Så hanterar du sekretess i officiell företagsstatistik

Sekretessens räckvidd för företagsuppgifter i officiell statistik

Uppgifter om enskilda personer och företag i SCB:s register har absolut sekretess enligt 24 kap. 8 § OSL (2009:400). Kapitlet skyddar enskilda inom forskning och statistik. SCB kallar sekretessen mycket stark: myndighetens personuppgifter får som huvudregel inte lämnas ut.

Absolut sekretess innebär att ingen avvägning görs mot insyn i det enskilda fallet. Undantagen är ändamålsbundna: efter sekretessprövning kan uppgifter lämnas ut, främst för statistikframställning eller forskning. Identifierbara uppgifter får bara lämnas ut om mottagaren ger dem lika starkt skydd.

Sekretessen gäller även mot myndigheter och enskilda. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får en sekretessbelagd uppgift inte röjas för enskilda eller för andra myndigheter. Att en kommun, ett lärosäte eller annan statlig myndighet frågar ger därför inte automatiskt tillgång till mikrodata; uppgifterna måste ändå prövas mot 24 kap.

Grundläggande regler för sekretess i officiell företagsstatistik

Sekretess enligt OSL: Absolut sekretess enligt 24 kap. 8 § OSL (2009:400)
Undantag: Endast för statistik eller forskning med sekretessprövning
Pseudonymisering: Personnummer ersätts med löpnummer – obligatoriskt

Avgränsad statistikverksamhet – grunden för statistiksekretess

Statistiksekretessen omfattar inte hela myndigheten, bara en avgränsad del. Enligt 24 kap. 8 § OSL krävs att statistikverksamheten är skild från annan verksamhet och ordnad som egen enhet eller liknande.

Kravet på egen enhet är inte absolut. Utan särskild statistikenhet kan statistiksekretess gälla om statistikframställningen på annat sätt är avgränsad från annan verksamhet.

I praktiken måste statistikframställning hållas åtskild från handläggning, tillsyn, kundregister och annan operativ verksamhet. Avgränsningen ska kunna visas upp organisatoriskt, i system och i rutiner.

Den avgör vilka uppgifter statistiksekretessen täcker och vad sekretessprövningen utgår från.

Från förfrågan till utlämnande: så görs sekretessprövningen

SCB gör alltid en sekretessprövning före utlämnande av mikrodata. Uppgifter får bara lämnas till ett specifikt avgränsat projekt och enbart för forsknings- eller statistikändamål. Endast för dessa ändamål kan myndigheten bryta den absoluta sekretessen.

Identiteter som personnummer och organisationsnummer ersätts som regel alltid med löpnummer. Efter prövningen kan projektet därför få pseudonymiserade data.

Även beställaren prövas. Studenter får inte beställa mikrodata: enligt 2 § lagen (2003:460) om etikprövning omfattar forskning inte studier på grundnivå eller avancerad nivå inom högskoleutbildning.

SCB gör samma tolkning. Kandidat-, magister- och mastersstudier räknas inte som forskning, så den absoluta sekretessen kan inte brytas för sådana beställningar.

Inom det avgränsade projektet kan SCB ta fram kontrollpopulationer. Oftast matchas varje fallindivid med ett antal kontrollindivider, exempelvis på födelseår, kön och boendekommun vid diagnosen.

SCB kan också dra en slumpmässig kontrollpopulation från totalbefolkningen. Sådana bearbetningar ryms inom ett ändamål som godkänts i prövningen.

Forskning vs. studier – vilka omfattas av forskningsundantaget?

Kandidat-, magister- och mastersstudier: Räknas inte som forskning enligt SCB. Sekretessen kan inte brytas för dessa.
Forskning (exempelvis doktorandprojekt): Omfattas av undantaget. Sekretessen kan brytas efter sekretessprövning.

Företagsstatistik med personuppgifter – GDPR-kraven du inte kan hoppa över

Företagsstatistik innehåller ofta personuppgifter: personnummer och namn på företrädare, kontaktpersoner och anställda, eller uppgifter om enskilda som driver verksamhet i eget namn. Behandlas sådana uppgifter gäller EU:s dataskyddsförordning (GDPR) som lag i Sverige och övriga EU- och EES-länder.

Enligt Integritetsskyddsmyndigheten ska alla som hanterar personuppgifter följa de grundläggande principerna, ha en rättslig grund och informera de registrerade om hur deras personuppgifter hanteras. Förordningen stärker också de registrerades rättigheter och ställer krav på att de tas om hand; behandlingen måste vila på någon av de sex rättsliga grunderna.

SCB anger allmänt intresse som rättslig grund: behandlingen är nödvändig för en uppgift av allmänt intresse enligt artikel 6.1 e i GDPR. Grunden följer av uppdraget – officiell statistik enligt lagen (2001:99) och förordningen (2001:100), regeringens instruktion och andra regler för myndigheters verksamhet.

Ändamålet preciseras per behandling. Varje insamling har särskilda, uttryckliga ändamål, som SCB beskriver i informationen om respektive insamling.

Den som beställer eller publicerar företagsstatistik måste därför formulera och dokumentera ändamålet med sin egen bearbetning, inte bara hänvisa till statistik i allmänhet.

Vem ansvarar för vad när flera parter är inblandade?

SCB är personuppgiftsansvarig för de personuppgifter myndigheten hanterar. SCB kan också vara personuppgiftsbiträde när statistik tas fram för en annan statistikansvarig myndighets räkning. Dataskyddsombudet nås på [email protected]. Huvudregeln är att personuppgifterna bara behandlas inom EU/EES.

Vid flera registerhållare hanteras beställningarna var för sig: beställ separat från varje registerhållare i projektet. SCB kan ge materialen från registerhållarna samma löpnummer så att de kan användas tillsammans.

Leveransvägen beror på registerhållarens organisation. Har registerhållaren avgränsad statistikverksamhet kan SCB leverera en nyckel som binder löpnummer till identitet; registerhållaren gör då själv uttaget och levererar direkt till projektet.

Saknar registerhållaren avgränsad statistikverksamhet måste materialet i stället skickas till SCB. Socialstyrelsen har ett utpekat ansvar att hjälpa kvalitetsregister och hanterar vanligen uppgifter från dem. Även med flera registerhållare kan du välja en samlad leverans i SCB:s plattform MONA.

Rollerna måste klaras ut i förväg: vem som är personuppgiftsansvarig, vem som är personuppgiftsbiträde, vilka registerhållare som levererar direkt och vilka som går via SCB, samt vem som håller identitetsnyckeln.

Fördelar och risker med direkt leverans från registerhållare

Fördel: Direkt leverans via registerhållare med avgränsad statistikverksamhetHög säkerhet – identitetsnyckeln hanteras av registerhållaren. Mindre risk för avslöjande.
Risk: Leverans via SCB (för registerhållare utan avgränsad verksamhet)Ökad känslighet – SCB behöver ta emot och lagra identifierbar data. Kräver strikt säkerhet och dokumentation.

Praktiska skyddsåtgärder vid hantering och publicering

Den konkretaste åtgärden är pseudonymisering: i utlämnade mikrodata ersätts personnummer och organisationsnummer som regel med löpnummer. Identitetsnyckeln stannar då hos SCB eller, för registerhållare med avgränsad statistikverksamhet, hos registerhållaren. Den behöver inte följa med till projektet.

Avgränsa behandlingen till projektet. Utlämnande kan bara ske till ett specifikt avgränsat projekt, och samma gräns styr vilka uppgifter som får ingå. Skriv därför ned frågeställning, population och tidsperiod före beställningen; behandla uppgifterna bara inom den ramen.

Mottagarens skydd är en förutsättning, inte en formalitet. Identifierbara uppgifter får bara lämnas ut om mottagaren kan ge dem lika starkt skydd. Det gäller både till en annan myndighet och vid intern vidarebefordran till en enhet utanför den avgränsade statistikverksamheten.

Dokumentera ändamål, rättslig grund och information. Enligt IMY ska behandlingen följa de grundläggande principerna, ha en rättslig grund och de registrerade informeras om hur deras personuppgifter hanteras. SCB anger särskilda, uttryckliga ändamål för varje insamling.

Håll ändamålet samman med den rättsliga grunden och informationen till dem som berörs. Då går det att visa varför just dessa uppgifter behandlas i just detta projekt.

Offentlighetsprincipen är utgångspunkten – sekretessen är undantaget

Svensk förvaltning utgår från offentlighetsprincipen: allmänheten har rätt till allmänna handlingar enligt tryckfrihetsförordningen. Sekretess är undantaget och innebär enligt Regeringskansliets översikt begränsningar i den rätten enligt tryckfrihetsförordningen.

För statistikverksamhet gäller sekretess enligt 24 kap. 8 §, till skydd för enskild inom forskning och statistik. Den som begär ut uppgifter möter två led: först prövas om uppgiften omfattas av sekretess, därefter om ett undantag medger utlämnande.

Undantaget är i praktiken statistik- eller forskningsändamål. Enligt 8 kap. 1 § får sekretessbelagda uppgifter inte röjas för enskilda eller andra myndigheter. En begäran utan sådant ändamål kan därför avslås även när sökanden är en myndighet.

Den egna organisationen måste planera publicering och registeruttag efter samma logik som sekretessprövningen: vilket ändamål uppgifterna ska användas för, om de kan pseudonymiseras och hos vem de skyddas av lika stark sekretess efteråt.

Checklista innan du beställer eller publicerar företagsstatistik

Avgränsa statistikverksamheten. För att 24 kap. 8 § OSL ska gälla måste verksamheten vara skild från annan verksamhet och ordnad som egen enhet eller liknande; annars krävs avgränsning på annat sätt.
Inventera personuppgifterna. Personnummer, namn och kontaktuppgifter till företrädare och anställda, liksom uppgifter om enskilda som driver verksamhet i eget namn, är personuppgifter även från företagsregister.
Bestäm rättslig grund och ändamål. Stöd behandlingen på någon av GDPR:s sex rättsliga grunder; SCB använder allmänt intresse enligt artikel 6.1 e. Formulera det specifika ändamålet för varje insamling eller bearbetning.
Gör sekretessprövning före utlämnande. Kontrollera att ändamålet är statistik eller forskning och att mottagaren är ett specifikt avgränsat projekt; kandidat-, magister- och mastersstudier omfattas inte av forskningsbegreppet.
Pseudonymisera. Ersätt personnummer och organisationsnummer med löpnummer och håll identitetsnyckeln åtskild från analysmaterialet.
Reglera mottagare och registerhållare. Lämna bara ut identifierbara uppgifter om mottagaren kan ge dem motsvarande skydd. Beställ separat från varje registerhållare, samordna löpnummer via SCB och låt registerhållare utan avgränsad statistikverksamhet skicka materialet till SCB.
Dokumentera och informera. Beskriv behandling, rättslig grund, ändamål och mottagare. Informera de registrerade om hur uppgifterna hanteras.

Checklista innan du beställer eller publicerar företagsstatistik

1. Avgränsa statistikverksamhetenVerksamheten måste vara skild från annan verksamhet och ordnad som egen enhet eller liknande enligt 24 kap. 8 § OSL.
2. Inventera personuppgifternaPersonnummer, namn och kontaktuppgifter till företrädare, anställda och enskilda som driver verksamhet i eget namn är personuppgifter även från företagsregister.
4. Gör sekretessprövning före utlämnandeKontrollera att ändamålet är statistik eller forskning. Kandidat-, magister- och mastersstudier omfattas inte av forskningsbegreppet.
5. PseudonymiseraErsätt personnummer och organisationsnummer med löpnummer. Håll identitetsnyckeln åtskild från analysmaterialet.
6. Reglera mottagare och registerhållareLämna bara ut identifierbara uppgifter om mottagaren kan ge motsvarande skydd. Beställ separat från varje registerhållare. Använd SCB:s plattform MONA vid samlad leverans.
7. Dokumentera och informeraBeskriv behandling, rättslig grund, ändamål och mottagare. Informera de registrerade om hur uppgifterna hanteras.