En viktig seger på integritetsområdet

När jag i maj, efter tio dagar i riksdagen, röstade nej till en av regeringens integritetskränkande lagstiftningar, efterlyste jag att vi integritetsvänner skulle bli mer konstruktiva:

"Det är också dags för oss integritetsvänner att bli konstruktiva. Att bara säga nej, nej, nej är inte en vinnande strategi, även om det också är viktigt att kunna säga ifrån."

Förra veckan skrev jag om den registerlag som regeringen ville införa för IFAU. Den skulle ha den positiva effekten att antalet känsliga personuppgifter tillgängliga för IFAU skulle minska, men den negativa effekten att de skulle få bygga upp en egen databas. Därmed skulle huvudprincipen för hantering av känsliga personuppgifter brytas, att enbart ett fåtal myndigheter, som SCB, hanterar dessa. Om IFAU får en sådan databas, dröjer det inte länge innan andra myndigheter vill ha det, och det skulle vara svårt att hålla emot. Varför får IFAU, och inte vi?

En viktiga anledning till registerlagen är att IFAU inte kan utföra sitt uppdrag via SCB:s nuvarande databaser, men en utredning under ledning av Bengt Westerberg håller på att titta på detta. Vilket innebär att statistiken då kan återgå till SCB.

Jag har satt mig in i ärendet, men regeringen hann före och kontaktade mig för ett tag sedan. Jag fick ta del av lite mer information, och föreslog sedan till våra tjänstemän på statsrådsberedningen att registerlagen skulle bli tillfällig, på tre-fyra år.

För några dagar sedan fick jag besked om att de övriga partierna hade accepterat detta och idag har regeringen klubbat lagen. Den blir treårig.

Betyder det att faran är borta, att lagen någon gång kan bli permanent? Nej, men risken för det har minskat avsevärt. Anledningen till att göra den tillfällig är att den om tre år ska kunna avskaffas och statistiken återgå till SCB. Kom också ihåg att alternativet till denna tillfälliga lagstiftning, hade varit en permanent lagstiftning.

Jobbet med lagstiftningen kring IFAU är alltså inte avslutat. Det är nu viktigt att vi bevakar vad Westerbergs utredning kommer fram till, så att det blir möjligt att återigen använda SCB för IFAU, och samtidigt behålla begränsningen i vilken statistik de ska ha tillgång till. Exempelvis gillar jag inte formuleringen i regeringens pressmeddelande om att lagen i ett första skede gäller fram till 31 december 2015.

Dessutom tycker jag vi ska dyka lite djupare i detta med känsliga personuppgifter som staten samlar in. Är det verkligen nödvändigt? Om det är det, är då all statistik de tar in nödvändig? Finns det möjligheter att begränsa andra myndigheters tillgång till den?

KONSTRUKTIV BRÅKSTAKE
"Det är det dummaste man kan göra" och "nästa gång skjuter jag en gummisnodd på dig", var två saker jag fick höra av andra riksdagsledamöter, efter att jag röstade nej till regeringens proposition om de brottsbekämpande myndigheternas tillgång till elektronisk kommunikation.

Till den första ledamoten säger jag: I beg to differ.

Genom att visa att jag vågade säga nej, och även rösta nej skickade jag en stark signal till regeringen. Att jag dessutom, efter nio dagar i riksdagen, skrev på DN Debatt, blev ett TT-telegram som publicerades i ett trettiotal tidningar, Ekot-nyhet, TV4- och SVT-inslag och berömdes på flera ledarsidor visade regeringen att jag har en megafon att använda, och att jag tänker använda den om det behövs.

Men samtidigt har jag visat att jag inte är någon vilde som röstar hej vilt hela tiden, eller som springer på varje boll i media. Jag har inte sagt ett ord offentligt om IFAU-lagen, exempelvis. Istället har jag jobbat internt och försökt vara konstruktiv.

Lite makt har flyttat från regeringen till riksdagen, och därmed närmre väljarna. Jag agerade som jag sa till väljarna att jag skulle göra, och det hände som jag förutspådde skulle hända.

Det här är ingen fråga i klass med FRA-lagen, men den är inte oviktig. IFAU-lagen är inte perfekt, mycket arbete kvarstår i den frågan och i hundratals andra integritetsfrågor. Men jag tycker nu att vi ska se att det går att segra. Vi har inte vunnit kriget, men vi har vunnit en strid - och det var länge sedan vi gjorde.

(Jag har ännu inte läst den slutgiltiga versionen av proppen, utan enbart det utkast som fanns innan.)

Förslag för att göra IFAU-lagen acceptabel

I somras uppstod en debatt kring att Institutet för arbetsmarknad- och utbildningspolitisk utvärdering (IFAU) ska få tillgång till känsliga personuppgifter, vilket kritiserades av Datainspektionen och Justitiekanslern. 
Jag blev, som integritetsvän, orolig och har satt mig in i ärendet. Här är mina tankar, och en idé för att göra förslaget acceptabelt. 

Bakgrund 
IFAU utvärderar arbetsmarknad- och utbildningspolitik. De har redan idag tillgång till känsliga personuppgifter, även om det allra mesta är avpersonifierat.

Uppgifterna får de i huvudsak från SCB. För att få tillgång till dessa måste deras forskningsprojekt godkännas av en etikprövningsnämnd.

Anledningen att en förändring föreslås är att SCB har praktiska svårigheter att lämna ut uppgifter på det sätt IFAU behöver. En utredning och ett arbete pågår med att uppdatera SCB:s sätt att jobba, men det arbetet är klart inom först ett år eller två. SCB känner sig osäkra om de verkligen har rätt enligt personuppgiftslagen att fortsätta lämna ut denna statistik, och att etikprövningsnämnden troligen inte ger nytt godkännande när nuvarande går ut vid årsskiftet.

En viktig poäng är alltså att IFAU redan idag har tillgång till känsliga personuppgifter. Jag trodde, efter den inledande nyhetsrapporteringen, att det var något nytt att de skulle få ta del av dessa uppgifter.

Dåligt ur integritetsaspekt 
Nu föreslås alltså att IFAU ska få bygga upp en varaktig databas med en del känsliga personuppgifter. Dessa kommer i nästan samtliga fall vara avidentifierade, men det är ändå ett avsteg från huvudprincipen. Alltså att känsliga personuppgifter behandlas av de så kallade statistikmyndigheterna, exempelvis SCB.
Om IFAU får skapa en egen databas kommer andra myndigheter också vilja ha det. Regering och riksdag kan såklart säga nej till det, men det kan bli svårt att hålla emot när huvudprincipen redan har frångåtts.

Bra ur integritetsaspekt
Registerlagens utformning innebär att IFAU får tillgång till färre känsliga personuppgifter. Idag har de tillgång till alla som finns, enligt det nya förslaget bara tre: hälsa, fackföreningsmedlemskap och etniskt ursprung.

Så sammanfattat kan man säga att det är dåligt att huvudprincipen frångås och att det kan leda till att ännu fler myndigheter får skapa egna databaser med känsliga personuppgifter, men att det är bra att mängden känsliga personuppgifter IFAU får tillgång till begränsas.

Mitt förslag
Mitt förslag - som jag framfört till Folkpartiet i statsrådsberedningen - är att göra registerlagen tillfällig, på tre-fyra år.

SCB hinner uppdatera sina system och anpassa sig till den snabbhet och varaktighet som IFAU behöver (ett arbete som pågår). När detta är gjort återgår alltså hanteringen av statistiken till SCB.

På detta sätt finns ett tydligt argument mot andra myndigheter som kommer vilja ha egna databaser: Lagen är tillfällig, detta är bara en temporär lösning, om tre år återgår vi till normalläget.

Man kan visserligen i grunden ifrågasätta statens tillgång till känsliga personuppgifter, och IFAU:s uppdrag som kräver att de behandlar sådana för att utföra sitt uppdrag, men jag tror det är en delvis separat diskussion. Detta förslag ligger nu på bordet och ska inte IFAU:s verksamhet upphöra vid årsskiftet så måste denna lag till. Jag säger inte att det nödvändigtvis är önskvärt (med IFAU:s uppdrag och tillgång till känsliga personuppgifter), men det är just nu en praktiskt realitet, och jag är beredd att stödja registerlag som blir tillfällig.

Vi begränsar IFAU:s tillgång till känsliga personuppgifter (idag har de alltså tillgång till alla), vi skapar inte något prejudikat som andra myndigheter kan peka på för att också få egna databaser och IFAU kommer inte på sikt få han någon egen databas.