sou · GNB3109 · 2000-01-01 00:00:00 — Behandling av sådana uppgifter får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i na- tionell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock föras endast under kontroll av en myndighet. Det är vidare till- låtet för medlemsstaterna att föreskriva att uppgifter som rör administrativa sanktioner eller avgöranden i tvistemål också skall be- handlas under kontroll av en myndighet. Som inledningsvis nämndes finns i 21 § personuppgiftslagen ett för- bud för andra än myndigheter att behandla person uppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. 168 En ny lag om behandling av personuppgifter... SOU 1999:109 administrativa frihetsberövanden nämns i förarbetena (a. prop. s. 76) tvångsingripanden enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård, lagen (1967:940) angående omsorger om vissa psykiskt utvecklingsstörda och utlänningslagen (1989:529). Datainspektionen har med stöd av 21 § personuppgiftslagen och 8 § personuppgiftsförordningen (1998:1191) beslutat föreskrifter om un- dantag från förbudet (1998:3). Enligt dessa föreskrifter (1 § a) får utan hinder av förbudet i 21 § personuppgiftslagen sådana uppgifter be- handlas bl.a. om behandlingen är nödvändig för att fullgöra en föreskrift Eftersom det uppenbarligen finns ett behov av att låta även andra än myndigheter behandla personuppgifter om lagöverträdelser som innefat- tar brott, domar i brottmål, straffprocessuella tvångsmedel eller admi- nistrativa frihetsberövanden, bör lagen tillåta att även sådana uppgifter får behandlas generellt inom . Detta förhållande torde be- höva anmälas till enligt artikel 8.6 i EG-direktivet. Datainspektionens nu nämnda föreskrift kan därmed – såvitt avser soci- altjänsten (1 § a) – upphävas. Vidare bör det vara tillåtet att föra över person uppgifter inom social- tjänsten till tredje land. Det torde visserligen bara ibland bli aktuellt att inom föra över personuppgifter till tredje land. Man kan t.ex. tänka sig att det kan ske i ett faderskapsärende. Det är tillåtet enligt EG-direktivet och personuppgiftslagen att göra ytterligare undantag från förbudet mot överföring av personuppgifter till tredje land, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Sammanfattningsvis innebär alltså utredningens förslag att samtliga tänkbara kategorier av personuppgifter kommer att få behandlas inom . Eftersom uppgifterna kri nggärdas av en mycket sträng sekretess anser utredningen att det från integritetssynpunkt inte är något som hindrar en sådan ordning. Det bör dock särskilt framhållas att bestämmelserna i 9 § första stycket e och f personuppgiftslagen innebär begränsningar för när perso- nuppgifter får behandlas. De personuppgifter som behandlas skall enligt dessa bestämmelser vara adekvata och relevanta i förhållande till ända- målen med behandlingen och fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. En erinran om detta bör tas in i den föreslagna lagen. Även de bestämmelser som finns om dokumentation inom social- tjänsten (se avsnitt 4.3.4) sätter vissa gränser för vilka personuppgifter som får behandlas. Det följer exempelvis av 52 § socialtjänstlagen bl.a. att dokumentationen skall utformas med respekt för den enskildes integ- En ny lag om behandling av personuppgifter... 169 I förarbetena till den bestämmelsen (prop. 1996/97:124 s. 153) uttalade regeringen att det är väsentligt att dokumentationen blir både objektiv och saklig. Enligt regeringen är utgångspunkten att uppgifterna skall bygga på ett korrekt underlag och inte vara av nedsättande karak- tär. Vidare bör, menade regeringen, uppgifter om tredje person u ndvikas så långt det är möjligt. Utredningens bedömning : Det är inte nödvändigt – och knappast heller möjligt eller ens lämpligt – att i lagen bestämma vem som skall vara personuppgiftsansvarig för de behandlingar av personuppgifter som utförs inom . Frågan om vem som är personupp- giftsansvarig för en viss behandling av personuppgifter enligt denna lag bör i stället avgöras efter en tillämpning av bestämmelserna i personuppgiftslagen (1998:204). Någon särskild regel om detta behövs inte. Enligt definitionen i 3 § personuppgiftslagen (1998:204) är den person- uppgiftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Av definitionen följer att personuppgiftsansvaret kan delas av flera. Person- uppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § person- uppgiftslagen angivna grundläggande kraven på behandlingen av person- uppgifter iakttas. Vidare innebär personuppgiftsansvaret en skyldighet att lämna information till den registrerade (23–27 §§ personuppgifts- lagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 § personuppgiftslagen), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person uppgifter som behandlas (31 § personuppgiftslagen), att – enligt huvudregeln i 36 § personuppgiftslagen – anmäla all automatiserad behandling av person- uppgifter till Datainspektionen, samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 § per- sonuppgiftslagen). Vem som är personuppgiftsansvarig för en viss behandling får a vgö- ras efter en bedömning av de faktiska omständigheterna i det enskilda fallet. Inget hindrar emellertid att det genom lag eller förordning bestäms vem som är personuppgiftsansvarig. En sådan bestämmelse tar nämligen över regleringen i personuppgiftslagen (2 § personuppgiftslagen). 170 En ny lag om behandling av personuppgifter... I lagen (1998:938) om behandling av personuppgifter om totalför- svarspliktiga anges i 7 § uttryckligen att är per- sonuppgiftsansvarigt för den behandling av personuppgifter om totalför- svarspliktiga som verket utför. I lagrådsremissen i det lagstiftningsären- det förekom denna bestämmelse samt föreskrevs i en annan paragraf att vissa begrepp, bl.a. begreppet personuppgiftsansvarig, skulle ha samma betydelse som i personuppgiftslagen. I sitt yttrande framhöll Lagrådet (prop. 1997/98:80 s. 117) att – eftersom det i lagförslaget angavs för vilka ändamål det automatiska registret över totalförsvarspliktiga fick användas – det framstod som osäkert om skulle få sådant inflytande över ändamålen med behandlingen att verket uppfyller personuppgiftslagens definition på personuppgiftsansvarig. Till synes såsom en konsekvens härav föreslås också att det i 7 § införs en uttrycklig bestämmelse om att är personuppgifts- ansvarig för den behandling av personuppgifter om totalförsvarspliktiga som verket utför. Någon annan myndighet som får sådant inflytande torde inte finnas. Hänvisningen till personuppgiftslagens definition av person- uppgiftsansvarig synes av denna anledning böra utgå. Regeringen anslöt sig till vad Lagrådet anfört (a. prop. s. 45) samt uttal- ade att det – för att undanröja all osäkerhet kring frågan om personupp- giftsansvaret – i lagen bör anges att är person- uppgiftsansvarigt för den behandling av personuppgifter om totalför- svarspliktiga som verket utför. Även i lagen (1998:543) om hälsodataregister anges uttryckligen vem som är personuppgiftsansvarig. I 1 § sägs att central förvaltningsmyn- dighet inom hälso- och sjukvården får utföra automatiserad behandling av personuppgifter i hälsodataregister samt att den centrala förvaltnings- myndighet som utför behandlingen av person uppgifter är personuppgifts- ansvarig. Enligt vad som uttalades i förarbetena förekom vid den dåvarande tidpunkten personregister som kan utgöra hälsodataregister hos , och (prop. 1997/98:108 s. 90). Den angivna bestämmelsen fick denna utformning på förslag av Lag- rådet. Lagrådet påpekade i sitt yttrande (a. prop. s. 125) att enligt 4 § i lagförslaget skulle vissa begrepp, bl.a. begreppet personuppgiftsansva- rig, ha samma betydelse i den remitterade lagen som i personuppgifts- lagen. I 5 § det remitterade förslaget anges för vilka ändamål personuppgifter i ett hälsodataregister får behandlas. Dessa ändamål kan, som framgått av En ny lag om behandling av personuppgifter... 171 vad Lagrådet anfört i anslutning till 3 §, senare komma att preciseras i in- skränkande riktning genom föreskrifter som regeringen meddelar. Det framstår mot denna bakgrund som högst tveksamt om den centrala för- valtningsmyndigheten får ett sådant inflytande över ändamålen med be- handlingen att myndigheten blir att anse som personuppgiftsansvarig. För att undanröja all osäkerhet på denna punkt bör den i förevarande paragraf gjorda kopplingen till personuppgiftslagen slopas. I stället bör det remitte- rade förslaget kompletteras med en uttrycklig regel om att den centrala förvaltningsmyndighet som för registret är personuppgiftsansvarig. Däremot saknas motsvarande bestämmelse om personuppgiftsansvar i lagen (1998:544) om vårdregister. Även den lagen innehåller en uttöm- mande uppräkning av de ändamål för vilka personuppgifter får behand- las i ett vårdregister. Frågan om personuppgiftsansvar i vårdregisterla- gen berördes över huvud taget inte i förarbetena, varken av Lagrådet eller regeringen. I polisdatalagen (1998:622) sägs i 4 § att är per- sonuppgiftsansvarig för behandling av personuppgifter som avses i 23, 25 och 29 §§ [DNA-register, spårregister samt fingeravtrycks- och sig- nalementsregister]. I 32 § samma lag sägs att Säkerhetspolisen är perso- nuppgiftsansvarig för behandlingen av personuppgifter i . I polisdatalagen finns regler även om när personuppgifter får be- handlas i kriminalunderrättelseverksamhet (14 § ff.). Kriminalunderrät- telseregister får föras av eller av polismyndighet. Den myndighet som för registret är person uppgiftsansvarig för behandlingen av personuppgifter i registret (18 §). I betänkandet Dokumentation och socialtjänstregister (SOU 1995:86) föreslog att registeransvaret enligt datalagen (1973:289) för ett socialtjänstregister skulle ligga på den nämnd som enligt socialtjänstlagen utövar ledningen av och i övriga fall på den myndighet eller privata utövare som ansvarar för handlägg- ning av de ärenden och verkställighet av de beslut för vilka registret är inrättat. Remissinstanserna synes inte haft några invändningar mot att registeransvaret bestämdes på detta sätt. En remissinstans ansåg dock att ett förtydligande borde göras beträffande register som förs av , då det – menade remissinstansen – var oklart hur ansvaret för register skulle fördelas mellan styrelsen och de lokala insti- tutionerna. Som framgått av det redovisade finns det i den lagstiftning om be- handling av personuppgifter som innebär en specialreglering i förhållan- de till personuppgiftslagen inom vissa särskilda områden exempel dels på att det direkt i författningen angetts vem som är personuppgiftsansva- rig, dels på att frågan om personuppgiftsansvaret inte berörts. 172 En ny lag om behandling av personuppgifter... rianter förekommer således. Den sistnämnda lösningen innebär att per- sonuppgiftslagens regler gäller och att frågan om vem som är perso- nuppgiftsansvarig får a vgöras genom en tillämpning av den lagen. Eftersom ändamålen med behandlingen av personuppgifter inom so- cialtjänsten inte anges uttömmande i den förslagna lagen, är det – menar utredningen – inte heller nödvändigt att i lagen ange vem som skall vara personuppgiftsansvarig för respektive behandling. Den som svarar för behandlingen får nämligen sådant inflytande över behandlingen att per- sonuppgiftslagens definition på personuppgiftsansvarig är uppfylld (jfr Lagrådets ovan redovisade yttranden). Mot att i lagen peka ut vem som skall vara personuppgiftsansvarig talar också det förhållandet att lagen kommer att tillämpas av många olika aktörer, t.ex. kommuner, social- nämnder, stadsdelsnämnder, , bolag, förening- ar, samfälligheter, stiftelser och enskilda individer. Enligt utredningens uppfattning är det knappast mö jligt eller ens lämpligt att, i en lagstift- ning som omfattar ett så stort verksamhetsfält som och som berör så många olika aktörer, direkt i lagen reglera personupp- giftsansvaret. Det finns inte heller någon anledning att göra det. Reglerna om information (se avsnitt 6.10) innebär nämligen att den enskilde alltid kan få vetskap om den personuppgiftsansvariges identitet. Utredningen menar vidare att en bestämmelse om personuppgiftsansvar som b yggts upp på ungefär samma sätt som förslag till be- stämmelse om registeransvar inte skulle bli särskilt klargörande och där- för vara föga meningsfull. Utredningen föreslår således att frågan om vem som är personupp- giftsansvarig för en viss behandling skall avgöras efter en tillämpning av bestämmelserna i personuppgiftslagen. Personuppgiftsansvaret be höver då inte regleras i denna lag, eftersom personuppgiftslagen – i enlighet med vad som sagts – skall tillämpas även vid behandling av per- sonuppgifter inom om inget annat sägs. Inget hindrar emellertid – vilket kanske kan vara värdefullt - att man i en organisation genom interna föreskrifter anger vem som skall fullgöra de åligganden som ankommer på en personuppgiftsansvarig. Det bör dock framhållas att en sådan konstruktion inte i sig innebär att den utpekade är person- uppgiftsansvarig, det är – som har nämnts – de faktiska omstän- digheterna i det enskilda fallet som är avgörande, dvs. vem eller vilka som faktiskt har bestämt ändamålen med och medlen för behandlingen av personuppgifter. Vid behandlingen av personuppgifter inom torde i praktiken personuppgiftsansvaret komma att åvila i första hand en soci- alnämnd, en stadsdelsnämnd, eller en privat aktör. En ny lag om behandling av personuppgifter... 173 Vad personuppgiftsansvaret innebär framgår av personuppgiftslagen och av bestämmelserna i denna lag. Utredningens bedömning : De sekretessbestämmelser som gäller för personuppgifter inom (bl.a. 7 kap. 4 § sekretesslagen 1980:100 och 51 § andra stycket socialtjänstlagen 1980:620) innebär ett mycket starkt skydd för uppgifterna, inte bara i förhållande till verksamhet utanför , utan även mellan myndigheter på område samt inom en och samma myndighet. Möjlig- heterna att söka information begränsas emellertid inte endast av sek- retessbestämmelser, utan även av personuppgiftslagens (1998:204) bestämmelse (9 § första stycket d) om att redan insamlade perso- nuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Vidare innebär bestämmelsen i 59 § socialtjänstlagen (1980:620) om förbud mot att i s.k. sammanställningsregister hos socialnämnd ta in uppgifter om ömtåliga personliga förhållanden ytterligare begräns- ningar av sökmöjligheterna. Dessa bestämmelser innebär ett tillräck- ligt integritetsskydd. I lagen föreslås därför inte någon särskild be- gränsning i möjligheten att med olika sökbegrepp hämta information som finns inom . Med sökbegrepp förstås bokstäver eller siffror med vars hjälp man kan ta fram lagrad information. Ett sökbegrepp kan t.ex. vara ett person- nummer, ett diarienummer eller en handlings inkomstdag till en myndig- het. Det kan också vara ord vars motsvarighet man söker i den mängd information som man har tillgång till, s.k. fritextsökning. Frågan om sökbegrepp är i princip intressant endast när det gäller information som finns lagrad på medium för automatiserad behandling. register är nämligen som regel sökbara på endast några få kriterier och s.k. fri- textsökning kan över huvud taget inte förekomma. Däremot är tekniken sådan att sökmöjligheterna när det gäller information som finns lagrad i datorer i princip inte känner några begränsningar. Användningen av sökbegrepp innebär alltså att olika urval och sam- manställningar av information kan göras. Det har i olika sammanhang, bl.a. i prop. 1997/98:108 om hälsodata- och vårdregister (s. 58), hävdats att förekomsten av många sökbegrepp i viss mån kan öka risken för in- 174 En ny lag om behandling av personuppgifter... Därvid har sagts t.ex. att från början harmlösa uppgifter just genom sammanställningen kan framstå som integritetskränkande. Vilka sökbegrepp som får användas har betydelse inte bara för den för vars verksamhet informationen i första hand används, utan även för frågan om vad som är att anse som allmän handling enligt tryckfrihets- förordningen. I avsnitt 4.3.2 har utförligt redogjorts för offentlighets- principens tillämpning på ADB- upptagningar. I detta sammanhang bör emellertid kort sammanfattas vad som därvid redovisades. Offentlighetsprincipen innebär bl.a. att allmänheten har rätt att ta del av allmänna handlingar. Med handling avses enligt tryckfrihetsförord- ningen inte endast pappersdokument utan även upptagningar som kan läsas, avlyssnas eller på annat sätt uppfattas endast med hjälp av tek- niskt hjälpmedel. En handling är allmän, om den förvaras hos en myn- dighet och är att anse som inkommen till eller upprättad hos m yndighe- ten. En ADB-upptagning anses förvarad hos en m yndighet, om upptag- ningen är tillgänglig för myndigheten för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas. Varje sammanställning av sakligt sammanhängande uppgifter i en upptagning som en m yndighet kan göra med hjälp av tillgängliga program är att anse som en handling som förvaras hos myndigheten. En förutsättning är dock att samman- ställningen skall kunna göras med rutinbetonade åtgärder. Detta innebär att sammanställningen skall kunna göras med en enkel arbetsinsats och utan nämnvärda kostnader eller andra komplikationer. Den information i allmänna handlingar i ett ADB-system som är tillgänglig för en myndig- het – och som också är att anse som inkommen till eller upprättad hos myndigheten – skall på begäran lämnas ut till allmänheten, om informa- tionen inte är sekretessbelagd. Detta innebär att allmänheten och myn- digheten i princip är likställda när det gäller tillgången till icke sekre- tessbelagd information. Principen gäller oavsett om myndigheten faktiskt själv har gjort en sammanställning av informationen eller inte och obero- ende av om informationen behövs för myndighetens verksamhet. En tänkt sammanställning av uppgifter kan alltså vara att anse som en all- män handling även om det tidigare inte existerat någon sådan samman- ställning, s.k. potentiell handling. En myndighets möjligheter – och därmed allmänhetens – att få till- gång till sammanställningar av sådana uppgifter som finns i m yndighe- tens ADB-system kan underkastas såväl tekniska som rättsliga begräns- ningar. När det gäller personregister följer av 2 kap. 3 § andra stycket tryckfrihetsförordningen att en myndighets befogenhet att göra upptag- ningar tillgängliga för egen räkning kan begränsas genom lag, förordning eller särskilda beslut, som grundar sig på lag. Rättsliga begränsningar av detta slag kan ske genom föreskrifter om användningen av s.k. sökbe- grepp i personregister. Om inga begränsningar görs av sökbegreppen i SOU 1999:109 En ny lag om behandling av personuppgifter... 175 ett personregister, följer av offentlighetsprincipen att en myndighet måste använda sig av alla till buds stående sökmöjligheter när någon begär uppgifter ur myndighetens ADB-register. I samband med behandlingen av regeringens prop. 1989/90:40 om tullregisterlag uttalade att frågan om vilka sökbegrepp som skall få användas i ett register är av stor betydelse för den personliga integriteten och att det därför är viktigt att sökbegrepp som är känsliga från integritetssynpunkt endast används i begränsad utsträckning. An- vändningen av sådana sökbegrepp bör enligt riksdagsuttalandet regleras i lag medan användningen i andra fall bör kunna regleras genom verkstäl- lighetshetsföreskrifter (bet. 1989/90:KU5 och bet. 1989/90:SkU1 samt rskr. 1989/90:188). Det finns i ett antal olika författningar exempel på att användningen av sökbegrepp har begränsats. Sådana begränsningar finns t.ex. i 18 § socialförsäkringsregisterlagen (1997:934), i 7 § lagen (1998:544) om vårdregister och i 14 § lagen (1998:938) om behandling av personupp- gifter om totalförsvarspliktiga. Även lagstiftning som har anpassats till regleringen i personuppgiftslagen, vilket är fallet med de båda sistnämn- da författningarna, innehåller sålunda begränsningar beträffande vilka sökbegrepp som får användas. Vanligen omfattar en sådan begränsning uppgifter som anses som särskilt känsliga från integritetssynpunkt. I 18 § tredje stycket socialförsäkringsregisterlagen har sökning i elektroniska akter särskilt begränsats. I sådana akter får endast ärende- beteckning och beteckning på handling användas som sökbegrepp. I för- arbetena till bestämmelsen (prop. 1996/97:155 s. 67) sägs att införandet av möjligheten att använda elektroniska akter vid ärendehandläggningen påkallar av integritetshänsyn restriktioner när det gäller sökbegrepp. Därigenom kan, uttalade regeringen, förhindras att integritetsintrång sker genom bearbetning av akterna som inte står i överensstämmelse med registrens ändamål. föreslog i betänkandet Dokumentation och so- cialtjänstregister (1995:86) inte någon allmän begränsning i mö jligheter- na att med olika sökbegrepp hämta information ur socialtjänstregistren. Dock skulle endast sådan sökning vara tillåten som krävdes för register- ändamålen eller för rättelse, tillsyn, uppföljning, utvärdering, urval för forskning eller framställning av statistik. Kommittén framhöll att upp- gifterna i registren skulle skyddas av sekretess och att en långtgående inskränkning av sökmöjligheterna skulle medföra stora svårigheter att ta fram uppgifter i den verksamhet som avser, tillsyn, uppföljning, utvärde- ring och framställning av statistik. När det gällde den löpande ärende- handläggningen menade kommittén att det i normalfallet knappast skulle vara nödvändigt att behöva söka information med andra begrepp än namn och personnummer. 176 En ny lag om behandling av personuppgifter... Vid remissbehandlingen av betänkande av- styrkte några remissinstanser av integritetshänsyn kommitténs förslag till obegränsade möjligheter att med hjälp av olika sökbegrepp hämta infor- mation ur socialtjänstregistren. En kommun ansåg att uppgifter för upp- följning och utvärdering, som är särskilt känsliga, skulle få användas som sökbegrepp endast om de med hänsyn till ändamålet och den regist- rerades integritet framstod som uppenbart rimliga. En annan kommun påpekade att vissa sökbegrepp i kombination kan peka ut ett fåtal av klienter på ett sådant sätt att deras integritet kränks. Som tidigare framhållits (se avsnitt 6.4) anser utredningen att det inte är möjligt att i lagen ange några begränsningar när det gäller vilka kate- gorier av personuppgifter som bör få behandlas inom . Det ligger i sakens natur att många av dessa personuppgifter kommer att vara av integritetskänslig natur, t.ex. kommer det att finnas uppgifter om utbetalda socialbidrag, missbruk och andra sociala problem. Uppgifter om sjukdomar kan också förekomma. Vidare kan man anta att använd- ningen av elektronisk akthantering inom kommer att öka i omfattning, vilket – med de möjligheter tekniken innebär – ger i princip obegränsade möjligheter att söka information. Detta förhållande kan tala för att användningen av sökbegrepp av integritetshänsyn bör begränsas i något avseende, dvs. att den personuppgiftsansvarige inte skall få söka uppgifter eller gör sammanställningar efter eget gottfinnande. I likhet med menar dock utredningen att det finns starka skäl som talar även i den andra riktningen, dvs.