sou · GNB3109 · 2000-01-01 00:00:00 — I betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39 s. 208 ff.) konstaterade endast att kommit- téns uppdrag inte omfattade de särskilda registerförfattningarna. Kom- mittén föreslog att särregler i registerförfattningar skulle gälla framför den nya persondatalagen [personuppgiftslagen]. framhöll dock att det är nödvändigt att se över de befintliga registerför- fattningarna innan den nya lagstiftningen börjar tillämpas på deras re- spektive område och att registerförfattningarna måste anpassas till såväl EG-direktivet som till den föreslagna persondatalagen. Kommittén me- nade att registerförfattningarna bygger på att den generellt tillämpliga datalagen fyller ut där det inte finns särregler och när datalagen byts ut mot persondatalagen, med delvis andra regler och annan terminologi, vissa justeringar givetvis måste ske i registerförfattningarna för att passa in dem i den nya, grundläggande rättsliga miljön. 1997/98:44 Personuppgiftslag (s. 40 f.) uttalade regeringen att den nya lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgo- doses genom andra författningar. Regeringen framhöll att registerförfatt- ningarna innehåller många preciserade och viktiga regler som inte rimli- gen kan ersättas av de generella bestämmelser som den nya lagen inne- håller. Vid utskottsbehandlingen av förslaget till personuppgiftslag utta- 124 En ny lag om behandling av personuppgifter... SOU 1999:109 lade , i sitt av godkända betänkande, att det saknas anledning att nu avvika från den tidigare fastlagda målsätt- ningen att myndighetsregister med ett stort antal registrerade och ett sär- skilt känsligt innehåll skall regleras särskilt i lag (bet. 1997/98:KU18 s. 43, rskr. 1997/98:180). Precis som ifrågasatte behovet av särskilda regler när det gäller totalförsvarspliktiga, kan det – menar utredningen – möjligen ifrågasättas om det egentligen finns något behov av en särskild reglering för den behandling av personuppgifter som sker inom social- tjänsten. Även behandling av personuppgifter omfattas ju av personuppgiftslagens bestämmelser. Emellertid nödvändiggör verksamheten inom en om- fattande hantering av personuppgifter som är känsliga från integritets- synpunkt. Därtill kommer att verksamheten berör ett mycket stort antal enskilda individer. Redan detta förhållande talar, med hänsyn framför allt till den redovisade målsättning som statsmakterna gett till kän- na, med styrka för att behandlingen av personuppgifter inom social- tjänsten bör regleras särskilt i lag. Det finns emellertid även andra skäl till det. För det första innebär en sådan särskild reglering att det blir möjligt att få en mer enhetlig tillämpning av den behandling av person uppgifter som förekommer inom . Utan en särskild lagstiftning på området har nämligen varje myndighet eller annan inom och de anställda där att tillämpa person uppgiftslagen och göra en be- dömning av om den tänkta behandlingen av personuppgifter är laglig. Personuppgiftslagen är ju generellt t illämplig och även behandling av personuppgifter kommer att omfattas därav, om inte sär- skilda bestämmelser meddelas som avviker från personuppgiftslagen. Vidare anser utredningen, som kommer att framgå i det följande (se avsnitt 6.4), att det är nödvändigt att , för att arbets upp- gifterna i den verksamheten skall kunna utföras på ett tillfredsställande sätt, får rätt att behandla personuppgifter som är att anse som känsliga personuppgifter i personuppgiftslagens mening. Personuppgiftslagen medger emellertid inte att känsliga personuppgifter behandlas inom soci- altjänsten, om inte att regeringen eller den myndighet som regeringen bestämmer meddelar föreskrifter om ytterligare undantag från förbudet i personuppgiftslagen mot att behandla sådana uppgifter. Sådana före- skrifter får meddelas endast om det behövs med hänsyn till ett viktigt allmänt intresse. Några generella sådana föreskrifter har emellertid inte meddelats. Även vissa andra undantag, som utredningen återkommer till, behöver göras från regleringen i person uppgiftslagen. Det finns alltså – för att skall kunna fullgöra sina arbetsuppgifter – ett behov av en särreglering i förhållande till person- SOU 1999:109 En ny lag om behandling av personuppgifter... 125 Det är visserligen inget som hindrar att dessa undantag görs i annan form än i lag, t.ex. får, som ovan nämnts, enligt 20 § per- sonuppgiftslagen regeringen eller den myndighet som regeringen bestäm- mer meddela föreskrifter om ytterligare undantag från förbudet i 13 § mot att behandla känsliga personuppgifter. Utredningen anser dock att frågan om undantag från personuppgiftslagens bestämmelser i en så inte- gritetskänslig verksamhet som , bör underställas . Utan att föregripa utredningens överväganden i övrigt kan vidare nämnas att det – i en verksamhet som är så integritetskänslig som soci- altjänsten – kan finnas all anledning att fundera närmare på frågor som t.ex. vilka som bör ha direktåtkomst till de personuppgifter som finns i verksamheten och om möjligheten att söka information på något sätt bör begränsas. I den mån det finns behov av att reglera sådana frågor, måste det ske i en särskild lagstiftning, eftersom de inte fått sin lösning i perso- nuppgiftslagen. Sammanfattningsvis anser utredningen att övervägande skäl talar för att behandlingen av personuppgifter inom bör regleras särskilt i lag. Utredningen förslår således att en sådan reglering införs. Hur närmare bör avgränsas berörs i avsnitt 6.2, där även andra frågor som rör tillämpningsområdet tas upp. Utredningen är medveten om att en lagstiftning som enligt direktiven har som främsta syfte att garantera ett fullgott och för detta särskilda område specialanpassat integritetsskydd, innebär att fler person uppgifter får behandlas än som varit möjligt om verksamheten reglerats enbart av personuppgiftslagen. Dock får inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (se av- snitt 6.4). Som nämndes är det emellertid nödvändigt att göra dessa undantag från personuppgiftslagen för att verksamheten skall kunna fullgöras inom . Utredningens förslag innebär att dessa undantag kommer att göras i lag och inte – vilket varit möjligt – av rege- ringen i förordning eller, efter beslut av regeringen, i myndighetsföre- skrifter. Avslutningsvis vill utredningen framhålla att avsikten med lagstift- ningen inte på något sätt är att utvidga nuvarande möjlig- heter att registrera uppgifter om medborgarna. Huruvida personuppgifter i det enskilda fallet skall samlas in eller lämnas ut avgörs av annan lag- stiftning och inte av personuppgiftslagen eller av den här lagen. Vad som däremot är viktigt att åstadkomma är att den lagstiftning som skall regle- ra under vilka förutsättningar personuppgifter i övrigt får behandlas in- om , inte hindrar att personuppgifter får behandlas när så krävs för att skall kunna fullgöra sina arbetsuppgifter. 126 En ny lag om behandling av personuppgifter... 6.1.2Hanteringsmodell eller missbruksmodell? Utredningen har funderat något kring frågan om det skulle vara möjligt att låta en lagstiftning som skall reglera behandling av personuppgifter vara utformad efter en s.k. missbruksmodell, dvs. själva hanteringen av personuppgifter skulle vara i det närmaste fri och i lag- stiftningen skulle endast identifieras vilken behandling av personuppgif- ter som utgör ett sådant missbruk att den bör förbjudas, i första hand kriminaliseras eller skadeståndsbeläggas. Personuppgiftslagen (1998:204) – liksom bl.a. EG-direktivet och datalagen (1973:289) – innebär att själva hanteringen av personuppgifter regleras, oavsett om hanteringen kan sägas utgöra ett missbuk. Lagen bygger sålunda på den s.k. hanteringsmodellen. 1997/98:44 Personuppgiftslag uttalades (s. 36 f.) att regering- en – i likhet med och de allra flesta remissinstanser – ansåg att det då inte var möjligt att uppfylla skyldigheten att genomföra direktivet på annat sätt än genom att införa en lagstiftning av hante- ringsmodell. Regeringen framhöll att ingen för övrigt kunnat konkret ange hur det skulle vara möjligt med hänsyn till EG-direktivet att använ- da en renodlad missbruksmodell. Regeringen menade dock att det finns starka skäl för att verka för att det blir möjligt att gå ifrån en lagstiftning efter en vittomfattande hanteringsmodell och regeringen förklarade att den avser att på lämpligt sätt utnyttja inflytande i Europeiska unionen för att påverka i denna riktning. Regeringen pekade på att möj- ligheterna till påverkan givetvis är beroende av att visa på användbara alternativ till en hanteringsmodell och att det därför är viktigt att diskus- sionen om och arbetet med möjliga utformningar och alternativa model- ler fortsätter. Regeringen nämnde därvid att diskus- sionsvis skisserat på en alternativ modell. Som skäl för att som regleringsmodell använda sig av hanteringsmo- dellen framhöll i betänkandet Integritet – Offentlig- het – Informationsteknik (SOU 1997:39 s. 191) bl.a. att många männi- skor – inte bara i utan även internationellt – fortfarande känner oro och obehag inför de möjligheter som finns att behandla personupp- gifter med hjälp av ADB. ansåg att det förhållandet att många människor i en politisk demokrati känner obehag inför en viss hantering är ett starkt argument i sig för att reglera den hanteringen. Kommittén pekade på att samma bedömning verkar ha gjorts i de flesta EU-stater, vilka har lagstiftning efter hanteringsmodellen, och av EU i och med att EG-direktivet antogs. Som nämndes har i betänkandet (s. 179 ff.) diskussionsvis skisserat på alternativ till en hanteringsmodell. Kommit- tén menade dock (s. 185 f.) att det kan antas att människor även i fram- En ny lag om behandling av personuppgifter... 127 tiden kommer att ha kvar sin oro för stora datasystem. Det torde därför, menade kommittén, bli nödvändigt att behålla en hanteringsmodell, om ock i förenklad form, för stora databaser hos myndigheter och hos före- tag med enskilda som klienter eller kunder, t.ex. sjukhus, banker och försäkringsföretag. När det gäller de många små datasystemen, hos t.ex. skolor, småföretagare, enskilda och troligen också Internet synes det – enligt kommittén – däremot hopplöst att söka kontrollera själva hante- ringen av persondata. trodde för sin del (betänkandet s. 192) att det kommer att dröja innan tiden är mogen för en övergång till missbruks- modellen. Den oro människor alltjämt känner för teknikens möjligheter måste respekteras, menade kommittén. Övriga EU-stater måste också vinnas för tanken på en sådan övergång. önskade emellertid att diskussionen om en övergång till missbruksmodellen skall fortsätta. Kommittén menade att bör ta ini- tiativ till en persondatalagstiftning av mer modernt snitt. Eftersom en- hetligheten inom EU bör bevaras bör – menade kommittén – detta initia- tiv i första hand avse tillskapandet av ett nytt EG-direktiv. Vid sin behandling av proposition 1997/98:44 Personuppgiftslag de- lade , i sitt av godkända betänkande, regeringens bedömning att det inte var möjligt att då genomföra EG- direktivet på ett annat sätt än genom en lagstiftning som följer den struktur som direktivet anvisar (bet 1997/98:KU18, rskr. 1997/98:180). Utskottet menade därför att lagstiftningen borde utformas efter en hante- ringsmodell. Utskottet framhöll emellertid, i likhet med regeringen, att den lagstiftning som måste införas på grund av EG-direktivet redan framstod som omodern. Utskottet såg därför med tillfredsställelse på att regeringen avsåg att verka för att det skall bli möjligt att gå ifrån en långtgående hanteringsmodell på det aktuella lagstiftningsområdet. Därefter har i ytterligare ett betänkande med anledning av ett antal motioner från allmänna motionstiden be- handlat frågor som rör personuppgiftslagen (bet. 1998/99:KU15). I be- tänkandet uttalade utskottet bl.a. att siktet bör vara inställt på att åstad- komma en teknikoberoende lagstiftning till skydd för den personliga in- tegriteten. Utskottet fann därför anledning att, i likhet med vad som gjor- des vid personuppgiftslagens införande, framhålla att EG-direktivet får anses omodernt. Utskottet menade att en revidering av direktivet måste ske. föreslog att ger regeringen till känna att den med kraft bör verka för att en revidering sker av EG- direktivet. Vidare föreslog utskottet ett tillkännagivande till regeringen med innebörd att en översyn av personuppgiftslagen bör komma till stånd med syfte att, så långt det är möjligt inom EG-direktivets ram, åstadkomma en förändring av lagstiftningen i riktning mot ett regelverk 128 En ny lag om behandling av personuppgifter... SOU 1999:109 som tar sikte på missbruk av personuppgifter. biföll utskot- tets hemställan (rskr. 1998/99:147). Vidare har det IT-rättsliga observatoriet i sin ? (rapport 8/98) gjort vissa överväganden rörande bl.a. utform- ningen av en missbruksmodell. Observatoriets slutsats var att en generell missbruksmodell enligt observatoriets beskrivning inte är möjlig att infö- ra inom ramen för EG-direktivet (rapporten s. 30). Som framgått av den redogörelsen är den rådande uppfatt- ningen att det i en lagstiftning som bygger på en missbruksmodell inte är möjligt att uppfylla de krav som EG-direktivet ställer upp. Utredningen delar den bedömningen. Utredningen menar dessutom att det, även om det vore möjligt att använda sig av en missbruksmodell när det gäller behandling av personuppgifter, skulle vara mindre lämp- ligt att göra det. Det finns nämligen all anledning att tro att många män- niskor kan känna oro och obehag vid tanken på den stora mängd perso- nuppgifter som hanteras inom ett område som . Att vid sådant förhållande överge hanteringsmodellen på detta område kan, me- nar utredningen, därför knappast komma i fråga. Frågan måste ses i ett större sammanhang. var också närmast inne på att använda en missbruksmodell när hanteringen i praktiken är omöjlig att kontrollera och att i övriga fall – t.ex. vid myndigheternas behandling av personuppgifter – behålla en hanteringsmodell. Ett annat argument mot att i detta sammanhang använda en annan lagstiftningsteknik än i personuppgiftslagen är att personuppgiftslagen är en förhållandevis ny lagstiftning, som – i vart fall initialt – inte kommer att vara så där alldeles enkel att tillämpa. I ett sådant läge bör man inte – om det inte finns tungt vägande skäl – använda en helt annan lagstift- ningsteknik när det gäller behandling av personuppgifter. Det finns en risk för att det skulle bli mycket förvirrande för dem som har att tillämpa lagstiftningen på området. Det är dessutom sannolikt enklare för myndigheter och andra att tillämpa en hanteringsmodell, ef- tersom man är van vid det . Sammanfattningsvis anser utredningen att författningsregleringen på detta särskilda område bör – som personuppgiftslagen – utformas efter en hanteringsmodell. Lagstiftningen bör utgå från personuppgiftslagens tillämpningsområde, begrepp och terminologi och utformas så att den anger de undantag och preciseringar i förhållande till personuppgifts- lagen som är motiverade. Det skulle naturligtvis vara möjligt att i den nya lagen upprepa personuppgiftslagens bestämmelser. Ett sådant system skulle emellertid bli tungrott och utredningen anser att man så långt möjligt bör undvika en sådan d ubbelreglering. Däremot är det naturligtvis viktigt att behovet av särreglering noga övervägs. En ny lag om behandling av personuppgifter... 129 tas in en bestämmelse som anger att personuppgiftslagens regler skall vara tillämpliga om inget annat följer av den föreslagna lagen. Som har nämnts återkommer utredningen till lagens tillämp- ningsområde i avsnitt 6.2. Den föreslagna lagen kommer att tillämpas av ett stort antal människor som är verksamma inom . Det vore därför lämpligt att ge lagen ett kort namn. Utredningen har emellertid inte kun- nat hitta ett kort namn som på ett bra sätt beskriver vad lagen handlar om. Utredningen föreslår att lagen ges namnet lag om behandling av per- sonuppgifter inom . 6.1.4Registerbegreppet bör inte användas i lagen Datalagen (1973:289) innehöll grundläggande regler om inrättandet och förandet av personregister med hjälp av automatisk databehandling. Re- gister var i den lagstiftningen ett centralt begrepp. I EG-direktivet och i personuppgiftslagen har emellertid begreppet register mindre betydelse. Personuppgiftslagen omfattar all automatiserad behandling av person- uppgifter, oavsett om personuppgifterna ingår i ett register eller inte. Däremot är begreppet register i EG-direktivet och i personuppgiftslagen av intresse när det gäller behandling av personuppgifter. För att omfattas av EG-direktivet och personuppgiftslagen skall de manuellt behandlade personuppgifterna ingå i eller vara avsedda att ingå i en strukturerad samling av personuppgifter som är t illgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. ingå i ett register. Som kommer att framgå av det följande anser utredningen att den fö- reslagna lagen bör ha samma tillämpningsområde som person uppgiftsla- gen och att enhetliga regler bör gälla för automatiserad behandling och för behandling av personuppgifter, som ingår i ett register. Vid sådant förhållande kommer begreppet register i detta sammanhang att sakna relevans och begreppet bör därför – menar utredningen – inte fö- rekomma i lagen. Detta hindrar naturligtvis inte att det inom social- tjänsten även fortsättningsvis kommer att finnas ett stort antal regelrätta register, datoriserade eller . 130 En ny lag om behandling av personuppgifter... 6.1.5Särskilt om 59 § socialtjänstlagen (1980:620) Enligt 59 § socialtjänstlagen (1980:620) gäller att i sådana personregis- ter hos socialnämnden som utgör sammanställningar av uppgifter inte får tas in uppgifter om ömtåliga personliga förhållanden. Dock att det i så- dana register får tas in uppgifter om åtgärder som har beslutats inom och som innebär myndighetsutövning och den bestämmelse på vilken ett beslut om en sådan åtgärd grundas. Det är viktigt att framhålla att denna bestämmelse inte gäller inne- hållet i de personakter som ingår i socialnämndernas personregister utan endast sådana av socialnämnden förda register i mer inskränkt bemärkel- se som utgör sammanställning av uppgifter om klienterna. Hit hör fram- för allt de databaserade personregistren. Till register av förevarande slag räknas emellertid även alla former av register, såsom t.ex. kortregister över utbetalningar, bevakningsregister av olika slag, servi- cekort etc (prop. 1979/80:1 Om s. 568). I förarbetena till socialtjänstlagen framhöll regeringen (a. prop. s. 438 ff.) att sådana sammanställningsregister, som är upprättade för att underlätta administrationen av , är tillgängliga på ett mer sätt än som är fallet med uppgifter i personakterna. De läm- nar upplysningar om den enskilde klienten utan att kunna ge en fullständig och objektiv beskrivning av hans förhållanden. Regeringen ansåg att registren därför framstår som särskilt känsliga från integritets- synpunkt. Därtill kommer, menade regeringen, att de är mer lättillgängli- ga och används av ett långt större antal tjänstemän vid socialförvaltning- en än som är fallet med den enskilda personakten. På grund härav togs i 59 § socialtjänstlagen in en bestämmelse med det angivna innehållet. har med stöd av 50 § socialtjänstförordningen (1981:750) meddelat föreskrifter om personregister inom (SOSFS S 1981:26). Enligt föreskrifterna får i s.k. sammanställningsre- gister tas in endast uppgifter som i allmänhet framstår som neutrala, t.ex. namn, personnummer, adress, civilstånd och övriga familjeförhål- landen, uppgift om vårdnadshavare, förm yndare eller god man samt nära anhörig eller annan liknande uppgift, yrke, arbetsgivare, bostadsförhål- landen, samt inkomst- och förmögenhetsförhållanden. Som exempel på uppgifter som inte får tas in i ett s.k. sammanställ- ningsregister nämndes i förarbetena till socialtjänstlagen (prop. 1979/80:1 s. 568 f.) integritetskänsliga uppgifter rörande t.ex. sju kdom, arbetsförmåga, missbruk och kriminalitet. Om sådana anteckningar be- höver göras, blir det nödvändigt att lägga upp en personakt. I registret får sedan göras en hänvisning till personakten. I förarbetena (a. prop. s. 439) nämndes vidare att i ett sammanställningsregister aldrig får tas in orsak till fattat beslut eller annan uppgift som kan innefatta värdering av SOU 1999:109 En ny lag om behandling av personuppgifter... 131 klientens förhållanden eller annars röja sekretesskyddade förhållanden. Inte heller får i sådana register tas in uppgifter om vidtagna åtgärder som grundas på meddelanden från andra myndigheter, t.ex. rapporter om ingripande enligt lagen om tillfälligt omhändertagande. Som inledningsvis nämndes får dock i sådana sammanställningsre- gister tas in uppgifter om ömtåliga personliga förhållanden, när det är fråga om beslut inom som fattats om den registrerade och som innebär myndighetsutövning (59 § andra stycket). I föreskrifter lämnas ett antal exempel på vad som därvid avses. Beslut i ärenden om bistånd enligt 6 § socialtjänstlagen, andra beslut som fattats med stöd av socialnämndens allmänna kompetens i 5 § samma lag, be- slut enligt de särskilda reglerna till skydd för underåriga i socialtjänstla- gen, bestämmande av avgifter liksom beslut om återkrav enligt bestäm- melserna i socialtjänstlagen, beslut om överflyttning av ärende till annan socialnämnd, beslut enligt den särskilda lagstiftningen om vård av unga och vård av missbrukare i vissa fall, samt beslut vid omprövning av so- cialnämndens beslut. I föreskrifterna sägs att sådana anteckningar skall vara så kortfattade som möjligt. Skälen liksom de närmare orsakerna för ett visst beslut får inte antecknas i vidare mån än som framgår av hän- visning till den författning på vilken åtgärden har grundats. Däremot får, enligt föreskrifterna, antecknas i vilken form och i vilken omfattning so- cialtjänstens insatser utgått. Uppgifter som avser olika åtgärder som vidtas inom ramen för beslutade åtgärder, t.ex. att den registrerade blivit föremål för hembesök eller deltagit i terapisamtal får däremot inte an- tecknas. Omdömen och värderingar om enskilda personer får inte tas in. I föreskrifterna sägs att vid tveksamhet om en uppgift skall an- tecknas eller inte i ett sammanställningsregister skall sådan anteckning inte ske. Uppgiften bör då i stället föras in i den registrerades personakt eller motsvarande handling. I nämnda föreskrifter erinras vidare om att med so- cialtjänst förstås inte enbart verksamhet enligt socialtjänstlagen utan också annan verksamhet som hör till detta område såsom t.ex. åtgärder enligt den särskilda lagstiftningen om vård av unga och vård av miss- brukare i vissa fall. I föreskrifterna påpekas också att till socialtjänst räknas inte bara socialnämnds verksamhet utan också andra myndighe- ters åtgärder inom området, t.ex. vid omprövning av socialnämnds beslut eller tillsyn över nämndens verksamhet. Bestämmelsen i 59 § social- tjänstlagen gäller dock bara register som en . Andra myndigheters och enskildas register faller således utanför bestämmelsens tillämpningsområde. Den nu redovisade bestämmelsen i 59 § socialtjänstlagen infördes . utfördes i princip all hantering av personuppgifter inom manuellt. 132 En ny lag om behandling av personuppgifter... användningen av automatisk databehandling handlade oftast om att framställa listor över ärenden, fattade beslut, gjorda utbetalningar m.m. (Dokumentation och socialtjänstregister SOU 1995:86 s. 142 f.). Nume- ra är modern informationsteknik inom vanligt förekom- mande och ökar i omfattning. På en del håll, t.ex. i , förekommer även elektronisk akthantering. Mot denna bakgrund kan man fråga sig om inte bestämmelsen i 59 § socialtjänstlagen har spelat ut sin roll.