Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering

Betänkande 2012/13:AU4

2012/13:AU4 Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering

Arbetsmarknadsutskottets betänkande

2012/13:AU4

Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering

Sammanfattning

I betänkandet behandlar utskottet proposition 2011/12:176 Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering och en motion som väckts med anledning av propositionen.

Propositionen innehåller förslag till en ny lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU). Lagen ska tillämpas i sådan verksamhet hos IFAU som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen innehåller bl.a. bestämmelser om berättigade ändamål för personuppgiftsbehandlingen, vilka personuppgifter som får behandlas och hur uppgifterna får behandlas.

Den nya lagen föreslås träda i kraft den 1 januari 2013 och gälla t.o.m. den 31 december 2015.

Utskottet tillstyrker regeringens lagförslag och avstyrker motionen. Motionen får stöd i en reservation (SD).

Utskottets förslag till riksdagsbeslut

Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering

Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering. Därmed bifaller riksdagen proposition 2011/12:176 och avslår motion

2012/13:A6 av Sven-Olof Sällström (SD) yrkandena 1 och 2.

Reservation (SD)

Stockholm den 6 november 2012

På arbetsmarknadsutskottets vägnar

Elisabeth Svantesson

Följande ledamöter har deltagit i beslutet: Elisabeth Svantesson (M), Ylva Johansson (S), Maria Plass (M), Katarina Brännström (M), Maria Stenberg (S), Gustav Nilsson (M), Patrik Björck (S), Hans Backman (FP), Ann-Christin Ahlberg (S), Annika Qarlsson (C), Johan Andersson (S), Hanif Bali (M), Mehmet Kaplan (MP), Andreas Carlson (KD), Sven-Olof Sällström (SD) och Kerstin Nilsson (S).

Redogörelse för ärendet

Ärendet och dess beredning

Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (IFAU) har i en skrivelse till regeringen framfört önskemål om en reglering som ger institutet möjlighet att mer långsiktigt inneha och använda sammanhållna databaser med personuppgifter (A2009/1438/A).

Inom Arbetsmarknadsdepartementet har departementspromemorian Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (Ds 2012:5) utarbetats. Promemorian har remissbehandlats och ligger till grund för förslagen i propositionen.

I propositionen föreslår regeringen att riksdagen antar det förslag till lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering som har lagts fram i propositionen. Regeringens förslag till riksdagsbeslut återges i bilaga 1. Lagförslaget finns i bilaga 2. Lagförslaget har granskats av Lagrådet.

Förslaget att lagen ska tidsbegränsas har tillkommit i ett sent skede av lagstiftningsprocessen och har beretts särskilt med Datainspektionen, IFAU och Statistiska centralbyrån. Lagrådets hörande i denna del har bedömts sakna betydelse.

Med anledning av propositionen har en motion väckts. Förslagen i motionen finns i bilaga 1.

Propositionens huvudsakliga innehåll

Regeringen anser att en särskild registerförfattning bör införas för att ge IFAU bättre och mer långsiktiga och förutsebara möjligheter att på ett rättssäkert sätt behandla personuppgifter. Utgångspunkten för regleringen bör vara att IFAU ska ges möjligheter att behandla personuppgifter i den utsträckning som behövs för att institutet på ett ändamålsenligt och effektivt sätt ska kunna fullgöra sitt kärnuppdrag. Samtidigt bör ett fullgott integritetsskydd uppnås.

Den nya lagen ska tillämpas vid behandling av personuppgifter i den verksamhet hos IFAU som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen ska inte tillämpas på behandling av personuppgifter vid tilldelning av forskningsbidrag. Lagen ska endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Personuppgiftslagen (1998:204) ska fortsätta att gälla vid behandling av personuppgifter vid IFAU, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslutning till denna.

Den nya lagen föreslås träda i kraft den 1 januari 2013 och gälla t.o.m. den 31 december 2015. En tidsbegränsning föreslås av lagen bl.a. eftersom systemet för officiell statistik är föremål för en översyn.

Utskottets överväganden

Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering

Utskottets förslag i korthet

Riksdagen antar regeringens lagförslag och avslår en motion om att de personuppgifter som IFAU kan använda sig av ska kvarstå som i dag och att lagen ska gälla på obestämd tid.

Jämför reservation (SD).

Bakgrund

Enligt förordningen (2007:911) med instruktion för Institutet för arbetsmarknadspolitisk- och utbildningspolitisk utvärdering (IFAU) har institutet till uppgift att främja, stödja och genom forskning genomföra uppföljning och utvärdering av den arbetsmarknadspolitiska verksamheten, studier av arbetsmarknadens funktionssätt, utvärdering av effekter av olika reformer och åtgärder inom utbildningsväsendet, utvärdering av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet och utvärdering av socialförsäkringens effekter på arbetsmarknaden.

Uppdraget att utvärdera effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet tillkom i maj 2001, och den del som avser att utvärdera effekterna av olika reformer och åtgärder inom utbildningsväsendet tillkom i februari 2012.

IFAU är för sin verksamhet beroende av uppgifter och underlag från andra myndigheter och institutioner. IFAU är framför allt en stor användare av Statistiska centralbyråns (SCB) register. I grunden utgör IFAU:s samlingar resultatet av IFAU:s beställningar till SCB. De uppgifter IFAU använder kommer dock ofta ursprungligen från andra myndigheter än SCB, t.ex. från Arbetsförmedlingen.

IFAU administrerar för närvarande i huvudsak tre, i stor utsträckning överlappande databaser. Den s.k. IFAU-databasen skapades i början av 2000-talet och används framför allt vid utvärderingar av arbetsmarknadspolitiska åtgärder och vid studier av arbetsmarknadens funktionssätt. IFAU-databasen innehåller personuppgifter hämtade från register som SCB har tillgång till. Utbildningsdatabasen utvecklades efter det att IFAU:s uppdrag utvidgades till att även innefatta utvärderingar av effekterna på arbetsmarknaden av åtgärder inom utbildningsväsendet. Socialförsäkringsdatabasen har finansierats och byggts upp inom ramen för ett forskningsprojekt med anslag från Forskningsrådet för arbetsliv och socialvetenskap. I databasen finns många känsliga personuppgifter enligt personuppgiftslagens definition. De tre ovan nämnda databaserna uppdateras löpande i enlighet med avtal mellan SCB och IFAU. Därutöver köper IFAU data ur SCB:s register för specifika projekt.

IFAU behandlar i dag personuppgifter med stöd av personuppgiftslagen (1998:204). För att IFAU ska kunna behandla personuppgifter behöver därmed varje behandling föregås av en prövning enligt 10 § personuppgiftslagen. Där föreskrivs att personuppgifter endast får behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för vissa ändamål som anges i paragrafen. För det fall IFAU har behov av att behandla känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. enligt 13 och 21 §§ personuppgiftslagen krävs dessutom att projektet etikprövas enligt lagen (2003:460) om etikprövning av forskning som avser människor.

För att fullgöra sitt uppdrag begär IFAU ut personuppgifter från andra myndigheter. Innan begärda uppgifter lämnas ut måste dessa myndigheter pröva huruvida ett utlämnande är förenligt med gällande offentlighets- och sekretesslagstiftning. De måste också ta ställning till om den behandling som kommer att utföras vid institutet kan anses förenlig med personuppgiftslagens regler.

IFAU:s databaser innehåller uppgifter som är s.k. känsliga personuppgifter i personuppgiftslagens mening. IFAU fick i juni 2005 ett godkännande enligt etikprövningslagen för kvantitativ samhällsvetenskaplig forskning om arbetsmarknadens funktionssätt, effekter av arbetsmarknadspolitiska insatser och effekter av utbildningsåtgärder baserad på IFAU-databasen. Godkännandet har förlängts och nuvarande godkännande gäller till och med den 31 december 2012. Då IFAU:s uppdrag på senare år har utvidgats betydligt, är ett fortsatt godkännande av ett projekt i samma omfattning inte tillräckligt för att institutet ska kunna hålla och administrera de databaser som behövs för dess verksamhet.

Propositionen

I propositionen föreslås att en särskild lag ska införas för den behandling av personuppgifter som sker vid IFAU. Lagen bör enligt regeringen vara utformad på ett sådant sätt att IFAU:s verksamhet kan bedrivas på ett effektivt och ändamålsenligt sätt samtidigt som ett fullgott integritetsskydd uppnås.

Tillämpningsområdet för lagen bör enligt regeringen utgå från IFAU:s huvudsakliga uppdrag som det är formulerat i instruktionen. Den nya lagen ska därför tillämpas vid behandling av personuppgifter i den verksamhet hos IFAU som avser att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Lagen ska inte tillämpas på behandling av personuppgifter vid tilldelning av forskningsbidrag. Lagen ska endast gälla om behandlingen är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Tillämpningsområdet som framgår av 1 § ansluter därmed till avgränsningen i personuppgiftslagen.

Merparten av de personuppgifter som IFAU hanterar är uppgifter som inhämtats från andra myndigheter och som är avidentifierade när de kommer till IFAU. Om personens samtycke skulle vara nödvändigt för att behandla uppgifterna skulle IFAU i praktiken tvingas försöka härleda de avidentifierade personuppgifterna till en enskild person. Behandling av personuppgifter som är tillåten enligt den nya lagen ska därför få utföras även om den registrerade motsätter sig behandlingen. Personuppgifter som samlas in direkt från den enskilde ska dock endast få behandlas med stöd av hans eller hennes uttryckliga samtycke. För återkallelse av lämnat samtycke ska 12 § personuppgiftslagen tillämpas (2 §).

Regeringen anser att den föreslagna lagen endast bör innehålla de särregler som behövs för IFAU:s verksamhet och att personuppgiftslagen i övriga avseenden ska vara direkt tillämplig i verksamheten. Det framgår uttryckligen av den föreslagna lagen att personuppgiftslagen ska gälla vid behandling av personuppgifter vid IFAU, om inte annat följer av den nya lagen eller av föreskrifter som har meddelats i anslutning till denna (3 §).

IFAU ska vara personuppgiftsansvarigt för den behandling av personuppgifter som institutet utför (4 §). Begreppet ska ha samma innebörd som i personuppgiftslagen.

Tillåtna ändamål för personuppgiftsbehandlingen bör enligt regeringen anges uttryckligen i lagen. Regleringen bör ansluta till IFAU:s kärnuppdrag såsom det beskrivs i instruktionen. Personuppgifter ska få behandlas om det behövs för att fullgöra uppdraget att främja, stödja och genom forskning genomföra studier, uppföljningar och utvärderingar. Personuppgifter som behandlas för ovan nämnda ändamål ska dock även få behandlas för att fullgöra ett uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt ska den s.k. finalitetsprincipen gälla, dvs. att personuppgifter inte får behandlas för ett ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in (5–6 §§).

IFAU bör enligt regeringen ha rätt att behandla vissa känsliga personuppgifter vid fullgörandet av sitt uppdrag, men fler kategorier känsliga personuppgifter än vad myndigheten faktiskt har behov av bör inte få behandlas. IFAU ska därför endast få behandla sådana känsliga personuppgifter enligt 13 § personuppgiftslagen som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa (7 §).

Det är av yttersta vikt att IFAU ges lagliga förutsättningar att på ett mer långsiktigt sätt än i dag hålla och administrera samlingar av personuppgifter som inte nödvändigtvis måste vara knutna till en viss pågående studie, uppföljning eller utvärdering. Mot denna bakgrund ska IFAU för ändamål som anges i lagen få ha samlingar som innehåller personuppgifter och som behandlas automatiserat, under förutsättning att uppgifterna inte direkt kan hänföras till en person. Uppgifterna ska dock få vara försedda med en beteckning som hos den myndighet uppgifterna kommer från kan hänföras till ett personnummer eller motsvarande identitetsbeteckning (8 §).

Utöver de ovan nämnda samlingarna av avidentifierade personuppgifter ska IFAU få ha samlingar av icke avidentifierade personuppgifter som behandlas automatiserat, om det behövs för att institutet ska kunna genomföra en viss avgränsad studie, uppföljning eller utvärdering (9 §). Detta får enligt regeringen anses vara motiverat utifrån ett allmänt intresse.

Personuppgifter som inte direkt kan hänföras till en person och som ingår i samlingar av personuppgifter som behandlas automatiserat ska inte få behandlas i syfte att röja en persons identitet (10 §).

Personuppgifter som inte har avidentifierats på det sätt som avses i 8 § och som har samlats in för att behandlas inom olika avgränsade studier, uppföljningar eller utvärderingar ska inte få sambearbetas med varandra. Undantag från förbudet mot sambearbetning ska dock få göras för sambearbetning som är nödvändig för att kunna upprepa eller följa upp en tidigare genomförd studie, uppföljning eller utvärdering (11 §).

Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (12 §). Bestämmelsen är enligt regeringen allmänt hållen, men den ger ändå klart uttryck för den grundprincip som ska gälla, samtidigt som den ger utrymme för anpassning på individnivå. Samtidigt är avsikten med bestämmelsen att regeringen eller den myndighet som regeringen bestämmer ska meddela de närmare föreskrifter som behövs.

En enskild person har enligt 26 § personuppgiftslagen rätt att utan kostnad en gång om året få ut ett registerutdrag där det framgår om personuppgifter om denne behandlas och i så fall vilka uppgifter som behandlas. Ett undantag från informationsskyldigheten enligt 26 § personuppgiftslagen ska införas för personuppgifter som inte direkt kan hänföras till en person (13 §).

Personuppgifter ska gallras så snart uppgifterna inte längre behövs för det ändamål som de behandlas för, om inte regeringen eller den myndighet som regeringen bestämmer har meddelat föreskrifter eller i ett enskilt fall beslutat att gallring ska ske senast vid en viss tidpunkt eller att uppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål (14 §).

Bestämmelserna i personuppgiftslagen om rättelse och skadestånd ska gälla för behandling av personuppgifter enligt den nya lagen eller enligt föreskrifter som meddelats i anslutning till denna (15 §).

Den nya lagstiftningen ska träda i kraft den 1 januari 2013. Lagen ska gälla t.o.m. den 31 december 2015. Regeringen föreslår en tidsbegränsning av lagen eftersom systemet för officiell statistik är föremål för en översyn (Statistikutredningen, Ju 2011:05) och det längre fram kan finnas anledning att ompröva IFAU:s behov av att bygga upp egna samlingar av personuppgifter. Det kan då även finnas skäl att ompröva behovet av en särskild registerlag för IFAU och att samtidigt utvärdera hur den nya lagen har fungerat i både forsknings- och integritetsskyddshänseende.

Motionen

Sverigedemokraterna framhåller i motion 2012/13:A6 av Sven-Olof Sällström att den begränsning som regeringen föreslår av IFAU:s möjligheter att behandla känsliga personuppgifter är onödig. Enligt regeringens förslag ska IFAU endast få behandla sådana känsliga personuppgifter enligt 13 § personuppgiftslagen som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa. Eftersom IFAU använder avidentifierade personuppgifter och endast ett mycket litet antal forskare har tillgång till registren, finns det redan i dag ett gott skydd för integriteten vid behandlingen av känsliga personuppgifter. IFAU bör därför även fortsättningsvis ha rätt att behandla även andra känsliga personuppgifter än de som nu föreslås. Ett tillkännagivande yrkas i enlighet härmed (yrkande 1). Motionären anser vidare att lagen inte bör tidsbegränsas utan gälla på obestämd tid. Ett tillkännagivande yrkas i enlighet härmed (yrkande 2).

Utskottets ställningstagande

Utskottet delar regeringens bedömning att det finns behov av en särskild lag för den behandling av personuppgifter som sker vid IFAU. Genom lagen, som ersätter personuppgiftslagens regler i frågor som är specifika för IFAU:s verksamhet, får IFAU möjlighet att behandla personuppgifter i den utsträckning som behövs för att institutet på ett ändamålsenligt och effektivt sätt ska kunna fullgöra sitt kärnuppdrag. Samtidigt bör lagen innehålla klara och tydliga regler och villkor för personuppgiftsbehandlingen och därigenom även åstadkomma ett bättre skydd mot oacceptabla intrång i den personliga integriteten så att ett fullgott integritetsskydd uppnås. Utskottet finner att lagen har utformats så att de båda intressena balanseras på ett väl avvägt sätt.

I motion 2012/13:A6 (yrkande 1) föreslås att de personuppgifter som IFAU ska få använda sig av ska vara desamma som i dag. Utskottet kan konstatera att det är särskilt känsligt att registrera och behandla sådana personuppgifter som avslöjar uppgifter om etniskt ursprung, politisk åsikt, religion, filosofisk övertygelse och sexualliv. Sådana uppgifter bör bara få registreras och behandlas i yttersta undantagsfall. Behandling av sådana uppgifter vid IFAU bör endast vara tillåten om det finns ett behov av att behandla uppgifterna, som utifrån ett viktigt allmänt intresse vid en intresseavvägning får anses väga tyngre än integritetsintresset. Det finns enligt utskottet inte några så tungt vägande skäl för behandling av dessa uppgifter att dessa skäl väger tyngre än behovet av skydd för enskildas integritet.

I motionen (yrkande 2) föreslås vidare att lagen ska gälla på obestämd tid. Om lagen behöver ändras kan det enligt motionären lämpligen göras genom en ny proposition. Utskottet kan konstatera att en översyn pågår av systemet för den officiella statistiken. När översynen är klar kan det finnas skäl att ompröva behovet av en särskild registerlag för IFAU. Det kan också finnas anledning att utvärdera hur den nya lagen har fungerat. Enligt utskottet finns det därför anledning att, som regeringen föreslagit, tidsbegränsa lagen. Det är visserligen riktigt som motionären framhållit, att även en lag som gäller tills vidare kan ändras eller upphävas. Genom att lagen tidsbegränsas har dock regeringen i propositionen åtagit sig att senast efter en viss tid utvärdera lagen och ta ställning till om den ska permanentas, ändras eller ersättas av någon annan reglering.

Sammantaget innebär detta att utskottet tillstyrker propositionen och avstyrker motionen.

Reservation

Utskottets förslag till riksdagsbeslut och ställningstagande har föranlett följande reservation.

Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering (SD)

av Sven-Olof Sällström (SD).

Förslag till riksdagsbeslut

Jag anser att förslaget till riksdagsbeslut borde ha följande lydelse:

Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering och tillkännager för regeringen som sin mening vad som anförs i reservationen. Därmed bifaller riksdagen proposition 2011/12:176 och motion

2012/13:A6 av Sven-Olof Sällström (SD) yrkandena 1 och 2.

Ställningstagande

De enda känsliga personuppgifter som IFAU får behandla enligt propositionens förslag är sådana känsliga personuppgifter enligt 13 § personuppgiftslagen som avslöjar etniskt ursprung eller medlemskap i fackförening eller som rör hälsa. Detta innebär en begränsning jämfört med vad som i dag gäller för IFAU:s behandling av känsliga personuppgifter. Eftersom IFAU använder avidentifierade personuppgifter och endast ett mycket litet antal forskare har tillgång till registren, finns det redan i dag ett gott skydd för integriteten vid behandlingen av känsliga personuppgifter. IFAU bör därför även fortsättningsvis ha rätt att behandla även andra känsliga personuppgifter än de som nu föreslås, såsom ras, politiska åsikter, religiös eller filosofisk övertygelse och sexualliv. Det finns risk för att ett antal studier, t.ex. vad gäller diskrimineringsfrågor, i annat fall inte kommer att kunna genomföras. Det är även en viktig aspekt att de som har till uppgift att utvärdera arbetsmarknadspolitiken också ges fullgoda möjligheter att lämna rapporter som både går på bredden och på djupet.

Lagen bör gälla på obestämd tid och inte, som det föreslås i propositionen, tidsbegränsas till den 31 december 2015. Om lagen behöver ändras kan det lämpligen göras genom en ny proposition.

Regeringen bör därför ta initiativ till en ändring i lagen som innebär att de känsliga personuppgifter som IFAU får behandla i dag kvarstår. Regeringen bör också ta initiativ till att ändra lagen så att den gäller på obestämd tid.

Vad jag nu anfört bör riksdagen, med bifall till motionen, tillkännage för regeringen som sin mening.

Bilaga 1

Förteckning över behandlade förslag

Propositionen

Proposition 2011/12:176 Behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering:

Riksdagen antar regeringens förslag till lag om behandling av personuppgifter vid Institutet för arbetsmarknads- och utbildningspolitisk utvärdering.

Följdmotionen

2012/13:A6 av Sven-Olof Sällström (SD):

1.	Riksdagen tillkännager för regeringen som sin mening vad som anförs i motionen om att de personuppgifter som IFAU kan använda sig av ska kvarstå som i dag.
2.	Riksdagen tillkännager för regeringen som sin mening vad som anförs i motionen om att lagen ska gälla på obestämd tid.

Bilaga 2

Regeringens lagförslag