sou · GNB3109 · 2000-01-01 00:00:00 — Uppföljning syftar till att ge en översiktlig bild av verksamhetens utveckling och att fungera som sig- nal för avvikelser som bör beaktas. Utvärdering avser analys och värde- ring av kvalitet, effektivitet och resultat hos en verksamhet i förhållande till de mål som bestämts för denna. Kvalitetssäkring är en utvärderings- process i vilken man fortlöpande och systematiskt beskriver, mäter och värderar kvaliteten i den egna verksamheten i relation till de mål som har SOU 1999:109 En ny lag om behandling av personuppgifter... 141 Enligt utredningens mening är dessa definitioner väl ägnade att användas även i förevarande sammanhang. Med administration avses i detta sammanhang administration som är direkt kopplad till själva verksamhetsområdet. Det kan t.ex. röra sig om fakturering av vårdavgifter, i vilket sammanhang det inte är ovanligt att personnummer måste anges, eller fördelningen mellan de anställda av ärenden. Däremot avses inte den verksamhetsansvariges egen administ- ration, t.ex. betalning av löner och leverantörsfakturor och behandling enbart för personaladministrativa ändamål. Behandling av personupp- gifter för sådan administration, regleras av personuppgiftslagen, om inte annan särlagstiftning är tillämplig. Med tillsyn förstås i detta sammanhang kontroll i individärenden och enskilda verksamheter, en uppgift som inom främst full- görs på regional nivå, dvs. I detta sammanhang kan även nämnas prop. 1988/89:130 om framtida roll, upp- gifter och inriktning, där begreppet tillsyn fått en delvis annorlunda be- tydelse. Med tillsyn avses i nämnda proposition även uppföljning och utvärdering. Att begreppet tillsyn där har en annan innebörd saknar emellertid i detta sammanhang praktisk betydelse. Även uppföljning och utvärdering omfattas nämligen av lagens tillämpningsområde. Utredningen föreslår således att med socialtjänst skall förstås – ut- över verksamhet enligt socialtjänstlagen och anslutande lagar, inklusive sådan verksamhet som bedrivs av enskilda – verksamhet som bedrivs av , verksamhet hos invandrarbyrå, handläggning av ärenden om bistånd som lämnas av socialnämnd åt asylsökande och andra utlänningar, handläggning av ärenden om intro- duktionsersättning för flyktingar och vissa andra utlänningar, handlägg- ning av ärenden om tillstånd till parkering för rörelsehindrade, verksam- het enligt lagstiftningen om stöd och service till vissa funktionshindrade samt – under förutsättning att det anknyter till det huvudsakliga verk- samhetsområdet – tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration. Förslaget innebär – när det gäller – en viss avvikelse från vad som gäller enligt 7 kap. 4 § tredje stycket sekre- tesslagen. Detta har sin grund i att styrelsen – som framgått av avsnitt 2.5.2 - bedriver även verksamhet som endast är reglerad i förordning, men som lämpligen bör omfattas av den föreslagna lagstiftningen. Utredningen utvecklar i författningskommentaren vad som närmare avses med respektive verksamhet eller ärendehandläggning. Utredningen återkommer i avsnitt 6.3 till frågan om när personuppgifter får behand- las och för vilka ändamål personuppgifter skall få behandlas i den verk- samhet som sålunda definierats som socialtjänst. 142 En ny lag om behandling av personuppgifter... SOU 1999:109 Det bör i sammanhanget påpekas – vilket kommer att framgå av det följande och av författningskommentaren (3 §) – att definitionen av be- greppet socialtjänst är i viss mån överlappande. Det kan alltså vara så att vissa av de särskilt nämnda uppgifterna skulle bli att betrakta som socialtjänst även utan att de uttryckligen togs upp i definitionen. I vissa fall följer det t.ex. nämligen direkt av författning att en verksamhet skall bl.a. följas upp och utvärderas, t.ex. har ett ansvar för att följa och vidareutveckla (67 § socialtjänstlagen), länssty- relsen skall svara för bl.a. utveckling och samordning av (68 § socialtjänstlagen) samt har och mot- svarande uppgifter enligt lagen om stöd och service till vissa funktions- hindrade (25 och 26 §§). Vidare skall enligt sin instruktion särskilt svara för bl.a. ekonomisk styrning, resultat upp- följning och kontroll, metodutveckling och utvecklingsarbete ( 2 § 3 och 4 förordningen 1996:610 med instruktion för Statens institutionsstyrel- se). Utredningen är medveten om att bl.a. de angivna verksamheterna skulle vara att anse som socialtjänst även utan att uppföljning och utvär- dering nämns särskilt i definitionen av begreppet socialtjänst. För att lagens tillämpningsområde skall omfatta även t.ex. uppföljning och ut- värdering också i de fall sådan verksamhet inte är reglerad i social- tjänstlagen eller i annan författning som omfattas av definitionen av so- cialtjänst, exempelvis för uppföljning och utvärdering på det lokala pla- net i en kommun, är det emellertid nödvändigt att komplettera definitio- nen på det föreslagna sättet. Den nämnda uppräkningen av verksamheter m.m. som innefattas i begreppet socialtjänst är uttömmande. Utanför lagens tillämpningsområ- de kommer därmed att falla t.ex. färdtjänstverksamheten samt förskole- verksamhet m.m., vilken verksamhet regleras av skollagen (1985:1100). Det bör dock framhållas att sådan verksamhet och annan verksamhet som inte omfattas av denna lag eller av annan särlagstiftning omfattas av personuppgiftslagen. Konsekvensen av att man låter en verksamhet falla utanför lagens tillämpningsområde blir alltså inte att behandlingen av personuppgifter i den verksamheten förblir oreglerad. Huruvida de per- sonuppgifter som har samlats in med stöd av denna lag får behandlas för t.ex. sådan verksamhet som nämnts, dvs. utanför , får således avgöras efter en tillämpning av person uppgiftslagen. Därutöver bör påpekas att denna lag – till skillnad från Socialtjänst- kommitténs förslag där det särskilt pekades ut vilka organ som hade att tillämpa regleringen (2 kap. 1 § förslaget till lag om dokumentation och socialtjänstregister m.m., se avsnitt 5.3.2) – är tillämplig oavsett vilket subjekt som behandlar personuppgifter, under förutsättning att det är fråga om socialtjänst i lagens mening. Det innebär att även enskilda som behandlar personuppgifter inom har att t illämpa lagen. En ny lag om behandling av personuppgifter... 143 6.2.2Vilken behandling av personuppgifter bör omfattas av reg leringen? Som har nämnts sägs i utredningens direktiv att EG-direktivet och personuppgiftslagen (1998:204) skall vara utgångspunkt för utred- ningens arbete och att detta också gäller för frågan om vilken behandling av personuppgifter som skall omfattas av regleringen. Personuppgiftslagen gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är t illgängliga för sökning eller sammanställning enligt särskilda kriterier (5 § person- uppgiftslagen). Det kan nämnas att det har diskuterats om ett register – för att om- fattas av EG-direktivet och av personuppgiftslagens tillämpningsområde – måste vara sökbart på mer än ett kriterium eller om det är tillräckligt att registret är sökbart på ett enda kriterium. , som hänvisade till att det i den svenska, engelska, franska och tyska språkversionen av EG-direktivet talas om kriterier i pluralis, menade för sin del att registret måste vara sökbart på mer än ett kriterium (; betänkandet Integritet – Offentlighet – Informa- tionsteknik SOU 1997:39 s. 340). Professor (i , ), som medverkade vid utarbetandet av EG- direktivet, har en annan uppfattning och anser att det är t illräckligt om ett register är sökbart på ett enda kriterium (–; EG-Datenschutzrichtlinie, , Nomos 1997, s. 73). I sin kommentar till personuppgiftslagen framhåller och att syftet med att låta EG-direktivet och personuppgiftslagen omfatta även viss behandling av personuppgifter är att förhindra försök att undkomma lagstiftningen genom att behandla personuppgifterna ma- nuellt. Detta syfte bör, menar och , påverka tolkningen av vad som är en behandling (och , Personupp- giftslagen – En kommentar, 1998, s. 47). Frågan om ett register skall vara sökbart på ett eller flera kriterier berördes inte i prop. 1997/98:44 Personuppgiftslag. Enligt utredningens uppfattning bör en lag som avser behandling av personuppgifter inom ha samma t illämpningsområde som personuppgiftslagen. Redan utredningens direktiv antyder att man bör välja en sådan lösning. Det finns flera skäl för en sådan lösning. För det första förekommer det, enligt vad utredningen inhämtat, fort- farande i en inte obetydlig utsträckning att personuppgifter inom social- tjänsten behandlas manuellt i register. Det finns skäl att tro att det kom- mer att förhålla sig på det viset under . 144 En ny lag om behandling av personuppgifter... kan det väl knappast uteslutas att det alltid kommer att finnas ett visst behov av att behandla personuppgifter manuellt i register. I 13 § personuppgiftslagen finns ett förbud mot att behandla känsliga personuppgifter. Med känsliga personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening. Även uppgifter som rör hälsa och sexualliv betecknas som känsliga person uppgifter. I personuppgiftslagen görs en rad undantag från detta förbud (15–19 §§). Inget av undantagen – bortsett från att sådana uppgifter alltid får behandlas med samtycke och att sådana uppgifter under vissa omständigheter får behandlas för forskning och statistik – är emellertid tillämpligt för den verksamhet som bedrivs inom . Som framgår av det följande anser utredningen att det är nödvändigt att man inom får behandla känsliga personuppgifter (se avsnitt 6.4). Om tillämpningsområdet för denna lag begränsades till att avse en- dast automatiserad behandling av personuppgifter, skulle den behandlingen av sådana uppgifter i ett register komma att regleras enbart av personuppgiftslagen. Personuppgiftslagen gäller ju i den mån det inte i annan lag eller författning finns avvikande bestämmelser. Detta skulle få till följd att känsliga personuppgifter inte skulle kunna behandlas ma- nuellt i ett register inom . Det förefaller enligt utredningens mening mest rimligt och praktiskt att, när man nu skall särskilt reglera behandling av per- sonuppgifter, låta inte bara automatiserad behandling av sådana uppgif- ter omfattas av regleringen utan även den behandlingen av per- sonuppgifter som ingår i ett register. En annan ordning skulle förmodli- gen framstå som egendomlig. Dessutom skulle man i annat fall – för att verksamheten inom skulle kunna fullgöras – i annan för- fattning (20 § personuppgiftslagen) behöva göra undantag från perso- nuppgiftslagens förbud mot att behandla känsliga personuppgifter. En sådan lösning framstår enligt utredningens uppfattning som föga ända- målsenlig. En betydligt bättre lagstiftningsteknik är att i en och samma författning i så stor utsträckning som möjligt samla de bestämmelser som innebär avvikelser från personuppgiftslagen. Regleringen blir då lättare att överskåda och tillämpa, vilket är värdefullt inte minst för det stora antal praktiker som kommer att behöva tillämpa regleringen. Sammanfattningsvis anser utredningen således att en lag om behand- ling av personuppgifter inom bör ha samma t illämpnings- område som personuppgiftslagen. Lagen skall följaktligen gälla inte bara för all automatiserad behandling av personuppgifter utan även för manu- ell behandling av personuppgifter, om uppgifterna ingår i eller är avsed- SOU 1999:109 En ny lag om behandling av personuppgifter... 145 da att ingå i en strukturerad samling av personuppgifter som är t illgäng- liga för sökning eller sammanställning enligt särskilda kriterier. Huruvida behandling av personuppgifter i personakter kom- mer att omfattas av lagens tillämpningsområde är beroende av om de personaktsystem som används inom är att anse som regis- ter i EG-direktivets och personuppgiftslagens mening, dvs. om de är sökbara på det sätt som där krävs. Enligt vad som sagts utredningen tor- de de sökregister som finns till personakterna vara slag- eller sökregister som är upplagda på namn och pers onnummer, dvs. på två kriterier (jfr även prop. 1979/80:1 s. 438). Om sökregistret är sökbart på det sätt som krävs enligt EG-direktivet och personuppgiftslagen, uppkommer frågan om också personakterna – även om innehållet i dessa inte är sökbart en- ligt särskilda kriterier– är att anse som register. För att så skall anses vara fallet talar det förhållandet att sökregistret och akten bör ses i ett sammanhang (a. prop. a. s. samt betänkandet Socialtjänst och socialför- säkringstillägg – Lagar och motiv SOU 1977:40 s. 740). I boken av och sägs emellertid att enskilda akter och aktsamlingar och de tillhörande omsla- gen skall anses vara register, om deras innehåll är strukturerat som ett register (s. 110). (Se EG-direktivets ingress punkt 27 sista meningen). Utanför lagens tillämpningsområde faller således behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i ett register. Lagens tillämpningsområde följer även i det här avseendet personuppgiftslagen. Enligt utredningens uppfattning bör lagen – i likhet med personupp- giftslagen – inte innehålla några särskilda regler för när uppgifter be- handlas automatiserat. Det är viktigt att den nya lagen så litet som möj- ligt hämmar användningen av modern informationsteknik. Om man har särskilt stränga regler för den automatiserade behandlingen av person- uppgifter, kan konsekvensen bli att de personuppgiftsansvariga i stället väljer att behandla personuppgifterna manuellt. 6.2.3Behandling av personuppgifter för forsknings- och statistikändamål bör falla utanför lagens tillämpningsområde Det finns inte någon entydig definition av begreppet forskning. Begrep- pet bör emellertid beröras något eftersom forskning inte får förväxlas med uppföljning, utvärdering eller kvalitetssäkring. hänvisade i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39 s. 275 f.) till ett uttalande i betänkandet Forskningsetisk prövning – Organisation, information och utbildning (SOU 1989:74 s. 146 En ny lag om behandling av personuppgifter... Där uttalade Forskningsetiska utredningen att begreppet forskning i ett OECD-dokument har fått en tvådelad förklaring, och tillade. Där talar man om dels grundforskning, dels tillämpad forskning, riktad forskning. I båda fallen finns det emellertid en gemensam kärna som getts formuleringen att man med forskning menar ett systematiskt och meto- diskt sökande efter ny kunskap och nya idéer. Denna allmänt inriktade och vida definition utgår jag också i från, när jag talar om forskning, oberoende av inriktning, område och finansiering. 1998/99:72 Rättspsykiatriskt forskningsregister (s. 36 f.) hänvi- sar regeringen till bl.a. det nu nämnda uttalandet samt framhåller att det är svårt att ge någon mera exakt definition av begreppet forskning. I förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 127) ut- talades om begreppet forskning bl.a. följande. Med forskning avses i paragrafen [19 §] i första hand den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut. Även sådana epidemiologiska undersökningar som utförs vetenskapligt omfattas. Släktforskning faller utanför, liksom annan forskning eller utredningsverksamhet av mera pri- vat natur. Det måste finnas ett samhällsintresse av att forskningen bedrivs, och den måste vara vetenskaplig i någon mening. SOU 1999:109 En ny lag om behandling av personuppgifter... 147 Med statistik avses i detta sammanhang annan statistik än s.k. verksam- hetsstatistik. 1997/98:44 Personuppgiftslag uttalade regeringen (s. 71) att vikten av att värna om forskningens frihet gör att det förefaller lämpliga- re att göra en avvägning i varje enskilt fall än att i den nya lagen införa generella regler om vilken forskning och statistik som skall tillåtas. Re- geringen tillade att många av dessa olikartade forsknings- och statistik- projekt som regel pågår bara . Även Datalags- kommitténs slutsats var att det måste göras en avvägning i varje enskilt fall (betänkandet s. 297). Enligt utredningens uppfattning finns det inte anledning att i detta sammanhang göra någon annan bedömning än den och regeringen gjorde i lagstiftningsärendet om en ny personuppgiftslag. Inte heller denna lag bör således explicit ange när personuppgifter får behandlas för forskning och statistik. Behandling för sådana ändamål bör således falla utanför lagens tillämpningsområde. Det kan tilläggas att lagen (1998:544) om vårdregister inte gäller automatiserad behand- ling av personuppgifter på lokal och regional nivå för framställning av statistik, uppföljning, utvärdering och kvalitetssäkring samt forskning (prop. 1997/98:108 s. 62 ff.). Regeringen uttalade att vårdregisterlagen innebär att den personuppgiftsansvarige oavsett den registrerades in- ställning skall få använda ett vårdregister för de ändamål som anges i lagen. Regeringen menade dock att denna princip däremot inte bör gälla om den, som är personuppgiftsansvarig för ett vårdregister, önskar an- vända registret för forskning (a. prop. s. 67). I lagen bör därför – eftersom definitionen av socialtjänst i vissa fall kan innefatta även t.ex. forskning, se t.ex. 2 § första stycket 4 förord- ningen (1996:610) med instruktion för – tas in en uttrycklig bestämmelse om att lagen inte skall tillämpas vid be- handling av personuppgifter för forsknings- och statistikändamål. Perso- nuppgifter får behandlas för sådana ändamål endast om förutsättningar- na i personuppgiftslagen (1998:204) är uppfyllda. Vid behandling av personuppgifter för forskning och övrig statistik inom gäller således personuppgiftslagen, dock att det be- träffande den officiella statistiken finns en särskild författningsreglering (lagen 1995:606 om vissa personregister för officiell statistik och för- ordningen 1995:1060 om vissa personregister för officiell statistik) som gäller framför personuppgiftslagen. Enligt personuppgiftslagen får personuppgifter i princip alltid be- handlas, om den registrerade uttryckligen har lämnat sitt samtycke. Hu- vudprincipen vid forskning har varit att den enskilde skall ha lämnat sitt samtycke. Om inte samtycke finns, krävs enligt perso- nuppgiftslagen för det första att behandlingen är nödvändig för det aktu- 148 En ny lag om behandling av personuppgifter... ella forsknings- och statistikändamålet enligt 10 §. Behandlingen skall alltså kunna hänföras under någon av de punkter som räknas upp i 10 §. Är behandlingen nödvändig på detta sätt, krävs därutöver – när fråga är om behandling av känsliga personuppgifter – att samhällsintresset av det forsknings- eller statistikprojekt vari behandlingen ingår klart väger över den risk för otillbörligt intrång i enskildas personliga integritet som be- handlingen kan innebära. För att göra denna avvägning måste det ske en helhetsbedömning i det enskilda fallet. Det är i första hand den perso- nuppgiftsansvarige själv som har att på eget ansvar t illämpa avväg- ningsnormen. Om behandlingen inom ett aktuellt projekt godkänts av en forskningsetisk kommitté, behöver emellertid den personuppgiftsansvari- ge inte göra någon egen avvägning. Då skall nämligen förutsättningarna för att behandla personuppgifterna anses vara uppfyllda. Det bör avslutningsvis framhållas att det inte är något som hindrar att de uppgifter som samlats in för att m yndigheter och andra skall kunna utföra sina arbetsuppgifter inom , dvs. med stöd av denna lag, även används för forsknings- och statistikändamål. Av 9 § andra stycket personuppgiftslagen följer nämligen att behandling för historiska, statistiska och vetenskapliga ändamål inte skall anses oförenlig med det ändamål för vilka uppgifterna ursprungligen samlades in. I 19 § tredje stycket personuppgiftslagen finns en allmän bestämmelse i ämnet. Huru- vida behandlingen av personuppgifterna, t.ex. själva utlämnandet, är tillåten i det enskilda fallet, får emellertid avgöras av bestämmelserna i personuppgiftslagen. I den mån det, som t.ex. i 64 § socialtjänstlagen, finns särskilda föreskrifter i lag eller förordning om utlämnande av upp- gifter för forskningsändamål, gäller dessa bestämmelser före personupp- giftslagens regler (2 § personuppgiftslagen). 6.2.4Lagens förhållande till hälso- och sjukvårds- verksamhet IT-användningen inom hälso- och sjukvården har reglerats i bl.a. lagen (1998:544) om vårdregister. Med vård avses enligt lagen om vårdregis- ter vård enligt hälso- och sjukvårdslagen (1982:763), ta ndvårdslagen (1985:125), lagen (1991:1128) om psykiatrisk tvångsvård, lagen (1991:1129) om rättspsykiatrisk vård samt smitts kydd enligt smitt- skyddslagen (1988:1472). Tillämpningsområdet har bestämts så att all patientjournalföring – oavsett om den grundar sig på patientjournallagen (1985:562) eller annan författning – omfattas av vårdregisterlagens tillämpningsområde (prop. 1997/98:108 Hälsodata- och vårdregister s. 69). Vårdregisterlagen gäller personregister som förs inom såväl offent- lig som privat bedriven vård och oavsett i vilken organisationsform verk- En ny lag om behandling av personuppgifter... 149 Vårdregisterlagen har sitt största tillämpningsområde inom den landstingsbedrivna hälso- och sjukvården men den har också betydelse för den kommunalt bedrivna vården och för all privat vård (a. prop. s. 95). Det förekommer i viss utsträckning att det i nära anslutning till soci- altjänsten bedrivs hälso- och sjukvård. Ett exempel på detta är den s.k. ÄDEL-reformen, som innebar att kommunerna tog över ansvaret för hälso- och sjukvården i vissa boendeformer för äldre m.fl. I prop. 1990/91:14 (s. 85) uttalade regeringen att den hälso- och sjukvård som kommunerna genom reformen skulle få ansvar för samt den kommunala skall fungera som ett komplement till varandra i en integ- rerad organisation under socialnämndens ledning. Enskilda som behöver stöd och hjälp skall, menade regeringen, kunna få sådan, vare sig det rör insatser av social eller medicinsk natur, inom en samlad or- ganisation för hälso- och sjukvård och socialtjänst. Regeringen framhöll att kommer också såväl medicinska som sociala insatser att ges samma person. Ett annat exempel som kan nämnas i samman- hanget är att det även i Statens institutionsstyrelses verksamhet i vissa fall bedrivs hälso- och sjukvård. Enligt utredningens uppfattning bör det – även om det i många fall kan vara svårt att avgöra om en viss åtgärd är att anse som hälso- och sjukvård eller som socialtjänst – inte uppkomma några gränsdragnings- problem mellan vårdregisterlagen och den nu föreslagna lagen om behandling av personuppgifter inom . Är en viss åtgärd att anse som hälso- och sjukvård är vårdregisterlagen tillämplig när person- uppgifter skall behandlas med anledning av åtgärden. Det sagda gäller under förutsättning att det är fråga om automatiserad behandling av sådana uppgifter. I annat fall regleras behandlingen av personuppgifter för hälso- och sjukvårdsändamål av personuppgiftslagen (2 § vårdregisterlagen). Är det däremot fråga om socialtjänstverksamhet är den nu föreslagna lagen tillämplig vid behandling av person uppgifter. 150 En ny lag om behandling av personuppgifter... 6.3När personuppgifter får behandlas och ändamålen med behandlingen av per- sonuppgifter Utredningens förslag: I lagen föreskrivs att personuppgifter, förut- om med den registrerades samtycke, får behandlas bara om behand- lingen är nödvändig för att en arbets uppgift inom skall kunna utföras. Lagen hindrar dock inte att personuppgifter lämnas ut om det följer av lag eller förordning. I lagen regleras inte för vilka än- damål personuppgifter skall få behandlas inom .