sou · GNB3109 · 2000-01-01 00:00:00 — att man inte bör särskilt begränsa möjligheterna att söka information. Det kan i sam- manhanget framhållas att det var endast några få remissinstanser som framförde invändningar mot kommitténs förslag till i princip obegränsa- de sökmöjligheter i registren. Visserligen kan man, som påpekade, utgå från att vid normal ärendehandläggning en- dast namn och personnummer kommer att behöva användas som sökbe- grepp. Emellertid kan de uppgifter som finns inom be höva användas även i en rad andra sammanhang, t.ex. för tillsyn, uppföljning, utvärdering, forskning, statistik eller uppgiftsutlämnande som följer av lag eller förordning. Risken med att i författning uttömmande reglera vilka sökbegrepp som får eller inte får användas är att man därigenom kan hindra att verksamheten inom bedrivs på ett modernt, effektivt och rationellt sätt. Det bör i möjligaste mån undvikas att infor- mation som behövs i ett visst ärende och som – om möjligheterna till sökning var i princip obegränsade – skulle kunna tas fram sekundsnabbt, kräver eller stora resurser att ta fram. I sämsta fall kan en regle- ring av vilka sökbegrepp som får användas få till följd att den eftersökta informationen över huvud taget inte kan tas fram. SOU 1999:109 En ny lag om behandling av personuppgifter... 177 I vilken utsträckning personuppgifter skall få användas som sökbe- grepp får, menar utredningen, bedömas efter en avvägning mellan å ena sidan den enskildes intresse av integritetsskydd och å andra sidan det allmänna intresset att verksamheten inom bedrivs på ett effektivt sätt. Frågan är emellertid om inte de övriga regler som kommer att gälla för behandlingen av personuppgifter inom innebär ett t ill- fredsställande integritetsskydd och att det således inte finns något behov av att begränsa vilka uppgifter som får användas för att söka informa- tion. För det första innebär de sekretessbestämmelser som gäller för upp- gifterna (t.ex. 7 kap. 4 § sekretesslagen) ett mycket starkt skydd. Upp- gifterna kan i princip inte användas utanför . Sekretessen gäller också mellan myndigheter på område. I sammanhanget kan också nämnas att bestämmelsen i 51 § andra stycket socialtjänstlagen, om vad som kan kallas för inre sekretess, inne- bär att endast den som har legitim anledning att ta del av en handling i sin tjänsteutövning är behörig att göra det. (se bl.a. avsnitt 6.14). För det andra begränsas sökmöjligheterna av personuppgiftslagens bestämmelse (9 § första stycket d) om att redan insamlade personupp- gifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Det går alltså inte att söka förutsättningslöst i informationsmängden. Slutligen innebär förbudet i 59 § socialtjänstlagen (1980:620) mot att i s.k. sammanställningsregister hos socialnämnden ta in uppgifter om ömtåliga personliga förhållanden en ytterligare begränsning av sökmöj- ligheterna. Även om en viss behandling skulle vara ändamålsenlig kan den nämligen ändå vara otillåten, eftersom man vid behandlingen kom- mer i konflikt med förbudet i 59 § socialtjänstlagen. I ett sådant sammanställningsregister – som kan skapas just genom användandet av sökbegrepp, t.ex. när man tar fram en förteckning över missbrukare i en kommun – får, förutom vidtagna åtgärder som innefat- tar myndighetsutövning, endast tas in uppgifter som inte är integri- tetskänsliga, t.ex. namn, adress, civilstånd, födelsedatum och yrke. (Som framgått av avsnitt 6.1.5 innebär utredningens förslag en viss förändring av förbudet i 59 §, nämligen att bestämmelsen inte skall hindra att per- sonuppgifter behandlas hos , utvärdering, kvalitetssäkring, forskning och framställning av statistik.) En sådan sammanställning över missbrukare skulle alltså inte vara tillåten enligt gällande rätt, och – med utredningens förslag – endast om förteckningen skulle användas för något av de ändamål som nämndes. Visserligen är 59 § socialtjänstlagen inte tillämplig i alla de samman- hang där personuppgifter behandlas inom , men det är i 178 En ny lag om behandling av personuppgifter... socialnämndernas akter som den största mängden integritetskänslig in- formation finns. Det kan påpekas att det i Datainspektionens beslut enligt datalagen inte sällan togs in en föreskrift av innebörd att det aktuella registret fick innehålla det slag av uppgifter och bearbetas på det sätt som angetts i ansökan, under förutsättning att personregistret därmed inte kom att fö- ras i strid med 59 § socialtjänstlagen och föreskrifter SOSFS (S) 1981:126 om personregister inom . Vid en samlad bedömning anser utredningen att de nu redovisade be- stämmelserna innebär ett tillräckligt integritetsskydd vid behandling av personuppgifter inom och att det således inte finns något behov av att i den föreslagna lagen särskilt begränsa användningen av de personuppgifter som får användas som sökbegrepp. Vid denna bedöm- ning har utredningen utgått från att den personuppgiftsansvarige utfor- mar de tekniska systemen så att i princip endast behöriga personer kan göra sökningar samt att det finns behörighetskontrollsystem och att det i efterhand går att fastställa vilka personer som har tagit del av informa- tion (loggning). Den enskilde handläggarens sökmöjligheter torde kunna begränsas mycket kraftigt (jfr bl.a. 51 § andra stycket socialtjänstlagen). Den personkrets som arbetar med uppföljning, utvärdering, kvalitetssäk- ring, forskning och framställning av statistik – och som naturligtvis är beroende av att kunna söka information i en helt annan omfattning än en enskild handläggare – torde i de flesta fall kunna begränsas till ett mini- mum. Enligt utredningens uppfattning står en sådan lösning också bäst i överensstämmelse med EG-direktivet och personuppgiftslagen. Person- uppgiftslagen innebär ju ett t illståndslöst system där det direkt i lagen anges under vilka förutsättningar personuppgifter får behandlas i sam- hället. Den som behandlar personuppgifter på ett sätt som strider mot personuppgiftslagen riskerar att få utge skadestånd till den registrerade. I vissa fall kan straff också komma i fråga. Att då införa restriktioner när det gäller sökbegrepp – för att därigenom ytterligare förvissa sig om att insamlade personuppgifter inte behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in, dvs. i strid med personuppgiftslagen, är enligt utredningen inte påkallat. Det sagda gäller i synnerhet som det huvudsakligen kommer att vara myndigheter som har att tillämpa lagen om behandling av personuppgifter inom . En ny lag om behandling av personuppgifter... 179 Utredningens bedömning: Det saknas anledning att ha en särskild bestämmelse som tillåter eller förbjuder att de uppgifter som finns in- om samkörs. Samkörning av uppgifter från två register som förs med hjälp av auto- matiserad behandling innebär i praktiken att ett nytt register upprättas. Av den anledningen krävdes enligt datalagen (1973:289) formellt t ill- stånd för samkörning, om inte registreringen av uppgifterna eller utlämnan- det av dessa skedde med stöd av författning, Datainspektionens beslut eller den registrerades medgivande. föreslog i betänkandet Dokumentation och so- cialtjänstregister (SOU 1995:86) att uppgifter i ett socialtjänstregister som huvudregel skulle kunna hämtas från ett annat sådant register. Re- geringen skulle dock genom föreskrifter i förordning kunna begränsa möjligheterna till samkörning. Enligt skulle ett socialtjänstregister med nödvändighet behöva tillföras uppgifter från andra register, inte minst vid handläggning av olika slags förmåner. En förutsättning för detta skulle enligt förslaget dock vara att regeringen föreskrivit vilka uppgifter som fick överföras. förslag var anpassat efter regleringen i datalagen (betänkandet s. 147). Enligt personuppgiftslagen (1998:204), som innebär ett t illståndslöst system, är däremot samkörning tillåten så länge behandlingen är förenlig med det ändamål för vilka personuppgifterna ursprungligen samlades in. Vidare måste behandlingen – samkörningen – för det nya ändamålet, liksom behandlingen för de ursprungliga ändamålen, kunna hänföras under något av de tillåtna fall av behandling som anges i 10 § perso- nuppgiftslagen och, om känsliga personuppgifter skall behandlas, dess- utom vara tillåten enligt 13–20 §§ samma lag. Sekretessbestämmelser och bestämmelsen i 59 § socialtjänstlagen (se avsnitt 6.1.5) kan också hindra att uppgifter samkörs. Eftersom bestämmelsen i 9 § första stycket d personuppgiftslagen, vilken bestämmelse skall gälla även vid behandling av personuppgifter inom , innebär att personuppgifter får behandlas för andra ändamål än de för vilka uppgifterna ursprungligen samlades in bara om de nya ändamålen inte är oförenliga med de ursprungliga ändamålen, behövs ingen bestämmelse som tillåter eller förbjuder samkörning av personuppgifter som finns inom . Denna bestämmelse, och föreskrifterna i 9 § första stycket e och f personuppgiftslagen – att de personuppgifter som behandlas skall vara 180 En ny lag om behandling av personuppgifter... adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler uppgifter får behandlas än som är nödvändigt med hän- syn till ändamålen med behandlingen – innebär, menar utredningen, ett tillräckligt integritetsskydd för den enskilde. I praktiken begränsar dessa bestämmelser möjligheterna till samkörning på ett sätt som är godtagbart från integritetssynpunkt som de innebär att personuppgifter kan samköras när det är ändamålsenligt och lämpligt. Som inledningsvis nämndes kan också bestämmelsen i 59 § socialtjänstlagen och sekretess- bestämmelser hindra att uppgifter samkörs. Sammanfattningsvis föreslår utredningen således att det i lagen inte tas in någon särskild bestämmelse om samkörning av personuppgifter som finns inom . 6.8Utlämnande av personuppgifter på medium för automatiserad behandling Utredningens bedömning : Någon regel som tillåter att person upp- gifter inom får lämnas ut på medium för automatiserad behandling behövs inte. Person uppgifter får lämnas ut på vilket medi- um som helst om behandlingen – utlämnandet – inte är oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in. Detta följer direkt av personuppgiftslagen (1998:204). Det finns inte heller tillräcklig anledning att förbjuda att person uppgifter lämnas ut på ett sådant medium. Sekretesslagen (1980:100) eller andra bestämmelser kan dock hindra att uppgifterna över huvud taget får lämnas ut. Enligt 11 § datalagen (1973:289) gällde att personuppgift som ingick i personregister inte fick lämnas ut, om det fanns anledning anta att upp- giften skulle användas för automatisk databehandling i strid med datala- gen. Vidare föreskrevs i bestämmelsen att, om det fanns anledning att anta att personuppgift skulle användas för automatisk databehandling i utlandet, uppgiften fick lämnas ut endast efter medgivande av Datain- spektionen. Motsvarande bestämmelse för myndigheter fanns tidigare i 7 kap 16 § sekretesslagen (1980:100). De redovisade bestämmelserna innebar i praktiken att ett utlämnande på ADB-medium krävde att mottagaren hade tillstånd av Datainspektio- nen eller författningsstöd för att föra ett personregister med de uppgifter som lämnades ut. SOU 1999:109 En ny lag om behandling av personuppgifter... 181 föreslog i betänkandet Dokumentation och so- cialtjänstregister (SOU 1995:86) att uppgifter från ett socialtjänstregis- ter skulle få lämnas ut på ADB-medium, endast om det följde av lag eller förordning eller om uppgiften skulle användas för forskning och statistik. Kommitténs förslag var anpassat efter regleringen i datalagen och sek- retesslagen. Till skillnad från datalagen kräver person uppgiftslagen (1998:204) inte tillstånd för att behandla – t.ex. registrera – person uppgifter. Den nämnda bestämmelsen i sekretesslagen innebär endast att sekre- tess gäller för personuppgift, om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen. Det finns alltså inte längre någon allmänt tillämplig bestämmelse i lagstiftningen som hindrar att personuppgifter får lämnas ut på medium för automatiserad behandling. Om inget annat har föreskrivits får perso- nuppgifter – under förutsättning att utlämnandet (behandlingen) är t illå- ten enligt personuppgiftslagen och eventuellt anslutande speciallagstift- ning – lämnas ut på vilket medium som helst, även på medium för auto- matiserad behandling. Bestämmelser om sekretess kan dock hindra att uppgifterna över huvud taget får lämnas ut. I vissa fall, t.ex. i 64 § soci- altjänstlagen (1980:620), finns särskilda bestämmelser om utlämnande av personuppgifter som tar över personuppgiftslagens bestämmelser. Följaktligen behövs ingen regel som tillåter att person uppgifter inom får lämnas ut på medium för automatiserad behandling. Inte heller finns det – menar utredningen – från integritetssynpunkt till- räckliga skäl för att i lagstiftningen förbjuda att personuppgifter inom lämnas ut på ett sådant medium. Personuppgifterna kom- mer nämligen i princip inte att användas utanför och de omgärdas av en sträng sekretess. Det framstår också som mindre lämp- ligt att förhindra att uppgifter – som får lämnas ut – kan lämnas ut på ett modernt och rationellt sätt. När det gäller en begäran om utlämnande av allmänna handlingar med stöd av offentlighetsprincipen bör framhållas att myndigheten själv bestämmer i vilken form uppgifterna skall lämnas ut. Enligt 2 kap. 13 § tryckfrihetsförordningen föreligger nämligen ingen skyldighet för en myndighet att lämna ut uppgifterna på ADB-medium. Det kan i sam- manhanget nämnas att bl.a. denna regel är föremål för översyn av en av regeringen tillkallad kommitté, Kommittén om offentlighetsprincipen och IT samt översyn av sekretesslagen m.m. (dir. 1998:32). 182 En ny lag om behandling av personuppgifter... Utredningens bedömning: De sekretessbestämmelser som gäller vid behandling av personuppgifter inom (bl.a. 7 kap. 4 § sekretesslagen 1980:100 och 51 § andra stycket socialtjänstlagen 1980:620) innebär, oavsett om det är fråga att lämna ut uppgifter på papper eller om det rör sig om direktåtkomst, ett mycket starkt skydd för personuppgifterna. Vidare innebär personuppgiftslagens (1998:204) regler om att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen, samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket d, e och f) ett ytterli- gare skydd för person uppgifterna. Även detta gäller oavsett på vilket medium uppgifterna tas fram. Det finns inget behov av att härutöver föreslå en regel som innebär begränsningar av åtkomsten till perso- nuppgifter som behandlas automatiserat inom . Den som har direktåtkomst till information som behandlas automatiserat kan, när han eller hon vill, ta del av informationen på en bildskärm. Åt- komsten kan avse all information som finns eller endast en del av denna. Direktåtkomst ger inte i sig möjlighet att påverka informationsinnehållet. För att undanröja eventuella missförstånd bör framhållas att begrep- pet direktåtkomst här och i det följande inte är begränsat till när någon utanför den personuppgiftsansvariges organisation får direktåtkomst till den information som finns. Även den som inom den personupp- giftsansvariges organisation, när han eller hon vill, kan ta del av infor- mationen på en bildskärm anses ha direktåtkomst. En reglering i lag av tillhandahållande av person uppgifter avser det sätt på vilket uppgifterna får t illhandahållas och inte frågan om uppgif- terna får lämnas ut. En första förutsättning för att någon skall ha rätt att ta del av personuppgifter inom är således att uppgifterna inte är sekretessbelagda i förhållande till den som vill ta del av dem. Det är viktigt att framhålla att en regel om direktåtkomst inte bryter reglerna om sekretess. Frågan om sekretess behandlas i avsnitt 6.14. Om ett ut- lämnande av personuppgifter kan ske, blir det aktuellt för den perso- nuppgiftsansvarige att med beaktande av lagens bestämmelser om di- rektåtkomst och om utlämnade på medium för automatiserad behandling ta ställning till på vilket sätt uppgifterna skall t illhandahållas. SOU 1999:109 En ny lag om behandling av personuppgifter... 183 utlämnande av personuppgifter på medium för automatiserad behandling har behandlats i avsnitt 6.8. I sammanhanget kan också nämnas att bestämmelsen i 51 § andra stycket socialtjänstlagen, om vad som kan kallas för inre sekretess, inne- bär att endast den som har legitim anledning att ta del av en handling i sin tjänsteutövning är behörig att göra det (se bl.a. avsnitt 6.14). I lagstiftning som tar sikte på automatiserad behandling av person- uppgifter brukar det ofta framhållas att direktåtkomsten – av hänsyn till kravet på skydd för den registrerades personliga integritet – bör hållas begränsad. T.ex. finns särskilda begränsningar av direktåtkomsten i lagen (1998:543) om hälsodataregister (8 §), i lagen (1998:544) om vårdregister (8 §) och i lagen (1998:938) om behandling av personupp- gifter om totalförsvarspliktiga (12 §). föreslog i betänkandet Dokumentation och so- cialtjänstregister (SOU 1995:86 s. 148 f.) att endast den som var regis- teransvarig skulle ha direktåtkomst till uppgifter i ett socialtjänstregister. Från denna regel gjordes dock undantag för dels kommuner där ansvaret inom ett sekretessområde var uppdelat på flera nämnder (kommitténs förslag innebar också vissa ändringar i sekretesslagstiftningen), dels för de institutioner för vilka ansvarade. Dessa institutioner föreslogs få direktåtkomst till en del av de uppgifter som fanns i styrelsens centralt förda register. Institutionerna skulle emellertid enligt förslaget få tillgång till endast de uppgifter som avsåg de personer som var föremål för vård vid den egna institutionen. Remissinstanserna synes ha godtagit kommitténs förslag i denna del. Många remissinstanser betonade dock vikten av sekretess och integritet vid åtkomst och utlämnande av uppgifter. En kommun ansåg att den fö- reslagna regleringen borde förtydligas så att även nämnder, som har en- dast vissa uppgifter inom och inte förfogar över registret i sådan utsträckning att de blev registeransvariga, kunde komma åt upp- gifter. Även kommunstyrelsen måste, menade samma kommun, ges di- rektåtkomst till socialtjänstregister i den utsträckning som behövs för att utöva övergripande ledning över kommunens socialtjänst. Statens insti- tutionsstyrelse tillstyrkte kommitténs förslag och föreslog därutöver – för att kunna fullfölja sitt uppdrag avseende uppföljning och utvecklingsar- bete – en ändring i sekretesslagen Den föreslagna ändringen skulle inne- bära att styrelsen fick direktåtkomst till kommunens socialtjänstregister. De sekretessbestämmelser som gäller vid behandling av personupp- gifter inom (se avsnitt 6.14) innebär, oavsett om det är fråga att lämna ut uppgifter på papper eller om det rör sig om direktåt- komst, ett mycket starkt skydd för person uppgifterna. Vidare innebär personuppgiftslagens regler om att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades 184 En ny lag om behandling av personuppgifter... SOU 1999:109 in, att de personuppgifter som behandlas skall vara adekvata och rele- vanta i förhållande till ändamålen med behandlingen, samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till än- damålen med behandlingen (9 § första stycket d, e och f), ett ytterligare skydd för person uppgifterna. Även detta gäller oavsett på vilket medium uppgifterna tas fram. Enligt utredningen finns det inget behov av att härutöver föreslå en regel som innebär begränsningar av åtkomsten till personuppgifter som behandlas automatiserat inom . En regel om direktåtkomst bör följaktligen inte införas. Ett annat skäl till att inte särskilt reglera direktåtkomst till personuppgifter kan vara att det är svårt att överblicka i vilken utsträckning och i vilka sammanhang sådan åtkomst kan behö- vas . Utredningen vill emellertid framhålla att en förutsättning för att en lösning som den föreslagna skall ge ett tillräckligt integritetsskydd är att den personuppgiftsansvarige begränsar den krets av personer som har direktåtkomst till information – vilket redan med hänsyn till gällande sekretessregler är nödvändigt – och att det finns system för behörighets- kontroll. Utredningen har vid sin bedömning också utgått från att så blir fallet och att de tekniska systemen utformas så att det i efterhand går att fastställa vilka personer som har tagit del av information. Slutligen vill utredningen för tydlighets skull påpeka att direktåt- komst till information naturligtvis endast kan komma i fråga när de be- stämmelser som finns om sekretess medger det. Som inledningsvis nämndes är en första förutsättning för att någon skall ha rätt att ta del av personuppgifter inom att uppgifterna inte är sekretessbe- lagda i förhållande till den som vill ta del av dem. En ny lag om behandling av personuppgifter... 185 Utredningens bedömning : Personuppgiftslagens (1998:204) be- stämmelser om den personuppgiftsansvariges informationsplikt bör gälla även när personuppgifter behandlas inom . Några ytterligare bestämmelser om information behövs inte. I 23–27 §§ personuppgiftslagen (1998:204) finns bestämmelser om in- formation som den personuppgiftsansvarige skall lämna till den registre- rade. Dessa bestämmelser har sin motsvarighet i EG-direktivet. Perso- nuppgiftslagen går i detta avseende inte längre än vad direktivet kräver. Det bör framhållas att den skyldighet att informera som följer av per- sonuppgiftslagen i princip gäller utöver den informationsskyldighet som kan vara föreskriven enligt annan lagstiftning (prop. 1997/98:44 s. 79). En sådan informationsskyldighet följer av t.ex. 52 § socialtjänstlagen (1980:620), där det sägs att den enskilde bör hållas underrättad om de journalanteckningar och andra anteckningar som förs om honom. Enligt 23 § personuppgiftslagen skall den personuppgiftsansvarige i samband med att uppgifter om en person samlas in från personen själv , självmant lämna den registrerade information om behandlingen av upp- gifterna. Huvudregeln torde vara att den registrerade får informationen innan han eller hon lämnar uppgifter eller uppgifterna annars samlas in från honom eller henne (och , Person kommentar, 1998, s. 125). När uppgifterna samlas in från någon annan källa de, t.ex. genom samkörning, överföring av register, via tidningsuppgifter eller via andra personer, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras (24 §), dvs. när de matas in i en dator eller sorteras in i ett sådant manuellt register som omfattas av lagen. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Av 24 § andra stycket följer att information inte behöver lämnas om det finns bestämmelser om registre- randet eller utlämnandet av personuppgifter i en lag eller någon annan författning. T.ex. innebär bestämmelsen i 19 § tredje stycket personupp- giftslagen att den forskare eller statistiker som i enlighet med bestämmel- sen samlar in personuppgifter från något annat håll än de registrerade inte behöver informera de registrerade om sin behandling. Vidare behö- ver information inte heller lämnas om detta visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Detta följer av 24 § tredje stycket. Om uppgifterna används för att vidta åtgärder som rör 186 En ny lag om behandling av personuppgifter... SOU 1999:109 den registrerade, skall dock information lämnas senast i samband med att så sker.