Danmarks Statistiks behandling af personoplysninger til statistikformål Baggrund Finn Spieker, kontorchef, cand.polit., Danmarks Statistik Med etableringen af et centralt personregistersystem (CPR) i 1968 skabtes grundlaget for den udbredte anvendelse af elektroniske registre, som vi kender i dag. Et meget afgørende led i dette system var introduktionen af personnummeret knyttet til den enkelte person. Dette nummer var en væsentlig forudsætning for administrationen af kildeskattesystemet, som indførtes med virkning fra 1970, og det er siden blevet anvendt generelt i stort set alle administrative registre indeholdende personoplysninger. Denne udvikling har naturligvis også haft konsekvenser for indsamling af oplysninger til og fremstilling af statistik. De tidligere anvendte manuelle indberetninger er blevet erstattet af udtræk fra administrative registre, og indsamling af oplysninger ved direkte henvendelse til borgerne er begrænset. I forbindelse med folke- og boligtællinger udsendte man tidligere spørgeskemaer til alle husstande med 5-10 års mellemrum. Selve indsamlingsproceduren og den efterfølgende behandling af materialet med kodning, konvertering og fejlsøgning var meget ressourcekrævende over en længere periode. Den sidste traditionelle folke- og boligtælling blev gennemført i 1970. Siden er der på registerbasis lavet folketællingslignende opgørelser for 1976 og en egentlig folke- og boligtælling for 1981. Herefter er der ikke fremstillet en samlet præsentation af en sådan tælling, men folke- og boligtællingens forskellige elementer indgår i Danmarks Statistiks løbende statistikproduktion, så i realiteten gennemføres årlige tællinger, men de præsenteres som familie-, beskæftigelses-, uddannelses- og boligstatistik. I det følgende beskrives den statistiske udnyttelse af de muligheder, som oprettelsen af edb-baserede administrative systemer har skabt, og som betyder, at mange oplysninger indsamlet af forskellige offentlige myndigheder nu umiddelbart er til rådighed for statistiske formål i en let tilgængelig form. Endvidere behandles de diskretionspolitiske aspekter, som er forbundet med at forvalte store mængder af personoplysninger på en måde, som sikrer, at oplysningerne ikke bliver misbrugt. Datagrundlaget for statistikfremstilling Lov om Danmarks Statistik pålægger offentlige myndigheder at stille oplysninger til rådighed for Danmarks Statistik, således at borgerne ikke skal afgive oplysninger, som en anden offentlig myndighed tidligere har indsamlet. Det betyder, at grundlaget for personstatistikken i meget stor udstrækning er baseret på udtræk af oplysninger fra administrative registre, hvilket foruden en væsentlig begrænsning i respondentbyrden også indebærer muligheder for en rationel udnyttelse af den moderne informationsteknologi samt et højt datakvalitetsniveau. Kun inden for områder, hvor de foreliggende oplysninger er utilstrækkelige, gennemføres traditionel data- 29
indsamling med anvendelse af interviews (ved besøg eller pr. telefon) eller postspørgeskemaer. Datakilderne er en række statslige og kommunale registre. De statslige kilder omfatter CPR, Toldog Skattestyrelsens registre vedrørende person- og ejendomsbeskatning, Det Centrale Register for Arbejdsmarkedsstatistik (CRAM), Bygnings- og Boligregistret (BBR), Landspatientregistret, Det Centrale Erhvervsregister, Centralregistret for Motorkøretøjer samt Det Centrale Kriminalregister. Fra de fælleskommunale registersystemer anvendes en række oplysninger vedrørende sociale ydelser. Hertil kommer uddannelsesinstitutionernes indberetning om igangværende og afsluttede uddannelser samt arbejdsgiverindberettede oplysninger om lønforhold. Sidstnævnte indsamles også i henhold til Lov om Danmarks Statistik. De væsentligste områder, hvor der foretages stikprøvebaseret dataindsamling ved henvendelse til de udvalgte personer, er Arbejdskraftundersøgelserne og Forbrugsundersøgelserne. Deltagelsen i disse undersøgelser er frivillig. Statistiksystemet Oplysningerne fra de administrative registre leveres typisk i form af individdata identificeret ved personnummer. I Danmarks Statistik organiseres disse data i en række emneafgrænsede registre (såkaldte statistikregistre), hvor den enkelte record stadig er identificeret ved personnummer, således at registrene samlet udgør det sammenhængende statistiksystem, som har været og fortsat er model for andre landes udvikling af statistikproduktionen. I enkelte tilfælde er nøglen til sammenkædning af oplysninger adressekoder eller arbejdsstedsidentifikationer. Denne sammenhæng betyder, at data fra forskellige registre eller fra forskellige års versioner af samme register kan samkøres umiddelbart. De traditionelt indsamlede data udgør selvstændige statistikregistre og indgår i systemet på linje med de registerbaserede data. De nemt genkendelige navne og adresser anvendes kun i forbindelse med dataindsamling. I den periode opbevares de adskilt fra de egentlige statistikdata, og de slettes, når indsamlingen er afsluttet. Der er fastsat forskrifter for hvert enkelt personstatistikregister, som bl.a. indeholder bestemmelser om formål, kilder, indhold og anvendelse samt foranstaltninger til sikring mod misbug af oplysningerne. Formålet med det enkelte register vil typisk være emneafgrænset personstatistik. De grundlæggende kilder er som altovervejende hovedregel administrative registre. Hertil kommer de få spørgeskemaundersøgelser. Ved dannelsen eller opdatering af de enkelte statistikregistre bliver der også trukket på oplysninger fra andre statistikregistre, dels for at tilføre baggrundsoplysninger til hovedemnet, og dels for at imødegå det problem, at den administrative og den statistiske begrebsverden ikke altid er forenelig. En vis bearbejdelse af oplysningerne kan derfor være påkrævet for at opnå de for den statistiske anvendelse relevante definitioner af begreberne. De administrative oplysninger kan enkeltvis foreligge i en form, som er utilstrækkelig i den statistiske sammenhæng, men ved at se flere oplysninger i sammenhæng kan man så at sige få lagt det puslespil, som giver den for statistikken nødvendige information. Ved anvendelse af personnummeret sammenkædes administrative oplysninger om den enkelte person fra forskellige kilder og på det grundlag dannes nye variable og de administrative data tilpasses til de statistiske begrebsdefinitioner. Dataindholdet er afgrænset til de oplysninger, som er nødvendige for at udarbejde den statistik, der er formålet med registret. Anvendelsen af et statistikregister skal være i overensstemmelse med registrets formål, idet der dog åbnes adgang til at udtrække oplysninger til anvendelse inden for andre statistikområder eller til tværgående opgaver med samtidigt træk på flere registre. Til sikring af de fortrolige oplysninger i registrene mod misbrug er der gennemført en række sikkerhedsforanstaltninger i Danmarks Statistik. De omfatter såvel den fysiske som den logiske adgang til data. Opbevaringen af registrene sker i særligt sikrede lokaler med adgangskontrol, hvortil kun særligt udpegede medarbejdere har adgang. Den logiske adgang til de fortrolige filer administreres ved autorisation, og højst 4 medarbejdere har adgang til det enkelte register. En fil dannet ved samkøring af flere registre må ikke indeholde identifikationer. Det betyder, at personnumre skal slettes, når det er godtgjort, at samkøringen er forløbet tilfredsstillende, altså inden for en meget snæver tidsfrist efter, at samkøringen har fundet sted. Fortsat opbevaring af personnumrene er ensbetydende med oprettelsen af et nyt register, 30
hvilket kun kan ske efter en forudgående gennemførelse godkendelsesprocedure med bl.a. fastsættelse af registerforskrifter. Anvendelsen af statistikregistrene Statistikregistrene anvendes enkeltvis eller i kombination efter udtræk og samkøring af data fra flere registre. Resultaterne af registrenes anvendelse fremgår blandt andet af de mange statistikker, som offentliggøres i Danmarks Statistiks publikationer og i de elektroniske databanker. Danmarks Statistiks virksomhed omfatter imidlertid i stigende grad specialopgaver, hvor det drejer sig om at dække mere individuelle og specifikke databehov til belysning af konkrete problemstillinger. De kan være afledt af forespørgsler, udvalgsarbejde, planlægningsopgaver eller forskningsprojekter. Der kan i den forbindelse blive tale om at supplere datagrundlaget med oplysninger indsamlet specielt til en konkret opgave af opgavestilleren eller af Danmarks Statistik efter anmodning fra denne. Med det foreliggende datagrundlag er mulighederne for meget detaljerede statistiske opgørelser omfattende, men meget af det vil umiddelbart kun være af interesse for en begrænset kreds af brugere, hvorfor det statistiske registersystem foruden at være grundlag for den publicerede statistik også er et beredskab for imødekommelse af de særlige behov for et supplement til den ordinære statistik. Det kan dreje sig om specialtabeller med alternative intervaller for anvendte variable og/eller andre datakombinationer i den enkelte tabel. Når det gælder forskningsformål eller andre specialanalyser, kan der, som et led i behandlingen, blive dannet anonymiserede filer indeholdende individualoplysninger, såkaldte modeldatasæt. Det sker for at give brugerne mulighed for at anvende analysemetoder, hvor det kræves, at datagrundlaget foreligger på enhedsniveau. Sådanne modeldatasæt kan stilles til rådighed særlige vilkår. Det endelige resultat af en statistisk databehandling skal altid foreligge i aggregeret form som tabeller, grafer eller andre summariske statistiske opgørelser. Ved fastlæggelsen af tabellernes indhold lægges der afgørende vægt på, at detaljeringsgraden holdes på et niveau, som sikrer, at der ikke kan udledes information om enkeltpersoner. Det gælder den publicerede statistik såvel som tabeller fremstillet til særlige formål. Enhederne i et modeldatasæt kan ikke umiddelbart identificeres, men der kan være en lille risiko for, at kombinationen af oplysninger i enkelte tilfælde kan være tilstrækkeligt speciel til, at en person kan genkendes, og måske at ny viden om den pågældende kan udledes. Denne risiko imødegås ved særlige foranstaltninger omkring adgangen til og brugen af oplysningerne i et modeldatasæt, som omtales nærmere nedenfor. En fleksibel og effektiv imødekommelse af de mange meget varierende behov for statistisk information til belysning af forskellige sider af det danske samfund nødvendiggør indsamling og opbevaring af mange data i en form, som muliggør tilpasninger til de konkrete opgaver. Registersystemet kan måske umiddelbart opfattes som en trussel mod privatlivets fred. De mange data om enkeltpersoner identificeret ved personnummer åbner mulighed for at samkøre udvalgte oplysninger om givne personer med henblik på at opnå ny viden om disse og måske udnytte denne viden til skade for de pågældende. Der er imidlertid megen opmærksomhed omkring sikringen mod misbrug af registrerede personoplysninger, og det gælder i særlig grad oplysninger indsamlet og opbevaret med henblik på fremstilling af statistik. Danmarks Statistiks personregistre er omfattet af Lov om offentlige myndigheders registre, og efter denne lov må oplysninger indsamlet til statistik kun anvendes til statistiske formål. Anden anvendelse vil være ulovlig. Der kan således ikke videregives oplysninger til anvendelse som grundlag for afgørelser vedrørende enkeltpersoner. Det er et almindeligt anerkendt princip, og det indgår da også i EU-direktivet vedrørende beskyttelse af personoplysninger, som er grundlag for det igangværende arbejde med revision af registerlovgivningen. Denne væsentlige begrænsning i adgangen til at anvende statistikdata er baggrunden for, at registrerede personer ikke har krav på at få oplyst, hvilke oplysninger der er opbevaret om dem i statistikregistrene. Oplysningerne kan ikke bruges i forbindelse med administrative afgørelser og på den måde have konsekvenser for den enkelte person, hvorfor der ikke er behov for en sådan egenindsigt. 31
Danmarks Statistiks diskretionspolitik Behovet for statistisk information er som nævnt i stigende grad rettet mod mere detaljerede oprørelser og i nogle tilfælde ligefrem individualdata. Danmarks Statistik har en forpligtelse til at medvirke til opfyldelsen af rimelige og relevante behov for statistik. Samtidig er det afgørende nødvendigt, at de persondata, som Danmarks Statistik har indsamlet, opbevares og behandles på en måde, som sikrer, at misbrug ikke finder sted. Med det voksende behov for detaljerede oplysninger gælder det for Danmarks Statistik om at finde en passende balance mellem tilfredsstillelsen af brugerbehov og sikringen af persondata. Denne balance kommer til udtryk i Danmarks Statistiks dikretionspolitik, som fastsætter de begrænsninger med hensyn til indhold og form, der gælder for Danmarks Statistiks medvirken ved løsningen af statistiske opgaver. Statistikkens emne og formål Der stilles umiddelbart tre betingelser for, at Danmarks Statistik kan stille materiale til rådighed for statistiske undersøgelser: Undersøgelsen skal være lovlig, hvilket vil sige, at data, som opgavestilleren selv måtte indberette, skal være registreret i overensstemmelse med registerlovgivningen bestemmelser. Undersøgelsen skal være mulig. Det betyder, at de for opgaven nødvendige oplysninger skal foreligge i en kvalitet og et omfang, som sikrer, at resultaterne ikke bliver vildledende. Der skal være sikkerhed for anonymitet. Hvis en undersøgelse er rettet mod en meget lille gruppe, karakteriseret ved meget specielle kendetegn, kan det blive svært at garantere de enkelte personers anonymitet, og opgaven vil da blive afvist. Mange statistiske undersøgelser beskæftiger sig med emner, som kan skabe modvilje i visse grupper i befolkningen. Særlige interesser kan være truet, hvis resultaterne af en undersøgelse argumenterer for fx afskaffelse af visse rettigheder. Resultaterne kan også være ubehagelige på den måde, at de påviser en koncentration af uheldige egenskaber i bestemte befolkningsgrupper, som efter den almindelige opfattelse bør beskyttes mod kritik. Undersøgelser af den karakter kan skabe en vis modvilje og give anledning til kritik af Danmarks Statistik, men trods dette afviser man ikke undersøgelser, blot fordi de kan føre til ubekvemme resultater. Til gengæld forbeholder Danmarks Statistik sig ret til at kritisere undersøgelsernes konklusioner. Tabeller Ved udarbejdelsen af tabeller lægges der vægt på, at specifikationsgrad, antal observationer og eventuel stikprøvestørrelse er afstemt på en sådan måde, at der ikke i tabellen udleveres oplysninger om enkeltpersoner. Det afgørende er, om man kan genkende enkeltpersoner og samtidig opnå ny viden om de pågældende, hvilket vil sige, at tabellen skal indeholde mere information end det, som er nødvendigt for genkendelsen. Der er således grund til at være opmærksom på enkeltobservationer i en tabel, men de fører ikke nødvendigvis til afvisning. Specielt når det gælder tabeller med geografiske områdefordeling, er der skærpede betingelser. Her vil som et overordnet kendetegn have et bopælsområde, fx kommune, hvilket især for mindre områder vil medføre en lavere specifikationsgrad i tabellerne. Modeldata Hovedreglen er, at oplysninger videregives fra Danmarks Statistik i form af tabeller, som principielt kunne tænkes offentliggjort uden reel risiko for spredning af oplysninger om enkeltpersoner. Undtagelser fra denne regel kan dog gøres i særlige tilfælde, hvor individoplysninger er påkrævet. Her kan modeldata (anonymiserede individfiler) stilles til rådighed ved levering hjem til brugeren, eller der kan gives adgang til dem på edb-anlæg i Danmarks Statistik. Det sidste kan i visse tilfælde ske fra modtagerens egen arbejdsstation via en fast opkoblet linje, ellers kræves det, at det sker fra en arbejdsstation i Danmarks Statistik under opsyn, den såkaldte forskerplaceringsordning. Der gælder en række betingelser for adgangen til modeldata: Modeldata stilles som hovedregel kun til rådighed under forskerplaceringsordningen. De kan dog leveres hjem til brugeren, hvis specifikationsgraden er lav, eller der er tale om en stikprøve med en meget lav udvalgs andel. Hvis brugeren selv leverer data, som samkøres med data fra Danmarks Statistiks registre, så gives der kun adgang under forskerplaceringsordningen. 32
Et modeldatasæt må kun indeholde de oplysninger, som er nødvendige for gennemførelsen af den konkrete opgave. I et modeldatasæt må der ikke forekomme data med høj identifikationskraft, som fx adresse. Der skal indgås en aftale om betingelserne for levering af modeldata. I denne aftale fastsættes begrænsningen af brugen, hvem der må have adgang, evt. hvorfra og på hvilke nærmere vilkår samt formålet med anvendelsen. Endvidere anføres den bearbejdelsesgrad, som er nødvendig, før resultaterne videregives, eller det aftales, at Danmarks Statistik får manuskripter til gennemsyn før videregivelse eller offentliggørelse. Videregivelse af ubearbejdede oplysninger må ikke finde sted. Endelig er det en betingelse, at Danmarks Statistik har ret til efterkritik af et gennemført projekt og derfor også har ret til at genbruge modeldatasættet, hvis det findes påkrævet. Lovmodellens datagrundlag er modeldata, som efter anmodning fra Lovmodelrådet stilles til rådighed for konsekvensberegninger i forbindelse med lovændringer og lignende. Oplysningerne opbevares i Danmarks Statistik, og autoriserede lovmodelbrugere får adgang til dem fra arbejdsstationer hos sig selv over fast opkoblede linjer. De enkelte modeldatasæt er stikprøvebaseret, og deres anvendelse er begrænset til egentligt lovmodelarbejde. Der leveres normalt ikke forløbsdata om enkeltindivider. Kun i særlige tilfælde, hvor lovforberedende arbejde gør det nødvendigt, vil sådanne oplysninger blive leveret. På det seneste er der oprettet et nyt register, Forebyggelsesregistret, med henblik på løsningen af specialopgaver inden for sundhedsområdet. Registret er resultatet af et samarbejde mellem Sundhedsministeriet, Sundhedsstyrelsen og Danmarks Statistik, og det indeholder en række oplysninger fra Sundhedsstyrelsens registre og fra Danmarks Statistiks registre for en periode, der for visse oplysningers vedkommende strækker sig over 20 år. Registret opbevares og vedligeholdes i Danmarks Statistik, og ansvaret er delt mellem de to dataleverandører, således at de hver er ansvarlig for deres del af registret. Kun autoriserede personer i Danmarks Statistik har adgang til selve registret, men der fremstilles modeldatasæt, som stilles til rådighed for Sundhedsministeriet og Sundhedsstyrelsen, så man fra egne arbejdsstationer via en fast opkoblet linje til en edb-maskine i Danmarks Statistik kan gennemføre analyser på grundlag af disse modeldata. Der er fastsat vilkår for denne adgang, som sikrer, at oplysningerne bruges af særligt autoriserede personer i de to institutioner til de aftalte formål. Forebyggelsesregistret kan også være grundlag for andre brugeres projekter. Der kan dannes tabeller eller modeldatasæt på samme måde, som det sker på andre områder. Anvendelse af oplysninger fra Sundhedsstyrelsen kræver dog en forudgående aftale med styrelsen. Der vil kun være adgang til modeldata fra arbejdsstationer i Danmarks Statistik (forskerplaceringsordningen). Videregivelse af personoplysninger Registerloven åbner mulighed for i henhold til særlig lovhjemmel eller efter Registertilsynets godkendelse at videregive statistiske personoplysninger til andre statistiske eller videnskabelige formål, men for Danmarks Statistik er det meget afgørende, at der ikke opstår tvivl om oplysningernes anvendelse. Derfor fører man en meget restriktiv politik på det område, og videregivelse er kun forekommet i enkelte tilfælde, hvor det statistiske formål åbenbart tilsagde en videregivelse, og at det kunne ske uden nogen sikkerhedsmæssig risiko. Videregivelse har fundet sted i forbindelse med udtrækning af stikprøver til Socialforskningsinstituttets undersøgelser på grundlag af Befolkningsstatistikregistret. Det drejer sig simpelt tilfældigt udvalgte personnumre, eventuelt afgrænset efter køn, alder og bopæl, uden yderligere information. Navne og adresser indhentes efterfølgende hos CPR. I tilfælde, hvor der er behov for en ikke-proportional stratifikation, kan data fra andre statistikregistre benyttes, men vægtene, som viser, hvilket stratum den enkelte person indgår i, kan ikke videregives. I sådanne tilfælde må databehandlingen foregå i Danmarks Statistik. Endvidere er oplysninger om den grønlandske befolkning videregivet fra Befolkningsstatistikregistret til Grønlands Statistik under Det Grønlandske Hjemmestyre. Konklusion Den informationsteknologiske udvikling har medført, at store mængder af oplysninger er til rådighed for statistiske og videnskabelige formål. Tidligere var man henvist til at indsamle de nødvendige oplysninger ved henvendelse til de berørte personer, 33
hvilket kunne være en meget tung og omkostningskrævende proces. Man var derfor i udstrakt grad henvist til at anvende stikprøver af begrænset størrelse og måske tilmed være lidt restriktiv med hensyn til spørgeskemaernes omfang. Der er stadig områder, hvor registergrundlaget er utilstrækkeligt, så undersøgelser må gennemføres på traditionel vis eller ved anvendelse af en kombinerede spørgeskemadata og registerdata, men registrene har åbnet nye og store muligheder for statistik og forskning. Danmarks Statistik skal søge at imødekomme de meget forskelligartede behov for statistisk information. Det stiller krav til statistiksystemets indholdsmæssige dækning med hensyn til emner og over tid samt fleksibilitet i forhold til mulige datakombinationer og detaljeringsgrad. Statistiksystemet er indrettet på at imødekomme disse krav, men samtidig er det meget afgørende, at der er sikkerhed for, at oplysningerne ikke kan blive misbrugt. Der er truffet en række foranstaltninger til sikring af data i forbindelse med den almindelige drift i Danmarks Statistik. Spørgsmålet om datasikkerhed får derfor især betydning, når det drejer sig om eksterne brugeres adgang til data. Visse brugere, især forskere, har et forståeligt behov for at få individoplysninger til rådighed. De ønsker at anvende oplysningerne til seriøse projekter og har absolut ingen skumle hensigter. For disse brugere kan det være vanskeligt at forstå, hvorfor anonymiserede individdata ikke kan udleveres til brug på deres egen computer. Det ville jo være det nemmeste for alle parter. Anonymiserede datasæt indeholder ikke formelle identifikationer, hvorfor direkte identifikation af enkeltpersoner er udelukket. Der vil imidlertid fortsat bestå en lille risiko for indirekte identifikation, idet specielle værdier af visse variable og især kombinationer af disse kan føre til genkendelse af den pågældende person. Det betyder, at disse datasæt betragtes som fortrolige, og at de derfor skal være underlagt sikkerhedsbestemmelser, som sikrer data på et niveau svarende til det, som gælder i Danmarks Statistik. Hertil kommer, at Danmarks Statistik løbende skal føre kontrol med, at disse sikkerhedsbestemmelser bliver overholdt. Endelig skal sikkerhedsforanstaltningerne være overbevisende, så der ikke i befolkningen opstår usikkerhed om, hvordan oplysninger afgivet til Danmarks Statistik bliver anvendt, hvilket kunne skabe problemer i forbindelse med indsamling af oplysninger til statistik. Ved en spredning af oplysninger til forskellige brugere kan disse betingelser ikke opfyldes. Regler for behandling af personoplysninger til statistikformål er nødvendige af databeskyttelseshensyn, men de er også medvirkende til at skabe den tillid i befolkningen, som er en forudsætning for, at korrekte oplysninger kan indsamles til statistik. Ved fastsættelsen af disse regler er det vigtigt at vurdere risiko for misbrug af data i forhold til de begrænsninger eller belastninger, som reglerne medføre i forbindelse med behandlingen af data. Man bør ikke af overdrevne sikkerhedsmæssige hensyn afskære forskere og andre fra at gennemføre seriøse statistiske eller videnskabelige projekter. Der skal være en rimelig balance mellem de to hensyn, og det er opnået med de regler, som fremgår af Danmarks Statistiks diskretionspolitik. Kravet om, at adgang til modeldata skal ske fra en arbejdsstation i Danmarks Statistik, kan være svært at imødekomme for brugere, der bor i en vis afstand fra Danmarks Statistik. For delvist at afhjælpe dette har Danmarks Statistik oprettet en filial i Århus, hvorfra man kan få adgang til modeldatasæt. Endvidere kan man benytte den elektroniske postkasse, hvor brugeren selv udformer sit edb-program og sender det til en pc i Danmarks Statistik, hvorefter det afvikles af en DS-medarbejder, som efter kontrol af resultatet sender dette tilbage til brugeren. Under denne ordning er der altså ikke tale om, at brugeren har direkte adgang til data. Litteratur Danmarks Statistik: Personstatistik i Danmark, Et registerbaseret statistiksystem. København 1994 Danmarks Statistik: Introduktion til Danmarks Statistiks registre. København 1996. 34