I somras uppstod en debatt kring att Institutet för arbetsmarknad- och utbildningspolitisk utvärdering (IFAU) ska få
tillgång till känsliga personuppgifter, vilket kritiserades av Datainspektionen och Justitiekanslern.
Jag blev, som integritetsvän, orolig och har satt mig in i ärendet. Här är mina tankar, och en idé för att göra förslaget acceptabelt.
Bakgrund
IFAU utvärderar arbetsmarknad- och utbildningspolitik. De har redan idag tillgång till känsliga personuppgifter, även om det allra mesta är avpersonifierat.
Uppgifterna får de i huvudsak från SCB. För att få tillgång till dessa måste deras forskningsprojekt godkännas av en etikprövningsnämnd.
Anledningen att en förändring föreslås är att SCB har praktiska svårigheter att lämna ut uppgifter på det sätt IFAU behöver. En utredning och ett arbete pågår med att uppdatera SCB:s sätt att jobba, men det arbetet är klart inom först ett år eller två. SCB känner sig osäkra om de verkligen har rätt enligt personuppgiftslagen att fortsätta lämna ut denna statistik, och att etikprövningsnämnden troligen inte ger nytt godkännande när nuvarande går ut vid årsskiftet.
En viktig poäng är alltså att IFAU redan idag har tillgång till känsliga personuppgifter. Jag trodde, efter den inledande nyhetsrapporteringen, att det var något nytt att de skulle få ta del av dessa uppgifter.
Dåligt ur integritetsaspekt
Nu föreslås alltså att IFAU ska få bygga upp en varaktig databas med en del känsliga personuppgifter. Dessa kommer i nästan samtliga fall vara avidentifierade, men det är ändå ett avsteg från huvudprincipen. Alltså att känsliga personuppgifter behandlas av de så kallade statistikmyndigheterna, exempelvis SCB.
Om IFAU får skapa en egen databas kommer andra myndigheter också vilja ha det. Regering och riksdag kan såklart säga nej till det, men det kan bli svårt att hålla emot när huvudprincipen redan har frångåtts.
Bra ur integritetsaspekt
Registerlagens utformning innebär att IFAU får tillgång till färre känsliga personuppgifter. Idag har de tillgång till alla som finns, enligt det nya förslaget bara tre: hälsa, fackföreningsmedlemskap och etniskt ursprung.
Så sammanfattat kan man säga att det är dåligt att huvudprincipen frångås och att det kan leda till att ännu fler myndigheter får skapa egna databaser med känsliga personuppgifter, men att det är bra att mängden känsliga personuppgifter IFAU får tillgång till begränsas.
Mitt förslag
Mitt förslag - som jag framfört till Folkpartiet i statsrådsberedningen - är att göra registerlagen tillfällig, på tre-fyra år.
SCB hinner uppdatera sina system och anpassa sig till den snabbhet och varaktighet som IFAU behöver (ett arbete som pågår). När detta är gjort återgår alltså hanteringen av statistiken till SCB.
På detta sätt finns ett tydligt argument mot andra myndigheter som kommer vilja ha egna databaser: Lagen är tillfällig, detta är bara en temporär lösning, om tre år återgår vi till normalläget.
Man kan visserligen i grunden ifrågasätta statens tillgång till känsliga personuppgifter, och IFAU:s uppdrag som kräver att de behandlar sådana för att utföra sitt uppdrag, men jag tror det är en delvis separat diskussion. Detta förslag ligger nu på bordet och ska inte IFAU:s verksamhet upphöra vid årsskiftet så måste denna lag till. Jag säger inte att det nödvändigtvis är önskvärt (med IFAU:s uppdrag och tillgång till känsliga personuppgifter), men det är just nu en praktiskt realitet, och jag är beredd att stödja registerlag som blir tillfällig.
Vi begränsar IFAU:s tillgång till känsliga personuppgifter (idag har de alltså tillgång till alla), vi skapar inte något prejudikat som andra myndigheter kan peka på för att också få egna databaser och IFAU kommer inte på sikt få han någon egen databas.
Jag blev, som integritetsvän, orolig och har satt mig in i ärendet. Här är mina tankar, och en idé för att göra förslaget acceptabelt.
Bakgrund
IFAU utvärderar arbetsmarknad- och utbildningspolitik. De har redan idag tillgång till känsliga personuppgifter, även om det allra mesta är avpersonifierat.
Uppgifterna får de i huvudsak från SCB. För att få tillgång till dessa måste deras forskningsprojekt godkännas av en etikprövningsnämnd.
Anledningen att en förändring föreslås är att SCB har praktiska svårigheter att lämna ut uppgifter på det sätt IFAU behöver. En utredning och ett arbete pågår med att uppdatera SCB:s sätt att jobba, men det arbetet är klart inom först ett år eller två. SCB känner sig osäkra om de verkligen har rätt enligt personuppgiftslagen att fortsätta lämna ut denna statistik, och att etikprövningsnämnden troligen inte ger nytt godkännande när nuvarande går ut vid årsskiftet.
En viktig poäng är alltså att IFAU redan idag har tillgång till känsliga personuppgifter. Jag trodde, efter den inledande nyhetsrapporteringen, att det var något nytt att de skulle få ta del av dessa uppgifter.
Dåligt ur integritetsaspekt
Nu föreslås alltså att IFAU ska få bygga upp en varaktig databas med en del känsliga personuppgifter. Dessa kommer i nästan samtliga fall vara avidentifierade, men det är ändå ett avsteg från huvudprincipen. Alltså att känsliga personuppgifter behandlas av de så kallade statistikmyndigheterna, exempelvis SCB.
Om IFAU får skapa en egen databas kommer andra myndigheter också vilja ha det. Regering och riksdag kan såklart säga nej till det, men det kan bli svårt att hålla emot när huvudprincipen redan har frångåtts.
Bra ur integritetsaspekt
Registerlagens utformning innebär att IFAU får tillgång till färre känsliga personuppgifter. Idag har de tillgång till alla som finns, enligt det nya förslaget bara tre: hälsa, fackföreningsmedlemskap och etniskt ursprung.
Så sammanfattat kan man säga att det är dåligt att huvudprincipen frångås och att det kan leda till att ännu fler myndigheter får skapa egna databaser med känsliga personuppgifter, men att det är bra att mängden känsliga personuppgifter IFAU får tillgång till begränsas.
Mitt förslag
Mitt förslag - som jag framfört till Folkpartiet i statsrådsberedningen - är att göra registerlagen tillfällig, på tre-fyra år.
SCB hinner uppdatera sina system och anpassa sig till den snabbhet och varaktighet som IFAU behöver (ett arbete som pågår). När detta är gjort återgår alltså hanteringen av statistiken till SCB.
På detta sätt finns ett tydligt argument mot andra myndigheter som kommer vilja ha egna databaser: Lagen är tillfällig, detta är bara en temporär lösning, om tre år återgår vi till normalläget.
Man kan visserligen i grunden ifrågasätta statens tillgång till känsliga personuppgifter, och IFAU:s uppdrag som kräver att de behandlar sådana för att utföra sitt uppdrag, men jag tror det är en delvis separat diskussion. Detta förslag ligger nu på bordet och ska inte IFAU:s verksamhet upphöra vid årsskiftet så måste denna lag till. Jag säger inte att det nödvändigtvis är önskvärt (med IFAU:s uppdrag och tillgång till känsliga personuppgifter), men det är just nu en praktiskt realitet, och jag är beredd att stödja registerlag som blir tillfällig.
Vi begränsar IFAU:s tillgång till känsliga personuppgifter (idag har de alltså tillgång till alla), vi skapar inte något prejudikat som andra myndigheter kan peka på för att också få egna databaser och IFAU kommer inte på sikt få han någon egen databas.
Inga kommentarer:
Skicka en kommentar