Riksförsäkringsverkets föreskrifter om behandling av personuppgifter inom socialförsäkringens administration

Behörighet för åtkomst till uppgifter i socialförsäkringsdatabasen tilldelas inom socialförsäkringens administration genom ett särskilt beslut. Beslutet skall vara skriftligt och undertecknat av verksamhetsansvarig chef.

Beslut om tilldelning av behörighet skall fattas av annan än den som tilldelas behörighet.

För ett projekt som är fristående från den organisatoriska indelningen skall beställaren av projektet alternativt produktägaren besluta om tilldelning av behörighet.

Verksamhetsansvarig chef får tilldela extern personal (konsulter, uppdragstagare) temporär behörighet för att de skall kunna fullgöra sina arbetsuppgifter.

Beslut enligt 1 eller 2 § skall ange gränserna för användningen av tilldelad behörighet, de säkerhetsrutiner som behörigheten förutsätter samt de övriga villkor som skall vara uppfyllda för tilldelningen av behörighet. Den som första gången får åtkomst till socialförsäkringsdatabasen skall på beslutet skriftligen bekräfta att han eller hon tagit del av informationen och accepterat villkoren.

Användare skall i samband med ny tilldelning av behörighet vid behov få ytterligare information och utbildning med inriktning på dels den eller de tillämpningar behörigheten omfattar, dels de säkerhetskrav som är förknippade med den tilldelade behörigheten.

Återkallande av behörighet

Behörighet skall återkallas för användare när anställningen upphör eller om användaren är tjänstledig eller sjukskriven i sex månader eller mer samt för användare som inte längre behöver få åtkomst till uppgifter för att kunna fullgöra sina arbetsuppgifter. Behörigheten skall även återkallas helt eller delvis för användare som missbrukat sin behörighet. Beslut om återkallande av behörighet skall vara skriftligt och undertecknat av verksamhetsansvarig chef.

Behörighetsadministration

Det skall finnas behörighetsadministratörer som skall - se till att blanketter för beslut om behörighet är rätt ifyllda och undertecknade av behörig chef, och - se till att registrering sker av beslutad behörighet och tillhörande åtkomsträttigheter samt förändringar eller borttag av dessa.

Behörighet till personuppgifter inom socialförsäkringsdatabasen skall inom varje försäkringskassa respektive vid Riksförsäkringsverket indelas enligt följande: - Riksnivå som avser information om samtliga försäkrade i landet. - Samverkansnivå som avser information om försäkrade vid samverkan mellan två eller flera försäkringskassor. - Länsnivå som avser information om försäkrade vars ärende handläggs av försäkringskassan i det länet. - Lokal nivå som avser information om försäkrade vars ärende handläggs av försäkringskassan inom det lokala försäkringskasseområdet eller inom en avgränsad verksamhet i övrigt vid en försäkringskassa.

Att behörigheten skall begränsas till vad som behövs för att användaren skall kunna fullgöra sina arbetsuppgifter följer av 16 § lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration.

Särskilda behörigheter

Särskild behörighet till skyddade personuppgifter får endast ges till ett fåtal personer inom varje försäkringskassa respektive vid Riksförsäkringsverket.

Sådan behörighet som avser systemadministration får endast tilldelas ett fåtal personer inom varje försäkringskassa respektive vid Riksförsäkringsverket.

Behörighet att göra sådana sammanställningar som avses i 25 § lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration får tilldelas högst 1. 20 personer inom Riksförsäkringsverket. 2. 20 personer inom var och en av Stockholms läns allmänna försäkringskassa, Skåne läns allmänna försäkringskassa och Västra Götalands läns allmänna försäkringskassa. 3. 15 personer inom var och en av övriga försäkringskassor.

Statens pensionsverk (SPV) och KPA Pension AB får ha direktåtkomst till uppgifter i arbetsskaderegistret, delpensionsregistret, ålderspensionsregistret, efterlevandepensionsregistret, registret för sjukersättning och aktivitetsersättning, sjukförsäkringsregistret och yrkesskaderegistret, för handläggning av ärenden om samordning av avtalspensionsförmåner med socialförsäkringsförmåner.

SPV får även ha direktåtkomst till uppgifter i de register som anges i första stycket för handläggning av ärenden om statens tjänstegrupplivförsäkring.

Under de förutsättningar som anges i 22 § lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration får från socialförsäkringsdatabasen lämnas ut uppgifter om 1. personnummer, 2. prognos för pension vid olika tillväxtalternativ, 3. uttag av ålderspension, 4. behållning av inkomstpension, 5. behållning av premiepension, 6. sjukersättning, 7. aktivitetsersättning, och 8. arbetsskadeersättning.

Särskilda åtgärder för att kontrollera efterlevnaden av lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration

Verksamhetsansvarig chef säkerställer att uppföljning av tilldelade behörigheter görs minst en gång per år. Uppföljningen skall dokumenteras.

Premiepensionsmyndigheten, Riksförsäkringsverket och varje försäkringskassa säkerställer att rutiner finns för uppföljning av log- 3

gar för att kontrollera hur behörigheterna nyttjas i socialförsäkringsdatabasen. Logguppföljningen skall genomföras regelbundet. Särskild uppföljning kan genomföras på förekommen anledning.

Kontrollen av loggar skall i första hand avse transaktioner som kan medföra ekonomiska konsekvenser eller risk för kränkning av medborgarnas personliga integritet.

1. Denna författning träder i kraft den 1 mars 2004. 2. Genom denna författning upphävs Riksförsäkringsverkets föreskrifter (RFFS 1998:38) om Statens pensionsverks och KPA Pension AB:s användning av och direkta åtkomst till socialförsäkringsregister.

RIKSFÖRSÄKRINGSVERKET

ANNA HEDBORG

Eva Nordqvist