling. Genom att direktåtkomst endast får förekomma i den mån den registrerade har samtyckt till den, begränsas direktåtkomsten genom en skyddsåtgärd som ger den registrerade kontroll över behandlingen av sina uppgifter. Vi föreslår också att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid direktåtkomst (se avsnitt 7.21). Med stöd av ett sådant bemyndigande bör det i förordningen om behandling av personuppgifter inom socialförsäkringens administration anges att endast de personer som hos Arbetsförmedlingen, kommuner och regioner ansvarar för den samverkansaktivitet i vilken den registrerade deltar får ges behörighet för direktåtkomst till sådana personuppgifter. Omfattningen av direktåtkomsten styrs också av möjligheterna att behandla personuppgifter, som i sin tur begränsas av bestämmelserna i 114 kap. SFB. Regeringen har sedan tidigare bedömt att direktåtkomsten

144 Jfr prop. 2017/18:171 s. 140. 145 Prop. 2017/18:171 s. 141. 120

är förenlig med den enskildes rätt till skydd för sin personliga integritet 146 och vi föreslår ingen utökning av befintlig direktåtkomst. Sammantaget får det därför anses finnas skäl för en bestämmelse om direktåtkomst som, i syfte att skapa en tydligare systematik, bör regleras i lag. För att skapa ytterligare tydlighet bör en hänvisning göras till lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser. Istället för socialförsäkringsdatabasen ska avses uppgifter hos Försäkringskassan (jfr avsnitt 7.4).

Vi föreslår sammantaget att det regleras i 114 kap. SFB att Arbetsförmedlingen, kommuner och regioner som deltar i samverkan och sådan finansiell samordning som avses i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser får ha direktåtkomst till sådana personuppgifter hos Försäkringskassan som behandlas med anledning av samordningen i den utsträckning den registrerade samtycker till det. Kravet på att endast de personer vid nämnda myndigheter som ansvarar för den lokala samverkansaktivitet i vilken den registrerade deltar får ges behörighet för direktåtkomst till sådana personuppgifter ska behållas i förordningen om behandling av personuppgifter inom socialförsäkringens administration med stöd av ett bemyndigande som föreslås i avsnitt 7.21.

Det förslag vi lämnar anknyter till nuvarande reglering. Det har inte funnits utrymme att inom ramen för denna översyn göra en fullständig genomgång av de behov av behandling av personuppgifter som föranledes av rehabiliteringssamarbetet. Försäkringskassan konstaterar dock att det finns ett behov av en sådan genomgång och avser att återkomma i frågan.

7.12.6 Enskilda Förslag: Bestämmelsen i förordningen om behandling av personuppgifter inom socialförsäkringens administration om att den registrerade får ha direktåtkomst till sådana personuppgifter om sig själv i socialförsäkringsdatabasen som får lämnas ut till denne ska regleras i lag och föras in i 114 kap. SFB med vissa ändringar. Direktåtkomsten ska omfatta sådana personuppgifter som behandlas hos Försäkringskassan och Pensionsmyndigheten för ändamålen att handlägga ärenden och att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, alternativt samtliga personuppgifter som behandlas hos Försäkringskassan och Pensionsmyndigheten inom tillämpningsområdet för 114 kap. SFB. Motsvarande direktåtkomst ska även få ges till förmyndare, förvaltare, god man och ombud för den registrerade. I förordningen om behandling av personuppgifter inom socialförsäkringens administration ska föreskrivas att identiteten hos den som medges direktåtkomst ska kontrolleras genom en säker metod för identifiering.

Enligt 4 § förordningen om behandling av personuppgifter inom socialförsäkringens administration får den registrerade ha direktåtkomst till sådana personuppgifter om sig själv i socialförsäkringsdatabasen som får lämnas ut till denne. Vid sådan direktåtkomst ska den registrerades identitet kontrolleras genom en säker metod för identifiering.

Av förarbetena till 114 kap. SFB framgår att den direktåtkomst till socialförsäkringsdatabasen som, vid bestämmelsens tillkomst, bedömdes aktuell för enskilda var direktåtkomst till uppgifter via Internet. Under förutsättning att säkerheten var tillräcklig ansåg regeringen att det inte fanns några integritetsskäl som talade mot att enskilda kan ta del av uppgifter om sig själva

146 Bestämmelsen i 3 a § förordningen om behandling av personuppgifter inom socialförsäkringens administration ändrades inte i samband med översynen av författningar när dataskyddsförordningens skulle börja tillämpas. 121

via Internet. Regeringen menade emellertid i linje med de ställningstaganden som tidigare gjorts på området att enskildas direktåtkomst till uppgifter i socialförsäkringsdatabasen med hänsyn till bl.a. sekretessproblematiken och vikten av en säker identifiering endast bör vara tillåten i de fall sådan åtkomst särskilt medges i lag eller förordning. 147

Vi anser att tidigare resonemang är fortsatt relevant och att enskilda bör kunna ha åtkomst till sina egna uppgifter via myndigheternas självbetjäningssidor på Internet. De uppgifter det för den enskilde är relevant att ha direktåtkomst till är dock endast sådana uppgifter som behandlas i förebyggande syfte – dvs. för att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas i ärenden om förmåner och ersättningar – och för handläggning av ärenden. Det saknas anledning att utsträcka direktåtkomsten till uppgifter om den enskilde som behandlas för andra ändamål, t.ex. kontroll- och analysåtgärder eller statistik. Sådana uppgifter har den registrerade dock rätt att ta del av i ett registerutdrag.

Om det primära ändamålet blir att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna (se det alternativa förslaget till primärt ändamål i avsnitt 7.7 kan direktåtkomstens omfattning inte kopplas till olika primära ändamål. Direktåtkomsten bör då omfatta samtliga uppgifter om den registrerade som behandlas inom ramen för tillämpningsområdet för 114 kap. SFB.

Sekretess föreligger vanligen inte mot den enskilde själv, men om vissa uppgifter ändå skulle omfattas av sekretess, t.ex. enligt 28 kap. 2 eller 3 §§ OSL, ska rätt till direktåtkomst inte föreligga.

Det är den registrerade som har möjlighet att få direktåtkomst med stöd av 4 § förordningen om behandling av personuppgifter inom socialförsäkringens administration. En registrerad är enligt definitionen i artikel 4.1 i dataskyddsförordningen en identifierad eller identifierbar fysisk person. Definitionen är kopplad till definitionen av personuppgifter, vilket innebär att den registrerade alltså är den personen som uppgifterna avser. Frågan är då om möjligheten för den registrerade att få direktåtkomst kan utsträckas till någon annan.

Högsta förvaltningsdomstolen har i ett avgörande, som gällde ett landstings möjlighet att tillåta patienter att ge ombud åtkomst till deras patientjournaler, konstaterat att det är tydligt att lagstiftaren genom 5 kap. 4 och 5 §§ patientdatalagen (2008:355) uttömmande avsett att reglera till vem och under vilka förutsättningar en vårdgivare får ge direktåtkomst till en enskild. Av 5 kap. 4 § första stycket patientdatalagen framgår att utlämnande genom direktåtkomst till personuppgifter är tillåten endast i den utsträckning som anges i lag eller förordning. Enligt 5 kap. 5 § första stycket patientdatalagen får en vårdgivare medge en enskild direktåtkomst till sådana uppgifter om den enskilde själv som får lämnas ut till honom eller henne och som behandlas för vissa av de ändamål som anges i 2 kap. 4 § första stycket, bl.a. för journalföringen. Högsta förvaltningsdomstolen menade att varken ordalydelsen i bestämmelsen i 5 kap. 5 § första stycket patientdatalagen eller motiven talade för att lagstiftaren med bestämmelsen avsett att ge vårdgivaren möjlighet att lämna ut uppgifter genom direktåtkomst till någon annan än patienten. 148

Det som var föremål för Högsta förvaltningsdomstolens prövning var ombuds möjlighet att ta del av uppgifter genom direktåtkomst; målet omfattade inte vad som gäller för förmyndare,

147 Prop. 2002/03:135 s. 96. 148 HFD 2017 ref. 67. 122

förvaltare eller god man. I kommentaren till dataskyddsförordningen anges att huvudregeln i fall då det krävs att den registrerade ska ha gjort något, t.ex. framställt en begäran enligt artikel 15–22, lär vara att varje registrerad som faktiskt kan vidta åtgärden och förstår vad den innebär får vidta åtgärden, även om han eller hon är t.ex. omyndig enligt tillämplig rätt. Bara om den registrerade, t.ex. ett barn, faktiskt inte kan vidta åtgärden, får förmodligen föräldrar eller andra ställföreträdare såsom förvaltare och god man vidta åtgärden för den registrerades räkning, t.ex. begära och få ett registerutdrag enligt artikel 15. Enligt kommentaren kan man som regel utan vidare godta att vårdnadshavare för barn och ungdomar under 13 år vidtar åtgärder för under- 149 åriga.

Datainspektionen angav i sina allmänna råd om information att en ansökan om information från vårdnadshavare eller i förekommande fall god man eller förvaltare bör accepteras om den 150 registrerade själv inte kan tillgodogöra sig den information som omfattas av ansökan. De allmänna råden gällde dock personuppgiftslagens bestämmelser. I kommentaren till personuppgiftslagen angavs att om den registrerade, t.ex. ett barn, faktiskt inte kan vidta en åtgärd, får föräldrar eller andra ställföreträdare såsom förvaltare och god man vidta åtgärden för den registrerades räkning. 151

I 5 kap. 6 § lagen (2018:1212) om nationell läkemedelslista har införts en möjlighet att ge direktåtkomst till en annan fysisk person som patienten utsett genom en fullmakt som finns registrerad i den nationella läkemedelslistan. I förarbetena diskuterades den problematik en sådan möjlighet medför. Det konstaterades att det kan leda till ett obehörigt nyttjande av uppgifterna i registret och att patienten kan känna sig tvingad eller bli vilseledd till att medge direktåtkomst till uppgifter. Integritetsriskerna fick emellertid vägas mot det behov som vissa patienter har av att kunna utse en person som kan hjälpa dem med det praktiska kring deras läkemedelsanvändning. Behovet angavs kunna föranledas av att patienten på grund av hög ålder eller fysiska hinder behöver hjälp med att hålla ordning på sina läkemedel genom att t.ex. få en översikt över de läkemedel som finns i registret som visar på vilka läkemedel som patienten 152 faktiskt ska ta.

Förmyndare, förvaltare, god man och ombud kan idag inte ta del av uppgifter om den enskilde via Försäkringskassans och Pensionsmyndighetens självbetjäningstjänster. Det finns dock ett stort behov för personer med t.ex. ett funktionshinder eller hög ålder att kunna få hjälp med att administrera sina förmåner, ersättningar eller pension via Internet. Motsvarande integritetsproblematik som konstaterats vid införandet av lagen om nationell läkemedelslista finns i och för sig även ifråga om direktåtkomst till uppgifter om de registrerade hos Försäkringskassan och Pensionsmyndigheten. Det kan dock konstateras att den som är förmyndare, förvaltare, god man eller ombud redan idag får uppgifter från Försäkringskassan och Pensionsmyndigheten eftersom de tar del av korrespondensen med myndigheterna. Skillnaden är att de inte får del av uppgifterna via självbetjäningstjänsterna. Mot bakgrund av den digitala utvecklingen och ambitionen att majoriteten av myndigheternas ärenden ska kunna hanteras via självbetjäningstjänster, får en möjlighet att ge förmyndare, förvaltare, god man och ombud direktåtkomst dock anses ligga i linje med den eftersträvade utvecklingen på e-förvaltningsområdet.

149 Öman, Dataskyddsförordningen (GDPR) mm – En kommentar , JUNO Version 1A Datainspektionens allmänna råd om information s. 19. 150 151 Öman och Lindblom, Personuppgiftslagen – en kommentar , upplaga 3 s. 87. 152 Prop. 2017/18:223 s. 165. 123

Det är oklart om förmyndare, förvaltare och god man kan få direktåtkomst med stöd av befintlig lagstiftning. Enligt kommentaren till dataskyddsförordningen kan en ställföreträdare agera för den registrerades räkning om den registrerade själv inte kan vidta åtgärden. Att det finns en förmyndare, förvaltare eller god man utesluter dock inte att den registrerade själv kan utnyttja en direktåtkomst. Möjligheten att ge fler direktåtkomst syftar många gånger snarare till att komplettera den registrerades direktåtkomst. För att skapa tydlighet i frågan bör det uttryckligen framgå av lagtexten vilka som kan ges direktåtkomst. För att ett ombud ska kunna ges direktåtkomst till uppgifter om den registrerade krävs det ytterligare reglering utöver att den registrerade själv medges direktåtkomst.

I syfte att åstadkomma en enhetlig systematik i lagstiftningen, bör direktåtkomsten regleras i 114 kap. SFB. En direktåtkomst för enskilda förutsätter säkra tekniska lösningar för att säkerställa identifieringen av den som efterfrågar uppgifter. Sådana krav på säkerhetsåtgärder regleras lämpligen inte i lag utan bör kunna meddelas i föreskrifter. Vi föreslår i avsnitt 7.21 ett bemyndigande för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. Skyddsåtgärder är sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2. och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i 153 myndighetsutövning enligt artikel 6.1 c eller e i dataskyddsförordningen.

Vi föreslår därför att den registrerade får ha direktåtkomst till sådana personuppgifter om sig själv som behandlas hos Försäkringskassan och Pensionsmyndigheten för ändamålen att handlägga ärenden och tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas – alternativt samtliga personuppgifter om den registrerade som behandlas hos Försäkringskassan och Pensionsmyndigheten inom ramen för tillämpningsområdet för 114 kap. SFB – under förutsättning att uppgifterna får lämnas ut till denne. Motsvarande direktåtkomst bör även få ges till förmyndare, förvaltare, god man och ombud för den registrerade. Detta bör regleras i lag. I förordningen om behandling av personuppgifter inom socialförsäkringens administration bör föreskrivas att identiteten hos den som medges direktåtkomst ska kontrolleras genom en säker metod för identifiering.

7.13 Utlämnande på medium för automatiserad behandling

Förslag: Bestämmelserna om utlämnande på medium för automatiserad behandling i 114 kap. SFB och i förordningen om behandling av personuppgifter inom socialförsäkringens administration ska upphävas.

Vi har i avsnitt 6.6 kommit till slutsatsen att dataskyddsförordningens krav tillsammans med de begränsningar som i övrigt följer av förslaget till utformning av 114 kap. SFB och föreliggande sekretesslagstiftning räcker för att utlämnanden på medium för automatiserad behandling inte ska medföra kränkningar av den personliga integriteten.

Befintliga bestämmelser i 114 kap. SFB och förordningen om behandling av personuppgifter inom socialförsäkringens administration om utlämnande på medium för automatiserad behandling reglerar huvudsakligen sättet för utlämnande. Bestämmelserna i 114 kap. 25 och 26 §§ SFB innehåller dock ytterligare en begränsning i form av krav på samtycke från den enskilde. Kravet

153 Prop. 2017/18:171 s. 141. 124

på samtycke avser utlämnandet; det är alltså ingen rättslig grund för behandlingen av personuppgifter. Det är dock tveksamt vilket värde kravet på samtycke har i form av integritetshöjande åtgärd, dvs. en skyddsåtgärd, i förhållande till utlämnandet av uppgifter.

Bestämmelsen i 114 kap. 25 § SFB avser att möjliggöra en tjänst där den registrerade kan ta del av uppgifter om intjänad pension via en webbaserad tjänst. Paragrafen anknyter till verksamheten med en portal på Internet för pensionsinformation, www.minpension.se. minPension ger den enskilde möjlighet att sammanställa en översikt av dennes pensionssituation. När en kund registrerar sig på minPensions webbplats tecknar denne ett användaravtal med minPension och bekräftar behandlingen av personuppgifter. Av användaravtalet framgår att kunden ger minPension i uppdrag att automatiserat inhämta information från de pensionsaktörer som är anslutna till tjänsten, däribland Pensionsmyndigheten, Försäkringskassan och försäkringsbolag m.fl. Behandlingen av personuppgifter sker alltså på den enskildes initiativ – det är den registrerade som själv via Internet begär att uppgifterna ska lämnas ut. Det framstår därför inte som befogat att den enskilde, utöver att begära uppgifter via tjänsten, ska samtycka till att uppgifterna lämnas på medium för automatiserad behandling. Mot bakgrund av detta anser vi att regleringen i 114 kap. 25 § SFB ska upphävas. Som en följd av detta ska även bemyndigandet för Försäkringskassan i 8 § 5 förordningen om behandling av personuppgifter inom socialförsäkringens administration att meddela föreskrifter i fråga om vilka uppgifter i socialförsäkringsdatabasen som får lämnas ut på medium för automatiserad behandling för sammanställning av gemensam pensionsinformation upphävas. Det blir i stället en fråga utifrån dataskyddsförordningens krav och föreliggande sekretesslagstiftning vilka uppgifter som får lämnas ut på 154 medium för automatiserad behandling i den aktuella situationen.

Det utlämnande som avses i 114 kap. 26 § SFB sker, beroende på vilka uppgifter det handlar om, med stöd av en sekretessbrytande bestämmelse i 110 kap. 39 § 1 SFB eller med stöd av ett samtycke från den enskilde. Ett samtycke till utlämnandet i sekretesshänseende bör anses

154 Vi konstaterar att myndigheternas förslag, om de genomförs, kommer att påverka regleringen i 12 § Riksförsäkringsverkets föreskrifter (RFFS 2004:1) om behandling av personuppgifter inom socialförsäkringens administration. Den bestämmelsen anger att under de förutsättningar som anges i 114 kap. 25 § socialförsäkringsbalken får från socialförsäkringsdatabasen lämnas ut uppgifter om personnummer, prognos för pension vid olika tillväxtalternativ, uttag av ålderspension, behållning av inkomstpension, behållning av premiepension, sjukersättning, aktivitetsersättning och arbetsskadeersättning. Om bemyndigandet att meddela föreskrifter i nu aktuell situation tas bort kommer även regleringen i Riksförsäkringsverkets föreskrifter att behöva tas bort. Vi konstaterar att regleringen i fråga enbart styr vad som kan lämnas ut till minPension på medium för automatiserad behandling. I annan form än elektronisk är det således möjligt att lämna ut andra typer av uppgifter så länge inte sekretess gäller för uppgifterna. Numera torde nivån av säkerhet i de elektroniska systemen ge en högre skyddsnivå för informationen än vad som är fallet beträffande vanlig postbefordran. De skäl som tidigare motiverade den närmare regleringen av vilka typer av uppgifter som får lämnas ut elektroniskt gör sig därför inte längre gällande på samma sätt som förut. Vidare kan en dylik reglering där det finns utrymme att precisera vilka typer av uppgifter som får lämnas ut till sin natur ge upphov till vissa tolkningsfrågor och gränsdragningsproblem. En sådan fråga för Pensionsmyndigheten har varit huruvida uppgift om ”behållning av premiepension” i uppräkningen ovan även får anses innefatta uppgift om fondinnehav. Det användaravtal som kunden tecknar med minPension betraktas även som ett sekretessmedgivande i förhållande till Pensionsmyndigheten, dvs. att kunden ger sitt samtycke till att upphäva den sekretess som kan gälla för information som sedan lämnas ut till minPension. Detta samtycke är i nuläget generellt utformat. I syfte att tydliggöra för den enskilde vilka uppgifter som faktiskt kan komma att lämnas ut och för att öka skyddet för den enskildes personliga integritet skulle Pensionsmyndigheten och minPension i samråd kunna utforma ett mer specifikt samtycke för utlämnande av information som kan omfattas av sekretess till skydd för den enskilde som specifikt avser vissa typer av uppgifter. Det blir då den enskildes sekretessmedgivande som avgör vilka uppgifter som får lämnas ut till minPension. Vi gör av ovan angivna skäl bedömningen att även regleringen i 12 § i föreskrifterna (RFFS 2004:1) kommer att kunna tas bort som en följd av att regleringen ändras i övrigt, utan att det innebär någon ökad risk för enskildas personliga integritet. 125

föreligga när det finns en fullmakt för försäkringsgivaren att få ut erforderliga uppgifter för skaderegleringen från myndigheterna. Enligt vår mening kan det inte anses motiverat att den enskilde därutöver ska behöva samtycka till ett digitalt utlämnande. Som konstaterats generellt i fråga om utlämnande på medium för automatiserad behandling får dataskyddsförordningens krav tillsammans med de begränsningar som i övrigt följer av förslaget till utformning av 114 kap. SFB och föreliggande sekretesslagstiftning anses vara tillräckliga för att utlämnanden på medium för automatiserad behandling inte ska medföra kränkningar av den personliga integriteten. Därmed ska även bemyndigandet i 8 § 6 förordningen om behandling av personuppgifter inom socialförsäkringens administration för Försäkringskassan att meddela föreskrifter i fråga om vilka uppgifter i socialförsäkringsdatabasen som får lämnas ut på medium för automatiserad behandling till organ som driver försäkringsrörelse tas bort.

Vi föreslår således att bestämmelserna i 114 kap. 24–26 a §§ SFB samt 4 a–5 §§ och 8 § 5 och 6 förordningen om behandling av personuppgifter inom socialförsäkringens administration ska upphävas.

7.14 Sökbegränsningar

Förslag: Det ska som huvudregel vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Personuppgifter som rör hälsa ska dock få användas i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning och som urvalskriterium vid sammanställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det. Nuvarande föreskrifter som meddelats av regeringen ska behållas i sak, bortsett från en regel om behörighetstilldelning som ska tas bort. Övriga sökbegränsningar ska upphävas.

Av 114 kap. 27 § SFB framgår att känsliga personuppgifter eller uppgifter om lagöverträdelser inte får användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning som omfattar innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende får endast ärendebeteckning eller beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om begränsningar i övrigt för vilka sökbegrepp som får användas. Försäkringskassan får enligt 8 § 7 förordningen om behandling av personuppgifter inom socialförsäkringens administration meddela föreskrifter i fråga om begränsningar av de sökbegrepp som får användas vid sökning i socialförsäkringsdatabasen.

Utan hinder av de begränsningar för sökning som anges i 114 kap. 27 § SFB får personuppgifter som rör hälsa enligt 114 kap. 28 § SFB användas som urvalskriterium vid sammanställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det. Sådana föreskrifter finns i 6 § förordningen om behandling av personuppgifter inom socialförsäkringens administration. Av bestämmelsen framgår att sådana sammanställningar som avses i 114 kap. 28 § SFB får göras avseende urval för tillsyn samt sjukpenning, sjuk-, aktivitets-, rehabiliterings- och arbetsskadeersättning i fråga om stöd för prioritering och planering av handläggningen, urval av ärenden för en tidig bedömning av den försäkrades möjligheter att återfå arbetsförmågan, underlag för diskussioner med arbetsgivare, vårdgivare eller leverantörer, urval av ärenden för särskilda rehabiliteringsinsatser, och uppföljning och utvärdering av vidtagna åtgärder. Behörighet att göra sådana sammanställningar får ges endast till ett begränsat antal personer vid Försäkringskassan.

Sökförbudet i 114 kap. 27 § första stycket SFB är som huvudregel absolut, om än förenat med en möjlighet att göra undantag, och gäller oavsett för vilket ändamål sökningen görs. Det kan dock i vissa fall vara befogat att använda känsliga personuppgifter vid sökningar. I tidigare lagstiftningsarbeten har det lyfts fram behov av att kunna söka på känsliga personuppgifter i samband med bl.a. registervård, tillsyn, för att kunna ta fram verksamhetsstatistik och kvalitetssäkra verksamheten. Främst Försäkringskassan har mot bakgrund av sitt uppdrag att följa, analysera och förmedla socialförsäkringssystemets utveckling och effekter för enskilda och samhälle inom sitt verksamhetsområde dessutom behov av att kunna ta fram och analysera information om människors hälsa. Försäkringskassan har också i sin handläggande verksamhet behov av att kunna utgå från uppgifter i ärenden för bl.a. prioritering och planering och uppföljning av vidtagna åtgärder.

I dataskyddslagen och brottsdatalagen är de angiva sökbegränsningarna inte absoluta utan utgår från syftet med sökningen. Enligt båda lagarna gäller att det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. I förarbetena till dataskyddslagen konstaterades att en sådan utformning inte innebär större möjligheter att använda känsliga personuppgifter som sökbegrepp vid sådana sökningar som sökförbudet är avsett att hindra, såsom kartläggning av personer på grundval av etnicitet, än vad som gäller vid ett absolut sökförbud. Däremot hindrar en sådan sökbegränsning inte sökningar som görs för andra ändamål, t.ex. i syfte att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård, dvs. då syftet med sökningen inte är att identifiera ett urval av individer. 155 Vi tolkar förarbetsuttalandet som att det, med en sådan utformning av sökbegränsningen, är tillåtet att söka på känsliga personuppgifter för samtliga tillåtna ändamål så länge slutresultatet – eller ett delresultat – inte utgör en kartläggning av personer utifrån en känslig personuppgift. Det ska inte vara möjligt att göra en kartläggning av personer genom att maskera kartläggningen som en tillsynsåtgärd eller liknande.

I lagstiftning som tillkommit efter dataskyddslagen och brottsdatalagen har lagstiftaren valt att utforma sökbegränsningarna efter motsvarande modell. Det är genomgående förbjudet att göra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter, se t.ex. 6 § kriminalvårdsdatalagen (2018:1235), 13 § kustbevakningsdatalagen (2019:429), 17 kap. 7 § spellagen (2018:1138), 2 kap. 21 § vägtrafikdatalagen (2019:369) och 2 kap. 3 § och 3 kap. 4 § lagen (2020:421) om Rättsmedicinalverkets behandling av personuppgifter. Förbudet att göra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter kompletteras dock ofta av undantag som bedömts som berättigade utifrån den enskilda verksamhetens behov. I 6 § andra stycket kriminalvårdsdatalagen finns ett undantag vad gäller sökning i säkerhetsregistret. I 13 § andra stycket kustbevakningsdatalagen anges att första stycket inte hindrar att uppgifter som beskriver en persons utseende används som sökbegrepp. Enligt 2 kap. 4 § respektive 3 kap. 5 § lagen om Rättsmedicinalverkets behandling av personuppgifter hindrar sökförbudet i 2 kap. 3 § respektive 3 kap. 4 § inte att särskilda beteckningar för identifiering av en viss ärendetyp, brottsrubriceringar eller uppgifter som beskriver en persons utseende används som sökbegrepp.

Som skyddsåtgärd måste en bestämmelse om sökbegränsningar utformas på ett sådant sätt att den enskildes personliga integritet beaktas. Syftet är dock inte att omöjliggöra sådana sökningar som behöver göras för att en myndighets verksamhet ska kunna fungera. Intresset av att skydda den enskilde måste vägas mot myndighetens intresse av att kunna utföra sitt uppdrag. Ett

155 Prop. 2017/18:105 s. 91. 127

generellt förbud att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter bör därför kompletteras med undantag som är nödvändiga för att Försäkringskassan och Pensionsmyndigheten ska kunna fullgöra sina uppgifter på ett korrekt, rättssäkert och effektivt sätt.

I framför allt Försäkringskassans verksamhet finns behov av att kunna göra sökningar utifrån uppgifter om förmåner och ersättningar. Det måste vara möjligt att t.ex. ta fram uppgifter om personer som beviljats sjukpenningförmåner under en viss period eller under vissa förutsättningar. Behovet finns inom stora delar av verksamheten – för planering, handläggning, kontroll, uppföljning, utvärdering och statistikframställning. Eftersom omständigheten att någon har ansökt om, beviljats eller fått avslag på en ansökan om vissa sjukförsäkringsförmåner kan avslöja något om personens tidigare, nuvarande eller framtida hälsotillstånd, kan sådana uppgifter utgöra känsliga personuppgifter om hälsa. För att detta ska vara tillåtet, krävs att det görs ett undantag från huvudregeln att det inte är tillåtet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Undantaget bör innebära att det är tillåtet att göra sökningar på känsliga personuppgifter i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning. I vissa fall kan det också finnas behov av att kunna använda mer specifika uppgifter om hälsa, t.ex. diagnoser eller funktionsnedsättningar, som urvalskriterium vid sammanställningar. Eftersom det rör sig om påtagliga behov för verksamheten bör sådana sökningar kunna tillåtas. Vi bedömer att ett mer generellt undantag för sökningar på uppgifter om förmåner och ersättningar bör göras i lag, medan regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare undantag för mer specifika uppgifter och situationer.

Redan idag framgår av 6 § första stycket förordningen om behandling av personuppgifter inom socialförsäkringens administration att personuppgifter som rör hälsa får användas som urvalskriterium vid sammanställningar avseende urval för tillsyn. Uppgifter om hälsa får också användas vid sammanställningar inom förmånerna sjukpenning, sjuk-, aktivitets-, rehabiliterings- och arbetsskadeersättning i fråga om • stöd för prioritering och planering av handläggningen, • urval av ärenden för en tidig bedömning av den försäkrades möjligheter att återfå arbetsförmågan, • underlag för diskussioner med arbetsgivare, vårdgivare eller leverantörer, • urval av ärenden för särskilda rehabiliteringsinsatser, och • uppföljning och utvärdering av vidtagna åtgärder.

Eftersom det för de i 6 § uppräknade ändamålen kan finnas behov av att ta fram ett urval av personer baserat på en känslig personuppgift, som inte är en uppgift om förmån eller ersättning, kommer behandlingen inte att tillåtas med stöd av den föreslagna huvudregeln i 114 kap. SFB. Om myndigheterna även fortsättningsvis ska kunna använda exempelvis uppgifter om diagnos som urvalskriterium för ovan uppräknade ändamål, måste bestämmelsen alltså behållas. Vi konstaterar dessutom att behovet inte är begränsat till de idag uppräknade förmånerna. Behovet återfinns inom fler förmåner, t.ex. assistansersättning. Eftersom möjligheten att göra sökningar, oavsett förmån, tillåts enbart för vissa specifika ändamål som ligger inom ramen för en handläggningssituation, bör en utökning av sökningsmöjligheterna till fler förmåner inte medföra några risker för den enskildes personliga integritet. Behovet av sökningar för dessa specifika ändamål uppstår inte heller i handläggningen av samtliga förmåner och ersättningar utan förekommer endast i vissa förmåner. Vi föreslår därför att regleringen i 6 § första stycket förordningen om behandling av personuppgifter inom socialförsäkringens administration ska 128

behållas i sak men att begränsningen till vissa uppräknade förmåner ska tas bort. I övrigt föreslås vissa redaktionella ändringar.

Enligt 6 § andra stycket förordningen om behandling av personuppgifter inom socialförsäkringens administration får behörighet att göra sådana sammanställningar ges endast till ett begränsat antal personer vid Försäkringskassan. Denna princip bör även fortsättningsvis gälla, men den får anses framgå av förslaget som lämnas i avsnitt 7.11. Någon särskild reglering angående detta behövs därför inte i förordning.

Befintligt sökförbud i 114 kap. 27 § första stycket SFB omfattar, förutom känsliga personuppgifter, även uppgifter om lagöverträdelser. Vi föreslår i avsnitt 7.9 att 114 kap. SFB inte ska innehålla några särskilda bestämmelser om uppgifter om lagöverträdelser. Istället gäller enbart dataskyddsförordningen och övriga bestämmelser för behandling av personuppgifter. Av samma skäl bör sökbegränsningen inte heller omfatta uppgifter om lagöverträdelser.

I 114 kap. 27 § andra stycket begränsas möjligheterna att söka i innehållet i fler än en handling i socialförsäkringsdatabasen som kommit in i ett ärende eller upprättats i ett ärende. Endast ärendebeteckning eller beteckning på handling får användas som sökbegrepp. Enligt förarbetena ska handläggare inte kunna söka efter ärenden och enskilda handlingar på annat sätt än 156 genom att använda sådana begrepp som används i ett diarium. Vi vill framhålla att denna begränsning orsakar stora svårigheter i att hitta handlingar, t.ex. beslut som uppfyller vissa kriterier, vid begäran om allmän handling. Vi vill också understryka att varje sökning, precis som all annan behandling av personuppgifter, måste uppfylla de grundläggande kraven i artikel 5 i dataskyddsförordningen. Det är därför, oavsett sökbegränsningar, inte tillåtet för handläggare att söka efter uppgifter hur som helst. Mot den bakgrunden är det fullt rimligt att, som i dag, ha begränsade sökfunktioner i ärendehanteringssystemet. Det bör dock vara möjligt att i enstaka fall och med vissa behörigheter kunna använda andra sökbegrepp än ärendebeteckning och beteckning på handling för att söka efter vissa ärenden eller handlingar. Vi anser att övriga sökbegränsningar, kravet på begränsade och kravet på kontroller och uppföljning (avsnitt 7.11) tillgodoser enskildas behov av skydd för den personliga integriteten. Det föreligger därför inte behov av ytterligare sökbegränsningar än den som avser känsliga personuppgifter.

Vi har bedömt att det är förenligt med dataskyddsförordningen att under vissa förutsättningar låta myndigheterna behandla känsliga personuppgifter (se avsnitt 7.8). En sökning är en behandling. Regeringen har bedömt att sökbegränsningar är sådana mer specifika, eller särskilda, bestämmelser som det enligt artikel 6.2 och 6.3 i dataskyddsförordningen är tillåtet att ha i nationell rätt för att reglera behandling som grundar sig på en rättslig förpliktelse eller en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning enligt artikel 6.1 c 157 eller e i dataskyddsförordningen. Av skäl 10 i dataskyddsförordningen framgår att medlemsstaternas handlingsutrymme att specificera sina bestämmelser även gäller för behandling av känsliga personuppgifter. En sökbegränsning utgör även en sådan skyddsåtgärd som krävs 158 enligt artikel 9.2 g i dataskyddsförordningen (se avsnitt 7.8.1). Vi bedömer därmed att en sökbegränsning förenad med undantag är förenlig med dataskyddsförordningen.

Prop. 2002/03:135 s. 107 f. 156 157 Prop. 2017/18:171 s. 141. 158 Prop. 2017/18:105 s. 90. 129

Vi föreslår sammantaget att det som huvudregel ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Personuppgifter som rör hälsa ska dock få användas i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning och som urvalskriterium vid sammanställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det. Bemyndigandet i nuvarande reglering i 114 kap. 28 § SFB ska således behållas. Nuvarande föreskrifter som meddelats av regeringen ska behållas i sak, bortsett från en regel om behörighetstilldelning som ska upphöra att gälla. Övriga sökbegränsningar, inklusive bemyndigandet till regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om begränsningar i övrigt för vilka sökbegrepp som får användas, ska upphävas. Även bemyndigandet för Försäkringskassan i 8 § 7 förordningen om behandling av personuppgifter inom socialförsäkringens administration att meddela föreskrifter i fråga om begränsningar av de sökbegrepp som får användas vid sökning i socialförsäkringsdatabasen bör upphävas.

Sökbegränsningar och begränsningsregeln i TF I samband med tidigare lagstiftningsarbeten har olika myndigheter framfört behovet av att ytterligare överväga hur den föreslagna sökbegränsningen förhåller sig till den s.k. begränsningsregeln i 2 kap. 7 § TF. Regeringen har med anledning av dessa synpunkter hänvisat 159 till offentlighetsprincipen och tillämpliga sekretessbestämmelser. Av bestämmelsen i TF följer dock att en sammanställning inte anses förvarad hos en myndighet om sammanställningen innehåller personuppgifter och myndigheten enligt lag eller förordning saknar befogenhet att göra sammanställningen tillgänglig. Sammanställningar av uppgifter, s.k. potentiella handlingar, är alltså inte allmänna handlingar om myndigheten inte har legal åtkomst till sammanställningen på grund av en sökbegränsning i registerförfattning. Att en myndighet överhuvudtaget inte ska sammanställa en begärd handling och att vissa uppgifter i handlingen inte ska lämnas ut på grund av sekretess är inte samma sak. Det behövs därför ett klargörande av hur en sökbegränsning som utgår från syftet förhåller sig till begränsningsregeln.

Hur dataskyddsregelverket rent generellt förhåller sig till offentlighetsprincipen har berörts i avsnitt 7.1.3. Vi konstaterar att avsikten med begränsningsregeln är att allmänheten inte med stöd av offentlighetsprincipen ska kunna ta del av sammanställningar av uppgifter ur upptagningar som myndigheten med hänsyn till skyddet för enskildas integritet är rättsligt förhindrad 160 att ta fram i sin egen verksamhet. Det står klart att absoluta sökförbud, dvs. förbud som innebär att en myndighet inte under några förhållanden får använda en uppgift som sökbegrepp, 161 aktualiserar begränsningsregeln. Det får även anses stå klart att ändamålsbegränsningar i 162 registerförfattningar inte aktualiserar begränsningsregeln. Hur det förhåller sig med absoluta sökförbud som kompletterats med undantag eller ändamålsinriktade sökbegränsningar är 163 oklart.

När en myndighet gör sökningar i syfte att ta fram en potentiell handling på grund av en begäran om allmän handling, får detta anses ske för ändamålet att lämna ut en allmän handling; inte för det ändamål den som begär handlingen avser att använda handlingen till. Eftersom en sökbegränsning som endast förbjuder sökningar för vissa angivna syften inte förhindrar sökningar

159 Se t.ex. prop. 2017/18:232 s. 156 och prop. 2017/18:248 s. 27 f. 160 Prop. 2001/02:70 s. 17. 161 SOU 2015:39 s. 322. Prop. 2007/08:160 s. 69, SOU 2010:4 s. 148 och 285, prop. 2009/10:85 s. 154 f. och SOU 2017: 29 s. 275. 162 163 Se olika slutsatser i bl.a. prop. 2007/08:126 s. 125, prop. 2009/10:85 s 154, SOU 2015:39 s. 110, SOU 2017:29 s. 275. 130

i syfte att sammanställa allmänna handlingar, drar vi slutsatsen att en sådan sökbegränsning inte aktualiserar begränsningsregeln. I detta sammanhang är det även av betydelse att konstatera att den föreslagna bestämmelsen, enligt samma resonemang, inte heller bör begränsa myndighetens möjligheter att identifiera och efterforska utbegärda handlingar med hjälp av känsliga 164 personuppgifter som sökbegrepp (s.k. färdiga elektroniska handlingar).

7.15 Överföring av personuppgifter till tredjeland

Förslag: Bestämmelsen i 114 kap. SFB om att personuppgifter i vissa fall får föras över till tredjeland ska upphävas.

Enligt 114 kap. 29 § SFB får personuppgifter föras över till tredjeland på grund av åtaganden i avtal om social trygghet som Sverige ingått med andra stater.

Personuppgifter får enligt dataskyddsförordningen överföras till tredjeland eller en internationell organisation endast under vissa förutsättningar. Som en allmän princip för överföring av personuppgifter anges i artikel 44 i dataskyddsförordningen att överföring av personuppgifter som är under behandling eller är avsedda att behandlas efter det att de har överförts till ett tredjeland eller en internationell organisation bara får ske under förutsättning att den personuppgiftsansvarige och personuppgiftsbiträdet, med förbehåll för övriga bestämmelser, uppfyller villkoren i artikel 45–49 i dataskyddsförordningen.

Enligt artikel 45 i dataskyddsförordningen får personuppgifter överföras om kommissionen har beslutat att tredjelandet, ett territorium eller en eller flera specificerade sektorer i tredjelandet, eller den internationella organisationen i fråga säkerställer en adekvat skyddsnivå. I avsaknad av ett beslut från kommissionen får personuppgifter enligt artikel 46 i dataskyddsförordningen överföras till tredjeland eller en internationell organisation efter att lämpliga skyddsåtgärder vidtagits och på villkor att lagstadgade rättigheter för registrerade och effektiva rättsmedel för registrerade finns tillgängliga. Därutöver, det vill säga om det inte finns ett beslut från kommissionen eller om lämpliga skyddsåtgärder saknas, anges i artikel 49 i dataskyddsförordningen ett antal förhållanden som kan grunda rätt till överföring till tredjeland i särskilda situationer. De inledande villkoren i artikel 49.1 a–c i dataskyddsförordningen gäller inte för åtgärder som vidtas av myndigheter som ett led i myndighetsutövning (artikel 49.3). Någon sådan begränsning finns inte för övriga undantag i artikeln. Det villkor som främst är aktuellt för Försäkringskassans och Pensionsmyndighetens del framgår av artikel 49.1 d i dataskyddsförordningen. Enligt bestämmelsen får en överföring till ett tredjeland göras när den är nödvändig av viktiga skäl som rör allmänintresset. En överföring är även tillåten om den är nödvändig för att kunna fastställa, göra gällande eller försvara rättsliga anspråk eller skydda den registrerades eller andra personers grundläggande intressen, när den registrerade är fysiskt eller rättsligt förhindrad att ge sitt samtycke (artikel 49.1 e och f i dataskyddsförordningen). Slutligen är en överföring från ett register som är avsett att ge allmänheten information tillåten under vissa förutsättningar enligt artikel 49.1 g i dataskyddsförordningen.

Överföring av personuppgifter på grund av avtal om social trygghet bedöms i förarbetena till 114 kap. 29 § SFB vara ett viktigt allmänt intresse enligt artikel 26 i det numera upphävda

164 Geijer m.fl, Offentlighets- och sekretesslagen , k ommentaren till 2 kap. 7 § TF, version 21, prop. 2001/02:70 s. 56, och SOU 2001:3 s. 145. 131

dataskyddsdirektivet. 165 Skälen för detta är giltiga även i förhållande till artikel 49 i dataskydds- 166 förordningen. Av skäl 112 till dataskyddsförordningen framgår dessutom att internationella utbyten av uppgifter mellan socialförsäkringsmyndigheter är en uppgiftsöverföring som krävs och är nödvändig med hänsyn till viktiga allmänintressen. Allmänintresset ska enligt artikel 49.4 vara erkänt i unionsrätten eller i den nationella rätt som den personuppgiftsansvarige omfattas av. Detta krav är uppfyllt bl.a. genom att internationell överföring av personuppgifter mellan socialförsäkringsmyndigheter särskilt omnämns i skälen till dataskyddsförordningen 167 och genom artikel 34.1 i rättighetsstadgan.

Bestämmelsen i 114 kap. 29 § SFB tillkom för att tydliggöra att överföring fick ske utan hinder av bestämmelserna i 33 § personuppgiftslagen. 168 Vid översynen av 114 kap. SFB med anledning av dataskyddsförordningen konstaterades att en överföring kan ske direkt med stöd av dataskyddsförordningen men att bestämmelsen fyller en funktion för att klargöra erkännandet av allmänintresset av att personuppgifter får föras över till tredjeland på grund av åtaganden i avtal om social trygghet som Sverige har ingått med andra stater. Bestämmelsen ändrades därför enbart på det sättet att hänvisningen till 33 § i den numera upphävda personuppgiftslagen togs bort. 169

Att så som i 114 kap. 29 § SFB erkänna ett allmänintresse av att personuppgifter förs över till tredjeland på grund av åtaganden medför fördelar i form av förenklad tillämpning. Eftersom överföringen är tillåten med direkt tillämpning av dataskyddsförordningen är emellertid en sådan bestämmelse enligt vår mening överflödig. Den riskerar också att upplevas som uttömmande trots att även annan överföring till tredjeland är tillåten under förutsättning att artikel 46–49 i dataskyddsförordningen är uppfyllda. Nu aktuell översyn av 114 kap. SFB och anslutande förordning syftar bl.a. till att renodla det aktuella regelverket så att enbart sådana bestämmelser som särskilt behövs för Försäkringskassans och Pensionsmyndighetens verksamhet inom socialförsäkringsområdet behålls. Eftersom bestämmelsen i 114 kap. 29 § SFB inte behövs, föreslår vi att bestämmelsen ska upphävas.

7.16 Registerutdrag

Förslag: Bestämmelsen i 114 kap. SFB om begränsningar av skyldigheten att lämna information enligt artikel 15 i dataskyddsförordningen ska ändras på så sätt att personuppgifter som den registrerade har tagit del av och som behandlas i löpande text i ärenden behöver tas med i sådan information endast om den registrerade begär det. Av informationen ska det dock framgå i vilka ärenden det behandlas personuppgifter i löpande text.

I 114 kap. 30 § SFB finns det en bestämmelse som kompletterar artikel 15 i dataskyddsförordningen, som i sin tur anger vilken information den personuppgiftsansvarige ska lämna på begäran av den registrerade, dvs. den information som lämnas i ett s.k. registerutdrag. Enligt 114 kap. 30 § SFB gäller denna skyldighet i ett första skede inte personuppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende, om den registrerade tagit del av handlingens innehåll. Eftersom den enskilde ofta i enlighet med 25 § förvaltningslagen har

165 Prop. 2002/03:135 s. 112 f. 166 SOU 2017:66 s. 432. 167 SOU 2017:66 s. 432. 168 Prop. 2002/03:135 s. 113. Av 33 § personuppgiftslagen framgick att det var förbjudet att till tredje land föra över personuppgifter som var under behandling om landet inte hade en adekvat nivå för skyddet av personuppgifterna. Förbudet gällde också överföring av personuppgifter för behandling i tredje land. 169 Prop. 2017/18:171 s. 196 f. 132

kommunicerats uppgifter som tillförts ett ärende från annan än honom eller henne själv, har den registrerade i de flesta fall tagit del av de personuppgifter som finns i handlingar som kommit in i ett ärende eller upprättats i ett ärende. Då behöver Försäkringskassan eller Pensionsmyndigheten endast lämna information om vilka sådana handlingar som behandlas. Om den registrerade sedan begär att få information om personuppgifter i en sådan handling och anger vilken handling som avses, ska registerutdraget omfatta även dessa uppgifter, om inte annat följer av bestämmelser om sekretess.

Bestämmelsen i 114 kap. 30 § SFB medför en viss begränsning av rätten enligt artikel 15 i dataskyddsförordningen. Samtlig information kan inte fås i ett första steg utan det krävs att den registrerade först tar del av information om vilka handlingar som finns, för att sedan begära att även få del av innehållet i handlingarna. Begränsningen är dock inte särskilt ingripande och medför ingen rättsförlust, eftersom rätten att få del av samtliga personuppgifter kvarstår även om den förutsätter en större ansträngning från den registrerades sida. Regeringen har i samband med att 114 kap. SFB anpassades till dataskyddsförordningen bedömt att bestämmelsen är för- 170 enlig med dataskyddsförordningen.

Försäkringskassans och Pensionsmyndighetens begränsade skyldighet att i ett första steg lämna uppgifter i registerutdrag går långt tillbaka. Regeringen har som skäl för begränsningen angett att det rör sig om stora mängder information, att en obegränsad skyldighet att lämna uppgifter skulle medföra en stor arbetsbelastning för myndigheten och att den enskilde egentligen inte är intresserad av all information eftersom det rör sig om handlingar som den enskilde själv lämnat till myndigheten eller som redan expedierats till honom eller henne inom ramen för handläggningen av ett ärende. 171

Personuppgifter behandlas numera helt elektroniskt i större utsträckning än tidigare och funktioner för registerutdrag integreras i IT-systemen. Mängden personuppgifter påverkar därför inte myndigheternas arbetsbelastning vid framtagning av registerutdrag på samma sätt som tidigare. Uppgifter som registreras i systemen kan via automatiserade lösningar ingå i ett registerutdrag. Personuppgifter som behandlas i löpande text, framför allt i inscannad form, är dock besvärligare att identifiera och automatiskt ta med i ett registerutdrag. Även om det finns textanalysverktyg som kan bearbeta uppgifter i ostrukturerade texter, kvarstår svårigheter som fortfarande motiverar ett undantag för personuppgifter i socialförsäkringsärenden. De skäl som regeringen tidigare har angett för att motivera en begränsning av skyldigheten att lämna registerutdrag är därför fortfarande relevanta för Försäkringskassan och Pensionsmyndigheten.

I praktiken har begränsningen tillämpats på så sätt att den som begär ett registerutdrag dels får del av sådana uppgifter som finns registrerade i olika IT-system och dels får ”innehållsförteckningar” från ärendehanteringssystemet där det framgår vilka handlingar som finns i olika ärenden. När den registrerade har begärt att få ut uppgifter i handlingarna, har handlingarna lämnats ut, eftersom det saknas möjlighet att på ett smidigt sätt sammanställa de personuppgifter som förekommer i handlingarna. Eftersom registerutdrag ska vara kostnadsfria, till skillnad från vad som gäller vid partsinsyn och begäran om allmän handling då avgiftsförordningen (1992:191) är tillämplig, förekommer det att möjligheten att begära registerutdrag används som ett alternativt sätt att få ta del av handlingar utan att behöva betala för dem. Tidigare har registerutdrag enligt personuppgiftslagen kunnat begäras kostnadsfritt en gång per år men någon sådan ettårsbegränsning finns inte enligt dataskyddsförordningen. Istället gäller

170 Prop. 2017/18:171 s. 128 f. och 198 f. 171 Prop. 2000/01:69 s. 29. 133

enligt artikel 12.5 i dataskyddsförordningen att den personuppgiftsansvarige får ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts eller vägra att tillmötesgå begäran om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art. Vad ”repetitiv art” betyder är oklart, men det bör kunna förutsättas att det krävs ett flertal begäranden under en kortare period för att begäran ska anses vara av repetitiv art. Enligt artikel 15.3 i dataskyddsförordningen får den personuppgiftsansvarige också ta ut en rimlig avgift på grundval av de administrativa kostnaderna för en kopia av registerutdraget, men det gäller enbart kopior och inte vid en ny begäran.

Artikel 15 i dataskyddsförordningen ger inte den registrerade någon rätt att ta del av den hand- 172 ling där uppgifter om honom eller henne förekommer. Den registrerade har enligt artikeln rätt att få tillgång till de personuppgifter som behandlas och få information om ändamålen med behandlingen, kategorier av personuppgifter, mottagare av uppgifterna, hur länge uppgifterna kommer att lagras, rätten att invända, begära rättelse, radering eller begränsning av uppgifterna, rätten att inge klagomål till Datainspektionen, varifrån uppgifterna kommer och förekomsten av automatiserat beslutsfattande, inbegripet profilering. Rätten omfattar dock inte att få del av information om i vilken handling uppgifterna finns eller i vilket IT-system de lagras. Om den registrerade under flera år har lämnat in ansökningshandlingar avseende bostadsbidrag med likadana uppgifter, ger dataskyddsförordningen alltså ingen rätt att få information om att samma uppgifter finns i flera handlingar, under förutsättning att uppgifterna inte lagras för olika ändamål. Den registrerade har endast rätt att få ta del av uppgifterna om sig själv.

Bestämmelsen i 114 kap. 30 § SFB ger inte heller någon rätt att ta del av handlingar men eftersom det ska framgå av registerutdraget vilka inkomna och upprättade handlingar det finns personuppgifter i, ger bestämmelsen en rätt att ta del av uppgifter om handlingar. Det är en utökad rättighet i förhållande till den rätt som finns enligt dataskyddsförordningen. Den skapar också ett fokus på just handlingar – den registrerade har möjlighet att ange exakt ur vilken eller vilka handlingar han eller hon vill ha uppgifter.

Vi förespråkar ett minskat fokus på handlingar. Rätten att få information gäller personuppgifter, inte handlingar. För att minska fokus på handlingar föreslår myndigheterna att begränsningen i fråga om vilka personuppgifter som ska lämnas i registerutdrag ska gälla uppgifter i löpande text i ärenden. Begreppet ”löpande text” används i 5 kap. 2 § dataskyddslagen, där det framgår att artikel 15 i dataskyddsförordningen, med vissa undantag, inte gäller personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör minnesanteckning eller liknande. Motsvarande gällde tidigare enligt 26 § tredje stycket personuppgiftslagen. Begreppet är således sedan tidigare definierat och bör här förstås på motsvarande 173 sätt. Med ärenden avses ärende i förvaltningsrättslig mening (se avsnitt 7.7 om ändamålet handläggning av ärenden). De uppgifter som sedan tidigare är undantagna från den inledande skyldigheten att lämna uppgifter är sådana uppgifter som den registrerade lämnat till myndigheten i ett ärende, som kommunicerats i enlighet med 26 § förvaltningslagen eller som den registrerade i övrigt har tagit del av. Även fortsättningsvis bör det vara sådana uppgifter som omfattas av begränsningen.

172 Prop. 2017/18:105 s. 108 f. och dom YS mot Minister voor Immigratie, C141/12, EU:C:2014:2081, punkt 58. 173 SOU 1996:40 s. 166 f. och SOU 1997:39 s. 391. 134

För att den registrerade ska kunna återkomma och begära att få tillgång till de personuppgifter som till en början inte lämnats i registerutdraget, behöver Försäkringskassan och Pensionsmyndigheten lämna information om att det finns sådana uppgifter. Istället för att lämna information om i vilka handlingar sådana uppgifter finns, föreslår myndigheterna att information ska lämnas om vilka ärenden som finns. Om den registrerade begär att få de personuppgifter som behandlas i ett visst ärende, kan myndigheten sammanställa den informationen i ett kompletterande registerutdrag. Naturligtvis kan den enskilde också redan från början ange att registerutdraget ska omfatta samtliga personuppgifter i alla ärenden.

Förslaget till begränsning av rätten till registerutdrag innebär en omformulering av nu gällande begränsning. I praktiken föreslås dock samma begränsning som tidigare. Det är samma uppgifter som föreslås omfattas av begränsningen och det finns, precis som tidigare, en rätt att få ta del av uppgifterna om den registrerade begär detta. Vi bedömer därför att regeringens tidigare bedömning att begränsningen är förenlig med dataskyddsförordningen fortfarande är 174 relevant.

Sammantaget föreslår vi att personuppgifter som den registrerade har tagit del av och som behandlas i löpande text i ärenden endast behöver tas med i sådan information som avses i artikel 15 i dataskyddsförordningen om den registrerade begär det. Av informationen ska det dock framgå i vilka ärenden det behandlas personuppgifter i löpande text.

7.17 Gallring

Förslag: Bestämmelsen i 114 kap. SFB om gallring ska ändras på så sätt att den avser personuppgifter som behandlas inom kapitlets tillämpningsområde oavsett ändamål. Bestämmelsen i förordningen om behandling av personuppgifter inom socialförsäkringens administration om möjlighet att föreskriva om undantag från gallring ska behållas.

7.17.1 Bakgrund Tryckfrihetsförordningen och arkivlagstiftningen Varje svensk medborgare har enligt 2 kap. 1 § TF en grundlagsfäst rätt att ta del av allmänna handlingar. En förutsättning för att denna handlingsoffentlighet ska kunna utnyttjas är att handlingar bevaras hos myndigheterna. Redan bestämmelserna i TF kan således sägas medföra en skyldighet för myndigheterna att bevara och ordna allmänna handlingar så att det går att hitta bland dem och att vårda dem så att de inte skingras och förstörs. Enligt 2 kap. 18 § TF ska bestämmelser om hur allmänna handlingar ska bevaras och om gallring av sådana handlingar meddelas i lag. Bestämmelser om myndigheters skyldighet att bevara allmänna handlingar, på vilket sätt bevarande ska ske och gallring finns i arkivlagen (1990:782), arkivförordningen (1991:446) och Riksarkivets 175 föreskrifter (RA-FS och RA-MS).

Av 3 § arkivlagen framgår att myndigheternas arkiv som huvudregel ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. Det följer dock av 10 § arkivlagen att allmänna handlingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. Vanliga pappershandlingar förstörs fysiskt.

174 Prop. 2017/18:171 s. 128 f. och 198 f. Riksarkivet är den statliga arkivmyndighet som har särskilt ansvar för den statliga arkivverksamheten och för 175 arkivvården. Riksarkivets föreskrifter är tvingande för statliga myndigheter. Riksarkivet publicerar även vägledningar knutna till arkivlagstiftningen och sina föreskrifter. 135

För elektroniska handlingar innebär gallring vanligtvis att viss information raderas från databäraren. Med gallring menas inte bara att rent faktiskt förstöra en allmän handling eller uppgifter i en sådan handling. Gallring innebär också att vidta åtgärder med en allmän handling som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av 176 sökmöjligheter eller förlust av möjligheter att bedöma handlingens autenticitet. Det kan t.ex. innebära gallring att skriva ut en elektronisk handling i pappersform och därefter förstöra den elektroniska handlingen. Även om informationen finns kvar på papper kan möjligheten att få fram informationen ha försämrats.

Av 10 § tredje stycket arkivlagen följer vidare att om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser. Statliga myndigheter får dock enligt 14 § arkivförordningen gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning. Sådana särskilda bestämmelser om bevarande och gallring finns i många författningar som rör myndigheters behandling av personuppgifter. Saknas det sådana bestämmelser ska arkivlagens bestämmelser om bevarande som huvudprincip tillämpas.

Grundprincipen i arkivlagstiftningen är således att allmänna handlingar ska bevaras. Några särskilda hänsyn till vilken risk bevarandet kan medföra ur integritetshänseende ska inte tas. 177 Bestämmelser om gallring föranleds i stället vanligtvis av kostnads- och utrymmesskäl. En nödvändig förutsättning är också att värdet av att bevara informationen längre än en viss tid bedöms som ringa med hänsyn till ändamålen i 3 § arkivlagen.

Dataskyddsförordningen och dataskyddslagen Dataskyddsförordningens bestämmelser syftar till att säkerställa fysiska personers rätt till skydd av personuppgifter. Enligt artikel 5.1 c i dataskyddsförordningen ska personuppgifter vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering). Vid all personuppgiftsbehandling gäller vidare enligt artikel 5.1 e i dataskyddsförordningen principen om lagringsminimering. Principen innebär att personuppgifter som huvudregel inte får förvaras i en form som möjliggör identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas.

Personuppgifter får trots principerna om uppgifts- och lagringsminimering lagras under längre perioder i den mån uppgifterna enbart behandlas för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Den förlängda bevarandetiden gäller under förutsättning att lämpliga tekniska och organisatoriska åtgärder vidtas i enlighet med kraven i artikel 89.1.

Begreppet arkivändamål av allmänt intresse definieras inte i dataskyddsförordningen men regeringen har i förarbetena till dataskyddslagen anfört att det står klart att den behandling av personuppgifter som utförs för att uppfylla de krav som ställs i arkivlagen och anslutande 178 föreskrifter måste anses ske för arkivändamål av allmänt intresse. Regeringen konstaterade också att den behandling av personuppgifter som myndigheter och andra utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b i dataskyddsförordningen inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då inte någon

RA-FS 1991:1 som är omtryckt och ändrad genom RA-FS 2019:2. 176 177 Prop. 2015/16:65 s. 100 (jfr även SOU 2015:39 s. 526). 178 Prop. 2017/18:105 s. 110. 136

annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (skäl 50).

Av artikel 9.2 j i dataskyddsförordningen följer att behandling av känsliga personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål förutsätter stöd i nationell rätt och bestämmelser om skyddsåtgärder. Ett undantag avseende arkiverade personuppgifter har därför införts i dataskyddslagen. I 3 kap. 6 § dataskyddslagen anges att känsliga personuppgifter får behandlas för arkivändamål av allmänt intresse med stöd av artikel 9.2 j i dataskyddsförordningen, om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna följa föreskrifter om arkiv. Bestämmelsen förtydligar bl.a. att dataskyddsförordningen och dataskyddslagen inte hindrar att allmänna handlingar 179 arkiveras och bevaras eller att arkivmaterial tas om hand av en arkivmyndighet.

Regeringen har bedömt att bestämmelser i registerförfattningar, som innebär att personuppgifter ska eller får bevaras under viss tid alternativt gallras efter en viss tid eller när de inte längre är nödvändiga för de ändamål för vilka de behandlas, är sådana nationella bestämmelser om lagringstid som är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen när behandlingen grundar sig på en rättslig förpliktelse, en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning. Den rättsliga grunden för behandling av personuppgifter i Försäk- 180 ringskassans och Pensionsmyndighetens verksamheter återfinns i dessa artiklar (avsnitt 6.4).

Arkivutredningen Ett stort antal registerförfattningar innehåller särskilda bestämmelser om gallring. Gemensamt för de flesta av dessa författningar är att de reglerar integritetskänsliga uppgifter och/eller register. Man kan urskilja några formuleringar som används men det går inte att dra några generella slutsatser om hur gallringsbestämmelser ska eller bör vara utformade.

Vid anpassningen av olika registerförfattningar med anledning av den s.k. dataskyddsreformen har lagstiftaren på brottsdatalagens område valt att ta bort de tidigare gällande bestämmelserna om gallring och ersatt dem med bestämmelser om längsta tid för behandling. Regeringen har i samband med detta understrukit att orden bevarande och gallring i de nya registerförfattningarna enbart bör användas i den betydelse de har i arkivlagstiftningen, för att så långt som möjligt skilja mellan arkivrättsliga regler och regler om dataskydd. När syftet med bestämmelserna är att skydda den personliga integriteten bör regleringen i stället ange den yttersta gränsen för hur länge personuppgifterna får behandlas. Det gäller både i bestämmelser som motsvarar de nuvarande gallringsbestämmelserna och i bestämmelser som begränsar möjligheten att behandla personuppgifter i den brottsbekämpande verksamheten. 181

Arkivutredningen ansluter sig i betänkandet Härifrån till evigheten En långsiktig arkivpolitik för förvaltning och kulturarv till regeringens bedömning och menar att de olika begreppen i författningarna bör användas enhetligt. De bestämmelser som har sin grund i dataskyddsförordningen bör följa förordningens terminologi och orden bevarande och gallring bör inte användas i de sammanhang som har med dataskydd att göra. I stället bör begrepp som exempelvis radering, utplåning etc. användas. Enligt arkivutredningen bör nu gällande gallringsföreskrifter i övriga registerförfattningar ses över och ändras vid behov. Bestämmelserna kan förslagsvis formuleras på liknande sätt som gjorts i exempelvis lagen om polisens behandling

Prop. 2017/18:105 s. 115 f. 179 180 Prop. 2017/18:105 s. 142. 181 Prop. 2017/18:232 s. 163 f., prop. 2017/18:269 s. 120 f. 137

av personuppgifter inom brottsdatalagens område, dvs. att man anger den längsta tiden för personuppgifternas behandling. Personuppgifter får då inte behandlas under längre tid än vad som är nödvändigt med hänsyn till något eller några av ändamålen med behandlingen i respektive författning. Bestämmelser som avser gallring i arkivrättslig mening bör behållas men 182 även de kan behöva ses över språkligt.

I förordningen om behandling av personuppgifter inom socialförsäkringens administration finns särskilda bestämmelser om ”Undantag från gallring”. Arkivutredningen menar att det kan 183 övervägas om rubriken till bestämmelsen möjligen borde tas bort.

7.17.2 Närmare om regleringen för myndigheternas verksamheter Personuppgifter som inte är eller ingår i allmänna handlingar För personuppgifter som inte är allmänna handlingar gäller enligt artikel 5.1 e i dataskyddsförordningen att de som huvudregel inte får bevaras längre tid än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Det medför bl.a. att personuppgifter i minnesanteckningar eller utkast till beslut eller skrivelser som behandlas av en tjänsteman i ett ordbehandlingsprogram och som inte har tagits om hand för arkivering ska tas bort ur systemet eller avidentifieras när de inte längre behövs för sitt ändamål. Bestämmelsen är direkt tillämplig 184 i myndigheternas verksamhet.

Manuellt behandlade personuppgifter i allmänna handlingar För personuppgifter i allmänna handlingar som behandlas manuellt utanför tillämpningsområdet för 114 kap. 31 § SFB gäller i dag att de som huvudregel ska bevaras. Gallring får dock ske om det finns stöd för det i föreskrifter eller beslut av Riksarkivet. För Försäkringskassan och Pensionsmyndigheten gäller t.ex. Riksarkivets föreskrifter och allmänna råd om gallring av 185 handlingar av tillfällig eller ringa betydelse.

Automatiserat behandlade personuppgifter som är eller ingår i allmänna handlingar I syfte att minska risken för integritetsintrång ska personuppgifter som behandlas inom tillämpningsområdet för 114 kap. SFB som huvudregel gallras då de inte längre behövs i verksamheten . Av 114 kap. 31 § SFB framgår att personuppgifter som behandlas automatiserat ska gallras när de inte längre är nödvändiga för de ändamål som anges i 7 §, om inte regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Enligt förarbetena till bestämmelsen är det en sådan gallrings- 186 bestämmelse som gäller istället för arkivlagens regler. Det innebär att begreppet gallring i bestämmelsen har getts en arkivrättslig innebörd. Med gallring avses här att handlingar eller personuppgifter sorteras ut och förstörs eller utplånas. 187 Av bestämmelsen följer bl.a. att rätten att ta del av allmänna handlingar, behovet av information för rättsskipningen och förvaltningen 188 samt forskningens behov får beaktas, dvs. de ändamål som arkivlagen syftar till att tillgodose. Formuleringen om historiska, statistiska eller vetenskapliga ändamål i 114 kap. 31 § SFB har,

182 SOU 2019:58 s. 275. 183 SOU 2019:58 s. 258. 184 Prop. 2018/19:33 s. 174. 185 RA-FS 1991:6, omtryckt RA-FS 1997:6 och ändrad RA-FS 2012:2. Prop. 2002/03:135 s. 119 f och 136. 186 187 Prop. 2002/03:135 s. 118. 188 Prop. 1997/98:44 s. 47 f. 138

i likhet med motsvarande bestämmelser i flera andra registerlagar, 189 anpassats till den som 190 används i dataskyddsförordningen. I 7 § förordningen om behandling av personuppgifter inom socialförsäkringens administration anges att Riksarkivet, efter samråd med Försäkringskassan och Pensionsmyndigheten, får meddela föreskrifter om att uppgifter som annars skulle gallras med stöd av den här kommenterade bestämmelsen får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Gallring av personuppgifter i elektroniska allmänna handlingar vid Försäkringskassan och Pensionsmyndigheten sker huvudsakligen med stöd av 114 kap. 31 § SFB respektive 19 § första 191 stycket lagen om den officiella statistiken. Den sist nämnda lagstiftningen faller utanför ramen för nu aktuell översyn och kommer inte att belysas närmare här. Riksarkivet beslutar om undantag från gallringsbestämmelserna i ovan nämnda författningar. Riksarkivet har utfärdat myndighetsspecifika föreskrifter avseende Försäkringskassan (t.ex. RA-MS 2018:23 och ändrad RA-MS 2019:39) och Pensionsmyndigheten (RA-MS 2012:42).

7.17.3 Bestämmelse om gallring i 114 kap. SFB Det behövs en bestämmelse om gallring i registerlagstiftningen Det finns exempel på registerförfattningar där särskilda gallringsregler saknas, t.ex. vägtrafikdatalagen (2019:369). Att personuppgifter inte får bevaras längre tid än vad som är nödvändigt för de ändamål för vilka de behandlas följer som ovan nämnts redan av artikel 5.1 e i dataskyddsförordningen. Av den artikeln framgår dock att personuppgifter får lagras under en längre tid om behandlingen sker för arkivändamål av allmänt intresse. Av dataskyddsförordningen följer inte någon skyldighet att gallra personuppgifter i allmänna handlingar i arkivrättslig mening. Någon sådan bestämmelse finns inte heller i dataskyddslagen. Dataskyddsförordningen och dataskyddslagen reglerar alltså inte vad som ska bevaras eller gallras. De reglerar hur personuppgifter som ingår i elektroniskt bevarade/arkiverade handlingar eller uppgiftssamlingar får hanteras. Regleringen i dataskyddsförordningen gäller inte heller i den utsträckningen det skulle hindra en myndighet att arkivera och bevara allmänna handlingar. Handlingsoffentligheten har företräde framför dataskyddsförordningen vilket innebär att personuppgifter i allmänna handlingar inte ska gallras enligt bestämmelser i dataskyddsförordningen. 192 I den mån uppgifterna är eller ingår i allmänna handlingar gäller i stället arkivlagstiftningen, vilket innebär att uppgifterna ska bevaras om de inte får gallras. Arkivlagens regler gäller som ovan nämnts så länge som det inte har införts särskilda bestämmelser i annan författning om gallring av allmänna handlingar (10 § andra stycket arkivlagen). Det lämnas

Se t.ex. bestämmelserna i 12 § lagen (2013:794) om vissa register för forskning om vad arv och miljö betyder 189 för människors hälsa. 190 Prop. 2017/18:171 s. 147 och 198. Av 19 § lagen (2001:99) om den officiella statistiken framgår att personuppgifter ska gallras hos de statistik- 191 ansvariga myndigheterna när uppgifterna inte längre behövs för sitt ändamål. Regeringen eller den myndighet som regeringen bestämmer får föreskriva om undantag från denna skyldighet, om en gallring skulle äventyra arkivens roll som en del av det nationella kulturarvet eller strida mot forskningens behov. Behovet av skydd för den enskildes personliga integritet ska därvid särskilt beaktas. Material som inte gallras ska överlämnas till en arkivmyndighet. Av 12 §§ förordningen (2001:100) om den officiella statistiken framgår att innan en statistikansvarig myndighet gallrar uppgifter enligt 19 § första stycket lagen (2001:99) om den officiella statistiken ska den underrätta Riksarkivet och att Riksarkivet får meddela föreskrifter om undantag från gallring enligt 19 § andra stycket samma lag. I dataskyddsförordningen regleras förhållandet till offentlighetsprincipen i artikel 86. Genom 1 kap. 7 § data- 192 skyddslagen har det tydliggjorts att den lagen och dataskyddsförordningen inte ska tillämpas i den utsträckning det skulle strida mot bl.a. TF. 139

således utrymme både i arkivlagen och i dataskyddsförordningen för särskilda gallringsbestämmelser.

En bestämmelse om gallring innebär alltså inte bara att uppgiften inte längre får behandlas i 193 förordningens mening, utan även att arkivrättslig gallring ska ske. En registerförfattning som bara innehåller ändamålsbestämmelser men inga bestämmelser om gallring innehåller alltså inte några sådana bestämmelser som krävs för att gallring i arkivrättslig mening ska få ske. 194 Utan en gallringsbestämmelse i registerlagen skulle det således inte finnas någon skyldighet alls att gallra personuppgifter som är eller ingår i allmänna handlingar som inte längre behövs i verksamheten, såvida de inte är gallringsbara enligt föreskrifter från Riksarkivet med stöd av arkivförordningen.

195 Principen att gallring ska ske motiveras i första hand av integritetsskäl. Behovet av särskilda gallringsbestämmelser i registerlagstiftningen måste således avgöras genom en avvägning mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset 196 av offentlighet och insyn i myndigheternas verksamhet. I Försäkringskassans och Pensionsmyndighetens respektive verksamhet på socialförsäkringsområdet behandlas en omfattande mängd personuppgifter som avser ett stort antal personer. Behandlingen sker utan den enskildes samtycke och personuppgifterna används vid myndighetsutövning gentemot enskilda personer. Vissa av de personuppgifter som behandlas utgör känsliga personuppgifter. Det finns också personuppgifter som inte hör till denna kategori, men som ändå kan uppfattas som integritetskänsliga. Som exempel kan nämnas uppgifter om enskildas ekonomiska förhållanden. Dagens teknik medför att en i princip obegränsad mängd personuppgifter kan bevaras elektroniskt hos myndigheterna. Ett elektroniskt bevarande ökar möjligheten att på ett enkelt sätt söka och sammanställa uppgifter, något som också kan öka risken för integritetsintrång. En metod att minska integritetskänsligheten är att se till att uppgifter som inte längre behövs i en myndighets verksamhet gallras ur myndighetens datasystem. För detta krävs särskilda bestämmelser om gallring av uppgifter i myndigheternas verksamhet.

Av integritetsskäl bör myndigheterna ha en fortsatt skyldighet att gallra personuppgifter som inte längre behövs för deras verksamhet. Bedömningar och avvägningar mellan å ena sidan intresset av skydd för den personliga integriteten och å andra sidan intresset av offentlighet och insyn i myndigheternas verksamhet, som motiverade införandet av den särskilda gallringsbestämmelsen i registerlagen, är fortfarande relevanta. Det är därmed alltså motiverat att behålla en särskild gallringsregel i 114 kap. SFB. Frågan är då om utformningen av ifrågavarande bestämmelse bör ändras.

Begreppet gallring behålls Som ovan nämnts används begreppet gallring inte längre i vissa registerförfattningar på brottsdatalagens område, eftersom bedömningen gjorts att begreppet inte bör användas i bestämmelser som avser dataskydd. 197 Motsvarande ändringar har emellertid inte föreslagits i någon av de registerförfattningar som reglerar personuppgiftsbehandling endast på dataskyddsförordningens område. Arkivutredningen har som ovan nämnts anfört uppfattningen att bestämmelser som avser gallring i arkivrättslig mening bör behållas.

193 Prop. 2018/19:65 s. 86. 194 Geijer m.fl., Arkivlagen – En kommentar , kommentaren till 10 §. Prop. 1989/90:72 s. 50. 195 196 Jfr. prop. 2011/12:176 s. 54. 197 Prop. 2018/19:65 s. 86. 140

Vi kan konstatera att bestämmelserna om gallring i 114 kap. 31 § SFB avser gallring i arkivrättslig mening och att de tillämpas så i myndigheternas respektive verksamheter. Enbart en språklig ändring av gallringsbestämmelserna i enlighet med den som har skett på brottsdatalagens område skulle innebära ett avsteg från den systematik som för närvarande gäller på dataskyddsförordningens område. Vi anser därför att det inte inom ramen för nu aktuell översyn bör göras någon sådan ändring av bestämmelsen. Begreppet gallring bör således behållas i 198 regleringen för närvarande.

Vi anser att det finns anledning att återkomma till frågan om enhetlig begreppsanvändning på det här området, men att det bör ske i samband med en genomlysning ur det här perspektivet av samtliga registerförfattningar på dataskyddsförordningens område.

Ingen fastställd gallringsfrist Det kan vidare finnas skäl att i samband med nu aktuell översyn överväga huruvida en bestämd tidsfrist för gallring borde följa av registerlagstiftningen. Som exempel på registerförfattningar där gallringsfrister anges kan nämnas 5 kap. 4 § lagen (2016:526) om behandling av personuppgifter i ärenden om licens för läkemedel och 12 kap. 1 § socialtjänstlagen (2001:453).

Gallringsbestämmelserna i den tidigare socialförsäkringsregisterlagen var utformade så att de innehöll gallringsfrister. Skyldigheten att gallra i 114 kap. 31 § SFB innehåller ingen tidsfrist utan knyter an till ändamålet med behandlingen. Bakgrunden till att gallringstiderna togs bort var bl.a. att en förmån kan komma att utbetalas många år efter det att den mera aktiva handläggningen har avslutats. Vidare kan vissa förmåner ligga till grund för andra förmåner som betalas 199 ut senare.

Nuvarande reglering innebär att de personuppgiftsansvariga återkommande har att bedöma när olika uppgifter inte längre behövs med hänsyn till ändamålen. Av förarbetena framgår att Försäkringskassan och Pensionsmyndigheten förväntas fatta tillämpningsbeslut om lämpliga 200 frister utifrån detta. Det kan vara svårt att på förhand bestämma hur länge det kan vara relevant att spara uppgifter som myndigheterna har samlat in. Frågan bör avgöras från fall till fall med hänsyn till vilka handlingsslag, uppgifter och vilken förmån det handlar om. Försäkringskassans tillämpningsbeslut om konkreta gallringsfrister publiceras i informationshanteringsplaner. Pensionsmyndighetens tillämpningsbeslut om löpande gallring dokumenteras i myndighetens dokumenthanterings- och arkivbildningsplan, medan beslut om löpande gallring mellan revisioner av planen och beslut om engångsgallringar framgår av en gallringslogg.

Vi anser att det saknas skäl att föreslå mer handfasta gallringsregler än vad som redan gäller i dag. Gallringsreglerna i registerlagstiftningen bör således alltjämt inte innehålla en bestämd tidsgräns för hur länge personuppgifter får bevaras. Vi bedömer att en regel om gallring fortsatt ska formuleras som en skyldighet för myndigheten att gallra personuppgifter som inte längre behövs för det ändamål de behandlas för. Det är således ändamålen med behandlingen – de ursprungliga ändamålen som bestämdes vid insamlingen av uppgifterna och de andra ändamål som senare kan ha bestämts – som avgör hur länge personuppgifterna ska få bevaras.

Jfr. Ds. 2019:5 s. 171 ff. 198 199 Prop. 2002/03:135 s. 119 ff. 200 Ds 2002:60 s. 215 och prop. 2002/03:135 s. 121. 141

Tillämpningsområde Befintlig bestämmelse om gallring avser personuppgifter som behandlas för de ändamål som anges i 114 kap. 7 § SFB. Integritetsskyddsintresset talar dock för att gallringsbestämmelsen bör gälla för samtliga personuppgifter som, oavsett ändamål, behandlas inom kapitlets tillämpningsområde. Även sådana personuppgifter som behandlas med stöd av finalitetsprincipen bör således omfattas. Bestämmelsen ska därför i stället formuleras så att personuppgifter som behandlas automatiserat ska gallras när de inte längre är nödvändiga för det ändamål de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Tillgången till inaktuella personuppgifter De uppgifter som inte längre är nödvändiga för den löpande verksamheten inom Försäkringskassan och Pensionsmyndigheten, t.ex. för att handläggningen av ett ärende har avslutats, ska skiljas från övriga uppgifter och inte längre vara tillgängliga för all den personal som arbetar i 201 den löpande verksamheten. Sådana uppgifter bör bevaras i myndigheternas respektive datasystem på ett sätt som gör att de inte finns tillgängliga för handläggare på myndigheten som inte behöver ha den tillgången. I avsnitt 7.11. görs bedömningen att den allmänna bestämmelsen om att den personuppgiftsansvariga myndigheten ska begränsa den interna åtkomsten av personuppgifter till det som var och en behöver för att fullgöra sina arbetsuppgifter ska behållas. Utan särreglering blir den bestämmelsen tillämplig även på den interna åtkomsten till avskilda 202 uppgifter. Vi föreslår ingen särskild författningsreglering som rör avskiljande. Myndig- 203 heterna ska utarbeta regler och rutiner för avskiljande av inaktuella uppgifter. Det kan i detta sammanhang nämnas att det finns bestämmelser om bl.a. överföring av uppgifter till system för bevarande i Riksarkivets föreskrifter (RA-FS 2009:1) och allmänna råd om elektroniska handlingar (upptagningar för automatiserad behandling).

Dataskyddsförordningen innehåller bestämmelser om skyldigheter för personuppgiftsansvariga och personuppgiftsbiträden att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att kraven i förordningen uppfylls och att den registrerades rättigheter skyddas. Skyldigheten för den personuppgiftsansvarige att begränsa tillgången till personuppgifter till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter utgör ett exempel på en sådan säkerhetsåtgärd som avses i dataskyddsförordningen (se avsnitt 7.11). 114 kap. SFB kommer således även i fortsättningen att innehålla lagreglering rörande säkerhetsåtgärder.

Föreskrifter Regleringen i 114 kap. 31 § SFB som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål möjliggör undantag till lagregleringen och behövs för att regeringen eller den myndighet som regeringen bestämmer ska kunna utfärda föreskrifter. Vi föreslår därför att detta bemyndigande behålls (se avsnitt 7.21). Riksarkivet bör ha fortsatt möjlighet att meddela föreskrifter om att personuppgifter som Försäkringskassan och Pensionsmyndigheten inte längre har behov av i sin verksamhet, och som myndigheterna annars skulle ha en skyldighet att gallra, ska kunna

201 Se t.ex. Datainspektionens beslut 2017-03-06, dnr 2003-2015, angående behörighetsstyrning och avskiljande beträffande uppgifter om hälsa i den arbetsmarknadspolitiska databasen. 202 Jfr. prop. 2019/20:51 s. 73 ff. 203 Jfr. prop. 2018/19:33 s. 175 f. 142

bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Vi föreslår enligt ovan förda resonemang inga språkliga förändringar av bestämmelserna inom ramen för nu aktuell översyn. Bestämmelsen i 7 § förordningen om behandling av personuppgifter inom socialförsäkringens administration bör därför behållas.

Vi har ovan konstaterat att bestämmelserna om gallring i 114 kap. 31 § SFB avser gallring i arkivrättslig mening och att de tillämpas så i myndigheternas respektive verksamheter. Bemyndigandet i 7 § förordningen om behandling av personuppgifter inom socialförsäkringens administration ger således Riksarkivet rätt att föreskriva undantag från vad som annars gäller avseende gallring i arkivrättslig mening. Rubriken till bestämmelsen ”Undantag från gallring” bör därför behållas.

7.18 Avgifter

Förslag: Bestämmelsen i 114 kap. SFB om att avgifter i vissa fall får tas ut för utlämnande av uppgifter och handlingar ska behållas i sak, med mindre redaktionella ändringar, men föras in i ett nytt kapitel, 114 a kap. SFB. Det ska också tydliggöras i regleringen att bestämmelserna om avgifter i lagen inte innebär en inskränkning av registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 i dataskyddsförordningen. Bemyndigandet i förordningen om behandling av personuppgifter inom socialförsäkringens administration ska behållas med mindre redaktionella ändringar.

I 114 kap. 32 § första stycket SFB anges att avgifter får tas ut för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen och att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om uttagandet av avgifter. Av andra stycket framgår att rätten att ta ut avgifter enligt första stycket inte får innebära inskränkning i rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt TF. Den aktuella bestämmelsen ger alltså en möjlighet att ta ut avgifter för utlämnande av handlingar och uppgifter från socialförsäkringsdatabasen när utlämnandet inte sker med stöd av offentlighetsprincipen och debitering inte kan ske med stöd av avgiftsförordningen (1992:191).

Regeringen har i 8 § 8 förordningen om behandling av personuppgifter inom socialförsäkringens administration gett Försäkringskassan bemyndigande att meddela föreskrifter i fråga om fastställande av avgifter för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen, om inte utlämnandet är avgiftsfritt till följd av att det sker till en 204 annan myndighet på grund av att det föreligger en sådan skyldighet i lag eller förordning.

Av förarbetena till regleringen framgår att avgifterna är tänkta att tas ut för sådana utlämnanden på medium för automatiserad behandling eller genom direktåtkomst som medför ett visst merarbete och materialkostnader. 205 Bestämmelser om att sådana avgifter får tas ut kan i och för sig regleras i förordning med stöd av regeringens restkompetens. Liknande bestämmelser om avgifter finns dock också i Skatteverkets, Kronofogdemyndighetens och Tullverkets registerförfattningar. Bakgrunden till bestämmelserna är bl.a. det förhållandet att riksdagen tidigare utifrån vissa utgångspunkter tagit ställning till en enhetlig princip för myndigheternas uttag av avgifter för att i elektronisk form tillhandahålla begärda uppgifter. Principen går ut på

204 Av 13 § i RFFS 2004:1 framgår att avgifter för Försäkringskassans utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen fastställs årligen av Försäkringskassan genom särskilt beslut. Avgiftssättningen grundas på och debiteras för antalet timmar utifrån den kompetens begäran eller uppdraget kräver samt för bearbetning och produktion. I förekommande fall debiteras kostnader för material. 205 Prop. 2002/03:135 s. 123. 143

att avgiften bör grundas på kostnaden för att ta fram och distribuera informationen, men att det i vissa fall kan finnas skäl att ta ut avgift som även täcker kostnaden för att t.ex. insamla och registrera informationen. Regeringen har ansett det lämpligt att införa denna princip i lag. När enskilda vill ta del av en större mängd uppgifter på medium för automatiserad behandling – vilket inte omfattas av TF:s bestämmelser – av t.ex. marknadsföringsskäl eller av andra orsaker som betingas av bedriven näringsverksamhet, menade regeringen att det fanns anledning att låta dem som drar nytta av uppgifterna bidra ekonomiskt till den verksamhet från vilken 206 utlämnandet sker.

Den registrerades rätt enligt artikel 15 i dataskyddsförordningen att få tillgång till de personuppgifter som behandlas om honom eller henne är i grunden kostnadsfri. Av artikel 12.5 i dataskyddsförordningen framgår att all kommunikation och samtliga åtgärder som vidtas enligt bl.a. artikel 15–22 ska tillhandahållas kostnadsfritt. Om begäran från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige enligt artikel 12.5 i dataskyddsförordningen emellertid ta ut en rimlig avgift som täcker de administrativa kostnaderna för att tillhandahålla den information eller vidta den åtgärd som begärts, alternativt vägra att tillmötesgå begäran. Även enligt artikel 15.3 i dataskyddsförordningen finns det möjlighet att ta ut en avgift. Om den registrerade begär fler än en kopia av de personuppgifter som är under behandling (registerutdrag), får den personuppgiftsansvarige ta ut en rimlig avgift på grundval av de administrativa kostnaderna. Av skäl 63 till dataskyddsförordningen framgår att den registrerade bör kunna utöva sin rätt att få tillgång med rimliga intervall.

Bortsett från vad som gäller den registrerade själv reglerar dataskyddsförordningen inga rättigheter eller skyldigheter att få eller lämna personuppgifter. Möjligheterna att lämna ut uppgifter från socialförsäkringsdatabasen till andra än den registrerade styrs därför främst av regler i nationell rätt, framför allt TF och OSL. Eventuellt uttag av avgift grundas på vad regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om.

Bestämmelserna i 114 kap. 32 § SFB ändrades inte i samband med att 114 kap. SFB anpassades till dataskyddsförordningen. 207 Dataskyddsförordningen hindrar inte att föreskrifter meddelas på detta område och inte heller att föreskriftsrätten delegeras. Att rätten att få ta del av allmän 208 handling enligt TF inte får inskränkas, framgår av artikel 86 i dataskyddsförordningen. Motsvarande reglering i lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet, lagen (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet, lagen (2001:184) om behandling av uppgifter i Kronofogdemyndighetens verksamhet och lagen (2001:185) om behandling av uppgifter i Tullverkets verksamhet har behållits med den skillnaden att det i bestämmelserna har tydliggjorts att bestämmelserna om avgifter i de berörda lagarna inte innebär en inskränkning 209 av registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 a i förordningen.

Den författningsreglerade möjligheten att ta ut avgifter vid elektroniskt utlämnande enligt 114 kap. 32 § SFB tillämpas alltjämt i vissa fall. Regleringen bör därför enligt Försäkringskassans och Pensionsmyndighetens uppfattning behållas i sak. Myndigheterna konstaterar dock att den

206 Prop. 2000/01:33 s. 119 f. SFS 2018:437. Se också SOU 2017:66 s. 434 f. 207 208 SOU 2017:66 s. 435. 209 Prop. 2017/18:95 s.74 f. 144

handlar om något annat än om hur personuppgifter får behandlas. I syfte att öka överskådligheten och skapa en tydligare systematik i lagstiftningen bör bestämmelsen därför föras in i det nya kapitel, 114 a kap. SFB, som myndigheterna föreslår i avsnitt 6.2.

I registerförfattningarna rörande skatt, tull och exekution har den registrerades rättigheter enligt artikel 12.5 a i dataskyddsförordningen tydliggjorts. Ett sådant tillägg fungerar som en upplysning om något som redan följer av dataskyddsförordningen. Vi anser att det, med hänsyn till att regleringen föreslås flyttas till ett kapitel i lagen som inte har omedelbar koppling till dataskyddsregelverket, är motiverat med ett sådant tydliggörande. Det bör därför föras in ett tillägg om att bestämmelserna om avgifter i kapitlet inte innebär en inskränkning av registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 i dataskyddsförordningen.

Vi föreslår i avsnitt 7.4 att begreppet socialförsäkringsdatabasen ska tas bort ur regleringen. I linje med detta bör det aktuella begreppet i bestämmelserna om möjligheten att ta ut avgifter enligt SFB och i anslutande förordning ersättas med ”sådan verksamhet som avses i 114 kap. 2 §”.

Något bemyndigande till regeringen eller den myndighet som regeringen bestämmer behövs inte eftersom regeringen har möjlighet att utfärda verkställighetsföreskrifter även utan en upplysning om detta i lagen (se avsnitt 7.21). Bemyndigandet i 8 § 8 förordningen om behandling av personuppgifter inom socialförsäkringens administration att meddela föreskrifter i fråga om fastställande av avgifter för utlämnande av uppgifter och handlingar från socialförsäkringsdatabasen, om inte utlämnandet är avgiftsfritt till följd av att det sker till en annan myndighet på grund av att det föreligger en sådan skyldighet i lag eller förordning, bör behållas. Begreppet ”socialförsäkringsdatabasen” i regleringen bör dock ersättas av formuleringen ”sådan verksamhet som avses i 114 kap. 2 § socialförsäkringsbalken”.

7.19 Tystnadsplikt

Förslag: Bestämmelsen om tystnadsplikt i 114 kap. SFB ska behållas i sak, med vissa mindre redaktionella ändringar, men föras in i ett nytt kapitel, 114 a kap. SFB.

Enligt 114 kap. 35 § SFB får den, som genom sin befattning med personuppgifter som inhämtats från socialförsäkringsdatabasen till det för kommunerna och regionerna gemensamma organet för administration av personalpensioner får kännedom om uppgifter om enskildas ekonomiska och personliga förhållanden, inte obehörigen röja dessa uppgifter. Bestämmelsen reglerar tystnadsplikt för personer som är anställda hos KPA Pension AB (här förkortad KPA 210 Pension).

Av 114 kap. 8 § 2 SFB framgår att personuppgifter får behandlas för tillhandahållande av information som behövs för samordning av tjänstepensioner i den verksamhet som bedrivs av det för kommunerna och regionerna gemensamma organet för administration av personalpensioner. Genom en tidigare bestämmelse i 114 kap. SFB som numera är upphävd medgavs KPA Pension direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövdes för samordning av tjänstepensioner med socialförsäkringsförmåner. Bestämmelsen upphävdes 211 eftersom direktåtkomsten inte användes ; personuppgifter lämnas istället ut till KPA Pension

Bestämmelsen ändrades inte i samband med att 114 kap. SFB anpassades till dataskyddsförordningen, se SFS 210 2018:437 och SOU 2017:66 s. 437. 211 SFS 2018:670. 145

på medium för automatiserad behandling. Stödet för ett utlämnande på medium för automatiserad behandling finns huvudsakligen i 114 kap. 8 § 2 och 24 § SFB men i vissa fall kan uppgifter även lämnas ut med stöd av 114 kap. 9 § 2 och 24 § SFB och 4 b § förordningen om behandling av personuppgifter inom socialförsäkringens administration eller 114 kap. 9 § 2 och 24 § i kombination med 110 kap. 39 § SFB. Enligt 4 b § förordningen om behandling av personuppgifter inom socialförsäkringens administration får för handläggning av ärenden om bostadstillägg och äldreförsörjningsstöd personnummer eller samordningsnummer i socialförsäkringsdatabasen lämnas ut på medium för automatiserad behandling till en försäkringsinrättning som administrerar avtalspensioner eller motsvarande ersättningar som följer av kollektivavtal. Av 110 kap. 39 § SFB följer att sekretess inte hindrar att bl.a. Försäkringskassan och Pensionsmyndigheten på begäran får lämna ut uppgifter om ersättningar enligt balken eller enligt lagstiftning om annan jämförbar ekonomisk förmån till bl.a. en försäkringsinrättning, ett försäkringsbolag eller en arbetsgivare, om uppgiften behövs för samordning med ersättning därifrån. Endast uppgifter om ekonomiska förhållanden som behövs för samordningsändamål omfattas alltså av denna bestämmelse.

Bestämmelser om tystnadsplikt som riktar sig till privata aktörer finns i olika lagstiftningar. 212 Tystnadsplikt innebär ett förbud mot att obehörigen röja eller utnyttja uppgifter, oavsett om det görs muntligen, genom utlämnande av handlingar eller på något annat sätt. Om någon bryter mot en författningsreglerad tystnadsplikt aktualiseras straffbestämmelsen i 20 kap. 3 § brottsbalken om brott mot tystnadsplikt. Straffet för ett uppsåtligt brott är böter eller fängelse i högst ett år. Om brottet har begåtts av oaktsamhet är påföljden begränsad till böter. I ringa fall ska inte dömas till ansvar.

Det kan inte uteslutas att den information som lämnas till KPA Pension i vissa fall omfattas av sekretess. Förhållandena är inte sådana att OSL:s regelsystem är tillämpligt i fråga om KPA Pensions verksamhet, jfr 2 kap. 3 § OSL. För att den information som lämnas ut till detta organ ska få fortsatt skydd efter utlämnandet har därför en bestämmelse om tystnadsplikt förts in i lagen. Tystnadsplikten gäller oavsett på vilket sätt uppgifterna har inhämtats.

Vi konstaterar att det är viktigt att den information som lämnas ut till KPA Pension får erforderligt skydd efter utlämnandet. Utan en särskild reglering av tystnadsplikt för KPA Pension skulle informationen efter utlämnandet stå utan sådant skydd. Den i lag stadgade tystnadsplikten för KPA Pension bör enligt Försäkringskassans och Pensionsmyndighetens uppfattning därför behållas.

En bestämmelse om tystnadsplikt saknar dock omedelbart samband med innehållet i övriga bestämmelser i 114 kap. SFB som handlar om dataskydd. Eftersom bestämmelsen om direktåtkomst för KPA Pension sedan tidigare tagits bort och vi nu dessutom föreslår en ändrad formulering av det sekundära ändamålet, försvinner sambandet med bestämmelserna i kapitlet ytterligare. I syfte att öka överskådligheten och skapa en tydligare systematik bör bestämmelsen om tystnadsplikt därför föras in i det nya kapitel, 114 a kap. SFB, som myndigheterna föreslår i avsnitt 6.2.

Vi föreslår i avsnitt 7.4. att begreppet socialförsäkringsdatabasen ska tas bort ur regleringen. I linje med detta bör det aktuella begreppet i bestämmelsen om tystnadsplikt ersättas med formuleringen ”Försäkringskassan eller Pensionsmyndigheten”.

212 Se t.ex. 1 kap. 7 och 9 §§ tullagen (2016:253). 146

7.20 Uppgiftsskyldighet

Förslag: Bestämmelsen i förordningen om behandling av personuppgifter inom socialförsäkringens administration om uppgiftsskyldighet i förhållande till Inspektionen för socialförsäkringen ska behållas i sak men regleras i lag och föras in i ett nytt kapitel, 114 a kap. SFB.

Enligt 5 a § förordningen om behandling av personuppgifter inom socialförsäkringens administration ska Försäkringskassan och Pensionsmyndigheten på begäran lämna Inspektionen för socialförsäkringen (ISF) de uppgifter som ISF behöver för sin systemtillsyn och effektivitetsgranskning enligt 2 § första stycket 1 och 2 samt 3 § förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen. Bestämmelsen är sekretessbrytande enligt 10 kap. 28 § OSL.

Enligt 8 kap. 1 § OSL får uppgifter för vilka sekretess gäller inte röjas för andra myndigheter, om inte annat framgår av OSL eller av lag eller förordning till vilken denna lag hänvisar. En förutsättning för erforderligt informationsutbyte är alltså att sekretess för berörda uppgifter inte hindrar ett utlämnande. Av 10 kap. 28 § första stycket OSL följer att sekretess inte hindrar att en uppgift lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. I förhållande till andra myndigheter behöver det således inte finnas någon uttrycklig hänvisning i OSL till en viss uppgiftsskyldighet i en annan lag eller i en förordning för att denna uppgiftsskyldighet ska bryta sekretessen. Bestämmelsen i 5 a § förordningen om behandling av personuppgifter inom socialförsäkringens administration är en sådan uppgiftsskyldighet som bryter sekretessen.

Socialdataskyddsutredningen konstaterade att bestämmelser om uppgiftsskyldighet inte påverkades av dataskyddsförordningen. När uppgiftsskyldigheten fullgörs måste dock den personuppgiftsansvarige beakta den reglering om dataskydd som finns i bl.a. dataskydds- 213 förordningen.

Bestämmelsen tillämpas av myndigheterna vid det informationsutbyte som måste äga rum i förhållande till ISF för att ISF ska kunna utföra sitt uppdrag. Det är viktigt att ISF ges tillgång till det underlag som myndigheten behöver. Vi menar därför att det saknas anledning att ifrågasätta behovet av bestämmelsen, som behöver behållas i sak.

Vi konstaterar att nu aktuell uppgiftsskyldighet i dagsläget är reglerad i förordning. Enligt regeringsformen meddelas föreskrifter som avser förhållandet mellan enskilda och det allmänna genom lag. Föreskrifter måste däremot inte ges i lag om de endast avser förhållandet mellan myndigheter. Av 8 kap. 7 § första stycket 2 RF följer också att föreskrifter som inte enligt grundlag ska meddelas av riksdagen meddelas av regeringen. Enligt 8 kap. 8 § RF hindrar den omständigheten att regeringen får meddela föreskrifter i ett visst ämne dock inte riksdagen att meddela föreskrifter i samma ämne.

Bestämmelserna i 2 kap. TF gäller endast för allmänhetens tillgång till allmänna handlingar. Det har därför inte ansetts finnas något hinder mot att regeringen genom förordning medger att annars sekretessbelagda uppgifter lämnas mellan myndigheter.

213 SOU 2017:66 s. 438 f. 147

Det behöver emellertid också beaktas hur uppgiftsskyldigheten förhåller sig till det skydd för den personliga integriteten som föreskrivs i 2 kap. 6 § andra stycket RF. Enligt denna bestämmelse är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Vid prövningen av denna fråga bör beaktas hur skyddet av den personliga integriteten begränsas genom behandling av uppgifterna. Av motiven till 2 kap. 6 § andra stycket RF framgår att flera omständigheter bör vägas in vid bedömningen av vad som kan anses utgöra ett betydande intrång i bestämmelsens mening. Uppgifternas karaktär och omfattning utgör endast två faktorer att beakta. Även sådana omständigheter som t.ex. ändamålet med behandlingen av uppgifterna och omfattningen av utlämnandet av uppgifter till andra, som sker utan omedelbart stöd av offentlighetsprincipen, kan vara av betydelse för 214 bedömningen. Enligt vår bedömning kan den aktuella uppgiftsskyldigheten fortsatt regleras i förordning, utan hinder av 2 kap. 6 § andra stycket RF.

Även om uppgiftsskyldigheten kan regleras i förordning har bestämmelsen, enligt vår mening, inte någon naturlig plats i förordningen om behandling av personuppgifter inom socialförsäkringens administration. Det kan övervägas om bestämmelsen i stället bör placeras i förordningen (1980:995) om skyldighet för Försäkringskassan och Pensionsmyndigheten att lämna uppgifter till andra myndigheter - den så kallade uppgiftslämnarförordningen. Uppgiftsskyldigheten skulle emellertid då kunna komma att omfatta även andra uppgifter än sådana som omfattas av tillämpningsområdet för 114 kap. SFB. I syfte att skapa en tydligare systematik och för att öka tillgängligheten för tillämparen, förordar myndigheterna därför att uppgiftsskyldigheten i stället regleras i det nya kapitel som föreslås i avsnitt 6.2, som en ny 114 a kap. 3 § SFB. Genom en reglering i lag av uppgiftsskyldigheten ökar även skyddet för de enskildas personliga integritet.

7.21 Bemyndiganden

Förslag: Bemyndigandena i 114 kap. 15 § andra stycket, 17 § första stycket och 27 § tredje stycket, 32 och 34 §§ ska upphävas. Bemyndigandena i 114 kap. 28 och 31 §§ ska behållas. Ett nytt bemyndigande ska ge regeringen eller den myndighet som regeringen bestämmer möjlighet att meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. Regeringen ska i förordningen om behandling av personuppgifter inom socialförsäkringens administration kunna utfärda föreskrifter i anslutning till såväl 114 kap. som det föreslagna 114 a kap. SFB. Pensionsmyndigheten ska ges möjlighet att självständigt besluta om föreskrifter avseende uppgifter inom ramen för Pensionsmyndighetens personuppgiftsansvar.

I 114 kap. SFB finns ett flertal olika bemyndiganden till regeringen eller den myndighet som regeringen bestämmer. Det rör sig om bemyndiganden om • begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen (15 § andra stycket) • hur behörighet för åtkomst till socialförsäkringsdatabasen ska tilldelas genom en särskild handling (17 § första stycket) • begränsningar för vilka sökbegrepp som får användas (27 § tredje stycket) • användning av personuppgifter som rör hälsa som urvalskriterium vid sammanställningar (28 §)

214 Prop. 2009/10:80 s. 184 f. 148

• att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål (31 §) • om uttagandet av avgifter (32 § första stycket) • kontroll av efterlevnaden av 114 kap. SFB (34 §).

Bestämmelser om personuppgiftsbehandling som utförs av statliga myndigheter under regeringen har i princip ansetts kunna beslutas av regeringen med stöd av dess restkompetens enligt 215 8 kap. 7 § första stycket 2 RF. Regeringens behörighet att besluta föreskrifter i ett visst ämne utgör dock enligt 8 kap. 8 § RF inte hinder för riksdagen att genom lag besluta föreskrifter i samma ämne. När riksdagen i lag beslutar om föreskrifter, som i 114 kap. SFB, får regeringen enligt 8 kap. 18 § RF inte i förordning upphäva eller förändra innehållet i lagen. Regeringen får inte heller besluta om föreskrifter som är oförenliga med lagen. Även om regeringen som utgångspunkt får reglera ett visst område, saknas alltså möjlighet till detta om riksdagen väljer att lägga regleringen på en högre nivå.

Regeringen har tidigare anfört att det är angeläget att riksdagen så tydligt som möjligt avgränsar omfattningen av den föreskriftsrätt som har frånhänts regeringen genom att regleringen har skett i lag. Det förekommer därför i vissa registerlagstiftningar bestämmelser som upplyser om att regeringen eller den myndighet som regeringen bestämmer, med stöd av 8 kap. 7 § RF, kan meddela föreskrifter. 216 Det rör sig alltså om upplysningsbestämmelser, dvs. inga bestämmelser som har en självständig materiell innebörd. Lagrådet har dock i ett flertal lagstiftningsärenden uttryckt tveksamheter kring bestämmelser som upplyser om att regeringen kan meddela föreskrifter med stöd av 8 kap. 7 § RF. I sitt yttrande över lagrådsremissen med förslag till brottsdatalag framhöll Lagrådet t.ex. att en uppräkning av områden där regeringen kan nyttja sin föreskriftsrätt enligt 8 kap. 7 § RF kan väcka frågan om vad som gäller för regeringens före- 217 skriftsrätt på de områden som inte räknas upp.

Vi föreslår att 114 kap. SFB inte ska innehålla någon upplysningsbestämmelse om på vilka områden regeringen kan utfärda verkställighetsföreskrifter. Eftersom regeringen, även utan någon särskild upplysningsbestämmelse, kan utfärda verkställighetsföreskrifter i anslutning till lagen, skulle en dylik upplysningsbestämmelse riskera att bli missvisande och är i vart fall överflödig.

När det däremot gäller föreskrifter om tekniska och organisatoriska säkerhetsåtgärder, bedömer vi att det behövs ett bemyndigande i 114 kap. SFB för att regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter. Skälet till detta är att sådana föreskrifter mer i detalj innehåller skyldigheter för dem som träffas av lagen. 218

Vi föreslår att bemyndigandet i 114 kap. 15 § andra stycket och 27 § tredje stycket SFB tas bort med anledning av att regleringen förändras (se avsnitt 7.10 och 7.14). Bemyndigandena i 114 kap. 17 § första stycket, 32 och 34 §§ föreslås tas bort på grund av att de avser verkställighetsföreskrifter som regeringen i vart fall kan utfärda, även utan en upplysning om denna möjlighet i lagen (se avsnitt 7.11 och 7.18). Bemyndigandena i 114 kap. 28 och 31 §§ SFB möjliggör undantag till lagregleringen och behövs för att regeringen eller den myndighet som regeringen bestämmer ska kunna utfärda föreskrifter. Vi föreslår därför att de behålls (se avsnitt

215 Prop. 2017/18:105 s. 26. Se t.ex. lag (2020:421) om Rättsmedicinalverkets behandling av personuppgifter. 216 217 Prop. 2017/18:232, Bilaga 12 s. 637. 218 Jfr. prop. 2017/18:205 s. 42 f. 149

7.14 och 7.17). Därutöver föreslås ett nytt bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om de krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. I övrigt kan regeringen utfärda ytterligare verkställighetsföreskrifter; det är t.ex. motiverat att utfärda föreskrifter om hur tillgången till personuppgifter bör avgränsas för de enskilda medarbetarna, formkrav vid tilldelningen av behörighet, om hur kontrollen av åtkomsten till personuppgifter bör gå till och om uttagande av avgifter för utlämnande av uppgifter och handlingar.

I 8 § förordningen om behandling av personuppgifter inom socialförsäkringens administration bemyndigas Försäkringskassan att meddela föreskrifter. Vi har i de avsnitt som behandlar regeringens bemyndigande bedömt om myndighetens föreskriftsmöjlighet bör finnas kvar. Ifråga om vilka uppgifter i socialförsäkringsdatabasen Statens tjänstepensionsverk och det för kommunerna och regionerna gemensamma organet för administration av personalpensioner får ha direktåtkomst till finns dock ingen reglering i lag. Sådan direktåtkomst reglerades tidigare i 219 114 kap. 20 § SFB, som upphörde att gälla den 1 juli 2018. Vi konstaterar att eftersom möjligheten till direktåtkomst inte längre finns kvar, bör även bemyndigandet i 8 § 4 förordningen om behandling av personuppgifter inom socialförsäkringens administration upphävas.

Om föreskrifterna enligt 8 § första stycket förordningen om behandling av personuppgifter inom socialförsäkringens administration avser uppgifter som faller under Pensionsmyndighetens personuppgiftsansvar enligt 114 kap 6 a § SFB, ska Försäkringskassan enligt andra stycket i samma bestämmelse besluta föreskrifterna i samråd med Pensionsmyndigheten. Vi föreslår att Pensionsmyndigheten ska ges möjlighet att självständigt besluta om föreskrifter avseende uppgifter inom ramen för Pensionsmyndighetens personuppgiftsansvar och att motsvarande ska gälla för Försäkringskassan. Samråd inför sådana beslut bör äga rum om beslutet kräver det.

Slutligen föreslås att regeringen i förordningen om behandling av personuppgifter inom socialförsäkringens administration ska kunna utfärda föreskrifter i anslutning till såväl 114 kap. som det föreslagna 114 a kap. SFB.

219 SFS 2018:670. 150

AVSLUTANDE DEL 151

8 Ikraftträdande och övergångsbestämmelser

Förslag: De föreslagna ändringarna ska träda i kraft så snart som möjligt. Bedömning: Det saknas behov av övergångsbestämmelser. I syfte att skapa goda förutsättningar för Försäkringskassans och Pensionsmyndighetens arbete och för att de båda myndigheterna effektivt ska kunna fullgöra sina respektive uppdrag bör de förslagna ändringarna träda i kraft så snart som möjligt. När det kan ske är beroende av vilken tid som behövs för den fortsatta handläggningen inom regeringskansliet och riksdagen. Det saknas behov av övergångsbestämmelser.

9 Konsekvenser

9.1 Inledning

Av 14–15 a §§ kommittéförordningen (1998:1474) framgår att ett betänkande ska innehålla en redovisning av vissa konsekvenser av de förslag som lämnas.

Enligt kommittéförordningen ska, om förslagen i ett betänkande påverkar kostnaderna eller intäkterna för staten, kommuner, landsting, företag eller andra enskilda, en beräkning av dessa konsekvenser redovisas i betänkandet. Om förslagen innebär samhällsekonomiska konsekvenser i övrigt, ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska en finansiering föreslås (14 § kommittéförordningen). Vidare ska eventuella konsekvenser för den kommunala självstyrelsen, för brottsligheten och för det brottsförebyggande arbetet anges. Detsamma gäller förslag som har betydelse för bl.a. sysselsättning, jämställdhet mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen (15 § kommittéförordningen). Om ett betänkande innehåller förslag till nya eller ändrade regler, ska förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet (15 a § kommittéförordningen). Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvensutredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning.

Vi redovisar därför konsekvenserna av våra förslag i det följande och bedömer att konsekvenserna även i övrigt framgår av promemorian i sin helhet.

Vi väljer också att redovisa förslagens konsekvenser för den personliga integriteten.

9.2 Konsekvenser enligt kommittéförordningen

Bedömning: Förslagen medför begränsade kostnader för de berörda myndigheterna. I övrigt föranleder förslagen inga sådana konsekvenser som avses i kommittéförordningen.

9.2.1 Ekonomiska konsekvenser Förslagen till ändring i 114 kap. SFB och tillhörande förordning samt förslaget om ett nytt kapitel innebär inga större konsekvenser ur ekonomiskt hänseende för de berörda myndigheterna. Försäkringskassan och Pensionsmyndigheten kommer att kunna behandla personuppgifter på samma sätt som tidigare, möjligen i något utökad utsträckning. Det kommer därför inte att krävas någon anpassning av befintliga IT-system för att följa regelverket. Vid utarbetandet av förslagen har det varit en ambition att genom förtydliganden och andra kompletteringar till reglerna i dataskyddsförordningen underlätta myndigheternas arbete. Förslagen innebär även en ökad flexibilitet i förhållande till kommande digitala utveckling. De föreslagna ändringarna möjliggör på olika sätt en effektivare handläggning och informationshantering inom Försäkringskassan och Pensionsmyndigheten och myndigheterna kommer att kunna ge allmänheten bättre och säkrare service. Detta kommer på sikt att innebära kostnadsbesparingar för de berörda myndigheterna men även för samhället i stort. Delar av myndigheternas personal kommer att behöva information om och utbildning i de nya bestämmelserna, vilket ligger inom ramen för myndigheternas befintliga anslag som även normalt omfattar utbildning. Ändringarna i regelverket kommer att medföra arbete med framtagande av föreskrifter och styrande dokument, samt behov av att se över och justera informationsmaterial och blanketter. Även detta ingår i vad som är normala uppgifter för myndigheter. Sådana åtgärder bör vidtas i god tid före det att författningsändringarna träder i kraft. Vissa anpassningar kommer således att krävas i förhållande till den ändrade regleringens utformning 153

och struktur. Sammantaget bör de eventuellt utökade kostnader som kan uppstå med anledning av förslagen dock vara marginella och under alla förhållanden rymmas inom befintliga anslag.

Bestämmelser om möjlighet till direktåtkomst för CSN, kommunernas socialnämnder och a-kassor föreslås tas bort. Eftersom skälet till förslagen är att bestämmelserna inte tillämpas, föranleder förslagen inga ekonomiska konsekvenser för berörda aktörer. Se dock CSN:s och Sveriges kommuner och regioners (SKR) uppfattning rörande förslagens konsekvenser i övrigt i bilagorna 1 och 3.

9.2.2 Konsekvenser för miljön Förslagen har positiva konsekvenser för miljön. Myndigheterna kommer att få utökade möjligheter att lämna ut information elektroniskt. Digital hantering leder till lägre förbrukning av papper samt färre transporter i samband med posthantering. Det leder i sin tur till att miljöbelastningen kan minska.

9.2.3 Konsekvenser för jämställdheten Författningsförslagen är könsneutralt utformade och förväntas inte få några konsekvenser för jämställdheten mellan kvinnor och män.

9.2.4 Konsekvenser för möjligheterna att nå de integrationspolitiska målen Förslagen i promemorian bedöms inte ha några konsekvenser för möjligheterna att nå de integrationspolitiska målen.

9.2.5 Konsekvenser i övrigt Utredningens förslag får inte några konsekvenser för den kommunala självstyrelsen eller för sysselsättning och offentlig service i olika delar av landet. Förslagen får inte heller i övrigt några sådana konsekvenser som avses i 14–15 a §§ kommittéförordningen.

9.3 Konsekvenser för den personliga integriteten

Bedömning: Förslagen ger myndigheterna möjlighet att utföra sina uppdrag på ett ändamålsenligt sätt samtidigt som de ger tillräckligt skydd för den enskildes personliga integritet.

Avsikten med EU:s dataskyddsreform är att stärka skyddet av den personliga integriteten vid behandling av personuppgifter. I vilken utsträckning några sådana effekter kan uppnås beror på de allmänna bestämmelserna om personuppgiftsbehandling som finns i den generella regleringen, såsom den enskildes rättigheter till information, invändningar och begränsningar, möjligheten till skadestånd, tillsyn m.m. Dessa bestämmelser kan, med något enstaka undantag, tillämpas även utan särskild författningsreglering i 114 kap. SFB och tillhörande förordning. I vid mening kan förslagen därför sägas inte få några konsekvenser för den personliga integriteten. Eftersom Försäkringskassans och Pensionsmyndighetens möjligheter att behandla personuppgifter idag är begränsade i förhållande till vad som gäller enligt dataskyddsförordningen och förslagen medför vissa förändringar av dessa begränsningar, får förslagen dock en påverkan på den personliga integriteten.

Tillämpningsområdet för 114 kap. SFB kommer att vara detsamma som tidigare. För uppgifter om avlidna, som i och för sig inte omfattas av dataskyddsförordningens bestämmelser, föreslås dock att såväl 114 kap. SFB och föreskrifter som har meddelats i anslutning till kapitlet som 154

dataskyddsförordningen, dataskyddslagen och föreskrifter som har meddelats i anslutning till den ska gälla i tillämpliga delar. Detta medför en utvidgning i förhållande till vad som tidigare gällt och innebär att uppgifter om avlidna ska behandlas på samma sätt som uppgifter om levande personer.

Idag gäller olika regler för behandling av personuppgifter beroende på om personuppgifterna behandlas i eller vid sidan av den s.k. socialförsäkringsdatabasen. Nu föreslås att samma regler ska gälla för all behandling av personuppgifter inom ramen för tillämpningsområdet för 114 kap. SFB. Det medför ett enklare och tydligare regelverk som blir lättare att tillämpa och som ger en tillräcklig nivå av skydd för alla personuppgifter som behandlas inom det aktuella tillämpningsområdet i myndigheternas verksamheter.

Uppräkningen av primära ändamål utvidgas enligt förslaget till att omfatta även kontroll- och analysåtgärder samt utvecklingsåtgärder. Detta medför i viss mån utökade möjligheter att behandla personuppgifter. Vi vill dock framhålla att myndigheterna redan tidigare har kunnat vidta den här typen av åtgärder med stöd av befintliga ändamålsbestämmelser och finalitetsprinicipen. En uttrycklig uppräkning av åtgärder som myndigheterna med stöd av sina uppdrag förväntas vidta ökar tydligheten kring myndigheternas befogenheter och bedöms därmed även skapa mer transparens och förutsebarhet för enskilda vars uppgifter behandlas. Ett alternativt, brett ändamål förutsätter att verksamheterna själva fastställer ändamål. Dessa ändamål måste naturligtvis förhålla sig till kraven i artikel 6 i dataskyddsförordningen. Oavsett för vilket ändamål personuppgifter behandlas gäller dessutom de grundläggande kraven enligt artikel 5 i dataskyddsförordningen. Det innebär bl.a. att personuppgifter endast får behandlas om de är relevanta, adekvata och inte för omfattande i förhållande till ändamålet för behandlingen. Personuppgifter kan alltså inte behandlas obegränsat för angivna ändamål. Vidare kommer föreslagna begränsningar avseende känsliga personuppgifter, sökbegränsningar, behörighetsbegränsningar och gallringsregler att gälla för behandling enligt de föreslagna ändamålen. Den föreslagna utvidgningen av ändamål bör således påverka skyddet för den personliga integriteten endast i mindre utsträckning.

Istället för behandling för uppräknade sekundära ändamål föreslås att personuppgifter som behandlas för primära ändamål också ska få behandlas av Försäkringskassan och Pensionsmyndigheten om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Därutöver ska personuppgifter som behandlas för primära ändamål få behandlas för olika internationella åtaganden. Vid ett utlämnande är den viktigaste frågan ur ett integritetsperspektiv om uppgifterna överhuvudtaget ska lämnas ut. Den frågan aktualiserades när den bestämmelse som fastställer en skyldighet eller tillåter ett utlämnande införs och det får förutsättas att det då görs en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet. Huruvida personuppgifter bör lämnas digitalt är främst en säkerhetsfråga och bör inte avgöras genom ändamålsbegränsning. Den föreslagna ändringen av de sekundära ändamålen kan därför i sig inte anses medföra ett ingrepp i den personliga integriteten.

Förslagen som rör behandling av känsliga personuppgifter innebär en viss utvidgning av vad som är tillåtet enligt befintlig lagstiftning. Förslagen följer den utvidgade uppräkningen av ändamål och är också en konsekvens av att begreppet socialförsäkringsdatabasen tas bort ur regleringen. Eftersom de nya ändamålen till stor del redan tolkas in i befintliga ändamål, bl.a. handläggning som medger behandling av känsliga personuppgifter, är utvidgningen i själva verket inte särskilt omfattande. Begränsningar som innebär att uppgifterna först ska behandlas

för att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas eller informera om förmåner och ersättningar innebär att känsliga personuppgifter måste härröra från den interna verksamheten för att kunna behandlas för andra ändamål. Känsliga personuppgifter kan t.ex. inte hämtas in från andra i syfte att användas för kontroll- och analysåtgärder. Därutöver föreslås sökbegränsningar som ytterligare avgränsar möjligheterna att använda känsliga personuppgifter i verksamheten. I kombination med de grundläggande kraven enligt dataskyddsförordningen ger förslagen Försäkringskassan och Pensionsmyndigheten tillräckliga möjligheter att behandla känsliga personuppgifter för att kunna utföra sina respektive uppdrag samtidigt som behandlingen begränsas till att endast tillåtas när den är nödvändig. Förslagen får därför anses väl avvägda ur ett integritetsperspektiv.

Vi föreslår att behandling av uppgifter om lagöverträdelser inte regleras särskilt i 114 kap. SFB. Det innebär att enbart dataskyddsförordningen och dataskyddslagen ska tillämpas vid sådan behandling och att sådana personuppgifter som definieras som uppgifter om lagöverträdelser i dataskyddsförordningen får behandlas av myndigheterna i motsvarande utsträckning som gäller för övriga personuppgifter. I förhållande till vad som gäller idag innebär detta en utvidgning av myndigheternas möjligheter att behandla uppgifter om lagöverträdelser. Det innebär dock ingen utvidgning i förhållande till vad som gäller enligt dataskyddsförordningen. Försäkringskassan och Pensionsmyndigheten får enligt förslaget behandla uppgifter om lagöverträdelser på samma sätt som andra myndigheter som saknar registerlagstiftning. Eftersom myndigheterna inte har uppdrag som medför hantering av uppgifter om lagöverträdelser i någon större utsträckning, kan detta inte anses medföra några integritetsrisker. Ramen för myndigheternas möjlighet att utöva verksamhet utgörs av respektive myndighets uppdrag och myndigheterna har inte rättslig grund för att behandla uppgifter om lagöverträdelser för annat än vad de är ålagda att göra.

Förslagen i övrigt innebär att möjligheten till direktåtkomst för utomstående aktörer minskas medan möjligheten för myndigheterna att lämna ut uppgifter på medium för automatiserad behandling utökas. Eftersom direktåtkomst medför vissa risker ur integritetsperspektiv, är den reducerade möjligheten till sådant utlämnande positiv. Försäkringskassan och Pensionsmyndigheten ges dock möjlighet till direktåtkomst till varandras uppgifter i den utsträckning det behövs för respektive myndighets handläggning av ärenden och för att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas. Bestämmelserna om direktåtkomst kompletteras med en sekretessbrytande bestämmelse som möjliggör överföring av uppgifter utan hinder av sekretess. De uppgifter som kan komma att lämnas genom direktåtkomsten, lämnas redan idag med stöd av bestämmelser om direktåtkomst till socialförsäkringsdatabasen. De föreslagna bestämmelserna medför således ingen utökning av dagens informationsöverföring.

Vid utlämnande på medium för automatiserad behandling ska gällande krav på säkerhet särskilt beaktas och som alltid vid utlämnande en sekretessprövning göras; samtidigt gäller naturligtvis att alla förutsättningar för behandling av personuppgifter ska vara uppfyllda. Vi bedömer att detta är tillräckligt för att balansera det något utökade integritetsintrång som förslaget som avser möjligheten till utlämnande på medium för automatiserad behandling som sådant kan medföra. Förslagen skapar en flexibel reglering som ger myndigheterna möjlighet att fortlöpande utveckla och anpassa sina IT-system och möjligheter till informationsutbyte utan att det krävs författningsändringar. Förslagen kan även förutsättas medföra att förutsättningarna ökar för Försäkringskassan och Pensionsmyndigheten att använda modern teknik. Detta ger Pensionsmyndigheten och Försäkringskassan stora möjligheter till effektivisering av verksamheterna.

Några nya uppgiftsskyldigheter, utöver den som gäller direktåtkomst mellan Försäkringskassan och Pensionsmyndigheten, föreslås inte, vilket innebär att befintlig sekretess fortfarande kommer att gälla. Även om uppgifter i ökad utsträckning kommer att kunna lämnas på medium för automatiserad behandling, medför ändringarna alltså inga utökade möjligheter att lämna ut uppgifter.

I övrigt bör förslagen medföra mycket begränsade konsekvenser för den enskildes personliga integritet. Avsikten är att regleringen generellt ska vara tydligare och mer överskådlig för såväl tillämpare som den enskilde och bidra till ökad transparens. Genom förslagen om ändringar blir regelverket även konsekvent i förhållande till flertalet andra registerförfattningar. En förtydligad reglering som är anpassad efter Försäkringskassans och Pensionsmyndighetens särskilda behov innebär mindre risker för otillåten behandling av personuppgifter. Kapitlet innehåller även skyddsåtgärder i syfte att värna enskildas personliga integritet. I de delar förslagen medför en utökad möjlighet att behandla personuppgifter i förhållande till vad som gäller enligt befintlig lagstiftning, sker utökningen enbart i förhållande till nationell lagstiftning, inte i förhållande till vad som gäller enligt dataskyddsförordningen. De undantagsmöjligheter enligt dataskyddsförordningen som sedan tidigare utnyttjats – begränsning av rätten att invända mot behandling och begränsning av rätten till registerutdrag – utökas inte genom förslagen. Utökningen sker alltså enbart genom tillämpning av dataskyddsförordningen, som i sig får anses ge ett tillräckligt skydd för den personliga integriteten.

Sammantaget är det Försäkringskassans och Pensionsmyndighetens bedömning att förslagen ger myndigheterna möjlighet att utföra sina uppdrag på ett ändamålsenligt sätt samtidigt som de ger tillräckligt skydd för den enskildes personliga integritet.

9.4 Konsekvenser av att inte genomföra förslagen

Försäkringskassans och Pensionsmyndighetens verksamhet är en viktig del av socialförsäkringssystemet. Det är därför av ett stort samhällsintresse att de båda myndigheterna kan fortsätta att bedriva en kostnadseffektiv och ändamålsenlig verksamhet. De ökade kraven på teknikutveckling och digitalisering har medfört att nuvarande reglering av myndigheternas behandling av personuppgifter inte längre ger tillräckliga förutsättningar för att myndigheterna ska kunna genomföra sina respektive uppgifter på det sätt som förväntas. Om regleringen inte ändras enligt våra förslag innebär det bl.a. att Försäkringskassan och Pensionsmyndigheten även i fortsättningen kommer att behöva vända sig till regeringen med begäran om författningsändringar vid varje tillfälle det, i syfte att kunna uppfylla de uppdrag myndigheterna fått, uppstår nya behov av att kunna lämna ut personuppgifter i ett fråga/svar-system. Myndigheternas möjligheter att leverera inom ramen för sina respektive uppdrag inom rimlig tid, av god kvalitet och till en rimlig kostnad kommer då i viss mån att vara fortsatt begränsade. Eftersom socialförsäkringen är ett område som kan kräva snabba förändringar beroende på konjunktur, olika former av kriser i samhället och politiska förändringar krävs en reglering som möjliggör elektroniskt informationsutbyte under säkra former och som samtidigt är flexibel och teknikoberoende. En anpassning av lagstiftningen i enlighet med de förslag som lämnas i denna promemoria är därför nödvändig för att väsentligt förbättra Försäkringskassans och Pensionsmyndighetens förutsättningar att genomföra sina uppdrag på ett effektivt, ändamålsenligt och rättssäkert sätt och därigenom nå de mål som regeringen och riksdagen satt upp för socialförsäkringen.

10 Författningskommentar

10.1 Förslaget till lag om ändring i SFB

114 kap. Innehåll

1 § I detta kapitel finns allmänna bestämmelser i 2–4 §§. Vidare finns bestämmelser om - förhållandet till annan reglering i 6 §, - personuppgiftsansvar i 6 a §, - ändamål för behandling av person-uppgifter i 7–8 och 10 §§, - behandling av känsliga personupp-gifter i 11 §, - tillgång till personuppgifter i 17 §, - direktåtkomst i 18–22 §§, - sökbegränsning i 27 §, - information i 30 §, och - gallring i 31 §.

Paragrafen anger kapitlets innehåll.

Allmänna bestämmelser

2 § Detta kapitel tillämpas vid behandling av personuppgifter i verksamhet som gäller förmåner enligt denna balk, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten. Kapitlet gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Vid behandling av uppgifter om avlidna ska detta kapitel och föreskrifter som har meddelats i anslutning till det, Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen gälla i tillämpliga delar.

Paragrafen reglerar kapitlets materiella tillämpningsområde. Övervägandena finns i avsnitt 7.1.

I första stycket anges inledningsvis att kapitlet gäller vid behandlingen av personuppgifter. Begreppen ”personuppgifter” och ”behandling” har samma innebörd som i artikel 4 i dataskyddsförordningen. Vidare anges att kapitlet gäller i verksamhet som gäller förmåner enligt socialförsäkringsbalken, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten, dvs. i myndigheternas respektive så kallade kärnverksamheter. Kapitlet är alltså inte tillämpligt vid andra typer av verksamheter vid myndigheterna, t.ex. inom den administrativa verksamheten.

I andra stycket klargörs att tillämpningsområdet är begränsat till helt eller delvis automatiserad behandling eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Genom denna definition ansluter den föreslagna lagens tillämpningsområde till dataskyddsförordningens tillämpningsområde som det uttrycks i artikel 2.

Bestämmelsen i tredje stycket anger att vissa bestämmelser i 114 kap. SFB och föreskrifter som har meddelats i anslutning till kapitlet, dataskyddsförordningen, dataskyddslagen och föreskrifter som har meddelats i anslutning till den ska gälla i tillämpliga delar för uppgifter om avlidna personer. Bestämmelser som på något sätt kräver den registrerades agerande eller medverkan i övrigt är inte tillämpliga på avlidna personer. Någon möjlighet för efterlevande eller andra att överta rättigheter som tillkom den avlidne när denne var i livet finns inte heller. Det innebär exempelvis att bestämmelser om rätten till information, rätten till skadestånd och möjligheten att begära rättelse av registrerades personuppgifter inte är tillämpliga i förhållande till avlidna. Däremot gäller bl.a. krav för behandling av uppgifter och de principer som följer av artikel 5 i dataskyddsförordningen.

3 § Sådan behandling av personuppgifter som är tillåten enligt detta kapitel får utföras även om den registrerade motsätter sig behandlingen.

Paragrafen reglerar ett undantag i förhållande till rätten att göra invändningar mot behandling av personuppgifter enligt artikel 21 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.2.

Av bestämmelsen följer att behandling av personuppgifter som är tillåten enligt 114 kap. SFB får utföras även om den registrerade motsätter sig behandlingen.

4 § I fråga om behandling av personuppgifter inom ramen för den officiella statistiken finns särskilda bestämmelser i lagen (2001:99) om den officiella statistiken och i författningar som ansluter till den lagen.

Paragrafen är en upplysningsbestämmelse. Övervägandena finns i avsnitt 7.3.

Paragrafen upplyser om att lagen (2001:99) om den officiella statistiken och författningar som ansluter till den lagen gäller för behandling av personuppgifter inom ramen för den officiella statistiken. Det innebär att bestämmelserna i 114 kap. SFB inte är tillämpliga i fråga om sådan verksamhet.

Förhållandet till annan reglering

6 § Detta kapitel innehåller bestämmelser som kompletterar EU:s dataskyddsförordning.

Vid behandling av personuppgifter enligt detta kapitel gäller dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet.

Paragrafen beskriver hur 114 kap. SFB förhåller sig till annan reglering. Övervägandena finns i avsnitt 7.5. 159

Första stycket upplyser om att 114 kap. SFB innehåller bestämmelser som kompletterar dataskyddsförordningen. Dataskyddsförordningen är direkt tillämplig men förutsätter eller tillåter i vissa avseenden nationella undantag och tillägg. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser dataskyddsförordningen i dess vid varje tidpunkt gällande lydelse.

Av andra stycket framgår lagens relation till dataskyddslagen och föreskrifter som meddelats i anslutning till den lagen. Dataskyddslagen kompletterar dataskyddsförordningen på nationell generell nivå. Bestämmelserna i 114 kap. SFB har dock företräde framför dataskyddslagen. Om inte annat följer av 114 kap. eller föreskrifter som meddelas i anslutning till kapitlet gäller dataskyddslagen.

Personuppgiftsansvar

6 a § Försäkringskassan och Pensionsmyndigheten är personuppgiftsansvarig för behandling av personuppgifter i respektive myndighets verksamhet.

Paragrafen anger vem som är personuppgiftsansvarig för sådan behandling av personuppgifter som utförs inom tillämpningsområdet för 114 kap. SFB. Övervägandena finns i avsnitt 7.6.

Försäkringskassan och Pensionsmyndigheten är personuppgiftsansvarig för behandling av personuppgifter i respektive myndighets verksamhet. Det innebär att respektive myndighet ansvarar för sin behandling inom ramen för sin egen verksamhet inom tillämpningsområdet för 114 kap. SFB. Om t.ex. Försäkringskassan utför behandling inom ramen för Pensionsmyndighetens verksamhet, sker denna behandling som personuppgiftsbiträde och inte med ett eget personuppgiftsansvar.

Med personuppgiftsansvaret följer en rad skyldigheter enligt såväl dataskyddsförordningen som bestämmelserna i 114 kap. SFB. Det innebär bland annat att myndigheterna ansvarar för säkerheten vid behandling av personuppgifterna och för att tillgången till uppgifterna inom den egna myndigheten begränsas i enlighet med bestämmelsen i 114 kap. 17 § SFB.

Ändamål för behandling av personuppgifter

7 § Försäkringskassan och Pensionsmyndigheten får behandla personuppgifter om det är nödvändigt för att 1. handlägga ärenden, 2. tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, 3. informera om förmåner och ersättningar, 4. vidta kontroll- och analysåtgärder, 5. vidta utvecklingsåtgärder, 6. framställa statistik, eller 7. planera, styra, följa upp, redovisa och utvärdera verksamheten.

Alternativt

7 § Försäkringskassan och Pensionsmyndigheten får behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna.

I två alternativa paragrafer anges för vilka primära ändamål personuppgifter får behandlas inom tillämpningsområdet för 114 kap. SFB. Övervägandena finns i avsnitt 7.7.1–7.7.3.

Försäkringskassans och Pensionsmyndigheten får, enligt vårt första alternativa förslag till utformning av bestämmelsen, behandla personuppgifter om det är nödvändigt för att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, informera om förmåner och ersättningar, vidta kontroll- och analysåtgärder, vidta utvecklingsåtgärder, framställa statistik, och planera, styra, följa upp, redovisa och utvärdera verksamheten.

Begreppet handläggning ska tolkas brett och innefatta alla moment som kan bli aktuella vid handläggningen av ett ärende, dvs. inte bara åtgärder som direkt syftar till att kunna fatta beslut i ett ärende utan samtliga åtgärder i ärendet. Det handlar t.ex. om behandling av personuppgifter i samband med mottagande och inhämtande av handlingar och uppgifter, eventuell diarieföring och registrering, beredning av ärenden, utredande åtgärder, kommunicering, kommunikation med andra tjänstemän inom samma myndighet med anledning av ärendet, praxishantering, upprättande och meddelande av beslut samt verkställande av beslutet och utbetalning av förmån eller ersättning. Även sådan behandling av personuppgifter som sker efter att ärendet avslutats bör kunna anses ske för ändamålet att handlägga ärenden, om de åtgärder som vidtas anknyter till ärendet. Det kan handla om t.ex. impulser, indexomräkningar, uppräkningar och avräkningar. En omprövning, ett överklagande, återkrav och liknande hanteras i nya ärenden men innan nya ärenden inleds – och efter att det föregående ärendet har avslutats – kan åtgärder vidtas som syftar till att bedöma om huruvida ett sådant nytt ärende ska inledas. Den behandling som sker genom att uppgifterna sparas fram till dess att de gallras, måste också anses ske för ändamålet handläggning av ärenden. Personuppgifter som samlats in för ett visst ärende kan i vissa fall också behöva behandlas i ett annat ärende som rör samma person eller i ett ärende som rör en annan person men där den registrerade förekommer som t.ex. anhörig. Ändamålet handläggning av ärenden bör även ge utrymme att behandla personuppgifter i inkomna handlingar utan att det i det enskilda fallet sker någon bedömning av hur relevant uppgiften är för ett visst mål eller ärende.

Ändamålet handläggning av ärenden är tillämpligt i olika typer av ärenden. Framför allt aktualiseras det naturligtvis vid prövning av rätt till förmåner eller ersättningar men det ska också tillämpas vid t.ex. omprövning, processföring i domstol, skadeståndsärenden, registervårdsärenden och handläggning av remisser från JO, JK och DO om ärendena behandlar frågor som rör sådan behandling av personuppgifter som omfattas av tillämpningsområdet för 114 kap. SFB. Handläggning av kontrollutredningsärenden som rör förmåner och ersättningar omfattas, till skillnad mot kontrollåtgärder som vidtas utanför ärenderamen, av ändamålet handläggning av ärenden.

Personuppgifter behandlas för ändamålet tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas när det inte finns ett ärende att hänföra dem till. Det inkommer uppgifter, t.ex. läkarintyg från vården och uppgifter om sjuklön från arbetsgivare, utan att den försäkrade först gjort en ansökan om ersättning. Myndigheter

lämnar uppgifter till följd av uppgiftsskyldigheter och Försäkringskassan och Pensionsmyndigheten behöver ha tillgång till uppdaterade folkbokföringsuppgifter och andra adressuppgifter för en effektiv administration. Vissa ärenden – för Försäkringskassans del t.ex. barnbidrag – ska initieras av myndigheten själv som då utgår från inhämtade folkbokföringsuppgifter. Ålderspensionssystemet förutsätter registrering av uppgifter om inkomster, familjeförhållanden m.m. under mycket lång tid och i vissa fall under en individs hela vuxna liv. Den övervägande delen av dessa uppgifter kan vidare i händelse av dödsfall komma att behövas vid fastställande av efterlevandeförmåner till andra än den registrerade själv.

Såväl Försäkringskassan som Pensionsmyndigheten har i uppdrag att informera om socialförsäkringen och dess förmåner och ersättningar. Även sådan verksamhet förutsätter behandling av personuppgifter, i första hand uppgifter om namn och adresser. Det kan dock även vara aktuellt att genom olika kriterier göra urval av mottagare av informationen, vilket förutsätter fler uppgifter än enbart kontaktuppgifter. Information kan skickas ut inom ramen för ett ärende, vilket då sker med stöd av ändamålet som avser handläggning av ärenden, men ofta kan det vara fråga om mer allmänt riktad information.

När personuppgifter behandlas för olika kontrolländamål inom ramen för handläggning av ärenden, kan behandlingen i de flesta fall ske med stöd av handläggningsändamålet. Kontrollarbete kan dock även ske utanför ärendehandläggningen, bl.a. i form av analyser och uppbyggnad av s.k. urvalsprofiler. När datamängder analyseras och utvärderas, modeller för urval utvecklas och tränas och när den färdiga profilen sedan används för urval, behandlas personuppgifter. Sådan behandling sker lämpligen för ändamålet att vidta kontroll- och analysåtgärder.

Ändamålet att vidta utvecklingsåtgärder är avsett att tillämpas vid IT-utveckling som gör anspråk på att handla om mer än enbart underhåll av befintliga lösningar. Åtgärder för att regelbundet testa, undersöka och utvärdera effektiviteten hos befintliga tekniska och organisatoriska åtgärder kan ofta anses utgöra en administrativ verksamhet som inte faller inom tillämpningsområdet för 114 kap. SFB.

För statistikändamålet behandlas personuppgifter när statistikframställningen inte omfattas av lagen och förordningen om den officiella statistiken och statistiken ska användas för myndigheternas kärnverksamheter.

Behandling av personuppgifter som utförs i syfte att planera, styra, följa upp, redovisa och utvärdera verksamheten förekommer i viss omfattning på alla myndigheter. Försäkringskassan och Pensionsmyndigheten har dock i uppdrag att följa, analysera och förmedla socialförsäkringssystemets och ålderspensionssystemets utveckling och effekter för enskilda och samhälle, vilket föranleder behandling enligt ändamålet. Planering, uppföljning och utvärdering sker därutöver ofta som en integrerad del i övrig verksamhet, huvudsakligen den handläggande verksamheten.

Enligt vårt andra alternativa förslag får myndigheterna behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna. Ändamålet är avsett att omfatta all sådan behandling av personuppgifter som är nödvändig inom tillämpningsområdet för 114 kap. SFB. För att leva upp till dataskyddsförordningens krav på särskilda, uttryckligt angivna och berättigade ändamål måste detta breda ändamål kompletteras av myndigheterna med mer

preciserade ändamål för de specifika behandlingar av personuppgifter som sker i myndigheternas verksamhet.

De primära ändamålen återspeglar de behov av olika behandlingar som förekommer inom den verksamhet som Försäkringskassan och Pensionsmyndigheten bedriver. Regleringen av de primära ändamålen ger tillsammans med regleringen i 8 och 10 §§ en ram för vilka behandlingar som är tillåtna. Att myndigheternas personuppgiftsbehandling i enlighet med principen om uppgiftsminimering inte får vara för omfattande i förhållande till de ändamål för vilka uppgifterna behandlas framgår av dataskyddsförordningen.

8 § Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas av Försäkringskassan och Pensionsmyndigheten för att fullgöra uppgiftslämnande som 1. sker i överensstämmelse med lag eller förordning, eller 2. följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation.

Paragrafen anger för vilka sekundära ändamål Försäkringskassan och Pensionsmyndigheten får behandla personuppgifter inom tillämpningsområdet för 114 kap. SFB. Övervägandena finns i avsnitt 7.7.4.

Sådana personuppgifter som behandlas för något av de primära ändamålen får också behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Med detta avses att uppgiftslämnandet sker med stöd av bestämmelser som påbjuder eller tillåter utlämnande. Det kan röra sig om en sådan uttrycklig uppgiftsskyldighet som avses i 10 kap. 28 § OSL, men det räcker också med att uppgiftslämnandet sker i syfte att fullgöra serviceskyldigheten enligt förvaltningslagen eller följer av skyldigheten enligt 6 kap. 5 § OSL för en myndighet att på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång.

Därutöver får personuppgifter som behandlas för primära ändamål behandlas genom att lämnas ut till en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnandet av uppgifterna följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation.

10 § Personuppgifter som behandlas för något av de ändamål som anges i 7 och 8 §§ får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Paragrafen ger uttryck för den s.k. finalitetsprincipen. Övervägandena finns i avsnitt 7.7.5.

Av artikel 5.1 b i dataskyddsförordningen framgår att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka uppgifterna samlades in. Detta är den s.k. finalitetsprincipen. I 114 kap. SFB utgör finalitetsprincipen en yttersta ram inom vilken personuppgifter får behandlas.

Behandling av känsliga personuppgifter

11 § Samtliga sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas om det är nödvändigt för något av de ändamål som anges i 7 § 1 samt 8 §. Känsliga personuppgifter om hälsa får också behandlas om det är nödvändigt för något av de ändamål som anges i 7 § 2–7 och 10 §. För de ändamål som anges i 7 § 4–7, 8 och 10 §§ får dock endast sådana känsliga personuppgifter behandlas som behandlas eller har behandlats för något av de ändamål som anges i 7 § 1–3.

Alternativt

11 § Samtliga sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas om det är nödvändigt för något av de ändamål som anges i 7 och 8 §§. Känsliga personuppgifter om hälsa får också behandlas om det är nödvändigt för det ändamål som anges i 10 §. För de ändamål som anges i 8 och 10 §§ får dock endast sådana känsliga personuppgifter behandlas som behandlas eller har behandlats för det ändamål som anges i 7 §.

I två alternativa paragrafer anges när det är tillåtet att behandla känsliga personuppgifter. Övervägandena finns i avsnitt 7.8.

Begreppet ”känsliga personuppgifter” definieras i artikel i 9.1 dataskyddsförordningen som personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Huvudregeln är att det är förbjudet att behandla sådana personuppgifter.

Vilka känsliga personuppgifter som är tillåtna att behandla är beroende av för vilka ändamål uppgifternas behandlas. Eftersom vi lämnar två alternativa förslag till primära ändamål, lämnar vi också två alternativa förslag till hur de känsliga personuppgifterna ska få behandlas. Om paragrafen med de primära ändamålen utformas som en uppräkning av ett antal olika ändamål, framgår det av första stycket att samtliga kategorier av känsliga personuppgifter får behandlas om det är nödvändigt för att handlägga ärenden samt för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Av andra stycket följer att känsliga personuppgifter om hälsa även ska få behandlas om det är nödvändigt för övriga ändamål. Enligt tredje stycket måste som en skyddsåtgärd känsliga personuppgifter först ha behandlats för att handlägga ärenden, tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas eller för att informera om förmåner och ersättningar innan de får behandlas för de ändamål som avser att vidta kontroll- och analysåtgärder, vidta utvecklingsåtgärder, framställa statistik, planera, styra, följa upp, redovisa och utvärdera verksamheten, att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen.

Om Försäkringskassan och Pensionsmyndigheten istället får behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna, ska det enligt första stycket vara tillåtet att behandla samtliga kategorier av känsliga personuppgifter om det är nödvändigt för 164

det primära ändamålet samt för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Enligt andra stycket ska känsliga personuppgifter om hälsa få behandlas om det är nödvändigt för behandling enligt finalitetsprincipen. För de ändamål som avser att lämna ut uppgifter och behandla uppgifter enligt finalitetsprincipen ska dock enligt tredje stycket endast sådana känsliga personuppgifter få behandlas som behandlas eller har behandlats för det primära ändamålet.

Tillgång till personuppgifter

17 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt.

Paragrafen reglerar säkerhetsåtgärder i form av begränsning av tillgången till personuppgifter och krav på kontroll av åtkomst till personuppgifter. Övervägandena finns i avsnitt 7.11.

I första stycket anges att tillgången till personuppgifter ska begränsas till vad som behövs för att var och en ska kunna fullgöra sina arbetsuppgifter. Den enskilde medarbetaren får således inte medges obegränsad tillgång till alla uppgifter och handlingar som behandlas inom ramen för tillämpningsområdet för 114 kap. SFB. Varje medarbetares behov av tillgång till personuppgifter ska prövas utifrån vad arbetsuppgifterna kräver och tillgången ska begränsas i enlighet med det. Det krävs att arbetsgivaren/uppdragsgivaren aktivt tar ställning till vilket informationsbehov ett tjänsteåliggande eller uppdrag innebär och tilldelar erforderlig behörighet utifrån det.

Villkor för åtkomst kan få betydelse vid tillämpningen av bestämmelser om straffansvar, bl.a. för dataintrång enligt 4 kap. 9 c § brottsbalken.

Av andra stycket framgår att åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt. Kontroll kan ske genom såväl förebyggande arbete som efterkontroll. Styrning av tilldelning och begränsning av behörigheter är exempel på förebyggande tekniska och organisatoriska åtgärder. Ytterligare förebyggande arbete kan ske exempelvis genom utarbetande av verksamhetsprocesser, rutiner, internutbildningar och vid behov säkerhetsklassning av medarbetare. Anonymisering och pseudonymisering av direkt identifierbara personuppgifter är andra exempel på säkerhetsåtgärder som den personuppgiftsansvarige utifrån omständigheterna kan vidta. Kontroll av efterlevnaden av kravet på behovsbegränsning av tillgången till personuppgifter bör företrädesvis ske genom regelbunden kontroll av loggfiler och liknande. Loggkontroller medger uppföljning av användarnas behandling av personuppgifter och syftar till att upptäcka situationer då personuppgifter behandlats på ett otillåtet sätt. Information om att loggkontroller görs kan också ha en avskräckande funktion och därmed fungera som en förebyggande åtgärd.

Direktåtkomst

18 § Direktåtkomst till personuppgifter hos Försäkringskassan och Pensionsmyndigheten är tillåten endast i den utsträckning som anges i lag eller förordning.

Paragrafen anger de grundläggande förutsättningarna för att direktåtkomst ska vara tillåten. Övervägandena finns i avsnitt 7.12.1.

Direktåtkomst är tillåten endast i den utsträckning som den är uttryckligen reglerad i lag eller förordning. Det innebär att direktåtkomst inte kan regleras enbart genom överenskommelser myndigheter emellan.

19 § Försäkringskassan får, om det behövs för något av de ändamål som anges i 7 § 1 och 2, ha direktåtkomst till personuppgifter hos Pensionsmyndigheten.

Alternativt

19 § Försäkringskassan får, om det behövs för det ändamål som anges i 7 §, ha direktåtkomst till personuppgifter hos Pensionsmyndigheten.

I två alternativa paragrafer anges när Försäkringskassan får ha direktåtkomst till personuppgifter hos Pensionsmyndigheten. Övervägandena finns i avsnitt 7.12.2.

Direktåtkomsten hänför sig till de primära ändamålen. Eftersom vi lämnar två alternativa förslag till primära ändamål, lämnar vi också två alternativa förslag till när det är tillåtet med direktåtkomst. Om paragrafen med de primära ändamålen utformas som en uppräkning av ett antal olika ändamål, ska Försäkringskassan, i den utsträckning det behövs för att handlägga ärenden eller tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, få ha direktåtkomst till Pensionsmyndighetens personuppgifter.

Om Försäkringskassan och Pensionsmyndigheten istället får behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna ska Försäkringskassan, i den utsträckning det behövs för det primära ändamålet få ha direktåtkomst till Pensionsmyndighetens personuppgifter.

En bestämmelse om direktåtkomst är inte sekretessbrytande. För att paragrafen ska kunna tillämpas krävs därför också en tillämpning av den sekretessbrytande bestämmelse som föreslås i den nya 114 a kap. 4 § SFB.

20 § Pensionsmyndigheten får, om det behövs för något av de ändamål som anges i 7 § 1 och 2, ha direktåtkomst till personuppgifter hos Försäkringskassan.

Alternativt

20 § Pensionsmyndigheten får, om det behövs för det ändamål som anges i 7 §, ha direktåtkomst till personuppgifter hos Försäkringskassan.

I två alternativa paragrafer anges när Pensionsmyndigheten får ha direktåtkomst till personuppgifter hos Försäkringskassan. Övervägandena finns i avsnitt 7.12.2.

Direktåtkomsten hänför sig till de primära ändamålen. Eftersom vi lämnar två alternativa förslag till primära ändamål, lämnar vi också två alternativa förslag till när det är tillåtet med direktåtkomst. Om paragrafen med de primära ändamålen utformas som en uppräkning av ett

antal olika ändamål, ska Pensionsmyndigheten, i den utsträckning det behövs för att handlägga ärenden eller tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas, få ha direktåtkomst till Försäkringskassans personuppgifter.

Om Försäkringskassan och Pensionsmyndigheten istället får behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna ska Pensionsmyndigheten, i den utsträckning det behövs för det föreslagna primära ändamålet få ha direktåtkomst till Försäkringskassans personuppgifter.

En bestämmelse om direktåtkomst är inte sekretessbrytande. För att paragrafen ska kunna tillämpas krävs därför också en tillämpning av den sekretessbrytande bestämmelse som föreslås i den nya 114 a kap. 4 § SFB.

21 § Arbetsförmedlingen, kommuner och regioner som deltar i samverkan och sådan finansiell samordning som avses i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser får ha direktåtkomst till sådana personuppgifter hos Försäkringskassan som behandlas med anledning av samordningen i den utsträckning den registrerade samtycker till det.

Av paragrafen framgår att myndigheter som deltar i samverkan och finansiell samordning får har direktåtkomst till vissa personuppgifter hos Försäkringskassan. Övervägandena finns i avsnitt 7.12.5.

Arbetsförmedlingen, kommuner och regioner som deltar i samverkan och sådan finansiell samordning som avses i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser får ha direktåtkomst till sådana personuppgifter hos Försäkringskassan som behandlas med anledning av samordningen. Som förutsättning för direktåtkomsten gäller att den enskilde, som är föremål för rehabiliteringsinsatserna, ger sitt samtycke till den. Samtycket utgör inte rättslig grund för behandlingen av personuppgifter utan får snarare anses utgöra en integritetshöjande åtgärd, dvs. en skyddsåtgärd.

22 § Den registrerade får ha direktåtkomst till sådana personuppgifter om sig själv som behandlas hos Försäkringskassan och Pensionsmyndigheten för något av de ändamål som anges i 7 § 1 och 2 under förutsättning att uppgifterna får lämnas ut till denne. Motsvarande direktåtkomst får även ges till förmyndare, förvaltare, god man och ombud för den registrerade.

Alternativt

22 § Den registrerade får ha direktåtkomst till sådana personuppgifter om sig själv som behandlas hos Försäkringskassan och Pensionsmyndigheten under förutsättning att uppgifterna får lämnas ut till denne. Motsvarande direktåtkomst får även ges till förmyndare, förvaltare, god man och ombud för den registrerade.

I två alternativa paragrafer ges den registrerade och dennes företrädare möjlighet till direktåtkomst. Övervägandena finns i avsnitt 7.12.6.

Direktåtkomsten hänför sig till de primära ändamålen. Eftersom vi lämnar två alternativa förslag till primära ändamål, lämnar vi också två alternativa förslag till när det är tillåtet med direktåtkomst. Om paragrafen med de primära ändamålen utformas som en uppräkning av ett antal olika ändamål, ska den registrerade medges direktåtkomst till sådana personuppgifter som behandlas hos Försäkringskassan och Pensionsmyndigheten för ändamålen att handlägga ärenden och att tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas eller fastställas. Detta gäller under förutsättning att uppgifterna får lämnas ut till denne.

Om Försäkringskassan och Pensionsmyndigheten istället får behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna ska direktåtkomsten omfatta samtliga personuppgifter som behandlas hos Försäkringskassan och Pensionsmyndigheten inom tillämpningsområdet för 114 kap. SFB. Även detta gäller under förutsättning att uppgifterna får lämnas ut till den registrerade.

Enligt båda de alternativa förslagen ska motsvarande direktåtkomst få ges till förmyndare, förvaltare, god man och ombud för den registrerade.

23 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst.

I paragrafen bemyndigas regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om krav på säkerhetsåtgärder som ska gälla vid direktåtkomst. Övervägandena finns i avsnitt 7.21.

Sökbegränsning

27 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Utan hinder av de begränsningar för sökning som anges i första stycket får personuppgifter som rör hälsa användas 1. i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning, och 2. som urvalskriterium vid sammanställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det.

I paragrafen anges vad som gäller vid användning av känsliga personuppgifter som sökbegrepp. Övervägandena finns i avsnitt 7.14.

Enligt första stycket är det som huvudregel förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Det innebär att förbudet är relaterat till syftet med sökningen. Det innebär att det inte är tillåtet att använda känsliga personuppgifter som sökbegrepp för t.ex. kartläggning av personer på grundval av etnicitet. Däremot hindrar en sådan sökbegränsning inte sökningar som görs för andra ändamål, t.ex. i syfte att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård, dvs. då syftet med sökningen inte är att identifiera ett urval av individer. Så länge slutresultatet – eller ett delresultat – inte utgör en kartläggning av personer utifrån en känslig personuppgift är det alltså tillåtet att använda känsliga personuppgifter som sökbegrepp. 168

När en myndighet gör sökningar i syfte att ta fram en potentiell handling på grund av en begäran om allmän handling från någon utomstående i enlighet med reglerna i 2 kap. TF, får detta anses ske för ändamålet att lämna ut en allmän handling; inte för det ändamål den som begär handlingen avser att använda handlingen till. Den aktuella sökbegränsningen förbjuder endast sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter och aktualiserar därför inte begränsningsregeln i 2 kap. 7 § TF. Sökbegränsningen begränsar inte heller myndighetens möjligheter att identifiera och efterforska utbegärda handlingar med hjälp av känsliga personuppgifter som sökbegrepp (s.k. färdiga elektroniska handlingar).

I andra stycket anges två undantag till huvudregeln. Utöver vad som gäller enligt första stycket, är det tillåtet att göra sökningar på känsliga personuppgifter i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning. Det är alltså tillåtet att ta fram uppgifter om personer som t.ex. beviljats eller fått avslag på en viss sjukförmån under en viss period eller under vissa förutsättningar. Regeringen eller den myndighet regeringen bestämmer får också meddela föreskrifter om när känsliga personuppgifter som rör hälsa får användas som urvalskriterium vid sammanställningar.

Information

30 § Personuppgifter som den registrerade har tagit del av och som behandlas i löpande text i ärenden behöver endast tas med i sådan information som avses i artikel 15 i EU:s dataskyddsförordning om den registrerade begär det. Av informationen ska det dock framgå i vilka ärenden det behandlas personuppgifter i löpande text.

Paragrafen reglerar ett undantag till den rätt till information som gäller enligt artikel 15 i dataskyddsförordningen. Övervägandena finns i avsnitt 7.16.

Den registrerade har enligt artikel 15 i dataskyddsförordningen rätt att på begäran få information om bl.a. vilka personuppgifter den personuppgiftsansvarige behandlar om honom eller henne. Detta kallas i dagligt tal registerutdrag. Rättigheten enligt dataskyddsförordningen omfattar samtliga personuppgifter som behandlas av Försäkringskassan och Pensionsmyndigheten, inklusive de uppgifter som behandlas i olika förmånsärenden. Paragrafen ger myndigheterna en möjlighet att i ett inledande skede undanta uppgifter i förmånsärenden från att tas med i registerutdragen.

De personuppgifter som kan undantas är sådana uppgifter som den registrerade redan har tagit del av, t.ex. genom att de lämnats till myndigheten av den registrerade eller genom att de i enlighet med 25 § förvaltningslagen har kommunicerats med honom eller henne. Uppgifterna ska också finnas i löpande text i ärenden. Med löpande text avses information som inte har strukturerats så att sökning av personuppgifter underlättas och med ärenden avses ärende i förvaltningsrättslig mening.

För att den registrerade ska kunna återkomma och begära att få tillgång till de personuppgifter som till en början inte lämnats i registerutdraget, ska Försäkringskassan och Pensionsmyndigheten lämna information om vilka ärenden som finns. Om den registrerade begär att få de personuppgifter som behandlas i ett visst ärende, ska dessa uppgifter lämnas ut under förutsättning att det inte föreligger hinder i form av sekretess. De registrerade kan också redan från början begära att registerutdraget ska omfatta samtliga personuppgifter i alla ärenden. 169

Gallring

31 § Personuppgifter som behandlas automatiserat ska gallras när de inte längre är nödvändiga för det ändamål de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

Paragrafen anger de särskilda bestämmelser om bevarande och gallring som ska gälla inom tillämpningsområdet för 114 kap. SFB. Övervägandena finns i avsnitt 7.17.

Av paragrafen framgår att personuppgifter som behandlas automatiserat ska gallras när de inte längre är nödvändiga för det ändamål de behandlas för. Begreppet gallring avser gallring i arkivrättslig mening. Det räcker således inte med att uppgifterna avidentifieras utan med gallring avses förstöring – och när det gäller elektroniska handlingar även andra med detta jämförbara åtgärder – av uppgifterna. Skyldigheten att gallra knyts inte till en tidsfrist utan förhåller sig till ändamålet med behandlingen. Det är således ändamålen med behandlingen – de ursprungliga ändamålen som bestämdes vid insamlingen av uppgifterna och de andra eventuellt senare tillkomna ändamål – som avgör hur länge personuppgifterna ska få bevaras. Försäkringskassan och Pensionsmyndigheten måste därför bedöma när olika uppgifter inte längre behövs för de ändamål de behandlas för. Sådana bedömningar bör konkretiseras genom tillämpningsbeslut om lämpliga gallringsfrister. Vad som är en lämplig gallringsfrist får avgöras från fall till fall med hänsyn till vilka handlingsslag, uppgifter och vilken förmån det handlar om.

I paragrafen anges också att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål. Regeringen eller den myndighet som regeringen bestämmer kan alltså meddela föreskrifter som möjliggör undantag till lagregleringen. Ett sådant bemyndigande är nödvändigt för att Riksarkivet ska kunna få möjlighet att föreskriva om bevarande av Försäkringskassans och Pensionsmyndighetens personuppgifter för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.

114 a kap. Innehåll

1 § I detta kapitel finns bestämmelser om - avgifter i 2 §, - uppgiftsskyldighet i 3 och 4 §§, och - tystnadsplikt i 5 §.

Paragrafen anger kapitlets innehåll.

Avgifter

2 § Avgifter får tas ut för utlämnande av uppgifter och handlingar från sådan verksamhet som avses i 114 kap. 2 §. 170

Rätten att ta ut avgifter enligt första stycket får inte innebära inskränkning i 1. rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt tryckfrihetsförordningen, eller 2. en registrerads rätt enligt artikel 12.5 i EU:s dataskyddsförordning .

I paragrafen föreskrivs rätten att i vissa fall ta ut avgifter för utlämnande av uppgifter och handlingar från sådan verksamhet som omfattas av tillämpningsområdet för 114 kap. SFB. Övervägandena finns i avsnitt 7.18.

Avgifter får i vissa fall tas ut för elektroniskt utlämnande av uppgifter och handlingar. Regleringen innebär inte en inskränkning av rätten att ta del av och mot fastställd avgift få kopia eller utskrift av en allmän handling enligt TF, eller registrerades rätt till kostnadsfria åtgärder enligt artikel 12.5 i dataskyddsförordningen. Den aktuella bestämmelsen ger alltså en möjlighet att ta ut avgifter för utlämnande av handlingar och uppgifter från Försäkringskassan och Pensionsmyndigheten när utlämnandet inte sker med stöd av offentlighetsprincipen och debitering inte kan ske med stöd av avgiftsförordningen.

Uppgiftsskyldighet

3 § Försäkringskassan och Pensionsmyndigheten ska på begäran lämna Inspektionen för socialförsäkringen de uppgifter som inspektionen behöver för sin systemtillsyn och effektivitetsgranskning enligt 2 § första stycket 1 och 2 samt 3 § förordningen (2009:602) med instruktion för Inspektionen för socialförsäkringen.

Paragrafen innehåller en uppgiftsskyldighet i förhållande till Inspektionen för socialförsäkringen (ISF). Övervägandena finns i avsnitt 7.20.

Ett informationsutbyte måste äga rum i förhållande till ISF för att ISF ska kunna utföra sitt uppdrag. Genom en uppgiftsskyldighet får ISF möjlighet att ta del av uppgifter för att kunna utföra tillsyn och granskning. Bestämmelsen är sekretessbrytande enligt 10 kap. 28 § OSL.

4 § Försäkringskassan och Pensionsmyndigheten har rätt att, utan hinder av sekretess, ta del av sådana personuppgifter som myndigheterna har möjlighet att ge varandra direktåtkomst till med stöd av 114 kap. 19 och 20 §§.

I paragrafen regleras en uppgiftsskyldighet som syftar till att möjliggöra direktåtkomst mellan Försäkringskassan och Pensionsmyndigheten. Övervägandena finns i avsnitt 7.12.2.

Direktåtkomst mellan Försäkringskassan och Pensionsmyndigheten förutsätter att personuppgifter kan lämnas utan hinder av sekretess mellan myndigheterna. En sekretessbrytande skyldighet att lämna uppgifter kopplas därför till direktåtkomsten. Uppgiftsskyldigheten omfattar alla de uppgifter som tekniskt tillgängliggörs genom direktåtkomsten. Direktåtkomst är emellertid endast tillåten när uppgifterna behövs för vissa specifika ändamål i den mottagande myndighetens kärnverksamhet. Ett medgivande till direktåtkomst måste därför alltid föregås av en dialog mellan de berörda aktörerna. I samband med det får den mottagande myndigheten precisera vilka uppgifter myndigheten anser sig behöva få del av. Utlämnande myndighet får ta ställning till om uppgifterna omfattas av uppgiftsskyldigheten.

Tystnadsplikt

5 § Den som genom sin befattning med personuppgifter som inhämtats från Försäkringskassan eller Pensionsmyndigheten till det för kommunerna och regionerna gemensamma organet för administration av personalpensioner får kännedom om uppgifter om enskildas ekonomiska och personliga förhållanden får inte obehörigen röja dessa uppgifter.

Paragrafen reglerar tystnadsplikt för personer som är anställda hos KPA Pension AB. Övervägandena finns i avsnitt 7.19.

Tystnadsplikt innebär ett förbud mot att obehörigen röja eller utnyttja uppgifter, oavsett om det görs muntligen, genom utlämnande av handlingar eller på något annat sätt. Personer som är anställda hos KPA Pension får alltså, till följd av tystnadsplikten, inte obehörigen röja sådana uppgifter om enskilda som inhämtats från Försäkringskassan eller Pensionsmyndigheten. Tystnadsplikten gäller oavsett på vilket sätt uppgifterna har inhämtats. Vid brott mot en författningsreglerad tystnadsplikt aktualiseras straffbestämmelsen i 20 kap. 3 § brottsbalken om brott mot tystnadsplikt.

BILAGOR 173

Bilaga 1 174

Bilaga 2 177

Bilaga 3 178

Bilaga 4

Förslag till ny utformning av 114 kap. socialförsäkringsbalken

Innehåll

1 § I detta kapitel finns bestämmelser om - tillämpningsområde i 2 §, - förhållandet till annan reglering i 3–4 §§, - uppgifter om avlidna i 5 §, - personuppgiftsansvar i 6 §, - ändamål 7–9 §§, - känsliga personuppgifter i 10–11 §§, - direktåtkomst i 12–16 §§, - tillgång till personuppgifter i 17–18 §§, - registrerades rättigheter 19–20 §§ - gallring i 21 §.

Tillämpningsområde

2 § Detta kapitel tillämpas vid behandling av personuppgifter i verksamhet som gäller förmåner enligt denna balk, samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av Försäkringskassan eller Pensionsmyndigheten.

Kapitlet gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Förhållandet till annan reglering

3 § Detta kapitel innehåller bestämmelser som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförordning.

Vid behandling av personuppgifter enligt detta kapitel gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, här benämnd dataskyddslagen, och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet.

4 § I fråga om behandling av personuppgifter inom ramen för den officiella statistiken finns särskilda bestämmelser i lagen (2001:99) om den officiella statistiken och i författningar som ansluter till den lagen.

Uppgifter om avlidna

5 § Vid behandling av uppgifter om avlidna ska detta kapitel och föreskrifter som har meddelats i anslutning till det, EU:s dataskyddsförordning, dataskyddslagen och föreskrifter som har meddelats i anslutning till den gälla i tillämpliga delar.

Personuppgiftsansvar

6 § Försäkringskassan och Pensionsmyndigheten är personuppgiftsansvarig för behandling av personuppgifter i respektive myndighets verksamhet.

Ändamål

7 § Försäkringskassan och Pensionsmyndigheten får behandla personuppgifter om det är nödvändigt för att 1. handlägga ärenden, 2. tillgodose behov av underlag som krävs för att rättigheter eller skyldigheter ska kunna bedömas och fastställas, 3. informera om förmåner och ersättningar, 4. vidta kontroll- och analysåtgärder, 5. vidta utvecklingsåtgärder 6. framställa statistik, eller 7. planera, styra, följa upp, redovisa och utvärdera verksamheten.

Alternativt förslag:

7 § Försäkringskassan och Pensionsmyndigheten får behandla personuppgifter om det är nödvändigt för att administrera socialförsäkringen och andra förmåner och ersättningar som enligt lag eller förordning ska administreras av myndigheterna.

8 § Personuppgifter som behandlas för ändamål som anges i 7 § får också behandlas av Försäkringskassan och Pensionsmyndigheten för att fullgöra uppgiftslämnande som 1. sker i överensstämmelse med lag eller förordning, eller 2. följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldighet enligt en internationell konvention som Sverige har tillträtt eller enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation.

9 § Personuppgifter som behandlas för ändamål som anges i 7 och 8 §§ får behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Känsliga personuppgifter

10 § Samtliga sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas om det är nödvändigt för de ändamål som anges i 7 § 1 samt 8 §.

Känsliga personuppgifter om hälsa får också behandlas om det är nödvändigt för något av de ändamål som anges i 7 § 2–7 och 9 §.

För de ändamål som anges i 7 § 4–7, 8 och 9 §§ får dock endast sådana känsliga personuppgifter behandlas som behandlas eller har behandlats för något av de ändamål som anges i 7 § 1–3.

Alternativt förslag

10 § Samtliga sådana personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas om det är nödvändigt för de ändamål som anges i 7 och 8 §§.

Känsliga personuppgifter om hälsa får också behandlas om det är nödvändigt för det ändamål som anges i 10 §.

För de ändamål som anges i 8 och 10 §§ får dock endast sådana känsliga personuppgifter behandlas som behandlas eller har behandlats för det ändamål som anges i 7 §.

11 § Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.

Utan hinder av de begränsningar för sökning som anges i första stycket får personuppgifter som rör hälsa användas 1. i syfte att få fram ett urval av personer grundat på uppgift om förmån eller ersättning, och 2. som urvalskriterium vid sammanställningar om regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter om det.

Direktåtkomst

12 § Direktåtkomst till personuppgifter hos Försäkringskassan och Pensionsmyndigheten är tillåten endast i den utsträckning som anges i lag eller förordning.

13 § Försäkringskassan får, om det behövs för något av de ändamål som anges i 7 § 1 och 2, ha direktåtkomst till personuppgifter hos Pensionsmyndigheten.

Alternativt förslag:

13 § Försäkringskassan får, om det behövs för de ändamål som anges i 7 §, ha direktåtkomst till personuppgifter hos Pensionsmyndigheten.

14 § Pensionsmyndigheten får, om det behövs för något av de ändamål som anges i 7 § 1 och 2, ha direktåtkomst till personuppgifter hos Försäkringskassan.

Alternativt förslag:

14 § Pensionsmyndigheten får, om det behövs för de ändamål som anges i 7 §, ha direktåtkomst till personuppgifter hos Försäkringskassan.

15 § Arbetsförmedlingen, kommuner och regioner som deltar i sådan finansiell samordning som avses i lagen (2003:1210) om finansiell samordning av rehabiliteringsinsatser får ha direktåtkomst till sådana personuppgifter hos Försäkringskassan som behandlas med anledning av samordningen i den utsträckning den registrerade samtycker till det.

16 § Den registrerade får ha direktåtkomst till sådana personuppgifter om sig själv som behandlas hos Försäkringskassan och Pensionsmyndigheten för något av de ändamål som anges i 7 § 1 och 2 under förutsättning att uppgifterna får lämnas ut till denne. Motsvarande direktåtkomst får även ges till förmyndare, förvaltare, god man och ombud för den registrerade.

Alternativt förslag:

16 § Den registrerade får ha direktåtkomst till sådana personuppgifter om sig själv som behandlas hos Försäkringskassan och Pensionsmyndigheten under förutsättning att uppgifterna får lämnas ut till denne. Motsvarande direktåtkomst får även ges till förmyndare, förvaltare, god man och ombud för den registrerade.

Tillgång till personuppgifter

17 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

18 § Åtkomsten till personuppgifter ska kontrolleras på ett ändamålsenligt sätt.

Registrerades rättigheter

19 § Sådan behandling av personuppgifter som är tillåten enligt detta kapitel får utföras även om den registrerade motsätter sig behandlingen.

20 § Personuppgifter som den registrerade har tagit del av och som behandlas i löpande text i ärenden behöver tas med i sådan information som avses i artikel 15 i EU:s dataskyddsförordning endast om den registrerade begär det. Av informationen ska det dock framgå i vilka ärenden det behandlas personuppgifter i löpande text.

Gallring

21 § Personuppgifter som behandlas automatiserat ska gallras när de inte längre är nödvändiga för det ändamål de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om att uppgifter får bevaras för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål.