Ds 2012:5
Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering
1. Sammanfattning
Denna promemoria innehåller förslag till en ny lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU).
Förslaget syftar till att på ett mer långsiktigt och förutsägbart sätt än i dag ge IFAU möjlighet att behandla personuppgifter i den utsträckning som institutet behöver för att på ett ändamålsenligt och effektivt sätt fullgöra sitt uppdrag. Samtidigt syftar förslaget till att dra upp de ramar för personuppgiftsbehandlingen som krävs för att åstadkomma ett fullgott skydd för den personliga integriteten vid institutets studier, uppföljningar och utvärderingar.
Förslaget innehåller bl.a. bestämmelser om berättigade ändamål för personuppgiftsbehandlingen, om vilka uppgifter som får behandlas och om hur uppgifterna får behandlas.
Den nya lagen föreslås träda i kraft den 1 januari 2013.
2. Författningsförslag
Förslag till lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering
Härigenom föreskrivs följande.
Lagens tillämpningsområde
1 § Denna lag gäller vid behandling av personuppgifter i sådan verksamhet hos Institutet för arbetsmarknads- och utbildningspolitisk utvärdering som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar.
Lagen gäller inte behandling av personuppgifter vid tilldelning av forskningsbidrag.
Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.
2 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen.
Ds 2011:xx Författningsförslag
Förhållandet till personuppgiftslagen
3 §Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering, om inte annat följer av denna lag eller av föreskrifter som har meddelats i anslutning till denna lag.
Personuppgiftsansvar
4 § Institutet för arbetsmarknads- och utbildningspolitisk utvärdering är personuppgiftsansvarigt för den behandling av personuppgifter som institutet utför.
Ändamål
5 § Institutet för arbetsmarknads- och utbildningspolitisk utvärdering får behandla personuppgifter om det behövs för att fullgöra uppdraget att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar.
6 § Personuppgifter som behandlas för de ändamål som anges i 5 § får också behandlas för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen (1998:204).
Känsliga personuppgifter
7 § Institutet för arbetsmarknads- och utbildningspolitisk utvärdering får i fråga om sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) behandla endast sådana uppgifter som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa.
Författningsförslag Ds 2011:xx
I lagen (2003:460) om etikprövning av forskning som avser människor finns bestämmelser om att forskning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen eller sådana uppgifter som avses i 21 § samma lag måste etikprövas.
Samlingar av personuppgifter
8 § Om det behövs för de ändamål som anges i 5 §, får det hos
Institutet för arbetsmarknads- och utbildningspolitisk utvärdering finnas samlingar av personuppgifter som behandlas automatiserat. Samlingarna får endast innehålla uppgifter som inte direkt kan hänföras till en person. Uppgifterna får vara försedda med en beteckning som, hos den myndighet från vilken uppgifterna kommer, kan hänföras till ett personnummer eller motsvarande identitetsbeteckning.
9 § Om det behövs för de ändamål som anges i 5 §, får det hos
Institutet för arbetsmarknads- och utbildningspolitisk utvärdering, utöver vad som anges i 8 §, finnas samlingar av personuppgifter som behandlas automatiserat om det behövs för att genomföra en avgränsad studie, uppföljning eller utvärdering.
Begränsningar i behandlingen av personuppgifter
10 § Personuppgifter som inte direkt kan hänföras till en person och som behandlas i samlingar av personuppgifter får inte behandlas i syfte att röja en persons identitet.
11 § Personuppgifter som har samlats in för att behandlas i en avgränsad studie, uppföljning eller utvärdering får inte sambearbetas med personuppgifter som har samlats in för att behandlas i en annan studie, uppföljning eller utvärdering.
Ds 2011:xx Författningsförslag
Tillgång till personuppgifter
12 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.
Information
13 § Bestämmelserna i 26 § personuppgiftslagen (1998:204) om information efter ansökan ska inte gälla i fråga om personuppgifter som inte direkt kan hänföras till en person.
Rättelse och skadestånd
14 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller för behandling av personuppgifter enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till denna lag.
Denna lag träder i kraft den 1 januari 2013.
3. Bakgrund
3.1. Institutet för arbetsmarknads- och utbildningspolitisk utvärdering
Den 12 januari 2012 fattade regeringen beslut om en utvidgning av Institutet för arbetsmarknadspolitisk utvärderings (IFAU:s) uppdrag (jfr prop. 2011/12:1, utg.omr. 14, avsnitt 3.6.7., bet. 2011/12:AU2, rskr. 2011/12:88). Samtidigt beslutades att institutet ska byta namn till Institutet för arbetsmarknads- och utbildningspolitisk utvärdering. Ändringarna, som gjordes i förordningen (2007:911) med instruktion för Institutet för arbetsmarknadspolitisk utvärdering, träder i kraft först den 21 februari 2012. Förslag och resonemang i denna promemoria utgår dock från instruktionen i dess nya lydelse.
IFAU har enligt den nya lydelsen till uppgift att främja, stödja och genom forskning genomföra uppföljning och utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekterna av olika reformer och åtgärder inom utbildningsväsendet, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden. Den nyligen beslutade ändringen innebär framförallt att IFAU får till uppdrag att genomföra utvärderingar av effekterna av olika reformer och åtgärder inom utbildningsområdet i stort och inte, som tidigare, endast utvärderingar av dess effekter på arbetsmarknaden.
Bakgrund
Ds 2011:
Av instruktionen följer vidare att IFAU särskilt ska fokusera på de samlade effekterna av den arbetsmarknadspolitiska verksamheten och de utbildningspolitiska reformerna samt på de särskilda uppdrag som regeringen fattar beslut om inom dessa områden. I uppföljnings- och utvärderingsarbetet ska effekterna för kvinnor och män särskilt belysas. IFAU ska vidare sprida information om resultaten av sina uppföljningar, utvärderingar och studier till andra myndigheter och intressenter.
Utvärdering, uppföljning och studier
Med utvärdering avses enligt IFAU:s instruktion både effektutvärdering och processutvärdering. Effektutvärdering innebär att man försöker isolera effekten av en insats från annat, t.ex. från andra insatser eller program, som påverkar utfallet. Vid utvärdering av arbetsmarknadspolitik är detta metodmässigt svårt och kräver i praktiken att personuppgifter behandlas. Bearbetningen sker dock med statistiska metoder och det finns därför sällan behov av att kunna hänföra uppgifterna till en viss fysisk eller juridisk person.
Ofta saknas det emellertid ett tillräckligt stort antal personuppgifter att jämföra med andra uppgifter för att det med statistisk säkerhet ska gå att utesluta att utfallet beror på något annat än insatsen. I sådana fall kan processutvärdering användas som ett komplement eller ett alternativ till en effektutvärdering. I en processutvärdering undersöker man exempelvis hur många som deltagit i insatsen, om rätt målgrupp deltagit, vad insatsen kostat, vilka problem som uppstått vid genomförandet och hur deltagarna själva upplevt nyttan med insatsen.
IFAU:s instruktion innehåller också begreppen studier och uppföljning. Uppföljning är liksom utvärdering, ett vitt begrepp. Det kan innefatta ovan beskrivna effektutvärdering men kan också vara en rent deskriptiv uppföljning av exempelvis ett arbetsmarknadspolitiskt program. IFAU ger t.ex. ut ett Arbetsmarknadspolitiskt kalendarium som enkelt beskriver vilka regler
Ds 2011:
Bakgrund
som gällde i de arbetsmarknadspolitiska programmen vid en viss tidpunkt.
Begreppet studier är också vitt och ingår i myndighetens instruktion för att ge utrymme för myndigheten att ägna sig åt teoriutveckling inom ämnet arbetsmarknadens funktionssätt och åt sådan metodutveckling inom statistik som är nödvändig för effektutvärdering. Inom ramen för begreppet studier har IFAU exempelvis under en period delfinansierat en professor i utvärderingsmetodik.
Personuppgiftsbehandling hos IFAU
IFAU är för sin verksamhet beroende av uppgifter och underlag från andra myndigheter och institutioner. IFAU är framförallt en stor användare av Statistiska centralbyråns standardregister, särskilt LISA (Longitudinell integrationsdatabas för Sjukförsäkrings- och Arbetsmarknadsstudier). I LISA har data sammanställts från flera olika källor, t.ex. från personregistret, Arbetsförmedlingen, Försäkringskassan och Skatteverket.
Även s.k. känsliga personuppgifter
enligt 13 § personuppgiftslagen (1998:204) ingår i registret (se nedan avsnitt 3.2.).
När uppgifter ur LISA lämnar Statistiska centralbyrån är de alltid avidentifierade på så sätt att personnummer har ersatts med löpnummer. Ingen information kan således hänföras till en enskild individ hos den myndighet till vilken uppgifterna lämnas. Statistiska centralbyrån har dock kvar en nyckel mellan dessa löpnummer och individernas personnummer. Hela eller delar av registret kan därför på nytt hänföras till en individ och länkas till andra register efter behov från myndigheter, utredare eller forskare. Det är i detta sammanhang man ska förstå de samlingar av personuppgifter som IFAU administrerar och som beskrivs nedan. I grunden utgör samlingarna resultatet av IFAU:s beställningar till Statistiska centralbyrån.
De register som IFAU använder ägs ofta egentligen av andra myndigheter än av Statistiska centralbyrån. IFAU har exempel-
Bakgrund
Ds 2011:
vis ofta behov av att använda uppgifter ur Arbetsförmedlingens arbetssökanderegister och händelsedatabas HÄNDEL. När register läggs samman görs det emellertid alltid av Statistiska centralbyrån. Bara Statistiska centralbyrån har den nyckel mellan personnummer och de olika registrens löpnummer som gör sammanläggningar av registren möjlig.
Forskning som innefattar behandling av känsliga personuppgifter måste alltid genomgå etikprövning enligt lagen (2003:460) om etikprövning av forskning som avser människor (etikprövningslagen) och godkännas av en etikprövningsnämnd innan den får genomföras (se nedan avsnitt 3.2). När IFAU begär ut känsliga personuppgifter för ett forskningsprojekt kräver därför Statistiska centralbyrån att forskningsprojektet i fråga har etikprövats innan myndigheten tar sig an beställningen.
IFAU administrerar för närvarande i huvudsak tre, i stor utsträckning överlappande databaser. Den s.k. IFAU-databasen skapades i början av 2000-talet och används främst vid utvärderingar av arbetsmarknadspolitiska åtgärder samt vid studier av arbetsmarknadens funktionssätt. IFAU-databasen innehåller personuppgifter hämtade från LISA och andra register som Statistiska centralbyrån har tillgång till. Databasen innehåller ett fåtal känsliga personuppgifter, främst uppgifter som rör hälsa.
Utbildningsdatabasen utvecklades efter det att IFAU:s uppdrag 2001 utvidgades till att även innefatta utvärderingar av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet. Det finns för närvarande inga känsliga personuppgifter i Utbildningsdatabasen.
Socialförsäkringsdatabasen har finansierats och byggts upp inom ramen för ett forskningsprojekt med anslag från Forskningsrådet för arbetsliv och socialvetenskap som IFAU beviljats för analyser av policyinterventioner i social- och arbetslöshetsförsäkringarna. I databasen finns många känsliga personuppgifter enligt personuppgiftslagens definition.
De tre databaserna skiljer sig åt inte bara med avseende på innehåll utan även ifråga om tillgänglighet. IFAU-databasen kan användas av samtliga forskare och utredare vid IFAU, av
Ds 2011:
Bakgrund
forskare som får forskningsbidrag från IFAU samt av forskare utanför IFAU som ingår i ett IFAU-projekt där även IFAUforskare ingår. Utbildningsdatabasen kan endast användas av forskare och utredare vid IFAU. Socialförsäkringsdatabasen kan endast användas av forskare och utredare som ingår i det projekt som Forskningsrådet för arbetsliv och socialvetenskap har finansierat.
De tre ovan nämnda databaserna uppdateras löpande i enlighet med avtal mellan Statistiska centralbyrån och IFAU. Därutöver köper IFAU data ur register som innehas av Statistiska centralbyrån för specifika projekt. Då känsliga personuppgifter ingår i forskningsmaterialet sker alltid en etikprövning av projektet innan Statistiska centralbyrån sätter samman nya register för IFAU:s räkning.
IFAU:s inriktning gör att studier, utredningar eller uppföljningar baserade på data inhämtade genom enkäter eller intervjuer endast utgör en mindre del av verksamheten. Vanligast är att IFAU använder sig av enkäter för att fullgöra uppdrag från regeringen som exempelvis går ut på att utvärdera genomförandet av ett visst arbetsmarknadspolitiskt program. Effektutvärderingar görs dock inte på grundval av data inhämtade genom enkäter eller intervjuer.
3.2. Skyddet för den personliga integriteten
Informationsteknikens utveckling och den ökande användningen av denna teknik för behandling av information om individer, medför ett särskilt behov av skydd mot sådan användning av individrelaterad information som kan anses utgöra ett otillbörligt intrång i den personliga integriteten. Reglering för sådan behandling av information har utarbetats såväl i internationella sammanhang som i nationell lagstiftning.
Grundläggande bestämmelser om skydd för den personliga integriteten finns i regeringsformen (RF). Av det allmänna målsättningsstadgandet i 1 kap. 2 § RF följer att det allmänna ska
Bakgrund
Ds 2011:
värna om den enskildes privatliv. Genom ändringar i RF som trädde i kraft den 1 januari 2011 (prop. 2009/10:80, bet. 2009/10:KU19, rskr. 2009/10:304, bet. 2010/11:KU4, rskr. 2010/11:21), har det generella grundlagsskyddet för den personliga integriteten stärkts. I 2 kap. 6 § RF har det införts en ny bestämmelse som anger att var och en, utöver vad som i övrigt gäller enligt paragrafen, gentemot det allmänna är skyddad mot betydande intrång i den personliga integriteten som sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Skyddet enligt den nya grundlagsbestämmelsen är inte absolut. Det kan inskränkas i lag under förutsättning att det sker för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får dock aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen (2 kap. 21 § RF).
Enligt artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Offentlig myndighet får inte inskränka denna rättighet annat än med stöd av lag. Inskränkningar får vidare endast göras om det är nödvändigt i ett demokratiskt samhälle med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller till skydd för andra personers fri- och rättigheter. Europakonventionen gäller sedan den 1 januari 1995 som svensk lag. Av grundlag följer även att en lag eller annan föreskrift inte får meddelas i strid med Sveriges åtaganden enligt konventionen (2 kap. 19 § RF).
En bestämmelse om respekt för privatlivet och familjelivet finns även i artikel 7 i EU:s stadga om de grundläggande rättigheterna. Av artikel 8 i stadgan följer vidare bl.a. att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Uppgifterna ska behandlas lagenligt för bestämda ändamål och
Ds 2011:
Bakgrund
på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund.
De grundläggande nationella bestämmelserna om behandling av personuppgifter finns i personuppgiftslagen (1998:204). Genom lagen har Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) genomförts i svensk rätt. Personuppgiftslagen är generellt tillämplig, men om det i en annan lag eller i en förordning har meddelats avvikande bestämmelser, så gäller de bestämmelserna. Sedan slutet av 1990-talet har det utöver personuppgiftslagen utarbetats en stor mängd särskilda s.k. registerförfattningar med bestämmelser om behandling av personuppgifter, däribland lagen (2002:546) om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten och lagen (2006:469) om behandling av personuppgifter vid Inspektionen för arbetslöshetsförsäkringen. Syftet med de särskilda registerförfattningarna har varit att anpassa regleringen till de särskilda behov som myndigheterna har i sina respektive verksamheter samt att göra avvägningar mellan behovet av effektivitet i berörd verksamhet och behovet av skydd för den enskildes integritet.
Begreppet personuppgift
Enligt 3 § personuppgiftslagen avses med personuppgift all slags information som direkt eller indirekt kan hänföras till en enskild person som är i livet. Namn och personnummer är exempel på information som utan vidare omfattas av begreppet. Begreppet omfattar dock all information som på något sätt kan härledas till en fysisk person, även om informationen i fråga bara avser personen i egenskap av exempelvis yrkesutövare eller näringsidkare. Informationen behöver således inte vara hänförlig till en persons privatliv (se t.ex. Sören Öman och Hans-Olof Lindblom, Personuppgiftslagen. En kommentar, 88 f).
Bakgrund
Ds 2011:
Kravet att en personuppgift ska kunna hänföras till en viss bestämd person är lågt ställt. Också sådana i sig anonyma uppgifter som indirekt kan härledas till en fysisk person omfattas av begreppet. I 16 § lagen (2001:99) om den officiella statistiken anges att personuppgifter som inte direkt kan hänföras till en enskild får av den utlämnande myndigheten förses med löpnummer som hänvisar till en nyckel – med koppling till personnummer – som den som får uppgifterna inte har tillgång till vid behandling av personuppgifterna (prop. 2000/01:27 En ny statistiklagstiftning, s. 50 f.). Sådana uppgifter kallas här för avidentifierade uppgifter (se vidare nedan i avsnitt 5.2). Även sådana uppgifter anses vara personuppgifter i personuppgiftslagens mening. Vidare kan uppgifter om diagnos och region i vissa fall vara tillräckliga för att identifiera en enskild person. Andra uppgifter som möjliggör identifikation kan vara uppgifter om ålder, kön eller årsinkomst.
Behandling av känsliga personuppgifter m.m.
För behandling av vissa typer av personuppgifter gäller enligt personuppgiftslagen särskilda restriktioner. Det är enligt huvudregeln förbjudet att behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är även förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Dessa uppgifter kallas med en samlingsbeteckning för känsliga personuppgifter.
Lagen innehåller dock en rad undantag från förbudet mot behandling av känsliga personuppgifter. Känsliga personuppgifter får för det första behandlas om den enskilde lämnat sitt uttryckliga samtycke till behandlingen eller själv offentliggjort uppgifterna på ett tydligt sätt. Känsliga personuppgifter får också behandlas om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att någons
Ds 2011:
Bakgrund
vitala intressen ska kunna skyddas i fall då den registrerade inte kan lämna sitt samtycke eller för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål. Även viss behandling för forsknings- och statistikändamål är undantagen från förbudet mot behandling av känsliga personuppgifter. Enligt 19 § personuppgiftslagen får känsliga personuppgifter behandlas för forskningsändamål om behandlingen godkänts enligt lagen (2003:460) om etikprövning av forskning som avser människor. Känsliga personuppgifter får även behandlas för statistikändamål, om behandlingen är nödvändig på något av de sätt som anges i 10 § personuppgiftslagen och om samhällsintresset av det aktuella statistikprojektet klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära.
Regleringen av behandlingen av känsliga personuppgifter i personuppgiftslagen följer i princip motsvarande reglering i dataskyddsdirektivet. Direktivet medger att medlemsstaterna i sin nationella lagstiftning beslutar om andra undantag från förbudet mot behandling av känsliga uppgifter än dem som anges i dataskyddsdirektivet, om undantaget kan motiveras utifrån hänsyn till ett viktigt allmänt intresse och under förutsättning att lämpliga skyddsåtgärder vidtas. Den nationella lagstiftningen kan således innehålla ytterligare undantag från förbudet mot behandling av känsliga personuppgifter. Enligt 20 § personuppgiftslagen får också regeringen eller den myndighet regeringen bestämmer, om det behövs med hänsyn till ett viktigt allmänt intresse, meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga uppgifter. Sådana undantag finns bl.a. i de tidigare nämnda särskilda registerförfattningarna.
Enligt 21 § personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.
Bakgrund
Ds 2011:
Etikprövningslagen
Lagen om etikprövning av forskning som avser människor (etikprövningslagen) har till syfte att skydda den enskilda människan och respekten för människovärdet vid forskning. Med forskning avses enligt lagen vetenskapligt experimentellt eller teoretiskt arbete för att inhämta ny kunskap och utvecklingsarbete på vetenskaplig grund. Arbete som utförs inom ramen för högskoleutbildning anses dock inte utgöra forskning i lagens mening. Lagen ska bl.a. tillämpas på forskning som innefattar behandling av känsliga personuppgifter enligt 13 § personuppgiftslagen eller personuppgifter om lagöverträdelse som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden enligt 21 § samma lag. Sådan forskning får enligt etikprövningslagen endast utföras om den har godkänts av en etikprövningsnämnd vid en etikprövning. Ett godkännande ska avse ett visst projekt eller en del av ett projekt eller en på något liknande sätt bestämd forskning. Behandling av känsliga personuppgifter eller sådana personuppgifter som avses i 21 § personuppgiftslagen får endast godkännas om behandlingen är nödvändig för att forskningen ska kunna utföras.
3.3. Sekretess
Sekretess i IFAU:s verksamhet
Av 24 kap. 8 § första stycket offentlighets- och sekretesslagen (2009:400) framgår bl.a. att sekretess gäller i sådan särskild verksamhet hos en myndighet som avser framställning av statistik för uppgift som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Detsamma gäller annan jämförbar undersökning som utförs av
Ds 2011:
Bakgrund
Riksrevisionen eller riksdagsförvaltningen eller, i den utsträckning regeringen meddelar föreskrifter om det, av någon annan myndighet. Uppgift som behövs för forsknings- eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.
Med stöd av bemyndigandet i 24 kap. 8 § offentlighets- och sekretesslagen har regeringen utfärdat föreskrifter i 7 § offentlighets- och sekretessförordningen (2009:641). Enligt 7 § gäller sekretess för
uppgifter som avser en enskilds personliga
eller ekonomiska förhållanden och som kan hänföras till den enskilde inom IFAU:s verksamhet som avser
uppföljning och
utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden. En ändring av sekretessbestämmelsen som syftar till att anpassa innehållet i bestämmelsen till IFAU:s nyligen utvidgade uppdrag bereds för närvarande inom Regeringskansliet (se avsnitt 3.1).
Sekretess i berörda myndigheters verksamhet
Som tidigare framgått är IFAU för sin verksamhet beroende av personuppgifter från andra myndigheter. Dessa personuppgifter kan vara förenade med sekretesskydd. Den utlämnande myndigheten är skyldig att vid en förfrågan från IFAU om att få tillgång till personuppgifter göra en sekretessprövning innan uppgifterna lämnas ut till IFAU.
Enligt 24 kap. 8 § offentlighets- och sekretesslagen gäller sekretess hos Statistiska centralbyrån för uppgifter som avser en enskilds personliga eller ekonomiska förhållanden och som kan hänföras till den enskilde. Uppgift som behövs för forsknings-
Bakgrund
Ds 2011:
eller statistikändamål och uppgift som inte genom namn, annan identitetsbeteckning eller liknande förhållande är direkt hänförlig till den enskilde, får dock lämnas ut, om det står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.
De sekretessregler som gäller i Arbetsförmedlingens verksamhet finns i 28 kap. offentlighets- och sekretesslagen. Enligt 11 § gäller sekretess för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men och uppgiften förekommer i ett ärende om arbetsförmedling, yrkesvägledning, arbetsvård eller antagning till arbetsmarknadsutbildning. Detsamma gäller i ärende om stöd eller hjälp vid arbetslöshet eller om andra åtgärder i anställningsfrämjande syfte eller för att främja en enskilds anpassning till arbetslivet. Sekretessen gäller dock inte för beslut i dessa ärenden. Enligt 12 § gäller också sekretess för uppgift om en enskilds affärs- eller driftsförhållanden i ärende om arbetsförmedling och ärende enligt lagstiftningen om anställningsfrämjande åtgärder, om det inte står klart att uppgiften kan röjas utan att den enskilde lider skada.
Enligt 28 kap. 1 § offentlighets- och sekretesslagen gäller sekretess hos Försäkringskassan i ärenden enligt lagstiftning om allmän försäkring, allmän pension, arbetsskadeförsäkring eller handikappersättning och vårdbidrag eller om annan jämförbar ekonomisk förmån för enskild, eller om läkarvårdersättning eller ersättning för sjukgymnastik, för uppgift om enskilds hälsotillstånd eller andra personliga förhållanden, om det kan antas att den som uppgiften rör eller någon honom eller henne närstående lider men om uppgiften röjs. Under begreppet personliga förhållanden kan uppgift om en enskilds ekonomi falla även om det mer sällan kan hävdas att det medför men för den enskilde att sådana uppgifter lämnas ut (prop. 1979/80:2 Förslag till sekretesslag m.m., Del A, s. 84 och 190). Sekretess gäller även i socialförsäkringsärenden, bl.a. av det skälet att det finns behov
Ds 2011:
Bakgrund
av sekretess för uppgifter om enskildas sjukperioder som anses vara känsliga.
Bestämmelser om sekretess på utbildningsområdet finns huvudsakligen i 23 kap.1-7 b §§offentlighets- och sekretesslagen.
4. Behovet av en särskild lagreglering
4.1. Utgångspunkter
IFAU behandlar i dag personuppgifter med stöd av personuppgiftslagen (1998:204). För att IFAU ska kunna behandla personuppgifter behöver varje behandling föregås av en prövning enligt 10 § personuppgiftslagen. Där föreskrivs att personuppgifter endast får behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa i paragrafen angivna ändamål. Ett sådant ändamål kan vara att behandlingen anses nödvändig för att en arbetsuppgift av allmänt intresse ska kunna utföras. Ett annat kan vara att ett berättigat intresse hos den personuppgiftsansvarige eller den till vilken personuppgifterna ska lämnas ut ska kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. För det fall IFAU har behov av att behandla känsliga personuppgifter eller sådana personuppgifter som avses i 21 § personuppgiftslagen krävs dessutom att projektet etikprövas enligt etikprövningslagen (se avsnitt 3.2).
Om IFAU bedömer att det behövs kan myndigheten för sin verksamhet begära ut personuppgifter från andra myndigheter. Innan begärda uppgifter lämnas ut till IFAU måste dessa myndigheter pröva huruvida ett utlämnande är förenligt med
Behovet av en särskild lagreglering
Ds 2011:
gällande offentlighets- och sekretesslagstiftning och ta ställning till om den behandling som kommer att utföras hos IFAU kan anses förenlig med gällande personuppgiftsreglering.
Som framgått ovan innehar IFAU samlingar av personuppgifter i databaser. Den databas från vilken IFAU gör merparten av sina datauttag för sina uppdrag, den s.k. IFAU-databasen, innehåller avidentifierade personuppgifter som till viss del är s.k. känsliga personuppgifter. IFAU fick efter en ansökan till en regional etikprövningsnämnd i juni 2005 ett godkännande enligt etikprövningslagen för ett forskningsprojekt som använder data ur IFAU-databasen. Godkännandet har förlängts och nuvarande godkännande gäller till och med den 31 december 2012. Godkännandet avser kvantitativ samhällsvetenskaplig forskning om arbetsmarknadens funktionssätt, effekter av arbetsmarknadspolitiska insatser och effekter av utbildningsåtgärder baserad på IFAU-databasen. Då IFAU:s uppdrag på senare år utvidgats betydligt är ett fortsatt godkännande av ett projekt i samma omfattning inte tillräckligt för att IFAU ska kunna hålla och administrera de databaser myndigheten behöver för sin verksamhet.
IFAU har i en skrivelse till regeringen framfört önskemål om en reglering som ger institutet möjlighet att mer långsiktigt inneha och använda sammanhållna databaser med personuppgifter (A2009/1438/A). Enligt IFAU skulle det få allvarliga konsekvenser för institutets möjlighet att genomföra sitt uppdrag om möjligheten att hålla denna typ av databaser upphör.
Ds 2011: Behovet av en särskild lagreglering
4.2. Behovet av att behandla personuppgifter
Bedömning: Institutet för arbetsmarknads- och utbildnings-
politisk utvärdering bör få behandla personuppgifter, även vissa känsliga sådana uppgifter, om det behövs för att fullgöra uppdraget att främja, stödja och genom forskning genomföra uppföljningar, studier och utvärderingar.
Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering går att förena med kraven på skydd för den personliga integriteten.
Skälen för bedömningen
Behovet av att behandla personuppgifter i IFAU:s verksamhet
Som framgått ovan har IFAU behov av att kunna behandla olika typer av personuppgifter i sin verksamhet. Vid effekt- och processutvärdering av olika åtgärder och insatser inom arbetsmarknadspolitiken behöver institutet exempelvis behandla personuppgifter om vilken insats en individ deltar i eller har deltagit i och hur individen påverkats av den. Det kan t.ex. handla om att undersöka om insatsen lett till att individen lämnat arbetslösheten eller om personen är fortsatt inskriven hos Arbetsförmedlingen som arbetssökande. Vidare behöver institutet behandla olika personuppgifter som beskriver individers karaktärer, t.ex. kön, ålder, födelseland och hemort, så att utfallet kan relateras till deltagarnas förutsättningar och för att göra det möjligt att studera huruvida effekterna skiljer sig åt mellan grupper. En effektutvärdering kräver också ett svar på frågan vad som hade hänt om individen inte hade deltagit i insatsen. För detta behöver IFAU kunna skapa lämpliga jämförelsegrupper med personer som är så lika dem som deltagit i en
Behovet av en särskild lagreglering
Ds 2011:
insats som möjligt. Detta kräver förståelse för de processer som styr deltagande i en insats. Vad som är ett relevant utfall varierar mellan insatserna och kan innefatta både direkta arbetsmarknadsutfall (lön och sysselsättning) och utfall indirekt kopplade till arbetsmarknaden (deltagande i utbildning, hälsa och betyg).
IFAU behöver för vissa uppdrag genomföra enkäter och intervjuer. Denna del utgör dock en mindre del av institutets verksamhet. Enkäter används huvudsakligen vid fullgörande av uppdrag som institutet får av regeringen att göra processutvärderingar av arbetsmarknadspolitiska program eller åtgärder inom utbildningspolitiken. Typiskt sett sker detta genom att ett frågeformulär skickas till exempelvis arbetsförmedlare eller till arbetssökande som deltar i ett specifikt arbetsmarknadspolitiskt program.
Behovet av att behandla känsliga personuppgifter m.m.
För att kunna fullgöra sitt uppdrag behöver IFAU i vissa fall även behandla sådana känsliga personuppgifter som anges i 13 § personuppgiftslagen. Vilka känsliga personuppgifter IFAU har behov av att behandla och vilka avväganden som görs för att skydda de enskildas integritet framgår av avsnitt 5.6.
Med anledning av att det finns arbetsmarknadspolitiska program och insatser där en kvalificeringsgrund är att personen varit föremål för åtgärder inom kriminalvården, har IFAU även behov av att behandla personuppgifter om lagöverträdelser m.m. som regleras i 21 § personuppgiftslagen. En sådan behandling kan dock redan i dag ske med stöd av personuppgiftslagen.
Behovet av personuppgifter från andra myndigheter
Som framgått ovan är IFAU beroende av uppgifter från andra myndigheter som underlag för sin forskningsverksamhet. Mer-
Ds 2011: Behovet av en särskild lagreglering
parten av uppgifterna hämtas från Statistiska centralbyrån som också är statistikansvarig myndighet för en stor del av arbetsmarknadspolitiken (se lagen (2001:99) om den officiella statistiken och förordningen (2001:100) om den officiella statistiken).
Avidentifierad och icke-avidentifierad data
IFAU har i huvudsak behov av att behandla s.k. avidentifierad data. Här avses med avidentifierad data samlingar av personuppgifter som inte är direkt hänförliga till enskilda personer, dvs. sådana personuppgifter där namn och person- eller samordningsnummer har ersatts av ett löpnummer. Till uppgiftssamlingen sparas en nyckel med koppling till namn, person- eller samordningsnummer hos den myndighet som levererar personuppgifterna till någon annan myndighet eller intressent. De uppgiftssamlingar som Statistiska centralbyrån tar fram på beställning av IFAU innehåller alltid endast avidentifierad data.
IFAU har som framgått även behov av att behandla viss ickeavidentifierad data, såsom uppgifter om namn och adress, för att kunna sända ut enkäter eller förfrågningar om intervju till enskilda. De personuppgifter institutet behöver behandla för utskick av enkäter är i sig inte känsliga, men då de indirekt kan avslöja exempelvis uppgifter som rör hälsa, kan behandlingen ändå innebära ett visst intrång i den enskildes personliga integritet. Kontaktuppgifterna för en viss samling individer behöver IFAU inhämta främst från Arbetsförmedlingen, kommuner eller Försäkringskassan.
Avvägning mellan IFAU:s behov av att behandla personuppgifter och skyddet för den personliga integriteten
IFAU:s samlingar av personuppgifter innehåller sammankopplade uppgifter om enskilda från en eller flera myndigheter.
Behovet av en särskild lagreglering
Ds 2011:
IFAU har därmed tillgång till ett sammansatt material som kan vara förhållandevis omfattande. Att personuppgifterna är avidentifierade ger dock den enskilde ett förhållandevis starkt skydd mot intrång i den personliga integriteten. Eftersom IFAU är en mindre myndighet och endast ett begränsat antal personer kommer att arbeta med det inhämtade materialet, innebär behandlingen inte heller någon risk för spridning av uppgifterna till någon större krets. Den samlade bedömningen är att samhällsintresset av att IFAU kan fullgöra sitt uppdrag och att beslutade insatser följs upp och utvärderas väger tyngre än hänsynen till de risker för integritetsintrång som behandlingen innebär för den enskilde individen. Behandlingen får dock inte gå utöver vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Det är också viktigt att lämpliga skyddsåtgärder vidtas för att så långt möjligt avvärja de risker som behandlingen innebär.
4.3. Behovet av lagstiftning
Bedömning: En särskild lag bör införas om behandling av
personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering.
Kompletterande bestämmelser bör meddelas av regeringen.
Skälen för bedömningen: Den behandling av personuppgifter
som IFAU har behov av att utföra kan i sig inte anses innebära ett sådant betydande intrång i den personliga integriteten att det av den anledningen krävs att behandlingen regleras i lag (se avsnitt 3.2); detta särskilt mot bakgrund av att behandlingen till så stor del avser avidentifierade personuppgifter för forskningsändamål. Det har därför övervägts om IFAU:s personuppgiftsbehandling kan regleras genom förordning. Mot bakgrund av att det handlar om en förhållandevis stor mängd personuppgifter
Ds 2011: Behovet av en särskild lagreglering
som dessutom kan komma att sparas i databaser under en förhållandevis lång tid, har det ändå ansetts lämpligt att i detta fall reglera personuppgiftsbehandlingen i lag. På samma sätt som för andra liknande myndigheter bör detta göras genom införande av en särskild lag, en särskild s.k. registerförfattning.
Lagen bör vara utformad på ett sådant sätt att IFAU:s verksamhet kan bedrivas på ett effektivt och ändamålsenligt sätt samtidigt som ett fullgott integritetsskydd uppnås. Särreglerna bör endast ersätta personuppgiftslagens regler i frågor som är specifika för IFAU:s verksamhet. De bestämmelser som ska framgå av lag är främst sådana som avser vilka uppgifter som får behandlas, för vilka ändamål uppgifterna får behandlas, hur de får behandlas och vilka rättigheter den enskilde har. Särskilda regler bör också knytas till de databaser som IFAU kommer att få använda i verksamheten.
För det fall det finns behov av kompletterande bestämmelser bör dessa meddelas av regeringen.
5. En ny lag om behandling av personuppgifter
5.1. Den nya lagen och dess tillämpningsområde
Förslag: En ny lag ska införas som ska tillämpas vid behand-
ling av personuppgifter i den verksamhet hos Institutet för arbetsmarknads- och utbildningspolitisk utvärdering som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar.
Lagen ska inte tillämpas på behandling av personuppgifter vid tilldelning av forskningsbidrag.
Lagen ska endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.
Skälen för förslagen
Syftet med den nya lagen
En ny s.k. registerlag bör införas som ger IFAU bättre och mer långsiktiga och förutsägbara möjligheter att behandla personuppgifter. Utgångspunkten för regleringen bör vara att IFAU
En ny lag om behandling av personuppgifter
Ds 2011:
ska ges möjligheter att behandla personuppgifter i den utsträckning som behövs för att institutet på ett ändamålsenligt och effektivt sätt ska kunna fullgöra sitt kärnuppdrag. Samtidigt syftar lagen till att ge klara och tydliga regler och villkor för personuppgiftsbehandlingen och därigenom även åstadkomma ett bättre skydd mot oacceptabla intrång i den personliga integriteten.
Lagens tillämpningsområde
Tillämpningsområdet för den nya lagen bör utgå från IFAU:s uppdrag såsom det formuleras i 1 § första stycket förordningen (2007:911) med instruktion för Institutet för arbetsmarknads- och utbildningspolitisk utvärdering. Lagen ska således tillämpas i den del av IFAU:s verksamhet som består att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar.
IFAU:s arbete med att tilldela forskningsbidrag bör dock inte omfattas av lagen. Forskningsbidragen tilldelas efter ett ansökningsförfarande och hanteringen av dessa ansökningar och tilldelningsbeslut skiljer sig från den personuppgiftshantering som görs inom själva forskningsverksamheten. I arbetet med att tilldela forskningsbidrag torde det heller inte vara fråga om att hantera några känsliga personuppgifter i personuppgiftslagens mening och, om det skulle behöva göras, är det lämpligt att tillämpa personuppgiftslagens (1998:204) regler om samtycke.
IFAU behandlar även personuppgifter i andra delar av verksamheten. Av 1 § sista stycket i institutets instruktion framgår att myndigheten ska sprida information om resultaten av sina studier, uppföljningar och utvärderingar till andra myndigheter och intressenter. För att fullgöra det uppdraget behandlar IFAU personuppgifter om t.ex. kontaktpersoner på myndigheter, forskare och andra som är intresserade av IFAU:s arbete. Personuppgifter behandlas också i den interna administrationen vid hanteringen av exempelvis personalfrågor, upphandling av
Ds 2011: En ny lag om behandling av personuppgifter
tjänster och inkomna skrivelser från enskilda. Dessa verksamheter bör inte heller omfattas av den nya lagen. I stället bör personuppgiftslagen tillämpas.
Automatiserad och manuell behandling av personuppgifter
Den nya lagen bör omfatta helt eller delvis automatiserad behandling av personuppgifter och annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet för den föreslagna lagen ansluter härigenom till personuppgiftslagens tillämpningsområde.
5.2. Undantag från rätten att motsätta sig behandling
Förslag: Behandling av personuppgifter som är tillåten enligt
den nya lagen ska få utföras även om den registrerade motsätter sig behandlingen.
Skälen för förslaget: För att erhålla ett material som är lämpligt
för studier, uppföljningar och utvärderingar är det nödvändigt att IFAU får behandla personuppgifter även om den registrerade motsätter sig detta. Merparten av de personuppgifter som IFAU hanterar är uppgifter som inhämtats från andra myndigheter och som är avidentifierade när de kommer till IFAU. IFAU har således inte tillgång till sådana uppgifter som krävs för att myndigheten ska kunna kontakta den enskilde och inhämta dennes samtycke till behandlingen. Om personens samtycke skulle vara nödvändigt för att behandla uppgifterna, skulle IFAU i praktiken vara tvunget att försöka härleda de avidentifierade
En ny lag om behandling av personuppgifter
Ds 2011:
personuppgifterna till en enskild person. En sådan ordning skulle i sig kunna innebära en integritetskränkning.
Av 12 § andra stycket personuppgiftslagen framgår att en registrerad, med vissa undantag, inte har rätt att motsätta sig sådan behandling som är tillåten enligt personuppgiftslagen. Utformningen av bestämmelsen gör det dock svårt att i en särskild registerförfattning endast hänvisa till den bestämmelsen som grund för rätten att behandla personuppgifter. Det föreslås därför att det föreskrivs att sådan behandling som enligt den föreslagna lagen är tillåten får ske även om den registrerade motsätter sig den.
5.3. Förhållandet till personuppgiftslagen
Förslag: Personuppgiftslagen ska gälla vid behandling av
personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslutning till denna.
Skälen för förslaget
Förhållandet till personuppgiftslagen
Enligt 2 § personuppgiftslagen ska, om det i annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen, de bestämmelserna gälla. I de flesta fall konstrueras särregleringar vad gäller personuppgiftsbehandling så att särregleringen endast kompletterar eller ersätter personuppgiftslagen i frågor som är specifika för de verksamheter som omfattas av särlagstiftningen. Detta innebär att myndigheten måste beakta såväl den särskilda registerförfattningen som personuppgiftslagen vid sin behandling av personuppgifter.
Ds 2011: En ny lag om behandling av personuppgifter
Alternativet är att heltäckande reglera all behandling av personuppgifter. I lagen (2001:181) om behandling av uppgifter i Skatteverkets beskattningsverksamhet anges uttryckligen vilka bestämmelser i personuppgiftslagen som ska vara tillämpliga. Anledningen till detta anges i förarbetena till lagen vara att man i det fallet uppnådde en större tydlighet och överskådlighet för tillämparna. Lagrådet riktade dock kritik och ansåg en sådan lagstiftningsteknik som otillfredsställande och riskfylld. Regeringen har i andra lagstiftningsärenden, med hänvisning till Lagrådets kritik, avvisat en sådan konstruktion (se exempelvis prop. 2002/03:135 Behandling av personuppgifter inom socialförsäkringens administration, s. 46 f.). I samband med införandet av polisdatalagen (2010:301) godtogs dock denna lagstiftningsteknik.
Behovet av särregler
Utgångspunkten bör vara att den nya lagen och de föreskrifter som kan komma att meddelas i anslutning till denna endast bör ersätta eller komplettera personuppgiftslagen i frågor som är specifika för IFAU:s verksamhet. De särregler som behövs för IFAU:s personuppgiftsbehandling är förhållandevis få. IFAU:s särskilda registerlag bör endast innehålla de från ett ändamåls- eller integritetsskyddsperspektiv viktigaste särbestämmelserna i förhållande till personuppgiftslagens bestämmelser.
I den föreslagna lagen används flera begrepp som hämtas från personuppgiftslagen, t.ex. behandling, personuppgift och personuppgiftsansvarig. Dessa begrepp bör ha samma innebörd i den nya lagen som i personuppgiftslagen.
En ny lag om behandling av personuppgifter
Ds 2011:
5.4. Personuppgiftsansvar
Förslag: Institutet för arbetsmarknads- och utbildnings-
politisk utvärdering ska vara personuppgiftsansvarigt för den behandling av personuppgifter som institutet utför.
Skälen för förslaget: Med personuppgiftsansvarig avses enligt
3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. En särskild bestämmelse bör införas i den nya lagen som klargör att IFAU är personuppgiftsansvarig för den behandling av personuppgifter som utförs med stöd av lagen.
5.5. Ändamålen för personuppgiftsbehandlingen
Förslag: Institutet för arbetsmarknads- och utbildnings-
politisk utvärdering ska få behandla personuppgifter om det behövs för att myndigheten ska kunna fullgöra sitt uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar.
Personuppgifter som behandlas för ovan nämnda ändamål ska även få behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller den s.k. finalitetsprincipen.
Skälen för förslagen
Ändamålen för personuppgiftsbehandling vid IFAU
Enligt 9 § första stycket c personuppgiftslagen ska den personuppgiftsansvarige se till att personuppgifter endast samlas in för
Ds 2011: En ny lag om behandling av personuppgifter
särskilda, uttryckligt angivna och berättigade ändamål. Den s.k. finalitetsprincipen i 9 § första stycket d samma lag innebär att personuppgifter sedan får behandlas för andra ändamål, men endast om dessa ändamål inte är oförenliga med de ändamål för vilka uppgifterna samlades in. I de fall en tänkt behandling inte omfattas av de ursprungliga ändamålen måste det alltså prövas om det nya ändamålet är förenligt med de ursprungliga ändamålen för behandlingen. Av 9 § andra stycket följer att behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenliga med de ändamål för vilka uppgifterna samlades in.
Enligt 1 § första stycket förordningen med instruktion för Institutet för arbetsmarknads- och utbildningspolitisk utvärdering ska institutet främja, stödja och genom forskning genomföra uppföljning och utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekter av olika reformer och åtgärder inom utbildningsväsendet, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden.
Ändamålen för personuppgiftsbehandlingen enligt den föreslagna lagen bör nära ansluta till IFAU:s kärnuppdrag såsom det beskrivs i 1 § första stycket i myndighetens instruktion. Ändamålen måste vara tillräckligt preciserade för att det ska gå att kontrollera att personuppgifter endast behandlas för avsedda ändamål. För att inte lagen ska behöva ändras vid varje liten förändring i myndighetens uppdrag, bör dock ändamålen i den föreslagna lagen anges något mindre preciserat än uppdraget såsom det anges myndighetens instruktion.
Personuppgiftsbehandling vid uppgiftslämnande
Sådana ändamål för behandling av personuppgifter som syftar till att en myndighet ska kunna utföra sitt uppdrag brukar kallas primära ändamål. Det kan också finnas allmänna intressen som
En ny lag om behandling av personuppgifter
Ds 2011:
motiverar att en myndighet får behandla personuppgifter för andra ändamål än de som ligger inom ramen för myndighetens egen verksamhet. Det kan exempelvis handla om att behandla personuppgifter för att lämna ut uppgifter till en annan myndighet för att den myndigheten ska kunna fullgöra sitt uppdrag. Sådana ändamål brukar kallas för sekundära ändamål.
Utlämnande av personuppgifter ur allmänna handlingar enligt tryckfrihetsförordningen kan ske utan att sådant utlämnande behöver anges som ett särskilt ändamål för vilken personuppgiftsbehandling är tillåten (jfr 8 § personuppgiftslagen). Ett sådant utlämnande kan dock endast ske under förutsättning att ett utlämnande inte hindras av sekretess.
Behandling av personuppgifter för utlämnande som inte sker med stöd av tryckfrihetsförordningen anses utgöra behandling för sekundära ändamål för personuppgiftsbehandling. Av 10 kap. 28 § offentlighets- och sekretesslagen (2009:400) följer att en myndighet kan vara skyldig att lämna ut uppgifter om uppgiftsskyldigheten följer av lag eller förordning. I andra fall följer av offentlighets- och sekretesslagen att utlämnande av uppgifter till vissa myndigheter eller organ är tillåtna. En myndighet kan exempelvis lämna ut uppgifter till riksdagen eller regeringen med stöd av 10 kap. 15 § offentlighets- och sekretesslagen eller till Datainspektionen i dess egenskap av tillsynsorgan i enlighet med 10 kap. 17 § samma lag.
Vidare följer av 6 kap. 5 § offentlighets- och sekretesslagen att en myndighet på begäran av en annan myndighet ska lämna ut uppgifter som den förfogar över i den mån det inte finns hinder på grund av bestämmelser om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen kan ses som en precisering av den allmänna samverkansskyldigheten myndigheter emellan som gäller enligt 6 § förvaltningslagen (1986:223).
Därutöver följer att uppgifter i vissa fall får lämnas ut till andra myndigheter enligt den s.k. generalklausulen i 10 kap. 27 § offentlighets- och sekretesslagen. Ett sådant utlämnande förutsätter dock att det är uppenbart att intresset av att upp-
Ds 2011: En ny lag om behandling av personuppgifter
giften lämnas till den andra myndigheten har företräde framför det intresse som sekretessen har att skydda.
Gemensamt för ovan nämnda utlämnanden av uppgifter är att de sker med stöd av författningar som påbjuder eller tillåter utlämnande av uppgifter. Det får förutsättas att det gjordes en avvägning mellan intresset för utlämnande och intresset för den enskildes integritet redan när bestämmelserna infördes. Det saknas skäl att i den registerlag som ska gälla för IFAU införa begränsningar i behandlingen av personuppgifter för utlämnande som sker i överensstämmelse med lag eller förordning. För att det inte ska råda någon oklarhet om förhållandet mellan den föreslagna lagens ändamålsbestämmelser, personuppgiftslagens finalitetsprincip, offentlighets- och sekretesslagen och andra författningar som tillåter utlämnande av uppgifter, bör det införas en ändamålsbestämmelse som medger personuppgiftsbehandling för utlämnande som sker i överensstämmelse med lag eller förordning. Det bör även införas en uttrycklig hänvisning till finalitetsprincipen.
5.6. Känsliga personuppgifter
Förslag: Institutet för arbetsmarknads- och utbildnings-
politisk utvärdering ska endast få behandla sådana känsliga personuppgifter enligt 13 § personuppgiftslagen som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa.
Skälen för förslaget: Det är enligt huvudregeln förbjudet att
behandla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är även förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Dessa uppgifter utgör enligt 13 § personuppgiftslagen känsliga personuppgifter. Förbudet mot behandling av känsliga personuppgifter
En ny lag om behandling av personuppgifter
Ds 2011:
är dock inte absolut. Lagen innehåller en rad undantag från förbudet (se ovan 3.2).
Regleringen av behandlingen av känsliga personuppgifter i personuppgiftslagen följer i princip motsvarande reglering i dataskyddsdirektivet. De undantag från förbudet mot behandling av känsliga personuppgifter som görs i personuppgiftslagen har i huvudsak sina motsvarigheter i direktivet. Direktivet medger också att medlemsstaterna beslutar om ytterligare undantag från förbudet, under förutsättning att lämpliga säkerhetsåtgärder vidtas och att undantaget kan motiveras utifrån hänsyn till ett viktigt allmänintresse. En enskild bör särskilt när det gäller behandling av känsliga personuppgifter tillförsäkras en sfär som skyddas mot otillbörligt intrång från myndigheter och andra som uppfattas som utomstående. Den enskilde måste dock godta viss behandling av även känsliga personuppgifter när intressen som av samhället bedöms som totalt sett viktigare kräver det.
Det är svårt att i förväg beskriva vilka behov IFAU kan komma att ha av att behandla känsliga personuppgifter. Behoven kan också komma att förändras med det nyligen utvidgade uppdraget. Hittills har dock personuppgifter som rör hälsa haft störst relevans för IFAU:s arbete. IFAU har bl.a. haft behov av att behandla sådana uppgifter i samband med utvärderingar av insatser som baseras på den enskildes hälsotillstånd och därmed ökade behov av hjälp och stöd från Arbetsförmedlingen. IFAU behandlar också uppgifter om personer som har ett funktionshinder som medför nedsatt arbetsförmåga.
En uppgift som avslöjar en persons etniska ursprung är också en känslig personuppgift i personuppgiftslagens mening. Etniskt ursprung kan komma att avslöjas genom att flera uppgifter om en person behandlas i ett sammanhang, t.ex. uppgifter om födelseland och medborgarskap. Om uppgifterna sammantaget i ett enskilt fall avslöjar personens etniska ursprung utgör de känsliga personuppgifter även om de inte är känsliga personuppgifter behandlade var för sig (jfr prop. 2009/10:85 s. 325). Datainspektionen har även ansett att en uppgift om en persons
Ds 2011: En ny lag om behandling av personuppgifter
modersmål indirekt kan avslöja personens etniska ursprung (Datainspektionens rapport 2002:2 s. 8).
Situationen på arbetsmarknaden för personer som har invandrat till Sveriges är en fråga av intresse för IFAU. I det sammanhanget kan nämnas att Arbetsförmedlingen har särskilda insatser för vissa grupper av personer som har fått uppehållstillstånd i Sverige. Arbetsförmedlingen har också sedan den 1 december 2010 det samordnade ansvaret för att vissa grupper av nyanlända invandrare erbjuds insatser som främjar en snabb och effektiv etablering på arbetsmarknaden genom den s.k. etableringsreformen. Studier, uppföljningar och utvärderingar av etableringsreformen, av övriga riktade insatser och av situationen på arbetsmarknaden i övrigt för personer som har invandrat till Sverige utgör en viktig del av IFAU:s arbete. I det sammanhanget är personuppgifter som tillsammans med andra uppgifter riskerar att avslöja en persons etniska ursprung av intresse. Även uppgifter om enskildas medlemskap i fackförening kan vara av intresse för IFAU:s arbete.
Av det ovan anförda framgår att IFAU har ett berättigat intresse av att kunna behandla vissa typer av känsliga personuppgifter. IFAU:s uppdrag att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar får vidare anses utgöra ett viktigt allmänintresse. Mot bakgrund av att merparten av de personuppgifter som behandlas är avidentifierade får riskerna för oacceptabla intrång i den personliga integriteten anses vara förhållandevis små. IFAU bör därför ha rätt att behandla vissa känsliga personuppgifter vid fullgörandet av sitt uppdrag. Institutet bör dock inte få behandla fler typer av känsliga personuppgifter än vad institutet faktiskt har behov av. IFAU bör därför endast ha rätt att behandla personuppgifter som avslöjar etniskt ursprung, medlemskap i fackförening eller som rör hälsa.
Det bör i sammanhanget nämnas att det vid behandling av känsliga personuppgifter är särskilt viktigt att IFAU ser till att de uppgifter som behandlas är relevanta och adekvata, att inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn
En ny lag om behandling av personuppgifter
Ds 2011:
till ändamålen med behandlingen och att uppgifterna inte bevaras under längre tid än vad som är nödvändigt ur forskningssynpunkt (9 § personuppgiftslagen). Det är också viktigt att IFAU så långt möjligt vidtar tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 § personuppgiftslagen). IFAU:s skyldigheter härvidlag följer dock redan av personuppgiftslagens bestämmelser.
Eftersom det inom ramen för Arbetsförmedlingens verksamhet finns insatser som har som kvalificeringsgrund att en person har varit föremål för åtgärder inom kriminalvården, skulle IFAU kunna ha ett intresse av att även behandla sådana uppgifter. Sådana personuppgifter kan dock IFAU redan behandla med stöd av personuppgiftslagens bestämmelser (se 21 § personuppgiftslagen). Någon bestämmelse angående detta behöver därför inte införas i den nya lagen.
5.7. Samlingar av avidentifierade personuppgifter
Förslag: Institutet för arbetsmarknads- och utbildnings-
politisk utvärdering ska för angivna ändamål få ha samlingar som innehåller personuppgifter och som behandlas automatiserat.
Samlingarna ska endast få innehålla uppgifter som inte direkt kan hänföras till en person. Uppgifterna ska få vara försedda med en beteckning som hos den myndighet från vilken uppgifterna kommer kan hänföras till ett personnummer eller motsvarande identitetsbeteckning.
Ds 2011: En ny lag om behandling av personuppgifter
Skälen för förslagen
Samlingar av personuppgifter
I personuppgiftslagen saknas det begrepp för olika samlingar av uppgifter, i stället används begreppet behandling av personuppgifter. Från integritetssynpunkt kan det dock vara viktigt att uppgiftssamlingar som ger möjlighet till sammanställningar av en rad olika uppgifter om enskilda personer omgärdas av särskilda skyddsregler. En teknik är att utifrån begrepp som exempelvis register, databas, uppgiftssamlingar eller gemensamt tillgängliga uppgifter, ange behövliga skyddsregler. Register och databas är allmänt vedertagna begrepp som används för att beteckna större uppgiftssamlingar. Dessa begrepp förekommer också i registerförfattningar som innehåller särskilda skyddsregler för denna typ av samlingar av uppgifter. I olika lagstiftningssammanhang har emellertid kritik framförts mot begrepp som leder till tekniska begränsningar. Det finns i dag mer moderna sätt att se på samlingar av personuppgifter i elektronisk form. Uppgifter förs numera in helt ostrukturerat och oorganiserat i olika filer i en dator, utan att det hindrar effektiv hantering av uppgifterna. Det väsentliga är inte på vilket sätt uppgifterna är lagrade utan den faktiskt åsyftade tillgängligheten.
I avsnitt 3.1 finns beskrivet hur IFAU behandlar personuppgifter i dag. Även om det inte är optimalt att använda sig av begreppet databaser är det ändå en bra beskrivning av hur personuppgifter som redan finns hos IFAU hanteras och hur behandlingen av dessa uppgifter med största sannolikhet kommer att se ut framöver. Begreppet databas används därför i både bakgrunds- och skälsavsnitt i denna promemoria. I själva lagförslaget används emellertid det mer teknikneutrala begreppet samlingar av personuppgifter.
En ny lag om behandling av personuppgifter
Ds 2011:
IFAU:s behov av avidentifierade personuppgifter
Som framgått hämtar IFAU in merparten av de personuppgifter de behöver från Statistiska centralbyrån som sammanställer och avidentifierar personuppgifterna. Statistiska centralbyrån har i sin tur hämtat in uppgifterna från en mängd olika källor. Avidentifieringen innebär att varje enskild person inte längre kan identifieras genom namn, personnummer eller samordningsnummer. I stället förses varje person med en beteckning. Statistiska centralbyrån har en nyckel som kan koppla beteckningen till ett personnummer eller samordningsnummer. Beteckningen kan på så sätt användas för att identifiera de enskilda personerna på nytt.
IFAU samlar till viss del in och behandlar personuppgifter som är relevanta för myndighetens uppdrag i en databas utan att uppgifterna kan knytas till en viss pågående och avgränsad studie, uppföljning eller utvärdering. Nya uppgifter i form av uppdateringar och kompletteringar hämtas också in löpande. Denna typ av databas är viktig för att IFAU snabbt ska kunna utföra uppdrag på beställning från framförallt regeringen. IFAU har behov av att, även efter det att det ovan nämnda godkännandet enligt etikprövningslagen löper ut den 31 december 2012 (se ovan avsnitt 4.1), ha tillgång till den här typen av databas med personuppgifter. Allmänintresset av att IFAU mer långsiktigt får behandla denna typ av uppgiftssamlingar får anses väga tyngre än den integritetskränkning som behandlingen av uppgifterna riskerar att medföra.
En förutsättning för att IFAU ska få administrera och mer långsiktigt använda sig av dessa automatiserade samlingar av personuppgifter måste dock vara att de personuppgifter som ingår i samlingarna är avidentifierade på det sätt som beskrivs ovan. Det är vidare viktigt att IFAU ser till att personuppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (se 9 § första stycket i och tredje stycket personuppgiftslagen). Personuppgifter som inte längre behövs för att IFAU ska kunna fullgöra sitt uppdrag ska
Ds 2011: En ny lag om behandling av personuppgifter
gallras. Det är också viktigt att IFAU ser till att de uppgifter som behandlas är relevanta och adekvata och att inte fler uppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Det är också viktigt att IFAU så långt möjligt vidtar tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 § personuppgiftslagen). IFAU:s skyldigheter härvidlag följer dock redan av personuppgiftslagens bestämmelser.
5.8. Samlingar av personuppgifter i övrigt
Förslag: Institutet för arbetsmarknads- och utbildnings-
politisk utvärdering ska för angivna ändamål även få ha samlingar av personuppgifter som behandlas automatiserat om det behövs för att genomföra en avgränsad studie, uppföljning eller utvärdering.
Skälen för förslaget: IFAU genomför ibland studier, upp-
följningar eller utvärderingar där det inte är tillräckligt att behandla avidentifierade personuppgifter. Detta gäller bl.a. i de fall då underlaget för en studie, uppföljning eller utvärdering inhämtas genom enkäter till eller intervjuer med t.ex. arbetsförmedlare eller deltagare i ett visst arbetsmarknadspolitiskt program. De kontaktuppgifter som används kommer i ett sådant fall normalt från Arbetsförmedlingen. Med anledning av att IFAU:s uppdrag nyligen har utvidgats är det möjligt att enkäter eller intervjuer framöver även kommer att skickas till respektive genomföras med personer inom utbildningsväsendet, t.ex. lärare och rektorer.
När IFAU genomför intervjuer eller enkäter uppkommer ett behov av att behandla personuppgifter. Det kan vara fråga om kontaktuppgifter som namn och adress. Det kan naturligtvis också tillkomma personuppgifter genom de svar på enkäter eller intervjuer som deltagarna lämnar till IFAU. Det kan även finnas
En ny lag om behandling av personuppgifter
Ds 2011:
ett behov av att koppla samman enkät- eller intervjusvar med personuppgifter som hämtas in från Statistiska centralbyrån. En sådan sammanställning av uppgifter innebär att IFAU endast får tillgång till avidentifierade uppgifter från Statistiska centralbyrån och att det är Statistiska centralbyrån som genom en nyckel har haft möjlighet att koppla samman deltagarnas svar med de avidentifierade personuppgifterna.
Det tjänar ett viktigt allmänintresse att IFAU har möjlighet att genomföra den här typen av studier, uppföljningar eller utvärderingar och att institutet för detta ändamål har möjlighet att skapa uppgiftssamlingar som innehåller personuppgifter. Personuppgifterna kommer antingen vara avidentifierade eller lämnade frivilligt av deltagarna genom enkät- eller intervjusvar. Riskerna för oacceptabla intrång i den personliga integriteten får därmed anses vara förhållandevis små. Begränsningen att behandlingen ska vara nödvändig för att genomföra en viss avgränsad studie, uppföljning eller utvärdering kan användas för att begränsa tillgången till samlingarna till de personer som arbetar med respektive projekt, se begränsningar i tillgången avsnitt 5.9.3. Villkoret att behandlingen ska vara nödvändig för ett visst avgränsat projekt innebär också en möjlighet att begränsa möjligheterna till sambearbetning av uppgifterna, se avsnitt 5.9.2.
Även när det gäller denna typ av personuppgifter är det viktigt att påpeka att uppgifterna inte får bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket och tredje stycket personuppgiftslagen (1998:204).). Det är vidare viktigt att själva personuppgiftsbehandlingen även i övrigt uppfyller personuppgiftslagens krav (jfr 9 § personuppgiftslagen) och att tekniska och organisatoriska åtgärder vidtas för att skydda uppgifterna (31 § personuppgiftslagen).
Ds 2011: En ny lag om behandling av personuppgifter
5.9. Begränsningar i behandlingen av personuppgifter
5.9.1. Förbud mot behandling i syfte att identifiera enskilda personer
Förslag: Personuppgifter som inte direkt kan hänföras till en
person och som behandlas i samlingar av personuppgifter ska inte få behandlas i syfte att röja en persons identitet.
Skälen för förslaget: IFAU kommer genom den nya lagen att
ges möjlighet att behandla en stor mängd personuppgifter, varav en del kommer att vara känsliga i personuppgiftslagens mening. I den avvägning som har gjorts mellan IFAU:s behov av att behandla uppgifterna och skyddet för den enskildes integritet har det faktum att de personuppgifter som behandlas i stor utsträckning är avidentifierade och att nyckeln till de enskilda personernas identiteter finns utanför myndighetens kontroll utgjort en viktig faktor, se vidare avsnitt 4.2.
I sådana samlingar av avidentifierade personuppgifter som IFAU kommer att ha möjlighet att hantera finns för varje enskild person flera olika poster med uppgifter, s.k. variabler. Behandling av avidentifierade personuppgifter med ett flertal variabler för varje enskild individ innebär en risk för att en enskild persons identitet kan komma att röjas. Det bör därför i den för IFAU specifika lagen införas en begränsning som innebär att det inte blir tillåtet att behandla avidentifierade personuppgifter i syfte att röja en persons identitet.
En ny lag om behandling av personuppgifter
Ds 2011:
5.9.2. Sambearbetning av personuppgifter
Förslag: Personuppgifter som har samlats in för att behandlas
i en avgränsad studie, uppföljning eller utvärdering ska inte få sambearbetas med personuppgifter som har samlats in för att användas i en annan studie, uppföljning eller utvärdering.
Skälen för förslaget: När uppgifter från en eller flera
myndigheter ställs samman eller när annan direkt överföring av uppgifter görs från ett personregister till ett annat, brukar det benämnas sambearbetning (jfr prop. 2002/03:135 s. 58 f.). Sambearbetning av personuppgifter anses innebära särskilda risker ur integritetssynpunkt. Sammanläggning av personuppgifter från flera olika källor kan naturligtvis möjliggöra mer eller mindre omfattande kartläggningar av enskilda individer.
IFAU genomför bl.a. avgränsade studier, uppföljningar och utvärderingar. Uppgifter som IFAU samlar in för ett sådant forskningsprojekt bör av ovan nämnda integritetsskäl endast få sambearbetas med uppgifter som samlats in inom ramen för detta projekt. Uppgifterna bör med andra ord inte få sambearbetas med personuppgifter som har samlats in för en annan studie, uppföljning eller utvärdering.
Eftersom det utan vidare begränsning skulle vara möjligt för IFAU att sambearbeta personuppgifter som har samlats in för att användas i olika studier, uppföljningar eller utvärderingar men för samma ändamål (förutsatt att inte hinder mot en sådan sambearbetning föreligger redan på grund av etikprövningslagens regler), bör det i den föreslagna lagen införas ett förbud mot sådan sambearbetning.
Personuppgifter som är avidentifierade och som IFAU får behandla utan att de har samlats in för att användas i en viss studie, uppföljning eller utvärdering, får dock anses mindre
Ds 2011: En ny lag om behandling av personuppgifter
känsliga ur integritetssynpunkt och bör därför inte omfattas av förbudet.
5.9.3. Tillgången till personuppgifter
Förslag: Behörighet att behandla personuppgifter ska
begränsas till vad som behövs för att var och en ska kunna fullgöra sina arbetsuppgifter.
Skälen för förslaget: IFAU bör eftersträva hög informations-
säkerhet. Den som är behörig att behandla personuppgifter ska inte medges obegränsad tillgång till alla personuppgifter som behandlas inom IFAU.
Med hänsyn till mängden personuppgifter som IFAU ges rätt att behandla och förekomsten av sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen och uppgifter om lagöverträdelser m.m. i 21 §, bör det i den föreslagna lagen föreskrivas att behörigheten att behandla personuppgifter ska begränsas till vad som behövs för att var och en ska kunna fullgöra sina arbetsuppgifter. Bestämmelsen är visserligen allmänt hållen, men det kan inte anses lämpligt att i lag ange mer detaljerade riktlinjer för hur tillgången till personuppgifter bör avgränsas.
I andra lagstiftningsärenden har det konstaterats att riktlinjer för säkerhetsåtgärder vid behandling av personuppgifter inte bör ges i lag utan vid behov hanteras på myndighetsnivå (prop. 2007/08:126Patientdatalagen m.m. s. 215). Av 31 § personuppgiftslagen följer följaktligen att det är den personuppgiftsansvarige som ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Det finns inte anledning att göra någon annan bedömning i detta lagstiftningsärende. Förutom behörighetsregler bör det därför i övrigt inte föras in några särskilda bestämmelser om informationssäkerhet i den nya lagen.
En ny lag om behandling av personuppgifter
Ds 2011:
5.10. Enskildas rättigheter
5.10.1. Information
Förslag: Ett undantag från informationsskyldigheten enligt
26 § personuppgiftslagen ska införas för uppgifter som inte direkt kan hänföras till en person.
Skälen för förslaget: En enskild person har rätt att utan kostnad
en gång om året få ett registerutdrag där det framgår om personuppgifter om denne behandlas och i så fall vilka uppgifter som behandlas. En sådan möjlighet till insyn är av stor betydelse för att skydda den enskildes integritet och för möjligheten för den enskilde att begära rättelse av felaktiga uppgifter.
Av 26 § första stycket personuppgiftslagen framgår att skriftlig information ska lämnas om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut.
Enligt 27 § personuppgiftslagen gäller dock inte bestämmelserna om informationsskyldighet i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som meddelats med stöd av författning.
I propositionen till personuppgiftslagen ansåg regeringen det rimligt att utgå från att regleringen inte innebär mer än att den personuppgiftsansvarige är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information att lämna till den registrerade (prop. 1997/98:44 Personuppgiftslag, s. 82 f.). Regeringen anslöt sig helt till vad Datalagskommittén angav i SOU 1997:39 Integritet, Offentlighet; Informationsteknik. Enligt kommittén var det inte rimligt att informationsskyldigheten skulle utformas på ett sådant sätt att den tvingar fram förfaranden som i själva verket kan hota den personliga integriteten. Den personuppgiftsansvarige bör, som kommittén såg det, bara vara skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som
Ds 2011: En ny lag om behandling av personuppgifter
han eller hon faktiskt och rättsligt har tillgång till för att få fram information att lämna till den registrerade. Därmed garanteras att den registrerade får tillgång till all information som den personuppgiftsansvarige faktiskt själv kan få fram om den registrerade.
De personuppgifter som IFAU har tillgång till och som inte direkt kan hänföras till en person är sådana att institutet, genom faktisk och rättslig tillgång, inte har möjlighet att utan hjälp av exempelvis andra myndigheter sammanställa ett registerutdrag. Ett sådant krav skulle innebära att institutet skulle vara tvunget att identifiera uppgifterna på ett sätt som i sig skulle kunna innebära ett hot mot den personliga integriteten. Det bör därför införas ett undantag från informationsskyldigheten i 26 § personuppgiftslagen när det gäller sådana personuppgifter som inte direkt kan hänföras till en person.
5.10.2. Rättelse eller skadestånd
Förslag: Bestämmelserna i personuppgiftslagen om rättelse
och skadestånd ska gälla vid behandling av personuppgifter enligt den nya lagen eller enligt föreskrifter som meddelats i anslutning till denna.
Skälen för förslaget: Reglerna i 28 § personuppgiftslagen om
rättelse m.m. gäller endast uppgifter som har behandlats i strid med personuppgiftslagen. På motsvarande sätt gäller skadeståndsansvar enligt 48 § personuppgiftslagen endast för behandling av personuppgifter i strid med personuppgiftslagen.
Det finns därför skäl att särskilt föreskriva att uppgifter som behandlats i strid med den föreslagna lagen eller med föreskrifter som meddelats i anslutning till denna omfattas av personuppgiftslagens regler om rättelse och skadestånd.
6. Ikraftträdande
Förslag: Den nya lagstiftningen ska träda i kraft den 1 januari
2013.
Skälen för förslaget: För att IFAU ska kunna fortsätta att full-
göra sitt uppdrag, är det angeläget att den föreslagna lagen träder i kraft senast den 1 januari 2013.
7. Konsekvenser
7.1. Konsekvenser av att genomföra förslagen
Det lagförslag som läggs fram i denna promemoria förbättrar IFAU:s möjligheter att behandla personuppgifter, inklusive vissa känsliga sådana, för att fullgöra sitt uppdrag att främja, stödja och genom forskning genomföra uppföljningar, studier och utvärderingar. Genom förslagen får IFAU ett uttryckligt rättsligt stöd att utan tidsbegränsning hålla samlingar, databaser, med personuppgifter för automatiserad behandling, vilket gör institutets verksamhet mer förutsägbar. Förslaget underlättar också den prövning som andra myndigheter måste göra innan de går med på att överlämna dataunderlag till IFAU.
Förslaget ger IFAU förutsättningar att bedriva sin verksamhet på ett effektivt och rättssäkert sätt samtidigt som det ger den enskilde ett fullgott skydd mot intrång i den personliga integriteten.
Ekonomiska konsekvenser
Förslaget bedöms inte medföra några kostnader som ger upphov till finansiering med medel utöver vad som avsatts i befintligt budgetanslag.
Konsekvenser
Ds 2011:
Konsekvenser för den personliga integriteten
IFAU behandlar i dag personuppgifter med stöd av personuppgiftslagen (1998:204). Förslagen i denna promemoria bedöms ge institutet bättre förutsättningar att utföra sitt uppdrag samtidigt som skyddet för den personliges integritet stärks i vissa avseenden.
Förslagen innebär att vissa känsliga personuppgifter får behandlas vid IFAU. Detta innebär naturligtvis en viss risk för otillbörligt intrång i den personliga integriteten. Å andra sidan kommer de känsliga uppgifter som får behandlas med förslaget att begränsas till endast tre kategorier uppgifter. Till skillnad från tidigare kommer det således föreligga ett absolut förbud mot att behandla andra känsliga personuppgifter än dessa. Målsättningen med lagförslaget är också att det ska utgöra en lämplig avvägning mellan skyddet för den enskildes personliga integritet och kravet på effektiv och ändamålsenlig verksamhet hos IFAU.
De begränsningar för behandlingen som föreslås i form av ändamålsbestämmelser, begränsningar av vilka känsliga uppgifter som får behandlas och regler om hur uppgifterna får behandlas, bör utgöra ett tillräckligt skydd för den personliga integriteten. Att det i huvudsak är avidentifierade personuppgifter som behandlas vid IFAU bidrar också till att minska riskerna för den enskilde.
Förslagen bedöms således kunna medföra en viss risk för intrång i den personliga integriteten, men riskerna bedöms dock inte vara så allvarliga att de får anses väga tyngre än intresset av att åstadkomma en effektiv och ändamålsenlig verksamhet hos IFAU (se avsnitt 4.3).
Konsekvenser av Sveriges internationella åtaganden
Förslaget förväntas inte ha några konsekvenser som påverkar Sveriges åtaganden inom EU eller Europarådet.
Ds 2011: Konsekvenser
ILO:s konvention (nr 168) om främjande av sysselsättning och skydd vid arbetslöshet som kompletterar bl.a. ILO:s konvention (nr 122) om sysselsättningspolitik berör den arbetsmarknadspolitiska verksamheten. Konventionen innehåller dock inga regler om behandling av personuppgifter.
Vidare har ILO antagit riktlinjer som berör behandling av personuppgifter för arbetstagare, Protection of workers’ personal data – An ILO code of practice (ILO 1997). Riktlinjerna är inte rättsligt bindande men syftar till att ge vägledning i såväl övergripande regleringsfrågor som mer praktiska frågor som berör den enskilda arbetsplatsen. Det bedöms att förslagen inte kan anses strida mot Sveriges åtaganden enligt ratificerade ILO-konventioner.
Övriga konsekvenser
Förslagen bedöms inte få några särskilda konsekvenser för jämställdheten, miljön eller några särskilda effekter för vare sig små eller stora företag.
7.2. Konsekvenser av att inte genomföra förslagen
IFAU:s verksamhet ökar kunskapen om hur arbetslöshetsförsäkringen och de arbetsmarknadspolitiska programmen och insatserna påverkar arbetsmarknaden. Verksamheten ökar även kunskapen om effekterna av olika reformer och åtgärder på utbildningsområdet. Det är därför av ett vitalt samhällsintresse att IFAU kan fortsätta att bedriva en effektiv och ändamålsenlig verksamhet.
IFAU innehar och administrerar för närvarande en databas med personuppgifter som löpande uppdateras och ur vilken personuppgifter kan hämtas för olika projekt. Detta görs bl.a. med stöd av ett godkännande från en regional etikprövningsnämnd. Godkännandet gäller för viss forskning baserad på upp-
Konsekvenser
Ds 2011:
gifter ur denna databas (se ovan avsnitt 3.2.) De förslag IFAU 2009 lämnade i sin skrivelse till regeringen (A2009/1438/A) tar sikte på den situation som med all sannolikhet kommer att uppstå när nuvarande godkännande från den regionala etikprövningsnämnden löper ut. Om IFAU inte längre kommer att kunna hämta sitt underlag från en redan befintlig databas kommer detta att få konsekvenser för IFAU:s möjligheter att leverera utredningar inom rimlig tid, av god kvalitet och till en rimlig kostnad. Förslagen i denna promemoria syftar till att skapa förutsättningar för att institutet, även med ett vidgat uppdrag, ska kunna fortsätta att bedriva sin verksamhet på ett effektivt, ändamålsenligt och rättssäkert sätt.
Att bygga upp en samling av personuppgifter för ett specifikt uppdrag tar enligt IFAU ungefär ett år och ibland ännu längre tid. Om IFAU för varje nytt projekt måste bygga upp en ny samling uppgifter, riskerar uppdragen att ta orimligt lång tid. Det är vidare enligt IFAU svårt att på förhand veta vilka personuppgifter som kommer att behövas för ett specifikt utredningsuppdrag. Att i efterhand komplettera med ytterligare personuppgifter fördröjer ofta arbetet ytterligare, särskilt i de fall Statistiska centralbyrån på uppdrag av IFAU måste sätta samman personuppgifter som kommer från flera olika myndigheter. Eftersom arbetsmarknadspolitiken är ett politikområde som kan kräva snabba förändringar beroende på konjunktur, påverkar långa utredningstider även riksdagens och regeringens möjligheter att i tid utvärdera redan beslutade insatser och åtgärder eller att i tid erhålla underlag inför beslut om nya sådana insatser eller åtgärder. Det är även viktigt att utvärderingar av reformer och åtgärder inom utbildningsväsendet inte tar längre tid än nödvändigt. Om IFAU kan inhämta personuppgifter ur en redan befintlig databas så möjliggör det för institutet att mycket snabbare än annars kunna fullgöra olika typer av utredningsuppdrag.
Att skapa projektspecifika samlingar av personuppgifter är vidare kostsamt. Det finns därför en risk att institutet skulle behöva begränsa underlaget av finansiella skäl, vilket i sin tur
Ds 2011: Konsekvenser
riskerar att få till följd att underlaget för institutets uppföljningar, studier och utvärderingar blir mindre omfattande och att slutresultatet blir sämre. Detta innebär i förlängningen att regeringen och riksdagen inte kommer att få ett fullgott underlag för att bedöma resultatet av beslutade insatser. Förslagen i denna promemoria ska naturligtvis inte motiveras utifrån intresset att förbättra möjligheterna till uppföljning och utvärdering. Det bör dock i sammanhanget poängteras att uppföljningarna och utvärderingarna syftar till att skapa kostnadseffektivitet och en väl fungerade arbetsmarknads- och utbildningspolitik.
8. Författningskommentar
Förslaget till lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering
1 §
Förslaget behandlas i avsnitt 5.1.
Paragrafen anger lagens tillämpningsområde. Av första stycket framgår att lagen ska tillämpas i sådan verksamhet hos Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Tillämpningsområdet ansluter därmed nära till IFAU:s uppdrag enligt 1 § första stycket förordningen (2007:911) med instruktion för Institutet för arbetsmarknads- och utbildningspolitisk utvärdering.
I paragrafens andra stycke anges som ett undantag från första stycket att lagen inte ska tillämpas i den del av IFAU:s verksamhet som innebär tilldelning av forskningsbidrag.
I paragrafens tredje stycke begränsas lagens tillämpningsområde till viss typ av behandling av personuppgifter. Avgränsningen motsvarar den avgränsning av tillämpningsområdet som görs i 5 § personuppgiftslagen (1998:204).
Författningskommentarer
Ds 2011:
I verksamhet hos institutet som omfattas av undantaget i andra stycket eller som faller utanför tillämpningsområdet enligt första stycket tillämpas personuppgiftslagen.
2 §
Förslaget behandlas i avsnitt 5.2.
Av paragrafen framgår att behandling av personuppgifter som är tillåten enligt den föreslagna lagen får utföras även om den registrerade motsätter sig behandlingen. Bestämmelsen motsvarar bestämmelsen i 12 § personuppgiftslagen.
3 §
Förslaget behandlas i avsnitt 5.3.
Av paragrafen följer att personuppgiftslagen gäller för verksamhet hos IFAU, om behandlingen inte regleras särskilt i lagen eller i föreskrifter som har meddelats i anslutning till denna. Detta innebär att IFAU måste tillämpa personuppgiftslagen parallellt med denna lag. Personuppgiftslagen gäller således fortfarande i frågor där ingen särreglering har skett i den här aktuella lagen.
4 §
Förslaget behandlas i avsnitt 5.4.
Av paragrafen framgår att IFAU är personuppgiftsansvarigt för den behandling av personuppgifter som sker på institutet med stöd av denna lag. Detta ansvar har samma innebörd som personuppgiftsansvaret enligt 3 § personuppgiftslagen.
Ds 2011: Författningskommentarer
5 §
Förslaget behandlas i avsnitt 5.5.
I paragrafen regleras för vilka primära ändamål personuppgifter får behandlas hos IFAU. Det handlar om sådan behandling av personuppgifter som är nödvändig för att IFAU ska kunna fullgöra sitt uppdrag enligt 1 § första stycket förordningen (2007:911) med instruktion för Institutet för arbetsmarknads- och utrikespolitisk utvärdering.
6 §
Förslaget behandlas i avsnitt 5.5.
I paragrafen klargörs att IFAU får behandla personuppgifter även för vissa ändamål som ligger utanför institutets egen verksamhet, s.k. sekundära ändamål.
Paragrafen klargör att behandling av personuppgifter kan ske när det föreligger en uppgiftsskyldighet för IFAU enligt lag eller förordning eller i andra fall då ett utlämnande får anses förenligt med lag eller förordning. En förutsättning är dock att uppgifterna ursprungligen har behandlats för primära ändamål hos IFAU (se kommentaren till 5 §). I paragrafen klargörs även att bestämmelserna i 9 § första stycket d och andra stycket personuppgiftslagen gäller även för den personuppgiftsbehandling som sker inom den här lagens tillämpningsområde.
7 §
Förslaget behandlas i avsnitt 5.6.
I första stycket regleras i vilken utsträckning IFAU får behandla sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen. Av bestämmelsen framgår att IFAU endast får behandla tre kategorier av känsliga personuppgifter. Bestämmelsen innebär således ett förbud mot att behandla övriga
Författningskommentarer
Ds 2011:
kategorier känsliga personuppgifter som nämns i 13 § personuppgiftslagen. Begränsningen av vilka känsliga personuppgifter som får behandlas gäller för all behandling av personuppgifter inom ramen för lagens tillämpningsområde, dvs. oavsett om uppgifterna behandlas i sådana databaser som regleras i 9 och 10 §§ eller på annat sätt.
I andra stycket finns en bestämmelse som upplyser om att det vid forskning som innefattar behandling av känsliga personuppgifter även krävs att forskningen etikprövas av en etikprövningsnämnd enligt lagen (2003:460) om etikprövning av forskning som avser människor. Att märka är att en etikprövningsnämnd i samband med sitt godkännande kan ställa villkor för personuppgiftsbehandlingen i ett forskningsprojekt som går utöver de krav som ställs i denna lag eller i personuppgiftslagen.
8 §
Förslaget behandlas i avsnitt 5.7.
Paragrafen reglerar IFAU:s möjligheter att inneha samlingar av personuppgifter i databaser eller motsvarande som inte är knutna till en avgränsad studie, uppföljning eller utvärdering. Möjligheterna att inneha sådana samlingar begränsas till samlingar av avidentifierade personuppgifter där den nyckel som möjliggör identifiering av en enskild person finns hos den myndighet från vilken personuppgifterna kommer. Av 10 § följer att avidentifierade uppgifter inte får behandlas i syfte att röja en persons identitet.
9 §
Förslaget behandlas i avsnitt 5.8.
Paragrafen reglerar IFAU:s möjligheter att, utöver vad som framgår av 8 §, inneha samlingar av personuppgifter som är
Ds 2011: Författningskommentarer
direkt hänförliga till en person. Av paragrafen följer att sådana personuppgifter endast får behandlas om de behövs för en viss avgränsad studie, uppföljning eller utvärdering. I 11 § finns regler om begränsningar av möjligheterna att sambearbeta denna typ av uppgifter.
10 §
Förslaget behandlas i avsnitt 5.9.1.
Paragrafen innebär ett förbud mot behandling av avidentifierade personuppgifter i syfte att avslöja en persons identitet. Syftet med bestämmelsen är att förstärka skyddet för den personliga integriteten vid behandling av sådana personuppgifter som inte är direkt hänförliga till en person.
11 §
Förslaget behandlas i avsnitt 5.9.2.
Paragrafen innebär ett förbud mot sambearbetning av personuppgifter som har samlats in inom ramen för olika studier, uppföljningar och utvärderingar. Begränsningen gäller inte för sådana avidentifierade personuppgifter som får behandlas vid IFAU utan att ha samlats in för en viss avgränsad studie, uppföljning eller utvärdering.
12 §
Förslaget behandlas i avsnitt 5.9.3.
Behörigheten att behandla personuppgifter ska begränsas till vad var och en behöver för att kunna utföra sina arbetsuppgifter. Syftet med begränsningen är att förstärka skyddet för den personliga integriteten genom att se till så att uppgifterna sprids till en så liten krets som möjligt. Bestämmelsen kompletteras av
Författningskommentarer
Ds 2011:
personuppgiftslagens regler om lämpliga säkerhetsåtgärder vid personuppgiftsbehandling. Av personuppgiftslagen följer exempelvis att IFAU är skyldigt att så långt möjligt se till att lämpliga tekniska och organisatoriska åtgärder vidtas för att skydda de personuppgifter som behandlas (se 31 § personuppgiftslagen).
13 §
Förslaget behandlas i avsnitt 5.10.1.
Paragrafen innebär ett undantag från informationsskyldigheten i 26 § personuppgiftslagen i de fall IFAU endast innehar personuppgifter som inte är direkt hänförliga till en person utan som endast finns tillgängliga för institutet såsom avidentifierade uppgifter. Detta gäller även om personuppgifterna har försetts med någon slags beteckning så länge som IFAU inte inom myndigheten har tillgång till den nyckel som behövs för att åter knyta uppgifterna till en enskild individ.
14 §
Förslaget behandlas i avsnitt 5.10.2.
Av paragrafen följer att personuppgiftslagens bestämmelser om rättelse och skadestånd ska gälla även vid IFAU:s behandling av personuppgifter inom ramen den här lagens tillämpningsområde. Vad gäller rättelse innebär bestämmelsen att den personuppgiftsansvarige, dvs. IFAU, i enlighet med 28 § personuppgiftslagen blir skyldigt att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med IFAU:s registerlag eller i enlighet med föreskrifter som har meddelats i anslutning till lagen. IFAU blir också skyldigt att lämna underrättelse till tredje man i enlighet med vad som framgår av 28 § personuppgiftslagen.
Ds 2011: Författningskommentarer
Beträffande skadestånd innebär bestämmelsen att den personuppgiftsansvarige, dvs. IFAU, i enlighet med 48 § personuppgiftslagen ska ersätta den registrerade för skada och kränkning av den personliga integriteten som orsakats av en behandling av personuppgifter i strid mot den här lagen eller mot föreskrifter som har meddelats i anslutning till lagen. Ersättningsskyldigheten kan dock jämkas enligt vad som framgår av 48 § andra stycket personuppgiftslagen.