Ds 2001:67
Behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
Sammanfattning
I promemorian föreslås en lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Lagen skall innehålla de bestämmelser som utöver personuppgiftslagen (1998:204) är nödvändiga för den arbetsmarknadspolitiska verksamhet som bedrivs av myndigheterna inom Arbetsmarknadsverket. Regleringen kommer att ersätta lagen (1994:459) om arbetsförmedlingsregister. Det huvudsakliga innehållet i den nya lagen är följande.
– Den nya lagen skall tillämpas vid behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten i fråga om arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. – Begreppet databas införs som en juridisk beteckning för vissa fastställda automatiserade uppgiftssamlingar som används gemensamt inom en verksamhet och för vilka särskilda regler skall gälla beträffande känsliga och ömtåliga personuppgifter. – Primära och sekundära ändamål för behandling av uppgifter anges i lagen. Uppgifterna skall få behandlas endast för de angivna ändamålen. Alla uppgifter som är nödvändiga för de ändamål för vilka behandlingen utförs skall få behandlas. – I lagen anges under vilka förutsättningar känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. skall få behandlas i den arbetsmarknadspolitiska verksamheten.
Sammanfattning Ds 2001:67
– Direktåtkomst till de uppgifter som behandlas skall vara förbehållen de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. – Regeringen bemyndigas att meddela föreskrifter om att uppgifter som behandlas enligt lagen får lämnas ut på medium för automatiserad behandling till enskilda, andra myndigheter, organ och sådana utländska myndigheter med vilka samarbete sker på det arbetsmarknadspolitiska området inom Norden, Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt vilka som därvid får ha direktåtkomst till personuppgifter. – Endast de sökbegrepp som regeringen beslutar om skall få användas. Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204), ömtåliga personuppgifter som avses i 7 § tredje stycket eller 8 § skall som huvudregel inte få användas som sökbegrepp. Undantag gäller dock för uppgifter om koder för medborgarskap och arbetshandikapp, vilka skall få användas som sökbegrepp under vissa förutsättningar. – Särskilda bestämmelser om rättelse, skadestånd, överklagande och gallring anges i lagen.
Ds 2001:67 Sammanfattning
Sammanfattning .............................................................. 1
1 Författningsförslag.................................................... 5
1.1 Förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ....................... 5
2 Utgångspunkter för förslaget.................................... 13
2.1 Datoriseringen inom den arbetsmarknadspolitiska verksamheten.................................................................... 13 2.2 Personuppgiftslagen ......................................................... 14 2.3 Datalagen .......................................................................... 17
2.4 Översyn och anpassning av lagen (1994:459) om arbetsförmedlingsregister ................................................. 18
3 Allmänt om den arbetsmarknadspolitiska verksamheten......................................................... 21
3.1 Arbetsmarknadsverkets organisation ............................... 21 3.2 Lagen (1994:459) om arbetsförmedlingsregister m.m...... 22
3.3 Datainspektionens föreskrifter......................................... 23 3.4 Riksarkivets föreskrifter ................................................... 24
3.5 AMS föreskrifter och allmänna råd .................................. 24
4 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten ..................... 27
4.1 En författningsreglering behövs ....................................... 27
Sammanfattning Ds 2001:67
4.2 Författningsteknisk lösning.............................................. 28
4.3 Lagens tillämpningsområde .............................................. 29 4.4 Databaser i stället för register........................................... 34
4.5 Personuppgiftsansvar........................................................ 38 4.6 Ändamålen med behandlingen.......................................... 40
4.7 Vilka personuppgifter får behandlas? ............................... 42 4.8 Behandling av känsliga personuppgifter m.m. .................. 43
4.9 Direktåtkomst och utlämnande av uppgifter.................... 47 4.10 Sökbegrepp och sambearbetning ...................................... 52
4.11 Information till den registrerade ...................................... 55 4.12 Rättelse och skadestånd.................................................... 57
4.13 Säkerhet vid behandling, tillsynsmyndighetens befogenheter samt anmälan till denna myndighet m.m. ............................................................................... 59 4.14 Gallring ............................................................................. 60
4.15 Överklagande.................................................................... 62 4.16 Utgångspunkter för det fortsatta författningsarbetet ...... 63
4.17 Sekretess inom den arbetsmarknadspolitiska verksamheten.................................................................... 65 4.18 Ikraftträdande och kostnader ........................................... 66
5 Författningskommentar ........................................... 69
1. Författningsförslag
1.1. Förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
Lagens tillämpningsområde
1 § Denna lag tillämpas vid behandling av personuppgifter i Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet i fråga om arbetssökande, arbetsgivare och kontaktpersoner samt andra personer som omfattas av denna verksamhet.
Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.
Förhållandet till personuppgiftslagen
2 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annat inte följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag. En registrerad person har inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag.
Författningsförslag Ds 2001:67
Personuppgiftsansvar
3 § Arbetsmarknadsstyrelsen är personuppgiftsansvarig för den behandling av personuppgifter som styrelsen skall utföra. En länsarbetsnämnd är ansvarig för den behandling nämnden skall utföra.
Ändamål
4 § Personuppgifter får behandlas för tillhandahållande av information som behövs inom den arbetsmarknadspolitiska verksamheten för
1. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten,
2. publicering av platsinformation,
3. planering, metodutveckling, tillsyn, uppföljning, resultatredovisning och utvärdering av den arbetsmarknadspolitiska verksamheten,
4. framställning av avidentifierad statistik, och
5. samarbete på det arbetsmarknadspolitiska området enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad samt inom Europeiska unionen och Europeiska ekonomiska samarbetsområdet.
5 § Uppgifter får behandlas för tillhandahållande av information som behövs inom
1. Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens och arbetslöshetskassornas verksamhet, som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, samt
2. Riksskatteverkets och skattemyndigheternas verksamhet som underlag för beslut om och kontroll av skatt.
Ds 2001:67 Författningsförslag
Arbetsmarknadspolitisk databas
6 § I den arbetsmarknadspolitiska verksamheten får det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 4 och 5 §§ angivna ändamålen (arbetsmarknadspolitisk databas).
Behandling av känsliga personuppgifter m.m.
7 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och uppgifter om lagöverträdelser m.m. som avses i 21 § samma lag om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det.
8 § I en arbetsmarknadspolitisk databas får inte behandlas andra känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) än sådana som avslöjar ras eller etniskt ursprung samt sådana personuppgifter som rör hälsa.
Sådana känsliga personuppgifter som avses i första stycket, uppgifter om en arbetssökandes sociala eller ekonomiska förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en arbetssökande, får endast behandlas i databasen om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde uttryckligen har samtyckt till detta.
9 § Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samt uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) får inte behandlas i den arbetsmarknadspolitiska databasen.
Författningsförslag Ds 2001:67
Inhämtande av uppgifter
10 § Uppgifter om utbetalning av medel för arbetsmarknadspolitiska program får inhämtas från Riksförsäkringsverket och de allmänna försäkringskassorna samt från Centrala studiestödsnämnden för behandling i den arbetsmarknadspolitiska databasen för de ändamål som anges i 4 och 5 §§. Uppgifter om utbetald arbetslöshetsersättning får även inhämtas från arbetslöshetskassorna för behandling i databasen för dessa ändamål.
Direktåtkomst
11 § Direktåtkomst till de personuppgifter som behandlas enligt denna lag skall vara förbehållen de personer som på grund av sina arbetsuppgifter inom den arbetsmarknadspolitiska verksamheten behöver tillgång till uppgifterna.
I fråga om direktåtkomst till uppgifter som får lämnas ut till enskild, annan myndighet eller organ finns regler om bemyndigande i 16 och 17 §§.
Sökbegrepp
12 § För sökning av personuppgifter får endast användas de sökbegrepp som regeringen beslutar om enligt 16 §. Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och ömtåliga personuppgifter som avses i 8 § andra stycket eller 9 § får inte användas som sökbegrepp.
Uppgifter om koder för arbetshandikapp och medborgarskap får dock utan hinder av första stycket användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade och utlänningar samt för att framställa avidentifierad statistik.
Ds 2001:67 Författningsförslag
Information till den arbetssökande
13 § Bestämmelserna i 23–27 §§personuppgiftslagen (1998:204) om information till den registrerade gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som meddelats med stöd av denna.
Rättelse och skadestånd
14 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som utfärdats med stöd av denna lag.
Gallring
15 § Uppgifter om arbetssökande och arbetsgivare skall gallras två år efter utgången av det år då behandlingen av uppgifter har avslutats i ett ärende hos den handläggande myndigheten.
Uppgifter som har avskiljts för statistikändamål skall gallras tio år efter avskiljandet.
I fråga om undantag från dessa bestämmelser rörande bevarande av material för forskningens behov gäller 17 § 6. Sådant material skall lämnas över till en arkivmyndighet.
Bemyndiganden
16 § Regeringen meddelar föreskrifter om
1. att personuppgifter får lämnas ut till enskilda, myndigheter eller organ på medium för automatiserad behandling,
2. vilka som därvid får ha direktåtkomst till personuppgifter,
Författningsförslag Ds 2001:67
3. vilka uppgifter som får behandlas i en arbetsmarknadspolitisk databas, samt
4. sökbegrepp.
17 § Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare föreskrifter om
1. begränsningar av de i 4 § angivna ändamålen,
2. begränsningar av de uppgifter som får behandlas för ett visst ändamål,
3. vilka uppgifter som får lämnas ut på medium för automatiserad behandling,
4. direktåtkomst enligt 11 § första stycket och vilka uppgifter som omfattas av direktåtkomst enligt 16 § 2,
5. de sökbegrepp regeringen beslutat om enligt 16 § 4,
6. undantag från gallringstider enligt 15 § tredje stycket, samt
7. uppgifter som får behandlas i en arbetsmarknadspolitisk databas.
Överklagande
18 § Beslut av Arbetsmarknadsstyrelsen och länsarbetsnämnd om rättelse och om avslag på ansökan om information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas.
Prövningstillstånd krävs vid överklagande till kammarrätten.
Ikraftträdandebestämmelser
1. Denna lag träder i kraft den 1 juli 2002, då lagen (1994:459) om arbetsförmedlingsregister skall upphöra att gälla.
2. Den äldre lagens bestämmelser om gallring och innehåll gäller dock fortfarande i fråga om uppgifter och handlingar som har tillförts arbetsförmedlingsregistret före den 1 juli 2002.
Ds 2001:67 Författningsförslag
3. Bestämmelserna i denna lag om manuell behandling av personuppgifter skall inte börja tillämpas förrän den 1 oktober 2007, om den manuella behandlingen eller manuell behandling för ändamålet påbörjades före den 24 oktober 1998.
4. Har en begäran om registerutdrag enligt 10 § datalagen (1973:289) kommit in till en myndighet innan denna lag träder i kraft men har utdraget inte expedierats före ikraftträdandet, skall framställningen anses som en ansökan om information enligt denna lag.
2. Utgångspunkter för förslaget
2.1. Datoriseringen inom den arbetsmarknadspolitiska verksamheten
Informationstekniken har under de senast årtiondet utvecklats mycket snabbt. Tekniken erbjuder möjligheter att effektivisera och rationalisera verksamheter av olika slag. På alla samhällsområden pågår en fortlöpande utveckling mot en allt mer intensifierad datorisering.
Den nu gällande lagen (1994:459) om arbetsförmedlingsregister speglar den IT-miljö som var för handen inom Arbetsmarknadsverket i början av 1990-talet. IT-utvecklingen i den operativa verksamheten, såsom platsförmedling, ärendehandläggningsstöd, statistikproduktion m.m., har varit mycket snabb och fått en bredd som vid nyssnämnda tidpunkt inte var teknisk möjlig. Den maskinella infrastrukturen inom Arbetsmarknadsverket, såsom exempelvis datorkapacitet, är helt förändrad. Numera tar i praktiken all verksamhet som bedrivs inom verket – även den rent administrativa – någon form av informationsteknik till hjälp. Kommunikation och informationsöverföring via Internet var praktiskt taget omöjlig i Arbetsmarknadsverkets ITverksamhet för drygt ett årtionde sedan. I dag sker en omfattande verksamhet i en rad olika avseenden i den nya mediavärlden inom Arbetsmarknadsverket.
Utgångspunkter för förslaget Ds 2001:67
2.2. Personuppgiftslagen
År 1995 antogs Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlemsstater, så att staterna inte skall kunna hindra det fria flödet mellan dem av personuppgifter under hänvisning till enskilda personers fri- och rättigheter.
Den 24 oktober 1998 trädde personuppgiftslagen (1998:204) i kraft. Lagen ersätter datalagen (1973:289) och syftar till att hindra att den personliga integriteten kränks genom behandling av personuppgifter (1 §). Genom personuppgiftslagen genomförs dataskyddsdirektivet och lagen följer dataskyddsdirektivets struktur. Avvikelser från direktivet har gjorts endast när det funnits särskilda skäl för det.
I likhet med direktivet reglerar personuppgiftslagen själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen eller särskilda registerförfattningar blir otillåten.
Personuppgiftslagen är generellt tillämplig och omfattar även sådana verksamheter som faller utanför direktivet, det vill säga bland annat statens ansvar på straffrättens område. De särregleringar i lag eller förordning som kan behövas på olika områden förutsätts få sin plats i särskilda registerförfattningar. Sådana bestämmelser gäller framför personuppgiftslagen.
Personuppgiftslagen är utformad så att den är teknikoberoende, det vill säga den tillämpas på all helt eller delvis automatiserad behandling av personuppgifter och på manuell behandling av uppgifter i personregister. Vissa bestämmelser i personuppgiftslagen skall beträffande manuell behandling av personuppgifter inte börja tillämpas förrän den 1 oktober 2007.
Ds 2001:67 Utgångspunkter för förslaget
En utgångspunkt för personuppgiftslagen är att behandling av personuppgifter är tillåten endast i de fall och på de villkor som anges i lagen. I andra fall skall behandling av personuppgifter inte få förekomma. Den personuppgiftsansvarige skall se till att personuppgifter behandlas bara om det är lagligt (9 § ). Enligt personuppgiftslagen är den personuppgiftsansvarig som är ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (3 § ).
I 9 § personuppgiftslagen anges vissa grundläggande krav på behandlingen av personuppgifter. Personuppgifter skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Efter insamlingen får behandling av uppgifterna inte ske för något ändamål som är oförenligt med det för vilket uppgifterna samlades in.
Enligt personuppgiftslagen är det tillåtet att behandla personuppgifter efter den registrerades samtycke ( 10 §). Återkallar den registrerade sitt samtycke får ytterligare personuppgifter om denne inte registreras (12 §). I vissa fall får dock personuppgifter behandlas trots att samtycke från den registrerade saknas (10 §). Det gäller till exempel om det är nödvändigt att för att den personuppgiftsansvarige skall kunna fullgöra en rättslig förpliktelse som åvilar honom eller henne eller om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller för att utföra en arbetsuppgift i samband med myndighetsutövning. Personuppgifter får också behandlas om behandlingen är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller tredje man till vilka uppgifterna skall lämnas ut och en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av skydd.
Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening får inte behandlas (13 § ). Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv (13 §). Från förbudet gäller bland annat undantag när den registrerade uttryckligen samtyckt till behandlingen (15 §),
Utgångspunkter för förslaget Ds 2001:67
om behandlingen är nödvändig bland annat för att skydda vitala intressen eller för att fastställa, göra gällande eller försvara rättsliga anspråk (16 §), för vissa ideella organisationer, inom hälsooch sjukvården samt för forskning och statistik. Regeringen eller den myndighet regeringen bestämmer får vidare föreskiva om ytterligare undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse (20 § ). Andra än myndigheter får inte behandla personuppgifter om lagöverträdelser som innefattar brott m.m. (21 §).
Personuppgiftslagen innehåller vidare bestämmelser om den personuppgiftsansvariges skyldighet att informera den registrerade om behandling som rör honom eller henne. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv (23 §). Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgifterna registrerats eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut för första gången (24 §). Den personuppgiftsansvarige är vidare skyldig att efter ansökan gratis en gång per kalenderår informera om huruvida personuppgifter som rör sökanden behandlas eller inte samt – om sådana uppgifter behandlas – ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa uppgifter kommer och till vem de lämnas ut (26 §).
Från informationsskyldigheten finns dock undantag som är uppräknade i lagen. Det gäller till exempel om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter (24 §) eller om det för uppgifterna är föreskrivet sekretess eller tystnadsplikt (27 §).
Den personuppgiftsansvarige är skyldig att rätta personuppgifter som är felaktiga, missvisande eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen. Har felaktiga personuppgifter lämnats till tredje man skall denne enligt huvudregeln underrättas om korrigeringsåtgärden (28 §).
All behandling av personuppgifter som är helt eller delvis automatiserad skall anmälas till en tillsynsmyndighet (Datainspek-
Ds 2001:67 Utgångspunkter för förslaget
tionen). Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Tillsynsmyndigheten skall föra register över anmälda behandlingar. Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten får föreskriva undantag från anmälningsskyldigheten. Av 3 § 3 personuppgiftsförordningen (1998:1191) följer dock att sådan anmälningsskyldighet inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Vidare behövs ingen anmälan när den personuppgiftsansvarige anmält till tillsynsmyndigheten att ett personuppgiftsombud utsetts av denne. Ett personuppgiftsombud har till uppgift att övervaka och se till den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt och påpeka eventuella brister för denne.
2.3. Datalagen
Grundläggande regler om inrättande och förande av personregister med hjälp av automatisk databehandling fanns tidigare i datalagen (1973:289). Varje sammanställning av personuppgifter med hjälp av automatisk databehandling ansågs innebära att ett personregister hade inrättats. Bara den som anmält sig till Datainspektionen och fått licens fick inrätta och föra personregister. För att få inrätta och föra känsliga register krävdes dessutom ett särskilt tillstånd från Datainspektionen. Ett sådant tillstånd behövdes till exempel i regel för att inrätta och föra register med uppgifter om brott och brottmisstankar, uppgifter om hälsotillstånd eller sexualliv, omdömen om den registrerade eller personuppgifter som hämtats från något annat register. Om ett personregister beslutats av riksdagen eller regeringen krävdes inget tillstånd. Genom personuppgiftslagen har det tidigare licens- och tillståndsförfarandet avskaffats. Utgångspunkten för personuppgiftslagen är i stället att behandling av personuppgifter är tillåten i de fall och på de villkor lagen anger.
Utgångspunkter för förslaget Ds 2001:67
2.4. Översyn och anpassning av lagen (1994:459) om arbetsförmedlingsregister
Före den 1 oktober 2001 fyllde den generellt tillämpliga datalagen ut registerlagen. Den nu gällande lagen om arbetsförmedlingsregister bygger numera på att personuppgiftslagen fyller ut där det inte finns några bestämmelser i registerlagen. Personuppgiftslagen tillämpas således på de uppgifter som behandlas inom den arbetsmarknadspolitiska verksamheten i den mån lagen om arbetsförmedlingsregister inte angett annat.
I förarbetena till personuppgiftslagen (prop. 1997/98:44, s. 41) uttalade regeringen att det krävs en anpassning av befintliga registerförfattningar och en översyn av vilka särregler som bör gälla i förhållande till den nya lagen. Under senare år har därför flera registerförfattningar på olika områden genomgått anpassningar till personuppgiftslagen och dataskyddsdirektivet. En sådan anpassning och översyn behövs också av lagen om arbetsförmedlingsregister. Arbetsmarknadsstyrelsen (AMS) har med anledning av detta till Näringsdepartementet kommit in med ett förslag på ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Det förslag som presenteras i denna promemoria har arbetats fram med utgångspunkt från AMS förslag till lagstiftning med kommentarer. Utgångspunkten har vidare varit att innehållet i en ny lag i så stor utsträckning som möjligt skall återspegla det materiella innehåll som finns reglerat i nu gällande registerlag.
AMS förslag till ny lag
Huvuddragen i AMS förslag till lagstiftning är väsentligen desamma som i det förslag som arbetats fram i denna departementspromemoria. Utgångspunkten för AMS förslag är att en ny lag skall vara så teknikoberoende som möjligt och ange ramarna för behandlingen, där lagen skall kompletteras av författningar på lägre nivå. AMS har i sitt lagförslag föreslagit att det skall finnas en arbetsmarknadspolitisk databas för automatisk
Ds 2001:67 Utgångspunkter för förslaget
behandling av uppgifter i den arbetsmarknadspolitiska verksamheten, i vilken vissa uppgifter om arbetssökande, arbetsgivare och kontaktpersoner får finnas (desamma som i nuvarande reglering) och behandlas för vissa ändamål (även de desamma som i nuvarande reglering). Uppgifter om sjukdom och hälsotillstånd och andra uppgifter som anses som känsliga enligt den nu gällande registerlagstiftningen skall få behandlas om de har väsentlig betydelse för handläggningen av ett ärende i den arbetsmarknadspolitiska verksamheten och den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Uppgifter om lagöverträdelser m.m., uppgifter om att en arbetssökande har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) skall inte få behandlas i databasen. Lagen skall vidare i stort ange vilka sökbegrepp som får användas vid sökning i databasen samt möjligheterna för direktåtkomst till uppgifter i den arbetsmarknadspolitiska verksamheten för myndigheterna inom Arbetsmarknadsverket, Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden, arbetslöshetskassorna, behöriga organ i de länder som omfattas av internationella avtal om samarbete på det arbetsmarknadspolitiska området (Norden, EU och EES) och allmänheten. Även den som på grund av uppdrag hos AMS, tjänsteplikt m.m. deltar i den arbetsmarknadspolitiska verksamheten och behöver ta del av vissa uppgifter för att kunna fullgöra sitt uppdrag föreslås få ha direktåtkomst till vissa uppgifter.
3. Allmänt om den arbetsmarknadspolitiska verksamheten
Detta avsnitt innehåller en beskrivning av den arbetsmarknadspolitiska verksamhetens organisation och en kortfattad redogörelse för den reglering som styr arbetsförmedlingsregistret och Arbetsmarknadsstyrelsens centrala statistikregister.
3.1. Arbetsmarknadsverkets organisation
Arbetsmarknadsverket omfattar Arbetsmarknadsstyrelsen (AMS) och en länsarbetsnämnd i varje län. I länsarbetsnämnderna ingår bland annat den offentliga arbetsförmedlingen. AMS är central förvaltningmyndighet för allmänna arbetsmarknadsfrågor och chefsmyndighet för länsarbetsnämnderna. Den arbetsmarknadspolitiska verksamhetens huvuduppgifter är att effektivt sammanföra den som söker arbete med den som söker arbetskraft, att främja sysselsättning och kompetensutveckling för arbetslösa personer, att underlätta för personer med svag ställning på arbetsmarknaden att få arbete och förhindra utslagning från arbetsmarknaden, att motverka långa tider utan reguljärt arbete och att motverka en könsuppdelad arbetsmarknad och på andra sätt bidra till ökad jämställdhet mellan könen samt till ökad mångfald i arbetslivet.
Allmänt om den arbetsmarknadspolitiska verksamheten Ds 2001:67
3.2. Lagen (1994:459) om arbetsförmedlingsregister m.m.
Den nu gällande författningsregleringen av arbetsförmedlingsregister antogs år 1994 efter regeringens förslag i proposition 1993/94:235 om lag om arbetsförmedlingsregister. I propositionen föreslogs att hanteringen av vissa av Arbetsmarknadsverkets personregister skulle lagregleras. Denna lagreglering ersatte de tillstånd från Datainspektionen på vilka den dåvarande registreringen vilade.
Lagen om arbetsförmedlingsregister innebär att ett arbetsförmedlingsregister får föras med hjälp av automatisk databehandling för varje offentlig arbetsförmedlings och varje arbetsmarknadsinstituts verksamhetsområde och att ett centralt statistikregister får föras vid AMS. I lagen anges för vilka ändamål registren får användas och vilka uppgifter som får tas in i registren. Förutom allmänna uppgifter som den arbetssökandes namn, personnummer och adress, får registret innehålla ett flertal andra uppgifter som är nödvändiga för att arbetsförmedling skall kunna bedrivas effektivt och rationellt. I lagen finns en detaljerad reglering av de förutsättningar som krävs för registrering av uppgifter. Vissa uppgifter av särskilt känslig natur får inte registreras över huvud taget. Terminalåtkomst till ett arbetsförmedlingsregister får endast finnas vid den förmedling eller det institut som får föra registret. Vidare finns bestämmelser om registeransvar, sökbegrepp, utlämnande av uppgifter på ADB-medium, informationsskyldighet för den registeransvarige samt gallring av uppgifter ur registret. Lagen innehåller också bestämmelser om AMS centrala statistikregister.
I regeringens proposition 2000/01:129 om ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet föreslås vissa lagändringar i syfte att möjliggöra ett ökat informationsutbyte mellan de allmänna försäkringskassorna, Riksförsäkringsverket, Centrala studiestödsnämnden, länsarbetsnämnderna och arbetslöshetskassorna. De nya bestämmel-
2001:67 Allmänt om den arbetsmarknadspolitiska verksamheten
serna, som kommer att träda i kraft den 1 juli 2002, ger en uppgiftsskyldighet för länsarbetsnämnderna, de allmänna försäkringskassorna, Riksförsäkringsverket och Centrala studiestödsnämnden gentemot arbetslöshetskassorna och en uppgiftsskyldighet för arbetslöshetskassorna gentemot de nämnda myndigheterna och de allmänna försäkringskassorna. De uppgifter som omfattas av uppgiftsskyldigheten skall lämnas ut utan hinder av sekretess. Vidare görs lagändringar i den särskilda lagstiftning som reglerar behandling av personuppgifter i bland annat länsarbetsnämndernas verksamhet som innebär att de blir möjligt för länsarbetsnämnderna att lämna ut uppgifter till övriga aktörer i informationsutbytet på elektronisk väg och att dessa aktörer har direktåtkomst till informationen.
I förordning (1994:460) om arbetsförmedlingsregister finns närmare föreskrifter om vissa koder, vad som får lämnas ut på medium för automatiserad behandling till Riksförsäkringsverket, de allmänna försäkringskassorna och Centrala studiestödsnämnden m.m. Vidare får Riksarkivet meddela föreskrifter om undantag från bestämmelserna om gallring i lagen för att ett urval av material skall kunna bevaras för forskningens behov. AMS får slutligen besluta om ytterligare föreskrifter rörande verkställigheten av lagen om arbetsförmedlingsregister.
3.3. Datainspektionens föreskrifter
Genom tillkomsten av lagen om arbetsförmedlingsregister blev arbetsförmedlingregistret och AMS centrala statistikregister så kallade statsmaktsregister. Enligt 6 a § den numera upphävda datalagen (1973:289) ankom det på Datainspektionen att meddela erforderliga föreskrifter för dessa register i den mån sådana föreskrifter inte meddelats av regering eller riksdag. Datainspektionen har fattat beslut rörande ADB-säkerheten för de båda registren.1 Besluten innehåller regler om och krav på åtkomstskydd
1Datainspektionens beslut 1996-02-08, dnr 840/96, respektive 1996-02-14, dnr 1038 – 1061-96.
Allmänt om den arbetsmarknadspolitiska verksamheten Ds 2001:67
och behörighetskontroll och att åtkomst av personuppgifter skall kunna följas genom loggning av vem som kommit åt uppgifterna och när det skett. Besluten innehåller vidare bestämmelser om skydd i den datakommunikation som kan förekomma genom uppringbara linjer liksom om tillvägagångssätt när personuppgifter skall utplånas. Även säkerhet vid reparation och service av datorutrustning regleras.
3.4. Riksarkivets föreskrifter
I 21 § lagen om arbetsförmedlingsregister finns bestämmelser om gallring av uppgifter i arbetsförmedlingsregister och AMS centrala statistikregister. Av lagrummet framgår att uppgifter om arbetssökande skall gallras två år efter utgången av det år då ärendet avslutats samt att uppgifterna i AMS centrala statistikregister skall gallras tio år efter det att de registrerats.
Riksarkivet har i myndighetsspecifika föreskrifter om gallring och annan arkivhantering angett närmare föreskrifter om bevarande och gallring hos länsarbetsnämnderna beträffande uppgifter om arbetssökande i arbetsförmedlingsregister.2 I korthet innebär dessa bestämmelser att de uppgifter som finns intagna i en bilaga till beslutet skall gallras efter en viss tid medan övriga uppgifter skall bevaras och – såsom framgår av lagen om arbetsförmedlingsregister – överlämnas till Riksarkivet. Något beslut från Riksarkivet om gallring av de uppgifter som finns i AMS centrala statistikregister finns inte.
3.5. AMS föreskrifter och allmänna råd
AMS har beslutat och fastställt följande föreskrifter och råd beträffande arbetsförmedlingsregister och AMS centrala statistik-
2
RA-MS 1997:22.
2001:67 Allmänt om den arbetsmarknadspolitiska verksamheten
register. AMS föreskrifter (AMSFS 1994:7) om tillämpningen av lagen (1994:459) om arbetsförmedlingsregister, AMS allmänna råd för tillämpningen av lagen (1994:459) om arbetsförmedlingsregister, och AMS föreskrifter för handläggningen av frågor om arbetsförmedlingsregister och AMS centrala statistikregister. AMS föreskrifter (AMSFS 1994:7) har beslutats efter samråd med Datainspektionen.
4. Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
4.1. En författningsreglering behövs
Förslag: De ramar för behandling av personuppgifter i den ar-
betsmarknadspolitiska verksamheten som är viktiga ur integritetssynpunkt skall anges i lag.
Personuppgiftslagens övergångsbestämmelser har inneburit en respit för lagstiftaren till den 30 september 2001 i fråga om anpassningen av dagens registerreglering till personuppgiftslagen och dataskyddsdirektivet. Den 1 oktober 2001 inträffade avgörande förändringar i de rättsliga möjligheterna att behandla personuppgifter. I flera avseenden är förändringarna stora, bland annat genom att inte endast personregister utan även helt eller delvis automatiserad behandling av personuppgifter i löpande text (ordbehandling m.m.) omfattas av den nya regleringen.
I och med att datalagen upphört att gälla den 30 september 2001 regleras – förutom viss manuell behandling av personuppgifter – således all behandling av personuppgifter av personuppgiftslagen, såvida det inte finns en särskild registerförfattning som gäller för viss behandling av personuppgifter. En sådan registerförfattning innebär en specialreglering i förhållande till personuppgiftslagen i syfte att komplettera den eller i vissa delar ersätta den. En särskild författning anses under vissa förutsättningar innebära en bättre garanti för utformningen av integritetsskyddet i särskilt känsliga register. Sådan författningsre-
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
glering av personregister har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag (prop. 1990/91:60 s. 56 ff och bet. 1990/91:KU11 s. 11), vilket också framhölls i förarbetena till personuppgiftslagen (prop. 1997/98:44, s. 41). Registerförfattningar finns också i dag inom flera områden där personuppgifter behandlas i register såsom till exempel inom skatt-, tull och exekutionsväsendet, socialtjänsten, kriminalvården och för domstolar.
Den första viktiga fråga som ställning således bör tas till är om regleringen av behandlingen av personuppgifter i den arbetsmarknadspolitiska verksamheten kan ske enbart genom en tilllämpning av personuppgiftslagen eller om denna behandling bör författningsregleras särskilt genom antingen lag eller förordning. I den arbetsmarknadspolitiska verksamheten behandlas mängder av uppgifter om bland annat enskilda personer och uppgifterna är i många fall av integritetskänslig natur. Dessa myndigheters automatiserade och manuella behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten är av sådan karaktär och omfattning att de grundläggande principerna för hur dessa får behandlas bör – i likhet med vad som gäller i dag – regleras i lag.
4.2. Författningsteknisk lösning
Förslag: En ny lag införs som ges namnet lag om behandling
av personuppgifter inom den arbetsmarknadspolitiska verksamheten. Lagen utgår från personuppgiftslagens tillämpningsområde, begrepp och terminologi. Bestämmelserna anger de undantag, preciseringar och förtydliganden i förhållande till personuppgiftslagen som är motiverade.
Lagen skall ge ramarna för när behandling av personuppgifter är tillåten och skall kompletteras av författningar på lägre nivå.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
Personuppgiftslagen innehåller vissa grundläggande krav på när behandling av personuppgifter är tillåten. I lagen finns vidare bestämmelser om information till den registrerade, om säkerheten vid behandlingen samt om rättelse av uppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen och skadestånd. Personuppgiftslagen gäller för behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten om inte annat regleras särskilt. Den nya lagen bör bygga på personuppgiftslagen och endast innehålla de särbestämmelser och förtydliganden som är nödvändiga för just denna verksamhet. Lagregleringen bör dock endast innehålla de ur integritetssynpunkt viktigaste bestämmelserna och inte vara alltför detaljerad. Lagen måste därför kompletteras med författningar på lägre nivå. Det innebär att närmare avvägningar kring bland annat integritetsskyddet kommer att ske i samband med att sådana författningar utarbetas (se avsnitt 4.16).
4.3. Lagens tillämpningsområde
Förslag: Den nya lagen om behandling av personuppgifter i
den arbetsmarknadspolitiska verksamheten skall tillämpas vid behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten i fråga om arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. Behandlingen av uppgifter i administrativ verksamhet skall dock inte omfattas.
Lagen skall liksom personuppgiftslagen gälla vid helt eller delvis automatiserad behandling av personuppgifter och även för viss manuell behandling av sådana uppgifter.
En enskild kan inte motsätta sig behandling som är tillåten enligt lagen.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
Arbetsmarknadspolitisk verksamhet m.m.
Av förordningen (2001:623) med instruktion för Arbetsmarknadsverket framgår att Arbetsmarknadsverket omfattar Arbetsmarknadsstyrelsen (AMS) och en länsarbetsnämnd i varje län. Allmänna bestämmelser om den arbetsmarknadspolitiska verksamheten hos Arbetsmarknadsverket finns i förordning (2000:628) om den arbetsmarknadspolitiska verksamheten. I denna förordning regleras bland annat vilka huvuduppgifterna i denna verksamhet är (3 §), hur verksamhetens skall utformas (4 §) och formerna för verksamheten (5 §). Dessa bestämmelser anger ramen för vad som utgör arbetsmarknadspolitisk verksamhet.
Huvuduppgifterna i verksamheten är att effektivt sammanföra den som söker arbete med den som söker arbetskraft, att främja sysselsättning och kompetensutveckling för arbetslösa personer på en effektiv och flexibel arbetsmarknad, att underlätta för personer med svag ställning på arbetsmarknaden att få arbete och förhindra utslagning från arbetsmarknaden, att motverka långa tider utan reguljärt arbete, samt att motverka en könsuppdelad arbetsmarknad och på andra sätt bidra till ökad jämställdhet mellan kvinnor och män samt till ökad mångfald i arbetslivet.
Verksamheten skall utformas så att den stärker den enskildes möjligheter att få eller behålla ett reguljärt arbete som så nära som möjligt ansluter till hans eller hennes förutsättningar och önskemål, den inte snedvrider konkurrensförutsättningarna för annan verksamhet, risken för att reguljära arbetstillfällen trängs undan blir så liten som möjligt, den anpassas till skilda förutsättningar och behov i olika delar av landet, och den är förenligt med målen för ett ekologiskt hållbart Sverige.
Formerna för den arbetsmarknadspolitiska verksamheten är platsförmedling, vägledning, arbetsmarknadspolitiska program, arbetslivsinriktad rehabilitering, arbetslivstjänster och vissa anställningsfrämjande åtgärder. Verksamheten omfattar även frågor om bland annat arbetstillstånd, arbetslöshetsförsäkringen, totalförsvaret och byggnadstillstånd m.m.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
De personuppgifter om arbetssökande, arbetsgivare och kontaktperson hos arbetsgivare eller den som medverkar i ett arbetsmarknadspolitiskt program som behövs för att genomföra den verksamhet som Arbetsmarknadsverket har i uppdrag att bedriva enligt ovan bör omfattas av den föreslagna lagen. Dessa personkategorier omfattas även av den nu gällande registerlagen. AMS och länsarbetsnämnderna behandlar inom ramen för verksamheten i dag även uppgifter rörande personer som inte kan kategoriseras som arbetssökande, arbetsgivare eller kontaktpersoner, exempelvis i samband med frågor om arbetstillstånd, arbetslöshetsförsäkringen, totalförsvaret och byggnadstillstånd eller rörande vissa anställningsfrämjande åtgärder (lag [1974:13] om vissa anställningsfrämjande åtgärder). Hanteringen av personuppgifter beträffande dessa personer har tidigare skett med stöd av den numera upphävda datalagen (1973:289) och från den 1 oktober 2001 med stöd av personuppgiftslagen. Syftet med den föreslagna lagen är att personuppgifter rörande samtliga personer som omfattas av den arbetsmarknadspolitiska verksamheten enligt de ramar som ges i förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten bör regleras i samma lag. Det är emellertid inte möjligt att i lag ange en samlad benämning på den personkrets som den föreslagna lagen bör omfatta utöver huvudkategorierna arbetssökande, arbetsgivare och kontaktpersoner. Den ram som den ovannämnda förordningen ger beträffande vad som utgör arbetsmarknadspolitisk verksamhet torde dock vara tillräcklig för att kunna avgränsa denna personkategori. Lagen bör således omfatta behandling av personuppgifter beträffande dessa personer.
Hos myndigheter behandlas ofta personuppgifter även rörande frågor som ligger utanför det direkta syftet med verksamheten. Det handlar i sådana fall om behandling av personuppgifter inom den interna administrationen, till exempel frågor som gäller personal, uppgift om till vilken enhet inom en myndighet ett ärende hör, uppgift om vem som handlägger ett visst ärende eller uppgift om vilka specialkunskaper en handläggare besitter. Regeringen har i förarbetena till den särskilda lagstiftningen om
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
behandling av personuppgifter inom skatt-, tull- och exekutionsväsendet (2000/01:33, s. 87 och 103 f) uttalat att någon särreglering inte behövs beträffande behandling av sådana uppgifter, utan att personuppgiftslagen är tillämplig på den interna administrationen. Personuppgiftslagen bör därmed kunna tillämpas även på den administrativa delen av den verksamhet som myndigheterna inom Arbetsmarknadsverket bedriver och föreslås därför inte omfattas av den nya lagen.
Helt eller delvis automatiserad behandling samt manuell behandling
Personuppgiftslagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad (5 § första stycket). Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (manuell behandling) (5 § andra stycket).
En lag som avser behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten bör ha samma tillämpningsområde som personuppgiftslagen. Det bör därför närmare beröras vilken behandling av personuppgifter som i dag sker i den arbetsmarknadspolitiska verksamheten den föreslagna lagen kommer att omfatta.
I dag behandlas personuppgifter vid den allmänna ärendehanteringen inom den arbetsmarknadspolitiska verksamheten både i manuellt hanterade personakter och automatiserat i de två personregister som omfattas av lagen om arbetsförmedlingsregister. Det förekommer även att personuppgifter behandlas vid annan automatiserad informationsbehandling, exempelvis i löptext. Den automatiserade hanteringen av personuppgifter i arbetsförmedlingsregistret (arbetsgivar- och arbetssökanderegister) samt AMS centrala statistikregister är noggrant reglerad i den nu gällande registerlagen, i synnerhet beträffande sådana uppgifter som
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
betraktas som känsliga enligt personuppgiftslagen och även andra ömtåliga uppgifter (se 6–8 §§ lagen om arbetsförmedlingsregister). Detta rättsliga skydd för den personliga integriteten bör vidmakthållas även i den föreslagna lagen (se vidare avsnitt 4.8).
Arbetsförmedlingsregistret (men inte AMS centrala statistikregister) är kopplat till manuellt hanterade personakter bland annat på så sätt att vissa känsliga och andra ömtåliga personuppgifter får registreras i registret i form av daganteckningar under vissa förutsättningar. I den mån uppgifterna inte får tas in i registret kan i daganteckningen göras en hänvisning till personakten. Av daganteckningen framgår då att anteckning om de känsliga uppgifterna gjorts i den manuella personakten. Personakterna är inte elektroniska i dag, men tillgängliga för sökning via vissa av uppgifterna i arbetsförmedlingsregistret. För sökning i registret får endast vissa i lagen angivna sökbegrepp användas. Automatiserad behandling bör anses hänförlig enbart till de uppgifter som kommer att finnas i sökordsbaserade databaser. De manuellt hanterade personakterna bör i förekommande fall således bedömas enligt personuppgiftslagens regler om manuell behandling.
En enskild kan inte motsätta sig en behandling som är tillåten enligt lagen
Enligt dataskyddsdirektivet torde den behandling av personuppgifter som regleras i lagförslaget anses tillåten utan samtycke av den registrerade med stöd av främst artikel 7 e) i direktivet. Där anges att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnas ut. I artikel 14 a i direktivet föreskrivs att medlemsstaterna skall tillförsäkra den registrerade rätten att åtminstone i de fall som avses i bland annat artikel 7 e) när som helst av avgörande och berätti-
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
gade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. I 12 § andra stycket personuppgiftslagen föreskrivs med anledning härav att en registrerad inte, utöver vad som följer av 11 § och 12 § första stycket, har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Utformningen av 12 § andra stycket personuppgiftslagen gör det dock svårt att direkt hänvisa till den. För att tillgodose dataskyddsdirektivets krav på nationell lagstiftning, för att inte den registrerade i vissa fall skall kunna motsätta sig behandling av personuppgifter, bör det i den föreslagna lagen föreskrivas att en registrerad inte har rätt att motsätta sig behandling som är tillåten enligt lagen.
4.4. Databaser i stället för register
Förslag: Begreppet databas införs som en juridisk beteckning
för vissa fastställda automatiserade uppgiftssamlingar som används gemensamt inom verksamheten och för vilka särskilda regler skall gälla beträffande känsliga och ömtåliga personuppgifter.
Begreppet databas i den arbetsmarknadspolitiska verksamheten
I personuppgiftslagen används inte begreppet register överhuvudtaget för olika samlingar av uppgifter. I stället talas det om behandling av personuppgifter. I de nya lagarna om behandling av personuppgifter inom beskattnings-, tull- och exekutionsverksamheterna3 har begreppet databas införts för de elektroniska sammanställningar av personuppgifter som sker i dessa verk-
3 Lag (2001:181) om behandling av personuppgifter i skatteförvaltningens beskattningsverksamhet, lagen (2001:184) om behandling av uppgifter i kronofogdemyndigheternas verksamhet och lagen (2001:185) om behandling av personuppgifter i Tullverkets verksamhet.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
samheter. I förarbetena till dessa lagar (prop. 2000/01:33, s. 88 ff) redogörs för argument för och emot begreppen register och databas som benämning på ADB-baserade samlingar av bland annat personuppgifter. Vidare görs även andra i nu aktuellt sammanhang värdefulla överväganden och kommentarer. Regeringens skäl för att införa begreppet databas för den elektroniska behandling av personuppgifter som sker i beskattnings-, tull- och exekutionsverksamheter i stället för register kan sammanfattas enligt följande.
Begreppet register är inte så väl lämpat att användas på datasystem som innefattar elektronisk ärendehantering där inkomna handlingar bildfångas och beslut upprättas med automatiserad behandling för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Begreppet databas har rent språkligt en mer naturlig anknytning till automatiserade sammanställningar av uppgifter. Begreppet register bör i stället förbehållas sådana automatiserade uppgiftssamlingar som faktiskt utgör register i en mer strikt betydelse, nämligen när uppgifterna är organiserade på ett systematiserat sätt enligt fastställda kriterier. Regeringen framhöll vidare att en sådan definition av begreppet databas som föreslagits utesluter manuella register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i databaser som är särskilt reglerade till sitt innehåll och användning. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register – i egentlig bemärkelse – är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet så utgör dessa register en databas. En databas kan således innehålla flera mindre databaser, varav en del kan vara regelrätta register.
Den elektroniska hanteringen av personuppgifter inom den arbetsmarknadspolitiska verksamheten sker, utöver traditionellt upprättade handlingar i löptext, såsom tjänsteanteckningar m.m., i arbetsförmedlingsregistret och i AMS centrala statistikregister
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
(se ovan avsnitt 4.3). Vidare kan uppgifterna i arbetsförmedlingsregistret vara knutna till en personakt, som inte förs i automatiserad form, på sätt som beskrivits ovan. De uppgifter som får föras in registret i form av daganteckningar gör att gränsen mellan en manuell ärendehantering och en elektronisk sådan kan vara flytande. Det finns också skäl att anta att en ärendehantering där allt behandlas elektroniskt kommer att öka i betydelse med tiden. Det är bland annat mot denna bakgrund viktigt att det finns gemensamma regler för den behandling av personuppgifter som sker genom automatisk databehandling, i synnerhet beträffande uppgifter som anses vara av känslig eller ömtålig natur.
De överväganden som legat till grund för att införa begreppet databas i beskattnings-, tull- och exekutionsverksamheterna bör kunna ligga till grund för att införa begreppet databas även för de automatiserade sammanställningar av personuppgifter som förekommer i den arbetsmarknadspolitiska verksamheten. Begreppet databas återspeglar i större utsträckning den elektroniska verklighet med behandling av personuppgifter som sker i dag i den arbetsmarknadspolitiska verkligheten än ett register gör. Detta begrepp bör därför införas även i denna verksamhet som en juridisk beteckning på en samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten och ersätta det tidigare registerbegreppet.
En uppgift anses – i likhet med vad som anförs i förarbetena till lagarna om behandling av personuppgifter inom skatt, tull och exekution – gemensamt tillgänglig och därmed utgörande del av en databas om den registreras och lagras i ett datasystem på ett sådant sätt att en tjänsteman inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang ta del av uppgiften direkt eller på automatiserad väg.
En sådan definition av begreppet databas som gjorts i den föreslagna i lagen utesluter – i likhet med vad som gäller vid behandling av personuppgifter inom skatt, tull och exekution – manuella register och gör det således möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
databaser som är särskilt reglerade till sitt innehåll och användning.
Av integritetsskäl bör stora uppgiftssamlingar som hanteras av myndigheter och som ger möjligheter till sammanställningar av en rad olika uppgifter om enskilda personer omgärdas av särskilda skyddsregler. Särskilda bestämmelser bör således gälla för behandling av uppgifter i databaser i den arbetsmarknadspolitiska verksamheten, bland annat vilka uppgifter som får behandlas i databasen, vilken åtkomst andra myndigheter och andra skall ha till uppgifterna samt vad som gäller vid bevarande och gallring.
Behandling av personuppgifter i databasen
Utgångspunkten vid utformningen av en ny författningsreglering om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten bör bland annat vara att denna i största möjliga utsträckning möjliggör successiva förändringar i systemen utan att hela regelverket behöver ändras. Den lagstiftning som reglerar användandet av datorstöd måste således vara teknikoberoende och flexibel för att inte hindra pågående och framtida effektiviseringar av verksamheter. Det kan därför vara behäftat med betydande nackdelar att reglera alla frågor i lag. Mot bakgrund av att en grundläggande princip i dataskyddsdirektivet och personuppgiftslagen är att behandling av personuppgifter inte får vara oförenlig med de ändamål för vilka de har samlats in bör emellertid klart angivna ändamål med behandlingen av personuppgifter i lagen ge en tillräcklig garanti för den personliga integriteten utan att en närmare reglering av dessa uppgifter behövs i själva lagen (se vidare avsnitt 4.7). Vilka uppgifter som får föras in i databasen får preciseras närmare i annan författning. Av integritetsskäl bör det dock enbart ankomma på regeringen att föreskriva vilka uppgifter som får behandlas i databasen. Den myndighet regeringen bestämmer (AMS) bör dock ha möjlighet att kunna göra ytterligare preciseringar av uppgif-
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
terna om behov föreligger. Detta arbete bör i den mån det behövs ske i samråd med Datainspektionen.
Med hänsyn till att behandling av känsliga personuppgifter som huvudregel inte får behandlas enligt personuppgiftslagen och till att myndigheternas inom Arbetsmarknadsverket behandling av sådana uppgifter utgör ett avsteg från detta förbud, bör förutsättningarna för när dessa uppgifter får behandlas i verksamheten regleras särskilt i den föreslagna lagen. I den nu gällande registerlagen förekommer även att andra uppgifter av ömtåligare natur registreras i registret, såsom uppgifter om sociala och ekonomiska förhållanden. Vidare får vissa uppgifter om lagöverträdelser m.m. inte registreras i registret överhuvudtaget. Det rättsliga skydd som föreligger beträffande behandling av sådana uppgifter bör, såsom nämnts ovan i avsnitt 4.3, regleras även i den föreslagna lagen.
4.5. Personuppgiftsansvar
Förslag: En myndighet som ingår i Arbetsmarknadsverket skall
vara personuppgiftsansvarig för den behandling av personuppgifter som det ankommer på myndigheten att utföra.
Med personuppgiftsansvarig avses enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftslagen medför ett långtgående ansvar för den personuppgiftsansvarige att se till att all behandling av personuppgifter sker i överensstämmelse med lagen. I prop. 2000/01:33 Behandling av personuppgifter inom skatt, tull och exekution, s. 97 f, har regeringen beträffande frågan om vilken myndighet som skall vara personuppgiftsansvarig i de där aktuella verksamheterna gjort bedömningen att det inte är möjligt att i lag närmare bestämma vilken myndighet i de berörda myndighetsorganisationerna som bör vara ansvarig för olika specifika behandlingar. Utgångspunkten är i stället att utforma regleringen så att den
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
myndighet på vilken det ankommer att utföra en viss behandling skall vara ansvarig för just den behandlingen.
De överväganden som låg till grund för lagarna om behandling av personuppgifter inom skatt, tull och exekution bör vara aktuella även för bedömningen av vilken myndighet som skall vara personuppgiftsansvarig i den arbetsmarknadspolitiska verksamheten. De myndigheter som kan komma i fråga för detta ansvar är AMS och länsarbetsnämnderna. I likhet med regeringens uppfattning i den ovannämnda propositionen torde det inte heller i den arbetsmarknadspolitiska verksamheten vara möjligt att i lag närmare bestämma vilken myndighet som bör vara ansvarig för olika specifika behandlingar av personuppgifter. Eftersom personuppgiftsansvaret omfattar vad som ankommer på en myndighet att utföra bör regleringen därför utformas så att den myndighet på vilken det ankommer att utföra en viss behandling skall vara ansvarig för just den behandlingen.
När det gäller frågan vilken behandling som ankommer på en myndighet att utföra kan följande synpunkter vara en lämplig utgångspunkt. Den behandling av personuppgifter som sker vid till exempel ordbehandling bör den myndighet inom Arbetsmarknadsverket hos vilken behandlingen faktiskt sker vara personuppgiftsansvarig. När uppgifter behandlas i en databas bör den myndighet som avgör om en viss uppgift skall föras in i databasen vara ansvarig för att den lagrade uppgiften är korrekt, eftersom det i praktiken endast torde vara den myndigheten som har möjlighet att garantera uppgiftens riktighet. Den behandling av uppgiften som sker därefter kan emellertid andra myndigheter bli ansvariga för, eftersom varje myndighet ansvarar för sin behandling. När det gäller frågor av mer övergripande natur får personuppgiftsansvarets fördelning grundas på vilka myndigheter som har befogenhet och skyldighet att utföra dessa åtgärder. I praktiken torde det inte behöva uppstå några problem i fråga om vem som är personuppgiftsansvarig för olika behandlingar. En förutsättning är emellertid att det går att fastställa vilken myndigheten inom Arbetsmarknadsverket som har behandlat en viss uppgift och hur denna uppgift har behandlats.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
4.6. Ändamålen med behandlingen
Förslag: Primära och sekundära ändamål för behandling av upp-
gifter anges i lagen. Uppgifterna skall få behandlas endast för de angivna ändamålen.
Enligt personuppgiftslagen får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. De särskilda ändamål som den personuppgiftsansvarige skall ha angett när insamlingen av uppgifter sker – eller som framgår av en särskild registerlagstiftning – och regleringen av vilka uppgifter som får registreras anger således ramen för hanteringen av personuppgifter. Med behandling av personuppgifter avses enligt 3 § personuppgiftslagen varje åtgärd som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Detta innebär att utlämnande av uppgifter från ett register eller en databas i en verksamhet till en annan verksamhet utgör behandling i personuppgiftslagens mening.
I dag får arbetsförmedlingsregistret och AMS centrala statistikregister föras för vissa särskilt angivna primära ändamål. Arbetsförmedlingsregistret får användas för 1. handläggning av ärenden som rör platsförmedling, arbetsförberedande åtgärder i form av vägledning, utbildning och arbetslivsinriktad rehabilitering samt andra arbetsmarknadspolitiska program som föreskrivs i lag eller förordning, 2. publicering av platsinformation, 3. planering, metodutveckling, tillsyn, uppföljning och utvärdering av verksamheten, 4. framställning av statistik, och 5. arbetsförmedlingssamarbete enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad och inom ramen för avtalet om Europeiska ekonomiska samarbetsområdet (2 § lagen om arbetsförmedlingsregister). AMS centrala statistikregister får användas för att framställa avidentifierad statistik som underlag för planering, metodutveckling, tillsyn, uppföljning och resultatredovisning (3 § lagen om arbetsförmedlingsregister). Även i
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
fortsättningen bör en behandling av uppgifter få ske för dessa ändamål. Någon ändring av ändamålens innehåll är därför inte nödvändig.
I proposition 2000/01:129 Ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet, s. 67 f och 73 ff, behandlades frågan om möjligheten att lämna ut uppgifter mellan myndigheter på elektronisk väg och direktåtkomst till elektroniskt lagrad information. I propositionen föreslås att det görs en uppdelning av ändamålen i arbetsförmedlingsregistret i primära och sekundära ändamål. En sådan uppdelning har även gjorts i de olika lagarna om behandling av personuppgifter inom skatt, tull och exekution.4 Syftet med uppdelningen är att det blir tydligt hur uppgifterna får användas i den egna verksamheten och hur de får lämnas ut till andra.
Enligt personuppgiftslagen får ett utlämnande av uppgifter genom direktåtkomst inte ske utan att det omfattas av ändamålet med behandlingen av personuppgifter i verksamheten. Från den 1 juli 2002 kommer i lagen om arbetsförmedlingsregister således gälla ytterligare ett ändamål (sekundärt) för vilket uppgifter i ett arbetsförmedlingsregister får behandlas. Uppgifter får behandlas i registret av länsarbetsnämnder för tillhandahållande av information som behövs i Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens och arbetslöshetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild (2 a §). I dag får regeringen föreskriva att vissa uppgifter (uppgifter om beslut om arbetsmarknadspolitiska åtgärder samt uppgifter om utbetalt belopp och datum för utbetalningen, se 4 § andra stycket förordningen [1994:460] om arbetsförmedlingsregister) får lämnas ut på medium för automatisk databehandling till Riksskatteverket och skattemyndigheterna (17 § tredje stycket lagen om arbetsförmedlingsregister).
Uppdelningen av ändamål i primära och sekundära bör finnas även i den föreslagna lagen för behandling av uppgifter i den ar-
4 Se ovan fotnot 1.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
betsmarknadspolitiska verksamheten. Eftersom utlämnande av uppgifter till annan myndighet utgör behandling av uppgifter enligt personuppgiftslagen, bör även tillhandahållande av uppgifter till Riksskatteverket och skattemyndigheterna omfattas av de sekundära ändamålen.
4.7. Vilka personuppgifter får behandlas?
Förslag: Alla uppgifter som är nödvändiga för de ändamål för
vilka behandlingen utförs skall få behandlas.
Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter som begränsar såväl de ändamål för vilka behandling är tillåten, vilka uppgifter som skall få behandlas för ett visst ändamål som vilka uppgifter som skall få behandlas i den arbetsmarknadspolitiska databasen.
Personuppgiftslagens krav på behandling av uppgifter bör gälla även inom den arbetsmarknadspolitiska verksamheten. I personuppgiftslagen görs en viktig begränsning beträffande vilka uppgifter som får behandlas. Av 9 § f följer att inte fler uppgifter får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. De ändamål för vilka uppgifterna får behandlas utgör därför ramen för vilka uppgifter som behandlas och hur de får användas. En del av de uppgifter som behandlas av myndigheterna inom Arbetsmarknadsverket är av integritetskänslig natur, till exempel uppgifter om medborgarskap, hälsa och sociala och ekonomiska förhållanden m.m. Utgångspunkten är att alla uppgifter som är nödvändiga för det ändamål för vilket behandlingen får utföras får behandlas i den arbetsmarknadspolitiska verksamheten. Det innebär i sin tur inte att varje uppgift hos myndigheterna inom Arbetsmarknadsverket skall få behandlas automatiserat och få vara sökbar av vem som helst. Personuppgiftslagens krav på att den personuppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de uppgifter som behandlas är avsedda att förebygga
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
missbruk. Det är emellertid inte praktiskt möjligt att i lag närmare reglera vilka uppgifter som får behandlas. Regeringen, eller den myndighet regeringen bestämmer, bör således meddela föreskrifter om begränsning av de ändamål för vilka behandlingen är tillåten, de uppgifter som får behandlas för ett visst ändamål samt vilka uppgifter som får behandlas i den arbetsmarknadspolitiska databasen. En sådan ordning torde vara möjlig utan risk för intrång i den personliga integriteten.
4.8. Behandling av känsliga personuppgifter m.m.
Förslag: Det skall i lagen anges under vilka förutsättningar käns-
liga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. skall få behandlas i den arbetsmarknadspolitiska verksamheten.
Allmänna förutsättningar för behandling av känsliga personuppgifter
Personuppgiftslagen förbjuder i princip behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackföring, eller som rör hälsa eller sexualliv (känsliga personuppgifter). Det finns vissa undantag från förbudet, till exempel då den enskilde samtyckt till behandlingen (15 §), om behandlingen är nödvändig i vissa särskilt angivna fall, bland annat för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras (16 §), om behandlingen utförs av ideella organisationer, för hälso- och sjukvårdsändamål, eller för forsknings- och statistikändamål (17—19 §§). Enligt 20 § personuppgiftslagen får regeringen eller den myndighet regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet från behandling av känsliga personuppgifter om det behövs med hänsyn till ett viktigt allmänt intresse. Från och med den 1 oktober 2001 gäller enligt 8 §
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
personuppgiftsförordningen (1998:1191) dock att myndigheter, utöver vad som anges i 15—19 §§personuppgiftslagen, får behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Personuppgiftslagen förbjuder vidare andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (21 §).
Enligt den nu gällande arbetsförmedlingsregisterlagen är det tillåtet att i registret registrera vissa känsliga uppgifter om hälsa, sociala och ekonomiska förhållanden m.m. om det är av väsentlig betydelse för ärendets handläggning och om den enskilde skriftligen har samtyckt till att en sådan registrering sker. Det är inte tillåtet att registrera sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen och uppgift om den arbetssökande vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529).
För att de handläggande myndigheterna inom Arbetsmarknadsverket skall kunna utföra de uppgifter som åvilar dem bör de även i fortsättningen ha likartade möjligheter att kunna behandla personuppgifter som är av känslig och ömtålig natur. Av personuppgiftslagen framgår emellertid inte helt klart att den verksamhet som bedrivs av Arbetsmarknadsverket omfattas av undantagen från förbudet av behandling av känsliga personuppgifter. För att det skall vara tydligt att myndigheterna inom Arbetsmarknadsverket får behandla sådana personuppgifter bör därför en uttrycklig bestämmelse om detta tas in i den föreslagna lagen.
I den arbetsmarknadspolitiska verksamheten behandlas vissa känsliga personuppgifter oftare än andra. Det kan emellertid inte uteslutas att samtliga uppgifter som anges i 13 § personuppgiftslagen någon gång kan komma att behöva behandlas vid den allmänna handläggningen av ärenden. De handläggande myndigheterna bör kunna få information om och behandla uppgifter om bland annat medborgarskap och eventuella arbetshinder av olika slag – vilket kan inbegripa uppgifter om hälsa, sociala och ekonomiska förhållanden m.m. – vid handläggningen av ärenden om
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
arbetslivsinriktad rehabilitering och utredning av möjligheterna att få delta i arbetsmarknadspolitiska program. Mot bakgrund av den föreslagna lagens tillämpningsområde torde en begränsning av vilka känsliga personuppgifter m.m. som får behandlas generellt inte kunna uppställas. I den föreslagna lagen bör som huvudregel därför gälla att myndigheterna inom Arbetsmarknadsverket får behandla samtliga sådana uppgifter som avses i 13 § personuppgiftslagen.
Redan av 2 § i den föreslagna lagen och 21 § personuppgiftslagen följer att myndigheter får behandla uppgifter om lagöverträdelser m.m. Eftersom särskilda regler gäller i dag beträffande den elektroniska hanteringen av dessa uppgifter finns det anledning att i den föreslagna lagen i förtydligande syfte ange vad som gäller vid behandling av dessa uppgifter.
Av integritetshänsyn bör det inte vara möjligt att behandla känsliga personuppgifter i annat fall än om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Eftersom en myndighet i allmänhet inte kan påverka vilka handlingar som lämnas till dem bör utgångspunkten vara att samtliga uppgifter som förekommer i ett ärende, dvs. även känsliga sådana, bör kunna få behandlas i den arbetsmarknadspolitiska verksamheten. När det gäller handlingar som upprättats av myndigheten torde det däremot finnas utrymme att påverka innehållet i en handling, Känsliga personuppgifter bör i sådana fall endast få finnas i sådana handlingar om det är nödvändigt för handläggningen av ärendet. Den aktuella bestämmelsen i den föreslagna lagen bör utformas i enlighet med detta.
Behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. i databaser
Integritetsaspekterna gör sig särskilt starkt gällande när det gäller frågan om vilka känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som får behandlas i personregister som utgör sammanställningar av uppgifter hos en myndighet. Be-
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
gränsningar i fråga om vilka känsliga uppgifter som får behandlas i ett sådant sammanhang bör därför regleras närmare i författning. I den nu gällande arbetsförmedlingsregisterlagen, som bygger på den numera upphävda datalagens (1973:289) definition av personregister, gäller begränsningar beträffande vilka uppgifter av känslig eller ömtålig natur som får registreras. Detta skydd för den personliga integriteten bör vidmakthållas även i fortsättningen. I den föreslagna lagen bör därför regleras vilka känsliga eller ömtåliga personuppgifter som får behandlas i automatiserade sammanställningar av personuppgifter.
Såsom sagts ovan får personuppgifter om lagöverträdelser m.m. inte registreras i arbetsförmedlingsregistret. Detsamma gäller för uppgifter om att den arbetssökande har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529). Dessa uppgifter har behandlats manuellt hos de handläggande myndigheterna i den mån de har behövts. Detta förhållande bör komma till uttryck även i den föreslagna lagen på så sätt att dessa uppgifter får behandlas i den arbetsmarknadspolitiska verksamheten, såvida de inte förs in i den arbetsmarknadspolitiska databasen.
De känsliga eller ömtåliga personuppgifter som i dag får förekomma i arbetsförmedlingsregistret får endast registreras om det har väsentlig betydelse för handläggningen av ett ärende och med den registrerades skriftliga samtycke. För att värna om den personliga integriteten bör särskilda förutsättningar gälla även i fortsättningen rörande behandlingen av dessa uppgifter i den arbetsmarknadspolitiska databasen. Dessa uppgifter får föras in i databasen endast om det är av väsentlig betydelse för handläggningen av ett ärende och om den enskilde uttryckligen samtycker till att så sker. Personuppgiftslagen uppställer inte något exklusivt krav på samtycke för behandling av dessa uppgifter. Det bör dock även i fortsättningen finnas ett krav på samtycke från den arbetssökande. Ett krav på uttryckligt samtycke torde dock vara tillräckligt ur integritetssynpunkt. Den handläggande myndigheten torde kunna förvissa sig om att den enskilde samtycker till behandling även på annat sätt än skriftligen. Det ankommer
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
dock på myndigheten att noga ta reda på att ett erforderligt samtycke för behandling föreligger.
Vissa känsliga personuppgifter, såsom koder för medborgarskap och arbetshandikapp bör – i likhet med vad som gäller i dag – kunna få behandlas för framställning av avidentifierad statistik. Om dessa uppgifter har förts in i en databas är utgångspunkten att dessa får behandlas för samtliga de ändamål som anges i 4 §, om inte regeringen eller den myndighet regeringen bestämmer har meddelat föreskrifter om begränsningar av de uppgifter som får behandlas för ett visst ändamål (se vidare avsnitt 4.16).
4.9. Direktåtkomst och utlämnande av uppgifter
Förslag: Direktåtkomst till de uppgifter som behandlas skall
vara förbehållen de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare föreskrifter om direktåtkomst.
Regeringen bemyndigas vidare att meddela föreskrifter om att uppgifter som behandlas enligt lagen får lämnas ut på medium för automatiserad behandling till enskilda, andra myndigheter, organ och sådana utländska myndigheter med vilka samarbete sker på det arbetsmarknadspolitiska området inom Norden, Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt vilka som därvid får ha direktåtkomst till personuppgifter.
Regeringen, eller den myndighet regeringen bestämmer, meddelar även närmare föreskrifter om vilka uppgifter som får lämnas ut på medium för automatiserad behandling eller som omfattas av direktåtkomst.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
Direktåtkomst till uppgifter för myndighet inom Arbetsmarknadsverket
Direktåtkomst innebär att den som använder ett register på egen hand kan söka i detta och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet. Direktåtkomsten kan dock ge användaren en möjlighet att även hämta hem informationen till sitt eget system och bearbeta den där. I registerförfattningar har direktåtkomst i regel beskrivits som en möjlighet till direktåtkomst till uppgifter i register. Direktåtkomst har traditionellt sett ansetts innebära att uppgifter lämnas ut utan att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut, varför det från integritetssynpunkt ansetts vara av stor betydelse att särskilt reglera frågor om tillgång till uppgifterna genom direktåtkomst i registerlagstiftning.
Vare sig dataskyddsdirektivet eller personuppgiftslagen innehåller några särskilda bestämmelser som tar sikte just på sättet för att lämna ut personuppgifter. Däremot innehåller dessa regleringar bestämmelser som anses innebära begränsningar i möjligheten att lämna ut uppgifter genom direktåtkomst. Personuppgifter får nämligen inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. De personuppgifter som behandlas skall vidare vara adekvata och relevanta i förhållande till ändamålen med behandlingen och fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen.
Från och med den 1 juli 2002 gäller, genom en ändring av 16 § lagen om arbetsförmedlingsregister, att endast den offentliga arbetsförmedling eller det arbetsmarknadsinstitut som enligt 1 § får föra ett arbetsförmedlingsregister får ha direktåtkomst till registret och att endast AMS får ha direktåtkomst till styrelsens centrala statistikregister. Ändringen utgör endast en språklig förändring av det tidigare begreppet terminalåtkomst. Myndig-
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
heternas inom Arbetsmarknadsverket möjligheter till direktåtkomst behandlas nedan.
AMS och länsarbetsnämnderna ingår i samma myndighetsorganisation (Arbetsmarknadsverket). En obegränsad direktåtkomst till uppgifter i databaser inom en och samma myndighetsorganisation innebär inte att samtliga anställda har tillgång till uppgifterna. Personuppgiftslagens allmänna bestämmelser om grundläggande krav på säkerhet vid behandling m.m. medför att olika åtgärder måste vidtas som förhindrar missbruk. Det kan till exempel innebära att åtkomst till olika uppgifter inom en myndighet är starkt begränsad till olika behörighetsnivåer eller till olika delar inom myndighetsorganisationen, vilket i sin tur innebär att det i slutändan är ett högst begränsat antal personer som har tillgång till samtliga eller vissa uppgifter. Att dessa personer organisatoriskt befinner sig på olika myndigheter torde dock inte kunna anses så allvarligt ur integritetssynpunkt att det bör hindra en utvecklig av effektiva datasystem. Utgångspunkten i den föreslagna lagen bör således – till skillnad mot den nu gällande registerlagen – vara att myndigheterna inom Arbetsmarknadsverket får ha direktåtkomst till samtliga uppgifter som behandlas i den arbetsmarknadspolitiska verksamheten. Ur integritetssynpunkt är det dock lämpligt att åtkomsten till de uppgifter som behandlas inte är vidare än nödvändigt. I den föreslagna lagen bör därför särskilt anges allmänna förutsättningar för vem som får ha direktåtkomst till uppgifter i den arbetsmarknadspolitiska verksamheten, oberoende av myndighet. Endast de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna bör få ha direktåtkomst till dem. Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare föreskrifter om detta. Utgångspunkten för det fortsatta författningsarbetet i denna del är att de hänsyn som motiverade en uppdelning av terminalåtkomsten till de nu befintliga registren därvid bör beaktas.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
Utlämnande av uppgifter på medium för automatiserad behandling och direktåtkomst
Från och med den 1 juli 2002 föreslås Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna få ha direktåtkomst till vissa uppgifter om arbetssökande och tidsuppgifter om registrerade förhållanden samt tekniska och administrativa uppgifter som behövs för att tillgodose ändamålet med arbetsförmedlingsregistret om det behövs som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild (16 a § lagen om arbetsförmedlingsregister). Vidare föreslås gälla från samma datum att dessa uppgifter får lämnas ut på medium för automatiserad behandling även till arbetslöshetskassorna (17 §).
I dag gäller att uppgifter om beslut om arbetsmarknadspolitisk åtgärd som fattats beträffande en arbetssökande, om utbetalda belopp för arbetsmarknadspolitiska åtgärder rörande arbetssökanden samt vissa uppgifter om arbetsgivare får lämnas ut på medium för automatiserad behandling till Riksskatteverket eller skattemyndigheterna (17 §). Vidare får uppgifter om lediga platser tillhandahållas allmänheten över terminal (18 §). Uppgifter om arbetsgivare och lediga platser får slutligen lämnas ut på medium för automatiserad behandling även till de länder (Norden, EU, EES) som Sverige samarbetar med enligt skriftliga överenskommelser om en gemensam arbetsmarknad (19 §).
Vad gäller behandling av personuppgifter inom skatt, tull och exekution har, med undantag för direktåtkomst, inte någon särskild reglering skett av uppgiftslämnande på medium för automatiserad behandling till andra myndigheter. Anledningen till detta är att behandlingen av uppgifter i regel är föreskriven i en särskild författning för mottagande myndighet, vilken i sin tur i regel inte har rättsligt stöd för att behandla uppgifterna på annat sätt än i enlighet med de för myndigheten gällande författningarna. Risken anses därför liten att en mottagande myndighet skulle behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett. I lagen
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
(2001:454) om behandling av personuppgifter inom socialtjänsten infördes inte heller någon regel som tillåter att personuppgifter får lämnas ut på medium för automatiserad behandling av samma skäl. I lagen (2001:558) om vägtrafikregister m.m. regleras endast utlämnande av personuppgifter genom direktåtkomst.
Regeringen uppgav i proposition 2000/01:129 Ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet (s. 71) att ställning kommer att tas vid den generella översynen av lagen om arbetsförmedlingsregister till vilken reglering av informationsutbyte som behövs när det gäller utlämnande mellan myndigheter och mellan myndigheter och sådana organ som i sekretesslagens mening är att jämställa med sådana myndigheter.
Det kan konstateras att det även i fortsättningen finns behov av att kunna lämna ut sådana uppgifter som har beskrivits ovan till berörda myndigheter och organ samt till allmänheten (enskilda personer) på medium för automatiserad behandling. Det torde knappast vara ändamålsenligt att i lag ställa upp mer detaljerade bestämmelser om utlämnandet. För fullständighetens skull bör det dock av den föreslagna lagen framgå att regeringen meddelar närmare föreskrifter om i vilken utsträckning uppgifter som får behandlas får lämnas ut till enskilda, andra myndigheter eller enskilda organ på medium för automatiserad behandling samt vilka som därvid skall få ha rätt till direktåtkomst till personuppgifter. Syftet med de aktuella bestämmelserna i den föreslagna lagen är endast att reglera åtkomstsättet till personuppgifter för vissa mottagare samt vilka uppgifter som dessa får ta del av på detta sätt. Någon inskränkning av den grundläggande rätten att ta del av allmänna handlingar i tryckfrihetsförordningen är således inte avsedd.
I det fortsatta författningsarbetet (se vidare avsnitt 4.16) kommer även andra myndigheters, än de ovan angivna, behov att genom direktåtkomst få del av personuppgifter från den arbetsmarknadspolitiska verksamheten att övervägas. I arbetsförmedlingsverksamheten förekommer nämligen en omfattande verksamhet i form av samverkan med andra aktörer, framför allt
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
kommuner (sociala myndigheter, arbetsmarknadsenheter m.fl.), facklig medverkan i särskilda projekt och liknande. Det rör sig i dessa fall om myndighetspersoner som på grund av uppdrag i Arbetsmarknadsverkets verksamhet, tjänsteplikt eller annan liknande grund för det allmännas räkning deltar i verkets verksamhet och behöver ta del av uppgifter för att kunna utföra sitt uppdrag.
Regeringen bör vidare få ha möjlighet att låta den myndighet regeringen bestämmer (AMS) meddela närmare föreskrifter om vilka uppgifter som får lämnas ut på medium för automatiserad behandling till bland annat enskilda samt vilka uppgifter som omfattas av direktåtkomst.
4.10. Sökbegrepp och sambearbetning
Förslag: Endast sökbegrepp som regeringen beslutar om skall
få användas. Den myndighet regeringen bestämmer skall få meddela närmare föreskrifter av de sökbegrepp som regeringen beslutat om.
Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och ömtåliga personuppgifter som avses i 8 § andra stycket eller 9 § skall som huvudregel inte få användas som sökbegrepp.
Uppgifter om koder för medborgarskap och arbetshandikapp skall dock få användas som sökbegrepp i vissa fall.
Någon särskild bestämmelse om sambearbetning behövs inte i lagen.
Sökbegrepp
I en databas kan uppgifter sökas och sammanställas med hjälp av sökbegrepp. Användaren bestämmer utfallet av sökningen genom de sökbegrepp han eller hon väljer att använda. Vilka sökbegrepp som får användas för att ta fram uppgifter ur ett person-
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
register hos en myndighet har betydelse för frågan om vad som är att anse som allmänna handlingar i registret och vad som därmed kan bli tillgängligt för utomstående. Användningen av registeruppgifter som sökbegrepp kan dock ibland få oönskade konsekvenser. Från början harmlösa uppgifter kan genom sammanställningen framstå som integritetskränkande. Förekomsten av många sökbegrepp kan också öka risken för integritetsintrång.
För personregister följer av 2 kap. 3 § tryckfrihetsförordningen att en myndighet, genom bestämmelser i lag, förordning eller särskilt beslut som grundar sig på lag, kan vara rättsligt förhindrad att använda vissa registeruppgifter som sökbegrepp. Konsekvensen av en sådan begränsning är att varken myndigheten själv eller en enskild kan ta fram information den vägen. Handlingen anses inte heller förvarad hos myndigheten. Härigenom uppnås ett ökat integritetsskydd men samtidigt en begränsning av registrets användbarhet.
Det finns både i nu gällande registerförfattningar och i lagstiftning som har anpassats till personuppgiftslagen flera exempel på begränsningar när det gäller vilka sökbegrepp som får användas. En sådan begränsning omfattar vanligen uppgifter som anses särskilt känsliga från integritetssynpunkt.
Vid bedömningen av vilka sökbegrepp som bör vara tillåtna i den arbetsmarknadspolitiska verksamheten måste en avvägning göras mellan effektivitetskrav och risken för integritetsintrång. I den nu gällande registerlagstiftningen har användningen av sökbegrepp reglerats i själva lagen. Sökmöjligheterna är vidare begränsade till vissa angivna uppgifter (20 § lagen om arbetsförmedlingsregister). Det är, mot bakgrund av den betydande risk för integritetsintrång som föreligger om samtliga uppgifter som får behandlas i den arbetsmarknadspolitiska verksamheten kunde användas som sökbegrepp, lämpligt att begränsa de sökbegrepp som får användas. Om myndigheten är förbjuden att för egen räkning använda vissa sökbegrepp begränsas också vad som är att anse som en allmän handling. Såvitt kan bedömas i nuläget bör inte sökmöjligheterna vara fler än vad som gäller i den nu gällande registerlagen. Frågan om sökbegrepp bör dock kopplas till de
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
uppgifter som får finnas i den arbetsmarknadspolitiska databasen enligt föreskrifter meddelade av regeringen. I lagen bör därför endast tas in en grundläggande bestämmelse av innebörd att endast de sökbegrepp regeringen beslutar om skall vara tillåtna. Den myndighet regeringen bestämmer (AMS) bör dock få ha möjlighet att besluta om preciseringar av de sökbegrepp regeringen beslutat om. Detta arbete bör i den mån det behövs ske i samråd med Datainspektionen.
Enligt nu gällande registerlagstiftning får inte känsliga eller ömtåliga personuppgifter användas som sökbegrepp. Det enda undantaget från detta gäller koder för arbetshandikapp och medborgarskap, som får användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade och utlänningar och för att framställa statistik där uppgifter om enskilda personer inte kan utläsas (20 § första stycket 2 lagen om arbetsförmedlingsregister). Även i den föreslagna lagen bör det vara otillåtet att använda känsliga och ömtåliga personuppgifter som sökbegrepp. Sökmöjlighet bör dock få finnas för ovannämnda koder även i fortsättningen.
Sambearbetning
Personuppgiftslagen innehåller inte något förbud mot sambearbetning av uppgifter. En sådan bearbetning är tillåten så länge den håller sig inom den lagens ramar, bland annat med avseende på de ändamål för vilka uppgifterna får behandlas. När det gäller behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten torde det inte finnas anledning att befara att behandlingar sker för ändamål som inte är förenliga med de för vilka uppgifter får samlas in och behandlas. Någon särskild bestämmelse om detta behövs således inte i den föreslagna lagen.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
4.11. Information till den registrerade
Förslag:Personuppgiftslagens bestämmelser om information
som skall lämnas till den registrerade skall tillämpas vid behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten.
I den arbetsmarknadspolitiska verksamheten behandlas en stor mängd personuppgifter och det är av integritetsskäl därför angeläget att den enskilde får information om att personuppgifterna behandlas, syftet med behandlingen, vad för slags uppgifter som behandlas, vem som är personuppgiftsansvarig och vilka rättigheter den enskilde har i anledning av behandlingen.
Bestämmelser om vilken information de registrerade har rätt till då personuppgifter beträffande honom eller henne behandlas ges i 23–27 §§personuppgiftslagen. När uppgifter om en person samlas in från denne själv skall den personuppgiftsansvarige alltid självmant lämna information om behandlingen. Om personuppgifter samlas in från någon annan skall information lämnas när uppgifterna registreras eller – om uppgifterna är avsedda att lämnas ut till tredje man – när de lämnas ut för första gången. Information behöver vare sig lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning eller om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning för den personuppgiftsansvarige. I de sist nämnda fallen skall information i stället lämnas senast i samband med att uppgifterna används för att vidta åtgärder beträffande den registrerade.
Den information som skall lämnas till den registrerade är enligt 25 § personuppgiftslagen uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade skall kunna ta tillvara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till.
Den personuppgiftsansvarige är vidare enligt 26 § personuppgiftslagen skyldig att efter skriftlig ansökan lämna information gratis en gång per kalenderår om huruvida personuppgifter som rör sökanden behandlas eller inte. Behandlas uppgifter om honom eller henne skall information också lämnas om vilka uppgifter som behandlas, varifrån dessa uppgifter hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.
I 50 § e personuppgiftslagen anges att regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om vilken information som skall lämnas till den registrerade och hur informationen skall lämnas. Enligt personuppgiftslagen gäller vidare att sekretess och tystnadsplikt går före informationsskyldigheten (27 §).
För myndigheternas inom Arbetsmarknadsverket del innebär reglerna om information till den registrerade bland annat att sådan självmant skall lämnas när handläggningen av ett ärende inleds eller vid annan utredning där den arbetssökande själv lämnar uppgifterna till den handläggande myndigheten. Redan i dag gäller enligt 22 § lagen om arbetsförmedlingsregister att en arbetssökande som kan komma att registreras skall underrättas om vad som gäller för registreringen av uppgifter om denne innan uppgifterna förs in och behandlas i arbetsförmedlingsregistret. Mot bakgrund av hur information lämnas i dag till arbetssökande borde det i praktiken inte föreligga några större svårigheter att ordna så att den arbetssökande innan uppgifter samlas in om denne får den i personuppgiftslagen föreskrivna informationen. Denna information bör i likhet med vad som gäller i dag innehålla bland annat en upplysning om innebörden av ett samtycke som lämnats för behandling av känsliga eller ömtåliga personuppgifter. Det torde dock inte räcka med att informationen lämnas först i samband med att den arbetssökande skrivits in hos den handläggande myndigheten, eftersom denne bland annat bör
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
upplysas om att han eller hon inte kan motsätta sig en behandling av personuppgifter som är tillåten enligt denna lag. Några skäl för att göra undantag i form av en utvidgning av den informationsskyldighet gentemot den registrerade som föreskrivs i personuppgiftslagen beträffande dessa informationsfrågor torde dock inte föreligga. I förtydligande syfte bör det dock i den föreslagna lagen anges vad som gäller i fråga om information till den registrerade.
4.12. Rättelse och skadestånd
Förslag:Personuppgiftslagens bestämmelser om rättelse av per-
sonuppgifter och skadestånd skall gälla vid behandling personuppgifter i den arbetsmarknadspolitiska verksamheten.
Rättelse
Enligt 28 § personuppgiftslagen gäller att den personuppgiftsansvarige är skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som meddelats med stöd av lagen. Vidare gäller att när en sådan rättelse görs av den personuppgiftsansvarige skall underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär detta eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse kan dock underlåtas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerlig stor arbetsinsats.
Personuppgiftslagens bestämmelser om rättelse skall gälla även vid behandling som utförts i strid med den föreslagna lagen. Reglerna i personuppgiftslagen om rätt för den registrerade att få uppgifter rättade m.m. gäller emellertid endast uppgifter som inte behandlats i enlighet med den lagen eller föreskrifter som meddelats med stöd av lagen. Uppgifter som behandlats i strid
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
mot föreskrifter i särskilda registerförfattningar omfattas sålunda inte om inte behandling också strider mot personuppgiftslagen eller mot föreskrifter som meddelats med stöd av denna. Den registrerade bör ha samma möjlighet att få personuppgifter rättade och korrigerade på annat sätt om behandlingen strider mot bestämmelserna i en särskild registerförfattning som i andra fall. Det är därför nödvändigt att i den föreslagna lagen ha en egen bestämmelse om rättelse.
Skadestånd
Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling i strid med den lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne.
Skillnaden mellan de särskilda bestämmelserna i personuppgiftslagen och de allmänna bestämmelserna i skadeståndslagen (1972:207) består främst i att ersättning enligt personuppgiftslagen kan utgå för ren förmögenhetsskada och för kränkning av den personliga integriteten även om brottslig gärning inte begåtts.
Personuppgiftslagens bestämmelser om skadestånd skall gälla även för behandling som utförts i strid med den föreslagna lagen. Beroende på utformningen av 48 § personuppgiftslagen är det nödvändigt att i den föreslagna lagen ha en egen bestämmelse om skadestånd.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
4.13. Säkerhet vid behandling, tillsynsmyndighetens befogenheter samt anmälan till denna myndighet m.m.
Förslag:Personuppgiftslagens bestämmelser om säkerhet vid
behandlingen och tillsynsmyndighetens befogenheter bör gälla också när personuppgifterna behandlas inom den arbetsmarknadspolitiska verksamheten.
Någon särskild bestämmelse om anmälan till tillsynsmyndigheten m.m. behövs inte.
Personuppgiftslagens bestämmelser om säkerheten vid behandling av personuppgifter och tillsynsmyndighetens befogenheter skall gälla även när personuppgifter behandlas inom den arbetsmarknadspolitiska verksamheten. Det behövs därför inte några särskilda regler om detta i den föreslagna lagen.
Behandling av personuppgifter som är helt eller delvis automatiserad omfattas enligt 36 § första stycket personuppgiftslagen av anmälningsskyldighet genom anmälan till tillsynsmyndigheten. Det finns dock undantag från denna anmälningsskyldighet (37 §). Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Sådana föreskrifter finns bland annat i personuppgiftsförordningen (1998:1191) där det i 3 § 3 anges, såvitt här är av intresse, att anmälningsskyldigheten enligt 36 § första stycket personuppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Bestämmelsen innebär att behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten som sker med stöd av den föreslagna lagen inte kommer att omfattas av anmälningsskyldighet.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
I regeringens proposition 2000/01:80 Ny socialtjänstlag m.m., rörande bland annat behandling av personuppgifter inom socialtjänsten, s. 155, gjordes bedömningen att allmänhetens intresse av information rörande behandlingen av dessa personuppgifter tillgodoses även om behandlingen är undantagen från kravet på anmälningsskyldighet och att personuppgiftslagens bestämmelser om informationsskyldighet torde vara tillräckliga för att säkerställa detta intresse. Vidare nämndes bestämmelsen i 15 kap. 11 § sekretesslagen (1980:100), i vilken föreskrivs vissa skyldigheter för myndigheter att för allmänheten hålla tillgängligt beskrivning av register, förteckningar eller andra anteckningar hos myndigheten som förs med hjälp av automatisk databehandling (ADB-register) samt vad en sådan beskrivning skall innehålla.
I den arbetsmarknadspolitiska verksamheten torde gälla samma förutsättningar som inom socialtjänsten beträffande denna fråga. Några ytterligare skäl för att föreskriva anmälningsskyldighet för de berörda myndigheter i den arbetsmarknadspolitiska verksamheten torde inte föreligga.
4.14. Gallring
Förslag: Uppgifter om arbetssökande och arbetsgivare skall
gallras två år efter utgången av det år då behandlingen av uppgifter har avslutats i ett ärende hos den handläggande myndigheten.
Uppgifter som har avskilts för statistikändamål skall gallras tio år efter avskiljandet.
Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om undantag från dessa bestämmelser i fråga om bevarande av material för forskningens behov.
Grundläggande bestämmelser om bevarande och gallring av uppgifter hos myndigheter och vissa andra organ finns i arkivlagen (1990:782). Enligt 3 § i denna lag bildas en myndighets arkiv av de allmänna handlingarna från myndighetens verksamhet samt av
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (vissa minnesanteckningar och utkast eller koncept) och som myndigheten beslutar skall tas om hand för arkivering. Arkivlagen medger att avvikande bestämmelser om gallring ges i annan lag eller förordning.
Personuppgiftslagen innehåller vissa bestämmelser om hur länge personuppgifter får bevaras. Enligt 9 § i personuppgiftslagen skall den personuppgiftsansvarige se till att personuppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras. Personuppgifter får dock bevaras för historiska, statistiska och vetenskapliga ändamål under längre tid än vad som nu sagts. Bestämmelserna i personuppgiftslagen kompletteras i dag ofta av bestämmelser i de särskilda registerförfattningarna.
Enligt arkivlagen gäller som huvudregel att allmänna handlingar skall bevaras. För personuppgifter som behandlas manuellt och som omfattas av den föreslagna lagen är de allmänna bestämmelserna i arkivlagen tillräckliga för att säkerställa ett gott integritetsskydd. För uppgifter som behandlas på automatiserad väg bör det dock i likhet med vad som gäller i dag i vissa fall av integritetsskäl finnas särskilda bestämmelser om gallring.
Enligt den nu gällande 21 § lagen om arbetsförmedlingsregister gäller att uppgifter om arbetssökande i arbetsförmedlingsregistret skall gallras två år efter utgången av det år då ärendet avslutats. Vidare gäller att uppgifterna i Arbetsmarknadsstyrelsens centrala statistikregister skall gallras tio år efter det att de registrerats. Utgångspunkten för bedömningen av bevarandefrågan av uppgifter i den nämnda lagen var att särskild hänsyn måste tas till integritetsaspekten. De överväganden som låg till grund för gallringstiderna är aktuella även vid bedömningen av vad som skall gälla för bevarande och gallring av uppgifter i den föreslagna lagstiftningen (se prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 36 f). Någon ändring av gallringstiderna torde därför inte behöva göras.
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
I likhet med nu gällande bestämmelser bör det vara möjligt för regeringen, eller den myndighet regeringen bestämmer, att meddela föreskrifter om undantag från undantag från gallringstiderna, dvs. undantag från särregleringen om gallring i den föreslagna lagen, med hänsyn till forskningens behov. Det bör vara Riksarkivet som bemyndigas att meddela sådana föreskrifter.
Någon hänvisning till arkivlagens bestämmelser behöver inte göras. Av 8 § andra stycket personuppgiftslagen följer nämligen uttryckligen att lagen inte hindrar att en myndighet arkiverar eller bevarar sina allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet.
4.15. Överklagande
Förslag: En myndighets beslut om rättelse och om avslag på an-
sökan om information som skall lämnas skall kunna överklagas hos allmän förvaltningsdomstol. Andra beslut får inte överklagas. Prövningstillstånd skall krävas vid överklagande till kammarrätten.
De beslut som fattas rörande personuppgifter som direkt berör den enskilde skall kunna överklagas. Sådana beslut är i allmänhet en myndighets beslut att avslå en ansökan om information enligt 26 § personuppgiftslagen. Även beslut om rättelse bör kunna överklagas. Besluten bör överklagas till allmän förvaltningsdomstol och det bör krävas prövningstillstånd för ett överklagande till kammarrätten.
Beslut fattas även i övrigt av den personuppgiftsansvariga myndigheten som rör behandlingen av personuppgifter, till exempel interna eller administrativa beslut. Dessa beslut berör inte den enskilde direkt och bör därför inte kunna överklagas.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
4.16. Utgångspunkter för det fortsatta författningsarbetet
Regeringens bedömning: Följande utgångspunkter bör ligga
till grund för det fortsatta författningsarbetet.
– Det bör preciseras vilka uppgifter som får behandlas för de olika ändamålen och i den arbetsmarknadspolitiska databasen.
– Stor restriktivitet måste iakttas när det gäller användningen av känsliga och ömtåliga personuppgifter i denna lag.
– Det måste noggrant anvisas vilka personer inom Arbetsmarknadsverket som skall få ha direktåtkomst till personuppgifter och denna personkrets måste begränsas till dem som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna.
– Andra myndigheter, enskilda organ och enskilda bör medges direktåtkomst endast i de fall där det finns ett klart behov av det.
– Den personuppgiftsansvariga myndigheten måste se till att lämpliga åtgärder vidtas för att skydda de personuppgifter som behandlas.
Den nya lagen om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten kommer endast att ge ramarna för när behandling är tillåten. Lagregleringen bör därför inte vara alltför detaljerad utan endast innehålla de ur integritetssynpunkt viktigaste bestämmelserna. Lagen måste därför kompletteras med författningar på lägre nivå. Huvuddragen i detta författningsarbete kommer att vara följande.
Såsom tidigare har nämnts innehåller den nuvarande registerlagstiftningen en uttömmande reglering av vilka uppgifter som får finnas i de register som lagen omfattar. Enligt den föreslagna lagen får endast personuppgifter beträffande vissa personer behandlas för särskilt angivna ändamål. Personuppgiftslagen begränsar vidare användningen av uppgifter på så sätt att fler upp-
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
gifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Redan genom dessa bestämmelser inskränks således möjligheten att behandla personuppgifter inom den arbetsmarknadspolitiska verksamheten. Det kan dock av integritetsskäl föreligga behov av att överväga ytterligare begränsningar av rätten att behandla personuppgifter för ett visst ändamål.
I de kompletterande författningarna bör vidare uttömmande anges vilka uppgifter som får behandlas i den arbetsmarknadspolitiska verksamheten för de olika ändamålen och i databasen. Dessa uppgifter torde som huvudregel vara desamma som i dag får registreras i de olika registren.
Personuppgiftslagen tillåter som huvudregel inte behandling av känsliga personuppgifter. Såsom tidigare anförts finns det behov för myndigheterna inom Arbetsmarknadsverket att behandla sådana uppgifter för att kunna bedriva en effektiv verksamhet. I den nu gällande registerlagen är förutsättningar för när känsliga personuppgifter och uppgifter om lagöverträdelser m.m. får registreras i registret begränsade. I det fortsatta förordningsarbetet finns därför anledning att noggrant precisera vilka uppgifter som får behandlas och för vilka ändamål. Utgångspunkten är därvid att den behandling av uppgifter av känslig natur som är tillåten enligt nu gällande lagstiftning och som sker i den allmänna ärendehanteringen i övrigt även fortsättningsvis skall få ske. Ett ytterligare skydd för risk mot intrång i den personliga integriteten har uppställts i den föreslagna lagen genom att känsliga personuppgifter och uppgifter om lagöverträdelser m.m. inte annat än i vissa särskilt angivna fall får användas som sökbegrepp.
Enligt 31 § personuppgiftslagen krävs att den personuppgiftsansvarige vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda de uppgifter som behandlas mot missbruk. Det nya systemet för behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten måste därför bygga på en hög grad av säkerhet och förutsätta att det finns behörighetskoder för användarna. Även andra tekniska begränsningar i åtkomsten måste övervägas.
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
Enligt den föreslagna lagen är det regeringen som beslutar om enskildas och andra myndigheters möjligheter att få ta del av personuppgifter genom direktåtkomst i den arbetsmarknadspolitiska verksamheten. Från och med den 1 juli 2002 har Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna rätt att få ta del av vissa uppgifter genom direktåtkomst. Denna reglering i den nu gällande registerlagen kommer med den föreslagna lagens utformning att återfinnas i förordning.
I det fortsatta förordningsarbetet är en viktig uppgift att överväga i vilken utsträckning enskilda och myndigheter i övrigt skall få ha tillgång till information från Arbetsmarknadsverket på medium för automatiserad behandling och om enskilda eller någon myndighet därvid skall få ha direktåtkomst till personuppgifter. I dag får vissa uppgifter om arbetsgivare och lediga platser tillhandahållas allmänheten över terminal. De myndigheter som i dag kan få uppgifter utlämnade till sig på medium för automatiserad behandling är Riksskatteverket, skattemyndigheterna och vissa utländska myndigheter som avses i 4 § 5 i den föreslagna lagen. Även andra berörda myndigheters behov av att få ta del av vissa personuppgifter genom sådant medium kommer att bedömas. Utgångspunkten för dessa överväganden är att utlämnande av uppgifter genom direktåtkomst till enskilda och andra myndigheter endast får ske i de fall när det finns ett klart behov av det. Mottagarens intresse av att få ta del av uppgifter måste således vägas mot intresset av att skydda enskildas personliga integritet. Vidare måste hänsyn tas till reglerna i sekretesslagen.
4.17. Sekretess inom den arbetsmarknadspolitiska verksamheten
Förslag: Någon ändring av sekretessreglerna behöver inte göras.
Skälen för förslaget: I förarbetena till lagen om arbetsförmed-
lingsregister (prop. 1993/94:235, s. 29 f) redovisas de bestäm-
Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Ds 2001:67
melser i sekretesslagen (1980:100) som den verksamhet som bedrivs inom Arbetsmarknadsverket är berörd av (7 kap. 10 §, 8 kap. 1 §, 9 kap. 4 §, 14 kap. 3 § och 7 kap. 16 §sekretesslagen). Bedömningen gjordes vid den tidpunkten att utformningen av sekretessreglerna på detta område ansågs ge de arbetssökande ett tillfredsställande skydd. Dessa regler gäller fortfarande utan några ändringar som är av betydelse i nu aktuellt hänseende. Den nuvarande utformningen av aktuella bestämmelser i sekretesslagen innebär således fortfarande ett väl avvägt skydd för de uppgifter om arbetssökande (och arbetsgivare) som förekommer inom den arbetsmarknadspolitiska verksamheten. Den föreslagna lagen om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten torde därför inte föranleda några ändringar av sekretesslagen på detta område.
4.18. Ikraftträdande och kostnader
Lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten kommer att ersätta den nu gällande lagen om arbetsförmedlingsregister och föreslås att träda i kraft den 1 juli 2002. Från och med detta datum upphör således de författningar som reglerar förandet av personregister i den arbetsmarknadspolitiska verksamheten. Den äldre lagens bestämmelser om gallring och innehåll skall dock fortfarande gälla för uppgifter och handlingar som har tillförts ett register före den nya lagens ikraftträdande.
Bestämmelserna i den nya lagen om grundläggande krav på behandling av personuppgifter samt behandling av känsliga personuppgifter och uppgifter om lagöverträdelser m.m. skall inte börja att tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som utförts för ett visst ändamål om manuell behandling för ändamålet har påbörjats före de 24 oktober 1998.
Har en begäran om registerutdrag enligt 10 § datalagen kommit in innan den nya lagen träder i kraft, men har utdraget inte
Ds 2001:67 Ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten
expedierats före ikraftträdandet, skall framställningen anses som en ansökan om information enligt den nya lagen.
Förslaget kommer till en början att medföra vissa kostnader, främst till följd av att det krävs utbildningsinsatser hos de aktuella myndigheterna samt omtryck av tryckt information och anpassningar i datasystemen på grund av det tydligare krav som ställs på Arbetsmarknadsverket vad gäller informationsåtgärder mot arbetssökande och arbetsgivare. Dessa kostnader torde dock inte vara större än att de kan täckas inom myndigheternas ordinarie resursramar.
5. Författningskommentar
1 §
Paragrafen anger lagens tillämpningsområde. Lagen skall tillämpas i den arbetsmarknadspolitiska verksamheten av de myndigheter som ingår i Arbetsmarknadsverket, dvs. Arbetsmarknadsstyrelsen (AMS) och länsarbetsnämnderna. Lagen skall tillämpas vid all behandling av personuppgifter som är helt eller delvis automatiserad. Manuell behandling omfattas av lagen endast om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (så kallat manuellt register). Det räcker således med att behandlingen är delvis automatiserad för att den skall omfattas av lagen. Vad som avses med automatiserad behandling i den arbetsmarknadspolitiska verksamheten har behandlats i avsnitt 4.3. Med begreppen behandling och personuppgifter avses detsamma som i personuppgiftslagen (1998:204).
Lagen är tillämplig endast om det är fråga om behandling av personuppgifter inom Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet. Vad som avses med sådan verksamhet framgår av 3 – 5 §§ förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten. Endast verksamhet som omfattas av denna förordning kan anses utgöra arbetsmarknadspolitisk verksamhet i den nya lagens mening. Utanför lagens tillämpningsområde faller således behandling av personuppgifter i samband med
Författningskommentar Ds 2001:67
de interna och administrativa åtgärder som kan förekomma i verksamheten. För behandling av sådana frågor, till exempel löneregister, gäller i stället personuppgiftslagen.
Bestämmelsen anger beträffande vilken personkrets uppgifter får behandlas enligt lagen. Den personkrets som lagen omfattar är densamma som anges i 4 § lagen om arbetsförmedlingsregister, dvs. arbetssökande, arbetsgivare (både fysiska och juridiska personer) och kontaktpersoner hos arbetsgivare eller den som medverkar i ett arbetsmarknadspolitiskt program. I den arbetsmarknadspolitiska verksamheten behandlas även personuppgifter rörande andra personer än de ovan namngivna, bland annat vid vissa frågor om arbetstillstånd, arbetslöshetsförsäkring, totalförsvaret och byggnadstillstånd m.m. (5 § förordningen [2000:628] om den arbetsmarknadspolitiska verksamheten). Den nya lagen kommer att omfatta behandling av personuppgifter beträffande dessa personer i den utsträckning behandlingen sker i den arbetsmarknadspolitiska verksamheten.
2 §
I paragrafens första stycke anges förhållandet mellan personuppgiftslagen och denna lag på så sätt att personuppgiftslagen gäller om inget annat sägs i den föreslagna lagen eller föreskrifter meddelade med stöd av denna. Förslaget till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten har utformats så att den endast gör vissa undantag från personuppgiftslagen och i övrigt preciserar vissa för behandlingen viktiga förhållanden. De definitioner som anges i 3 § personuppgiftslagen gäller således vid tillämpningen av den föreslagna lagen eller av föreskrifter som meddelats med stöd av lagen.
Av andra stycket framgår att den enskilde inte kan motsätta sig att personuppgifter behandlas enligt lagen.
Ds 2001:67 Författningskommentar
3 §
Av paragrafen framgår att AMS och respektive länsarbetsnämnd är personuppgiftsansvariga för den behandling av personuppgifter som ankommer på respektive myndighet att utföra.
4 §
I paragrafen anges de primära ändamålen för användningen av uppgifter inom den arbetsmarknadspolitiska verksamheten. Vad som avses med sådan verksamhet framgår av 3—5 §§ förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten. Beskrivningen av ändamålen får betydelse för vilken insamling och annan behandling av uppgifter som är tillåten enligt lagen, exempelvis vilka uppgifter som får behandlas i en databas. Ändamålen motsvarar i princip de registerändamål som anges i
2 § lagen om arbetsförmedlingsregister (1994:459)
. När det gäller innehållet i de olika punkterna är någon ändring i sak inte avsedd. Ändamålen sätts endast in i det nya system som gäller för behandling av personuppgifter. För innehållet och syftet med dessa ändamål hänvisas till regeringens prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 17 ff.
5 §
Paragrafen motsvarar den föreslagna nya 2 a § lagen om arbetsförmedlingsregister, som träder i kraft den 1 juli 2002 (se ovan avsnitt 4.6), med den avvikelsen att även Riksskatteverket och skattemyndigheterna omfattas av bestämmelsen. I paragrafen regleras de sekundära ändamålen, dvs. för vilka ändamål som uppgifter får tillhandahållas för verksamheter utanför Arbetsmarknadsverkets verksamhet. De myndigheter som anges i be-
Författningskommentar Ds 2001:67
stämmelsen är de myndigheter där informationsutbyte av uppgifter i dag sker regelmässigt.
Enligt punkt 1 får uppgifter behandlas för att tillhandahålla sådan information som Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens och arbetslöshetskassornas verksamhet behöver för att kunna fatta beslut om och kontrollera förmåner, ersättningar och andra stöd.
Enligt punkt 2 får uppgifter behandlas för att tillhandahålla sådan information som Riksskatteverkets och skattemyndigheternas verksamhet behöver för att kunna fatta beslut om skatt och för att kontrollera att mervärdesskatt, socialavgifter och preliminärskatt betalats in till staten (se prop. 1996/97:116, Ändringar i skatteregisterlagen, m.m., s. 53) De uppgifter som avses är de som länsarbetsnämnderna enligt 17 § lagen om arbetsförmedlingsregister och förordningen (1994:460) om arbetsförmedlingsregister regelmässigt lämnar ut till skattemyndigheterna på medium för automatiserad behandling, dvs. beslut om olika arbetsmarknadspolitiska åtgärder samt om utbetalt belopp och datum för utbetalningen.
6 §
I första stycket anges att det i den arbetsmarknadspolitiska verksamheten får finnas en samling personuppgifter som med automatiserad behandling används gemensamt i verksamheten för de ändamål som gäller för lagen (arbetsmarknadspolitisk databas). Databasen ersätter det tidigare registerbegreppet och innehållet i denna skall avspegla vad som i dag får finnas i arbetsförmedlingsregistret och AMS centrala statistikregister. Vad som avses med databas har redogjorts för i avsnitt 4.4.
Av andra stycket framgår att regeringen meddelar föreskrifter om vilka uppgifter som får finnas i databasen.
Ds 2001:67 Författningskommentar
7 §
I paragrafen regleras i förtydligande syfte när känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. får behandlas av myndigheterna inom Arbetsmarknadsverket i de fall behandlingen inte sker i en databas, exempelvis om uppgifter behövs i en föredragningspromemoria, tjänsteanteckning eller liknande. För behandling av uppgifter av känslig natur i databasen gäller särskilda regler (se nedan 8 och 9 §§). Sådana uppgifter som avses i 13 och 21 §§personuppgiftslagen får behandlas för samtliga ändamål som anges i 4 §. Bestämmelsen tar av naturliga skäl sikte på uppgifter av känslig natur rörande den arbetssökande, men paragrafen gäller all behandling av sådana uppgifter som sker i den arbetsmarknadspolitiska verksamheten. Sådana personuppgifter får behandlas om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det, dvs. om myndigheten måste behandla dessa för att kunna sköta sina åligganden vid hanteringen av ärenden enligt gällande rutiner och regler (se även ovan avsnitt 4.8). Känsliga personuppgifter bör dock alltid kunna få behandlas för gallring.
8 §
I paragrafen regleras vilka känsliga och ömtåliga personuppgifter som får behandlas i den arbetsmarknadspolitiska databasen, dvs. det som tidigare utgjorde arbetsförmedlingsregistret och AMS centrala statistikregister. I första stycket behandlas vilka känsliga personuppgifter som avses i 13 § personuppgiftslagen som får behandlas i databasen. Bestämmelsen har sitt ursprung i 6 och 7 §§ lagen om arbetsförmedlingsregister.
Av andra stycket framgår att vissa villkor gäller för behandling i databasen beträffande sådana uppgifter som avses i första stycket samt vissa andra ömtåliga personuppgifter. Bestämmelsen har behandlas i avsnitt 4.8. Uppgifterna i andra stycket får
Författningskommentar Ds 2001:67
endast behandlas i databasen om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde uttryckligen har samtyckt till behandlingen. Med uttryckligt samtycke avses ett skriftligt samtycke eller att uppgifterna har lämnats muntligt och det står helt klart för den handläggande myndigheten att den arbetssökande samtycker till att de behandlas.
9 §
Vissa uppgifter bör inte få behandlas i den arbetsmarknadspolitiska databasen. I paragrafen anges därför att personuppgifter om lagöverträdelser som innefattar brott m.m. samt uppgift om att den arbetssökande vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) inte får behandlas i databasen. Bestämmelsens materiella innehåll har sin motsvarighet i 8 § lagen om arbetsförmedlingsregister.
10 §
Paragrafen motsvarar i sak 14 § lagen om arbetsförmedlingsregister. Uppgifterna får endast inhämtas för behandling i den arbetsmarknadspolitiska verksamheten för de ändamål som avses i 4 och 5 §§.
11 §
Vad som avses med direktåtkomst behandlas i avsnitt 4.9. Genom första stycket i paragrafen begränsas direktåtkomsten till de uppgifter som får behandlas. Endast den som på grund av sitt arbete inom den arbetsmarknadspolitiska verksamheten behöver tillgång till uppgifterna får ha direktåtkomst till uppgifter som behandlas automatiserat.
Ds 2001:67 Författningskommentar
Direktåtkomst inom en myndighetsorganisation innebär inte att samtliga anställda har tillgång till uppgifterna. Tvärtom medför personuppgiftslagens allmänna bestämmelser om grundläggande krav på och säkerhet vid behandling m.m. att olika åtgärder måste vidtas som förhindrar missbruk. Det kan till exempel innebära att åtkomst till olika uppgifter inom en myndighet är starkt begränsad till olika behörighetsnivåer, vilket i sin tur innebär att det i slutändan är ett högst begränsat antal personer som har tillgång till samtliga uppgifter. Den personuppgiftsansvariga myndigheten måste sätta upp klara och tydliga gränser i fråga om vilka personer som skall ha tillgång till vilka uppgifter för att kunna utföra sitt arbete. En sådan ordning torde därför inte medföra några ytterligare risker från integritetssynpunkt.
Av andra stycket framgår att det beträffande frågan om direktåtkomst till uppgifter som får lämnas ut till enskilda, annan myndighet eller organ finns regler om bemyndigande i 16 och 17 §§. Med organ avses bland annat arbetslöshetskassorna och de allmänna försäkringskassorna.
12 §
Bestämmelsen i första stycket begränsar användningen av sökbegrepp till de sökbegrepp regeringen beslutar om. Härigenom begränsas vad som är att anse som en allmän handling och vad som kan bli tillgängligt för utomstående. Som ett ytterligare skydd för den personliga integriteten anges att känsliga personuppgifter eller andra ömtåliga personuppgifter som huvudregel inte får användas som sökbegrepp.
Enligt andra stycket får dock koder för vissa känsliga personuppgifter användas som sökbegrepp för att kunna framställa avidentifierad statistik. Denna sökmöjlighet finns redan i nu gällande registerlagstiftning (se 20 § 2). Avsikten med dessa sökbegrepp är densamma som i dag, dvs. att underlätta förmedling av arbete åt arbetshandikappade och utlänningar och för att framställa avidentifierad statistik där uppgifter om enskilda personer inte kan utläsas. De överväganden från integritetssynpunkt som
Författningskommentar Ds 2001:67
gjorts beträffande dessa sökbegrepp framgår av prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 36.
13 §
Personuppgiftslagen innehåller flera bestämmelser som reglerar när och hur information skall lämnas till den registrerade. Dessa bestämmelser gäller enligt första stycket även vid behandling av personuppgifter enligt den föreslagna lagen eller föreskrifter som har meddelats med stöd av denna lag. Eftersom den arbetssökande i allmänhet själv kan välja om han eller hon vill bli registrerad i den arbetsmarknadspolitiska verksamheten är det av vikt att han eller hon i likhet med vad som gäller i dag informeras om vad som gäller för behandlingen av uppgifter enligt den föreslagna lagen innan uppgifter samlas in. Den arbetssökande bör även informeras om innebörden av att han eller hon samtycker till att vissa känsliga uppgifter får behandlas i den arbetsmarknadspolitiska databasen, dvs. vad som gäller beträffande behandlingen av exempelvis personuppgifter av känslig natur när denne lämnat sådana uppgifter till den handläggande myndigheten. Övriga uppgifter som är av intresse för den arbetssökande att känna till kan vara exempelvis innebörden av de sekretess- och säkerhetsbestämmelser som gäller för behandlingen och vad som gäller i fråga om direktåtkomst, sökbegrepp och bevarande av uppgifter enligt denna lag. Uppgifter av de ovan angivna slaget bör lämpligen regleras närmare av regeringen eller den myndighet regeringen bestämmer.
14 §
Personuppgiftslagens bestämmelser om rättelse och skadestånd skall tillämpas även vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten.
Ds 2001:67 Författningskommentar
15 §
I paragrafen anges de särskilda bestämmelser som tar över arkivlagens bestämmelser om bevarande och gallring. Bestämmelsen behandlar skyldigheten att gallra personuppgifter efter vissa angivna tidpunkter. Skyldigheten att gallra innebär att personuppgifterna skall förstöras när tidpunkten för gallring är inne. Förstöring innebär bland annat att uppgifterna förs över till annan databärare om överföringen innebär informationsförlust eller att sökmöjligheter går förlorade i och med överföringen. Uppgifter som finns i en databas och som överförs från denna till pappershandlingar innebär således i praktiken att uppgifterna har gallrats om också den elektroniska informationen raderats. De uppgifter som då endast finns kvar på papper omfattas inte längre av gallringsfristerna.
Bestämmelserna om gallringstid i första och andra styckena motsvarar 21 § lagen om arbetsförmedlingsregister. De överväganden som legat till grund för gallringstiderna framgår av prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 36 ff. Med handläggande myndighet avses den myndighet inom Arbetsmarknadsverket som hanterar det berörda ärendet.
Genom tredje stycket ges regeringen, eller den myndighet som regeringen bestämmer, möjlighet att föreskriva undantag från skyldigheten att gallra personuppgifter i fråga om material för forskningens behov.
16 §
I punkt 1 och 2 anges att regeringen meddelar föreskrifter om att personuppgifter får lämnas ut på medium för automatiserad behandling till enskilda, andra myndigheter än de som ingår i Arbetsmarknadsverket och organ. Med andra myndigheter och organ avses Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna,
Riksskatteverket, skattemyndigheterna och sådana utländska myndigheter eller organ som avses i 4 § 5 samt de myndigheter
Författningskommentar Ds 2001:67
som behandlats under avsnitt 4.9 (näst sista stycket). Regeringen meddelar vidare föreskrifter om vilka av dessa myndigheter eller organ som vid utlämnandet får ha direktåtkomst till personuppgifter. Regeringen får vidare meddela föreskrifter om att enskilda får ha direktåtkomst till uppgifter i databasen.
I punkt 3 ges regeringen möjlighet att föreskriva vilka uppgifter som får behandlas i den arbetsmarknadspolitiska databasen. Det bör endast vara regeringen som beslutar vilka kategorier uppgifter som får behandlas i databasen. Den myndighet regeringen bestämmer bör dock få ha möjlighet att ytterligare precisera innehållet i dessa kategorier. Se vidare under 17 §.
Enligt punkt 4 får regeringen besluta om vilka sökbegrepp som får finnas.
17 §
Paragrafen innehåller en bestämmelse om att regeringen, eller den myndighet regeringen bestämmer, meddelar vissa närmare föreskrifter. Innehållet i bestämmelsen har behandlats utförligare i avsnitt 4.
Syftet med punkterna 1 och 2 har behandlats översiktligt i avsnitt 4.16.
Enligt punkt 3 får regeringen (eller AMS) besluta om vilka uppgifter som får lämnas ut på medium för automatiserad behandling. Avsikten med bestämmelsen är att om regeringen enligt 16 § har beslutat om att vissa mottagare får ha rätt att ta del av uppgifter på medium för automatiserad behandling, får regeringen eller AMS besluta om vilka uppgifter som får lämnas ut på sådant medium. Mot bakgrund av den redogörelse som lämnats i avsnitt 4.9 beträffande reglering i lag av utlämnade till andra myndigheter på sådant medium, tar bestämmelsen främst sikte på utlämnande av personuppgifter till sådana utländska myndigheter som avses i 4 § 5, enskilda och organ. Enligt punkt 4 får regeringen (eller AMS) besluta om föreskrifter för direktåtkomst inom Arbetsmarknadsverket. Regeringen (eller AMS) får vidare föreskriva vilka uppgifter som får
Ds 2001:67 Författningskommentar
lämnas ut genom direktåtkomst till de mottagande myndigheter m.m. som regeringen har beslutat skall få ha sådan åtkomst enligt 16 § 2.
Avsikten med punkt 5 är att den myndighet regeringen bestämmer (AMS) skall kunna meddela närmare föreskrifter om de sökbegrepp regeringen beslutat om enligt 16 §. AMS bör även få ha möjlighet att meddela närmare föreskrifter om vilka uppgifter som får finnas i den arbetsmarknadspolitiska databasen. Detta framgår av punkt 7
Om annan myndighet ges rätt att meddela föreskrifter bör detta föreskriftsarbete i den mån det behövs ske i samråd med Datainspektionen.
18 §
De flesta beslut som fattas i myndigheternas inom Arbetsmarknadsverket verksamhet och som gäller behandling av personuppgifter enligt denna lag är interna eller administrativa. Enskilda berörs dock direkt av myndigheternas beslut om rättelse och information varför dessa beslut skall kunna överklagas. Talan mot dessa beslut förs vid allmän förvaltningsdomstol.