Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Prop. 2001/02:144

Proposition 2001/02:144

Regeringens proposition 2001/02:144 Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Prop. 2001/02:144 Regeringen överlämnar denna proposition till riksdagen. Stockholm den 14 mars 2002 Göran Persson Björn Rosengren (Näringsdepartementet) Propositionens huvudsakliga innehåll I propositionen föreslås en ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Lagen föreslås ersätta lagen (1994:459) om arbetsförmedlingsregister. Lagen skall tillämpas vid behandling av personuppgifter i Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet i fråga om arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. Lagen gäller vid helt eller delvis automatiserad behandling av personuppgifter och även för viss manuell behandling av sådana uppgifter. Arbetsmarknadsstyrelsen eller en länsarbetsnämnd skall vara personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför. Lagen anger primära och sekundära ändamål för behandling av personuppgifter. Personuppgifter får behandlas endast för de angivna ändamålen. Begreppet databas införs som en juridisk beteckning för automatiserade uppgiftssamlingar som används gemensamt i verksamheten. I lagen anges under vilka förutsättningar känsliga och ömtåliga personuppgifter samt uppgifter om lagöverträdelse som innefattar brott m.m. får behandlas. Arbetsmarknadsstyrelsen och länsarbetsnämnderna får ha direktåtkomst till personuppgifter i en databas. Sådan åtkomst skall vara förbehållen de personkategorier inom Arbetsmarknadsverket som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna får också ha direktåtkomst till personuppgifter i en databas. Känsliga personuppgifter eller personuppgifter om lagöverträdelser m.m. samt ömtåliga personuppgifter får inte användas som sökbegrepp. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Lagen innehåller även särskilda bestämmelser om rättelse, skadestånd, överklagande och gallring. Lagen föreslås träda i kraft den 1 augusti 2002. Innehållsförteckning 1 Förslag till riksdagsbeslut 4 2 Förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten 5 3 Ärendet och dess beredning 9 4 Gällande rätt 9 4.1 Lagen (1994:459) om arbetsförmedlingsregister m.m. 9 4.2 Personuppgiftslagen 12 5 En ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten 15 5.1 En författningsreglering behövs 15 5.2 Lagens tillämpningsområde 17 5.3 Förhållandet till personuppgiftslagen 20 5.4 Personuppgiftsansvar 21 5.5 Ändamålen med behandlingen m.m. 23 5.6 Databaser i stället för register 26 5.7 Behandling av känsliga personuppgifter m.m. 29 5.8 Direktåtkomst och utlämnande av personuppgifter 35 5.9 Sökbegrepp och sambearbetning 39 5.10 Information till den registrerade 42 5.11 Rättelse, skadestånd och straff 44 5.12 Gallring 46 5.13 Överklagande 47 5.14 Säkerhetsåtgärder och anmälan till tillsynsmyndighet 48 5.15 Sekretess 49 6 Ikraftträdande och kostnader m.m. 50 6.1 Ikraftträdande och övergångsbestämmelser 50 6.2 Kostnader m.m. 50 7 Författningskommentar 50 Bilaga 1 Sammanfattning av promemorian Behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Ds 2001:67) 57 Bilaga 2 Promemorians lagförslag 58 Bilaga 3 Förteckning över remissinstanser 62 Bilaga 4 Lagrådsremissens lagförslag 63 Bilaga 5 Lagrådets yttrande 67 Utdrag ur protokoll vid regeringssammanträde den 14 mars 2002 70 1 Förslag till riksdagsbeslut Regeringen föreslår att riksdagen antar regeringens förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. 2 Förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Härigenom föreskrivs följande. Lagens tillämpningsområde 1 § Denna lag tillämpas vid behandling av personuppgifter i Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet som gäller arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. Förhållandet till personuppgiftslagen 2 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag eller annars av 2 § personuppgiftslagen. Personuppgiftsansvar 3 § Arbetsmarknadsstyrelsen är personuppgiftsansvarig för den behandling av personuppgifter som styrelsen utför. En länsarbetsnämnd är ansvarig för den behandling nämnden utför. Ändamål m.m. 4 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla personuppgifter inom den arbetsmarknadspolitiska verksamheten bara om det behövs för 1. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten, 2. publicering av platsinformation, 3. planering, metodutveckling, tillsyn, uppföljning, resultatredovisning och utvärdering av den arbetsmarknadspolitiska verksamheten, 4. framställning av avidentifierad statistik, och 5. samarbete på det arbetsmarknadspolitiska området inom Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad1. 5 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla personuppgifter för tillhandahållande av information som behövs inom 1. Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens eller arbetslöshetskassornas verksamhet, som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, samt 2. Riksskatteverkets och skattemyndigheternas verksamhet som underlag för beslut om och kontroll av skatt. 6 § Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar av ändamålen i 4 § samt om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Arbetsmarknadspolitisk databas 7 § I den arbetsmarknadspolitiska verksamheten får det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de ändamål som anges i 4-6 §§ (arbetsmarknadspolitisk databas). Behandling av känsliga personuppgifter m.m. 8 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. 9 § I en arbetsmarknadspolitisk databas får inga andra känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) behandlas än sådana som avslöjar etniskt ursprung eller rör hälsa. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa, personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en enskild, får behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde skriftligen har samtyckt till detta. Angående återkallelse av ett sådant samtycke gäller vad som föreskrivs i 12 § första stycket personuppgiftslagen (1998:204). 10 § Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samt uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) får inte behandlas i en arbetsmarknadspolitisk databas. Direktåtkomst och utlämnande av personuppgifter 11 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas. Sådan åtkomst skall vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om direktåtkomst enligt första stycket. 12 § Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas om det behövs för de ändamål som avses i 5 §. Regeringen meddelar föreskrifter om vilka personuppgifter som får omfattas av direktåtkomst. 13 § Uppgifter i databasen får lämnas ut till en enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automatiserad behandling till myndigheter och enskilda. Sökbegrepp 14 § Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) samt ömtåliga personuppgifter som avses i 9 § andra stycket eller 10 § får inte användas som sökbegrepp. Uppgift om kod för arbetshandikapp får dock användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade samt för att framställa avidentifierad statistik. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Rättelse och skadestånd 15 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Gallring 16 § Uppgifter om arbetssökande i en arbetsmarknadspolitisk databas skall gallras två år efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos den handläggande myndigheten. Uppgifter som har avskiljts för statistikändamål skall gallras tio år efter avskiljandet. Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om undantag från dessa gallringstider när det gäller bevarande av material för forskningens behov. Sådant material skall lämnas över till en arkivmyndighet. Ytterligare föreskrifter 17 § Regeringen meddelar ytterligare föreskrifter om vilka personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar av de personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Överklagande 18 § En myndighets beslut om rättelse eller om avslag på ansökan om information enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. 1. Denna lag träder i kraft den 1 augusti 2002, då lagen (1994:459) om arbetsförmedlingsregister upphör att gälla. 2. Den äldre lagens bestämmelser om gallring och registerinnehåll gäller dock fortfarande i fråga om uppgifter och handlingar som har tillförts ett arbetsförmedlingsregister och Arbetsmarknadsstyrelsens centrala statistikregister före den 1 augusti 2002. 3. Bestämmelserna i denna lag skall inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling som utförs för ett visst bestämt ändamål om manuell behandling för ändamålet påbörjades före den 24 oktober 1998. 3 Ärendet och dess beredning Arbetsmarknadsstyrelsen inkom våren 2001 med en promemoria med förslag till ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (N2001/4641/A). Med anledning av förslaget har inom Näringsdepartementet upprättats en departementspromemoria - Behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Ds 2001:67). I departementspromemorian föreslås en ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Lagen föreslås ersätta lagen (1994:459) om arbetsförmedlingsregister. En sammanfattning av promemorians förslag finns i bilaga 1. Promemorians lagförslag finns i bilaga 2. I november 2001 sändes departementspromemorian ut till ett antal remissinstanser. För att möjliggöra att en ny lag skall kunna träda i kraft i anslutning till halvårsskiftet 2002 har promemorian behandlats vid ett remissammanträde den 7 januari 2002 till vilket flertalet remissinstanser ingivit skriftliga yttranden. En förteckning över remissinstanserna finns i bilaga 3. En sammanställning av remissyttrandena och protokoll från remissammanträdet finns tillgänglig i Näringsdepartementet (dnr N2001/4641/A). Lagrådet Regeringen beslutade den 21 februari 2002 att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5. Regeringen har i propositionen följt Lagrådets förslag. Lagrådets synpunkter behandlas i avsnitt 5.5 och 5.7 samt i författningskommentaren. Därutöver har vissa redaktionella ändringar gjorts i lagtexten. 4 Gällande rätt 4.1 Lagen (1994:459) om arbetsförmedlingsregister m.m. Den nu gällande författningsregleringen av arbetsförmedlingsregister antogs år 1994 efter regeringens förslag i proposition Lag om arbetsförmedlingsregister (prop. 1993/94:235, bet. 1993/94:AU24, rskr. 1993/94:330). I propositionen föreslogs att hanteringen av vissa av Arbetsmarknadsverkets personregister skulle lagregleras. Denna lagreglering ersatte de tillstånd från Datainspektionen på vilka den dåvarande registreringen vilade. Lagen om arbetsförmedlingsregister innebär att ett arbetsförmedlingsregister får föras med hjälp av automatisk databehandling för varje offentlig arbetsförmedlings och varje arbetsmarknadsinstituts verksamhetsområde och att ett centralt statistikregister får föras vid Arbetsmarknadsstyrelsen (AMS) (1 §). I lagens 2 § anges att ett arbetsförmedlingsregister får användas för handläggning av ärenden som rör platsförmedling, arbetsförberedande åtgärder i form av vägledning, utbildning och arbetslivsinriktad rehabilitering samt andra arbetsmarknadspolitiska program som föreskrivs i lag eller förordning, för publicering av platsinformation, för planering, metodutveckling, tillsyn, uppföljning och utvärdering av verksamheten, för framställning av statistik och arbetsförmedlingssamarbete enligt en överenskommelse den 6 mars 1982 om en gemensam nordisk arbetsmarknad och inom ramen för avtalet om Europeiska ekonomiska samarbetsområdet. Genom en lagändring som träder i kraft den 1 juli 2002 införs även sekundära ändamål i en ny 2 a §. AMS centrala statistikregister får användas för att framställa avidentifierad statistik som underlag för planering, metodutveckling, tillsyn, uppföljning och resultatredovisning (3§). Ett arbetsförmedlingsregister får enligt 4 § innehålla uppgifter om den som är eller har varit anmäld som arbetssökande vid den offentliga arbetsförmedlingen eller inskriven vid ett arbetsmarknadsinstitut, om arbetsgivare som har anmält lediga platser, som medverkar eller har medverkat i arbetsmarknadspolitiska åtgärder eller som en arbetssökande har lämnat uppgifter om och kontaktpersoner. För en arbetssökande får i ett arbetsförmedlingsregister registreras uppgifter om bl.a. namn och personnummer, adress, arbetslöshet, arbets- och uppehållstillstånd, kod för medborgarskap, körkort och tillgång till bil, utbildning, arbetslivserfarenhet, speciell kompetens, sökt arbete, önskemål om arbetstid och arbetets varaktighet och beslut om arbetsmarknadspolitisk åtgärd. Även kod för arbetshandikapp får registreras med den arbetssökandes skriftliga samtycke (5 §). Om det har väsentlig betydelse för handläggningen av ärenden som rör den arbetsmarknadspolitiska verksamheten får med den arbetssökandes skriftliga samtycke därtill, i form av daganteckning, registreras förekomst av intyg och utlåtande av läkare eller skrivelse från myndigheter, redovisade arbetshinder, sociala och ekonomiska förhållanden, slutsatser av utredande samtal och handlingsplaner (6 §). Med undantag för registreringar som enbart anger förekomst av intyg, utlåtanden eller skrivelser får sådana registreringar bl.a. innehålla uppgift om den arbetssökandes sjukdom eller hälsotillstånd samt omdömen och andra värderande upplysningar om den arbetssökande (7 §). Enligt 8 § är det inte tillåtet att registrera uppgifter om att den arbetssökande misstänks eller har dömts för brott, har avtjänat straff eller fått annan påföljd för brott, har varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård eller smittskyddslagen (1988:1472). Registreringen får inte heller innehålla uppgift om att den arbetssökande vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529). För en arbetsgivare får i ett arbetsförmedlingsregister registreras t.ex. uppgift om namn, person- eller organisationsnummer, adress, antal anställda och kontaktpersoner (9 §). Terminalåtkomst eller direktåtkomst till ett arbetsförmedlingsregister får endast finnas vid den förmedling eller det institut som får föra registret (16 §). Vidare finns bestämmelser om registeransvar (15 §), utlämnande av uppgifter på ADB-medium (17 §), sökbegrepp (20 §) samt gallring av uppgifter ur registret. Enligt 22 § skall en arbetssökande som kan komma att registreras innan uppgifter förs in i ett arbetsförmedlingsregister underrättas om ändamålen med registret, de uppgifter registret får innehålla, innebörden av att samtycke till registrering av uppgifter lämnats, de sekretess- och säkerhetsbestämmelser som gäller för registret, rätten att få information och rättelse till stånd enligt personuppgiftslagen, de begränsningar i fråga om terminalåtkomst, utlämnande av uppgifter på medium för automatisk databehandling, sökbegrepp och bevarande av uppgifter som gäller för registret. Lagen innehåller också bestämmelser om AMS centrala statistikregister. Riksdagen beslutade hösten 2001 om lagändringar som möjliggör ett ökat informationsutbyte mellan de allmänna försäkringskassorna, Riksförsäkringsverket, Centrala studiestödsnämnden, länsarbetsnämnderna och arbetslöshetskassorna. Genom lagändringar ges en uppgiftsskyldighet för länsarbetsnämnderna, de allmänna försäkringskassorna, Riksförsäkringsverket och Centrala studiestödsnämnden gentemot arbetslöshetskassorna samt en uppgiftsskyldighet för arbetslöshetskassorna gentemot de nämnda myndigheterna och de allmänna försäkringskassorna. De uppgifter som omfattas av uppgiftsskyldigheten skall lämnas ut utan hinder av sekretess. Vidare görs ändringar i lagen (1994:459) om arbetsförmedlingsregister som innebär att det blir möjligt för länsarbetsnämnderna att lämna ut uppgifter till övriga aktörer i informationsutbytet på elektronisk väg och för dessa aktörer att få direktåtkomst till informationen (16 a och 17 §§). Lagändringarna träder i kraft den 1 juli 2002. I förordning (1994:460) om arbetsförmedlingsregister finns närmare föreskrifter om vissa koder, vad som får lämnas ut på medium för automatiserad behandling till Riksförsäkringsverket, de allmänna försäkringskassorna och Centrala studiestödsnämnden m.m. Genom tillkomsten av lagen om arbetsförmedlingsregister blev arbetsförmedlingregistret och AMS centrala statistikregister så kallade statsmaktsregister. Enligt 6 a § den numera upphävda datalagen (1973:289) ankom det på Datainspektionen att meddela erforderliga föreskrifter för dessa register i den mån sådana föreskrifter inte meddelats av regering eller riksdag. Datainspektionen har fattat beslut rörande ADB-säkerheten för de båda registren.2 Besluten innehåller regler om och krav på åtkomstskydd och behörighetskontroll och att åtkomst av personuppgifter skall kunna följas genom loggning av vem som kommit åt uppgifterna och när det skett. Besluten innehåller vidare bestämmelser om skydd i den datakommunikation som kan förekomma genom uppringbara linjer liksom om tillvägagångssätt när personuppgifter skall utplånas. Även säkerhet vid reparation och service av datorutrustning regleras. I 21 § lagen om arbetsförmedlingsregister finns bestämmelser om gallring av uppgifter i arbetsförmedlingsregister och AMS centrala statistikregister. Av lagrummet framgår att uppgifter om arbetssökande skall gallras två år efter utgången av det år då ärendet avslutats samt att uppgifterna i AMS centrala statistikregister skall gallras tio år efter det att de registrerats. Riksarkivet har i myndighetsspecifika föreskrifter om gallring och annan arkivhantering angett närmare föreskrifter om bevarande och gallring hos länsarbetsnämnderna beträffande uppgifter om arbetssökande i arbetsförmedlingsregister.3 I korthet innebär dessa bestämmelser att de uppgifter som finns intagna i en bilaga till beslutet skall gallras efter en viss tid medan övriga uppgifter skall bevaras och - såsom framgår av lagen om arbetsförmedlingsregister - överlämnas till Riksarkivet. Något beslut från Riksarkivet om gallring av de uppgifter som finns i AMS centrala statistikregister finns inte. Slutligen har AMS beslutat och fastställt följande föreskrifter och råd beträffande arbetsförmedlingsregister och AMS centrala statistikregister. AMS föreskrifter (AMSFS 1994:7) om tillämpningen av lagen (1994:459) om arbetsförmedlingsregister, AMS allmänna råd för tillämpningen av lagen (1994:459) om arbetsförmedlingsregister, och AMS föreskrifter för handläggningen av frågor om arbetsförmedlingsregister och AMS centrala statistikregister. AMS föreskrifter (AMSFS 1994:7) har beslutats efter samråd med Datainspektionen. 4.2 Personuppgiftslagen År 1995 antogs Europaparlamentets och rådets direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlemsstater, så att staterna inte skall kunna hindra det fria flödet mellan dem av personuppgifter under hänvisning till enskilda personers fri- och rättigheter. Den 24 oktober 1998 trädde personuppgiftslagen (1998:204) i kraft. Lagen ersätter datalagen (1973:289) och syftar till att hindra att den personliga integriteten kränks genom behandling av personuppgifter (1 §). Genom personuppgiftslagen genomförs dataskyddsdirektivet och lagen följer dataskyddsdirektivets struktur. I likhet med direktivet reglerar personuppgiftslagen själva hanteringen av personuppgifter och inte bara missbruk av sådana uppgifter. Det innebär att behandling av personuppgifter som inte sker med stöd av personuppgiftslagen eller särskilda registerförfattningar blir otillåten. Personuppgiftslagen är generellt tillämplig och omfattar även sådana verksamheter som faller utanför direktivet, det vill säga bland annat statens ansvar på straffrättens område. De särregleringar i lag eller förordning som kan behövas på olika områden förutsätts få sin plats i särskilda registerförfattningar. Sådana bestämmelser gäller framför personuppgiftslagen. Personuppgiftslagen är utformad så att den är teknikoberoende, det vill säga den tillämpas på all helt eller delvis automatiserad behandling av personuppgifter och på manuell behandling av uppgifter i personregister. Vissa bestämmelser i personuppgiftslagen skall beträffande manuell behandling av personuppgifter inte börja tillämpas förrän den 1 oktober 2007. En utgångspunkt för personuppgiftslagen är att behandling av personuppgifter är tillåten endast i de fall och på de villkor som anges i lagen. I andra fall skall behandling av personuppgifter inte få förekomma. Den personuppgiftsansvarige skall se till att personuppgifter behandlas bara om det är lagligt (9 § a). Enligt personuppgiftslagen avses med personuppgiftsansvarig den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (3 §). Med personuppgift avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet (3 §). I 9 § personuppgiftslagen anges vissa grundläggande krav på behandlingen av personuppgifter. Personuppgifter skall t.ex. samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Efter insamlingen får behandling av uppgifterna inte ske för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Enligt personuppgiftslagen är det tillåtet att behandla personuppgifter efter den registrerades samtycke (10 §). Återkallar den registrerade sitt samtycke får ytterligare personuppgifter om denne inte behandlas (12 §). I vissa fall får dock personuppgifter behandlas trots att samtycke från den registrerade saknas (10 §). Det gäller till exempel om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra en rättslig förpliktelse som åvilar honom eller henne eller om det är nödvändigt för att utföra en arbetsuppgift av allmänt intresse eller för att utföra en arbetsuppgift i samband med myndighetsutövning. Personuppgifter får också behandlas om behandlingen är nödvändig för ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller tredje man till vilka uppgifterna skall lämnas ut och en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av skydd. Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse samt medlemskap i fackförening får inte behandlas (13 §). Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv (13 §). Det är trots förbudet att behandla känsliga personuppgifter tillåtet att göra detta i de fall som anges i 15-19 §§. Från förbudet gäller bland annat undantag när den registrerade uttryckligen samtyckt till behandlingen (15 §), om behandlingen är nödvändig bland annat för att skydda vitala intressen hos den registrerade eller någon annan och den registrerade inte kan lämna sitt samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk (16 §), för vissa ideella organisationer (17 §), inom hälso- och sjukvården (18 §) samt för forskning och statistik (19 §). Regeringen eller den myndighet regeringen bestämmer får vidare i fråga om automatiserad behandling föreskriva ytterligare undantag från förbudet om det behövs med hänsyn till ett viktigt allmänt intresse (20 §). Andra än myndigheter får inte behandla personuppgifter om lagöverträdelser som innefattar brott m.m. (21 §). Personuppgiftslagen innehåller vidare bestämmelser om den personuppgiftsansvariges skyldighet att informera den registrerade om behandling som rör honom eller henne. Den personuppgiftsansvarige skall självmant lämna den registrerade information rörande behandlingen, när uppgifter om en person samlas in från denne själv (23 §). Har uppgifterna samlats in från en annan källa, skall den registrerade informeras när uppgifterna registrerats eller, om avsikten med behandlingen är att lämna ut uppgifterna till tredje man, när uppgifterna lämnas ut för första gången (24 §). Den personuppgiftsansvarige är vidare skyldig att efter ansökan gratis en gång per kalenderår informera om personuppgifter som rör sökanden behandlas eller inte samt - om sådana uppgifter behandlas - ändamålet med behandlingen, vilka uppgifter som behandlas, varifrån dessa uppgifter kommer och till vem de lämnas ut (26 §). Från informationsskyldigheten finns dock undantag som är uppräknade i lagen. Det gäller till exempel om det i lag eller annan författning finns särskilda bestämmelser om registreringen eller utlämnandet av personuppgifter (24 §) eller om det för uppgifterna är föreskrivet sekretess eller tystnadsplikt (27 §). Den personuppgiftsansvarige är skyldig att rätta personuppgifter som är felaktiga, missvisande eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen. Har felaktiga personuppgifter lämnats till tredje man skall denne enligt huvudregeln underrättas om korrigeringsåtgärden (28 §). All behandling av personuppgifter som är helt eller delvis automatiserad skall anmälas till en tillsynsmyndighet (Datainspektionen). Syftet med anmälningsskyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Tillsynsmyndigheten skall föra register över anmälda behandlingar. Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten får föreskriva undantag från anmälningsskyldigheten. Av 3 § 3 personuppgiftsförordningen (1998:1191) följer att sådan anmälningsskyldighet inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Vidare behövs ingen anmälan när den personuppgiftsansvarige anmält till tillsynsmyndigheten att ett personuppgiftsombud utsetts av denne. Ett personuppgiftsombud har bl.a. till uppgift att övervaka och se till att den personuppgiftsansvarige behandlar personuppgifter på ett korrekt och lagligt sätt och påpeka eventuella brister för denne. 5 En ny lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten 5.1 En författningsreglering behövs Regeringens förslag: De ramar för behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten som är viktiga ur integritetssynpunkt skall anges i lag. En ny lag införs som ges namnet lag om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna tillstyrker i huvudsak förslaget eller lämnar det utan erinran. Landsorganisationen i Sverige (LO) anser att det inte är tillräckligt med en ramlagstiftning som kan kompletteras med föreskrifter. Skälen för regeringens förslag: Informationstekniken har under de senaste årtiondet utvecklats mycket snabbt. Tekniken erbjuder möjligheter att effektivisera och rationalisera verksamheter av olika slag. På alla samhällsområden pågår en fortlöpande utveckling mot en allt mer intensifierad datorisering. Lagen (1994:459) om arbetsförmedlingsregister speglar den IT-miljö som var för handen inom Arbetsmarknadsverket i början av 1990-talet. IT-utvecklingen i den operativa verksamheten, såsom platsförmedling, ärendehandläggningsstöd, statistikproduktion m.m., har varit mycket snabb och fått en bredd som vid nyssnämnda tidpunkt inte var tekniskt möjlig. Den maskinella infrastrukturen inom Arbetsmarknadsverket, såsom exempelvis datorkapacitet, är helt förändrad. Numera tar i praktiken all verksamhet som bedrivs inom verket - även den rent administrativa - någon form av informationsteknik till hjälp. Kommunikation och informationsöverföring via Internet var praktiskt taget omöjlig i Arbetsmarknadsverkets IT-verksamhet för drygt ett årtionde sedan. I dag sker en omfattande verksamhet i en rad olika avseenden i den nya mediavärlden inom Arbetsmarknadsverket. Tidigare fyllde den generellt tillämpliga datalagen ut lagen om arbetsförmedlingsregister. Lagen om arbetsförmedlingsregister bygger numera på att personuppgiftslagen fyller ut där det inte finns några bestämmelser i registerlagen. Personuppgiftslagens övergångsbestämmelser har inneburit en respit för lagstiftaren till den 30 september 2001 i fråga om anpassningen av dagens registerreglering till personuppgiftslagen och dataskyddsdirektivet. Den 1 oktober 2001 inträffade avgörande förändringar i de rättsliga möjligheterna att behandla personuppgifter. I flera avseenden är förändringarna stora, bland annat genom att inte endast personregister utan även helt eller delvis automatiserad behandling av personuppgifter i löpande text (ordbehandling m.m.) omfattas av den nya regleringen. I och med att datalagen upphörde att gälla den 30 september 2001 regleras - förutom viss manuell behandling av personuppgifter - således all behandling av personuppgifter av personuppgiftslagen, såvida det inte finns en särskild registerförfattning som gäller för viss behandling av personuppgifter. En sådan registerförfattning innebär en specialreglering i förhållande till personuppgiftslagen i syfte att komplettera den eller i vissa delar ersätta den. En särskild författning anses under vissa förutsättningar innebära en bättre garanti för utformningen av integritetsskyddet i särskilt känsliga register. Sådan författningsreglering av personregister har skett utifrån det principiella ställningstagandet att myndighetsregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag (prop. 1990/91:60 om offentlighet, integritet och ADB, s. 56 ff och bet. 1990/91:KU11 s. 11), vilket också framhölls i förarbetena till personuppgiftslagen (prop. 1997/98:44, s. 41). Registerförfattningar finns också i dag inom flera områden där personuppgifter behandlas i register eller databaser såsom till exempel inom skatt-, tull och exekutionsväsendet, socialtjänsten och kriminalvården, lag (2001:181) om behandling av personuppgifter i skatteförvaltningens beskattningsverksamhet, lag (2001:184) om behandling av personuppgifter i kronofogdemyndigheternas verksamhet och lag (2001:185) om behandling av uppgifter i Tullverkets verksamhet, (prop. 2000/01:33), lag (2001:454) om behandling av personuppgifter inom socialtjänsten, (prop. 2000/01:80), lag (2001:617) om behandling av personuppgifter inom kriminalvården, (prop. 2000/01:126). Den första frågan som ställning således bör tas till är om regleringen av behandlingen av personuppgifter i den arbetsmarknadspolitiska verksamheten kan ske enbart genom en tillämpning av personuppgiftslagen eller om denna behandling bör författningsregleras särskilt genom antingen lag eller förordning. I den arbetsmarknadspolitiska verksamheten behandlas en mängd uppgifter om bland annat enskilda personer och uppgifterna är i många fall av integritetskänslig natur. Enligt regeringens bedömning är arbetsmarknadsmyndigheternas automatiserade och manuella behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten av sådan karaktär och omfattning att de grundläggande principerna för hur dessa får behandlas bör - i likhet med vad som gäller i dag - regleras i lag. Behovet av förändringar i förhållande till den nu gällande registerlagen är så stora att en ny lag bör införas. Den nya lagen föreslås få namnet lag om behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten. 5.2 Lagens tillämpningsområde Regeringens förslag: Lagen skall tillämpas vid behandling av personuppgifter i Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet som gäller arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. Behandling av uppgifter i administrativ verksamhet skall dock inte omfattas. Lagen skall liksom personuppgiftslagen gälla vid helt eller delvis automatiserad behandling av personuppgifter och även för viss manuell behandling av sådana uppgifter. Behandling av personuppgifter som är tillåten enligt lagen får utföras även om den registrerade motsätter sig behandlingen. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Endast Arbetsmarknadsstyrelsen (AMS) och Riksdagens ombudsmän har yttrat sig särskilt i denna del. AMS delar de ställningstaganden som redovisas i promemorian. Riksdagens ombudsmän har påtalat att formuleringen att den registrerade inte har rätt att motsätta sig viss behandling av personuppgifter är mindre lämplig. Skälen för regeringens förslag Arbetsmarknadspolitisk verksamhet m.m. Av förordningen (2001:623) med instruktion för Arbetsmarknadsverket framgår att Arbetsmarknadsverket omfattar Arbetsmarknadsstyrelsen (AMS) och en länsarbetsnämnd i varje län. I länsarbetsnämnderna ingår bland annat den offentliga arbetsförmedlingen. AMS är central förvaltningsmyndighet för allmänna arbetsmarknadsfrågor och chefsmyndighet för länsarbetsnämnderna. Allmänna bestämmelser om den arbetsmarknadspolitiska verksamheten hos Arbetsmarknadsverket finns i förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten. I denna förordning regleras bland annat vilka huvuduppgifterna i denna verksamhet är (3 §), hur verksamhetens skall utformas (4 §) och formerna för verksamheten (5 §). Dessa bestämmelser anger ramen för vad som utgör arbetsmarknadspolitisk verksamhet. Huvuduppgifterna i verksamheten är att effektivt sammanföra den som söker arbete med den som söker arbetskraft, att främja sysselsättning och kompetensutveckling för arbetslösa personer på en effektiv och flexibel arbetsmarknad, att underlätta för personer med svag ställning på arbetsmarknaden att få arbete och förhindra utslagning från arbetsmarknaden, att motverka långa tider utan reguljärt arbete, samt att motverka en könsuppdelad arbetsmarknad och på andra sätt bidra till ökad jämställdhet mellan kvinnor och män samt till ökad mångfald i arbetslivet. Verksamheten skall utformas så att den stärker den enskildes möjligheter att få eller behålla ett reguljärt arbete som så nära som möjligt ansluter till hans eller hennes förutsättningar och önskemål, så att den inte snedvrider konkurrensförutsättningarna för annan verksamhet, så att risken för att reguljära arbetstillfällen trängs undan blir så liten som möjligt, så att den anpassas till skilda förutsättningar och behov i olika delar av landet, och så att den är förenlig med målen för ett ekologiskt hållbart Sverige. Formerna för den arbetsmarknadspolitiska verksamheten är platsförmedling, vägledning, arbetsmarknadspolitiska program, arbetslivsinriktad rehabilitering, arbetslivstjänster och vissa anställningsfrämjande åtgärder. Verksamheten omfattar även frågor om bland annat arbetstillstånd, arbetslöshetsförsäkringen, totalförsvaret och byggnadstillstånd m.m. De personuppgifter om en arbetssökande, en arbetsgivare eller en kontaktperson som behövs för att genomföra den verksamhet som Arbetsmarknadsverket har i uppdrag att bedriva enligt ovan bör enligt regeringens uppfattning omfattas av lagen. Dessa personkategorier omfattas även av den nu gällande registerlagen. AMS och länsarbetsnämnderna behandlar inom ramen för verksamheten i dag även uppgifter rörande personer som inte kan kategoriseras som arbetssökande, arbetsgivare eller kontaktpersoner, exempelvis i samband med frågor om arbetstillstånd, arbetslöshetsförsäkringen, totalförsvaret och byggnadstillstånd eller rörande vissa anställningsfrämjande åtgärder. Hanteringen av personuppgifter beträffande dessa personer har tidigare skett med stöd av den numera upphävda datalagen (1973:289) och sker från den 1 oktober 2001 med stöd av personuppgiftslagen. Regeringen anser dock att personuppgifter rörande samtliga personer som omfattas av den arbetsmarknadspolitiska verksamheten enligt de ramar som nu ges i förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten bör regleras i samma lag. Det är emellertid inte möjligt att i lag ange en samlad benämning på den personkrets som lagen bör omfatta utöver huvudkategorierna arbetssökande, arbetsgivare och kontaktpersoner. Den ram som en förordning ger beträffande vad som utgör arbetsmarknadspolitisk verksamhet bör dock enligt regeringens uppfattning vara tillräcklig för att kunna avgränsa denna personkategori. Lagen bör således omfatta behandling av personuppgifter även beträffande dessa personer. Intern administration Hos myndigheter behandlas ofta personuppgifter även rörande frågor som ligger utanför den direkta verksamheten. Det kan i sådana fall handla om behandling av personuppgifter inom den interna administrationen, till exempel frågor som gäller personal, uppgift om till vilken enhet inom en myndighet ett ärende hör, uppgift om vem som handlägger ett visst ärende eller uppgift om vilka specialkunskaper en handläggare besitter. Regeringen har i förarbetena till den särskilda lagstiftningen om behandling av personuppgifter inom skatt-, tull- och exekutionsväsendet (prop. 2000/01:33, s. 87 och 103 f) uttalat att någon särreglering inte behövs beträffande behandling av sådana uppgifter, utan att personuppgiftslagen är tillämplig på den interna administrationen. Personuppgiftslagen bör därmed kunna tillämpas även på den administrativa delen av den verksamhet som myndigheterna inom Arbetsmarknadsverket bedriver och föreslås därför inte omfattas av den nya lagen. Helt eller delvis automatiserad behandling samt manuell behandling Personuppgiftslagen gäller för sådan behandling av personuppgifter som är helt eller delvis automatiserad (5 § första stycket). Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (manuell behandling) (5 § andra stycket). En lag som avser behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten bör omfatta samma behandlingar som personuppgiftslagen. I dag behandlas personuppgifter vid den allmänna ärendehanteringen inom Arbetsmarknadsverket både i manuellt hanterade personakter och automatiserat i de två personregister som omfattas av lagen om arbetsförmedlingsregister. Det förekommer även att personuppgifter behandlas vid annan automatiserad informationsbehandling, exempelvis i löptext. Den automatiserade hanteringen av personuppgifter i arbetsförmedlingsregistret (arbetsgivar- och arbetssökanderegister) samt AMS centrala statistikregister är noggrant reglerad i den nu gällande registerlagen, i synnerhet beträffande sådana uppgifter som betraktas som känsliga enligt personuppgiftslagen och så kallade ömtåliga uppgifter (se 6-8 §§ lagen om arbetsförmedlingsregister). Detta rättsliga skydd för den personliga integriteten bör enligt regeringens mening vidmakthållas även i den nu föreslagna lagen (se vidare avsnitt 5.7). Arbetsförmedlingsregistret (men inte AMS centrala statistikregister) är kopplat till manuellt hanterade personakter bland annat på så sätt att vissa känsliga och andra ömtåliga personuppgifter får registreras i registret i form av daganteckningar under vissa förutsättningar. I den mån uppgifterna inte får tas in i registret kan i daganteckningen göras en hänvisning till personakten. Av daganteckningen framgår då att anteckning om de känsliga eller ömtåliga uppgifterna gjorts i den manuella personakten. Personakterna är inte elektroniska i dag, men tillgängliga för sökning via vissa av uppgifterna i arbetsförmedlingsregistret. Eftersom vissa av personuppgiftslagens bestämmelser såvitt gäller manuell behandling av personuppgifter inte skall tillämpas före den 1 oktober 2007 kan gränsdragningsfrågor mellan manuell och automatiserad behandling av personuppgifter uppstå. För vägledning i dessa frågor hänvisas till propositionen Personuppgiftslag (prop. 1997/98:44 s. 38 ff och s. 118). Enligt lagen tillåten behandling av personuppgifter får utföras även om den registrerade motsätter sig det Enligt dataskyddsdirektivet torde den behandling av personuppgifter som regleras i lagförslaget anses tillåten utan samtycke av den registrerade med stöd av främst artikel 7 e. Där anges att personuppgifter får behandlas om behandlingen är nödvändig för att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut. I artikel 14 a i direktivet föreskrivs att medlemsstaterna skall tillförsäkra den registrerade rätten att åtminstone i de fall som avses i bland annat artikel 7 e när som helst av avgörande och berättigade skäl som rör hans personliga situation motsätta sig behandling av uppgifter som rör honom, utom när den nationella lagstiftningen föreskriver något annat. I 12 § andra stycket personuppgiftslagen föreskrivs med anledning härav att en registrerad inte, utöver vad som följer av 11 § och 12 § första stycket den lagen, har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt personuppgiftslagen. Utformningen av 12 § andra stycket personuppgiftslagen gör det svårt att direkt hänvisa till den. Riksdagens ombudsmän har därtill anfört att paragrafens formulering i promemorian är mindre lämplig eftersom avsikten inte torde vara att frånkänna den enskilde rätt att motsätta sig behandling eller med andra ord att hävda uppfattningen att behandling inte bör komma till stånd. Som även Riksdagens ombudsmän påtalat avser bestämmelsen i stället att klargöra att en behandling av personuppgifter som är tillåten enligt lagen får genomföras även om den registrerade motsätter sig det. För att tillgodose dataskyddsdirektivets krav på nationell lagstiftning och för att den registrerade inte i vissa fall skall kunna motsätta sig behandling av personuppgifter, anser regeringen att det i den föreslagna lagen bör föreskrivas att behandling av personuppgifter som är tillåten enligt lagen får utföras även om den registrerade motsätter sig behandlingen. 5.3 Förhållandet till personuppgiftslagen Regeringens förslag: Personuppgiftslagen gäller vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annat följer av den nya lagen eller föreskrifter som har meddelats med stöd av den nya lagen eller annars av 2 § personuppgiftslagen. Promemorians förslag: Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Endast AMS och Datainspektionen har yttrat sig i denna del. AMS har tillstyrkt förslaget. Datainspektionen har anfört att det finns ett värde i att ange vilka bestämmelser i personuppgiftslagen som skall tillämpas vid sidan av den föreslagna lagen. Skälen för regeringens förslag: Personuppgiftslagen innehåller vissa definitioner och grundläggande krav på när behandling av personuppgifter är tillåten. I lagen finns vidare bl.a. bestämmelser om information till den registrerade, om säkerhet vid behandlingen, om rättelse av uppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen och om skadestånd. Personuppgiftslagen gäller för behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten om inte annat regleras särskilt. Med hänsyn till de integritetskänsliga uppgifter som förekommer i den arbetsmarknadspolitiska verksamheten bör, som regeringen anfört ovan, vissa för behandlingen viktiga förhållanden regleras i en ny särskild lag. Enligt regeringens uppfattning bör den nya lagen bygga på personuppgiftslagen och endast innehålla de särbestämmelser och förtydliganden som är nödvändiga för den arbetsmarknadspolitiska verksamheten. Lagregleringen bör dock endast innehålla de ur integritetssynpunkt viktigaste bestämmelserna och inte vara alltför detaljerad. Lagen kommer därför att behöva kompletteras med författningar på lägre nivå. Det innebär att närmare avvägningar kring bland annat integritetsskyddet kommer att ske i samband med att sådana författningar utarbetas. Datainspektionen har påtalat att det kan vara svårt att avgöra vilka regler i personupgiftslagen som är tillämpliga på det område som regleras av en speciallag. Det vore därför enligt Datainspektionens uppfattning värdefullt att i speciallagen ange vilka bestämmelser i personuppgiftslagen som skall tillämpas. Lagrådet har emellertid i sitt yttrande i samband med den särskilda lagstiftningen om nya lagar om behandling av personuppgifter inom beskattnings- tull- och exekutionsverksamheterna, där denna teknik åtminstone delvis använts, uttalat att lagstiftningstekniken är otillfredsställande och riskfylld (prop. 2000/01:33 s. 345). Regeringen föreslår därför, på samma sätt som skett i lagstiftningsärendena avseende socialtjänsten och kriminalvården, att de regler i personuppgiftslagen som är tillämpliga inte skall anges i lagen. 5.4 Personuppgiftsansvar Regeringens förslag: Arbetsmarknadsstyrelsen och länsarbetsnämnderna skall vara personuppgiftsansvariga för den behandling av personuppgifter som myndigheten utför. Promemorians förslag: Överensstämmer med regeringens förslag med den skillnaden att i promemorian föreslås att den myndighet som skall utföra behandlingen är personuppgiftsansvarig. Remissinstanserna: Endast Riksdagens ombudsmän och Datainspektionen har yttrat sig i denna del. Riksdagens ombudsmän har ifrågasatt vilken myndighet som är personuppgiftsansvarig för en behandling som utförs i strid med gällande regler och som myndigheten således inte skall utföra. Datainspektionen har anfört att det måste framgå för den registrerade vem som är personuppgiftsansvarig. Skälen för regeringens förslag: Med personuppgiftsansvarig avses enligt 3 § personuppgiftslagen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Personuppgiftslagen medför ett långtgående ansvar för den personuppgiftsansvarige att se till att all behandling av personuppgifter sker i överensstämmelse med lagen. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 97 f), har regeringen beträffande frågan om vilken myndighet som skall vara personuppgiftsansvarig i de där aktuella verksamheterna gjort bedömningen att det inte är möjligt att i lag närmare bestämma vilken myndighet i de berörda myndighetsorganisationerna som bör vara ansvarig för olika specifika behandlingar. Utgångspunkten är i stället att utforma regleringen så att den myndighet på vilken det ankommer att utföra en viss behandling skall vara ansvarig för just den behandlingen. I likhet med regeringens uppfattning i den ovannämnda propositionen är det svårt att för den arbetsmarknadspolitiska verksamheten i lag närmare bestämma vilken myndighet som bör vara ansvarig för olika specifika behandlingar av personuppgifter. De myndigheter som kan komma i fråga för personuppgiftsansvaret är AMS och länsarbetsnämnderna. Riksdagens ombudsmän har ifrågasatt det lämpliga i att personuppgiftsansvaret begränsas till behandling av personuppgifter som det ankommer på en myndighet att utföra, eftersom oklarhet då uppkommer om vem som är personuppgiftsansvarig för en behandling som myndigheten utför i strid mot gällande regler och som det därmed inte ankommer på myndigheten att utföra. Med hänsyn härtill anser regeringen att personuppgiftsansvaret bör utformas så att den myndighet som utför en viss behandling är ansvarig för den behandlingen, oavsett om det ankom på myndigheten att utföra behandlingen eller inte. När det gäller frågan vilken myndighet som har personuppgiftsansvaret kan följande synpunkter vara en lämplig utgångspunkt. Den behandling av personuppgifter som sker vid till exempel ordbehandling bör den myndighet inom Arbetsmarknadsverket hos vilken behandlingen faktiskt sker vara personuppgiftsansvarig för. När uppgifter behandlas i en databas bör den myndighet som avgör om en viss uppgift skall föras in i databasen vara ansvarig för att den lagrade uppgiften är korrekt, eftersom det i praktiken endast torde vara den myndigheten som har möjlighet att garantera uppgiftens riktighet. Den behandling av uppgiften som sker därefter kan emellertid andra myndigheter bli ansvariga för, eftersom varje myndighet ansvarar för sin behandling. När det gäller frågor av mer övergripande natur får personuppgiftsansvarets fördelning grundas på vilken myndighet som har befogenhet och skyldighet att utföra dessa åtgärder. Enligt regeringens bedömning bör det i praktiken inte behöva uppstå några problem i fråga om vem som är personuppgiftsansvarig för olika behandlingar. En förutsättning är emellertid att det går att fastställa vilken myndighet inom Arbetsmarknadsverket som har behandlat en viss uppgift och hur denna uppgift har behandlats. 5.5 Ändamålen med behandlingen m.m. Regeringens förslag: Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla personuppgifter inom den arbetsmarknadspolitiska verksamheten bara om det behövs för 1. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten, 2. publicering av platsinformation, 3. planering, metodutveckling, tillsyn, uppföljning, resultatredovisning och utvärdering av den arbetsmarknadspolitiska verksamheten, 4. framställning av avidentifierad statistik, och 5. samarbete på det arbetsmarknadspolitiska området inom Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad (primära ändamål). Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla personuppgifter för tillhandahållande av information som behövs inom 1. Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens eller arbetslöshetskassornas verksamhet, som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, samt 2. Riksskatteverkets och skattemyndigheternas verksamhet som underlag för beslut om och kontroll av skatt (sekundära ändamål). Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter som begränsar dels de primära ändamål för vilka behandling är tillåten, dels vilka personuppgifter som får behandlas för ett visst ändamål. Promemorians förslag: Överensstämmer med regeringens förslag förutom att i promemorian föreslås att det i lagen skall anges vilka uppgifter arbetsmarknadsmyndigheterna får inhämta från bl.a. myndigheter. Remissinstanserna: Flertalet remissinstanser tillstyrker eller lämnar förslaget utan invändningar. Datainspektionen föreslår att regeringen i det fortsatta författningsarbetet anger deländamål för hur uppgifter får användas. Riksskatteverket (RSV), Centrala studiestödsnämnden (CSN) och LO föreslår att arbetsmarknadsmyndigheterna skall få behandla personuppgifter för att även tillhandahålla kronofogdemyndigheter, kommuner, Överklagandenämnden för studiestöd respektive fackliga organisationer med information som de behöver för sin verksamhet. Institutet för Arbetsmarknadspolitisk utvärdering önskar att forskningsändamål skall få påverka insamlandet av data. LO har även påpekat att det är av vikt att en tydlig avgränsning görs beträffande vilka uppgifter som får registreras. Skälen för regeringens förslag: Enligt 9 § personuppgiftslagen får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål och uppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. De särskilda ändamål som den personuppgiftsansvarige skall ha angett när insamlingen av uppgifter sker - eller som framgår av en särskild registerlagstiftning - och regleringen av vilka uppgifter som får registreras anger således ramen för behandlingen av personuppgifter. Med behandling av personuppgifter avses enligt 3 § personuppgiftslagen varje åtgärd som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Detta innebär att utlämnande av uppgifter från ett register eller en databas i en verksamhet till en annan verksamhet utgör behandling i personuppgiftslagens mening. Primära ändamål I dag får arbetsförmedlingsregistret och AMS centrala statistikregister föras för vissa särskilt angivna primära ändamål. Arbetsförmedlingsregistret får användas för 1. handläggning av ärenden som rör platsförmedling, arbetsförberedande åtgärder i form av vägledning, utbildning och arbetslivsinriktad rehabilitering samt andra arbetsmarknadspolitiska program som föreskrivs i lag eller förordning, 2. publicering av platsinformation, 3. planering, metodutveckling, tillsyn, uppföljning och utvärdering av verksamheten, 4. framställning av statistik, och 5. arbetsförmedlingssamarbete enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad och inom ramen för avtalet om Europeiska ekonomiska samarbetsområdet (2 § lagen om arbetsförmedlingsregister). AMS centrala statistikregister får användas för att framställa avidentifierad statistik som underlag för planering, metodutveckling, tillsyn, uppföljning och resultatredovisning (3 § lagen om arbetsförmedlingsregister). Även i fortsättningen bör en behandling av uppgifter få ske för ovan angivna ändamål. Den nya lagen bör därför ha samma ändamål dock med det tillägget att handläggning av ärenden bör omfatta hela den arbetsmarknadspolitiska verksamheten och inte begränsas till de i punkten 1 angivna ärendena. Sekundära ändamål I propositionen Ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet (prop. 2000/01:129 s. 67 f och 73 ff) behandlas frågan om möjligheten att lämna ut uppgifter mellan myndigheter på elektronisk väg och direktåtkomst till elektroniskt lagrad information. Enligt personuppgiftslagen får ett utlämnande av uppgifter inte ske utan att det omfattas av ändamålet med behandlingen av personuppgifter i verksamheten. I propositionen föreslås att det görs en uppdelning av ändamålen i arbetsförmedlingsregistret i primära och sekundära ändamål. En sådan uppdelning har även gjorts i de olika lagarna om behandling av personuppgifter inom skatt, tull och exekution. Syftet med uppdelningen är att göra tydligt hur uppgifterna får användas i den egna verksamheten och hur de får behandlas för att lämnas ut till andra. Riksdagen har under hösten 2001 beslutat om de föreslagna lagändringarna vilka träder i kraft den 1 juli 2002. Från denna tidpunkt kommer således i lagen om arbetsförmedlingsregister att gälla ytterligare ett ändamål (sekundärt) för vilket uppgifter i ett arbetsförmedlingsregister får behandlas. Uppgifter kommer att få behandlas i registret av länsarbetsnämnder för tillhandahållande av information som behövs i Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens och arbetslöshetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild (2 a §). Uppdelningen av ändamål i primära och sekundära bör finnas även i den nu föreslagna lagen. Regeln i 2 a § bör därför föras över till den nya lagen. Redan i dag får regeringen föreskriva att vissa uppgifter får lämnas ut på medium för automatisk databehandling till Riksskatteverket och skattemyndigheterna (17 § tredje stycket lagen om arbetsförmedlingsregister samt 4 § andra stycket förordningen [1994:460] om arbetsförmedlingsregister). Eftersom sådant utlämnande av uppgifter är vanligt förekommande och utgör behandling av uppgifter enligt personuppgiftslagen, bör även tillhandahållande av uppgifter till Riksskatteverket och skattemyndigheterna omfattas av de sekundära ändamålen. Inhämtande av uppgifter I promemorians lagförslag föreslås att arbetsmarknadsmyndigheterna skall få inhämta uppgifter om vissa utbetalda medel från bl.a. myndigheter för behandling i databasen i enlighet med den nuvarande regleringen i 14 § arbetsförmedlingsregisterlagen. Regeringen gör dock bedömningen att de personuppgifter som arbetsmarknadsmyndigheterna enligt 14 § lagen om arbetsförmedlingsregister och 21 § förordningen (1997:835) om arbetslöshetsförsäkring i dess lydelse från den 1 juli 2002 får inhämta omfattas av de primära ändamålen. Dessa personuppgifter får därmed behandlas i den arbetsmarknadspolitiska verksamheten. Någon särskild lagregel erfordras därför inte. Ytterligare föreskrifter m.m. I 9 § personuppgiftslagen anges grundläggande krav på behandling av personuppgifter. Av 9 § a, d-f framgår att personuppgifter får behandlas bara om det är lagligt, att de inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler uppgifter får behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. De ändamål för vilka uppgifterna får behandlas utgör därför ramen för vilka uppgifter som får behandlas och hur de får användas. LO har anfört att det i lagen bör preciseras vilka uppgifter som får behandlas för de olika ändamålen. Enligt regeringens uppfattning är det tillräckligt att lagen genom ändamålsbestämmelserna och bestämmelserna om behandling av känsliga och ömtåliga personuppgifter anger ramarna för den tillåtna behandlingen. Det bör enligt regeringens bedömning inte utgöra någon risk för intrång i den personliga integriteten att låta regeringen, eller den myndighet regeringen bestämmer, meddela föreskrifter om begränsningar av de primära ändamål för vilka behandling är tillåten och begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Lagrådet har i samband med sin behandling av bestämmelsen om behandling av känsliga personuppgifter anfört att Lagrådet förutsätter att regeringen utnyttjar sin befogenhet att meddela föreskrifter om vilka personuppgifter som får behandlas för ett viss ändamål till att ange bestämda restriktioner för behandling av känsliga personuppgifter (se avsnitt 5.7). En del av de uppgifter som behandlas av myndigheterna inom Arbetsmarknadsverket är av integritetskänslig natur. Utgångspunkten är att alla uppgifter som är nödvändiga för det ändamål för vilket behandlingen får utföras får behandlas i den arbetsmarknadspolitiska verksamheten. Det innebär i sin tur inte att varje uppgift hos myndigheterna inom Arbetsmarknadsverket skall få behandlas automatiserat och få vara sökbar av vem som helst. Personuppgiftslagens krav på att den personuppgiftsansvarige skall vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de uppgifter som behandlas (31 §) är avsedda att förebygga missbruk. Systemet för behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten måste därför bygga på en hög grad av säkerhet och förutsätta att det finns behörighetskoder för användarna. Även andra tekniska begränsningar i åtkomsten måste övervägas i det fortsatta författningsarbetet. Regeringen avser att vid det fortsatta författningsarbetet ta ställning till Datainspektionens förslag att ange deländamål för hur uppgifter i databaser får användas. Beträffande RSV:s, CSN:s och LO:s förslag att arbetsmarknadsmyndigheterna även skall få behandla personuppgifter för att tillhandahålla kronofogdemyndigheter, kommuner, Överklagandenämnden för studiestöd respektive fackliga organisationer den information de behöver i sin verksamhet är det regeringens uppfattning att en sådan utökning av informationsutbytet bör övervägas ytterligare innan ett sådant förslag lämnas. Detsamma gäller för Institutet för Arbetsmarknadspolitisk utvärderings önskemål att forskningsändamål skall få påverka insamlandet av data. 5.6 Databaser i stället för register Regeringens förslag: I den arbetsmarknadspolitiska verksamheten får det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de primära och sekundära ändamålen (arbetsmarknadspolitisk databas). Regeringen meddelar ytterligare föreskrifter om vilka personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar av de personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Remissinstanserna har inte haft några invändningar mot förslaget. Datainspektionen har framhållit att begreppet databas är praktiskt användbart endast om den som skall hantera personuppgifter har möjlighet att bedöma huruvida en uppgift används gemensamt eller inte. Skälen för regeringens förslag Begreppet databas i den arbetsmarknadspolitiska verksamheten I personuppgiftslagen används inte begreppet register överhuvudtaget för olika samlingar av uppgifter. I stället talas det om behandling av personuppgifter. I de nya lagarna om behandling av personuppgifter inom beskattnings-, tull- och exekutionsverksamheterna har begreppet databas införts för de elektroniska sammanställningar av personuppgifter som sker i dessa verksamheter. I förarbetena till dessa lagar (prop. 2000/01:33, s. 88 ff) redogörs för argument för och emot begreppen register och databas som benämning på ADB-baserade samlingar av bland annat personuppgifter. Regeringens skäl för att införa begreppet databas för den elektroniska behandling av personuppgifter som sker i beskattnings-, tull- och exekutionsverksamheter i stället för register kan sammanfattas enligt följande. Begreppet register är inte så väl lämpat att användas på datasystem som innefattar elektronisk ärendehantering där inkomna handlingar bildfångas och beslut upprättas med automatiserad behandling för att sedan lagras elektroniskt tillsammans med uppgiftssamlingar av mer registerartad karaktär. Begreppet databas har rent språkligt en mer naturlig anknytning till automatiserade sammanställningar av uppgifter. Begreppet register bör i stället förbehållas sådana automatiserade uppgiftssamlingar som faktiskt utgör register i en mer strikt betydelse, nämligen när uppgifterna är organiserade på ett systematiserat sätt enligt fastställda kriterier. En sådan definition av begreppet databas utesluter manuella register och gör det möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i databaser som är särskilt reglerade till sitt innehåll och användning. Definitionen har även den fördelen att den inte tekniskt avgränsar hur en samling uppgifter är uppbyggd eller organiserad. Det innebär att om flera register - i egentlig bemärkelse - är sammanlänkade och samtliga uppgifter i de olika registren på ett gemensamt sätt är tillgängliga för sökning med automatiserad behandling inom en avgränsad verksamhet så utgör dessa register en databas. En databas kan således innehålla flera mindre databaser, varav en del kan vara regelrätta register. Den elektroniska hanteringen av personuppgifter inom Arbetsmarknadsverket sker, utöver traditionellt upprättade handlingar i löptext, såsom tjänsteanteckningar m.m., i arbetsförmedlingsregistret och i AMS centrala statistikregister. Vidare kan uppgifterna i arbetsförmedlingsregistret vara knutna till en personakt, som inte förs i automatiserad form, på sätt som beskrivits ovan i avsnitt 5.2. De uppgifter som får föras in registret i form av daganteckningar gör att gränsen mellan en manuell ärendehantering och en elektronisk sådan kan vara flytande. Det finns också skäl att anta att en ärendehantering där allt behandlas elektroniskt kommer att öka i betydelse med tiden. Det är bland annat mot denna bakgrund viktigt att det finns gemensamma regler för den behandling av personuppgifter som sker genom automatiserad behandling, i synnerhet beträffande uppgifter som anses vara av känslig eller ömtålig natur. De överväganden som legat till grund för att införa begreppet databas i beskattnings-, tull- och exekutionsverksamheterna bör enligt regeringens mening kunna ligga till grund för att införa begreppet databas även för de automatiserade sammanställningar av personuppgifter som förekommer i den arbetsmarknadspolitiska verksamheten. Begreppet databas återspeglar i större utsträckning den elektroniska verklighet med behandling av personuppgifter som sker i dag i Arbetsmarknadsverket än ett register gör. Regeringen anser därför att detta begrepp bör införas även i denna verksamhet som en juridisk beteckning på en samling uppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten och ersätta det tidigare registerbegreppet. En uppgift anses - i likhet med vad som anförs i förarbetena till lagarna om behandling av personuppgifter inom skatt, tull och exekution - gemensamt tillgänglig och därmed utgörande del av en databas om den registreras och lagras i ett datasystem på ett sådant sätt att en tjänsteman inom en eller flera myndigheter har möjlighet att vid behov och i olika sammanhang ta del av uppgiften direkt eller på automatiserad väg. En sådan definition av begreppet databas utesluter - i likhet med vad som gäller vid behandling av personuppgifter inom skatt, tull och exekution - manuella register och gör det enligt regeringens bedömning möjligt att särskilja tillfälliga behandlingar av personuppgifter i en dator från behandlingar i databaser som är särskilt reglerade till sitt innehåll och användning. Av integritetsskäl bör stora uppgiftssamlingar som hanteras av myndigheter och som ger möjligheter till sammanställningar av en rad olika uppgifter om enskilda personer omgärdas av särskilda skyddsregler. Särskilda bestämmelser bör således gälla för behandling av uppgifter i databaser i den arbetsmarknadspolitiska verksamheten, bland annat vilka uppgifter som får behandlas i databasen, vilken åtkomst andra myndigheter och andra skall ha till uppgifterna samt vad som gäller vid bevarande och gallring. Behandling av personuppgifter i databasen Utgångspunkten vid utformningen av en ny författningsreglering om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten bör bland annat vara att denna i största möjliga utsträckning möjliggör successiva förändringar i systemen utan att hela regelverket behöver ändras. Den lagstiftning som reglerar användandet av datorstöd måste således vara teknikoberoende och flexibel för att inte hindra pågående och framtida effektiviseringar av verksamheter. Det kan därför vara behäftat med betydande nackdelar att reglera alla frågor i lag. Mot bakgrund av att en grundläggande princip i dataskyddsdirektivet och personuppgiftslagen är att behandling av personuppgifter inte får vara oförenlig med de ändamål för vilka de har samlats in bör emellertid klart angivna ändamål med behandlingen av personuppgifter i lagen ge en tillräcklig garanti för den personliga integriteten utan att en närmare reglering av dessa uppgifter behövs i själva lagen. En reglering av vilka känsliga och ömtåliga personuppgifter som skall få behandlas bör dock regleras närmare i lagen (se avsnitt 5.7). Vilka övriga personuppgifter som får föras in i databasen samt närmare föreskrifter om känsliga och ömtåliga personuppgifter får uttömmande preciseras i annan författning. Dessa uppgifter torde vara desamma som idag får registreras i de olika registren. Av integritetsskäl bör det dock enbart ankomma på regeringen att föreskriva vilka uppgifter som får behandlas i databasen. Den myndighet regeringen bestämmer bör dock ges möjlighet att göra ytterligare begränsningar av uppgifterna om behov föreligger. Detta arbete bör i den mån det behövs ske i samråd med Datainspektionen. 5.7 Behandling av känsliga personuppgifter m.m. Regeringens förslag: Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I en arbetsmarknadspolitisk databas får inga andra känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) behandlas än sådana som avslöjar etniskt ursprung eller rör hälsa. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa, personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en enskild, får behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde skriftligen har samtyckt till detta. Angående återkallelse av ett sådant samtycke gäller vad som föreskrivs i 12 § första stycket personuppgiftslagen. Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samt uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) får inte behandlas i en arbetsmarknadspolitisk databas. Promemorians förslag: Överensstämmer huvudsakligen med regeringens. I promemorian föreslås dock att sådana personuppgifter som avslöjar ras skall få behandlas i en arbetsmarknadspolitisk databas, att personuppgifter om en enskilds ekonomiska förhållanden skall få behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändigt för handläggningen av det och med samtycke samt att den enskilde uttryckligen skall samtycka till behandling av känsliga och ömtåliga personuppgifter till skillnad från regeringens förslag om skriftligt samtycke. Remissinstanserna: Flertalet remissinstanser har inte yttrat sig särskilt över förslaget. Av de som yttrat sig har AMS tillstyrkt förslaget. Datainspektionen har motsatt sig att utrymmet att behandla känsliga personuppgifter utvidgas, om det är vad som avses. Justitiekanslern har ifrågasatt huruvida uppgifter om ras i något sammanhang kan vara av betydelse i den arbetsmarknadspolitiska verksamheten. Statskontoret, Riksarkivet och Institutet för Arbetsmarknadspolitisk utvärdering har motsatt sig att den enskilde skall samtycka till behandling av känsliga och ömtåliga personuppgifter. Riksdagens ombudsmän anser att det inte är tillräckligt att inhämta den enskildes uttryckliga samtycke utan förordar att nuvarande krav på skriftligt samtycke behålls. LO har angivit att det tydligare bör komma till uttryck i lagtexten att stor restriktivitet bör iakttas vid användning av känsliga och ömtåliga personuppgifter. Justitiekanslern och Riksdagens ombudsmän har framfört synpunkter på utformningen av lagtexten. Skälen för regeringens förslag: Känsliga personuppgifter får som huvudregel inte behandlas enligt personuppgiftslagen. Myndigheternas inom Arbetsmarknadsverket behandling av sådana uppgifter i dag utgör ett avsteg från detta förbud. I den nu gällande registerlagen förekommer även att andra uppgifter av ömtålig natur registreras i registret, såsom t.ex. uppgifter om sociala förhållanden. Vidare får vissa uppgifter om lagöverträdelser m.m. inte registreras i registret överhuvudtaget. Förutsättningarna för när känsliga och ömtåliga personuppgifter får behandlas i verksamheten bör därför regleras särskilt i lagen. Behandling av personuppgifter enligt personuppgiftslagen och lagen om arbetsförmedlingsregister 13 § personuppgiftslagen förbjuder i princip behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller som rör hälsa eller sexualliv (känsliga personuppgifter). Det finns vissa undantag från förbudet i personuppgiftslagen, till exempel då den enskilde samtyckt till behandlingen (15 §), om behandlingen är nödvändig i vissa särskilt angivna fall, bland annat för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras (16 §), om behandlingen utförs av ideella organisationer i vissa fall, för hälso- och sjukvårdsändamål, eller för forsknings- och statistikändamål (17-19 §§). Enligt 20 § personuppgiftslagen får regeringen eller den myndighet regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet från behandling av känsliga personuppgifter om det behövs med hänsyn till ett viktigt allmänt intresse. Från och med den 1 oktober 2001 gäller enligt 8 § personuppgiftsförordningen (1998:1191) att myndigheter, utöver vad som anges i 15-19 §§ personuppgiftslagen, får behandla känsliga personuppgifter i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Personuppgiftslagen förbjuder vidare andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (21 §), det vill säga sådan behandling är tillåten för myndigheter. Enligt den nu gällande arbetsförmedlingsregisterlagen är det tillåtet att behandla vissa känsliga uppgifter om en arbetssökande. Om det har väsentlig betydelse för handläggningen av ett ärende i den arbetsmarknadspolitiska verksamheten och den arbetssökande skriftligen har samtyckt får man - i form av en daganteckning - registrera förekomst av intyg och utlåtande av läkare eller skrivelser från myndigheter, redovisade arbetshinder, sociala och ekonomiska förhållanden, slutsatser av utredande samtal samt handlingsplaner (6 §). Med undantag för registreringar som enbart anger förekomst av intyg, utlåtanden eller skrivelser får sådana registreringar bl.a. innehålla uppgift om den arbetssökandes sjukdom eller hälsotillstånd samt omdömen och andra värderande upplysningar om den arbetssökande (7 §). Enligt 8 § är det inte tillåtet att registrera uppgifter om att den arbetssökande misstänks eller har dömts för brott, har avtjänat straff eller fått annan påföljd för brott, har varit föremål för tvångsingripande enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vår eller smittskyddslagen (1988:1472). Registreringen får inte heller innehålla uppgift om att den arbetssökande vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529). Enligt regeringens uppfattning bör möjligheterna att behandla personuppgifter i en arbetsmarknadspolitisk databas enligt den nya lagen i så stor utsträckning som möjligt motsvara den reglering som gäller idag. Behandling av känsliga personuppgifter I den arbetsmarknadspolitiska verksamheten finns behov av att behandla vissa känsliga personuppgifter oftare än andra. Det kan emellertid inte uteslutas att flertalet uppgifter som anges i 13 § personuppgiftslagen någon gång kan komma att behöva behandlas vid den allmänna handläggningen av ärenden. De handläggande myndigheterna bör t.ex. kunna få information om och behandla uppgifter om bland annat arbetshinder av olika slag - vilket kan inbegripa uppgifter om hälsa och sociala förhållanden m.m. - vid t.ex. handläggningen av ärenden om arbetslivsinriktad rehabilitering och utredning av möjligheterna att få delta i arbetsmarknadspolitiska program. Mot bakgrund av lagens tillämpningsområde torde en begränsning av vilka känsliga personuppgifter m.m. som får behandlas generellt inte kunna uppställas. I lagen bör därför gälla att myndigheterna inom Arbetsmarknadsverket skall få behandla samtliga sådana uppgifter som avses i 13 § personuppgiftslagen. Redan av 21 § personuppgiftslagen följer att myndigheter får behandla uppgifter om lagöverträdelser m.m. Eftersom särskilda regler gäller i dag beträffande den elektroniska hanteringen av sådana uppgifter finns det dock anledning att i förtydligande syfte ange att arbetsmarknadsmyndigheterna får behandla dessa uppgifter. Av integritetshänsyn bör det dock inte vara möjligt att behandla känsliga och ömtåliga personuppgifter som avses i 13 och 21 § personuppgiftslagen i annat fall än om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Eftersom en myndighet i allmänhet inte kan påverka vilka handlingar som lämnas till dem bör utgångspunkten vara att samtliga uppgifter som förekommer i ett ärende, dvs. även känsliga sådana, bör kunna få behandlas. När det gäller handlingar som upprättats av myndigheten finns det däremot utrymme att påverka innehållet i en handling, Känsliga personuppgifter och personuppgifter enligt 21 § personuppgiftslagen bör i sådana fall endast få behandlas om det är nödvändigt för handläggningen av ärendet. Lagrådet har ifrågasatt om det är erforderligt och förenligt med integritetsskyddet att tillåta behandling av personuppgifter som avslöjar politiska åsikter eller religiös eller filosofisk övertygelse. Lagrådet har dock inte motsatt sig den föreslagna regleringen eftersom det inte helt kan uteslutas att sådan behandling är försvarlig när t.ex. uppgifter lämnas in i ett ärende. Som Lagrådet förutsatt kommer regeringen eller AMS att meddela föreskrifter om vilka känsliga personuppgifter som får behandlas för ett visst ändamål. Datainspektionen har motsatt sig att utrymmet att behandla känsliga personuppgifter utvidgas om det är vad som avses med formuleringen att uppgifter skall få behandlas om uppgifterna är nödvändiga i stället för om de är av väsentlig betydelse för handläggningen. Enligt lagen om arbetsförmedlingsregister skall en uppgift ha väsentlig betydelse för handläggningen för att få registreras. Enligt personuppgiftsförordningens terminologi får känsliga personuppgifter behandlas om behandlingen är nödvändig för handläggningen. Regeringen anser att uppgifterna skall vara nödvändiga för handläggningen av ett ärende för att få behandlas. Någon ändring av den materiella betydelsen jämfört med vad som gäller i dag är inte avsedd. Behandling av känsliga och ömtåliga personuppgifter i databaser Integritetsaspekterna gör sig särskilt starkt gällande när det gäller frågan om vilka känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som får behandlas i personregister som utgör sammanställningar av uppgifter hos en myndighet i databaser. I den nu gällande arbetsförmedlingsregisterlagen, som bygger på den numera upphävda datalagens (1973:289) definition av personregister, gäller begränsningar beträffande vilka uppgifter av känslig eller ömtålig natur som får registreras. Detta skydd för den personliga integriteten bör vidmakthållas även i fortsättningen. I den nya lagen bör därför regleras vilka känsliga eller ömtåliga personuppgifter som skall få behandlas i en databas. För att motsvara dagens reglering bör arbetsmarknadsmyndigheternas möjligheter att behandla känsliga personuppgifter i en databas inskränkas till att avse endast de personuppgifter i 13 § personuppgiftslagen som avslöjar etniskt ursprung samt rör hälsa. Detta innebär inte att arbetsmarknadsmyndigheterna är förhindrade att behandla personuppgifter om medborgarskap eller födelseland. I promemorian föreslås att även ras skall få behandlas i databasen. Enligt regeringens uppfattning finns det, som även Justitiekanslern har påtalat, dock inte anledning att anta att det finns behov av att behandla personuppgifter som avslöjar ras i databasen. Enligt arbetsförmedlingsregisterlagen får registreras uppgifter om sociala förhållanden, omdömen, slutsatser och andra värderande upplysningar om en arbetssökande. Dessa uppgifter får i form av daganteckning registreras om det har väsentlig betydelse för handläggningen av ett ärende och med den registrerades skriftliga samtycke. Samtliga dessa uppgifter får enligt personuppgiftslagens bestämmelser behandlas med de begränsningar som anges i t.ex. 9-10 §§ samma lag. Enligt regeringens uppfattning bör det för att dessa personuppgifter även i fortsättningen skall få behandlas i databasen krävas att den registrerade lämnat sitt skriftliga samtycke och att personuppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. De känsliga eller ömtåliga personuppgifter som i dag får förekomma i arbetsförmedlingsregistret får endast registreras om det har väsentlig betydelse för handläggningen av ett ärende. För att värna om den personliga integriteten bör en sådan förutsättning gälla även i fortsättningen rörande behandlingen av dessa uppgifter i den arbetsmarknadspolitiska databasen. De känsliga och ömtåliga uppgifterna får därför föras in i databasen endast om de är nödvändiga för handläggningen av ett ärende. På samma sätt som angivits ovan är någon materiell ändring jämfört med vad som gäller i dag inte avsedd. Personuppgiftslagen ställer inte upp något exklusivt krav på samtycke för behandling av känsliga eller ömtåliga personuppgifter. Enligt lagen om arbetsförmedlingsregister får sådana uppgifter registreras om de har väsentlig betydelse för handläggningen och med den enskildes skriftliga samtycke. Statskontoret, Riksarkivet och Institutet för Arbetsmarknadspolitisk utvärdering motsätter sig det föreslagna kravet på samtycke. Statskontoret anser att behandling av personuppgifter bör ha författningsstöd och inte vara beroende av samtycke. Om de känsliga eller ömtåliga personuppgifterna är nödvändiga för ett ärendes handläggning bör behandling vara tillåten även utan samtycke. Riksarkivet har anfört att kravet på samtycke medför att hanteringen av känsliga eller ömtåliga personuppgifterna blir beroende av den enskildes inställning och att denne avgör med vilken teknik uppgifterna skall behandlas. Riksarkivet anger att handlingar bör hanteras på enhetligt och rationellt sätt samt att kravet på samtycke leder till merarbete, merkostnader, lokala variationer och ett svåröverskådligt system som försvårar insyn och kontroll. Riksarkivet ifrågasätter därför huruvida det är lämpligt att låta den enskilde avgöra hur uppgifterna skall hanteras. Institutet för Arbetsmarknadspolitisk utvärdering i sin tur har påtalat att krav på samtycke vid inhämtande av personuppgifter generellt leder till sämre datakvalitet för forskningsändamål och motsätter sig att kravet på samtycke förstärks i förhållande till vad som nu gäller. Enligt regeringens uppfattning är det av integritetshänsyn även i fortsättningen motiverat att upprätthålla ett krav på samtycke från den enskilde vid behandling av känsliga och ömtåliga personuppgifter. Riksdagens ombudsmän har å andra sidan förordat att den nuvarande ordningen med skriftligt samtycke skall behållas samt anfört att klagomål visar att det redan i dag ofta råder delade meningar mellan den enskilde och arbetsförmedlingens tjänstemän om innebörden av den enskildes samtycke. Uttryckligt samtycke i stället för skriftligt riskerar därför att leda till ett ökat antal fall av missförstånd och konflikter om vad som förekommit i kontakterna mellan den enskilde och arbetsmarknadsmyndigheterna samt till ökade bevissvårigheter. Enligt Riksdagens ombudsmän är det inte givet att arbetsmarknadsmyndighetens uppfattning att den enskilde samtyckt till behandling av känsliga personuppgifter delas av den enskilde samt att den enskilde i ett senare skede bekräftar detta. AMS har anfört att skriftligt samtycke normalt inhämtas, men att det finns situationer när myndigheten har den enskildes uttryckliga samtycke och där det kan ta tid att få samtycket skriftligt dokumenterat. I sådana situationer är det enligt Arbetsmarknadsstyrelsen önskvärt att arbetsmarknadsmyndigheten kan försäkra sig om ett uttryckligt samtycke i stället för ett skriftligt så att handläggningen av ärendet kan fortsätta. Med hänsyn till de integritetskänsliga uppgifter som arbetsmarknadsmyndigheterna behandlar och till att tveksamhet redan i dag uppstår i vilken utsträckning den enskilde har samtyckt till behandling av känsliga och ömtåliga personuppgifter bör enligt regeringens bedömning nuvarande krav på skriftligt samtycke kvarstå. Såsom Lagrådet påpekat bör det av lagen framgå att den registrerade har rätt att återkalla ett lämnat samtycke. I promemorian föreslås att uppgifter om ekonomiska förhållanden skall få behandlas i databasen om de har lämnats i ett ärende eller är nödvändiga för handläggningen och den registrerade har lämnat sitt samtycke. Detta motsvarar huvudsakligen reglering i 6-7 §§ arbetsförmedlingsregisterlagen. Av 5-6 §§ samma lag framgår dock att uppgifter om utbetalning av medel för arbetsmarknadspolitiska åtgärder och om utbetald arbetslöshetsersättning får registreras utan samtycke. För att informationsutbytet mellan myndigheter i syfte att bl.a. effektivisera ärendehantering och stärka kontrollen av statliga medel skall kunna utvecklas är det enligt regeringens uppfattning av betydelse att arbetsmarknadsmyndigheterna i fortsättningen kan behandla personuppgifter om ekonomiska förhållanden även utan den registrerades samtycke. Vissa personuppgifter får inte behandlas i en databas Såsom ovan nämnts får personuppgifter om lagöverträdelser m.m. inte registreras i arbetsförmedlingsregistret. Detsamma gäller för uppgifter om att den arbetssökande har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529). Dessa uppgifter har behandlats manuellt hos de handläggande myndigheterna i den mån de har behövts. Dessa uppgifter bör även fortsättningsvis få behandlas i den arbetsmarknadspolitiska verksamheten, men bör inte få föras in i den arbetsmarknadspolitiska databasen. Som Riksdagens ombudsmän föreslagit bör den arbetsmarknadspolitiska databasen anges i obestämd form eftersom det i framtiden kan komma att finnas mer än en arbetsmarknadspolitisk databas. 5.8 Direktåtkomst och utlämnande av personuppgifter Regeringens förslag: Arbetsmarknadsstyrelsen och länsarbetsnämnderna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas. Sådan åtkomst skall vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om sådan direktåtkomst. Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas om det behövs för de ändamål som avses i 5 §. Regeringen meddelar föreskrifter om vilka uppgifter som får omfattas av direktåtkomst. Uppgifter i databasen får lämnas ut till en enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automatiserad behandling till myndigheter och enskilda. Promemorians förslag: Överensstämmer till viss del med regeringens förslag. I promemorian föreslås dock att regeringen meddelar föreskrifter om att personuppgifter får lämnas ut på medium för automatiserad behandling till myndigheter och organ samt att enskilda får ha direktåtkomst till personuppgifter. Till skillnad från regeringens förslag föreslås i promemorian att regeringen meddelar föreskrifter om vilka myndigheter och andra organ som får ha direktåtkomst till personuppgifter. Remissinstanserna: Flertalet remissinstanser har inte yttrat sig särskilt över förslaget. AMS har emellertid tillstyrkt förslaget. Datainspektionen har anfört att elektronisk överföring av personuppgifter till andra kan accepteras endast under vissa förutsättningar. Arbetslöshetskassornas samarbetsorganisation har påtalat att det är av väsentlig betydelse att arbetslöshetskassorna kan få uppgift om arbetssökandes adress. LO har angivit att de personer inom Arbetsmarknadsverkets som skall få direktåtkomst till personuppgifter noggrant måste preciseras samt att direktåtkomst kan medges endast i de fall ett klart behov föreligger. Skälen för regeringens förslag Direktåtkomst Direktåtkomst innebär att den som använder ett register på egen hand kan söka i detta och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet. Direktåtkomsten kan dock ge användaren en möjlighet att även hämta hem informationen till sitt eget system och bearbeta den där. I registerförfattningar har direktåtkomst i regel beskrivits som en möjlighet till direktåtkomst till uppgifter i register. Direktåtkomst har traditionellt sett ansetts innebära att uppgifter lämnas ut utan att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut, varför det från integritetssynpunkt ansetts vara av stor betydelse att särskilt reglera frågor om tillgång till uppgifterna genom direktåtkomst i registerlagstiftning. Som Lagrådet har påpekat kan det i vissa fall vara svårt att dra en gräns mellan direktåtkomst och andra former av utlämnande. Vare sig dataskyddsdirektivet eller personuppgiftslagen innehåller några särskilda bestämmelser som tar sikte just på sättet att lämna ut personuppgifter. Däremot innehåller dessa regleringar bestämmelser som anses innebära begränsningar i möjligheten att lämna ut uppgifter genom direktåtkomst. Personuppgifter får nämligen inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. De personuppgifter som behandlas skall vidare vara adekvata och relevanta i förhållande till ändamålen med behandlingen och fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Direktåtkomst inom Arbetsmarknadsverket Enligt 16 § lagen om arbetsförmedlingsregister får endast den offentliga arbetsförmedling eller det arbetsmarknadsinstitut som enligt 1 § får föra ett arbetsförmedlingsregister ha direktåtkomst till registret. Fram till och med den 1 juli 2002 används begreppet terminalåtkomst. Vidare får endast AMS ha direktåtkomst till styrelsens centrala statistikregister. LO har anfört att de personer inom Arbetsmarknadsverket som skall få direktåtkomst till personuppgifter noggrant måste preciseras samt att direktåtkomst kan medges endast i de fall ett klart behov föreligger. AMS och länsarbetsnämnderna är självständiga myndigheter men ingår i samma myndighetsorganisation (Arbetsmarknadsverket). En obegränsad direktåtkomst till uppgifter i databaser inom en och samma myndighetsorganisation innebär inte att samtliga anställda har tillgång till uppgifterna. Personuppgiftslagens allmänna bestämmelser om grundläggande krav på säkerhet vid behandling m.m. medför att olika åtgärder måste vidtas som förhindrar missbruk. Det kan till exempel innebära att åtkomst till olika uppgifter inom en myndighet är starkt begränsad till olika behörighetsnivåer eller till olika delar inom myndighetsorganisationen, vilket i sin tur innebär att det i slutändan är ett högst begränsat antal personer som har tillgång till samtliga eller vissa uppgifter. Att dessa personer organisatoriskt befinner sig på olika myndigheter torde dock inte kunna anses så allvarligt ur integritetssynpunkt att det bör hindra en utveckling av effektiva datasystem. Utgångspunkten bör därför enligt regeringens bedömning - till skillnad mot den nu gällande registerlagen - vara att myndigheterna inom Arbetsmarknadsverket bör få ha direktåtkomst till uppgifter som behandlas i en arbetsmarknadspolitisk databas. Ur integritetssynpunkt är det dock lämpligt att åtkomsten till de uppgifter som behandlas inte är vidare än nödvändigt. I lagen bör därför anges de allmänna förutsättningar för vem som får ha direktåtkomst till uppgifter i databasen, oberoende av myndighet. Enligt regeringens uppfattning bör endast de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna få ha direktåtkomst till dem. Regeringen, eller den myndighet regeringen bestämmer, meddelar ytterligare föreskrifter om detta. Utgångspunkten för det fortsatta författningsarbetet i denna del bör vara att de hänsyn som motiverade en uppdelning av terminalåtkomsten till de nu befintliga registren beaktas. Direktåtkomst för andra Från och med den 1 juli 2002 kommer Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna att få direktåtkomst till vissa uppgifter om arbetssökande och tidsuppgifter om registrerade förhållanden samt tekniska och administrativa uppgifter om det behövs som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild (16 a § lagen om arbetsförmedlingsregister och 4 § förordningen (1994:460) om arbetsförmedlingsregister). De överväganden regeringen gjorde i samband med att 16 a § infördes framgår av propositionen Ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet (prop. 2000/01:129 s. 73-82). I propositionen anges bl.a. att direktåtkomst till elektroniskt lagrad information sedan länge ansetts innebära särskilda risker ur integritetssynpunkt samt att det därför bör ankomma på riksdagen att ta ställning till i vilka fall direktåtkomst bör medges. Med hänsyn härtill bör det enligt regeringens uppfattning framgå vilka myndigheter m.fl. som kan få direktåtkomst. Även den nya lagen bör ange att Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas om det behövs för de sekundära ändamålen (se avsnitt 5.5). Någon möjlighet för regeringen att meddela föreskrifter om att enskilda får ha direktåtkomst till personuppgifter bör därför inte ges. Enligt regeringens uppfattning bör emellertid regeringen meddela föreskrifter om vilka uppgifter som omfattas av direktåtkomsten. Arbetslöshetskassornas Samorganisation har påtalat att det för den enskilde är väsentligt att arbetslöshetskassorna kan få uppgift om arbetssökandes adress samt att detta bör beaktas i det fortsatta författningsarbetet. Detsamma har Riksskatteverket anfört angående skatteförvaltningens och kronofogdemyndigheternas behov av uppgifter. Andra myndigheters, än de ovan angivna, behov att genom direktåtkomst få del av personuppgifter får övervägas i annat sammanhang. Utgångspunkten för dessa överväganden bör vara att utlämnande av uppgifter genom direktåtkomst endast får ske i de fall det finns ett klart behov av det. Mottagarens intresse av att få ta del av uppgifter måste vägas mot intresset av att skydda enskildas personliga integritet och hänsyn måste tas till sekretesslagens regler. I arbetsförmedlingsverksamheten förekommer en omfattande verksamhet i form av samverkan med andra aktörer, framför allt kommuner (sociala myndigheter, arbetsmarknadsenheter m.fl.), facklig medverkan i särskilda projekt och liknande. AMS har understrukit vikten av att arbetsmarknadsmyndigheterna i sin verksamhet där samverkan med andra aktörer förekommer kan hitta rationella lösningar för denna samverkan. Ett utökat informationsutbyte kräver emellertid att ändamålen i den sekundära ändamålsbestämmelsen i lagen ändras. Utlämnande av personuppgifter på medium för automatiserad behandling Av 17 § arbetsförmedlingsregisterlagen framgår att vissa uppgifter rörande en arbetssökande samt vissa uppgifter om arbetsgivare får lämnas ut på medium för automatiserad behandling till Riksförsäkringsverket, de allmänna försäkringskassorna, CSN, Riksskatteverket eller skattemyndigheterna. Vidare får uppgifter om lediga platser tillhandahållas allmänheten över terminal (18 §). Uppgifter lediga platser får slutligen lämnas ut på medium för automatiserad behandling även till de länder (Norden, EES) som Sverige samarbetar med om en gemensam arbetsmarknad (19 §). Datainspektionen har anfört att elektronisk överföring av personuppgifter till andra kan accepteras under förutsättning att endast ett begränsat antal uppgifter som behövs för handläggningen av ärendet hos mottagaren omfattas av överföringen samt att den registrerade tidigt och tydligt informeras om att vissa typer av personuppgifter kan komma att överföras samt om vilken myndighet eller annan aktör som kan få direktåtkomst till uppgifterna. För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgiftssamlingar som får föras av myndigheten. I dessa författningar regleras även ändamålen med behandlingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna på annat sätt än i enlighet med de för myndigheten gällande författningarna. Risken anses därför liten att en mottagande myndighet skulle behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett. Regeringen konstaterade därför i propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 112) att det, under förutsättning att den utlämnande myndigheten har möjlighet att avgöra vilka uppgifter som skall lämnas ut, saknas anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. På motsvarande sätt gjorde regeringen i propositionen Ny socialtjänstlag m.m. (prop. 2000/01:80) bedömningen att någon regel som tillåter att personuppgifter inom socialtjänsten får lämnas ut på medium för automatiserad behandling inte behövde införas i lagen (2001:454) om behandling av personuppgifter i socialtjänsten. I propositionen Lag om vägtrafikregister, m.m. (prop. 2000/01:95) föreslogs endast att utlämnande genom direktåtkomst skulle regleras. Slutligen angav regeringen i propositionen Ökat informationsutbyte mellan arbetslöshetsförsäkringen, socialförsäkringen och studiestödet (prop. 2000/01:129 s. 71) att den vid översynen av lagen om arbetsförmedlingsregister kommer att ta ställning till om en reglering av utlämnade av uppgifter på medium för automatiserad behandling behövs när det gäller sådant utlämnande mellan myndigheter och mellan myndigheter och sådana organ som i sekretesslagens mening är att jämställa med myndigheter. På samma sätt som ovan redogjorts för gör regeringen den bedömningen att det beträffande behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten inte erfordras någon särskild reglering i lag av uppgiftslämnande på medium för automatiserad behandling till myndigheter. Förutom att uppgifter lämnas ut till Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna kan det emellertid även bli aktuellt att lämna ut uppgifter ur olika databaser till enskilda, dvs. såväl privatpersoner som företag och organisationer. I dessa fall saknas, till skillnad mot vad som gäller för myndigheter, normalt särskilda bestämmelser om hur personuppgifter får behandlas hos mottagaren. För mottagaren är det därför vanligtvis personuppgiftlagens bestämmelser som är tillämpliga på behandlingen av de mottagna uppgifterna. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 112) angav regeringen att det med hänsyn till de integritetsrisker som kan följa med utlämnande av personuppgifter på medium för automatiserad behandling till företag och privatpersoner bör vara tillåtet med ett sådant utlämnande endast när det efter särskild prövning är lämpligt. Samma integritetsrisker gör sig enligt regeringens mening gällande även i den arbetsmarknadspolitiska verksamheten. Uppgifter i databaser bör därför få lämnas ut till enskilda på medium för automatiserad behandling endast om regeringen meddelat föreskrifter om det. Det bör åligga regeringen, eller den myndighet regeringen bestämmer, att meddela föreskrifter om vilka personuppgifter som får lämnas ut på detta sätt såväl till myndigheter som till enskilda. Lagrådet har påpekat följande. Av den föreslagna regleringen om direktåtkomst och utlämnande av personuppgifter följer att enskilda inte skall kunna få direktåtkomst till uppgifter i en databas. De föreslagna föreskrifterna om utlämnande till enskild på medium för automatiserad behandling får förstås så att det för regeringens föreskrifter krävs att myndigheten i det enskilda fallet skall ha kontroll över både de uppgifter som lämnas ut och till vem de lämnas. Även med denna utgångspunkt torde gränsdragningsproblem kunna uppstå. Något hinder torde inte föreligga mot att t.ex. en enskild även i fortsättningen skall kunna få möjlighet att i samband med besök hos arbetsförmedlingen få uppgift via en terminal om lediga platser. Däremot torde regleringen inte ge utrymme för föreskrifter som ger enskilda direkt tillgång till uppgifter via Internet (jfr SOU 1999:105 s. 264 ff.) 5.9 Sökbegrepp och sambearbetning Regeringens förslag: Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) eller sådana personuppgifter som avses i 21 § den lagen samt vissa ömtåliga personuppgifter skall inte få användas som sökbegrepp. Uppgift om kod för arbetshandikapp skall dock få användas som sökbegrepp i vissa fall. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Remissinstanserna: Endast Datainspektionen, Institutet för Arbetsmarknadspolitisk utvärdering och LO har yttrat sig särskilt i denna del. Datainspektionen har tillstyrkt förslaget. Institutet för Arbetsmarknadspolitisk utvärdering motsätter sig samtliga åtgärder som minskar sökbarheten i statistikdatabasen och försvårar sambearbetningar samt har anfört att begreppet medborgarskap kan behöva bytas ut mot födelseland. LO har anfört att myndigheternas möjligheter att samköra register bör regleras. Skälen för regeringens förslag Sökbegrepp I en databas kan uppgifter sökas och sammanställas med hjälp av sökbegrepp. Användaren bestämmer utfallet av sökningen genom de sökbegrepp han eller hon väljer att använda. Vilka sökbegrepp som får användas för att ta fram uppgifter ur ett personregister hos en myndighet har betydelse för frågan om vad som är att anse som allmänna handlingar i registret och vad som därmed kan bli tillgängligt för utomstående. Användningen av registeruppgifter som sökbegrepp kan dock ibland få oönskade konsekvenser. Från början harmlösa uppgifter kan genom sammanställningen framstå som integritetskränkande. Förekomsten av många sökbegrepp kan också öka risken för integritetsintrång. För personregister följer av 2 kap. 3 § tryckfrihetsförordningen att en myndighet, genom bestämmelser i lag, förordning eller särskilt beslut som grundar sig på lag, kan vara rättsligt förhindrad att använda vissa registeruppgifter som sökbegrepp. Konsekvensen av en sådan begränsning är att varken myndigheten själv eller en enskild kan ta fram information den vägen. Handlingen anses inte heller förvarad hos myndigheten. Härigenom uppnås ett ökat integritetsskydd men samtidigt en begränsning av registrets användbarhet. Det finns, både i nu gällande registerförfattningar och i lagstiftning som har anpassats till personuppgiftslagen, flera exempel på begränsningar när det gäller vilka sökbegrepp som får användas. En sådan begränsning omfattar vanligen uppgifter som anses särskilt känsliga från integritetssynpunkt. Vid bedömningen av vilka sökbegrepp som bör vara tillåtna i den arbetsmarknadspolitiska verksamheten måste en avvägning göras mellan effektivitetskrav och risken för integritetsintrång. I den nu gällande registerlagstiftningen har användningen av sökbegrepp reglerats i själva lagen. Sökmöjligheterna är vidare begränsade till vissa angivna uppgifter (20 § lagen om arbetsförmedlingsregister). Det är, mot bakgrund av den betydande risk för integritetsintrång som föreligger om samtliga uppgifter som får behandlas i den arbetsmarknadspolitiska verksamheten kunde användas som sökbegrepp, lämpligt att begränsa de sökbegrepp som får användas. Om myndigheten är förbjuden att för egen räkning använda vissa sökbegrepp begränsas också vad som är att anse som en allmän handling. Enligt regeringens mening bör i nuläget inte sökmöjligheterna vara fler än vad som gäller i den nu gällande registerlagen. Frågan om sökbegrepp bör dock kopplas till de uppgifter som får finnas i den arbetsmarknadspolitiska databasen enligt föreskrifter meddelade av regeringen. Enligt nu gällande registerlagstiftning får inte känsliga eller ömtåliga personuppgifter användas som sökbegrepp. Det enda undantaget från detta gäller koder för arbetshandikapp och medborgarskap, som får användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade och utlänningar och för att framställa statistik där uppgifter om enskilda personer inte kan utläsas (20 § första stycket 2 lagen om arbetsförmedlingsregister). Enligt regeringens bedömning bör det även fortsättningsvis vara otillåtet att använda känsliga och vissa ömtåliga personuppgifter som sökbegrepp. Sådana personuppgifter som kräver samtycke för att få behandlas i databasen bör inte få användas som sökbegrepp. Inte heller sådana personuppgifter som enligt lagen inte får behandlas i databasen bör få användas. Sökmöjlighet bör dock få finnas för ovannämnda koder även i fortsättningen. Kod för medborgarskap kan dock inte anses som en känslig personuppgift. Enligt regeringens bedömning avslöjar en isolerad uppgift om medborgarskap varken ras eller etniskt ursprung. I lagen behöver därför inte uttryckligen anges att kod för medborgarskap får användas som sökbegrepp. Regeringen, eller den myndighet regeringen bestämmer (AMS), bör ges möjlighet att meddela föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Detta arbete bör i den mån det behövs ske i samråd med Datainspektionen. Institutet för Arbetsmarknadspolitisk utvärderingen har påtalat att det i departementspromemorian "Alla lika olika - mångfald i arbetslivet", Ds 2000:69, föreslås en övergång till nyttjande av begreppet födelseland i stället för medborgarskap vid publicering av statistik, vilket institutet anser bör beaktas även i detta sammanhang. Regeringen har emellertid nu inte skäl att i föreliggande lagstiftningsärende ta ställning till frågan. Sambearbetning Personuppgiftslagen innehåller inte något förbud mot sambearbetning av uppgifter. En sådan bearbetning är tillåten så länge den håller sig inom den lagens ramar, bland annat med avseende på de ändamål för vilka uppgifterna får behandlas. LO har anfört att ändamålsbestämmelserna inte ger tillräckligt skydd och att myndigheternas möjlighet att samköra olika register därför bör regleras. Institutet för Arbetsmarknadspolitisk utvärdering har anfört att det är av vikt att sambearbetningar inte försvåras. När det gäller behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten torde det enligt regeringens bedömning inte finnas anledning att befara att behandlingar sker för ändamål som inte är förenliga med de ändamål för vilka uppgifter får samlas in och behandlas. Denna bedömning delas av Datainspektionen. Enligt regeringens uppfattning behöver det därmed inte införas någon särskild bestämmelse om sambearbetning i lagen. 5.10 Information till den registrerade Regeringens bedömning: Personuppgiftslagens bestämmelser i 23-27 §§ och 29 § om information som skall lämnas till den registrerade bör tillämpas vid behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Promemorians förslag: Överensstämmer med regeringens bedömning med den skillnaden att i promemorian föreslås en bestämmelse om att personuppgiftslagens bestämmelser om information skall gälla. Remissinstanserna: Endast Datainspektionen har yttrat sig och föreslagit att information skall lämnas till den registrerade även när det finns bestämmelser om registrerande och utlämnande i lag eller annan författning samt att även informationsskyldigheten i 29 § personuppgiftslagen skall omfattas. Skälen för regeringens bedömning: I den arbetsmarknadspolitiska verksamheten behandlas en stor mängd personuppgifter och det är därför av integritetsskäl angeläget att den enskilde får information om att personuppgifterna behandlas, syftet med behandlingen, vad för slags uppgifter som behandlas, vem som är personuppgiftsansvarig och vilka rättigheter den enskilde har i anledning av behandlingen. Bestämmelser om vilken information de registrerade har rätt till då personuppgifter beträffande honom eller henne behandlas ges i 23-27 och 29 §§ personuppgiftslagen. När uppgifter om en person samlas in från denne själv skall den personuppgiftsansvarige enligt 23 § personuppgiftslagen alltid självmant lämna information om behandlingen. Om personuppgifter samlas in från någon annan skall information enligt 24 § första stycket personuppgiftslagen lämnas när uppgifterna registreras eller - om uppgifterna är avsedda att lämnas ut till tredje man - när de lämnas ut för första gången. Enligt 24 § andra stycket personuppgiftslagen behöver information inte lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning. Detsamma gäller om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor ansträngning för den personuppgiftsansvarige att lämna informationen. I de sist nämnda fallen skall information i stället lämnas senast i samband med att uppgifterna används för att vidta åtgärder beträffande den registrerade. Den information som skall lämnas till den registrerade är enligt 25 § personuppgiftslagen uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen samt all övrig information som behövs för att den registrerade skall kunna ta tillvara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Den personuppgiftsansvarige är vidare enligt 26 § personuppgiftslagen skyldig att efter skriftlig ansökan lämna information gratis en gång per kalenderår om huruvida personuppgifter som rör sökanden behandlas eller inte. Behandlas uppgifter om honom eller henne skall information också lämnas om vilka uppgifter som behandlas, varifrån dessa uppgifter hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 29 § andra stycket personuppgiftslagen anges att den som varit föremål för ett automatiserat beslut har rätt att på ansökan få information om vad som styrt den automatiserade behandlingen av personuppgifter som lett fram till beslutet. I 50 § e personuppgiftslagen anges att regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om vilken information som skall lämnas till den registrerade och hur informationen skall lämnas. Enligt personuppgiftslagen gäller vidare att sekretess och tystnadsplikt går före informationsskyldigheten (27 §). Datainspektionen har föreslagit att information med hänsyn till att de uppgifter som behandlas i den arbetsmarknadspolitiska verksamheten är av så integritetskänslig natur, skall lämnas till den registrerade på lämpligt sätt i samband med att uppgifterna registreras även när det finns bestämmelser om registrerande och utlämnande i lag eller annan författning. Av personuppgiftslagen framgår att information till den registrerade inte behöver ges när behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning med bestämmelser om vilka uppgifter som får behandlas och hur uppgifterna i övrigt får hanteras. Regeringen har i förarbetena till den särskilda lagstiftningen om behandling av personuppgifter inom skatt-, tull- och exekutionsväsendet (prop. 2000/01:33 s. 105) samt inom socialtjänsten (prop. 2000/01:80 s. 150) gjort bedömningen att det på dessa områden inte finns behov av att utvidga informationsskyldigheten utöver vad som följer av personuppgiftslagen. Enligt regeringens bedömning föreligger inte heller skäl att utvidga arbetsmarknadsmyndigheternas informationsskyldighet utöver vad som framgår av personuppgiftslagens bestämmelser. Datainspektionen har vidare anmärkt att promemorians förslag inte omfattar informationsbestämmelsen i 29 § personuppgiftslagen om automatiserade beslut och ifrågasatt om förutsättningar föreligger för att göra undantag från den bestämmelsen. Det är regeringens uppfattning att informationsskyldigheten i 29 § personuppgiftslagen inte bör undantas från arbetsmarknadsmyndigheternas skyldighet att lämna information till den registrerade. Promemorian har föreslagit en uttrycklig reglering av arbetsmarknadsmyndigheternas informationsskyldighet gentemot den registrerade. Enligt regeringens bedömning bör informationsskyldigheten inom den arbetsmarknadspolitiska verksamheten inte vara varken vidare eller mer inskränkt än personuppgiftslagens informationsskyldighet. Med den lagstiftningsteknik som valts behövs emellertid inte några särskilda regler om detta i lagen, utan personuppgiftslagens informationsbestämmelser gäller. För myndigheternas inom Arbetsmarknadsverket del innebär reglerna om information till den registrerade således bland annat att sådan självmant skall lämnas när handläggningen av ett ärende inleds eller vid annan utredning där den arbetssökande själv lämnar uppgifterna till den handläggande myndigheten. Redan i dag gäller enligt 22 § lagen om arbetsförmedlingsregister att en arbetssökande som kan komma att registreras skall underrättas om vad som gäller för registreringen av uppgifter om denne innan uppgifterna förs in och behandlas i arbetsförmedlingsregistret. Mot bakgrund av hur information lämnas i dag till arbetssökande bör det enligt regeringens mening i praktiken inte föreligga några större svårigheter att ordna så att den arbetssökande innan uppgifter samlas in om denne får den i personuppgiftslagen föreskrivna informationen. Denna information bör i likhet med vad som gäller i dag innehålla bland annat en upplysning om innebörden av ett samtycke som lämnats för behandling av känsliga eller ömtåliga personuppgifter. Det torde dock inte räcka med att informationen lämnas först i samband med att den arbetssökande skrivs in hos den handläggande myndigheten. Detta eftersom den arbetssökande bland annat bör upplysas om att behandling av personuppgifter som är tillåten enligt den föreslagna lagen får utföras även om han eller hon motsätter sig behandlingen. Regeringen avser att lämna närmare föreskrifter om den information som skall lämnas till den registrerade. 5.11 Rättelse, skadestånd och straff Regeringens förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och skadestånd skall gälla vid behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Endast Datainspektionen och Justitiekanslern har yttrat sig särskilt i denna del. Datainspektionen tillstyrker att personuppgiftslagens bestämmelser om rättelse och skadestånd tillämpas vid behandling av personuppgifter i arbetsmarknadspolitisk verksamhet, men efterlyser ett klargörande huruvida bestämmelsen om straff i 49 § personuppgiftslagen skall tillämpas. Justitiekanslern pekar på skillnader mellan skadeståndsbestämmelserna i skadeståndslagen (1972:207) och personuppgiftslagen. Skälen för regeringens förslag Rättelse Enligt 28 § personuppgiftslagen gäller att den personuppgiftsansvarige är skyldig att på begäran av den registrerade snarast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som meddelats med stöd av lagen. Vidare gäller att när en sådan rättelse görs av den personuppgiftsansvarige skall underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär detta eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse kan dock underlåtas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerlig stor arbetsinsats. Personuppgiftslagens bestämmelser om rättelse bör gälla även vid behandling som utförts i strid med den nu föreslagna lagen. Reglerna i personuppgiftslagen om rätt för den registrerade att få uppgifter rättade m.m. gäller emellertid endast uppgifter som inte behandlats i enlighet med den lagen eller föreskrifter som meddelats i med stöd av lagen. Uppgifter som behandlats i strid mot föreskrifter i särskilda registerförfattningar omfattas sålunda inte om inte behandling också strider mot personuppgiftslagen eller mot föreskrifter som meddelats med stöd av denna. Den registrerade bör enligt regeringens uppfattning ha samma möjlighet att få personuppgifter rättade och korrigerade på annat sätt om behandlingen strider mot bestämmelserna i en särskild registerförfattning som i andra fall. Det är därför nödvändigt att i lagen ha en egen bestämmelse om rättelse. Datainspektionen har med tanke på att personuppgiftsansvaret delas mellan arbetsmarknadsmyndigheterna anmärkt att myndigheterna bör hjälpa enskilda med upplysningar om vart de skall vända sig för att få rättelse till stånd. Skadestånd Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling i strid med den lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Skillnaden mellan de särskilda bestämmelserna i personuppgiftslagen och de allmänna bestämmelserna i skadeståndslagen (1972:207) består främst i att ersättning enligt personuppgiftslagen kan utgå för ren förmögenhetsskada och för kränkning av den personliga integriteten även om brottslig gärning inte begåtts. En annan viktig skillnad är, som Justitiekanslern påpekat, att personuppgiftslagens skadeståndsbestämmelse bygger på ett strikt skadeståndsansvar medan skadeståndsskyldighet enligt skadeståndslagens bestämmelser kräver ett culpöst handlande från skadevållarens sida. Regeringen anser att personuppgiftslagens bestämmelser om skadestånd skall gälla även för behandling som utförts i strid med den föreslagna lagen. Beroende på utformningen av 48 § personuppgiftslagen är det nödvändigt att ha en egen bestämmelse om skadestånd. Straff Datainspektionen har efterlyst ett klargörande huruvida bestämmelsen om straff i 49 § personuppgiftslagen skall tillämpas i den arbetsmarknadspolitiska verksamheten. I övriga registerlagar som har tillkommit på senare tid har separata straffbestämmelser inte införts. Enligt lagarna om behandling av personuppgifter i skatteförvaltningens beskattningsverksamhet, i kronofogdemyndigheternas och Tullverkets verksamheter har personuppgiftslagens bestämmelser om straff gjorts tillämpliga genom en hänvisning till 49 § personuppgiftslagen. I förarbetena till dessa lagar (prop. 2000/01:33 s. 97, bilaga 5, s. 346) gjorde regeringen - i likhet med Lagrådet - bedömningen att det inte föreligger något behov av att införa separata straffbestämmelser i lagarna, utan straffansvar inträder i händelse av överträdelser av de paragrafer i personuppgiftslagen som i övrigt skall gälla och är straffsanktionerade (se även prop. 2000/01:126 Behandling av personuppgifter inom kriminalvården, s. 42). Det finns enligt regeringens uppfattning inte heller skäl att införa särskilda straffbestämmelser i denna lag. 5.12 Gallring Regeringens förslag: Uppgifter om arbetssökande i en databas skall gallras två år efter utgången av det år då behandlingen av uppgifterna har avslutats i ett ärende hos den handläggande myndigheten. Uppgifter som har avskilts för statistikändamål skall gallras tio år efter avskiljandet. Regeringen, eller den myndighet regeringen bestämmer, får meddela närmare föreskrifter om undantag från dessa gallringstider i fråga om bevarande av material för forskningens behov. Sådant material skall lämnas över till en arkivmyndighet. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Endast Arbetslivsinstitutet och Institutet för Arbetsmarknadspolitisk utvärdering har yttrat sig i denna del. De framför båda synpunkten att uppgifter som avskiljts för statistikändamål skall gallras senare än tio år efter avskiljandet. Skälen för regeringens förslag: Grundläggande bestämmelser om bevarande och gallring av uppgifter hos myndigheter och vissa andra organ finns i arkivlagen (1990:782). Enligt 3 § i denna lag bildas en myndighets arkiv av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (vissa minnesanteckningar och utkast eller koncept) och som myndigheten beslutar skall tas om hand för arkivering. Allmänna handlingar får gallras. Vid gallring skall dock alltid beaktas att arkiven utgör en del av kulturarvet och att det arkivmaterial som återstår skall kunna tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov (10 § arkivlagen). Arkivlagen medger att avvikande bestämmelser om gallring ges i annan lag eller förordning. Enligt 14 § arkivförordningen (1991:446) får statliga myndigheter gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av Riksarkivet, om inte särskilda gallringsföreskrifter finns i lag eller förordning. Personuppgiftslagen innehåller vissa bestämmelser om hur länge personuppgifter får bevaras. Enligt 9 § personuppgiftslagen skall den personuppgiftsansvarige se till att personuppgifter inte bevaras under längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste personuppgifterna avidentifieras eller förstöras. Personuppgifter får dock bevaras för historiska, statistiska och vetenskapliga ändamål under längre tid än vad som nu sagts. Bestämmelserna i personuppgiftslagen kompletteras i dag ofta av bestämmelser i de särskilda registerförfattningarna. Utgångspunkten i arkivlagen är att allmänna handlingar skall bevaras. För personuppgifter som behandlas manuellt och som omfattas av den föreslagna lagen är de allmänna bestämmelserna i arkivlagen tillräckliga för att säkerställa ett gott integritetsskydd. För uppgifter som behandlas i en databas bör det dock i likhet med vad som gäller i dag i vissa fall av integritetsskäl finnas särskilda bestämmelser om gallring. Enligt 21 § lagen om arbetsförmedlingsregister gäller att uppgifter om arbetssökande i arbetsförmedlingsregistret skall gallras två år efter utgången av det år då ärendet avslutats. Vidare gäller att uppgifterna i Arbetsmarknadsstyrelsens centrala statistikregister skall gallras tio år efter det att de avskiljts. Arbetslivsinstitutet och Institutet för Arbetsmarknadspolitiskt utvärdering har båda anfört att uppgifter kan vara av intresse för forskning under längre tid än tio år. Arbetslivsinstitutet har tillagt att även om möjlighet finns för regeringen eller den myndighet som regeringen bestämmer att meddela närmare föreskrifter om undantag från gallringstiderna kan det i det enskilda fallet vara svårt att bedöma om ett material helt skall undantas från gallring. Med hänsyn härtill samt då statistiska uppföljningar ofta görs med tio års intervall har Arbetslivsinstitutet föreslagit att uppgifter som avskiljs för statistikändamål bör gallras efter femton år. Utgångspunkten för bedömningen av bevarandefrågan av uppgifter i lagen om arbetsförmedlingsregister var att särskild hänsyn måste tas till integritetsaspekten. De överväganden som låg till grund för gallringstiderna är aktuella även vid bedömningen av vad som skall gälla för bevarande och gallring av uppgifter i den nu föreslagna lagstiftningen (se prop. 1993/94:235 s. 36 f). Enligt regeringens bedömning bör någon ändring av gallringstiderna inte göras. Forskningens behov av material får i stället, i likhet med nu gällande bestämmelser, tillgodoses genom den möjlighet som bör ges regeringen, eller den myndighet regeringen bestämmer, att meddela föreskrifter om undantag från gallringstiderna med hänsyn till forskningens behov, dvs. undantag från särregleringen om gallring i lagen. Det bör vara Riksarkivet som bemyndigas att meddela sådana föreskrifter. Någon hänvisning till arkivlagens bestämmelser behöver inte göras. Av 8 § andra stycket personuppgiftslagen följer nämligen uttryckligen att lagen inte hindrar att en myndighet arkiverar eller bevarar sina allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. 5.13 Överklagande Regeringens förslag: En myndighets beslut om rättelse eller om avslag på ansökan om information som skall lämnas skall kunna överklagas hos allmän förvaltningsdomstol. Andra beslut får inte överklagas. Prövningstillstånd skall krävas vid överklagande till kammarrätten. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Remissinstanserna: Endast Riksdagens ombudsmän har yttrat sig i särskilt i denna del och efterlyst en motivering till den föreslagna ordningen för överklagande. Skälen för regeringens förslag: De beslut som fattas rörande personuppgifter som direkt berör den enskilde skall kunna överklagas. Sådana beslut är i allmänhet en myndighets beslut att avslå en ansökan om information enligt 26 § personuppgiftslagen. Även beslut om rättelse bör kunna överklagas. Med hänsyn till att det rör sig om beslut i rättsfrågor snarare än i materiella frågor är det enligt regeringens bedömning lämpligt att besluten överklagas direkt till domstol. Det är också önskvärt att besluten överklagas på samma sätt oavsett vilken myndighet som fattat beslutet. Besluten bör därför överklagas till allmän förvaltningsdomstol och det bör krävas prövningstillstånd för ett överklagande till kammarrätten. Övriga beslut berör inte den enskilde direkt och bör därför inte kunna överklagas. Även i övrig registerlagstiftning som tillkommit på senare tid har överklagandebestämmelserna utformats på motsvarande sätt. 5.14 Säkerhetsåtgärder och anmälan till tillsynsmyndighet Regeringens bedömning: Personuppgiftslagens bestämmelser om säkerhetsåtgärder och anmälningsskydlighet skall gälla också när personuppgifterna behandlas inom den arbetsmarknadspolitiska verksamheten. Promemorians förslag: Överensstämmer med regeringens bedömning. Remissinstanserna: Några särskilda yttranden i denna del har inte inkommit. Skälen för regeringens bedömning Säkerhetsåtgärder Personuppgiftslagens bestämmelser om säkerhet vid behandling av personuppgifter (31-32 §§) skall enligt regeringens uppfattning gälla även när personuppgifter behandlas inom den arbetsmarknadspolitiska verksamheten. Det behövs därför inte några särskilda regler om detta i lagen. Anmälningsskyldighet Behandling av personuppgifter som är helt eller delvis automatiserad omfattas enligt 36 § första stycket personuppgiftslagen av anmälningsskyldighet genom anmälan till tillsynsmyndigheten. Vidare får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Sådana föreskrifter finns bland annat i personuppgiftsförordningen (1998:1191) där det i 3 § 3 anges, såvitt här är av intresse, att anmälningsskyldigheten enligt 36 § första stycket personuppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Bestämmelsen innebär att behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten som är helt eller delvis automatiserad och som sker med stöd av den föreslagna lagen inte kommer att omfattas av anmälningsskyldighet. I regeringens proposition Ny socialtjänstlag m.m., rörande bland annat behandling av personuppgifter inom socialtjänsten, (prop. 2000:01:80 s. 155), gjordes bedömningen att allmänhetens intresse av information rörande behandlingen av dessa personuppgifter tillgodoses även om behandlingen är undantagen från kravet på anmälningsskyldighet och att personuppgiftslagens bestämmelser om informationsskyldighet torde vara tillräckliga för att säkerställa detta intresse. Vidare nämndes bestämmelsen i 15 kap. 11 § sekretesslagen (1980:100), i vilken föreskrivs vissa skyldigheter för myndigheter att för allmänheten hålla tillgängligt beskrivning av register, förteckningar eller andra anteckningar hos myndigheten som förs med hjälp av automatisk databehandling (ADB-register) samt vad en sådan beskrivning skall innehålla. I den arbetsmarknadspolitiska verksamheten bör enligt regeringens bedömning gälla samma förutsättningar som inom socialtjänsten beträffande denna fråga. Några skäl för att föreskriva anmälningsskyldighet för de berörda myndigheterna i den arbetsmarknadspolitiska verksamheten föreligger därför inte. 5.15 Sekretess Regeringens bedömning: Någon ändring av sekretessreglerna behöver inte göras. Promemorians förslag: Överensstämmer med regeringens bedömning. Remissinstanserna: Remissinstanserna har inte yttrat sig särskilt i denna del. Skälen för regeringens bedömning: I förarbetena till lagen om arbetsförmedlingsregister (prop. 1993/94:235 s. 29 f) redovisas de bestämmelser i sekretesslagen (1980:100) som den verksamhet som bedrivs inom Arbetsmarknadsverket berörs av (7 kap. 10 §, 8 kap. 1 §, 9 kap. 4 §, 14 kap. 3 § och 7 kap. 16 § sekretesslagen). Den bedömning som gjordes vid den tidpunkten innebar att utformningen av sekretessreglerna på detta område ger de arbetssökande ett tillfredsställande skydd. Dessa regler gäller fortfarande. De ändringar som gjorts är inte av betydelse i nu aktuellt hänseende. Den nuvarande utformningen av aktuella bestämmelser i sekretesslagen innebär enligt regeringens mening fortfarande ett väl avvägt skydd för de personuppgifter som får behandlas inom den arbetsmarknadspolitiska verksamheten. Den föreslagna lagen föranleder därför inte några ändringar av sekretesslagen. 6 Ikraftträdande och kostnader m.m. 6.1 Ikraftträdande och övergångsbestämmelser Lagen om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten föreslås ersätta den nu gällande lagen om arbetsförmedlingsregister och föreslås träda i kraft den 1 augusti 2002. Den äldre lagens bestämmelser om gallring och registerinnehåll bör dock fortfarande gälla för uppgifter och handlingar som har tillförts ett arbetsförmedlingsregister före den nya lagens ikraftträdande. Bestämmelserna i den nya lagen bör inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling som utförs för ett visst ändamål om manuell behandling för ändamålet påbörjades före den 24 oktober 1998. 6.2 Kostnader m.m. Förslaget kommer till en början att medföra vissa kostnader, främst till följd av att det krävs utbildningsinsatser hos de aktuella myndigheterna samt ny skriftlig information samt anpassningar i datasystemen på grund av det tydligare krav som ställs på Arbetsmarknadsverket vad gäller informationsåtgärder. Dessa kostnader torde dock inte vara större än att de kan täckas inom myndigheternas ordinarie resursramar. Ändringarna bör inte medföra några miljömässiga konsekvenser. 7 Författningskommentar 1 § Paragrafen anger lagens tillämpningsområde. Bestämmelsen behandlas i avsnitt 5.2. Av första stycket framgår att lagen skall tillämpas i den arbetsmarknadspolitiska verksamheten av de myndigheter som ingår i Arbetsmarknadsverket, dvs. Arbetsmarknadsstyrelsen (AMS) och länsarbetsnämnderna. Vad som avses med arbetsmarknadspolitisk verksamhet framgår av förordningen (2000:628) om den arbetsmarknadspolitiska verksamheten. Utanför lagens tillämpningsområde faller behandling av personuppgifter i samband med de interna och administrativa åtgärder som kan förekomma i verksamheten. För behandling av sådana frågor, till exempel löneregister, gäller i stället personuppgiftslagen. Med begreppen behandling och personuppgifter avses detsamma som i personuppgiftslagen (1998:204). I bestämmelsen anges vidare den personkrets för vilka uppgifter får behandlas enligt lagen. Den personkrets som lagen omfattar är i huvudsak densamma som anges i 4 § lagen om arbetsförmedlingsregister, dvs. arbetssökande, arbetsgivare och kontaktpersoner. I den arbetsmarknadspolitiska verksamheten behandlas även personuppgifter rörande andra personer än de ovan namngivna, bland annat i samband med vissa frågor om arbetstillstånd, arbetslöshetsförsäkring, totalförsvaret och byggnadstillstånd m.m. (5 § förordningen [2000:628] om den arbetsmarknadspolitiska verksamheten). Den nya lagen omfattar även behandling av personuppgifter beträffande dessa personer i den utsträckning behandlingen sker i den arbetsmarknadspolitiska verksamheten. Av andra stycket framgår att lagen skall tillämpas vid all behandling av personuppgifter som är helt eller delvis automatiserad. Manuell behandling omfattas av lagen endast om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (så kallat manuellt register). Vad som avses med automatiserad behandling i den arbetsmarknadspolitiska verksamheten har behandlats i avsnitt 5.2. Av tredje stycket framgår att enligt lagen tillåten behandling av personuppgifter får utföras även om den registrerade motsätter sig det. Om det enligt lagen krävs samtycke är behandlingen naturligtvis inte tillåten om inte samtycke ges. 2 § Bestämmelsen behandlas i avsnitt 5.3. I paragrafen anges förhållandet mellan personuppgiftslagen och lagen på så sätt att personuppgiftslagen gäller om inget annat sägs i lagen eller föreskrifter meddelade med stöd av lagen eller annars av 2 § personuppgiftslagen. Lagen har utformats så att den endast gör vissa undantag från personuppgiftslagen och i övrigt preciserar vissa för behandlingen viktiga förhållanden. Till exempel de definitioner som anges i 3 § personuppgiftslagen gäller således vid tillämpningen av den lagen eller av föreskrifter som meddelats med stöd av lagen. Likaså gäller t.ex. personuppgiftslagens bestämmelser om information och säkerhetsåtgärder (se avsnitt 5.10 och 5.14). 3 § Bestämmelsen behandlas i avsnitt 5.4. Av paragrafen framgår att AMS och respektive länsarbetsnämnd är personuppgiftsansvariga för den behandling av personuppgifter som respektive myndighet utför. 4 § Bestämmelsen har behandlats i avsnitt 5.5. I paragrafen anges de primära ändamålen för användning av personuppgifter inom den arbetsmarknadspolitiska verksamheten. Beskrivningen av ändamålen får betydelse för vilken insamling och annan behandling av uppgifter som är tillåten enligt lagen. Ändamålen motsvarar i princip de registerändamål som anges i 2 § lagen om arbetsförmedlingsregister (1994:459). Såvitt avser punkten 1 har dock utvidgning skett på så sätt att arbetsmarknadspolitisk verksamhet omfattas och inte bara vissa angivna ärendetyper. När det gäller innehållet i de övriga olika punkterna är någon ändring i sak inte avsedd. För innehållet och syftet med ändamålen hänvisas till regeringens prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 17 ff. Med hänsyn till att överenskommelsen om en gemensam nordisk arbetsmarknad inte har inkorporerats i svensk rätt har Lagrådet bl.a. anfört att en upplysning om var överenskommelsen istället har kungjorts skall lämnas i samband med kungörandet av lagen. 5 § Bestämmelsen behandlas i avsnitt 5.5. I paragrafen regleras de sekundära ändamålen, dvs. för vilka ändamål som uppgifter får tillhandahållas för verksamheter utanför Arbetsmarknadsverkets verksamhet. Paragrafen motsvarar den nya 2 a § lagen om arbetsförmedlingsregister, med tillägget att även Riksskatteverket och skattemyndigheterna omfattas av bestämmelsen. De myndigheter som anges i bestämmelsen är de myndigheter där informationsutbyte av personuppgifter i dag sker regelmässigt. Enligt punkt 1 får uppgifter behandlas för att tillhandahålla sådan information som Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens och arbetslöshetskassornas verksamhet behöver för att kunna fatta beslut om och kontrollera förmåner, ersättningar och andra stöd. Enligt punkt 2 får uppgifter behandlas för att tillhandahålla sådan information som Riksskatteverkets och skattemyndigheternas verksamhet behöver för att kunna fatta beslut om skatt och för att kontrollera att mervärdesskatt, socialavgifter och preliminärskatt betalats in till staten (se prop. 1996/97:116, Ändringar i skatteregisterlagen, m.m., s. 53). De uppgifter som avses är de som länsarbetsnämnderna enligt 17 § lagen om arbetsförmedlingsregister och förordningen (1994:460) om arbetsförmedlingsregister regelmässigt lämnar ut till skattemyndigheterna på medium för automatiserad behandling, dvs. beslut om olika arbetsmarknadspolitiska åtgärder samt om utbetalt belopp och datum för utbetalningen. 6 § Av paragrafen framgår att regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter rörande begränsningar av ändamålen i 4 § samt begränsningar av vilka uppgifter som får behandlas för ett visst ändamål. 7 § Bestämmelsen behandlas i avsnitt 5.6. I paragrafen anges att det i den arbetsmarknadspolitiska verksamheten får finnas en samling personuppgifter som med automatiserad behandling används gemensamt i verksamheten för de ändamål som gäller för lagen (arbetsmarknadspolitisk databas). Databasen ersätter det tidigare registerbegreppet och innehållet i en databas skall avspegla vad som i dag får finnas i arbetsförmedlingsregistret och AMS centrala statistikregister. Vad som avses med databas har redogjorts för i avsnitt 5.6. 8 § Bestämmelsen behandlas i avsnitt 5.7. I paragrafen regleras när känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. får behandlas av myndigheterna inom Arbetsmarknadsverket i de fall behandlingen inte sker i en databas, exempelvis om uppgifter behövs i en föredragningspromemoria, tjänsteanteckning eller liknande. För behandling av uppgifter av känslig och ömtålig natur i databasen gäller särskilda regler (se 9 och 10 §§). Sådana uppgifter som avses i 13 och 21 §§ personuppgiftslagen får behandlas för samtliga ändamål som anges i 4 §. Enligt 6 § kan dock regeringen, eller den myndighet regeringen bestämmer, begränsa vilka personuppgifter som får behandlas för ett visst ändamål. Bestämmelsen tar av naturliga skäl sikte på uppgifter av känslig natur rörande en arbetssökande, men paragrafen gäller all behandling av känsliga personuppgifter som sker i den arbetsmarknadspolitiska verksamheten. Sådana personuppgifter får behandlas om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det, dvs. om myndigheten måste behandla dessa för att kunna sköta sina åligganden vid hanteringen av ärenden enligt gällande rutiner och regler. Känsliga personuppgifter bör dock alltid kunna få behandlas för gallring. 9 § Bestämmelsen behandlas i avsnitt 5.7. I paragrafen regleras vilka känsliga och ömtåliga personuppgifter som får behandlas i en arbetsmarknadspolitisk databas, dvs. det som tidigare utgjorde arbetsförmedlingsregistret och AMS centrala statistikregister. I första stycket behandlas vilka känsliga personuppgifter som avses i 13 § personuppgiftslagen som får behandlas i databasen. Av de känsliga personuppgifter som avses i personuppgiftslagen får endast personuppgifter som avslöjar etniskt ursprung eller som rör hälsa behandlas. Bestämmelsen har sitt ursprung i 6 och 7 §§ lagen om arbetsförmedlingsregister. Av andra stycket framgår att vissa villkor gäller för behandling i en databas beträffande sådana uppgifter som avslöjar etniskt ursprung eller hälsa samt vissa andra ömtåliga personuppgifter. Uppgifterna får endast behandlas i en databas om de har lämnats i ett ärende och den enskilde skriftligen har samtyckt till behandlingen eller om de är nödvändiga för handläggningen och den enskilde har lämnat sitt skriftliga samtycke. En registrerad har rätt att återkalla ett sådant samtycke i enlighet med vad som föreskrivs i 12 § första stycket personuppgiftslagen (1998:204). Bestämmelsen är utformad efter förslag av Lagrådet. 10 § I paragrafen anges att personuppgifter om lagöverträdelser som innefattar brott m.m. samt uppgift om att den arbetssökande vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) inte får behandlas i databasen. Bestämmelsens materiella innehåll har sin motsvarighet i 8 § lagen om arbetsförmedlingsregister. 11 § Vad som avses med direktåtkomst behandlas i avsnitt 5.8. Av paragrafen framgår att Arbetsmarknadsstyrelsen och länsarbetsnämnderna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas. Direktåtkomsten är dock förbehållen endast den som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Direktåtkomst inom en myndighetsorganisation innebär inte att samtliga anställda har tillgång till uppgifterna. Tvärtom medför personuppgiftslagens allmänna bestämmelser om grundläggande krav på och säkerhet vid behandling m.m. att olika åtgärder måste vidtas som förhindrar missbruk. Det kan till exempel innebära att åtkomst till olika uppgifter inom en myndighet är starkt begränsad till olika behörighetsnivåer, vilket i sin tur innebär att det i slutändan är ett högst begränsat antal personer som har tillgång till samtliga uppgifter. Regeringen eller den myndighet regeringen bestämmer måste sätta upp klara och tydliga gränser i fråga om vilka personkategorier som skall ha tillgång till vilka uppgifter för att kunna utföra sitt arbete. Av bestämmelsen framgår även att regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om sådan direktåtkomst. 12 § Det materiella innehållet i paragrafen motsvaras av den nya 16 a § lagen om arbetsförmedlingsregister (SFS 2001:1152 som träder i kraft den 1 juli 2002). Av bestämmelsen framgår att Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas om det behövs för de ändamål som avses 5 §. Vidare framgår att regeringen meddelar föreskrifter om vilka uppgifter som får omfattas av direktåtkomst. 13 § Innehållet i paragrafen behandlas i avsnitt 5.8. Enligt första stycket är det, med hänsyn till risken för intrång i den personliga integriteten, endast möjligt att lämna ut uppgifter i databasen till en enskild på medium för automatiserad behandling om regeringen har föreskrivit detta. Av andra stycket framgår att regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automatiserad behandling till myndigheter och enskilda. 14 § Bestämmelsen behandlas i avsnitt 5.9. Bestämmelsen i första stycket begränsar användningen av sökbegrepp. Känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) samt andra ömtåliga personuppgifter som avses i 9 § andra stycket och 10 § i lagen inte får användas som sökbegrepp. Koder för arbetshandikapp får dock användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade samt för att kunna framställa avidentifierad statistik där uppgifter om enskilda personer inte kan utläsas. Denna sökmöjlighet finns redan i nu gällande registerlagstiftning (se 20 § 2). De överväganden från integritetssynpunkt som gjorts beträffande dessa sökbegrepp framgår av prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 33 ff. I andra stycket anges att regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas. Genom begränsningar av vilka sökbegrepp som är tillåtna begränsas vad som är att anse som en allmän handling och vad som kan bli tillgängligt för utomstående. Bestämmelsen är utformad enligt förslag från Lagrådet. 15 § Bestämmelsen behandlas i avsnitt 5.11. Personuppgiftslagens bestämmelser om rättelse och skadestånd skall tillämpas även vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten. 16 § Bestämmelsen behandlas i avsnitt 5.12. I paragrafen anges de särskilda bestämmelser som tar över arkivlagens bestämmelser om bevarande och gallring. Bestämmelsen behandlar skyldigheten att gallra personuppgifter efter vissa angivna tidpunkter. Skyldigheten att gallra innebär att personuppgifterna skall förstöras när tidpunkten för gallring är inne. Förstöring innebär bland annat att uppgifterna förs över till annan databärare om överföringen innebär informationsförlust eller att sökmöjligheter går förlorade i och med överföringen. Uppgifter som finns i en databas och som överförs från denna till pappershandlingar innebär således i praktiken att uppgifterna har gallrats om också den elektroniska informationen raderats. De uppgifter som då endast finns kvar på papper omfattas inte längre av gallringsfristerna. Bestämmelserna om gallringstid i första och andra styckena motsvarar 21 § lagen om arbetsförmedlingsregister. De överväganden som legat till grund för gallringstiderna framgår av prop. 1993/94:235 Lag om arbetsförmedlingsregister, s. 36 f. Med handläggande myndighet avses den myndighet inom Arbetsmarknadsverket som hanterar det berörda ärendet. Genom tredje stycket ges regeringen, eller den myndighet som regeringen bestämmer, möjlighet att föreskriva undantag från skyldigheten att gallra personuppgifter i fråga om material för forskningens behov. 17 § Av paragrafen framgår i vilka fall regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter utöver vad som angetts i respektive paragraf i lagen. Sådana föreskrifter måste dock rymmas inom ramen för de primära och sekundära ändamål som framgår av 4-5 §§. Enligt första stycket är det endast regeringen som meddelar föreskrifter om vilka personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Den myndighet regeringen bestämmer (AMS) bör dock ytterligare kunna få begränsa innehållet i dessa kategorier. Detta är möjligt enligt andra stycket. 18 § Bestämmelsen behandlas i avsnitt 5.13. Myndigheternas beslut om rättelse och avslag på ansökan om information får överklagas hos allmän förvaltningsdomstol. Andra beslut får inte överklagas. Sammanfattning av promemorian Behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten (Ds 2001:67) Promemorian föreslår en lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Lagen skall innehålla de bestämmelser som utöver personuppgiftslagen (1998:204) är nödvändiga för den arbetsmarknadspolitiska verksamhet som bedrivs av myndigheterna inom Arbetsmarknadsverket. Regleringen kommer att ersätta lagen (1994:459) om arbetsförmedlingsregister. Det huvudsakliga innehållet i den nya lagen är följande. - Den nya lagen skall tillämpas vid behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten i fråga om arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. - Begreppet databas införs som en juridisk beteckning för vissa fastställda automatiserade uppgiftssamlingar som används gemensamt inom en verksamhet och för vilka särskilda regler skall gälla beträffande känsliga och ömtåliga personuppgifter. - Primära och sekundära ändamål för behandling av uppgifter anges i lagen. Uppgifterna skall få behandlas endast för de angivna ändamålen. Alla uppgifter som är nödvändiga för de ändamål för vilka behandlingen utförs skall få behandlas. - I lagen anges under vilka förutsättningar känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. skall få behandlas i den arbetsmarknadspolitiska verksamheten. - Direktåtkomst till de uppgifter som behandlas skall vara förbehållen de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. - Regeringen bemyndigas att meddela föreskrifter om att uppgifter som behandlas enligt lagen får lämnas ut på medium för automatiserad behandling till enskilda, andra myndigheter, organ och sådana utländska myndigheter med vilka samarbete sker på det arbetsmarknadspolitiska området inom Norden, Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt vilka som därvid får ha direktåtkomst till personuppgifter. - Endast de sökbegrepp som regeringen beslutar om skall få användas. Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204), ömtåliga personuppgifter som avses i 7 § tredje stycket eller 8 § skall som huvudregel inte få användas som sökbegrepp. Undantag gäller dock för uppgifter om koder för medborgarskap och arbetshandikapp, vilka skall få användas som sökbegrepp under vissa förutsättningar. - Särskilda bestämmelser om rättelse, skadestånd, överklagande och gallring anges i lagen. Promemorians lagförslag Förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Härigenom föreskrivs följande. Lagens tillämpningsområde 1 § Denna lag tillämpas vid behandling av personuppgifter i Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet i fråga om arbetssökande, arbetsgivare och kontaktpersoner samt andra personer som omfattas av denna verksamhet. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förhållandet till personuppgiftslagen 2 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annat inte följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag. En registrerad person har inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag. Personuppgiftsansvar 3 § Arbetsmarknadsstyrelsen är personuppgiftsansvarig för den behandling av personuppgifter som styrelsen skall utföra. En länsarbetsnämnd är ansvarig för den behandling nämnden skall utföra. Ändamål 4 § Personuppgifter får behandlas för tillhandahållande av information som behövs inom den arbetsmarknadspolitiska verksamheten för 1. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten, 2. publicering av platsinformation, 3. planering, metodutveckling, tillsyn, uppföljning, resultatredovisning och utvärdering av den arbetsmarknadspolitiska verksamheten, 4. framställning av avidentifierad statistik, och 5. samarbete på det arbetsmarknadspolitiska området enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad samt inom Europeiska unionen och Europeiska ekonomiska samarbetsområdet. 5 § Uppgifter får behandlas för tillhandahållande av information som behövs inom 1. Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens och arbetslöshetskassornas verksamhet, som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, samt 2. Riksskatteverkets och skattemyndigheternas verksamhet som underlag för beslut om och kontroll av skatt. Arbetsmarknadspolitisk databas 6 § I den arbetsmarknadspolitiska verksamheten får det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de i 4 och 5 §§ angivna ändamålen (arbetsmarknadspolitisk databas). Behandling av känsliga personuppgifter m.m. 7 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och uppgifter om lagöverträdelser m.m. som avses i 21 § samma lag om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. 8 § I en arbetsmarknadspolitisk databas får inte behandlas andra känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) än sådana som avslöjar ras eller etniskt ursprung samt sådana personuppgifter som rör hälsa. Sådana känsliga personuppgifter som avses i första stycket, uppgifter om en arbetssökandes sociala eller ekonomiska förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en arbetssökande, får endast behandlas i databasen om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde uttryckligen har samtyckt till detta. 9 § Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samt uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) får inte behandlas i den arbetsmarknadspolitiska databasen. Inhämtande av uppgifter 10 § Uppgifter om utbetalning av medel för arbetsmarknadspolitiska program får inhämtas från Riksförsäkringsverket och de allmänna försäkringskassorna samt från Centrala studiestödsnämnden för behandling i den arbetsmarknadspolitiska databasen för de ändamål som anges i 4 och 5 §§. Uppgifter om utbetald arbetslöshetsersättning får även inhämtas från arbetslöshetskassorna för behandling i databasen för dessa ändamål. Direktåtkomst 11 § Direktåtkomst till de personuppgifter som behandlas enligt denna lag skall vara förbehållen de personer som på grund av sina arbetsuppgifter inom den arbetsmarknadspolitiska verksamheten behöver tillgång till uppgifterna. I fråga om direktåtkomst till uppgifter som får lämnas ut till enskild, annan myndighet eller organ finns regler om bemyndigande i 16 och 17 §§. Sökbegrepp 12 § För sökning av personuppgifter får endast användas de sökbegrepp som regeringen beslutar om enligt 16 §. Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och ömtåliga personuppgifter som avses i 8 § andra stycket eller 9 § får inte användas som sökbegrepp. Uppgifter om koder för arbetshandikapp och medborgarskap får dock utan hinder av första stycket användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade och utlänningar samt för att framställa avidentifierad statistik. Information till den arbetssökande 13 § Bestämmelserna i 23-27 §§ personuppgiftslagen (1998:204) om information till den registrerade gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som meddelats med stöd av denna. Rättelse och skadestånd 14 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som utfärdats med stöd av denna lag. Gallring 15 § Uppgifter om arbetssökande och arbetsgivare skall gallras två år efter utgången av det år då behandlingen av uppgifter har avslutats i ett ärende hos den handläggande myndigheten. Uppgifter som har avskiljts för statistikändamål skall gallras tio år efter avskiljandet. I fråga om undantag från dessa bestämmelser rörande bevarande av material för forskningens behov gäller 17 § 6. Sådant material skall lämnas över till en arkivmyndighet. Bemyndiganden 16 § Regeringen meddelar föreskrifter om 1. att personuppgifter får lämnas ut till enskilda, myndigheter eller organ på medium för automatiserad behandling, 2. vilka som därvid får ha direktåtkomst till personuppgifter, 3. vilka uppgifter som får behandlas i en arbetsmarknadspolitisk databas, samt 4. sökbegrepp. 17 § Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare föreskrifter om 1. begränsningar av de i 4 § angivna ändamålen, 2. begränsningar av de uppgifter som får behandlas för ett visst ändamål, 3. vilka uppgifter som får lämnas ut på medium för automatiserad behandling, 4. direktåtkomst enligt 11 § första stycket och vilka uppgifter som omfattas av direktåtkomst enligt 16 § 2, 5. de sökbegrepp regeringen beslutat om enligt 16 § 4, 6. undantag från gallringstider enligt 15 § tredje stycket, samt 7. uppgifter som får behandlas i en arbetsmarknadspolitisk databas. Överklagande 18 § Beslut av Arbetsmarknadsstyrelsen och länsarbetsnämnd om rättelse och om avslag på ansökan om information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Ikraftträdandebestämmelser 1. Denna lag träder i kraft den 1 juli 2002, då lagen (1994:459) om arbetsförmedlingsregister skall upphöra att gälla. 2. Den äldre lagens bestämmelser om gallring och innehåll gäller dock fortfarande i fråga om uppgifter och handlingar som har tillförts arbetsförmedlingsregistret före den 1 juli 2002. 3. Bestämmelserna i denna lag om manuell behandling av personuppgifter skall inte börja tillämpas förrän den 1 oktober 2007, om den manuella behandlingen eller manuell behandling för ändamålet påbörjades före den 24 oktober 1998. 4. Har en begäran om registerutdrag enligt 10 § datalagen (1973:289) kommit in till en myndighet innan denna lag träder i kraft men har utdraget inte expedierats före ikraftträdandet, skall framställningen anses som en ansökan om information enligt denna lag. Förteckning över remissinstanser Remissyttranden har avgetts av Justitieombudsmannen, Justitiekanslern, Datainspektionen, Statskontoret, Riksförsäkringsverket, Socialstyrelsen, Riksskatteverket, Arbetsgivarverket, Centrala studiestödsnämnden, Riksarkivet, Arbetsmarknadsstyrelsen, Arbetslivsinstitutet, Institutet för Arbetsmarknadspolitisk utvärdering, Landstingsförbundet, Tjänstemännens Centralorganisation, Sveriges Akademikers Centralorganisation, Landsorganisationen i Sverige samt Arbetslöshetskassornas Samorganisation. Lagrådsremissens lagförslag Förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten Härigenom föreskrivs följande. Lagens tillämpningsområde 1 § Denna lag tillämpas vid behandling av personuppgifter i Arbetsmarknadsverkets arbetsmarknadspolitiska verksamhet som gäller arbetssökande, arbetsgivare, kontaktpersoner och andra personer som omfattas av denna verksamhet. Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. Förhållandet till personuppgiftslagen 2 § Personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter inom den arbetsmarknadspolitiska verksamheten, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag eller annars av 2 § personuppgiftslagen. Personuppgiftsansvar 3 § Arbetsmarknadsstyrelsen är personuppgiftsansvarig för den behandling av personuppgifter som styrelsen utför. En länsarbetsnämnd är ansvarig för den behandling nämnden utför. Ändamål m.m. 4 § Arbetsmarknadsstyrelsen eller en länsarbetsnämnd får behandla personuppgifter inom den arbetsmarknadspolitiska verksamheten bara om det behövs för 1. handläggning av ärenden som rör den arbetsmarknadspolitiska verksamheten, 2. publicering av platsinformation, 3. planering, metodutveckling, tillsyn, uppföljning, resultatredovisning och utvärdering av den arbetsmarknadspolitiska verksamheten, 4. framställning av avidentifierad statistik, och 5. samarbete på det arbetsmarknadspolitiska området inom Europeiska unionen och Europeiska ekonomiska samarbetsområdet samt enligt överenskommelsen den 6 mars 1982 om en gemensam nordisk arbetsmarknad. 5 § Arbetsmarknadsstyrelsen eller en länsarbetsnämnd får behandla personuppgifter för tillhandahållande av information som behövs inom 1. Riksförsäkringsverkets, de allmänna försäkringskassornas, Centrala studiestödsnämndens eller arbetslöshetskassornas verksamhet, som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd, samt 2. Riksskatteverkets och skattemyndigheternas verksamhet som underlag för beslut om och kontroll av skatt. 6 § Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar av ändamålen i 4 § samt om begränsningar av vilka personuppgifter som får behandlas för ett visst ändamål. Arbetsmarknadspolitisk databas 7 § I den arbetsmarknadspolitiska verksamheten får det finnas en samling personuppgifter som med hjälp av automatiserad behandling används gemensamt i verksamheten för de ändamål som anges i 4-6 §§ (arbetsmarknadspolitisk databas). Behandling av känsliga personuppgifter m.m. 8 § Arbetsmarknadsstyrelsen eller en länsarbetsnämnd får behandla känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) och personuppgifter om lagöverträdelser m.m. som avses i 21 § samma lag om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. 9 § I en arbetsmarknadspolitisk databas får inga andra känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) behandlas än sådana som avslöjar etniskt ursprung eller rör hälsa. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa, personuppgifter om sociala förhållanden samt omdömen, slutsatser eller andra värderande upplysningar om en enskild, får behandlas i en databas endast om de har lämnats i ett ärende eller är nödvändiga för handläggningen av det och den enskilde skriftligen har samtyckt till detta. 10 § Sådana personuppgifter som avses i 21 § personuppgiftslagen (1998:204) samt uppgifter om att den enskilde har vårdats med stöd av socialtjänstlagen (2001:453) eller varit föremål för åtgärd enligt utlänningslagen (1989:529) får inte behandlas i en arbetsmarknadspolitisk databas. Direktåtkomst och utlämnande av personuppgifter 11 § Arbetsmarknadsstyrelsen och länsarbetsnämnderna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas. Sådan åtkomst skall vara förbehållen de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om vilka personer i Arbetsmarknadsverket som får ha direktåtkomst till personuppgifter. 12 § Riksförsäkringsverket, de allmänna försäkringskassorna, Centrala studiestödsnämnden och arbetslöshetskassorna får ha direktåtkomst till personuppgifter som behandlas i en arbetsmarknadspolitisk databas om det behövs för de ändamål som avses i 5 §. Regeringen meddelar föreskrifter om vilka personuppgifter som får omfattas av direktåtkomst. 13 § Uppgifter i databasen får lämnas ut till en enskild på medium för automatiserad behandling endast om regeringen har meddelat föreskrifter om det. Regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automatiserad behandling till myndigheter och enskilda. Sökbegrepp 14 § För sökning av personuppgifter får endast de sökbegrepp som regeringen beslutar om användas. Sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) samt ömtåliga personuppgifter som avses i 9 § andra stycket eller 10 § får inte användas som sökbegrepp. Uppgift om kod för arbetshandikapp får dock utan hinder av första stycket användas som sökbegrepp för att underlätta förmedling av arbete åt arbetshandikappade samt för att framställa avidentifierad statistik. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar av de sökbegrepp som får användas. Rättelse och skadestånd 15 § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till denna lag. Gallring 16 § Uppgifter om arbetssökande i en arbetsmarknadspolitisk databas skall gallras två år efter utgången av det år då behandlingen av uppgifter har avslutats i ett ärende hos den handläggande myndigheten. Uppgifter som har avskiljts för statistikändamål skall gallras tio år efter avskiljandet. Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om undantag från dessa gallringstider när det gäller bevarande av material för forskningens behov. Sådant material skall lämnas över till en arkivmyndighet. Ytterligare föreskrifter 17 § Regeringen meddelar ytterligare föreskrifter om vilka personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Regeringen, eller den myndighet regeringen bestämmer, meddelar föreskrifter om begränsningar av de personuppgifter som får behandlas i en arbetsmarknadspolitisk databas. Överklagande 18 § En myndighets beslut om rättelse eller om avslag på ansökan om information enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. 1. Denna lag träder i kraft den 1 augusti 2002, då lagen (1994:459) om arbetsförmedlingsregister upphör att gälla. 2. Den äldre lagens bestämmelser om gallring och registerinnehåll gäller dock fortfarande i fråga om uppgifter och handlingar som har tillförts ett arbetsförmedlingsregister och Arbetsmarknadsstyrelsens centrala statistikregister före den 1 augusti 2002. 3. Bestämmelserna i denna lag skall inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell behandling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling som utförs för ett visst bestämt ändamål om manuell behandling för ändamålet påbörjades före den 24 oktober 1998. Lagrådets yttrande Utdrag ur protokoll vid sammanträde 2002-03-07 Närvarande: f.d. hovrättspresidenten Bo Broomé, justitierådet Nina Pripp, regeringsrådet Göran Schäder. Enligt en lagrådsremiss den 21 februari 2002 (Näringsdepartementet) har regeringen beslutat inhämta Lagrådets yttrande över förslag till lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten. Förslaget har inför Lagrådet föredragits av hovrättsassessorn Catharina Nordlander och kammarrättsassessorn Maria Braun. Förslaget föranleder följande yttrande av Lagrådet: Remissförslaget avser en lag i raden av speciallagar i förhållande till personuppgiftslagen och syftar till att komplettera och i vissa delar ersätta den lagen. Det upptar i vissa delar bestämmelser som är likartade med dem som återfinns i dessa redan beslutade lagar. 4 § Enligt förslaget skall personuppgifter få behandlas bl.a. om det behövs enligt en överenskommelse den 6 mars 1982 om en gemensam nordisk arbetsmarknad. Detta innebär att den nämna överenskommelsen skall tillämpas av svenska myndigheter och således att den blir en del av svensk rätt. Om det i en författning föreskrivs att en internationell överenskommelse skall gälla som svensk rätt, skall överenskommelsen enligt 14 § lagen (1976:633) om kungörande av lagar och andra författningar kungöras på samma sätt som författningen. Om det är lämpligare får regeringen dock bestämma att överenskommelsen i stället skall kungöras på något annat sätt. Var kungörandet i sådana fall sker skall ges till känna i den författningssamling där författningen har kungjorts. Vid föredragningen har upplysts att den nordiska överenskommelsen inte tidigare inkorporerats i svensk rätt. Om detta inte sker genom att överenskommelsen fogas som bilaga till den nu aktuella lagen måste, i enlighet med vad som tidigare anförts, en upplysning om var överenskommelsen istället har kungjorts lämnas i samband med kungörandet av lagen. 8 § Enligt 8 och 9 §§ i remissförslaget får Arbetsmarknadsstyrelsen och länsarbetsnämnderna i princip behandla alla slag av känsliga personuppgifter som avses i 13 § personuppgiftslagen i ärendehandläggningen, så länge det inte är fråga om behandling i en arbetsmarknadspolitisk databas, alltså vad som närmast svarar mot ett register i hittillsvarande reglering på området. Det kan emellertid ifrågasättas om det är förenligt med integritetsskyddet och, å andra sidan, påkallat av behovet, att behandling, om än på ett begränsat område, alls skall få ske i den arbetsmarknadspolitiska verksamheten av personuppgifter som avses i 13 § första stycket b) eller c) personuppgiftslagen, dvs. av uppgifter som avslöjar politiska åsikter eller religiös eller filosofisk övertygelse. Då det emellertid inte helt kan uteslutas att en sådan behandling är försvarlig, t.ex. i anslutning till utifrån lämnade uppgifter, vill Lagrådet inte motsätta sig den föreslagna regleringen men vill dock förutsätta att regeringen utnyttjar den i 6 § angivna befogenheten att meddela föreskrifter om vilka personuppgifter som får behandlas för ett visst ändamål, till att ange bestämda restriktioner för en behandling av särskilt de nämnda, känsliga uppgifterna. 9 § Enligt andra stycket krävs skriftligt samtycke från en enskild för att vissa känsliga och ömtåliga personuppgifter om honom skall få behandlas i en arbetsmarknadspolitisk databas. Ett sådant samtycke bör få återkallas, enligt vad som i liknande fall är föreskrivet i 12 § personuppgiftslagen. Lagrådet föreslår att paragrafen avslutas med följande mening: "Angående återkallelse av ett sådant samtycke gäller vad som föreskrivs i 12 § första stycket personuppgiftslagen (1998:204)". 13 § I 11-13 §§ ges bestämmelser om möjligheten för myndigheter och enskilda att få tillgång till uppgifter i en arbetsmarknadspolitisk databas. Av 11 och 12 §§ följer att ett antal namngivna myndigheter kan ha direktåtkomst till personuppgifter i en sådan bas, medan enskilda enligt 13 § kan få uppgifter i basen utlämnade till sig på medium för automatiserad behandling endast om regeringen meddelat föreskrifter om det. Som uttalats i prop. 2000/01:33 s. 111 kan det i vissa fall vara svårt att dra en gräns mellan direktåtkomst och andra former av utlämnande. Någon i lag lämnad definition av termen "direktåtkomst" finns inte i gällande registerförfattningar och har inte heller föreslagits nu. Innebörden har dock kommenterats i avsnitt 5.8. Det sägs där att direktåtkomst innebär att den som använder ett register på egen hand kan söka i detta och få svar på frågor, dock utan att själv kunna bearbeta eller på annat sätt påverka innehållet. Åtkomsten kan också ge användaren en möjlighet att hämta hem informationen till sitt eget system och bearbeta den där. Vidare sägs att direktåtkomst traditionellt sett ansetts innebära att uppgifter lämnas ut utan att den utlämnande myndigheten eller det utlämnande organet i det enskilda fallet har kontroll över vilka uppgifter som lämnas ut. Att enskilda inte skall kunna få direktåtkomst till uppgifter i en databas av nu aktuellt slag följer av den föreslagna regleringen i 11-13 §§. Föreskrifterna i 13 § om utlämnande till enskild på medium för automatiserad behandling får förstås så att det för regeringens föreskrifter krävs att myndigheten i det enskilda fallet skall ha kontroll över både de uppgifter som lämnas ut och till vem de lämnas. Även med denna utgångspunkt torde gränsdragningsproblem kunna uppstå. Något hinder bör dock inte föreligga mot att t.ex. en enskild även i fortsättningen skall kunna få möjlighet att i samband med besök hos arbetsförmedlingen få uppgift via en terminal om lediga platser. Däremot torde regleringen inte ge utrymme för föreskrifter som ger enskilda direkt tillgång till uppgifter via Internet (jfr SOU 1999:105 s. 264 ff.). 14 § Lagrådet förordar att paragrafen förenklas och ges en annan redaktionell utformning. Något hinder bör sålunda inte föreligga att första och sista styckena förs samman till en bestämmelse enligt vilken befogenhet att begränsa sökuppgifterna tillkommer regeringen eller den myndighet som regeringen bestämmer. Det kan här inflikas att denna befogenhet stöds på 8 kap. 13 § första stycket 2 och tredje stycket regeringsformen. Vidare bör andra meningen i nuvarande första stycket föras samman med andra stycket till ett stycke. Härefter skulle paragrafen få följande lydelse. "Sådana känsliga personuppgifter --- inte användas som sökbegrepp. Uppgift om kod för arbetshandikapp får dock användas som sökbegrepp för att underlätta förmedlingen av arbete åt arbetshandikappade samt för att framställa avidentifierad statistik. Regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om begränsningar i övrigt av de sökbegrepp som får användas." Näringsdepartementet Utdrag ur protokoll vid regeringssammanträde den 14 mars 2002 Närvarande: statsministern Persson, ordförande, och statsråden Hjelm-Wallén, Thalén, Winberg, Ulvskog, Lindh, Sahlin, von Sydow, Pagrotsky, Östros, Messing, Engqvist, Rosengren, Lejon, Lövdén, Ringholm, Bodström, Karlsson, Sommestad Föredragande: statsrådet Rosengren Regeringen beslutar proposition 2001/02:144 Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten 1 Sveriges överenskommelser med främmande makter (SÖ 1982:88). 2 Datainspektionens beslut 1996-02-08, dnr 840/96, respektive 1996-02-14, dnr 1038-1061-96. 3 RA-MS 1997:22 Prop. 2001/02:144 3 1 Prop. 2001/02:144 70 70 7 70 9 70 70 70 70 70 14 70 70 70 17 70 70 70 50 70 70 70 70 70 51 70 70 70 Prop. 2002/03:144 Bilaga 1 57 70 Prop. 2002/03:144 Bilaga 1 58 70 Prop. 2001/02:144 Bilaga 2 59 70 62 70 Prop. 2002/03:144 Bilaga 3 70 70 63 70 Prop. 2001/02:144 Bilaga 4 66 70 70 70 Prop. 2002/03:144 Bilaga 5 69 70 Prop. 2001/02:144 70 70