prop · GM0372 · 1999-01-01 00:00:00 — I 10 § uppställs som en huvudregel att personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen. I vissa andra fall får dock behandling som är nödvändig för vissa ändamål ske. Dessa ändamål räknas upp i paragrafen. I 12 § finns bestämmelser om återkal- lelse av samtycke. När det gäller s.k. känsliga personuppgifter enligt 13 § gäller ett principiellt förbud för att behandla sådana. Undantag från för- budet görs dock bl.a. om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgif- terna. I de följande paragraferna behandlas ett antal andra fall där käns- liga personuppgifter får behandlas, även om något samtycke inte har getts. I 23-27 §§ ges föreskrifter om information. Om uppgifterna samlas in från den registrerade själv skall information om behandlingen av uppgifterna ges i samband med detta. Samlas uppgifterna in från någon annan källa skall den personupp- giftsansvarige självmant lämna den registrerade information om behand- lingen av uppgifterna när de registreras. Är uppgifterna avsedda att läm- nas ut till tredje man, behöver informationen dock inte ges förrän upp- gifterna lämnas ut . Information behöver inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av person- uppgifterna i en lag eller någon annan författning. Kravet på information gäller inte heller om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna skall användas för att vidta åtgärder som rör den registrerade skall dock information lämnas senast i samband med att så sker. Lagen (1995:606) om vissa personuppgifter för officiell statistik inne- håller ett krav på att personer skall upplysas om registreringen när upp- gifter hämtas in direkt till personregistret från dem som är eller avses bli registrerade. Något informationskrav i de fall uppgifterna inte hämtas in direkt från den registrerade har emellertid inte ställts upp. I flera andra registerförfattningar finns bestämmelser om att information skall lämnas, medan krav på samtycke inte ställs upp. Samtycke definieras enligt 3 § personuppgiftslagen som varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registre- rade, efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Av artikel 8 i dataskyddsdirektivet framgår bl.a. följande. Medlemsstaterna skall förbjuda behandling av personuppgifter som av- slöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Vad som sagts gäller inte bl.a. om den registrerade har lämnat sitt uttryckliga samtycke till en sådan behandling, utom när det enligt med- lemsstatens lagstiftning anges att förbudet inte kan upphävas genom den registrerades samtycke. Förbudet mot behandling av personuppgifter gäller inte heller när be- handlingen av uppgifterna är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- eller sjukvård eller när dessa uppgifter behand- las av någon som är yrkesmässigt verksam på hälso- och sjukvårdsområ- det och som enligt nationell lagstiftning eller bestämmelser som antagits av behöriga nationella organ är underkastad tystnadsplikt eller av en an- nan person som är ålagd en liknande tystnadsplikt. Under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse får medlemsstaterna vidare antingen i sin natio- nella lagstiftning eller genom ett beslut av tillsynsmyndigheten besluta om andra undantag än de som sagts. Regler om information som skall lämnas självmant till den registrerade finns i artikel 10 och 11 i dataskyddsdirektivet. Dessa innebär följande. Medlemsstaterna skall föreskriva att den personuppgiftsansvarige i vart fall skall ge den person från vilken uppgifter om honom själv samlas in följande information, utom i fall då han redan känner till informatio- nen: a) Den registeransvariges och dennes eventuella företrädares identitet. b) Ändamålen med den behandling för vilken uppgifterna är avsedda. c) All ytterligare information, exempelvis mottagarna eller de kategorier som mottar uppgifterna, huruvida det är obligatoriskt eller frivilligt att besvara frågorna samt eventuella följder av att inte svara, förekomsten av rättigheter att få tillgång till och att erhålla rättelse av uppgifter som rör honom, i den utsträckning som den ytterligare informationen med hänsyn till de särskilda omständigheter under vilka uppgifterna samlas in är nödvändig för att tillförsäkra den registrerade en korrekt behandling. Om uppgifterna inte har samlats in från den registrerade, skall med- lemsstaterna föreskriva att den personuppgiftsansvarige vid tiden för re- gistreringen av personuppgifter eller, om utlämnande till en tredje man kan förutses, inte senare än då uppgifterna först lämnas ut, skall ge den registrerade motsvarande information som sagts. Denna skyldighet skall inte gälla när det särskilt i samband med be- handling för statistiska ändamål eller historiska eller vetenskapliga forskningsändamål visar sig omöjligt eller innebära en oproportioner- ligt stor ansträngning att ge information eller om registrering eller utläm- nande uttryckligen föreskrivs i författning. I sådana fall skall medlems- staterna föreskriva lämpliga skyddsåtgärder. Skälen för regeringens förslag Regeringen gör följande överväganden när det gäller frågan om informa- tion och samtycke beträffande det rättspsykiatriska forskningsregistret. Information respektive samtycke bidrar till skyddet för den enskildes personliga integritet och kan därmed höja allmänhetens förtroende för registret. Vissa skäl talar emellertid i motsatt riktning. Ett skäl är att det skulle kunna vara skadligt för de aktuella personernas psykiska hälsa. Risken för detta kan dock inte anses så stor att det motiverar att man av- står från information och samtycke. Ett annat skäl mot att kräva samtycke är att det skulle innebära att de som inte samtyckte skulle saknas i regist- ret. Med hänsyn till ändamålet med registret skulle detta vara mycket otillfredsställande. En hel del projekt skulle omöjliggöras eller klart för- sämras. Den tänkta utförliga regleringen av registret bidrar till att upp- rätthålla skyddet för integriteten. Vidare stärks förtroendet för registret genom att det till såväl den enskilde som till allmänheten lämnas en öp- pen information om innehållet i och syftet med registret. På registre- ringsstadiet kan ändamålet med registret beskrivas för den enskilde. Där- emot kan inte de olika forskningsprojekten eller liknande anges. Ett krav på samtycke skulle innebära att den som samtyckte gav någon form av generellt tillstånd att använda uppgifterna inom ramen för de uppgivna ändamålen, såvida inte samtycke skulle krävas också för annan behand- ling av personuppgifterna. Nackdelarna med ett krav på samtycke vid registreringen väger tungt. Det kan också ifrågasättas hur meningsfullt ett sådant krav verkligen är. Övervägande skäl talar alltså för att inte ställa upp ett krav på samtycke på detta stadium. Om ett krav på samtycke i stället skulle ställas upp vid behandling i enlighet med ändamålen skulle det innebära att de som inte samtyckte skulle saknas i forsknings- och utvecklingsprojektet. Här skulle det emellertid vara möjligt att ha en undantagsregel för vissa fall, t.ex. med innebörden att kravet på samtycke inte gällde om det faktum att vissa personer saknades skulle förrycka hela projektet eller om det skulle vara oetiskt, med hänsyn till vad projektet gällde, att kontakta de i pro- jektet ingående personerna. Det skulle då vara nödvändigt att någon myndighet, närmast den personuppgiftsansvarige, fick pröva om undan- tag skulle göras eller inte. När det gäller forskning kräver ett godkän- nande av forskningsetisk kommitté enligt huvudregeln samtycke från deltagarna. Regeringen anser inte att det bör införas krav på någon ytter- ligare prövning av om samtycke skall krävas. När det gäller användning av registret för utvecklingsarbete bör det i regel vara olämpligt om vissa personer utesluts på grund av bristande samtycke, eftersom detta kan ge ett ofullständigt underlag. I detta sammanhang är också individerna i regel av mindre intresse. Något krav på samtycke bör därför inte gälla för det rättspsykiatriska forskningsregistret avseende dessa fall. Däremot skall ett krav på information vid registreringen ställas upp. Detta krav skall vara undantagslöst. Informationen skall ges när registre- ring av uppgifter avseende ett visst brottmål aktualiseras . Uppgifter skall enligt förslaget kunna registreras från olika sta- dier i ett brottmål. Registreringen lär i regel inte ske . In- formationen behöver emellertid enbart lämnas en gång såvitt gäller upp- gifterna från ett visst mål. Om en person sedan återfaller i brott, aktuali- seras registrering av nya uppgifter. Information skall då lämnas på nytt. Informationen bör ange vem som är personuppgiftsansvarig, ändamål- en med behandlingen, vilken typ av uppgifter som behandlingen får avse och mottagarna av uppgifterna. Vidare bör information ges om gällande sekretess och säkerhetsbestämmelser. Den enskilde bör också upplysas om personuppgiftslagens bestämmelser om rätten att efter ansökan få information om behandlingen av personuppgifter samt rätten till rättelse och skadestånd. Slutligen bör anges vad som gäller om tillgång till upp- gifter, utlämnande på medium för automatiserad behandling och beva- rande av uppgifter. är såsom personalupp- giftsansvarigt ansvarigt för att information lämnas. 16 Användning av uppgifterna Regeringens förslag: Utlämnande av uppgifter ur registret skall prö- vas av . Utlämnande på medium för automatise- rad behandling skall få ske endast om mottagarens användning av uppgifterna är förenlig med registrets ändamål. Endast Rättsmedici- nalverket skall ha direktåtkomst till registret. Forskarnas användning av personuppgifter från det rättspsykiatriska forskningsregistret efter utlämnande skall inte författningsregleras särskilt. Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag, men innebär en mer detaljerad reglering i lagen av åtkomsten till uppgifter i registret. I utredningens förslag regleras dessutom uttryck- ligen vilka sökbegrepp som skall få användas. Remissinstanserna: vid ifrågasätter om en terminalåtkomst till registret över huvud taget behövs. Mental hälsa (RSMH) kräver insyn och in- flytande för brukarorganisationerna för att kunna acceptera användning utan de registrerades samtycke. Riks-IFS anser att forskarnas användning av personuppgifterna skall författningsregleras. Skälen för regeringens förslag I det följande tas upp frågor som avser användning av det rättspsykiat- riska forskningsregistret och de uppgifter som enligt förslaget skall få registreras. Vissa grundläggande frågor om sekretess för uppgifter i registret behandlas i nästa avsnitt. Där föreslås att sekretess enligt en ny bestämmelse, 7 kap. 39 §, i sekretesslagen (1980:100) skall gälla för verksamheten i anslutning till registret. Sekretessreglernas betydelse för utlämnande av uppgifter från registret Vid ett utlämnande för forskning kan mottagaren vara en offentlig insti- tution eller en tjänsteman. Det andra alternativet är att utlämnandet sker till en enskild forskare. Enligt den föreslagna nya bestämmelsen i sekre- tesslagen (7 kap. 39 §) gäller sekretess om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Är uppgifter hemliga enligt en sekretessbestämmelse som upptar ett skaderekvisit torde, enligt förarbetena till sekretesslagen (prop. 1979/80:2 s. 347), utlämnande för forskning mycket ofta komma till stånd utan beaktansvärd risk för skada. Detta motiveras med att sekretes- sen enligt 13 kap. 3 § sekretesslagen följer uppgiften om mottagaren är en offentlig institution eller tjänsteman och att enskild forskare kan åläg- gas förbehåll med stöd av 14 kap. 9 § sekretesslagen. I propositionen tilläggs slutligen att man i sista hand kan falla tillbaka på dispensregeln i 14 kap. 8 § sekretesslagen. Regeln i 13 kap. 3 § blir tillämplig när utläm- nandet från registret sker för forskning inom ramen för en myndighet. Vid utlämnande till enskilda ger 14 kap. 9 § en myndighet möjlighet att ställa upp ett förbehåll som inskränker den enskildes rätt att lämna en uppgift vidare eller att utnyttja den. Sådant förbehåll skall ställas upp om myndigheten finner att sådan risk för skada, men eller annan olägenhet, som enligt bestämmelse om sekretess utgör hinder att lämna ut uppgift till enskild, kan undanröjas genom förbehållet. Slutligen finns en dis- pensmöjlighet för regeringen enligt 14 kap. 8 §. Regeringen får, förutom när det särskilt anges i bestämmelse om sekretess, för särskilt fall förordna om undantag från sekretess när det är påkallat av synnerliga skäl. Denna undantagsreglering får anses tillräcklig för att registret skall kunna användas i enlighet med ändamålen. En fråga är om uppgifter i registret kan lämnas ut t.ex. för forskning som inte omfattas av registrets ändamål. Offentlighetsprincipen som den kommer till uttryck i tryckfri- hetsförordningen och sekretesslagen har ingen koppling till ändamålsbe- greppet i personuppgiftssammanhang. En begäran om att få ut en allmän handling skall således prövas enligt tryckfrihetsförordningen och sekre- tesslagen. Om uppgifterna är sekretessbelagda men myndigheterna finner att ett hinder mot utlämnande undanröjs med ett förbehåll, måste utlämn- ande ske, även om uppgifterna skall användas på ett sätt som inte över- ensstämmer med ändamålet. Mot bakgrund av det sagda kan ändamålsbestämningen, särskilt när det gäller kravet på godkännande av forskningsetisk kommitté, framstå som mindre meningsfull. Så är emellertid inte fallet. Till en början kan näm- nas att ett utlämnande med stöd av offentlighetsprincipen förutsätter att de begärda uppgifterna kan tas fram med endast rutinbetonade åtgärder. Är inte detta möjligt, föreligger över huvud taget ingen skyldighet att lämna ut uppgifterna. Vidare innebär det omvända skaderekvisitet i den föreslagna nya bestämmelsen i 7 kap. 39 § sekretesslagen att en skadeprövning måste ske i varje särskilt fall som ett utlämnande blir ak- tuellt. Inte sällan torde denna skadeprövning utfalla så att sekretess gäller för uppgifterna, om ett godkännande av forskningsetisk kommitté saknas. I ett sådant fall kan det ju finnas anledning att ifrågasätta forskningens vederhäftighet. Här kan också tilläggas att en myndighet vid utlämnande grundat på offentlighetsprincipen inte är skyldig att lämna ut allmänna handlingar på medium för automatiserad behandling. Ända- målsbestämningen har också betydelse på ett mera praktiskt plan. Det finns ju ingen anledning för den personuppgiftsansvarige att t.ex. i in- formationsmaterial uppmuntra användning av uppgifterna som inte är förenlig med ändamålen. Prövning av frågan om utlämnande Enligt 2 kap. 14 § tryckfrihetsförordningen prövas frågor om utlämnande av allmän handling av den myndighet som förvarar handlingen, om det inte är föreskrivet att en annan myndighet skall göra detta. En erinran om detta finns i 15 kap. 6 § sekretesslagen. Där finns också, i paragrafens andra stycke, bestämmelser om vem på myndigheten som skall göra denna prövning. Regleringen innebär att i de fall någon enligt arbetsord- ning eller ett särskilt beslut är anförtrodd vården av den handling som begärs utlämnad, denne i första hand skall pröva begäran. I tveksamma fall skall han hänskjuta frågan till myndigheten, om detta kan ske utan tidsutdräkt eller annan olägenhet för sökanden. Samma sak gäller om den som har handlingen i sin vård vägrar att lämna ut handlingen eller lämnar ut den med förbehåll, och sökanden begär att frågan hänskjuts till myndigheten. Med myndigheten förstås i sammanhanget den eller de befattningshavare som i sin tjänst har behörighet att på myndighetens vägnar fatta beslut i saken. Vid statliga myndigheter är detta normalt myndighetens chef, om inte annat är föreskrivet. Utgångspunkten är alltså att myndigheten i det här fallet Rättsmedi- cinalverket (RMV) prövar frågan om utlämnande enligt tryckfrihets- förordningen och sekretesslagen. För att beslutsfunktionen skall få läggas på en annan myndighet krävs, enligt 2 kap. 14 § tryckfrihetsförord- ningen, särskilda skäl. Regeringen ser ingen anledning att överväga någ- on annan ordning för det rättspsykiatriska forskningsregistret än den som normalt skall gälla. Det saknas skäl, också från integritetssynpunkt, att låta någon annan än den personuppgiftsansvarige, alltså RMV, medverka i prövningen. Utlämnande av uppgifter på medium för automatiserad behandling Utlämnande av uppgifter från det rättspsykiatriska forskningsregistret blir huvudsakligen aktuellt i två situationer. I det ena fallet begärs upp- gifter utlämnade för att användas för forskning i enlighet med registrets ändamål. Den andra situationen avser det fallet att utlämnandet grundar sig på offentlighetsprincipen. När det gäller utlämnande för forskning finns det inget behov av att i lag inskränka möjligheten att lämna ut uppgifterna på medium för auto- matiserad behandling. Från forskningssynpunkt är det tvärtom uppenbart att denna möjlighet bör finnas. Vad därefter angår ett utlämnande med stöd av offentlighetsprincipen är en myndighet enligt tryckfrihetsförordningen inte skyldig att lämna ut allmänna handlingar på medium för automatiserad behandling. Bestäm- melserna i 2 kap. 12 och 13 §§ tryckfrihetsförordningen innebär endast en skyldighet att tillhandahålla utskrifter eller att ge sökanden en möjlig- het att ta del av handlingen på en bildskärm eller liknande. Den sekretess som normalt kommer att gälla för uppgifterna i det rättspsykiatriska forskningsregistret gör att utrymmet för att lämna ut uppgifter, som begärs med stöd av offentlighetsprincipen, på medium för automatiserad behandling är starkt begränsat. Man kan dock tänka sig den situationen att en forskare, vars forskning inte har godkänts av en forskningsetisk kommitté, begär att få ut uppgifter och att skaderisken kan undanröjas med ett förbehåll. I så fall föreligger en skyldighet att lämna ut uppgiften. I lagen (1998:543) om hälsodataregister föreskrivs att personuppgifter får lämnas ut på medium för automatiserad behandling om de skall an- vändas för sådana ändamål för vilka hälsodataregister får föras. Med hänsyn till att det rör sig om uppgifter i ett mycket integri- tetskänsligt register och till att ett visst, om än begränsat, utrymme finns för utlämnande som inte är förenligt med ändamålet bör en bestämmelse införas som begränsar möjligheterna till utlämnande på medium för auto- matiserad behandling. Någon anledning att tillåta utlämnande på medium för automatiserad behandling i andra situationer än när det rör sig om användning i enlighet med registrets ändamål finns inte. Bestämmelsen bör därför innebära att sådant utlämnande skall få ske endast om mot- tagarens användning av uppgifterna är förenlig med registrets ändamål. Sökbegrepp Personuppgifter fås fram ur ett register med hjälp av att uppgifter t.ex. namn, personnummer eller brott används som sökbegrepp. Från integri- tetssynpunkt finns det anledning att vara restriktiv med sökmöjligheter och begränsa antalet sökbegrepp som får användas. En begränsning av sökmöjligheterna minskar å andra sidan möjligheterna att använda regis- tret för forskning och utvecklingsarbete. En av de största fördelarna med ett dataregister jämfört med register är att olika sökningar kan göras snabbt. Regeringen föreslår en snävt utformad ändamålsbestäm- melse. Registret skall få innehålla endast de uppgifter som bedömts ha ett verkligt intresse för forskning och utvecklingsarbete. Möjligheterna till direktåtkomst kommer också att i lagen begränsas till RMV och närmare preciseras av regeringen i en förordning. Varje begränsning av antalet sökord kan sägas begränsa möjligheterna för forskning och utvecklings- arbete i motsvarande mån. Regeringen finner därför inte skäl att i lagen införa några begränsningar av de sökbegrepp som får användas. Tillgång till personuppgifter I det föregående har diskuterats förutsättningarna för att utlämnande på medium för automatiserad databehandling skall få ske. En möjlighet är att ta del av innehållet i registret med hjälp av direktåtkomst vilket kan innebära exempelvis via en bildskärm eller telefoni. När det gäller direkt- åtkomst talar integritetshänsynen ännu starkare för att sådan åtkomst skall förbehållas RMV. Denna begränsning bör framgå av lagen. Av integritetsskäl bör tillgången till personuppgifterna i det rättspsykiatriska forskningsregistret inte medges andra än dem som är engagerade i verksamheten i anslutning till det rättspsykiatriska forskningsregistret. Ansvaret för detta åvilar RMV som genom olika kontroll- och säkerhets- system skall säkerställa att endast de som är behöriga därtill kan ta del av uppgifterna i registret. Utgångspunkten bör vara att endast några enstaka personer skall ha tillgång till personuppgifterna i det rättspsykiatriska forskningsregistret och att antalet skall begränsas till vad som är nödvän- digt för att arbetet med registerföringen och den andra tillåtna behand- lingen av personuppgifterna skall kunna utföras. Användning av personuppgifterna efter utlämnande När personuppgifter har lämnats ut från det rättspsykiatriska forsknings- registret till en forskare kommer en ny automatiserad behandling av per- sonuppgifterna ofta att vara aktuell. Det har tidigare konstaterats att en författningsreglering av krav på information eller samtycke i samband med utlämnande inte är lämplig. Frågan är om forskarnas användning av uppgifterna bör regleras i författning på något annat sätt. Personuppgiftslagens bestämmelser är tillämpliga på sådan helt eller delvis automatiserad behandling av personuppgifter som äger rum i forskningsverksamhet sedan uppgifterna utlämnats från det rättspsykiat- riska forskningsregistret. Även behandling omfattas under vissa förutsättningar av dessa bestämmelser. Regeringen bedömer att denna reglering är tillräcklig och finner det inte nödvändigt att ytterligare reg- lera användningen av personuppgifter efter utlämnande. 17 Sekretess Regeringens förslag: Uppgifterna i registret samt verksamheten i an- slutning till registret skall omfattas av sekretess enligt en ny bestäm- melse i 7 kap. 39 § sekretesslagen (1980:100). Utredningens förslag: Utredningen föreslog ett nytt stycke i 7 kap. 1 § sekretesslagen, med ett i huvudsak motsvarande innehåll som den nu föreslagna bestämmelsen. Remissinstanserna: Ingen av remissinstanserna har något att erinra mot utredningens förslag. Skälen för regeringens förslag: En hänvisning till sekretesslagens (1980:100) bestämmelser bör för tydlighetens skull tas in i lagen om rättspsykiatriskt forskningsregister (14 §). Utgångspunkten enligt sekretesslagen är att sekretessen normalt är be- gränsad till ett visst ärende, en viss verksamhet eller en viss myndighet. I sekretesslagens förarbeten kallas detta det primära sekretessområdet. La- gen innehåller emellertid regler som innebär att sekretessen kan spridas utanför det primära sekretessområdet. Man talar då om sekundär sekre- tess. Om en sådan regel saknas följer sekretessen inte med när en uppgift lämnas ut utanför det primära sekretessområdet. Däremot kan en annan primär sekretessregel finnas som gäller för den mottagande myndigheten eller för dess verksamhet. Det sagda innebär följande för de uppgifter som skall tillföras det rättspsykiatriska forskningsregistret. Olika sekretessregler gäller hos och för uppgifter om personliga förhållanden som tillförs registret.