1.1  Lagen om offentlig arbetskrafts- och företagsservice

13 kap. Arbets- och näringsbyråns kundinformationssystem

1 §.Arbets- och näringsbyråns kundinformationssystem. Det föreslås att beskrivningarna av kundinformationssystemets användningsändamål i 1 mom. preciseras för att motsvara de faktiska användningsändamålen för kundinformationssystemet. I artikel 5 i den allmänna dataskyddsförordningen föreskrivs det om principer för behandling av personuppgifter. Den personuppgiftsansvarige svarar för att principerna enligt artikel 5 följs och ska också kunna påvisa att så är fallet. Enligt artikel 5.1 a ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (principen om laglighet, korrekthet och öppenhet). Den i artikel 5.1 b föreskrivna principen om ändamålsbegränsning innebär i sin tur att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Dessa principer är förenade med bestämmelserna om villkor för behandling av personuppgifter i artikel 6 i den allmänna dataskyddsförordningen. 

I artikel 6.1 i den allmänna dataskyddsförordningen föreskrivs det om villkor som ska vara uppfyllda för att behandlingen av personuppgifter ska vara laglig. Den arbetsgrupp som justitieministeriet tillsatt för att utreda behovet av nationella lagstiftningsåtgärder till följd av den allmänna dataskyddsförordningen har utgått från att myndigheternas behandling av personuppgifter i första hand ska grunda sig på artikel 6.1 c i dataskyddsförordningen, alltså på en rättslig förpliktelse som åvilar den personuppgiftsansvarige. Detta innebär att myndighetens uppgift och befogenheter ska anges på ett sådant sätt i lagstiftningen att den rättsliga grunden för behandlingen av personuppgifter och ändamålet med behandlingen framgår av den med beaktande av verksamhetens syfte (arbetsgruppen för genomförande av EU:s allmänna dataskyddsförordning (TATTI), justitieministeriets publikationer 8/2018, s. 33) 

I artikel 6.3 i den allmänna dataskyddsförordningen föreskrivs det att grunden för behandlingen av personuppgifter ska fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige eller om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Artikel 6.3 innehåller en skyldighet att i nationell rätt föreskriva om grunden för och syftet med behandlingen. 

I 1 mom. i den gällande paragrafen föreskrivs det att arbets- och näringsbyråns kundinformationssystem drivs för ordnande av offentlig arbetskrafts- och företagsservice. Kundinformationssystemet används dock för närvarande också bland annat för uppgifter som hör samman med verkställandet av systemen för utkomstskydd för arbetslösa och alterneringsledighet, myndighetsuppgifter som anknyter till sådan arbetskraftsutbildning som avses i lagen om yrkesutbildning, uppgifter enligt lagen om arbetsverksamhet i rehabiliteringssyfte och vissa uppgifter enligt lagen om främjande av integration. Arbets- och näringsministeriet använder kundinformationssystemet för att sköta uppgifter enligt lagen om sociala företag. Enligt 6 § i lagen om sociala företag är registret över sociala företag ett arbetsgivarregister i arbets- och näringsbyråns kundinformationssystem enligt 13 kap. 1 § 1 mom. i lagen om arbetskrafts- och företagsservice. I det föreslagna 1 mom. preciseras vilka lagar som användningsändamålen för kundinformationssystemet grundar sig på. Behandlingen av personuppgifter grundar sig i enlighet med artikel 6.1 c i den allmänna dataskyddsförordningen på den personuppgiftsansvariges lagstadgade uppgift. 

I det gällande 1 § 2 mom. föreskrivs att bestämmelserna i lagen om offentlighet i myndigheternas verksamhet tillämpas på utlämnande av uppgifter ur arbets- och näringsbyråns kundinformationssystem och på de i systemet införda uppgifternas offentlighet. I propositionen föreslås det att denna bestämmelse flyttas till en ny 7 §, där det ska föreskrivas om utlämnande av uppgifter ur kundinformationssystemet. 

I det föreslagna 2 mom. föreskrivs det om kundinformationssystemets struktur. Enligt 1 mom. i den gällande paragrafen består kundinformationssystemet av ett register över enskilda kunder, ett arbetsgivarregister och ett register över serviceproducenter. I det föreslagna 2 mom. preciseras att det i kundinformationssystemet även ingår ett kundregister över sektorsövergripande samservice, som utgör ett delregister till registret över enskilda kunder. Kundregistret över sektorsövergripande samservice (TYPPI-registret) används för fullgörandet av de uppgifter som arbets- och näringsbyrån, kommunen och Folkpensionsanstalten har enligt lagen om sektorsövergripande samservice som främjar sysselsättningen. I 9 § i den gällande lagen om sektorsövergripande samservice som främjar sysselsättningen föreskrivs det att kundregistret över sektorsövergripande samservice är ett delregister till det register över enskilda kunder inom arbets- och näringsbyråns kundinformationssystem som avses i 13 kap. 1 § i lagen om offentlig arbetskrafts- och företagsservice. För tydlighetens skull är det motiverat att även i 13 kap. 1 § i lagen om offentlig arbetskrafts- och företagsservice föreskriva att kundregistret över sektorsövergripande samservice utgör ett delregister till arbets- och näringsbyråns register över enskilda kunder. 

Enligt motiveringen till lagen om sektorsövergripande samservice som främjar sysselsättningen (RP 183/2014 rd) tillämpas på TYPPI-registret bestämmelserna om den registeransvarige, registrering, gallring och arkivering av uppgifter samt beviljande av användarrättigheter i 13 kap. i lagen om offentlig arbetskrafts- och företagsservice, men den gällande lagen innehåller ingen bestämmelse om att 13 kap. i lagen om offentlig arbetskrafts- och företagsservice ska tillämpas. För tydlighetens skull preciseras i det föreslagna 2 mom. att bestämmelserna i 13 kap. i lagen om offentlig arbetskrafts- och företagsservice tillämpas på kundregistret över sektorsövergripande samservice enbart om något annat inte föreskrivs i lagen om sektorsövergripande samservice som främjar sysselsättningen. Detta betyder att på TYPPI-registret ska tillämpas de föreslagna bestämmelserna i 13 kap. om personuppgiftsansvariga, om radering och arkivering av uppgifter, om den registrerades rätt att begränsa behandlingen av uppgifter, om användarrättigheterna enligt 4 a, om ändring och upphävande av användarrättigheter enligt 5 a § och om utlämnande av uppgifter ur kundinformationssystemet. I lagen om sektorsövergripande samservice som främjar sysselsättningen föreskrivs det något annat om kundregistrets användningsändamål, registrering av uppgifter, registrets informationsinnehåll och beviljande av användarrättigheter. 

Paragrafens 3 mom. föreslås innehålla en informativ hänvisning om att bestämmelser om behandling av personuppgifter finns i Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och i dataskyddslagen (1050/2018). Den allmänna dataskyddsförordningen antogs den 27 april 2016 och publicerades i Europeiska unionens officiella tidning den 4 maj 2016 (EUT L 119). Den allmänna dataskyddsförordningen är direkt tillämplig lagstiftning, och dataskyddslagen som allmän lag tillämpas på behandling av personuppgifter. Hänvisningen till dataskyddsförordningen och dataskyddslagen föreslås ingå i 3 mom. för tydlighetens skull och för att understryka att utöver vad som föreskrivs i lagen om offentlig arbetskrafts- och företagsservice ska även bestämmelserna i den allmänna dataskyddsförordningen och i dataskyddslagen beaktas vid behandlingen av personuppgifter i arbets- och näringsbyråns kundinformationssystem. Samtidigt stryks hänvisningen till den upphävda personuppgiftslagen i 2 mom. i den gällande 1 §. 

I det föreslagna 4 mom. hänvisas det till lagen om kundinformationssystemet för företagstjänster. Den hänvisning som finns i 1 mom. i den gällande paragrafen ändras så att det hänvisas till den gällande lagen om kundinformationssystemet för företagstjänster (293/2017). 

2 §.Personuppgiftsansvariga. Det föreslås att paragrafen ändras så att dess rubrik ändras från ”registeransvarig” till ”personuppgiftsansvariga”, i plural, och så att personuppgiftsansvariga definieras i enlighet med den aktuella situationen på det sätt som förutsätts i den allmänna dataskyddsförordningen. I den allmänna dataskyddsförordningen finns det bestämmelser om den personuppgiftsansvariges skyldigheter och ansvar. Enligt förordningen är det möjligt för flera organ att vara gemensamt personuppgiftsansvariga, bara de personuppgiftsansvarigas ansvarsområden har fastställts genom lagstiftning eller genom ett inbördes arrangemang. I paragrafen föreslås ändringar som följer av förändringar i uppgiftsfördelningen mellan arbets- och näringsministeriet och UF-centret. Dessutom preciseras uppgiftsfördelningen mellan de personuppgiftsansvariga, samtidigt som det tas in en bestämmelse om arbets- och näringsförvaltningens kundservicecenters roll som personuppgiftsbiträde. 

I den allmänna dataskyddsförordningen avses med personuppgiftsansvarig en fysisk eller juridisk person, offentlig myndighet, institution eller ett annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten och medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. 

Om två eller fler personuppgiftsansvariga gemensamt fastställer ändamålen med och medlen för behandlingen ska de enligt artikel 26 i den allmänna dataskyddsförordningen vara gemensamt personuppgiftsansvariga. Respektive ansvar för gemensamt personuppgiftsansvariga kan fastställas genom de personuppgiftsansvarigas inbördes arrangemang eller helt eller delvis i medlemsstatens nationella rätt. Arrangemanget eller den nationella rätten ska på lämpligt sätt återspegla de gemensamt personuppgiftsansvarigas respektive roller och förhållanden gentemot registrerade. Den registrerade får utöva sina rättigheter enligt den allmänna dataskyddsförordningen med avseende på och emot var och en av de personuppgiftsansvariga oberoende av de gemensamt personuppgiftsansvarigas ansvarsfördelning. 

I den nuvarande 2 § finns det bestämmelser om den registeransvariges uppgifter, som är uppdelade mellan arbets- och näringsministeriet och arbets- och näringsbyråerna. Uppgifter som hör samman med registerföring har dock redan tidigare överförts från arbets- och näringsministeriet till UF-centret. Eftersom arbets- och näringsministeriet i praktiken inte längre utför uppgifter som hänför sig till arbets- och näringsbyråns kundinformationssystem och inte heller har någon faktisk roll i behandlingen av kunduppgifter, kan ministeriet inte längre anges som en av de personuppgiftsansvariga. Arbets- och näringsministeriet ansvarar med stöd av grundlagen för att förvaltningen inom ministeriets ansvarsområde fungerar som sig bör, och enligt lagen om närings-, trafik- och miljöcentralerna ska arbets- och näringsministeriet sköta den allmänna administrativa styrningen av NTM-centralerna och UF-centret. Bestämningen av personuppgiftsansvariga ändrar inte arbets- och näringsministeriets roll till denna del. 

Det föreslås att det i 1 mom. föreskrivs att UF-centret och arbets- och näringsbyråerna är gemensamt personuppgiftsansvariga för arbets- och näringsbyråns kundinformationssystem. I momentet konstateras för tydlighetens skull också att arbets- och näringsförvaltningens kundservicecenter är ett i den allmänna dataskyddsförordningen avsett personuppgiftsbiträde. I den allmänna dataskyddsförordningen avses med personuppgiftsbiträde en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Arbets- och näringsförvaltningens kundservicecenter sköter flera uppgifter inom den offentliga arbetskrafts- och företagsservicen som hör till arbets- och näringsbyrån, såsom att ge råd, handledning och information om de tjänster som arbets- och näringsbyrån erbjuder och att ta emot enskilda kunders anmälningar om bland annat ändringar i fråga om jobbsökningen. Skillnaden jämfört med de tjänster som arbets- och näringsbyrån tillhandahåller är att all service ges per telefon och e-post eller via andra elektroniska kanaler. Sålunda är det motiverat att se det som att arbets- och näringsförvaltningens kundservicecenter behandlar kundernas personuppgifter för den personuppgiftsansvariges (arbets- och näringsbyråns) räkning. 

Paragrafens 2 mom. ska innehålla en förteckning över de uppgifter som den personuppgiftsansvarige har enligt den allmänna dataskyddsförordningen och som UF-centret ska ansvara för. Dessa är 

- i artikel 25 avsett inbyggt dataskydd och dataskydd som standard, 

- i artikel 32 avsedd säkerhet i samband med behandlingen, 

- i artikel 35 avsedd konsekvensbedömning avseende dataskydd och i artikel 36 avsett förhandssamråd, 

- i artikel 12.1 och 12.2 avsedda skyldigheter för personuppgiftsansvariga, 

- sådana andra skyldigheter med anknytning till informationssystemets informationssäkerhet som den personuppgiftsansvarige har enligt den allmänna dataskyddsförordningen. 

I paragrafens 3 mom. föreskrivs det om de uppgifter som arbets- och näringsbyråerna har som personuppgiftsansvariga. Enligt den föreslagna bestämmelsen ska arbets- och näringsbyråerna ansvara för den personuppgiftsansvariges i den allmänna dataskyddsförordningen föreskrivna andra än i 2 mom. avsedda skyldigheter. Arbets- och näringsbyråerna är kundinformationssystemets huvudsakliga användare och informationsproducenter. Det är således motiverat att byråerna ska ansvara för de övriga skyldigheter som den personuppgiftsansvarige har enligt dataskyddsförordningen, med undantag för dem som direkt gäller informationssystemet. I paragrafens 3 mom. föreskrivs det också om den inbördes ansvarsfördelningen mellan de olika arbets- och näringsbyråerna. Grunden för ansvarsfördelningen utgörs av den registrerades kundrelation. I den gällande 2 § föreskrivs det om arbets- och näringsministeriets möjlighet att bestämma något annat om arbets- och näringsbyråernas uppgifter som registeransvariga. Enligt artikel 26 i den allmänna dataskyddsförordningen ska gemensamt personuppgiftsansvariga fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt förordningen. Eftersom arbets- och näringsministeriet enligt propositionen inte längre ska vara personuppgiftsansvarig, är ministeriet en utomstående aktör i förhållande till de föreslagna personuppgiftsansvariga. Av denna anledning föreslås i propositionen inte möjlighet för arbets- och näringsministeriet att bestämma annat om arbets- och näringsbyråernas uppgifter som personuppgiftsansvariga. 

Sådana uppgifter som den personuppgiftsansvarige har enligt dataskyddsförordningen och som arbets- och näringsbyråerna ansvarar för är t.ex. den i artikel 28.1 avsedda skyldigheten att endast anlita sådana personuppgiftsbiträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder på ett sådant sätt att behandlingen uppfyller kraven i dataskyddsförordningen. Också de av den personuppgiftsansvariges uppgifter som hänför sig till tillgodoseendet av den registrerades rättigheter ska, med undantag för de uppgifter som i 2 mom. föreslås för UF-centret, skötas av arbets- och näringsbyråerna. 

Enligt artikel 26.3 i den allmänna dataskyddsförordningen får den registrerade utöva sina rättigheter enligt den förordningen med avseende på och emot var och en av de personuppgiftsansvariga, oavsett ansvarsfördelningen mellan de gemensamt personuppgiftsansvariga. Med detta avses att den registrerade kan inleda ett ärende oavsett hos vilken av de personuppgiftsansvariga den registrerade framställer begäran. Tillgodoseendet av den registrerades rättigheter förutsätter att en begäran eller förfrågan vid behov förmedlas till den personuppgiftsansvarige som enligt de personuppgiftsansvarigas inbördes ansvarsfördelning svarar för frågan. Om den registrerade till exempel hos UF-centret yrkar på att uppgifter om honom eller henne ska rättas, kan ämbetsverket i enlighet med förvaltningslagen (434/2003) överföra frågan till den arbets- och näringsbyrå där den registrerade är kund. 

3 §. De olika registrens informationsinnehåll. Bestämmelserna i paragrafen ska preciseras, för att de ska vara bättre förenliga med den allmänna dataskyddsförordningen. På motsvarande sätt som i nuläget föreskrivs i 1—3 mom. om informationsinnehållet i de olika registren i kundinformationssystemet. 

Principen om uppgiftsminimering i artikel 5 i den allmänna dataskyddsförordningen innebär att de behandlade personuppgifterna ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas. I artikel 6.3 i den allmänna dataskyddsförordningen tillåts särskilda bestämmelser i den nationella lagstiftningen för att anpassa tillämpningen av bestämmelserna i förordningen. Dessa särskilda bestämmelser kan gälla bland annat vilken typ av uppgifter som ska behandlas och vilka registrerade som berörs. Således är nationell lagstiftning om informationsinnehållet i register och om registrerade möjlig med tanke på den allmänna dataskyddsförordningen. Informationsinnehållet ska fastställas enligt principen om uppgiftsminimering. 

I 1 mom. ska på samma sätt som i nuläget föreskrivas om informationsinnehållet i registret över enskilda kunder inom kundinformationssystemet. Uppgifterna kan gälla enskilda kunder, dvs. privatpersoner som ansöker om eller får service, stöd eller ersättningar enligt lagen om offentlig arbetskrafts- och företagsservice. 

I 1 mom. 1—9 punkten i den gällande paragrafen anges vilka uppgifter som kan föras in om en enskild kund. De föreslagna punkterna motsvarar i övrigt nuläget, men det föreslås preciseringar i 1, 2, 5, 7 och 8 punkten. 

I 1 punkten föreskrivs för närvarande om införande av identifieringsuppgifter, däribland personbeteckningen. Enligt motiveringen till den gällande 1 punkten avses med identifieringsuppgifter den berörda personens namn, personbeteckning och adress samt andra kontaktuppgifter. Punkten ska preciseras så att där direkt anges de identifieringsuppgifter som kan föras in, dvs. namn och personbeteckning. Dessutom ska kontaktuppgifter nämnas i punkten. Uppgifterna behövs för att man ska kunna ordna tjänster för personen och hålla kontakt med honom eller henne. Med stöd av 29 § i dataskyddslagen är behandling av personbeteckningar tillåten bland annat när behandlingen regleras i lag. Den föreslagna 1 punkten uppfyller detta krav. 

I 2 punkten görs en språklig precisering. Momentets 5 punkt preciseras så att det i registret över enskilda kunder utöver arbetserbjudanden också kan föras in uppgifter om utbildningserbjudanden. Förslaget motsvarar nuvarande praxis. 

I 7 punkten föreskrivs för närvarande om införande av uppgifter om hälsotillståndet och andra uppgifter som krävs för tillhandahållande av offentlig arbetskrafts- och företagsservice. I den föreslagna 7 punkten preciseras formuleringen, så att sådana uppgifter om en enskild kunds hälsotillstånd och arbets- och funktionsförmåga som har inverkan på personens sysselsättning och som är nödvändiga för att tillhandahålla personen service kan föras in i registret. Punkten motsvarar 9 § 2 mom. 5 punkten i lagen om sektorsövergripande samservice som främjar sysselsättningen. I registret över enskilda kunder förs endast in sådana uppgifter om den enskilda kundens hälsotillstånd samt arbets- och funktionsförmåga som inverkar på sysselsättningen och som är nödvändiga för att tillhandahålla honom eller henne offentlig service för rekrytering och kompetensutveckling. Det kan med tanke på arbetsförmedling t.ex. vara nödvändigt att göra en anteckning om begränsningar som hänför sig till kundens hälsotillstånd och som hindrar utförande av vissa slag av arbetsuppgifter. Utgångspunkten är att de uppgifter om hälsotillstånd och arbetsförmåga som förs in i registret ska grunda sig på en bedömning av en yrkesutbildad person inom hälso- och sjukvården. Information om arbetsförmågan kan också grunda sig på exempelvis feedback från en producent av rehabiliteringstjänster. 

I artikel 9.1 i den allmänna dataskyddsförordningen förbjuds behandling av särskilda kategorier av personuppgifter. Sådana uppgifter är bl.a. uppgifter om hälsa samt ras eller etniskt ursprung. Undantag från behandlingsförbudet anges i artikel 9.2. 

Enligt artikel 9.2 b får särskilda kategorier av personuppgifter behandlas bl.a. om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs. Det nationella handlingsutrymme som denna punkt ger har utnyttjats i 6 § 1 mom. 3 och 5 punkten i dataskyddslagen. 

Enligt artikel 9.2 h i den allmänna dataskyddsförordningen är behandling av särskilda kategorier av personuppgifter också tillåten bl.a. om behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda. Enligt artikel 9.3 i förordningen får personuppgifter behandlas bl.a. om uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. 

I fråga om den föreslagna 7 punkten grundar sig behandlingen av uppgifter på artikel 9.2 b och h. Det är tvetydigt vilken av dessa grunder för behandling som kommer i fråga. De föreslagna bestämmelserna anses dock uppfylla de krav som ställs på bägge grunderna för behandling. Det föreskrivs om behandlingen i lag. I lagstiftningen finns också bestämmelser om skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen, i överensstämmelse med kravet i artikel 9.2 b. Bestämmelser som betraktas som skyddsåtgärder finns förutom i dataskyddslagen, informationshanteringslagen, strafflagen, offentlighetslagen och andra allmänna förvaltningslagar även i den föreslagna lagen. I den föreslagna lagen kan som skyddsåtgärder betraktas åtminstone bestämmelserna om beviljande och upphävande av användarrättigheter och om lagringstider. På den person som behandlar uppgifter ska offentlighetslagen tillämpas, vilket betyder att personen omfattas av en lagstadgad sekretess, på det sätt som krävs i artikel 9.2 h i dataskyddsförordningen. 

Det föreslås att 8 punkten i momentet preciseras för tydlighetens skull så att det i registret över enskilda kunder utöver utredningar och arbetskraftspolitiska utlåtanden som gäller utkomstskydd för arbetslösa även kan föras in motsvarande utredningar och utlåtanden om alterneringsledighet. Arbets- och näringsbyråns kundinformationssystem används också för skötsel av de uppgifter som det föreskrivs om i lagen om alterneringsledighet, så förslaget motsvarar gällande praxis. 

I det inledande stycket i 2 mom. görs en sådan precisering jämfört med nuläget att registeruppgifterna kan gälla arbetsgivare som ansöker om eller får offentlig arbetskrafts- och företagsservice. Arbetsgivaren kan också vara en fysisk person, så de uppgifter som förs in i registret kan även gälla fysiska personer. I bestämmelserna om registrets informationsinnehåll i 1—6 punkten föreslås inga andra ändringar än en rättelse av ett skrivfel och en språklig precisering i 2 punkten. I 7 punkten görs en språklig precisering. 

I 3 mom. ska det på samma sätt som i nuläget föreskrivas om informationsinnehållet i det register över serviceproducenter som ingår i kundinformationssystemet. I 3 mom. finns för närvarande 7 punkter. I 1—3 och 6 punkten görs språkliga ändringar. 

I 4 mom. görs endast språkliga ändringar. Dokument som hålls separata från kundinformationssystemet kan vara pappersdokument eller elektroniska dokument. 

4 §. Registrering, radering och arkivering av uppgifter. I 1 mom. stryks den bestämmelse enligt vilken en enskild kund ska underrättas om att kunduppgifterna registreras i systemet. I artikel 13 i den allmänna dataskyddsförordningen föreskrivs det om den personuppgiftsansvariges skyldighet att till den registrerade lämna information om behandlingen av dennes personuppgifter, om uppgifter samlas in från den registrerade. I artikel 14 i den allmänna dataskyddsförordningen föreskrivs det om den personuppgiftsansvariges skyldighet att till den registrerade lämna information om behandlingen av dennes personuppgifter, om uppgifterna fås från någon annan källa. Bestämmelsen i 1 mom. om att en enskild kund ska underrättas om att uppgifterna registreras i informationssystemet överlappar med dessa bestämmelser i förordningen, och därför ska bestämmelsen i momentet strykas. 

Dessutom ändras 1 mom. så att det tas in en bestämmelse om de aktörer som ska föra in kunduppgifter i informationssystemet. För närvarande finns det ingen bestämmelse i lagen om vilka aktörer som har rätt eller skyldighet att föra in uppgifter i arbets- och näringsbyråns kundinformationssystem. Det föreslås att bestämmelsen tas in i lagen för att förtydliga saken. Arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter och UF-centret ska vara skyldiga att föra in kunduppgifter i informationssystemet. I artikel 5.1 d i den allmänna dataskyddsförordningen föreskrivs det att personuppgifter ska vara korrekta och om nödvändigt uppdaterade och att alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Enligt artikel 5.2 svarar den personuppgiftsansvarige för att punkt 1 efterlevs. 

I 2 mom. ska det föreskrivas att den registrerade inte har en i artikel 18 i den allmänna dataskyddsförordningen avsedd rätt att begränsa behandlingen av uppgifter i registret över enskilda kunder. 

Artikel 18 i den allmänna dataskyddsförordningen gäller den registrerades rätt att begränsa behandlingen. Enligt artikel 18.1 ska den registrerade ha rätt att av den personuppgiftsansvarige kräva att behandlingen begränsas om någon av de situationer som räknas upp i artikeln föreligger. Exempelvis ska enligt led a behandlingen begränsas, om den registrerade bestrider personuppgifternas korrekthet. I en sådan situation ska behandlingen begränsas under en tid som ger den personuppgiftsansvarige möjlighet att kontrollera om personuppgifterna är korrekta. Om det beslutas att behandlingen ska begränsas i enlighet med artikel 18.1, får enligt artikel 18.2 sådana personuppgifter, med undantag för lagring, endast behandlas med den registrerades samtycke eller för att fastställa, göra gällande eller försvara rättsliga anspråk eller för att skydda någon annan fysisk eller juridisk persons rättigheter eller för skäl som rör ett viktigt allmänintresse för unionen eller för en medlemsstat. Med stöd av artikel 23 kan denna rätt för den registrerade begränsas när villkoren för begränsning uppfylls. 

Genom artikel 23.1 i den allmänna dataskyddsförordningen ges medlemsstaterna en möjlighet att i sin nationella rätt begränsa tillämpningsområdet för de skyldigheter och rättigheter som föreskrivs i artikel 18, om en sådan begränsning sker med respekt för andemeningen i de grundläggande rättigheterna och friheterna och utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle i syfte att säkerställa t.ex. en medlemsstats viktiga mål av generellt allmänt intresse, särskilt ett av en medlemsstats viktiga ekonomiska eller finansiella intressen, däribland penning-, budget- eller skattefrågor, folkhälsa och social trygghet. I artikel 23.2 i förordningen föreskrivs det vad dessa lagstiftningsåtgärder ska innehålla bestämmelser om. Enligt punkt 2 ska i den nationella lagstiftningen finnas bestämmelser om ändamålen med behandlingen, kategorierna av personuppgifter, omfattningen av begränsningarna, skyddsåtgärder för att förhindra missbruk eller olaglig tillgång eller överföring, specificeringen av den personuppgiftsansvarige och lagringstiden. 

Skötseln av en uppgift som anknyter till offentlig arbetskraftsservice, utkomstskydd för arbetslösa eller alterneringsledighet kan inte med beaktande av målen för uppgiften vara beroende av den registrerades beslut att begränsa behandlingen av uppgifter som gäller honom eller henne. Med tanke på förvaltningen av kundinformationssystemet samt utbetalning av utkomstskydd för arbetslösa och alterneringsersättning är det inte möjligt att en person skulle kunna begränsa behandlingen av uppgifter som gäller honom eller henne t.ex. under tiden för utredandet av den rättsliga grunden för den personuppgiftsansvariges behandling av uppgifter eller behandlingen av ett påstående om att uppgifterna eller behandlingen av dem är felaktig. Detta skulle kunna äventyra behandlingen av förmånsärendet och uppgifternas korrekthet. De registerförda uppgifterna ska vara korrekta och fullständiga, och de kan inte vara beroende av behandlingen av invändningar som gäller skydd av personuppgifter tills det har fattats ett beslut med anledning av ovan avsedda invändning. Om en persons uppgifter inte kan behandlas, kan inte heller tjänster ordnas för eller förmåner betalas till personen. Således föreslås att det föreskrivs att den registrerade inte har en i artikel 18 i den allmänna dataskyddsförordningen avsedd rätt att begränsa behandlingen av uppgifter i registret över enskilda kunder. Andra rättigheter som anges i den allmänna dataskyddsförordningen och som med stöd av förordningen ska tillämpas på sådan behandling som behövs för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige, ska inte begränsas. 

Förutsättningarna för begränsning av den registrerades rättigheter enligt artikel 23.1 i den allmänna dataskyddsförordningen uppfylls, eftersom begränsningen utgör en nödvändig och proportionell åtgärd för att uppfylla medlemsstatens mål gällande främjandet av sysselsättningen, utkomstskyddet för arbetslösa och alterneringsledighet. I begränsningen iakttas till centrala delar de grundläggande fri- och rättigheterna, eftersom det föreskrivs om behandlingen i lag och den registrerade har rätt att söka ändring i besluten. Även övriga garantier för god förvaltning har tillförsäkrats genom lag. Dessutom är kraven i artikel 23.2 i förordningen uppfyllda. Bestämmelser om ändamålen med behandlingen finns i föreslagna 13 kap.1 §, bestämmelser om kategorierna av personuppgifter finns i föreslagna 13 kap. 3 §, och omfattningen av begränsningarna anges vara uppgifterna i registret över enskilda kunder i föreslagna 13 kap. 4 §. Bestämmelser om skyddsåtgärder finns i sin tur i föreslagna 4 a, 5 och 5 a §. Dessutom ska offentlighetslagens bestämmelser om sekretess och dataskyddslagens bestämmelser om tystnadsplikt och sanktioner för brott mot tystnadsplikten samt informationshanteringslagens bestämmelser om säkerställande av informationssäkerheten så väl som tillämpningen av allmänna förvaltningslagar betraktas som skyddsåtgärder för att förhindra missbruk av och olaglig åtkomst till eller överföring av uppgifter. De personuppgiftsansvariga anges i 13 kap. 2 § och lagringstiderna i 13 kap. 4 §. Den registrerade får information om begränsningen genom lagstiftningen. Skyldigheten att ge den registrerade information om behandlingen grundar sig dessutom på artiklarna 13 och 14 i den allmänna dataskyddsförordningen. 

I 3 mom. föreskrivs det om lagringstiderna för uppgifter som införts i arbets- och näringsbyråns kundinformationssystem. I momentet föreslås det att lagringstiderna för kunduppgifter förenhetligas och att den totala lagringstiden förkortas. Dessutom preciseras vilken aktör som ska radera uppgifterna. I momentet föreslås också språkliga justeringar. 

Enligt principen om lagringsminimering i artikel 5 i den allmänna dataskyddsförordningen ska personuppgifter förvaras i en form som möjliggör identifiering av den registrerade endast så länge som det behövs för att iaktta ändamålen med behandlingen. Enligt artikel 6.3 i den allmänna dataskyddsförordningen kan den nationella lagstiftningen innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Dessa särskilda bestämmelser kan gälla bland annat lagringstider. 

Enligt gällande 13 kap. 4 § 2 mom. ska sådana uppgifter som gäller en enskild kund och som avses i 3 § 1 mom. 2, 4 och 5 punkten gallras ur informationssystemet när två år har förflutit från den dag när uppgiften infördes. Alla uppgifter om kunden eller serviceproducenten ska gallras när fem år har förflutit från den dag då kundrelationen eller avtalsförhållandet upphörde. En uppgift avförs dock inte, om den behövs för ett uppdrag som baserar sig på bestämmelser eller på grund av ett icke avslutat ärende. I momentet föreslås att lagringstiderna för kunduppgifter förenhetligas och att den totala lagringstiden förkortas från nuvarande fem år till fyra år. 

Grunden för den föreslagna ändringen är en ändring av det informationsinnehåll som avses i 13 kap. 3 § 1 mom. 2 punkten. För närvarande kan kunderna via arbets- och näringsbyråns kundinformationssystem i omfattande grad sköta sina egna ärenden genom att utnyttja e-tjänsten. I praktiken samlas de kunduppgifter som den enskilda kunden har registrerat i det informationsinnehåll som avses i 13 kap. 3 § 1 mom. 2 punkten. Informationsinnehållet i fråga har utökats i förhållande till det tidigare användningsändamålet och kan innehålla sådana av kunden anmälda uppgifter vars lagringstid enligt den gällande lagstiftningen är fem år efter det att kundrelationen upphörde. Således bör lagringstiden för informationsinnehållet i fråga vara enhetlig med lagringstiden för det övriga informationsinnehållet. Med tanke på kundinformationens integritet är det väsentligt att det inte görs delvisa raderingar i kunduppgifterna innan lagringstiden slutligen går ut. För att trygga kundprocesserna bör de centrala uppgifterna finnas tillgängliga i en enhetlig form och raderingar göras som helhet inom den föreskrivna tiden. För att trygga arbets- och näringsförvaltningens tjänster är det av avgörande betydelse att enskilda uppgifter inte raderas ur kunduppgifterna förrän eventuella processer efter kundrelationen har avgjorts och slutförts. Eftersom det föreslås att en kunds uppgifter i fortsättningen lagras som en helhet i stället för att det som i nuläget görs periodiserade raderingar, kan den registrerades rätt att begränsa lagringen enligt den allmänna dataskyddsförordningen tillgodoses genom förkortning av den totala lagringstiden från fem år till fyra år efter det att kundrelationen avslutats. Den tiden kan huvudsakligen anses vara tillräcklig med tanke på åtgärderna i samband med kundprocesserna. 

I det föreslagna 3 mom. ingår också en bestämmelse som motsvarar bestämmelsen i 2 mom. i den gällande paragrafen om att en uppgift i kundinformationssystemet dock inte behöver raderas, om den behövs för skötseln av ett uppdrag som baserar sig på bestämmelser eller ett ärende som fortfarande är anhängigt. Exempelvis uppgifter om tjänster som ordnas med finansiering från Europeiska socialfonden och andra kunduppgifter i anslutning till sådana ska inte raderas, eftersom bestämmelserna förutsätter att uppgifterna bevaras i 10 år från det i finansieringsbeslutet fastställda slutdatumet för projektet (30 § i statsrådets förordning om stödberättigande kostnader som medfinansieras av strukturfonderna (358/2014)). Även verifikat och uppgifter som gäller tjänster ordnade med finansiering från Europeiska fonden för justering för globaliseringseffekter ska bevaras i tre år efter det att ett ekonomiskt stöd från fonden har avslutats (artikel 21.5 i Europaparlamentets och rådets förordning (EU) nr 1309/2013 om Europeiska fonden för justering för globaliseringseffekter (2014—2020) och om upphävande av förordning (EG) nr 1927/2006). I praktiken ska material som gäller ett projekt som finansierats av Europeiska fonden för justering för globaliseringseffekter bevaras i snitt i sju år, så en fyra år lång tidsfrist är inte tillräcklig för att radera uppgifterna ur arbets- och näringsbyråns kundinformationssystem. Kundens uppgifter behöver inte heller raderas, om det pågår t.ex. en process för ändringssökande i ett ärende som gäller utkomstskydd för arbetslösa eller offentlig arbetskrafts- och företagsservice. 

I den gällande 4 § föreskrivs det inte vilken instans som ska radera uppgifterna ur kundinformationssystemet. Enligt det föreslagna 3 mom. är det UF-centret som ska radera kunduppgifterna, eftersom UF-centret är den som sköter den tekniska driften av kundinformationssystemet och därför är den enda som i praktiken kan sköta raderingen av uppgifter. 

I 4 mom. föreslås en informativ hänvisning till att bestämmelser om arkivering av uppgifter finns i arkivlagen (831/1994). Motsvarande bestämmelse finns i 3 mom. i den gällande paragrafen. 

4 a §. Användarrättigheter. Denna paragraf är ny. I det föreslagna 1 mom. föreskrivs det att personliga användarrättigheter krävs för att använda arbets- och näringsbyråns kundinformationssystem. För närvarande finns det inte bestämmelser om detta, trots att det krävs användarrättigheter för att använda systemet. Användarrättigheterna är ett sätt att säkerställa systemets informationssäkerhet. Den bestämmelse som föreslås i 1 mom. har ett samband med 16 och 17 § i informationshanteringslagen, i vilka det föreskrivs om kontroll av användarrättigheter till och insamling av logginformation i informationssystem. I det föreslagna momentet föreskrivs det dessutom att det är UF-centret som ansvarar för skötseln av dessa uppgifter när det gäller arbets- och näringsbyråns kundinformationssystem. 

I 16 § i informationshanteringslagen föreskrivs det om skyldigheten att definiera informationssystemets användarrättigheter och hålla dem uppdaterade. Bestämmelserna i den allmänna lagen tillämpas även på arbets- och näringsbyråns kundinformationssystem och på beviljande av användarrättigheter. När användarrättigheterna definieras ska också den princip om uppgiftsminimering som avses i den direkt tillämpliga allmänna dataskyddsförordningen beaktas. De uppgifter som UF-centret har enligt paragrafen hänför sig till de uppgifter som personuppgiftsansvarig som föreslås för centret i 2 §. Beviljandet av användarrättigheter och insamlingen av logginformation har ett nära samband med säkerställandet av systemets informationssäkerhet, och därför är det motiverat att den personuppgiftsansvarige som ansvarar för systemets informationssäkerhet även svarar för de uppgifter som har samband med dem. 

I 2 mom. föreslås bestämmelser om kravet på att definiera användarrättigheterna. Enligt förslaget ska användarrättigheterna till sitt innehåll, sin omfattning, sina behörigheter och sin varaktighet begränsas enligt vad som är nödvändigt för att en person ska kunna sköta sina arbetsuppgifter. Med innehåll avses det informationsinnehåll till vilket användarrättigheterna ger åtkomst, med omfattning de registrerade vilkas uppgifter användarrättigheten ger rätt att behandla och med behörigheter de behandlingsåtgärder som användarrättigheten tillåter, alltså huruvida personen endast har rätt att titta på uppgifter eller också rätt att föra in uppgifter. Med varaktighet avses användarrättigheternas giltighetstid. Bestämmelsen konkretiserar den princip om uppgiftsminimering som avses i dataskyddsförordningen och tryggar även att kravet på ändamålsbegränsning uppfylls. Utgångspunkten vid fastställandet av användarrättigheterna ska alltid vara personens uppgift och den med uppgiften förbundna rätt till information som följer av den övriga lagstiftningen. 

Avsikten med den bestämmelse som föreslås i 3 mom. är att komplettera bestämmelserna om användarrättigheter. Det är i praktiken omöjligt att skräddarsy användarrättigheterna med tanke på alla eventuella situationer. Av denna orsak behöver det också föreskrivas om möjligheten att begränsa användningen i fråga om en person som beviljats användarrättigheter. Enligt den föreslagna bestämmelsen får den som beviljats användarrättigheter behandla endast sådana uppgifter som registrerats i kundinformationssystemet och på det sätt som är nödvändigt för skötseln av hans eller hennes arbetsuppgifter. Bestämmelsen fördelar ansvaret för behandlingen av personuppgifter i enlighet med principen om uppgiftsminimering också till den person som behandlar uppgifterna. 

De bestämmelser som föreslås i paragrafen främjar för sin del genomförandet av principen om integritet och konfidentialitet enligt artikel 5 i dataskyddsförordningen. Denna princip innebär att personuppgifter ska behandlas på ett sätt som säkerställer lämplig säkerhet för personuppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. Användarrättigheterna och användarkontrollen utifrån dem är också sådana skyddsåtgärder som avses i den allmänna dataskyddsförordningen. 

5 §. Beviljande av användarrättigheter. Det föreslås att paragrafens rubrik ändras, eftersom det till skillnad från nuläget endast ska föreskrivas om beviljande av användarrättigheter i paragrafen. Bestämmelsen om utlämnande av sekretessbelagda personuppgifter ska flyttas till en ny 7 §, där det ska föreskrivas om utlämnande av uppgifter ur kundinformationssystemet. I paragrafen föreslås det bestämmelser om vilken instans som beviljar användarrättigheter, om förfarandet vid beviljande av användarrättigheter och om förutsättningarna för beviljande av användarrättigheter. I denna lag föreskrivs det dock inte uttömmande om skyldigheterna för de instanser som behandlar personuppgifter, eftersom bestämmelser om skyldigheterna finns i den allmänna dataskyddsförordningen. 

Enligt det föreslagna 1 mom. beviljar UF-centret användarrättigheter till arbets- och näringsbyråns kundinformationssystem på ansökan av arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter, NTM-centralen eller arbets- och näringsministeriet. För närvarande föreskrivs det inte om vilken instans som beviljar användarrättigheter, men det anses vara motiverat för tydlighetens skull. I praktiken beviljar för närvarande respektive myndighet användarrättigheter till sina anställda och underrättar Statens informations- och kommunikationstekniska center Valtori om de användarrättigheter som behövs. Valtori öppnar den tekniska anslutningen på basis av ett serviceavtal mellan Valtori och UF-centret. Enligt förslaget är det UF-centret som beslutar om beviljande av användarrättigheter, men på motsvarande sätt som för närvarande ska den myndighet som ansöker om användarrättigheter svara för den prövning som är förknippad med beviljandet av användarrättigheter när den lämnar in ansökan. Den som ansöker om användarrättigheter ska svara för att det ansöks om användarrättigheter endast åt en person som nödvändigt måste använda kundinformationssystemet för att sköta sina arbetsuppgifter och endast i den omfattning som det är nödvändigt att använda kundinformationssystemet. UF-centret som personuppgiftsansvarig ska med stöd av den allmänna dataskyddsförordningen svara för att endast sådana personer som är anställda hos UF-centret och som behöver uppgifter ur kundinformationssystemet för skötseln av sina arbetsuppgifter får åtkomst till uppgifterna i den utsträckning som det är nödvändigt för skötseln av arbetsuppgifterna. 

Arbets- och näringsbyråns kundinformationssystem är ett riksomfattande och enhetligt system som används vid varje arbets- och näringsbyrå. Informationssystemet används också vid arbets- och näringsförvaltningens kundservicecenter, NTM-centralerna, UF-centret och arbets- och näringsministeriet. Tjänstemän vid NTM-centralerna och arbets- och näringsministeriet har i regel endast rätt att titta på uppgifter i informationssystemet. Det är i regel tjänstemän vid arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter och UF-centret som för in uppgifter i kundinformationssystemet. Användarrättigheter till informationssystemet har endast de tjänstemän vars tjänsteutövning förutsätter det. På motsvarande sätt som för närvarande får enligt det föreslagna 1 mom. en tjänsteman vid arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter, NTM-centralen, UF-centret eller arbets- och näringsministeriet som beviljats rätt att använda arbets- och näringsbyråns kundinformationssystem trots sekretessbestämmelserna söka och använda uppgifter i systemet, oberoende av vilken arbets- och näringsbyrå som infört uppgifterna i informationssystemet. Bestämmelsen ger dock inte rätt till fri sökning eller användning av uppgifterna, utan det ska alltid finnas en grund som följer av lagen. Med stöd av det föreslagna 1 mom. har arbets- och näringsmyndigheten rätt att söka och använda uppgifter i kundinformationssystemet, om det behövs för att ordna kundbetjäningen, utreda eller avgöra ett anhängigt ärende eller för att utföra tillsyns-, utvecklings-, uppföljnings-, statistikförings-, prognostiserings- eller styruppgifter. Den gällande bestämmelsen har preciserats så att uppgiften också kan hänföra sig till statistikföring eller prognostisering. 

I 2 mom. ska det föreskrivas om vem som kan beviljas användarrättigheter. Användarrättigheter kan beviljas en sådan tjänsteman vid arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter, NTM-centralen, UF-centret eller arbets- och näringsministeriet som sköter uppgifter enligt lagen om offentlig arbetskrafts- och företagsservice, sådana uppgifter enligt lagen om främjande av integration (1386/2010) som anknyter till offentlig arbetskrafts- och företagsservice, uppgifter som anknyter till sådan arbetskraftsutbildning som avses i lagen om yrkesutbildning (537/2017), uppgifter enligt lagen om sociala företag (1351/2003), uppgifter enligt lagen om utkomstskydd för arbetslösa (1290/2002) eller lagen om alterneringsledighet (1305/2002) eller sådana statistikförings-, tillsyns-, uppföljnings-, utvecklings-, prognostiserings- eller styruppgifter som anknyter till dessa tjänster, stöd eller kundprocesser eller till systemet för utkomstskydd för arbetslösa eller systemet för alterneringsledighet. Användarrättigheter ska kunna beviljas också på den grunden att personen sköter i 2 § avsedda uppgifter för personuppgiftsansvariga eller i 4 a § 1 mom., 5 § eller 5 a § avsedda uppgifter som anknyter till kontroll av användarrättigheter eller insamling av logginformation. Arbets- och näringsbyråns, NTM-centralens, UF-centrets och arbets- och näringsministeriets uppgifter skiljer sig från varandra, och alla grunder kommer därför inte nödvändigtvis på fråga för tjänstemän vid alla nämnda myndigheter. 

Enligt det föreslagna 3 mom. kan användarrättigheter beviljas sådana personer som är anställda hos en aktör som antingen på uppdrag av arbets- och näringsministeriet, NTM-centralen eller UF-centret utför separat utvärdering, granskning eller utredning eller på uppdrag av UF-centret utför uppgifter som anknyter till utveckling eller förvaltning av kundinformationssystemet, och som sköter uppgiften i fråga. 

Beviljandet av användarrättigheter förutsätter att den som beviljas användarrättigheter har lagstadgad rätt att trots sekretessbestämmelserna få sekretessbelagd information. Om det inte har föreskrivits om rätt till information trots sekretessbestämmelserna, kan användarrättigheter beviljas endast med en sådan begränsning att de inte ger rätt att titta på eller behandla sekretessbelagda uppgifter. 

Enligt 12 kap. 6 § 1 mom. i lagen om offentlig arbetskrafts- och företagsservice har arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter, NTM-centralen och UF-centret oberoende av sekretessbestämmelserna och andra begränsningar av rätten att få uppgifter rätt att avgiftsfritt av andra statliga myndigheter, kommunala myndigheter, Folkpensionsanstalten, arbetslöshetskassorna, Pensionsskyddscentralen, Arbetslöshetsförsäkringsfonden, dem som producerar offentlig arbetskrafts- och företagsservice och dem som anordnar arbetsprövning som anges i 4 kap. 5 § få de uppgifter som är nödvändiga för att genomföra den offentliga arbetskrafts- och företagsservicen. Dessutom finns det bestämmelser om arbets- och näringsbyråns rätt att få information i samband med uppdrag som gäller utkomstskydd för arbetslösa i 13 kap. 1 § 1 mom. i lagen om utkomstskydd för arbetslösa, bestämmelser om arbets- och näringsministeriets, NTM-centralens, UF-centrets och arbets- och näringsbyråns rätt att få information i samband med arbetsuppgifter som avses i 2, 5 och 6 kap. i lagen om främjande av integration i 87 § i den lagen och bestämmelser om arbets- och näringsbyråns, arbets- och näringsförvaltningens kundservicecenters, NTM-centralens och UF-centrets rätt att få information i samband med arbetskraftsutbildning i 109 § i lagen om yrkesutbildning. Enligt 21 § i lagen om alterneringsledighet ska lagen om utkomstskydd för arbetslösa tillämpas på arbets- och näringsbyråns rätt att få information. 

I 26 § 3 mom. i offentlighetslagen finns bestämmelser om utlämnande av sekretessbelagda uppgifter i samband med uppdrag. En myndighet får lämna ut uppgifter ur en sekretessbelagd handling för något annat uppdrag som myndigheten gett eller någon uppgift som i övrigt handhas för myndighetens räkning om detta är nödvändigt för att uppdraget eller uppgiften ska kunna skötas. Sekretessbelagda uppgifter kan dock lämnas ut för skötseln av dessa uppdrag eller uppgifter även när det uppenbarligen inte är ändamålsenligt att stryka de sekretessbelagda uppgifterna på grund av deras stora antal eller någon annan jämförbar orsak. Myndigheten ska på förhand försäkra sig om att uppgifterna kommer att hemlighållas och skyddas på behörigt sätt. 

5 a §.Ändring och upphävande av användarrättigheter. Paragrafen är ny. I 1 mom. föreskrivs det om när UF-centret ska upphäva beviljade rättigheter att använda arbets- och näringsbyråns kundinformationssystem. UF-centret ska upphäva användarrättigheterna, om det framgår att förutsättningarna enligt 5 § för beviljande av användarrättigheter inte längre uppfylls. En sådan situation kan t.ex. uppstå om en person som beviljats användarrättigheter övergår till andra arbetsuppgifter. UF-centret ska också upphäva användarrättigheterna om de har använts i strid med 4 a § 3 mom., den allmänna dataskyddsförordningen eller dataskyddslagen. UF-centret ska dessutom upphäva användarrättigheterna, om det är nödvändigt att upphäva användarrättigheterna av något annat vägande skäl som hänför sig till skyddet av personuppgifter eller kundinformationssystemets informationssäkerhet. Denna tredje grund är öppen och möjliggör ingripande mot missbruk. 

I 2 mom. föreskrivs det om UF-centrets skyldighet att ändra användarrättigheterna, om det framgår att den användarrättighet som sökts eller beviljats inte längre motsvarar det syfte för vilket rättigheten har sökts eller beviljats. Momentet ger UF-centret en möjlighet att ändra användarrättigheterna i stället för att upphäva dem eller ge ett avslagsbeslut på ansökan om användarrättigheter. UF-centret kan ändra användarrättigheternas innehåll, omfattning, behörigheter eller varaktighet. Med dessa avses motsvarande som i det föreslagna 4 a § 2 mom. 

I 3 mom. föreskrivs det om den skyldighet arbets- och näringsbyrån, arbets- och näringsförvaltningens kundservicecenter, NTM-centralen och arbets- och näringsministeriet har att utan dröjsmål informera UF-centret om grunder för upphävande eller ändring av användarrättigheter. Genom bestämmelsen vill man betona att de aktörer som har ansökt om användarrättigheter har ett ansvar för att hålla användarrättigheterna uppdaterade och att ingripa mot missbruk. Dessa har större möjligheter än UF-centret att upptäcka förändringar i behovet av användarrättigheter eller missbruk av användarrättigheterna. Bestämmelsen innebär dock ingen begränsning av UF-centrets befogenheter att på eget initiativ ändra eller upphäva användarrättigheterna, om de villkor som anges i 1 eller 2 mom. uppfylls. Eftersom det i propositionen inte föreslås någon övergångsbestämmelse om gällande användarrättigheter, ska UF-centret när den föreslagna lagen har trätt i kraft kontrollera om uppgifterna om användarrättigheter är uppdaterade och om de till sitt innehåll, sin omfattning, sina behörigheter och sin varaktighet är sådana att de uppfyller förutsättningarna i 13 kap. I praktiken innebär detta att varje myndighet eller annan utomstående aktör ska underrätta UF-centret om vem som har användarrättigheter och på vilka grunder. Om UF-centret konstaterar att det inte finns någon laglig grund för användarrättigheterna, ska användarrättigheterna upphävas. 

6 §.Samtycke till utlämnande av uppgifter till arbetsgivare. I 1 och 3 mom. föreslås språkliga ändringar. Genom ändringarna i 1 mom. betonas att den arbetssökandes samtycke ska vara genuint. Enligt den nuvarande ordalydelsen ska skriftligt samtycke begäras av en arbetssökande för att lämna ut uppgifter till arbetsgivare. I stället för förpliktande att begära samtycke är det väsentligt att föreskriva att uppgifter endast kan lämnas ut med den arbetssökandes skriftliga samtycke. 

Ordalydelsen i 3 mom. ’uttryckliga skriftliga samtycke’ ändras till en tydligare formulering ’specificerade skriftliga samtycke’, som också instrueras i tillämpningsanvisningarna för lagen om offentlig arbetskrafts- och företagsservice. Av denna ordalydelse framgår tydligare än för närvarande dess skillnad jämfört med det samtycke som avses i 1 mom. Utlämnande av uppgifter om hälsotillstånd till arbetsgivare förutsätter fortfarande att den arbetssökande ger separat samtycke varje gång uppgifter lämnas ut. Kravet på skriftligt samtycke innebär att ett muntligt samtycke inte är tillräckligt. Exempelvis ett elektroniskt givet samtycke är skriftligt på det sätt som förutsätts i bestämmelsen. 

Enligt artikel 6.3 i den allmänna dataskyddsförordningen kan den nationella lagstiftningen innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i förordningen. Dessa särskilda bestämmelser kan gälla bland annat de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål. Ett grundläggande krav för sådan lagstiftning är att den ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. 

7 §.Utlämnande av uppgifter ur kundinformationssystemet. Denna paragraf är ny. I paragrafen föreskrivs det om utlämnande av uppgifter ur kundinformationssystemet. 

Paragrafens 1 mom. motsvarar den första meningen i 13 kap. 1 § 2 mom. i den gällande lagen. Lagen om offentlighet i myndigheternas verksamhet (621/1999) ska tillämpas på utlämnande av uppgifter ur arbets- och näringsbyråns kundinformationssystem och på de i systemet införda uppgifternas offentlighet. 

Det föreslagna 2 mom. är nytt. Enligt 68 § i grundlagen svarar varje ministerium inom sitt ansvarsområde för beredningen av de ärenden som hör till statsrådet och för att förvaltningen fungerar som sig bör. Enligt 11 § i reglementet för statsrådet (262/2003) ska varje ministerium behandla till det egna ansvarsområdet hörande ärenden som gäller bl.a. förvaltning. Enligt 21 § i reglementet hör till arbets- och näringsministeriets ansvarsområde bl.a. sysselsättning, arbetslöshet och offentlig arbetskraftsservice samt integration av invandrare. Enligt 1 § i statsrådets förordning om arbets- och näringsministeriet (1024/2007) hör till arbets- och näringsministeriets uppgifter att sörja för bl.a. planeringen och genomförandet av den offentliga arbetskrafts- och företagsservicen, strategin för samt styrningen och verkställigheten av arbets- och näringspolitiken, integrationen av invandrare och verkställigheten av lagen om främjande av integration samt prognostiseringen av och forskningen kring arbets-, närings- och innovationspolitiken. I arbets- och näringsministeriets förordning om arbets- och näringsministeriets arbetsordning (1012/2017) finns detaljerade bestämmelser om ministeriets uppgifter. I egenskap av den högsta myndigheten inom ansvarsområdet avgör arbets- och näringsministeriet också klagomålsärenden. Vid ministeriet används arbets- och näringsbyråns kundinformationssystem i praktiken bl.a. för upprättande av arbetsförmedlingsstatistik, uppföljning av anslag, uppföljning och övervakning av ESF- och EFG-projekt, skötsel av registret över sociala företag, utredning av klagomålsärenden samt för databaser och statistik som används i analysarbete, prognostisering, planerings- och utvecklingsuppgifter samt för konsekvensbedömningar i samband med lagberedning. Eftersom arbets- och näringsministeriet enligt förslaget inte längre är personuppgiftsansvarig, ska det tryggas att ministeriet får uppgifter genom en bestämmelse om att UF-centret är skyldigt att ur kundinformationssystemet till ministeriet lämna sådana uppgifter som ministeriet behöver för att sköta de uppgifter som föreskrivs för ministeriet i lagar och förordningar. De uppgifter som behövs för upprättande av arbetsförmedlingsstatistik ska UF-centret enligt förslaget lämna på eget initiativ. 

Enligt lagen om närings-, trafik- och miljöcentralerna (897/2009) sköter NTM-centralerna uppgifter som föreskrivits för dem inom verksamhetsområden som gäller bl.a. fungerande arbetsmarknader, tillgången på arbetskraft och sysselsättningen, utbildning och kunnande samt invandring och integration. NTM-centralerna har också till uppgift att styra och övervaka arbets- och näringsbyråerna. Vid NTM-centralerna används arbets- och näringsbyråns kundinformationssystem till exempel för uppföljning av användningen av anslag, statistikföring och uppföljning av statistiken i analys- och prognostiseringsarbete, administration av ESF- och EFG-projekt, upphandling av offentlig arbetskrafts- och företagsservice och uppföljning av den, återkravsärenden, ärenden som gäller planering, genomförande och uppföljning av arbets- och näringstjänsterna, övervakning av arbets- och näringsbyråernas verksamhet samt avgörande av klagomålsärenden. I propositionen föreslås att UF-centret till NTM-centralen ska lämna de uppgifter ur kundinformationssystemet som NTM-centralen behöver för att sköta de uppgifter som föreskrivs för den i lagar och förordningar. 

Både till arbets- och näringsministeriet och till NTM-centralen ska UF-centret lämna uppgifterna avgiftsfritt. De uppgifter som behövs för upprättande av arbetsförmedlingsstatistik ska UF-centret lämna till arbets- och näringsministeriet på eget initiativ. 

I 3 mom. föreskrivs det om beviljande av tillstånd enligt 28 § i offentlighetslagen. För närvarande finns en motsvarande bestämmelse i 13 kap. 5 § 3 mom. I 28 § i offentlighetslagen föreskrivs det att en myndighet kan bevilja tillstånd att ta del av en sekretessbelagd handling för vetenskaplig forskning eller statistikföring eller för ett sådant planerings- eller utredningsarbete som en myndighet utför. Enligt gällande 5 § 3 mom. beslutar arbets- och näringsministeriet om beviljande av tillstånd enligt 28 § i offentlighetslagen att lämna ut sekretessbelagda uppgifter ur arbets- och näringsbyråns kundinformationssystem för statistikföring, vetenskaplig forskning eller myndigheters planerings- eller utredningsarbete. Eftersom ministeriet enligt den föreslagna paragrafen inte längre är personuppgiftsansvarig, föreslås det att beslutet om beviljande av tillstånd ska fattas av UF-centret. Detta innebär att arbets- och näringsbyråerna inte ska kunna bevilja i 28 § i offentlighetslagen avsedda tillstånd att ta del av uppgifter i kundinformationssystemet, liksom de inte heller kan för närvarande. I egenskap av personuppgiftsansvarig för arbetsförmedlingsstatistiken är det även i fortsättningen arbets- och näringsministeriet som beviljar tillstånd för forskning, om ansökan uttryckligen gäller arbetsförmedlingsstatistiken. 

I artikel 5.1 b i den allmänna dataskyddsförordningen anges principen om ändamålsbegränsning, enligt vilken personuppgifter inte senare får behandlas på ett sätt som är oförenligt med de ursprungliga ändamålen. I artikeln föreskrivs det även om ett undantag från denna regel. Enligt artikeln ska arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål inte anses vara oförenliga med de ursprungliga ändamålen. 

Det föreslagna 4 mom. är nytt. Enligt förslaget får UF-centret lämna uppgifter ur kundinformationssystemet till arbets- och näringsministeriet och NTM-centralerna via en teknisk anslutning. Detta motsvarar nuvarande praxis. För tydlighetens skull tas det in en bestämmelse om det i lagen. 

1.2  Lagen om sektorsövergripande samservice som främjar sysselsättningen

9 §. Kundregistret över sektorsövergripande samservice. Det föreslås att paragrafens rubrik ändras. I paragrafen ska det föreskrivas om den som för kundregistret över sektorsövergripande samservice, registrets användningsändamål och beviljande av användarrättigheter till registret. Dessutom ska det preciseras vilka uppgifter om arbetslösa som kan föras in i kundregistret. 

Enligt 9 § i den gällande lagen om sektorsövergripande samservice som främjar sysselsättningen är kundregistret över sektorsövergripande samservice ett delregister till det register över enskilda kunder inom arbets- och näringsbyråns kundinformationssystem som avses i 13 kap. 1 § i lagen om offentlig arbetskrafts- och företagsservice. I 13 kap. 1 § i lagen om offentlig arbetskrafts- och företagsservice beskrivs kundinformationssystemets struktur, men där nämns för närvarande inte kundregistret över sektorsövergripande samservice. I propositionen föreslås därför för tydlighetens skull att beskrivningen av arbets- och näringsbyråns kundinformationssystem i 13 kap. 1 § i lagen om offentlig arbetskrafts- och företagsservice preciseras med tillägget att det i kundinformationssystemet också ingår ett kundregister över sektorsövergripande samservice, som utgör ett delregister till registret över enskilda kunder. Förslaget förtydligar nuläget i fråga om vilka bestämmelser som ska tillämpas på kundregistret över sektorsövergripande samservice. Bestämmelserna om arbets- och näringsbyråns kundinformationssystem i 13 kap. i lagen om offentlig arbetskrafts- och företagsservice ska dock tillämpas på kundregistret över sektorsövergripande samservice enbart om något annat inte föreskrivs i lagen om sektorsövergripande samservice som främjar sysselsättningen. Förslaget motsvarar huvudsakligen nuvarande praxis, eftersom de bestämmelser om bland annat personuppgiftsansvariga och om registrering, radering och arkivering av uppgifter som finns i 13 kap. i lagen om offentlig arbetskrafts- och företagsservice även hittills har tillämpats på kundregistret över sektorsövergripande samservice, trots att det inte föreskrivs i lag. På kundregistret över sektorsövergripande samservice, TYPPI-registret, ska tillämpas de föreslagna bestämmelser i 13 kap. i lagen om offentlig arbetskrafts- och företagsservice som gäller personuppgiftsansvariga, radering och arkivering av uppgifter, den registrerades rätt att begränsa behandlingen av uppgifter, användarrättigheterna enligt 4 a, ändring och upphävande av användarrättigheter enligt 5 a § och utlämnande av uppgifter ur kundinformationssystemet. I lagen om sektorsövergripande samservice som främjar sysselsättningen föreskrivs det något annat om kundregistrets användningsändamål, registrering av uppgifter, de olika registrens informationsinnehåll och beviljande av användarrättigheter. 

Enligt 9 § 1 mom. i den gällande lagen om sektorsövergripande samservice som främjar sysselsättningen ska arbets- och näringsbyrån föra ett kundregister över sektorsövergripande samservice. I praktiken svarar dock UF-centret för att föra kundregistret över sektorsövergripande samservice, TYPPI-registret. 

Det föreslås att det i 1 mom. ska föreskrivas att UF-centret för att genomföra den sektorsövergripande samservicen för det kundregister över sektorsövergripande samservice som avses i 13 kap. 1 § i lagen om offentlig arbetskrafts- och företagsservice. Förslaget motsvarar rådande praxis. I propositionen föreslås det att 13 kap. 2 § i lagen om offentlig arbetskrafts- och företagsservice ändras så att UF-centret och arbets- och näringsbyråerna är gemensamt personuppgiftsansvariga för arbets- och näringsbyråns kundinformationssystem. Eftersom kundregistret över sektorsövergripande samservice, TYPPI-registret, är ett delregister till registret över enskilda kunder inom arbets- och näringsbyråns kundinformationssystem, är UF-centret och arbets- och näringsbyrån gemensamt personuppgiftsansvariga även för TYPPI-registret. I momentet ska det dessutom föreskrivas om användningsändamålet för kundregistret över sektorsövergripande samservice. Kundregistret ska användas för skötseln av de uppgifter som arbets- och näringsbyrån, kommunen och Folkpensionsanstalten har enligt denna lag. 

I 2 mom. ska det på motsvarande sätt som för närvarande föreskrivas om informationsinnehållet i kundregistret över sektorsövergripande samservice. I 2 mom. 1—7 punkten i den gällande paragrafen anges vilka uppgifter som registreras om arbetslösa. Det föreslås att det inledande stycket i momentet preciseras så att den nuvarande formuleringen ”registreras” ändras till ”kan föras in”. Punkterna motsvarar i övrigt nuläget, men i 1 punkten föreslås en precisering och i 2 och 5 punkten språkliga ändringar. I den gällande 2 mom. 1 punkten föreskrivs det att identifikationsuppgifter och kontaktinformation ska föras in i kundregistret. Enligt motiveringen till bestämmelsen avses med identifikationsuppgifter personens namn och personbeteckning och med kontaktinformation adress och andra kontaktuppgifter. Det föreslås att 2 mom. 1 punkten preciseras så att den arbetslösas namn, personbeteckning och kontaktuppgifter kan föras in i kundregistret. Uppgifterna behövs för att man ska kunna ordna tjänster för personen och hålla kontakt med honom eller henne. Med stöd av 29 § i dataskyddslagen är behandling av personbeteckningar tillåten bland annat när behandlingen regleras i lag. Den föreslagna 1 punkten uppfyller detta krav.  

I 2 mom. 5 punkten i den gällande lagen föreskrivs det om registrering av uppgifter om hälsotillstånd och arbets- och funktionsförmåga. I kundregistret registreras sådana uppgifter om hälsotillståndet samt arbets- och funktionsförmågan som inverkar på sysselsättningen för personen och som är nödvändiga för att tillhandahålla service för honom eller henne. Trots att det inte föreslås andra än språkliga ändringar i 5 punkten, är det på grund av den ändrade lagstiftningen om behandling av personuppgifter skäl att motivera vad behovet av att föra in uppgifter om personens hälsotillstånd i kundinformationssystemet grundar sig på. Exempelvis med tanke på arbetsförmedling kan det behöva göras en anteckning om begränsningar som hänför sig till kundens hälsotillstånd och som hindrar utförande av vissa slag av arbetsuppgifter. Utgångspunkten är att de uppgifter om hälsotillstånd och arbetsförmåga som förs in i registret ska grunda sig på en bedömning av en yrkesutbildad person inom hälso- och sjukvården. Information om arbetsförmågan kan också grunda sig på exempelvis feedback från en producent av rehabiliteringstjänster. 

I artikel 9.1 i den allmänna dataskyddsförordningen förbjuds behandling av särskilda kategorier av personuppgifter. Sådana uppgifter är bl.a. uppgifter om hälsa samt ras eller etniskt ursprung. Undantag från behandlingsförbudet anges i artikel 9.2. 

Enligt artikel 9.2 b får särskilda kategorier av personuppgifter behandlas bl.a. om behandlingen är nödvändig för att den personuppgiftsansvarige ska kunna fullgöra sina skyldigheter inom arbetsrätten och på områdena social trygghet och socialt skydd, i den omfattning detta är tillåtet enligt medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen fastställs. Det nationella handlingsutrymme som denna punkt ger har utnyttjats i 6 § 1 mom. 3 och 5 punkten i dataskyddslagen. 

Enligt artikel 9.2 h i den allmänna dataskyddsförordningen är behandling av särskilda kategorier av personuppgifter också tillåten bl.a. om behandlingen är nödvändig av skäl som hör samman med förebyggande hälso- och sjukvård, bedömningen av en arbetstagares arbetskapacitet, medicinska diagnoser, tillhandahållande av hälso- och sjukvård, behandling, social omsorg eller förvaltning av hälso- och sjukvårdstjänster och social omsorg och av deras system, på grundval av medlemsstaternas nationella rätt eller enligt avtal med yrkesverksamma på hälsoområdet och under förutsättning att de villkor och skyddsåtgärder som avses i punkt 3 är uppfyllda. Enligt artikel 9.3 i förordningen får personuppgifter behandlas bl.a. om uppgifterna behandlas av eller under ansvar av en yrkesutövare som omfattas av tystnadsplikt enligt medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ eller av en annan person som också omfattas av tystnadsplikt enligt medlemsstaternas nationella rätt eller bestämmelser som fastställs av nationella behöriga organ. 

I fråga om den föreslagna 5 punkten grundar sig behandlingen av uppgifter på artikel 9.2 b och h. Det är tvetydigt vilken av dessa grunder för behandling som kommer i fråga. De föreslagna bestämmelserna anses dock uppfylla de krav som ställs på bägge grunderna för behandling. Det föreskrivs om behandlingen i lag. I lagstiftningen finns också bestämmelser om skyddsåtgärder som säkerställer den registrerades grundläggande rättigheter och intressen, i överensstämmelse med kravet i artikel 9.2 b. Bestämmelser som betraktas som skyddsåtgärder finns förutom i dataskyddslagen, informationshanteringslagen, strafflagen, offentlighetslagen och andra allmänna förvaltningslagar även i den lag om offentlig arbetskrafts- och företagsservice som föreslås i denna proposition. I den föreslagna lagen kan som skyddsåtgärder betraktas åtminstone bestämmelserna om beviljande och upphävande av användarrättigheter och om lagringstider. På den person som behandlar uppgifter ska offentlighetslagen tillämpas, vilket betyder att personen omfattas av en lagstadgad sekretess, på det sätt som krävs i artikel 9.2 h i dataskyddsförordningen. 

Paragrafens 3 mom. är nytt. I den gällande 9 § föreskrivs det inte om vilken instans som kan föra in uppgifter i kundregistret över sektorsövergripande samservice. Enligt förslaget ska arbets- och näringsbyrån, kommunen och Folkpensionsanstalten föra in kunduppgifter om arbetslösa i registret. Bestämmelsen tas in i paragrafen för tydlighetens skull. Den föreslagna ordalydelsen innebär att arbets- och näringsbyrån, kommunen och Folkpensionsanstalten är skyldiga att föra in alla uppgifter om kunder inom den sektorsövergripande samservicen i registret över sektorsövergripande samservice. I artikel 5.1 d i den allmänna dataskyddsförordningen föreskrivs att personuppgifter ska vara korrekta och om nödvändigt uppdaterade och att alla rimliga åtgärder måste vidtas för att säkerställa att personuppgifter som är felaktiga i förhållande till de ändamål för vilka de behandlas raderas eller rättas utan dröjsmål. Enligt artikel 5.2 svarar den personuppgiftsansvarige för att punkt 1 efterlevs. 

I det föreslagna 3 mom. tas det dessutom in en bestämmelse om från och med vilken tidpunkt uppgifter om en arbetslös får föras in i kundregistret över sektorsövergripande samservice. Uppgifterna om den arbetslösa hämtas in i TYPPI-registret ur arbets- och näringsbyråns kundinformationssystem. I praktiken har det uppstått ovisshet om i vilket skede uppgifter om arbetslösa får överföras till TYPPI-registret. Det finns ett befogat behov av att ta in bestämmelsen för att förtydliga den rådande situationen. Enligt 2 § i lagen om sektorsövergripande samservice som främjar sysselsättningen ska arbets- och näringsbyrån, kommunen eller Folkpensionsanstalten hänvisa en arbetslös som uppfyller de förutsättningar som det föreskrivs om i lagen och som har behov av sektorsövergripande samservice till sektorsövergripande samservice. I förarbetena till lagen (RP 183/2014 rd) konstateras att den hänvisande parten, dvs. arbets- och näringsbyrån, kommunen eller Folkpensionsanstalten, ska utarbeta en kortfattad skriftlig motivering som visar på vilka omständigheter den bygger sin bedömning att personen behöver sektorsövergripande samservice. Av förarbetena till lagen framgår inte i vilket skede de uppgifter som finns om den arbetslösa i arbets- och näringsbyråns kundinformationssystem kan överlåtas till den sektorsövergripande samservicen. Det är dock uppenbart att avsikten inte har varit att göra det möjligt att överföra uppgifter om den arbetslösa från arbets- och näringsbyråns kundinformationssystem till TYPPI-registret redan när arbets- och näringsbyrån som hänvisande part bedömer att den arbetslösa behöver sektorsövergripande samservice, eftersom det inte har föreskrivits om utlämnande av uppgifter. Den hänvisande partens skriftliga motivering, som nämns i motiveringen till lagen, skulle också vara onödig, om uppgifterna om den arbetslösa i vilket fall som helst fanns tillgängliga för den sektorsövergripande samservicen. I propositionen föreslås det att uppgifter om arbetslösa får registreras i TYPPI-registret efter att den sektorsövergripande samservicen har inletts. Den sektorsövergripande samservicen ska betraktas som inledd när arbets- och näringsbyrån, kommunen och Folkpensionsanstalten har beslutat att den arbetslösa har behov av sektorsövergripande samservice och den arbetslösas kundrelation till den sektorsövergripande samservicen har inletts med en utredningsperiod. I praktiken innebär detta att uppgifterna om den arbetslösa får hämtas ur arbets- och näringsbyråns kundinformationssystem när utredningsperioden inleds. 

I 4 mom. i den föreslagna paragrafen föreskrivs det att UF-centret kan bevilja användarrättigheter till kundregistret över sektorsövergripande samservice på ansökan av arbets- och näringsbyrån, kommunen eller Folkpensionsanstalten. I ansökan ska lämnas de uppgifter som behövs för att användarrättigheter ska beviljas och för att bestämma användarrättigheternas giltighetstid. Användarrättigheter kan beviljas en tjänsteman som är anställd hos arbets- och näringsbyrån, kommunen eller Folkpensionsanstalten och som sköter uppgifter som avses i lagen om sektorsövergripande samservice som främjar sysselsättningen.