sou · GNB3109 · 2000-01-01 00:00:00 — I 25 § anges vilken information som skall lämnas självmant. Infor- mationen enligt 23 eller 24 § skall omfatta uppgift om den personupp- giftsansvariges identitet, uppgift om ändamålen med behandlingen, och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Enligt 26 § är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om per- sonuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, än- damålen med behandlingen, och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 26 § andra stycket finns det bestämmelser dels om den registrerades ansökan om information, dels om efter ansökan som den personuppgiftsansvarige skall lämna informationen. I 26 § tredje stycket finns vissa undantagsbestämmelser beträffande personuppgifter i löpande text som inte har fått sin slutliga utformning när den registrerade gjorde sin ansökan eller som utgör minnesanteck- ning. I 27 § finns en bestämmelse om undantag från informationsskyldig- heten enligt 23–26 §§ vid sekretess och tystnadsplikt. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller inte bestämmelserna i 23–26 §§. En personupp- giftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Bestämmelser om sekretess och tystnadsplikt gäller således alltid före skyldigheten att lämna information. Regeringen eller den myndighet som regeringen bestämmer får med- dela närmare föreskrifter om bl.a. vilken information som skall lämnas till registrerade och hur lämnandet av information skall gå till (50 § e). Regeringen har i 13 § 5 personuppgiftsförordningen (1998:1191) be- myndigat Datainspektionen att meddela sådana föreskrifter. Några före- skrifter har emellertid ännu inte utfärdats. Däremot har frågan om in- formation till registrerade berörts i olika lagstiftningsärenden. I förarbetena till bl.a. polisdatalagen (1998:622) uttalades att person- uppgiftslagens bestämmelser om information om behandlingen borde gälla på polisområdet och att några särskilda bestämmelser inte behöv- En ny lag om behandling av personuppgifter... 187 des i polisdatalagen (prop. 1997/98:97 s. 107 f.). I propositionen fram- hölls att undantagsreglerna i personuppgiftslagen (24 och 27 §§) innebär att polisen i regel inte behöver lämna någon information till den registrerade. Inte heller i lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga fanns det, menade regeringen, skäl att göra undan- tag, vare sig genom utvidgning eller inskränkning, från den informa- tionsskyldighet gentemot registrerade som föreskrivs i personuppgiftsla- gen (prop. 1997/98:80 s. 42 ff.). Däremot finns i 11 § lagen (1998:544) om vårdregister en särskild bestämmelse om information. I första stycket sägs att den som är person- uppgiftsansvarig för ett vårdregister skall se till att den registrerade får information om behandlingen. I andra stycket anges att informationen skall innehålla upplysningar om 1) vem som är personuppgiftsansvarig, 2) ändamålet med registret, 3) vilken typ av uppgifter som ingår i regist- ret, 4) den uppgiftsskyldighet som följer av lagen (1998:543) om hälso- dataregister, 5) de sekretess- och säkerhetsbestämmelser som gäller för registret, 6) rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204), 7) rätten till rättelse av oriktiga eller missvisande uppgifter, 8) rätten till skadestånd vid behandling av personuppgifter i strid med vårdregisterlagen, 9) vad som gäller i fråga om sökbegrepp, direktåt- komst och utlämnande av uppgifter på medium för automatiserad be- handling, 10) vad som gäller i fråga om bevarande och gallring, samt 11) om registreringen är frivillig eller inte. I förarbetena uttalade regeringen (prop. 1997/98:108 s. 80 f.) bl.a. följande. Enligt regeringens förslag skall vårdregister få föras oavsett vilken inställ- ning patienten har till att bli registrerad i personregister. Mot bakgrund härav är det ur integritetssynpunkt angeläget att patienten får information om att registrering sker, syftet med registreringen, vad för slags uppgifter registreringen avser och att vissa uppgifter lämnas vidare till centrala för- valtningsmyndigheter inom hälso- och sjukvårdens område på grund av bestämmelsen i 6 § lagen om hälsodataregister. Det är vidare angeläget att patienten får information om vilka rättigheter han eller hon har i anled- ning av registreringen, t.ex. rätten att ta del av uppgifter, om vart han eller hon skall vända sig med en begäran om registerutdrag eller rättelse. Utöver vad som nämnts är informationen enligt regeringens me- ning viktig även för att skapa en nödvändig grund för att allmänheten skall få förtroende för registren. Informationen bör i detta syfte även inne- hålla upplysning om de begränsningar i fråga om sökbegrepp, direktåt- komst, utlämnande av uppgifter på medium för automatiserad behandling 188 En ny lag om behandling av personuppgifter... och vilka regler som gäller för bevarande och gallring samt för rätten till skadestånd. Det bör åvila den personuppgiftsansvarige att skapa rutiner som ga- ranterar att informationsskyldigheten fullgörs. Det bör dock inte krävas att vårdpersonalen i varje enskilt fall lämnar en muntlig information om att dokumentation sker i ett vårdregister utan informationsskyldigheten kan fullgöras genom t.ex. broschyrer. När det gäller lagen (1998:543) om hälsodataregister finns det i den la- gen ingen särskild reglering beträffande information. I förarbetena utta- lade regeringen (prop. 1997/98:108 s. 60 f.) att personuppgiftslagen, till skillnad från datalagen ( 1973:289), innehåller utförliga bestämmelser om information vid behandling av personuppgifter. Om en fråga inte regle- ras i lagen om hälsodataregister, skall enligt 2 § i den lagen personupp- giftslagens regler gälla. Regeringen ansåg därför att någon ytterligare generell reglering av informationsskyldigheten inte var nödvändig. Rege- ringen framhöll dock att avsikten var att i respektive registerförordning närmare precisera på vilket sätt informationen skall ges och vilket inne- håll informationen skall ha. Enligt regeringen skall som riktlinje för des- sa föreskrifter gälla att följande uppgifter i vart fall bör ingå. 1) Vem som är personuppgiftsansvarig, 2) ändamålet med registret, 3) vilka uppgifter som ingår i registret, 4) varifrån uppgifterna hämtats in, 5) hur länge registret kommer att föras, 6) rätten till rättelse av oriktiga eller missvisande uppgifter, 7) innebörden och omfattningen av det sekretess- och säkerhetsskydd som gäller för registret, 8) vad som gäller i fråga om sökbegrepp, direktåtkomst och utlämnande på medium för automatiserad behandling, 9) den registrerades rätt att ta del av uppgifter enligt 26 § personuppgiftslagen, samt 10) vad som gäller om bevarande och gallring av registret. förslag, som var anpassat efter regleringen i datalagen, innebar att den registeransvarige skulle se till att den enskilde som var eller avsågs bli registrerad på lämpligt sätt skulle få information om registret (Dokumentation och socialtjänstregister SOU 1995:86 s. 158 och 185). Enligt förslaget skulle informationen innehålla en beskriv- ning av de uppgifter som registret fick innehålla samt upplysning om registerändamålen, de sekretess- och säkerhetsbestämmelser som gällde för registret, rätten att få registerutdrag och rättelse med stöd av datala- gen, de begränsningar i fråga om direktåtkomst till registrerade uppgif- ter, utlämnande av uppgifter på medium för automatisk databehandling, sökbegrepp och bevarande av uppgifter som gällde för registret. Infor- mationen kunde, menade kommittén, lämpligen fullgöras genom muntlig information, i trycksaker om verksamheten eller på annat lämpligt sätt. En ny lag om behandling av personuppgifter... 189 Remissinstanserna synes inte ha berört kommitténs förslag om informa- tion. Som framgått av den redogörelsen innehåller person upp- giftslagen särskilda bestämmelser om den personuppgiftsansvariges skyldighet att lämna information till den registrerade. Informationsskyl- digheten är försedd med flera undantag. Enligt utredningens bedömning kan man inte – utan att komma i konflikt med EG-direktivet – göra någ- ra ytterligare inskränkningar – dvs. fler undantag – i den informations- skyldighet som följer av personuppgiftslagen. Personuppgiftslagen går nämligen, när det gäller information, inte längre än vad som krävs med hänsyn till EG-direktivet (prop. 1997/98:44 s. 79). Det är däremot t illå- tet att, när det gäller frågan om vilken information som skall lämnas, utvidga informationsskyldigheten utöver vad som följer av EG-direktivet (artiklarna 10.1 och 11.1). Direktivet är i detta avseende endast ett mi- nimidirektiv. Vidare är det enligt direktivet tillåtet att precisera hur in- formationen skall lämnas. Som nämnts i det föregående har så också gjorts i viss lagstiftning. Enligt utredningens uppfattning finns det inget behov av att i detta sammanhang utvidga informationsskyldigheten utöver vad som följer av personuppgiftslagen. Några ytterligare inskrä nkningar i densamma kan man, som nämndes i det föregående, inte göra. När personuppgifter behandlas inom har man således att utgå från personupp- giftslagens bestämmelser om information. Vad innebär då detta i prakti- ken? Av den redogörelsen framgår att person uppgiftslagens bestämmelser om information berör två olika situationer, dels att information i vissa fall skall lämnas självmant av den personuppgifts- ansvarige, dels att information skall lämnas på begäran av den registrerade. I det följande gör utredningen en bedömning av hur personuppgiftslagens bestämmelser om information kan komma att tillämpas inom . Därvid berörs först de bestämmelser som innebär att information skall lämnas självmant. Därefter behandlas bestämmelsen om information efter ansökan. Slutligen diskuteras huru- vida det finns anledning att i något avseende precisera personuppgifts- lagens bestämmelser om vilken information som skall lämnas till de registrerade. 190 En ny lag om behandling av personuppgifter... Information skall lämnas självmant När uppgifter om en person samlas in från personen själv, skall den per- sonuppgiftsansvarige i samband med insamlandet självmant lämna den registrerade information om behandlingen av uppgifterna (23 § person- uppgiftslagen). Från denna informationsskyldighet har inte föreskrivits något uttryckligt undantag, förmodligen främst för att den personupp- giftsansvarige i detta fall alltid har någon form av direktkontakt med den registrerade. I praktiken torde informationen kunna lämnas t.ex. i en bro- schyr som lämnas till den registrerade eller på den blankett där denne lämnar sina uppgifter. Denna informationsskyldighet torde knappast för- orsaka något större arbete eller innebära några särskilda svårigheter. Mer problematiskt kan det naturligtvis bli i de – sannolikt ofta före- kommande – situationer där uppgifterna samlas in från någon annan källa än den registrerade. Enligt regleringen i personuppgiftslagen skall information i sådana fall lämnas i princip när uppgifterna registreras (24 § första stycket personuppgiftslagen). Denna regel är emellertid försedd med några undantag. Frågan är i vilken utsträckning dessa undantagsbe- stämmelser kan tillämpas vid behandling av person uppgifter inom soci- altjänsten. Undantaget i 24 § andra stycket personuppgiftslagen från informa- tionsskyldighet För det första behöver information inte lämnas om det finns bestämmel- ser om registrerandet eller utlämnandet av personuppgifter i en lag eller någon annan författning (24 § andra stycket personuppgiftslagen). Enligt utredningens bedömning innebär de regler om dokumentation som finns i 51 § socialtjänstlagen (1980:620), i 14 § socialtjänstförordningen (1981:750), i 15 § förvaltningslagen (1986:223) och i 6 § förordningen (1998:641) om verkstä llighet av sluten ungdomsvård sådana särskilda bestämmelser som avses med undantaget. I sammanhanget kan också nämnas att det i 15 kap. 1 och 2 §§ sek- retesslagen (1980:100) finns bestämmelser om bl.a. registrerandet av allmänna handlingar m.m. Det saknas i lagen (1993:387) om stöd och service till vissa funktionshindrade särskilda bestämmelser om doku- mentation/journalföringsplikt. Undantagsbestämmelsen i 24 § andra stycket personuppgiftslagen torde, enligt utredningens uppfattning, ge ett mycket stort utrymme för att underlåta att lämna information i samband med att uppgifterna registreras. Det bör dock framhållas att avsikten inte är att de registre- En ny lag om behandling av personuppgifter... 191 rade uppgifterna skall undanhållas den registrerade. Denne kommer förr eller senare att få del av uppgifterna men då med stöd av andra bestäm- melser, t.ex. förvaltningslagens regel om kommunikation (17 §) eller socialtjänstlagens regel om att den enskilde bör hållas underrättad om de journalanteckningar och andra anteckningar som förs om honom (52 §) eller då han eller hon ansöker om information enligt 26 § personuppgiftslagen. Undantaget innebär emellertid att befrias från bördan att lämna information om behandlingen av personuppgiftertill den registrerade. Utredningen är emellertid medveten om att det kan diskuteras om 15 § förvaltningslagen verkligen har den nu angivna innebörden. Om man inte godtar utredningens resonemang härvidlag, torde det – om inte undantaget i 24 § tredje stycket personuppgiftslagen kan vara tillämpligt (se nedan) – vara nödvändigt att lämna information i bl.a. de fall det är fråga om behandling av personuppgifter i den verksamhet som regleras av lagen om stöd och service till vissa funktionshindrade. Undantaget i 24 § tredje stycket personuppgiftslagen från informa- tionsskyldighet För det andra behöver information inte lämnas när uppgifter samlats in från en annan källa än den registrerade, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats (24 § tredje stycket personuppgiftslagen). Om uppgifterna används för att vidta åt- gärder som rör den registrerade, skall dock informationen lämnas senast i samband med att så sker. När det gäller behandling av personuppgifter inom torde dock detta undantag endast mera sällan komma att tillämpas. Dock att det kan få en viss betydelse i de situationer där personuppgifter inom antecknas om andra personer än den som är föremål för åtgärd. Något som lär förekomma i en inte obetydlig utsträckning, det kan t.ex. röra sig om uppgifter om a nhöriga, kontakt- personer m.fl. Utredningen har diskuterat om det är möjligt att uttryckligen före- skriva att personuppgiftslagens bestämmelse om information enligt 24 § första stycket inte skall omfatta information till den som i detta hänseen- de kan betraktas som tredje man. Enligt vad som sagts utredningen skulle det inte bara vara till nackel för det nätverksarbete som bedrivs inom , utan också oerhört resurskrävande, om det fordrades att tredje man som nämns under ett ärendes handläggning alltid skall behöva informeras om att uppgifter om honom eller henne samlats in. Utredningens uppfattning är dock – som tidigare framhå llits – att det inte är tillåtet att göra ytterligare undantag från informationsskyldigheten. 192 En ny lag om behandling av personuppgifter... SOU 1999:109 Det skulle dessutom – vilket utredningen strax återkommer till – vara mindre lämpligt att göra ett sådant generellt undantag för uppgifter som rör tredje man. I de allra flesta fall kan man förmodligen underlåta att lämna infor- mation med hänvisning till socialtjänstlagens eller förvaltningslagens regler om dokumentation. Det är emellertid, menar utredningen, möjligt att även åberopa undantaget i 24 § tredje stycket personuppgiftslagen. Så länge det är fråga om ett fåtal harmlösa personuppgifter bör man nämligen kunna hävda att den registrerades intresse av att bli informerad inte står i någon rimlig proportion till den arbetsinsats som krävs för att kunna lämna information. En sådan lösning framstår också som bättre från integritetssynpunkt jämfört med att göra ett generellt informations- undantag för tredje man, eftersom den personuppgiftsansvarige i varje enskilt fall måste göra en bedömning av hur stort intresset är av att in- formera. Det kan ju inte uteslutas att de uppgifter som antecknats om tredje man är så pass integritetskänsliga eller så pass omfattande att det framstår som högst motiverat att vederbörande informeras om att dessa uppgifter samlats in. angivna förhållanden, samt den omständigheten att den som är tredje man – i motsats till den som är föremål för en åtgärd inom soci- altjänsten – kanske inte känner till att personuppgifter om honom eller henne behandlas och därför inte på samma sätt kan bevaka sin rätt, talar, anser utredningen, för att det – även om det vore tillåtet – inte skulle vara lämpligt att helt undanta tredje man från kravet på information i 24 § personuppgiftslagen. Som framgått är det inte heller nödvändigt att göra det. Under förutsättning att personuppgiftslagens bestämmelser om information tillämpas på ett rimligt och förnuftigt sätt behöver de inte försvåra eller hindra från att arbeta på ett rationellt sätt. Den angivna tolkningen av undantagsbestämmelsen i 24 § tredje stycket personuppgiftslagen är – anser utredningen – godtagbar från in- tegritetssynpunkt. För det första finns det alltid en möjlighet för den som misstänker att personuppgifter behandlas om honom eller henne att an- söka om information enligt 26 § personuppgiftslagen. Det kan alltså inte – annat än om någon sekretessbestämmelse kan åberopas – bli fråga om att dölja för den enskilde att vissa uppgifter samlats in. Vidare innebär det förhållandet att – vid tvist om undantaget är tillämpligt – bevisbör- dan torde ligga på den personuppgiftsansvarige, en viss spärr mot en alltför generös tillämpning av undantagsbestämmelsen. Den som avstår från att lämna information löper således en viss risk att bli skadestånds- skyldig gentemot den registrerade. SOU 1999:109 En ny lag om behandling av personuppgifter... 193 Andra undantag i personuppgiftslagen från informationsskyldighet Enligt 27 § personuppgiftslagen behöver information inte lämnas i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade. En personuppgiftsansvarig som inte är en myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Bestäm- melser om sekretess och tystnadsplikt gäller således alltid före skyldig- heten att lämna information. hindrar bestämmelser om sekretess och tystnadsplikt att någon får reda på uppgifter om sig själv, t.ex. 7 kap. 6 § sekretesslagen, vilken paragraf innehåller bestämmelser till skydd för den som lämnar uppgifter till bl.a. socialvårdsm yndigheter om andras förhållanden. Slutligen kan nämnas att information inte behöver lämnas om sådant som den registrerade redan känner till (25 § andra stycket person- uppgiftslagen). Det förhållandet att – vid tvist om undantaget är t illämp- ligt – bevisbördan torde ligga på den personuppgiftsansvarige, innebär en viss spärr mot en alltför generös tillämpning av undantagsbestämmel- sen. Om inget av de nu nämnda undantagen är tillämpligt, måste emellertid information lämnas. Information skall lämnas efter ansökan Som inledningsvis nämndes gäller enligt 26 § personuppgiftslagen att den registrerade har rätt att på ansökan få information rörande de upp- gifter som behandlas. Denna bestämmelse måste självfallet tillämpas även inom . Vilken information som skall lämnas efter ansökan regleras i 26 § första stycket personuppgiftslagen. Där sägs att skriftlig information skall lämnas om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Informationen om vilka personuppgifter som behandlas skall, enligt EG-direktivet, vara begriplig för den registrerade. När det gäller infor- mation om varifrån uppgifterna kommer, behöver den person upp- giftsansvarige bara lämna all den information som finns tillgänglig för honom eller henne. Den personuppgiftsansvarige behöver således inte 194 En ny lag om behandling av personuppgifter... SOU 1999:109 hålla reda på varifrån uppgifterna har hämtats, men vet han eller hon det när den registrerade begär information skall det uppges (prop. 1997/98:44 s. 81 f.). Skyldigheten att lämna uppgifter enligt 26 § personuppgiftslagen omfattar samtliga personuppgifter om den registrerade som den person- uppgiftsansvarige behandlar. Även personuppgifter i löpande text i ett ordbehandlingsdokument omfattas, dock att det i 26 § tredje stycket per- sonuppgiftslagen görs undantag för personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör min- nesanteckning eller liknande. Beträffande sådana personuppgifter finns det särskilda svårigheter att söka fram alla uppgifter om en och samma person som behandlas. I för- arbetena till personuppgiftslagen har emellertid regeringen uttalat (prop. 1997/98:44 s. 82 f.) att den personuppgiftsansvarige bara är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information. En särskild fråga som bör beröras i sammanhanget är om förbudet i 59 § första stycket socialtjänstlagen mot att i s.k. sammanställningsre- gister ta in uppgifter om ömtåliga personliga förhållanden, kan utgöra hinder mot att hos en socialnämnd göra de sökningar och sammanställ- ningar som är nödvändiga för att uppfylla kraven på information enligt 26 § personuppgiftslagen. Enligt utredningens uppfattning innebär 59 § första stycket social- tjänstlagen inget sådant hinder. Syftet med förbudet i den bestämmelsen är nämligen att skydda den enskildes personliga integritet och den kan därför knappast tillämpas när en sökning eller sammanställning skall göras på den enskildes egen begäran, just för att denne skall kunna ta tillvara sina intressen gentemot myndigheten. För övrigt är det inte fråga om en sammanställning av uppgifter om den enskilde som skall lämnas ut. Vad det gäller är att ta fram och lämna ut samtliga personuppgifter som finns om den enskilde. Enligt utredningen är förbudet i 59 § social- tjänstlagen helt enkelt inte tillämpligt när den enskilde begär information enligt 26 § personuppgiftslagen. Bestämmelsen innebär således ingen rättslig begränsning av den personuppgiftsansvariges sammanställ- ningsmöjligheter (jfr prop. 1997/98:44 s. 82 f.). Sammanfattningsvis anser således utredningen att personuppgiftslagens bestämmelser om den personuppgiftsansvariges informationsplikt är t ill- räckliga och att det inte bör – eller för den delen behövs – göras några ytterligare undantag från dessa bestämmelser. När personuppgifter be- handlas inom skall alltså personuppgiftslagens bestämmel- ser om information tillämpas. En ny lag om behandling av personuppgifter... 195 Bör det i något avseende preciseras vilken information som skall lämnas till den registrerade?