Ett datalyft mot fel, fusk och frånvaro

Utökade möjligheter att behandla personuppgifter

Försäkringskassans och Pensionsmyndighetens möjligheter att behandla personuppgifter regleras genom bestämmelserna i 114 kap. socialförsäkringsbalken (SFB). De nuvarande bestämmelserna ger myndigheterna stora möjligheter så länge behandlingen sker inom ramen för ärendehandläggning och kontroll. Men att behandlingarna behöver vara knutna just till ärendehandläggning och kontroll begränsar myndigheternas möjligheter att kunna använda nya datadrivna arbetssätt och tekniker. Exempelvis är det svårt att genomföra analyser där personuppgifter används för att upptäcka mönster, avvikelser och samband. Personuppgifter behöver också behandlas på nya sätt för att bättre kunna förbereda ärenden för att på så vis underlätta för den enskilde vid ansökan och för att stödja handläggaren att fatta korrekta beslut. Myndigheterna behöver kort sagt kunna använda personuppgifter på ett mer strukturerat och effektivt sätt än vad som är möjligt i dagsläget, särskilt i förebyggande syften.

En ny brett formulerad ändamålsbestämmelse

Vi föreslår därför att de nuvarande primära ändamålen för personuppgiftsbehandling i 114 kap. SFB ersätts med en ny brett formulerad ändamålsbestämmelse, tillsammans med ett uttryckligt stöd för dataanalys och urval. En brett formulerad ändamålsbestämmelse ger myndigheterna ökad flexibilitet i personuppgiftsbehandlingen jämfört med i dag.

Eftersom personuppgiftbehandling för dataanalys och urval kan vara av integritetskänslig karaktär behöver det förtydligas att det finns en rättslig grund för den typen av behandling. Förtydligandet föreslår vi ska ske genom att en särskild ändamålsbestämmelse för dataanalys och urval i syfte att förebygga, motverka och upptäcka fel i verksamheten förs in i 114 kap. 8 § SFB.

Ett nytt ändamål om att vidta förebyggande åtgärder

I betänkandet beskriver vi även en alternativ lösning där nuvarande bestämmelse i 114 kap. 8 § SFB i stället kompletteras med en bestämmelse om att Försäkringskassan och Pensionsmyndigheten får behandla personuppgifter om det är nödvändigt för att vidta förebyggande åtgärder för att kunna bedöma eller fastställa förmåner och ersättningar. I detta ingår att nyttja dataanalys och urval.

Den här alternativa lösningen har fördelen att den endast innebär en mindre förändring av befintliga regler. Vi förordar emellertid en brett formulerad ändamålsbestämmelse eftersom den ger myndigheterna större möjligheter i framtiden och passar bättre med den modell för ändamålsbestämmelser som tagit form under de senaste åren.

Utökad behandling av känsliga personuppgifter och nya skyddsregler

Vid behandling av personuppgifter som indirekt kan röja känsliga personuppgifter uppstår ibland obefogade hinder för Försäkringskassan och Pensionsmyndigheten. Vi föreslår att dessa hinder undanröjs. Bestämmelsen i 114 kap. 11 § SFB förändras så att det blir möjligt att behandla ytterligare kategorier av känsliga personuppgifter. Det ska även vara möjligt att behandla känsliga personuppgifter i fler situationer än vad som är möjligt i dag. Samtidigt behöver det finnas tydliga begränsningar för behandling av känsliga personuppgifter.

Behandling av personuppgifter för dataanalys och urval kan vara integritetskänsligt, i synnerhet om det görs för att kontrollera enskilda. Det utökade användningsområdet för dataanalys och urval som våra förslag medger kräver därför att särskilda skyddsregler införs. Vi föreslår att generella skyddsregler införs i 114 kap. 12 a och 12 b §§ SFB. Försäkringskassan respektive Pensionsmyndigheten ska dokumentera avvägningen mellan det avsedda resultatet med åtgärden och intrånget i enskildas personliga integritet. Även de metoder och sökbegrepp som används för att ta fram urval ska dokumenteras för att det ska vara möjligt att kontrollera behandlingarna. Vi föreslår även att det ska införas absolut sekretess till skydd för enskildas personliga och ekonomiska förhållanden vid användning av dataanalyser och urval.

Myndigheterna har ofta goda rättsliga förutsättningar

Tidigare har det funnits rättsliga hinder för Försäkringskassan och Pensionsmyndigheten att utbyta uppgifter med andra myndigheter. Dessa hinder är i dag i allt väsentligt undanröjda. Vi har i vår kartläggning inte kunnat identifiera några avgörande hinder i nuvarande regelverk som gör att de båda myndigheterna inte skulle kunna använda de uppgifter som myndigheterna redan har, eller hämta in de uppgifter som behövs från andra myndigheter.

Samtliga uppgifter som finns tillgängliga kan dock inte spridas eller användas helt fritt. Försäkringskassan och Pensionsmyndigheten behöver beakta flera regelverk som styr hur uppgifter får hanteras. Att navigera i det landskapet har vi sett är en utmaning för myndigheterna. Arbetssätten skiljer sig också åt internt. Det förekommer olika uppfattningar om regelverkens innebörd och således även om vad som utgör rättsliga hinder och inte. Inom Försäkringskassan gör detta att uppgiftsutbytet över avdelningsgränserna är mer begränsat än nödvändigt. Utmaningen i dagsläget är oftare myndigheternas förmåga att tillvarata uppgifter än hinder i nuvarande regelverk.

Förmågan till dataanvändning behöver stärkas

Vår kartläggning visar att det är arbetssätt snarare än juridiska förutsättningar som är det största hindret för att öka digitaliseringen på socialförsäkringsområdet. Vi lämnar två förslag på regeringsuppdrag för att öka digitaliseringen hos Försäkringskassan respektive Pensionsmyndigheten.

Försäkringskassan behöver stärka sitt arbete med data

Vi föreslår att regeringen ger Försäkringskassan i uppdrag att utveckla sin datahantering – ett datalyft. I nuläget är Försäkringskassan i en situation där det är svårt att implementera nya system och tillämpningar. Data är ”inlåst” i it-system uppdelade likt silos utifrån varje avdelning och förmån. Samtidigt har myndigheten en stor it-förmåga och har mål och inriktningar på dataområdet som visar på en medvetenhet om behovet. Det saknas dock en tydlig myndighetsgemensam konkretion, ambitionsnivå och styrning av arbetet. Vi föreslår därför att myndigheten ska få i uppdrag av regeringen att ta fram en plan för att nå full intern interoperabilitet för de data som används i kärnverksamheten.

Pensionsmyndigheten bör utreda förutsättningarna för schablonisering

Pensionsmyndigheten har ett stort behov av att arbeta på ett nytt, digitaliserat och effektivt sätt med bostadstillägg för pensionärer. Vår kartläggning visar att myndighetens hantering av uppgifter om bostadskostnad är en bidragande orsak till långa handläggningstider och stora ärendebalanser inom bostadstillägget.

En ökad schablonisering av bostadskostnader är ett sätt att förenkla hanteringen av bostadstillägget. Genom att använda schabloner kan ansökningsförfarandet bli enklare. Bostadstillägg är en förmån där många pensionärer inte anmäler när bostadskostnaderna förändras, vilket ofta leder till att de får för lite ersättning utbetalt. En ökad schablonisering kan i förlängningen möjliggöra för myndigheten att både använda sina data bättre och i större utsträckning arbeta riskbaserat. Detta kan bidra till att både minska de felaktiga utbetalningarna inom förmånen och minska handläggningstiderna.

Vi föreslår därför att regeringen ger Pensionsmyndigheten i uppdrag att utreda förutsättningarna för att schablonisera beräkningen av bostadskostnader inom bostadstillägg för pensionärer och ta fram en lämplig modell för detta.

Ett nationellt frånvaroregister

Det finns ett stort behov i samhället av uppgifter om barns och elevers frånvaro från utbildningsverksamhet. Det är en central datapunkt för att på säkrare grund kunna bedöma rätten till tillfällig föräldrapenning och föräldrapenning. Det är också en uppgift som kan användas för att upptäcka om ett barn och dess familj varaktigt vistas i eller har bosatt sig utomlands, vilket kan innebära att man inte har rätt till vissa socialförsäkringsförmåner. Det är också uppgifter som kan göra stor nytta för att kunna förstå och arbeta datadrivet med närvarofrämjande åtgärder i skolan, både med individuella insatser och med insatser på samhällsnivå. Uppgifter om frånvaro kan också användas som ett kraftfullt verktyg för att i tidigare skede upptäcka barn som på olika sätt far illa eller riskerar att hamna i utanförskap.

Vi föreslår därför att det på Skolverket ska införas ett nationellt frånvaroregister. Frånvaroregistret ska regleras i en ny lag och förordning om register över barns och elevers frånvaro och närvaro i utbildningsverksamhet.

Registret omfattar de flesta formerna av utbildningsverksamhet

Redan i dag åligger det huvudmän inom utbildningsväsendet att dokumentera barns och elevers frånvaro och närvaro. Uppgifterna registreras i dag på lokal nivå, alltså hos exempelvis en skolenhet eller hos huvudmannen. I och med att frånvaroregistret införs blir huvudmännen skyldiga att rapportera in dessa uppgifter till Skolverket.

Rapporteringsskyldigheten ska omfatta uppgifter om frånvaro respektive närvaro för barn och elever med en placering i förskola, annan pedagogisk omsorg som erbjuds i stället för förskola eller fritidshem, förskoleklass, grundskola, anpassad grundskola, specialskola, sameskola, fritidshem, gymnasieskola och anpassad gymnasieskola. Skyldigheten gäller för kommunala, statliga, regionala och enskilda huvudmän.

Rapportering ska ske veckovis direkt från huvudmännens it-system

Rapportering till frånvaroregistret ska primärt ske via en teknisk lösning där vissa uppgifter som redan i dag samlas in lokalt ska föras över veckovis till det nya registret. De allra flesta huvudmän använder digitala system för frånvaro- och närvarohantering. Det finns även en nationell teknisk standard för informationsutbyte i skolan. Därför bedömer vi att de tekniska förutsättningarna för att samla in uppgifter på ett automatiserat sätt från systemleverantörerna är goda. Uppgifterna borde i de flesta fall kunna rapporteras in automatiskt. Eftersom barns och elevers frånvaro redan dokumenteras kommer inte lärarnas och skolpersonalens administration att påverkas nämnvärt.

För de få huvudmän som inte har digitala system kommer rapporteringen att innebära en administrativt betungande uppgift. För dessa aktörer föreslår vi att Skolverket ska få i uppdrag att ta fram ett enkelt webbgränssnitt för att göra det möjligt att rapportera in uppgifterna digitalt.

Tillgången till uppgifterna i registret begränsas

Vissa utpekade myndigheter ska på begäran kunna ta del av uppgifter ur frånvaroregistret om det sker i enlighet med de syften som anges i lagen. Det handlar om Försäkringskassan, CSN, Skolinspektionen, Utbetalningsmyndigheten samt kommunala nämnder för verksamhet som bedrivs enligt skollagen eller socialtjänstlagen. Enbart de myndigheter som regeringen beslutat om ska kunna ta del av uppgifter ur registret.

För att värna barns och elevers personliga integritet ska tillgången till uppgifter i frånvaroregistret även begränsas för de som har rätt att ta del av uppgifter. De olika myndigheternas behov ser olika ut. Exempelvis kan Försäkringskassan i ett förmånssärende behöva veta om ett enskilt barn varit frånvarade en specifik dag. Skolinspektionen behöver i stället enbart ha tillgång till sammanställda uppgifter om hur frånvaron är hos en viss huvudman eller skolenhet och ska därför inte kunna få tillgång till individuppgifter.

Höga krav på integritetsskydd

Frånvaroregistret innebär en omfattande registrering av barn och elever. Av den anledningen måste registret omgärdas av ett starkt skydd, både rättsligt och tekniskt. Vi föreslår tydliga avgränsningar i lag avseende syfte och ändamål med registret, vilket sätter ramarna för vad uppgifterna får användas till. I lagen om frånvaroregister föreslås även sökbegränsningar. Sökningar ska inte få utföras i syfte att få fram ett urval av personer grundat på känsliga personuppgifter.

För att ytterligare stärka skyddet för barn och elever ska en uppgift om ett barns eller en elevs placering i utbildningsverksamhet skiljas från övriga uppgifter om barnet. Detta för att inte riskera att röja vistelseort för barn eller elever med skyddade personuppgifter eller uppgifter om etnisk- eller religiös tillhörighet.

I förordningen om frånvaroregistret åläggs Skolverket att använda sig av integritetshöjande tekniker och metoder för att skydda uppgifterna i registret. Vidare ska åtkomsten till personuppgifterna begränsas hos Skolverket och kontrolleras regelbundet.

Slutligen föreslår vi att uppgifter i frånvaroregistret ska raderas årsvis. Vissa uppgifter ska innan dess föras över till Skolverkets statistikverksamhet. Det finns stora samhällsnyttor med att tillgängliggöra statistik för att bland annat möjliggöra ett mer kunskapsdrivet närvarofrämjande arbete. Statistik över frånvaro möjliggör fortsatta analyser och jämförelser mellan exempelvis olika utbildningsformer, skolenheter och huvudmän. I statistikverksamheten omfattas uppgifterna av absolut sekretess.

Förändringar i offentlighets- och sekretesslagen

Frånvaroregistret innehåller identitetsuppgifter och information som kan användas för att utläsa vart enskilda befunnit sig. Registret innehåller även uppgifter som tillsammans med andra uppgifter skulle kunna röja olika känsliga personuppgifter om exempelvis hälsa eller religiös tillhörighet. Barn åtnjuter särskilda rättigheter och är i behov av särskilt skydd. Vi föreslår därför att uppgifterna i frånvaroregistret ska skyddas av absolut sekretess. Med anledning av detta införs två nya bestämmelser i 40 kap. offentlighets- och sekretesslagen (2009:400) (OSL).

En ny bestämmelse om sekretess för uppgifter i frånvaroregistret införs i 40 kap. 7 g § OSL. Bestämmelsen innebär att uppgifter om barns och elevers personliga förhållanden skyddas hos Skolverket.

En ny bestämmelse om överföring av sekretess för uppgifter i frånvaroregistret införs i 40 kap. 7 h § OSL. Bestämmelsen gör det möjligt att skydda uppgifterna hos den mottagande myndigheten.

För att skydda uppgifterna när de sammanställts för rapportering i utbildningsverksamheter med en offentlig huvudman ska befintliga sekretessbestämmelser i 23 kap. OSL ändras.

Crime proofing-analys

En crime proofinganalys är ett sätt att förebygga fel och brott mot välfärdssystemen. Vi har genomfört en sådan analys på flödet av individuppgifter i arbetsgivardeklarationer. Dessa uppgifter innehåller bland annat inkomstuppgifter och har därför betydelse för rätten till och storleken på flera socialförsäkringsförmåner. Ett antal myndigheter och a-kassor har digital tillgång till dessa uppgifter. I vissa fall utgör uppgifterna det huvudsakliga underlaget som ligger till grund för bedömningar och beslut.

I analysen har vi identifierat flera risker. Bland annat saknas en samlad och fullgod kunskap om individuppgifternas kvalitet. Utan den kunskapen kan inte användarna av uppgifterna bedöma tillförlitligheten i dem. I dagsläget kontrolleras inte uppgifterna i tillräcklig utsträckning. Ändringar och tillägg av individuppgifter sker dessutom ofta utan att de aktörer som använt uppgifterna får kännedom om det. Det öppnar upp för möjliga brottsupplägg. Enskilda kan använda oriktiga individuppgifter för att på ett otillbörligt sätt tillgodogöra sig förmåner och ersättningar. Utbetalningsmyndigheten har redan i dag möjlighet att upptäcka detta och skulle kunna underrätta berörda myndigheter om det finns en misstanke om felaktiga utbetalningar.

Uppdrag till Skatteverket och Försäkringskassan att kartlägga fel

Eftersom många aktörer använder individuppgifter samtidigt som kunskapen om uppgifternas kvalitet är låg föreslår vi att regeringen ger Skatteverket i uppdrag att kartlägga förekomsten av fel i individuppgifterna. I uppdraget ingår även att genomföra kunskapshöjande insatser gentemot de som på olika sätt använder individuppgifterna i sina respektive verksamheter. Vissa delar av uppdraget bör genomföras i samverkan med Försäkringskassan.

Den europeiska identitetsplånboken

I vårt uppdrag ingår att beakta hur den kommande europeiska digitala identitetsplånboken kan användas för att säkerställa att uppgifter som lämnats av den sökande är korrekta. Vår bedömning är att plånbokens påverkan i närtid är mycket liten. Hur den nya infrastrukturen kommer att utvecklas framöver är fortfarande okänt. Hur stor nyttan blir beror även på vilken ambitionsnivå som EU:s medlemsländer väljer. På grund av den stora osäkerheten har vi inte kunnat ta hänsyn till identitetsplånboken i någon större utsträckning i våra förslag.

På sikt kan identitetsplånboken göra stor nytta genom att skapa förutsättningar för ett säkrare system för uppgiftsutbyte. För socialförsäkringen skulle exempelvis attributsintyg avseende förmögenhetsuppgifter från banker eller den enskildes bostadskostnad från dennes hyresvärd eller bostadsrättsförening kunna förmedlas via plånboken. Identitetsplånboken kan potentiellt göra det enklare att kontrollera att uppgifterna i fråga är äkta eller inte har förvanskats. Identitetsplånboken bör i det avseendet bidra till en förbättring jämfört med när uppgifter inhämtas på papper eller från andra myndigheters register.

Det finns även fördelar utifrån ett integritetsperspektiv genom att den enskilde själv förmedlar sina egna uppgifter och väljer vilken information som ska delas och med vem.

Digitaliseringsmöjligheter i socialförsäkringen

Vi har gjort vissa observationer som är gemensamma för flera av socialförsäkringens olika förmåner. En observation är att de rättsliga möjligheterna för att använda digitalisering generellt sett är goda. På ett sektorsövergripande och förvaltningsgemensamt plan skulle emellertid de rättsliga förutsättningarna för digitaliseringen av den samlade offentliga förvaltningen tjäna på att ses över för att utjämna omotiverade skillnader mellan sektorsspecifika regleringar. Ett exempel är de olika modeller för ändamålsbestämmelser för personuppgiftsbehandling som skiljer sig åt sinsemellan utan annan anledning än att bestämmelserna tillkommit vid olika tidpunkter. I det här betänkandet föreslår vi en anpassning till en nyare modell för Försäkringskassan och Pensionsmyndigheten. Men för andra myndigheter kommer skillnaden att bestå. Förändringar av detta slag borde helst ske samlat för flertalet myndigheter på en och samma gång.

Även om det finns goda rättsliga möjligheter finns det i praktiken ofta en osäkerhet i den rättsliga tillämpningen. De utmaningar vi sett för Försäkringskassan och Pensionsmyndigheten ligger framför allt i deras arbetssätt och organisation. Myndigheterna behöver förbättra sin förmåga att använda sina data, att automatisera samt att använda ny teknik (såsom AI) i handläggning och kontrollverksamhet. Hos Försäkringskassan finns dessutom ett glapp mellan ambitionen att använda data effektivare och det konkreta utvecklingsarbetet. Myndigheten behöver därför förbättra sin förmåga att styra hur verksamheten hanterar och nyttjar sina data.

Vissa enkla kontroller är möjliga redan i dag men görs inte. Kontrollåtgärderna är också ofta inte förebyggande utan fokuserar på efterkontroll. De flesta kontrollåtgärder resulterar i att ärenden faller ut för manuell handläggning. Det innebär att en begränsande faktor alltid är den tillgängliga mängden handläggare som kan ta hand om ärendena. För att med tillgängliga resurser kunna upptäcka och förhindra fler felaktiga utbetalningar och bidragsbrott behöver myndigheterna nyttja digitaliseringens möjligheter till mer effektiva arbetssätt. Det behövs ökad automatisering för att kunna realisera nyttan av tillgång till nya uppgifter. Det går redan i dag att upptäcka och förhindra fler felaktiga utbetalningar, men av olika skäl klarar myndigheterna inte av att ta om hand dessa möjligheter.