Rapport 2018-5

Tydligheten i det juridiska stödet och de rättsliga riskerna 81 finnas någon sorts rimlighet i den profil vi tar fram. Vi får inte titta på saker för säkerhets skull utan vi måste ha mycket goda skäl för den här profilen. Det ska finnas något tydligt syfte med den. Det ska gå och förstå varför vi gör den här kontrollen, för att det finns vinster med det, antingen att vi undviker felaktiga utbetalningar eller att vi kan upptäcka felaktiga utbetalningar som har skett. Som ISF uppfattar Rättsavdelningens medverkan är det fråga om att de i första hand kontrollerar om urvalsprofilerna är förenliga med personuppgiftslagen och 114 kap. socialförsäkringsbalken. Det verkar inte vara fråga om en generell bedömning av urvalsprofilernas lämp- lighet ur andra rättsliga aspekter, till exempel hur de förhåller sig till kravet på likabehandling. 4.5 Det finns skillnader i sekretesskyddet Med undantag för statistikverksamheten finns det inom Försäkrings- kassan inte någon sekretess mellan olika delar av verksamheten. Hur Försäkringskassan hanterar uppgifter som omfattas av statistik- sekretessen i 24 kap. 8 § offentlighets- och sekretesslagen (2009:400), OSL, skulle kunna påverka hur urvalet av uppgifter för att skapa riskbaserade kontroller kan utföras. Enligt huvudregeln är statistik- sekretessen absolut, vilket innebär att uppgifterna ska hemlighållas utan att pröva om ett utlämnande medför någon risk för skada eller men. Om uppgifter som Försäkringskassan har tagit fram i sin roll som statistikansvarig myndighet sedan används i arbetet med att ta fram riskvariabler för att skapa urvalsprofiler i kontrollsyfte skulle det kunna vara problematiskt med hänsyn till att de ursprungliga uppgif- terna kan vara skyddade av statistiksekretess. Våra kontakter med Försäkringskassan visar att det finns behörighets- styrning i de stora informationslagren när det gäller statistikändamål och andra ändamål. Det betyder att uppgifterna hålls åtskilda från varandra. Det finns därför enligt Försäkringskassan i praktiken inte någon risk för att uppgifter som omfattas av statistiksekretess blandas med andra uppgifter. Det är snarare finalitetsprincipen som sätter gränsen för hur person- uppgifterna får användas. Den innebär att behandlingen av person- uppgifter inte får vara oförenlig med det ändamål för vilket uppgif- terna ursprungligen samlades in. Det är Rättsavdelningens ansvar att