Så hanterar du sekretess i officiell företagsstatistik

Sekretessens räckvidd för företagsuppgifter i officiell statistik

I SCB:s register skyddas uppgifter om enskilda personer och företag av absolut sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen (2009:400). Kapitlet rör sekretess till skydd för enskild inom forskning och statistik. SCB beskriver själv sekretessen som mycket stark: huvudregeln är att de personuppgifter myndigheten behandlar inte får lämnas ut.

Absolut sekretess betyder att ingen avvägning görs mot intresset av insyn i det enskilda fallet. Undantagen är ändamålsbundna: efter sekretessprövning kan uppgifter lämnas ut, främst för statistikframställning eller forskning. Identifierbara uppgifter får lämnas ut bara om mottagaren skyddar dem med lika stark sekretess.

Sekretessen gäller inte bara mot allmänheten. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får en sekretessbelagd uppgift inte röjas för enskilda eller för andra myndigheter. Att en kommun, ett lärosäte eller en annan statlig myndighet frågar ger alltså inte automatiskt tillgång till mikrodata – uppgifterna måste ändå prövas mot 24 kap.

Undantag från absolut sekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen

Avgränsad statistikverksamhet – grunden för statistiksekretess

Statistiksekretessen gäller inte myndigheten i allmänhet, utan en avgränsad del av verksamheten. För statistiksekretess enligt 24 kap. 8 § offentlighets- och sekretesslagen krävs att myndighetens statistikverksamhet är avgränsad från annan verksamhet och organiserad som egen enhet eller liknande.

Kravet på egen enhet är inte absolut. Utan särskild statistikenhet kan statistiksekretess ändå gälla om statistikframställningen på annat sätt är avgränsad från annan verksamhet.

I praktiken behöver statistikframställning hållas åtskild från handläggning, tillsyn, kundregister och annan operativ verksamhet. Avgränsningen ska kunna visas upp – organisatoriskt, i system och i rutiner. Det är den som avgör vilka uppgifter statistiksekretessen omfattar och därmed vad sekretessprövningen utgår från.

Från förfrågan till utlämnande: så görs sekretessprövningen

Innan SCB lämnar ut mikrodata gör myndigheten en sekretessprövning. Utlämnande kan bara ske till ett specifikt avgränsat projekt och enbart för forsknings- eller statistikändamål – det är de ändamål för vilka SCB kan bryta den absoluta sekretessen.

Som regel ersätts identiteter som personnummer och organisationsnummer alltid med löpnummer. Efter sekretessprövning kan ett projekt därför få data i pseudonymiserad form.

Även vem som får beställa prövas. Studenter kan inte beställa mikrodata: enligt 2 § lagen (2003:460) om etikprövning omfattar forskning inte studier inom högskoleutbildning på grundnivå eller avancerad nivå. SCB gör samma tolkning – studier på kandidat-, magister- och mastersnivå räknas inte som forskning, så myndigheten kan inte bryta den absoluta sekretessen för sådana beställningar.

Inom det avgränsade projektet kan SCB bland annat ta fram kontrollpopulationer. Vanligast är att matcha varje fallindivid med ett antal kontrollindivider, exempelvis med samma födelseår, kön och boendekommun vid tidpunkten för fallindividens diagnos. SCB kan också dra en slumpmässig kontrollpopulation från totalbefolkningen. Det är exempel på bearbetningar som ryms inom ett ändamål som godkänts i prövningen.

Så görs sekretessprövningen vid utlämnande av mikrodata

Fördelar och risker med användning av mikrodata i forskning och statistik

Företagsstatistik med personuppgifter – GDPR-kraven du inte kan hoppa över

Företagsstatistik innehåller ofta personuppgifter: personnummer och namn på företrädare, kontaktpersoner och anställda, eller uppgifter om enskilda som driver verksamhet i eget namn. När sådana uppgifter behandlas gäller EU:s dataskyddsförordning (GDPR) som lag i Sverige och i övriga EU- och EES-länder.

Enligt Integritetsskyddsmyndigheten måste alla som hanterar personuppgifter följa de grundläggande principerna, ha en rättslig grund för behandlingen och informera de registrerade om hur deras personuppgifter hanteras. Förordningen stärker också de registrerades rättigheter och ställer krav på att de tas om hand; behandlingen måste vila på någon av förordningens sex rättsliga grunder.

SCB anger allmänt intresse som sin rättsliga grund: behandlingen är nödvändig för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i GDPR. Grunden hör till uppdraget – att framställa officiell statistik följer av lagen (2001:99) och förordningen (2001:100) om den officiella statistiken, av regeringens instruktion för myndigheten och av andra regler för myndigheters verksamhet.

Ändamålet preciseras per behandling: varje specifik behandling (insamling) har särskilda, uttryckliga ändamål, som SCB beskriver i informationen om respektive insamling. Den som beställer eller publicerar företagsstatistik måste därför formulera och dokumentera ändamålet med just sin egen bearbetning, inte bara hänvisa till statistik i allmänhet.

Vem ansvarar för vad när flera parter är inblandade?

SCB är personuppgiftsansvarig för behandlingen av de personuppgifter myndigheten hanterar. SCB kan också vara personuppgiftsbiträde när statistik framställs för en annan statistikansvarig myndighets räkning. Myndighetens dataskyddsombud nås direkt på [email protected]. Huvudregeln är att personuppgifterna behandlas endast inom EU/EES.

När flera registerhållare är inblandade hanteras beställningarna var för sig: du måste beställa separat från varje registerhållare i projektet. SCB kan se till att materialen från registerhållarna får samma löpnummer så att de kan användas tillsammans.

Leveransvägen beror på registerhållarens organisation. Till registerhållare med avgränsad statistikverksamhet kan SCB leverera en koppling mellan löpnummer och identitet, så att registerhållaren själv gör ett uttag och levererar direkt till projektet. Saknar registerhållaren avgränsad statistikverksamhet måste materialet i stället skickas till SCB. Socialstyrelsen har ett utpekat ansvar för att hjälpa kvalitetsregister och hanterar vanligen uppgifter från dem. Även när uppgifterna kommer från flera registerhållare kan du välja en samlad leverans i SCB:s plattform MONA.

För projektet betyder det att rollerna måste klaras ut i förväg: vem som är personuppgiftsansvarig, vem som är personuppgiftsbiträde, vilka registerhållare som levererar direkt och vilka som går via SCB, och vem som håller kopplingen mellan löpnummer och identitet.

Praktiska skyddsåtgärder vid hantering och publicering

Den mest konkreta åtgärden är pseudonymisering: i utlämnade mikrodata ersätts identiteter som personnummer och organisationsnummer som regel med löpnummer. Kopplingen mellan löpnummer och identitet stannar då på ett ställe – hos SCB eller, för registerhållare med avgränsad statistikverksamhet, hos registerhållaren – och behöver inte följa med till projektet.

Avgränsa behandlingen till projektet. Utlämnande kan bara ske till ett specifikt avgränsat projekt, och samma avgränsning styr vilka uppgifter som får ingå. Skriv därför ned projektets frågeställning, population och tidsperiod före beställningen, och behandla uppgifterna bara inom den ramen.

Mottagarens skydd är en förutsättning, inte en formalitet: identifierbara uppgifter får bara lämnas ut om mottagaren skyddar dem med lika stark sekretess. Det gäller både när uppgifterna går till en annan myndighet och när de förs vidare internt till en enhet utanför den avgränsade statistikverksamheten.

Dokumentera ändamål, rättslig grund och information. Enligt IMY ska behandlingen följa de grundläggande principerna, ha en rättslig grund och de registrerade informeras om hur deras personuppgifter hanteras. SCB anger i sin tur särskilda, uttryckliga ändamål för varje insamling. Håll därför ändamålet samman med den rättsliga grunden och med informationen till dem som berörs, så att det går att visa varför just dessa uppgifter behandlas i just detta projekt.

Offentlighetsprincipen är utgångspunkten – sekretessen är undantaget

Utgångspunkten i svensk förvaltning är offentlighetsprincipen: allmänheten har rätt att ta del av allmänna handlingar enligt tryckfrihetsförordningen. Sekretess är undantaget och innebär enligt Regeringskansliets översikt begränsningar i den rätten enligt tryckfrihetsförordningen.

För statistikverksamhet finns sekretessen i 24 kap. 8 §, sekretess till skydd för enskild inom forskning och statistik. Den som begär ut uppgifter ur sådan verksamhet möter två led: först prövas om uppgiften omfattas av sekretess, därefter om något undantag – i praktiken statistik- eller forskningsändamål – medger utlämnande. Enligt 8 kap. 1 § får sekretessbelagda uppgifter inte röjas för enskilda eller andra myndigheter, så en begäran utan sådant ändamål kan avslås även när sökanden är en myndighet.

För den egna organisationen betyder det att publicering och registeruttag måste planeras efter samma logik som sekretessprövningen: vilket ändamål uppgifterna ska användas för, om de kan pseudonymiseras och hos vem de skyddas av lika stark sekretess efteråt.

Checklista innan du beställer eller publicerar företagsstatistik

Checklista innan du beställer eller publicerar företagsstatistik