Föreningsavdelningens hantering av personuppgifter

Malmö stad Fritidsförvaltningen Handläggande avd: Föreningsavdelningen Ärende nr: 5 Datum: 2012-10-30 Ärende: Föreningsavdelningens hantering av personuppgifter Sammanfattning: Fritidsnämndens Allmänna bestämmelser, bidragsbestämmelser och beräkningskompendium för 2012 antogs i nämnden 2011-12-13. Med denna föreslogs en ändring av formuleringen inkomma med medlemsmatrikel, till att förening ska uppvisa medlemsmatrikel i samband med registrering. I anknytning till fritidsnämndens beslut så efterfrågades en redovisning för hur föreningsavdelningen hanterar personuppgifter i sin administration av föreningsstöd. Föreningsavdelningen har identifierat fyra arbetsområden där personuppgifter behandlas: 1. Registrering av förening 2. Hantering av bidrag 3. Föreningsutbildning 4. Bokning av kommunala anläggningar Inga personuppgifter hanteras vid avtalsskrivning med förening. I samtliga fall där personuppgifter behandlas utgår förvaltningens arbete från följande rättesnören: 1. Föreningsfriheten som grundläggande fri- och rättighet (Regeringsformen kap 2). 2. Propositionen En politik för det civila samhället (prop. 2009/10:55) 3. Offentlighet och sekretess (tryckfrihetsförordningen, sekretesslagen och offentlighetsprincipen) 4. Personuppgiftslagen (1998:204), PuL Förvaltningen bedömer att föreningsavdelningens hantering av personuppgifter i sin administration av föreningsstöd följer rådande lagstiftning. Förslag till beslut: Fritidsnämnden föreslås besluta att godkänna beskrivning av förvaltningens administrativa hantering av personuppgifter Bo Sjöström Fritidsdirektör

Malmö stad Fritidsförvaltningen Till Fritidsnämnden Tjänsteutlåtande Handläggande avdelning: Föreningsavdelningen Datum: 2012-10-30 Ärende: Föreningsavdelningens hantering av personuppgifter 1. Inledning och bakgrund Fritidsnämndens Allmänna bestämmelser, bidragsbestämmelser och beräkningskompendium för 2012 antogs i nämnden 2011-12-13. Med denna föreslogs en ändring av formuleringen inkomma med medlemsmatrikel, till att förening ska uppvisa medlemsmatrikel i samband med registrering. I anknytning till fritidsnämndens beslut så efterfrågades en redovisning för hur föreningsavdelningen hanterar personuppgifter i sin administration av föreningsstöd. Härmed beskrivs föreningsavdelningens hantering av personuppgifter i samband med dess administrativa uppgifter. 2. Grund för hantering av personuppgifter Förvaltningens hantering av personuppgifter har att utgå från följande rättesnören: 2.1 Föreningsfriheten som grundläggande fri- och rättighet (Regeringsformen kap 2). 2 Ingen får av det allmänna tvingas att ge till känna sin åskådning i politiskt, religiöst, kulturellt eller annat sådant hänseende. Inte heller får någon av det allmänna tvingas att delta i sammankomst för opinionsbildning eller i demonstration eller annan meningsyttring eller att tillhöra politisk sammanslutning, trossamfund eller annan sammanslutning för åskådning som avses i första meningen. Lag (2010:1408). 3 Ingen svensk medborgare får utan samtycke antecknas i ett allmänt register enbart på grund av sin politiska åskådning. Lag (2010:1408). tjut personuppgifter cb 2.2 Propositionen En politik för det civila samhället (prop. 2009/10:55) I överenskommelsen med idéburna organisationer och SKL sägs att principen om öppenhet och insyn ska tillämpas så att den idéburna organisationens uppdrag kan fullföljas och så att den inte heller medför skada för brukare, frivilliga, anställda, tredje parter eller organisationernas inre demokrati. Det kan t.ex. vara känsligt för enskilda att behöva uppge att de är medlemmar i en organisation som är bildad på etnisk grund eller som engagerar sig i vissa politiska frågor. Föreningsfriheten och det civila samhällets självständiga roll i demokratin innebär att sådana uppgifter inte ska behöva lämnas ut av en organisation inom det civila samhället annat än i särskilda fall, såsom vid misstanke om brott. När det gäller verksamhet som bedrivs med stöd från stat, landsting eller kommun, dvs. med stöd av skattemedel, är det visserligen rimligt och eftersträvansvärt att själva verksamheten och ekonomin beskrivs öppet av den bidragsmottagande organisationen, t.ex. i form av redovisningar som granskats av revisorer. Såsom Riksorganisationen för kvinnojourer och tjejjourer i Sverige framfört kan det dock inom vissa verksamheter vara nödvändigt av skyddsskäl att garantera att vissa personuppgifter kan förbli konfidentiella, även om verksamheten finansieras av bidrag. (prop. 2009/10:55 s.60).

2 (7) 2.3 Offentlighet och sekretess Enligt tryckfrihetsförordningen ges medborgare rätten att ta del av allmänna handlingar (2 kap. 1 TF). Endast med stöd av sekretesslagen (1980:100) kan medborgare hindras från insyn i allmän handling. Enligt offentlighetsprincipen 7 kap. 16-21 kap. 7 gäller sekretess för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen (1998:204), PuL. 2.4 Personuppgiftslagen (1998:204), PuL. All behandling av personuppgifter ska uppfylla de grundläggande kraven i personuppgiftslagen. 1 Syftet med denna lag är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. 9 Den personuppgiftsansvarige skall se till att: a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, i) personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 10 Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att: a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresse skall kunna utföras, e) den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f) ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. 13 Det är förbjudet att behandla personuppgifter som avslöjar: a) ras eller etniskt ursprung,

3 (7) b) politiska åsikter, c) religiös eller filosofisk övertygelse, eller d) medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter. 16 Känsliga personuppgifter får behandlas om behandlingen är nödvändig för att: a) den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, b) den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. 3. Registrering av förening I samband med att en förening ansöker om registrering hos fritidsförvaltningen efterfrågas en medlemsmatrikel som kan styrka de medlemsuppgifter som föreningen uppger på ansökningsblankett för registrering. Utifrån en medlemsmatrikel ska förvaltningen kunna utläsa medlemmarnas namn, födelsedata och bostadsadress för att kunna fastslå huruvida föreningen uppfyller de grundläggande kraven för registrering och eventuellt startbidrag. Det finns inga krav på att medlemsmatrikel ska innehålla fullständigt personnummer. Föreningar informeras om valmöjligheten att uppvisa medlemsmatrikel för tjänsteman om de av någon anledning inte vill överlämna denna. Dock ska föreningen kunna uppvisa en medlemsmatrikel som innehåller de uppgifter som krävs för att bekräfta huruvida medlemmarna uppfyller nämndens krav enligt punkt 3 i de Allmänna bestämmelserna om att vara upptagen i föreningens medlemsförteckning med folkbokföringsadress och födelsenummer. Inkomna personuppgifter i pappersform diarieförs och arkiveras i förvaltningens pärmar som innehåller föreningsinformation, medan uppvisade personuppgifter endast noteras som beslutsunderlag. Vid registrering av en förening behandlar fritidsförvaltningen personuppgifter i form av namn, födelsedata och bostadsadress. Sådan behandling måste ske i enlighet med 9 och 10 i personuppgiftslagen (1998:204), PuL. Kopplat till en viss typ av förening kan dessa uppgifter vara av känslig karaktär, s.k. känsliga personuppgifter i 13 PuL. Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller uppgifter som rör hälsa eller sexualliv (jfr 13 PuL). För att sådana känsliga uppgifter ska få behandlas krävs, utöver att behandlingen måste vara tillåten enligt 9 och 10 PuL, att ett särskilt undantag är tillämpligt. Att fritidsförvaltningen får lov att behandla personuppgifter (föreningsmedlemmarnas namn, födelsedata och bostadsadress) följer av att det enligt 10 PuL är nödvändigt för att fritidsförvaltningen ska kunna fullgöra en rättslig skyldighet. Att behandlingen får ske trots att det kan vara fråga om känsliga personuppgifter följer av att det enligt undantaget i 16 PuL är nödvändigt för att fritidsförvaltningen ska kunna fastställa eller göra gällande rättsliga anspråk. Om en förening inte vill uppvisa de nödvändiga personuppgifterna kan registrering av föreningen inte ske. Detta innebär samtidigt att fritidsförvaltningen har rätt att neka registrering i ett sådant fall.

4 (7) I enlighet med Riksdagens Utredningstjänst blir inkommen medlemsförteckning en allmän handling i samma stund som den lämnas över till en kommunal tjänsteman, och ska diarieföras som en sådan. Myndighetshandläggning under sekretess tillhör inte normalfallet, och någon möjlighet att sekretessbelägga dessa handlingar finns inte enligt gällande lagstiftning (PM Dnr 2012:778). Enligt SOU 2009:29 finns det dock skäl att vara försiktig eftersom detta i praktiken ligger nära registrering av personers åsikter (ibid). Vid begäran om allmän handling som innehåller känsliga uppgifter (medlemsmatrikel) rådfrågas stadsjurist, i annat fall tillhandahålls handlingen genast eller så snart det är möjligt på stället utan efterfrågningar. 4. Handläggning av bidrag Administrationen av de bidrag som ingår i fritidsnämndens föreningsstöd ställer olika krav på omfattning av efterfrågade personuppgifter. Följande krav gäller för respektive bidrag: 4.1 Grundbidrag, Lokalkostnadsbidrag och Utbildningsbidrag Bidragen grundar sig på det medlemsantal som föreningen årligen inrapporterar via föreningsrapporten. Endast registrerade föreningar på nivå 3 kan beviljas dessa bidrag, och idag krävs inte att medlemsmatrikel uppvisas i samband med inlämning av föreningsrapport. Dock kan medlemsmatrikel begäras in vid kontroll av inlämnade uppgifter. Vid begäran av medlemsmatrikel ska medlemmars namn, folkbokföringsadress samt födelsedata kunna utläsas. Det finns inga krav på att medlemsmatrikel ska innehålla fullständigt personnummer. 4.2 Konsulentbidrag De föreningar som väljer att erhålla grundbidrag i form av konsulentbidrag ska inkomma med kontrolluppgifter för enskild konsulent. Dessa uppgifter fyller konsulenten i på en av Skatteverkets blanketter (KU10) vilket innebär att fullständigt personnummer efterfrågas. 4.3 Lönebidrag Fritidsförvaltningen begär in kontrolluppgifter från enskild lönebidragstagare på samma vis som vid beviljande av konsulentbidrag. Dessa uppgifter ska bidragstagaren fylla i på en av Skatteverkets blanketter (KU10) vilket innebär att fullständigt personnummer efterfrågas. 4.4 Aktivitetsbidrag Fritidsförvaltningen begär in deltagande medlemmars postnummer och födelsedata vid handläggning av aktivitetsbidraget. Vid ansökan om bidraget kan förening välja mellan att rapportera in deltagande medlemmarnas födelsedata eller deras fullständiga personnummer. Att föra in fullständigt personnummer är därmed frivilligt och påverkar inte utfallet. Vid kontroll ska förening kunna uppvisa en medlemsmatrikel som innehåller folkbokföringsadress och födelsedata (ej fullständigt personnummer) på de medlemmar vars aktiviteter har inrapporterats via aktivitetsstöd. Dessa uppgifter anses vara nödvändiga för att förvaltningen ska kunna uppfylla sina förpliktelser i enlighet med fritidsnämndens bidragsregler vid handläggning av bidraget. Fritidsförvaltningens digitala hantering av aktivitetsbidrag för barn och ungdomar samt personer med funktionsnedsättning innebär att deltagande medlemmars födelsedata och

5 (7) postadress förs in digitalt och att uppgifterna därmed också förvaras digitalt. Den digitala hantering sker i enlighet med PuL även i de fall då uppgifterna är av känslig karaktär (jfr 13 PuL) med förutsättning att rapporteringssystemet håller en hög IT-säkerhet, och att register i vilket uppgifterna lagras är anmält och godkänt. Dessa krav uppfyller fritidsförvaltningens inrapporteringssystem för aktivitetsbidrag. Fritidsförvaltningen har i överenskommelse med förvaltningens Pul-ombud Maria Engleson gjort bedömningen att behandlingen sker i enlighet med PuL, jfr. vad som nämns ovan under punkt 3. Bedömningen grundar sig på den höga IT-säkerheten i samband med nödvändigheten av personuppgifter för handläggning av aktivitetsbidraget och det faktum att intern åtkomst av inrapporterade deltagarlistor är begränsad till personal på föreningsavdelningen vars arbetsuppgifter kräver tillgång. Hög IT-säkerhet och begränsad intern åtkomst har även legat till grund för att förvaltningen vid handläggning av aktivitetsbidrag inte heller ansett sig behöva efterfråga huruvida föreningens medlemmar har skyddade personuppgifter. Vid bedömning av fritidsförvaltningens juridiska rätt att begära in personuppgifter i samband med ansökan om aktivitetsbidrag, kan nämnas Regionstyrelsens (Region Skåne) juridiska prövning och ställningstagande om granskning av politiska ungdomsorganisationer 2008, på begäran av Kulturnämnden. Å ena sidan framförde Kulturnämnden Regionens rätt att göra revision samt begära in uppgifter och verifikationer som ligger till grund för organisationers ansökan. Å andra sidan uppmärksammades regeringsformen som medborgarens skydd mot att med tvång uppge politisk, religiös och kulturell hemvist. Regionens bidragsregler och regeringsformen upplevdes därmed stå i ett motsatsförhållande. (Kulturnämnden, Dnr KU/060100). I ett PM 2008 konstaterar regionjurist Bengt Guldager att frågan om myndigheters eventuella rätt att begära in uppgifter ur medlemsregister inte har kommenterats närmare varken i rättspraxis eller i lagförarbeten. Bengt Guldager refererar dock till ett uttalande av JO 1973 i vilket ett uppvisande av medlemsmatrikel för tjänsteman ifrågasätts utifrån grundlagstadgad åsiktsfrihet. Statliga och kommunala aktörer har därefter följt detta uttalande och gjort bedömningen att den metod för kontroll som kan anses vara grundlagsenlig är kontroll som sker med hjälp av respektive organisations egna revisorer (Bengt Guldager, PM Dnr 0800064). I detsamma PM framhålls även att Ungdomsstyrelsen valt att följa den av JO gjorda grundlagstolkning och har således avstått från att granska uppgifter om medlemmar. Däremot ställde Ungdomsstyrelsen mycket höga krav på den granskning som respektive organisations revisor skall genomföra och därefter redovisa till myndigheten. Bengt Guldager gör därmed bedömningen att Region Skåne i avsaknad av klargörande uttalanden i domstol eller förarbeten bör utgå från att en av myndigheten ledd granskning av uppgifter ur organisationernas medlemsregister strider mot det grundlagsskyddade skyddet för den enskildes åsiktsfrihet. (Guldager, OM Dnr 0800064). Nyligen har även Riksdagens Utredningstjänst i ett PM (Dnr 2012:778) behandlat kommuners rätt att inhämta uppgifter om medlemmar i ideella föreningar med en annan slutsats. Sammanfattningsvis finner Riksdagens Utredningstjänst inga juridiska hinder för en kommun att begära in och kontrollera ideella föreningars medlemsregister, men när det gäller en facklig, politisk eller religiös förening krävs medlemmarnas uttryckliga samtycke.

6 (7) Riksdagens Utredningstjänst refererar till Riksrevisionen som konstaterar att regeringsformen inte innebär ett direkt hinder för kommun att genomföra en medlemskontroll av bidragsmottagande organisationers uppfyllelse av ställda villkor. Vid varje enskild ansökan om dispens från att uppge personuppgifter i samband med aktivitetsbidrag, görs en individuell bedömning i samråd med stadsjurist. Vid bedömning beaktas behovet av information för bidragshandläggning, föreningsfriheten, grad av uppgifternas känslighet samt likabehandlingsprincipen i kommunallagen. 2012-04-25 beviljades två politiska ungdomsförbund (SSU Malmö och Ung Vänster) dispens för att ansöka om aktivitetsbidraget via närvarokort och pappersblankett med bifogad efterfrågad statistik till och med 2012-12-31. Dispensen innebär i praktiken att inga personuppgifter rapporteras in till fritidsförvaltningen i samband med bidragsansökan. Vad beträffar sekretess vid kommunens hantering av personuppgifter i en digital databas för aktivitetsbidrag, är dessa allmänna handlingar i likhet med föreningsregister i samband med registrering. Någon möjlighet att sekretessbelägga dessa handlingar finns inte enligt gällande lagstiftning (PM Dnr 2012:778). Enligt SOU 2009:29 finns det inga konstitutionella skäl att avstå från ett bidragssystem med kontroll av bidragstagarnas rätt att motta bidrag. Kontroll har i förlängningen betydelse för hela systemets legitimitet, och dessutom föreligger inget tvång för föreningar att ansöka om bidraget. Det finns dock skäl att vara försiktig eftersom detta i praktiken ligger nära registrering av personers åsikter (PM Dnr 2012:778). Vid allmän begäran om uppgifter från digital databas för aktivitetsbidrag som innehåller känsliga uppgifter (medlemsmatrikel) rådfrågas stadsjurist, och i annat fall tillhandahålls handlingen genast eller så snart det är möjligt på stället utan efterfrågningar. 4.5 Lovbidrag Förening som beviljas lovbidrag har möjlighet att välja huruvida det är föreningen eller den enskilda ledaren som ska stå som mottagare för bidraget. Då den enskilda föreningen står som mottagare krävs endast föreningens organisationsnummer samt enskilda ledares födelsedata vid obligatorisk slutredovisning. I de fall föreningen föredrar att bidraget betalas ut direkt till ledare, blir ledaren anställd av Malmö stad, vilket i sin tur innebär att fritidsförvaltningen begär in fullständigt personnummer. 4.6 Fritidsexpressen Då fritidsexpressen är ett stipendium som ej riktar sig till föreningar utan till enskilda personer så begär fritidsförvaltningen in fullständigt personnummer på stipendiaten. Detta görs för att styrka dennes uppgifter samt för att kunna göra en utbetalning av stipendiet. 4.7 Jämställdhetsbidrag och Arrangemangsbidrag Förening som söker bidragen ska vara registrerade hos fritidsförvaltningen och kunna uppge organisationsnummer. Inte vid något tillfälle begärs persondata eller fullständigt personnummer in. 5. Föreningsutbildning Fritidsförvaltningen begär in namn på kursdeltagare i samband med anmälan till de utbildningar som fritidsförvaltningen erbjuder föreningslivet. SISU anlitas för att hålla i en

7 (7) del av utbildningarna, och har uttryckt önskemål om att få begära in fullständigt personnummer på deltagare för att på så vis erhålla ekonomiskt stöd från Riksidrottsförbundet. Detta har fritidsförvaltningen inte godkänt varpå kostnaden till SISU har ökat med 500 kr per utbildningskväll. 6. Bokning av kommunala anläggningar Vid bokning av anläggningar uppger registrerade föreningar endast föreningens organisationsnummer. Privatpersoner som önskar boka anläggningar ska däremot uppge fullständigt personnummer. 7. Avtalsskrivning med förening Inte vid något tillfälle begärs personuppgifter in i samband med att förening/organisation ingår avtal med fritidsförvaltningen. Fritidsnämnden föreslås besluta att godkänna beskrivning av förvaltningens administrativa hantering av personuppgifter Bo Sjöström Fritidsdirektör