sou · GNB3109 · 2000-01-01 00:00:00 — Det ankommer således på de personuppgiftsansvariga i respektive verk- samhet att med beaktande av 9 § första stycket c personuppgiftslagen (1998:204) – dvs. bestämmelsen att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål – ange för vilka ändamål personuppgifter behandlas. Endast ändamål som är nödvändiga för att en arbets uppgift inom skall kunna utföras kan därvid vara berättigade. I 9 § personuppgiftslagen (1998:204) finns bestämmelser om de grund- läggande krav på behandlingen av personuppgifter som en personupp- giftsansvarig alltid måste uppfylla. För att en viss behandling skall vara laglig krävs det inte bara att be- handlingen utförs i enlighet med de grundläggande kraven. Behandlingen måste också kunna hänföras till något av de fall som anges i 10 §. Bara i de fall som anges i 10 § är det över huvud taget tillåtet att behandla per- sonuppgifter. Avser behandlingen känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer, måste behandlingen dess- utom vara tillåten enligt bestämmelserna i 13–22 §§. Innebär behand- lingen att personuppgifter förs över till tredje land, måste också 33–35 Här nämns endast några av de krav som finns intagna i 9 § första Den personuppgiftsansvarige skall se till att a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) perso- nuppgifter samlas in bara för särskilda, uttryckligt angivna och berätti- gade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de perso- En ny lag om behandling av personuppgifter... 151 nuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen samt f) att inte fler personuppgifter be- handlas än som är nödvändigt med hänsyn till ändamålen med behand- lingen. I 10 § personuppgiftslagen anges i en uttömmande uppräkning när behandling av personuppgifter över huvud taget är t illåten. Enligt be- stämmelsen får personuppgifter behandlas bara om den registrerade lämnat sitt samtycke till behandlingen eller om behandlingen är nödvän- dig för att a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c) vitala intressen för den registrerade skall kunna skyddas, d) en arbetsuppgift av allmänt intresse skall kunna utföras, e) den perso- nuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med m yndighetsutöv- ning, eller f) ett ändamål som rör ett berättigat intresse hos den perso- nuppgiftsansvarige eller hos en sådan tredje man till vilken personupp- gifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Om känsliga personuppgifter, uppgifter om la göverträdelser m.m. eller personnummer skall behandlas, måste behandlingen, som nämnts, dessutom vara tillåten i enlighet med 13–22 §§. Innebär behandlingen att personuppgifter förs över till tredje land, måste också 33–35 §§ följas. 6.3.2När personuppgifter får behandlas och ända- målen med behandlingen I likhet med vad som gäller enligt personuppgiftslagen (10 §) bör person- uppgifter få behandlas när samtycke finns. Vidare finns det i en rad olika författningar föreskrifter som innebär att myndigheter eller enskilda får eller skall lämna ut uppgifter. När be- stämmelser om sådant uppgiftslämnande har införts får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken avvägning man funnit att uppgiften bör lämnas ut. Det saknas därför, menar utredningen, anledning att i en integritetsskyddslagstiftning, som den nu föreslagna, särskilt reglera dessa fall av redan författningsreglerat uppgiftslämnande. Enligt utredningen bör i stället i den nu föreslagna lagen föreskrivas att lagen inte – liksom är fallet enligt person- uppgiftslagen (2 §) – hindrar att personuppgifter lämnas ut om det följer av lag eller förordning. 152 En ny lag om behandling av personuppgifter... SOU 1999:109 Eftersom det naturligtvis inte är realistiskt att ha samtycke från den registrerade som i princip enda förutsättning för att personuppgifter skall få behandlas inom , bör sådana uppgifter få behandlas även utan samtycke, om vissa förutsättningar är uppfyllda. I det följande dis- kuteras vad som därvid bör gälla. Som tidigare framgått gäller enligt EG-direktivet och personupp- giftslagen att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med det för vilket upp- gifterna samlades in (artikel 6.1 i EG-direktivet och 9 § första stycket c och d personuppgiftslagen). Tanken är att den personuppgiftsansvarige själv, redan när uppgifterna samlas in, skall ange särskilda ändamål för sin behandling av personuppgifterna. Dessa ändamål sätter sedan grän- ser för hur uppgifterna får behandlas. Enligt utredningens uppfattning vore det önskvärt att det direkt i la- gen uttömmande kunde anges för vilka ändamål personuppgifter skall få behandlas inom . Bestämningen av ändamål för behand- lingen av personuppgifter är nämligen av central betydelse från integri- tetssynpunkt. En sådan lösning skulle innebära att personuppgifter inom social- tjänsten får samlas in och behandlas endast för de i lagen angivna ända- målen. Det skulle därmed sättas en definitiv gräns för de ändamål för vilka personuppgifter får samlas in inom . Det skulle, när det gäller behandlingen i övrigt, inte heller finnas något utrymme för att inom tillämpa 9 § första stycket d person uppgiftslagen, dvs. att insamlade personuppgifter får behandlas även för andra ända- mål, om det nya ändamålet inte är oförenligt med de ändamål för vilka uppgifterna har samlats in. Däremot skulle personuppgiftslagens bestämmelser vara t illämpliga så snart det var fråga om att behandla personuppgifter utanför social- tjänsten, t.ex. att lämna ut uppgifter för forsknings- och statistikändamål eller att annars använda inom insamlade uppgifterna utan- för . Lagens tillämpningsområde är ju begränsat till att gälla behandling av personuppgifter inom (se avsnitt 6.2). Ett annat argument för att direkt i lagen uttömmande ange ändamålen med behandlingen är att det kanske av en speciallagstiftning som den nu aktuella förväntas att ändamålen är klart angivna. Det finns flera exem- pel på att lagstiftaren i författningar, som innehåller en specialreglering i förhållande till personuppgiftslagen, valt att i författningen ange för vil- ka ändamål personuppgifter får behandlas (se t.ex. 3 och 4 §§ lagen 1998:544 om vårdregister). Utredningen har därför ingående diskuterat om det är möjligt att i lagen uttömmande ange för vilka ändamål personuppgifter skall få En ny lag om behandling av personuppgifter... 153 Beroende på att , sådant begreppet föreslås definierat i lagen (se avsnitt 6.2.1), är en mycket bred verksamhet är det emellertid, som kommer att framgå av det följande, inte alldeles okomplicerat att göra det. De exempel på lagstiftning som innehåller ändamålsbestämmelser avser som regel en mer avgränsad verksamhet som inte sällan har karaktären av ren registerverksamhet, t.ex. vårdregister och behandling av personuppgifter om totalförsvars- pliktiga (SFS 1998:938). Utredningen har i huvudsak diskuterat två olika modeller för hur ändamålen skulle kunna anges uttömmande i lagen. Utredningen återkommer i det följande till dessa båda modeller. Därefter diskuteras en modell som innebär att det överlåts på de person- uppgiftsansvariga i respektive verksamhet att – inom en i lagen föreskri- ven ram – själva ange ändamålen med behandlingen av personuppgifter. Först bör emellertid något sägas om förslag till ändamålsbestämmelse i den av kommittén föreslagna lagen om doku- mentation och socialtjänstregister m.m. (SOU 1995:86). Socialtjänst- kommitténs förslag har redovisats utförligt i avsnitt 5. föreslog att ändamålet med ett socialtjänstre- gister skulle vara handläggning av ärenden och verkställighet av beslut inom verksamhetsområden. Med socialtjänst förstods verksamhet enligt lagstiftningen om socialtjänst och den särskilda lag- stiftningen om vård av unga och av missbrukare utan samtycke samt verksamhet i annat fall som enligt lag handhas av den kommunala nämnd som utövar ledningen av . Med socialtjänst jäm- ställdes ärenden om bistånd åt asylsökande och andra utlänningar, ären- den om introduktionsersättning för flyktingar och vissa andra utlänning- ar, ärenden om tillstånd till riksfärdtjänst samt verksamhet enligt lag- stiftningen om stöd och service till vissa funktionshindrade. Tanken var att mer specificerade ändamål skulle anges i till lagen anslutande förord- ningar och att registren således skulle få användas endast i enlighet med föreskrifter som regeringen meddelade. Registren skulle få användas även för förberedande åtgärder för handläggningen samt för tillsyn, upp- följning, utvärdering och framställning av statistik. Vid remissbehandlingen av betänkandet riktades ingen särskild kritik mot det sätt på vilket ändamålsbestämmelsen hade utformats. Datain- spektionen framhöll dock att man borde avstå från detaljreglering i förord- ningar och i stället överlåta en större del av ansvaret på de registeransvariga. Den mesta kritiken föranleddes av att det i den föreslagna lagen inte konkret angavs vilka uppgifter som skulle få förekomma i registren. 154 En ny lag om behandling av personuppgifter... ligt kommitténs förslag skulle ett socialtjänstregister få innehålla endast de uppgifter som behövdes för sådan handläggning av ärenden och verk- ställighet av beslut inom verksamhetsområden som av- sågs i den föreslagna lagen. Utredningen återkommer i avsnitt 6.4 till vilka personuppgifter som bör få behandlas inom . Ändamålen med behandlingen anges uttömmande i lagen I lagen anges endast ett ändamål (modell 1) Den första modell som utredningen har diskuterat för hur ändamålen skulle kunna anges uttömmande i lagen, innebär att det i en ändamålsbe- stämmelse anges endast ett ändamål. En sådan bestämmelse skulle med nödvändighet bli ganska vid till sin utformning, eftersom det inte är möj- ligt att i en ändamålsbestämmelse, av det slag som Datainspektionen har meddelat i sina tillståndsbeslut, fånga en verksamhet som är så omfat- tande och mångskiftande som . Detta framgår av den ge- nomgång som utredningen gjort av olika tillståndsbeslut som rör social- tjänsten (se avsnitt 3) och av de samtal som utredningen har haft med företrädare för olika myndigheter. Det kan i sammanhanget påpekas att även förslag, som sagts, innebar att re- geringen skulle ange särskilda ändamål för de olika register som skulle inrättas. Ändamålsbestämmelsen skulle kunna utformas så att den innebär att personuppgifter får behandlas för att en arbetsuppgift inom socialtjäns- ten skall kunna utföras. Ett sådant ändamål skulle, menar utredningen, vara berättigat i den betydelsen att det inte står i strid med vad EG- direktivet och personuppgiftslagen anger om när behandling av person- uppgifter är t illåten, dvs. behandlingen kan hänföras under artikel 7 i EG-direktivet och 10 § personuppgiftslagen. Det är nödvändigt att inom få behandla personuppgifter datoriserat eller manuellt i register. I annat fall skulle den verksamheten, som är av allmänt intresse, inte kunna bedrivas över huvud taget. Det finns vissa fördelar med att ange endast ett ändamål. Under för- utsättning att personuppgifterna be hövs för att en arbets uppgift inom skall kunna utföras, får personuppgifterna samlas in och de kan sedan – i den mån sekretess inte lägger hinder i vägen – flöda fritt inom och användas för alla de skilda arbetsuppgifter som förekommer där. Begreppet socialtjänst definieras i 2 § 1–9 (se avsnitt 6.2.1). Det skulle således inte spela någon roll i vilket sammanhang per- sonuppgifterna samlats in inom . Uppgifter som samlats in för att en arbetsuppgift enligt lagen (1993:387) om stöd och service till SOU 1999:109 En ny lag om behandling av personuppgifter... 155 vissa funktionshindrade behöver utföras, skulle exempelvis kunna an- vändas – behandlas – för att handlägga ett ärende om parkeringstillstånd för rörelsehindrade. Så länge personuppgifterna behandlas för det angiv- na ändamålet är behandlingen ju tillåten. För något annat ändamål skulle de insamlade personuppgifterna däremot över huvud taget inte få använ- das inom . I vilken utsträckning uppgifterna skulle kunna användas utanför skulle få avgöras efter en tillämpning av personuppgiftslagen och av de sekretessbestämmelser som gäller för uppgifterna. Det torde knappast råda något tvivel om att en ordning som den nu diskuterade skulle vara praktisk i det dagliga arbetet inom . En personuppgift kan nämligen vara användbar i en rad olika samman- hang inom , utan att den nya användningen behöver innebä- ra något negativt för den enskilde. Det kan tvärtom vara till fördel för denne. Det kan t.ex. vara svårt att redan när personuppgifterna samlas in avgöra när uppgifterna senare kan behövas igen. I perso- nakter samlas uppgifter som inte hänför sig till endast ett ärende, utan i en och samma akt finns det uppgifter som rör olika delar av socialtjänst- verksamheten. En socialtjänstakt kan liknas närmast vid en dossier, i vilken sammanförs handlingar om en viss persons olika ärenden inom . Hanteringen och lagringen av personuppgifter inom soci- altjänsten är således – till skillnad från vad som är fallet vid nästan all annan offentlig handläggning – uppbyggd efter person i stället för ären- de. Det är också förklaringen till att just akthantering är undantagen från kravet på att diarieföra alla inkomna handlingar; man kan ju ändå enkelt hitta alla handlingar om en person genom att titta i dennes akt (jfr 5 § sekretessförordningen 1980:657). En ändamålsbestämmelse som är något lite vidare till sin utformning blir också mer flexibel och hindrar eller försvårar inte en förändring av verksamheten. En nackdel med att ha alltför preciserade ändamålsbe- stämmelser är att det finns en risk för att vissa arbetsuppgifter inte kan utföras, eftersom de inte går att föra in under en ändamålsbestämmelse. Man bör ha i åtanke att denna lagstiftning, till skillnad från datalagen, skall reglera inte bara den automatiserade behandlingen av personuppgifter utan även behandling i register. Personuppgifter får ju behandlas, t.ex. anteck- nas i en personakt eller användas i ett annat ärende, endast om åtgärden ryms under ändamålsbestämmelsen. Det finns emellertid även nackdelar med ett ändamål som utformas på det angivna sättet. För det första är det, menar utredningen, mycket tvek- samt om en sådan ändamålsbestämmelse uppfyller EG-direktivets och personuppgiftslagens krav på att ändamålen skall vara särskilda . Vad som närmare avses med detta framgår visserligen varken av EG-direktivet eller av förarbetena till personuppgiftslagen. 156 En ny lag om behandling av personuppgifter... SOU 1999:109 uttrycket särskilda innebär att en alltför allmänt hållen ändamålsangivelse inte godtas. Kommittén menade att det i praxis får avgöras hur detaljerad ändamålsangivelsen skall vara för att uppfylla personuppgiftslagens och direktivets krav (SOU 1997:39 s. 350) samt påpekade att regeringen och Datainspektionen kan utfärda mer preciserade regler, t.ex. för olika typsituationer. Några sådana föreskrifter har emellertid ännu inte utfärdats. Kommittén nämnde vidare att det är möjligt att ange flera ändamål när uppgifterna samlas in. 1997/98:44 Personuppgiftslag lämnades ingen ledning för hur uttrycket skall tolkas. Man kan när det gäller tolkningen av begreppet särskilda få viss led- ning av EG-direktivets och personuppgiftslagens krav på att personupp- gifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler uppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (artikel 6 c i EG-direktivet och 9 § första stycket e och f personuppgiftslagen). Om inte ändamålet har en viss grad av precision, kan man knappast bedöma huruvida personuppgifterna är adekvata och relevanta eller om för många personuppgifter behandlas. En personuppgift torde vara nödvändig för ett visst ändamål, om än- damålet inte kan realiseras om inte personuppgiften får användas. Kan man inte avgöra vilka person uppgifter som behövs för att ändamålet skall kunna uppfyllas, torde ändamålet inte vara särskilt utan allmänt . Ett skäl för denna tolkning är EG-direktivets krav på att personuppgifter skall vara relevanta och inte överflödiga i förhållande till sina ändamål. Det är emellertid – innan praxis utvecklats på området eller särskilda föreskrifter utfärdats – mycket svårt att ha en bestämd uppfattning om vad som avses med uttrycket att ändamålen skall vara särskilda . Vad man däremot kan säga är att det finns en inte obetydlig risk för att ett ändamål som det angivna skulle anses vara alltför allmänt hållet och att det följaktligen inte skulle godtas. En annan fråga är om det från integritetssynpunkt är godtagbart att den stora mängd personuppgifter som finns och kommer att finnas inom utan hinder av lagen kan flöda så fritt inom som skulle bli fallet om ändamålet utformades på det sätt som disku- teras. Enligt vad som sagts utredningen är detta relativt fria flöde av perso- nuppgifter emellertid en förutsättning för att systemet med social- tjänstakter skall kunna användas. De risker från integritetssynpunkt som är förenade med att det i en socialtjänstakt kan finnas en stor mängd per- sonuppgifter tas om hand av andra regler än datas kyddslagstift- ning. Sekretesslagen hindrar i vissa fall att uppgifter lämnas till andra myndigheter eller att uppgifter lämnas mellan olika verksamhetsgrenar inom . Andra begränsningar kan följa av en eventuell intern En ny lag om behandling av personuppgifter... 157 instruktion om åtkomst till personuppgifter inom den behandlande orga- nisationen. Vidare finns i viss lagstiftning regler som innebär ett kom- plement till reglerna om sekretess. T.ex. föreskrivs i 51 § andra stycket socialtjänstlagen att handlingar som rör enskildas personliga förhållan- den skall förvaras så att den som är obehörig inte får tillgång till dem. Enligt förarbetena får obehörig anses vara envar som inte har legitim anledning att ta del av handlingen i sin tjänsteutövning (prop. 1979/80:1 om s. 563). Härtill kommer förvaltningslagens (1986:223) krav på kommunikation (17 §) innan uppgifter läggs till grund för ett avgörande. Enligt utredningens uppfattning innebär de nu re dovisade bestämmel- serna ett godtagbart integritetsskydd för den enskilde. Den kanske mest allvarliga invändningen som kan riktas mot den nu diskuterade modellen är emellertid att den registrerade skulle ha mycket svårt att bilda sig en uppfattning om i vilka sammanhang uppgifter som samlas in beträffande honom eller henne kan användas. I person uppgifts- lagen finns ett antal olika bestämmelser (23–27 §§) om information till den registrerade. Frågan om vilka regler om information som skall gälla vid behandling av personuppgifter med stöd av denna lag berörs i avsnitt 6.10. Den enda information som den registrerade skulle få om man angav ändamålet på det sätt som diskuteras, är att de personuppgifter som samlas in får behandlas för att en arbetsuppgift inom – vilken som helst – skall kunna utföras. Så snart en arbetsuppgift inom – en verksamhet som spänner över ett mycket stort område – behöver utföras skulle uppgifterna således kunna användas. Enligt utredningens uppfattning bör den enskilde när han lämnar uppgifter till , kanske i ett biståndsärende, ha klart för sig vad dessa uppgifter kan komma att användas t ill. Ett av syften med EG- direktivet och personuppgiftslagen är nämligen att s kydda fysiska perso- ners grundläggande fri- och rättigheter, särskilt rätten till privatlivet, i samband med behandling av personuppgifter. EG-direktivets och perso- nuppgiftslagens bestämmelser om information till den registrerade syftar just till att ge den enskilde en reell möjlighet att bevaka hur uppgifter som samlats in beträffande honom eller henne används. Med allmänt hållna ändamål som det nu beskrivna blir emellertid detta endast en chi- mär. Vid en samlad bedömning anser utredningen att det – även om det skulle innebära vissa fördelar – inte är någon framkomlig väg att i lagen ange endast ett ändamål för behandlingen av personuppgifter inom soci- altjänsten. För det första är det mycket som talar för att en sådan ända- målsbestämmelse inte uppfyller EG-direktivets och personuppgiftslagens krav på att ändamålen skall var särskilda. För det andra skulle den re- 158 En ny lag om behandling av personuppgifter... gistrerade knappast ha någon möjlighet att bevaka hur uppgifter som gäller honom eller henne används. En sådan lösning bör följaktligen inte väljas. Det kan noteras att ändamålsbestämmelse visserligen var relativt allmänt hållen, men tanken var att regeringen i förordning beträffande varje särskilt socialtjänstregister skulle ange pre- ciserade ändamål. I lagen anges flera olika ändamål (modell 2) I den andra modell som utredningen har diskuterat skulle anges inte en- dast ett ändamål, utan flera särskilda ändamål för när personuppgifter får behandlas inom . Denna uppräkning skulle vara uttöm- mande. Som tidigare nämndes är det inget i EG-direktivet eller person- uppgiftslagen som hindrar att det redan vid insamlande av uppgifter an- ges flera olika ändamål för behandlingen. Den största fördelen med en sådan modell är att den enskilde, genom att det är angivet flera olika preciserade ändamål, skulle få en bättre och klarare uppfattning om i vilka sammanhang insamlade personuppgifter beträffande honom kan användas. Utredningen har diskuterat en ändamålsbestämmelse som hade kun- nat se ut enligt följande. Ändamålen med behandlingen inom social- tjänsten skall vara a) handläggning och dokumentation av ärenden eller vård och behandling, b) förandet av socialtjänstakt, c) fakturering, debi- tering och ekonomisk redovisning, d) uppgiftsutlämnande som är t illåtet enligt författning, e) uppföljning, utvärdering, kontroll, tillsyn och kva- litetssäkring, samt f) arkivering. Även mot denna modell kan det emellertid riktas invändningar. Enligt utredningens uppfattning skiljer sig en sådan bestämmelse inte på något avgörande sätt från den ändamålsbestämmelse som diskuterades i den tidigare modellen. Man kan i allt väsentligt rikta samma kritik mot denna bestämmelse. Eftersom det är svårt att förutse för vilka ändamål person- uppgifter kan behöva behandlas inom , beroende på att det är fråga om en mycket bred verksamhet, har ändamålsbestämmelsen – för att inget ändamål skall falla utanför – fått en förhållandevis allmän utformning. Det finns därför även med denna modell en viss risk för att den inte uppfyller EG-direktivets och personuppgiftslagens krav på att ändamålen skall vara särskilda. Vidare framstår en sådan ändamålsbe- stämmelse för den registrerade som föga upplysande. Den ger knappast den enskilde mer information om vad insamlade personuppgifter kan användas till än den tidigare diskuterade modellen. En ny lag om behandling av personuppgifter... 159 Vill man att ändamålen skall vara mer preciserade än som redovi- sats skulle listan över olika ändamål troligen behöva bli mycket lång och det skulle ändå kvarstå en risk för att ett angeläget ändamål inte tagits med i den uttömmande uppräkningen. Personuppgifter skulle ju få be- handlas inom endast om behandlingen rymdes under något av de angivna ändamålen.