sou · GNB3109 · 2000-01-01 00:00:00 — Registeransvarig är enligt direktivet den fysiska eller juridiska per- son, den myndighet, den institution eller det andra organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för be- handlingen av personuppgifter. När ändamålen och medlen för behand- lingen bestäms av nationella lagar och andra författningar eller av ge- menskapsrätten kan emellertid den registeransvarige eller de särskilda kriterierna för att utse denne, anges i nationell rätt eller i gemenskaps- rätten. De principer som medlemsländerna skall ta in i sin lagstiftning är en- ligt artikel 6 att personuppgifter skall a) behandlas korrekt och lagligt, b) samlas in för särskilda, uttryckligt angivna och berättigade ändamål. behandling får inte ske på ett sätt som är oförenligt med dessa ändamål. Dock skall behandling för historiska, statistiska eller veten- skapliga ändamål inte anses oförenlig med ursprungliga ändamål, om lämpliga skyddsåtgärder beslutas. Person uppgifterna skall c) vara ade- kvata, relevanta och inte överflödiga i förhållande till de ändamål för vilka de samlas in och behandlas, d) vara riktiga och, om nödvändigt, aktuella. Oriktiga uppgifter eller ofullständiga uppgifter skall utplånas eller rättas. Personuppgifterna skall e) inte förvaras på ett sätt som gör det möjligt att än som är nödvändigt för de ändamål för vilka uppgifterna behandlas identifiera enskilda. Lämpliga s kyddsåtgär- der skall vidtas för personuppgifter som lagras för historisk, statistisk eller vetenskaplig användning . Enligt direktivet är behandling av personuppgifter t illåten endast un- der vissa förutsättningar. De generella bestämmelserna härom finns i artikel 7, medan artikel 8 innehåller bestämmelser för s.k. känsliga per- sonuppgifter. Enligt artikel 7 är behandling av personuppgifter t illåten om a) den registrerade givit sitt otvetydiga samtycke eller behandlingen är nödvändig för b) att fullgöra ett avtal i vilket den registrerade är part eller för att på den registrerades begäran vidta åtgärder inför detta avtal, c) att uppfylla en rättslig förpliktelse som åvilar den registeransvarige, d) att skydda intressen som är av grundläggande betydelse för den registre- rade, e) att utföra en arbetsuppgift av allmänt intresse eller som ett led i myndighetsutövning av den registeransvarige eller av tredje man till vil- SOU 1999:109 Den nuvarande rättsliga regleringen... 103 ken personuppgifterna lämnas ut eller, f) ändamål som rör berättigade intressen hos den registeransvarige eller hos den tredje man till vilken uppgifterna lämnas ut, utom då den registrerades intressen tar över. Med begreppet tredje man avses i direktivet någon annan än den registrerade, den registeransvarige, den som behandlar personuppgifter för den regis- teransvariges räkning (registerföraren) eller de personer som under den registeransvariges eller registerförarens direkta ansvar har befogenhet att behandla uppgifterna. I artikel 8.1 föreskrivs som huvudregel förbud mot behandling av känsliga uppgifter. Med sådana uppgifter avses uppgifter om ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexua lliv. I artikel 8.2 anges emellertid ett antal undantag från huvudregeln, bl.a. om den registrerade har gett sitt samtycke till behandlingen. Huvud- regeln gäller inte heller när behandlingen är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller be- handling eller administration av hälso- och sjukvård eller när dessa upp- gifter behandlas av någon som är yrkesmässigt verksam inom området eller är underkastad tystnadsplikt (artikel 8.3). Om lämpliga skyddsåtgärder vidtas, får genom nationell lagstiftning beslutas om andra undantag från huvudregeln i artikel 8.1 om det krävs av hänsyn till ett viktigt allmänt intresse (artikel 8.4). Direktivet innehåller inte något förbud avseende behandling av upp- gifter om brott. I artikel 8.5 föreskrivs dock att uppgifter om la göverträ- delser, brottmålsdomar eller säkerhetsåtgärder får utföras endast under kontroll av en myndighet eller – om lämpliga skyddsåtgärder finns i na- tionell lag – med förbehåll för de ändringar som medlemsstaterna kan tillåta med stöd av nationella bestämmelser som innehåller lämpliga och specifika skyddsåtgärder. Ett fullständigt register över brottmålsdomar får dock, enligt vad som vidare anges i artikel 8.5, föras endast under kontroll av en myndighet. Direktivet innehåller också bestämmelser om bl.a. rätt för den regist- rerade att motsätta sig uppgiftsbehandling i vissa fall, begränsningar vad gäller möjligheterna att grunda för den enskilde betydelsefulla beslut enbart på en automatisk databehandling av uppgifter som avser dennes personliga egenskaper, information till den registrerade, den enskildes rätt till insyn och rättelse samt om datasäkerhet, sekretess och gallring. För vissa fall ges möjligheter att göra avsteg från vad som föreskrivs I artikel 13.1 ges sålunda medlemsstaterna möjligheter att genom lagstiftning begränsa omfattningen av de skyldigheter och rättig- heter som följer av artiklarna 6.1 (principer för de behandlade perso- nuppgifternas kvalitet), 10 (information vid insamling av uppgifter från den registrerade), 11.1 (information när uppgifterna inte har samlats in 104 Den nuvarande rättsliga regleringen... från den registrerade), 12 (den registrerades rätt att få tillgång till gifter) och 21 (behandlingarnas offentlighet). En sådan begränsning får dock göras endast i fall då det är en nödvändig åtgärd med hänsyn till vissa särskilt angivna ändamål, bl.a. förebyggande, undersökning eller avslöjande av brott. Artikel 18 innehåller bestämmelser som ålägger medlemsstaterna att föreskriva att den registeransvarige eller dennes företrädare skall under- rätta tillsynsmyndigheten före genomförandet av en behandling som helt eller delvis genomförs på automatisk väg eller en serie sådana behand- lingar som har samma eller närbesläktade ändamål. För vissa fall finns det möjligheter till undantag och förenklingar av anmälningsproceduren (artikel 18.2–4). Enligt artikel 20 är medlemsstaterna skyldiga att bestämma vilka be- handlingar som kan innebära särskilda risker för den registrerades fri- och rättigheter samt att säkerställa att sådana behandlingar kontrolleras innan de påbörjas. Sådana förhandskontroller skall utföras av till- synsmyndigheten men kan också utföras som ett led i det nationella par- lamentets förberedande arbete med en åtgärd eller som ett led i arbetet med en åtgärd som grundas på en sådan lagstiftande åtgärd, vilken defi- nierar behandlingens art och anger lämpliga skyddsåtgärder (artikel 20.3). Direktivet innehåller även bestämmelser rörande överföring av perso- nuppgifter till länder utanför den Europeiska gemenskapen. Enligt hu- vudregeln skall medlemsländerna föreskriva att en överföring av sådana uppgifter, som är under behandling eller är avsedda att behandlas efter överföring till tredje land, får ske endast om ifrågavarande tredje land säkerställer en adekvat skyddsnivå (artikel 25.1). Medlemsstaterna skall enligt artikel 22 föreskriva att var och en har rätt att föra talan inför domstol om kränkningar av sådana rättigheter som skyddas av den nationella lagstiftning som är tillämplig på behand- lingen i fråga. Enligt artikel 23 skall även föreskrivas att var och en, som lidit skada till följd av en otillåten behandling eller någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av direktivet, har rätt till ersättning av den registeransvarige för den ska- da han lidit. Som inledningsvis nämndes har genom personuppgiftslagen i svensk rätt införlivats de principer och riktlinjer som direktivet innehåller. Per- sonuppgiftslagen behandlas ovan i avsnitt 4.3.6. Den nuvarande rättsliga regleringen... 105 antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter (SÖ 1982:50), den s.k. dataskyddskonventionen. Konventionen trädde i kraft och har ratificerats av ett antal länder, bl.a. . Syftet med konventionen är att säkerställa respekten för grundläg- gande fri- och rättigheter, särskilt den enskildes rätt till personlig integ- ritet i samband med automatisk databehandling av personuppgifter (artikel 1). Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av informa- tion, oberoende av gränser, som finns inskriven i internationella överens- kommelser om mänskliga rättigheter. Med personuppgifter avses i detta sammanhang all information som kan hänföras till en identifierad eller identifierbar person. Till automatisk databehandling hänförs i konventionen såväl lagring av uppgifter som utförandet av logisk eller aritmetisk behandling av dessa samt ändring, utplåning, återvinning eller spridning av uppgifterna. Konventionens tillämpningsområde är enligt huvudregeln automatise- rade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet (artikel 3). Därutöver finns vissa möjlig- heter att göra undantag från några av de enskilda bestämmelserna (artikel 9). Reservationer mot bestämmelserna i övrigt får inte göras (artikel 25). Däremot är det ingenting som hindrar att registrerade perso- ner tillerkänns ett mer omfattande skydd än som föreskrivs i konventio- nen (artikel 11). I konventionens centrala bestämmelser (artiklarna 4–11) ställs vissa grundläggande principer för dataskydd upp. De innebär bl.a. följande. Personuppgifter som skall undergå automatisk databehandling skall in- hämtas och behandlas på ett korrekt sätt. De skall lagras och behandlas på ett korrekt sätt. De skall lagras för särskilt angivna och lagliga ända- mål. Uppgifterna skall vidare vara relevanta för dessa ändamål och får inte användas på ett sådant sätt som är oförenligt med dem (artikel 5). Vissa kategorier av personuppgifter får inte undergå automatisk databe- handling, om inte den nationella lagen ger ett ändamålsenligt skydd. Detta gäller i fråga om uppgifter om ras, politisk åskådning, religiös tro och annan övertygelse, hälsa, sexualliv samt brottmålsdomar (artikel 6). Lämpliga säkerhetsåtgärder skall vidtas för att skydda person uppgifter mot oavsiktlig eller otillåten förstörelse (artikel 7). Vidare föreskrivs bl.a. att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få rättelse till stånd om personuppgifter 106 Den nuvarande rättsliga regleringen... har behandlats i strid med nationell lagstiftning som syftar till att för- verkliga de i artiklarna 5 och 6 fastlagda principerna. Undantag får enligt konventionen göras i fråga om kraven på person- uppgifternas beskaffenhet, förutsättningarna för behandling av känsliga uppgifter och vissa andra föreskrivna s kyddsåtgärder. För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerades eller andra personers fri- och rättigheter. 4.4.3Europarådets rekommendationer om dataskydd har antagit ett flertal rekommendationer om dataskydd inom olika områden. Dessa rekommendationer är i och för sig inte bindande för medlemsländerna men genom att anta en rekommendation utan reser- vation anses medlemslandet i princip åtagit sig att följa den och försöka anpassa sin nationella lagstiftning till rekommendationens innehåll. Av intresse för utredningens arbete torde vara endast rekommendationen om skydd för person uppgifter som används för forskning och statistik, No. R (83) 10. Rekommendationen om skydd för personuppgifter som används för forskning och statistik, No. R (83) 10 har utan reservation anslutit sig till rekommendationen som an- togs . Syftet med rekommendationen är att t illgodose såväl forskningens behov som skyddet för den enskildes integritet. Rekom- mendationen är tillämplig på person uppgifter som uteslutande används för vetenskaplig forskning och statistik, såväl inom den allmänna som inom den enskilda sektorn och oberoende av om uppgifterna förs med hjälp av ADB eller manuellt. Respekten för den personliga integriteten skall garanteras i varje projekt som använder personuppgifter. Är det mö jligt skall projekten utföras med anonyma uppgifter. Vidare får personuppgifter som erhå llits för forskning och statistik inte användas för någon annat ändamål än dessa. Personuppgifter som med den enskildes samtycke samlats in för ett särskilt projekt får inte utan den enskildes samtycke användas i sam- band med något annat ändamål. SOU 1999:109 Den nuvarande rättsliga regleringen... 107 Personuppgifter som används för forskning och statistik får inte pub- liceras i identifierbar form, såvida inte de berörda lämnat sitt samtycke och det sker i enlighet med skyddsbestämmelser i inhemsk lag. Så långt det är möjligt skall det i varje projekt anges om person upp- gift skall förstöras, avidentifieras eller bevaras när projektet är avslutat och i så fall under vilka former som uppgifterna skall bevaras. I har en ny rekommendation till skydd för person upp- gifter som samlas in och behandlas för statistik förhandlats fram. Denna förväntas ersätta den nuvarande rekommendationen. för ekonomiskt samarbete och utveckling () har en expertgrupp utarbetat vissa riktlinjer i i fråga om integritetsskyd- det och persondataflödet över gränserna. Riktlinjerna antogs av tillsammans med en rekommendation till medlemsstaternas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland , har godtagit rekommendationen och därmed åtagit sig att följa denna. Riktlinjerna innehåller bl.a. en särskild avdelning som behandlar grundläggande principer rörande skyddet för den personliga integriteten på det nationella planet. I mångt och mycket överensstämmer riktlinjerna i dessa hänseenden med vad som anges i EG:s dataskyddsdirektiv och dataskyddskonvention. Riktlinjerna är emellertid mindre detaljerade och uppställer i vissa hänseenden också lägre krav än dessa. 108 Den nuvarande rättsliga regleringen... förslag om författningsreglering... 5Socialtjänstkommitténs förslag om författningsreglering av social- tjänstens personregister, m.m. Frågan om författningsreglering av personregister be- handlades av i slutbetänkandet Dokumentation och Socialtjänstregister (SOU 1995:86). I betänkandet föreslogs dels att bestämmelser om dokumentation i skulle införas, dels en lagreglering av personregister. Bestämmelserna föreslogs intagna i en särskild lag, lag om dokumentation och socialtjänstregister m.m. Av de båda förslagen var det emellertid endast förslaget om doku- mentationsskyldighet som ledde till lagstiftning, och då i form av änd- ringar i socialtjänstlagen (1980:620) (prop. 1996/97:124, bet. 1996/97:SoU18, rskr. 1996/97:264, SFS 1997:313). Lagändringarna trädde i kraft . I det följande (avsnitt 5.3) redovisas förslag om författningsreglering av personregister. Eftersom ut- gångspunkten vid kommitténs överväganden beträffande vilka uppgifter som borde få finnas i dessa personregister var de bestämmelser som fö- reslogs gälla för dokumentation inom m.m., lämnas i ett inledande avsnitt (avsnitt 5.2) en redogörelse för detta förslag och för de lagändringar som det föranledde. I avsnitt 5.4 redovisas remissynpunk- terna på förslag om författningsreglering av so- cialtjänstens personregister och i avsnitt 5.5 redovisas regeringens över- väganden. Utredningen återkommer i avsnitt 6 till Socialtjänstkommit- téns förslag och till de remissynpunkter som framfördes. 5.2Nya lagbestämmelser om dokumenta- tion i föreslog att nya generella och mycket utförliga bestämmelser om dokumentation i skulle införas genom en särskild lag, lag om dokumentation och socialtjänstregister m.m., och att 110 förslag om författningsreglering... SOU 1999:109 reglerna skulle göras tillämpliga också på sådan enskilt bedriven verk- samhet som står under tillsyn. Bestämmelserna föreslogs samlade i lagens första kapitel, 1 kap. Dokumentation inom socialtjäns- ten m.m. Förslaget ledde till lagstiftning i så måtto att vissa ytterligare be- stämmelser om dokumentation infördes i socialtjänstlagen (50 och 51 §§), enligt regeringen (prop. 1996/97:124 s. 149 f.) främst i förtydligan- de syfte och som ett komplement till förvaltningslagens regler. Doku- mentationsreglerna gjordes vidare generellt tillämpliga på sådan enskilt bedriven verksamhet inom som står under tillsyn (70 a § socialtjänstlagen). Utan att närmare gå in på kommitténs förslag om dokumentations- skyldighet kan sägas att förslaget i huvudsak överensstämde med rege- ringens men att det var än mer detaljerat, bl.a. när det gällde dokumen- tationsskyldighetens omfattning och kraven på dokumentationen. I 51 § första stycket socialtjänstlagen finns den grundläggande be- stämmelsen om dokumentationsskyldighet. Enligt första meningen i det stycket skall handläggning av ärenden som rör enskilda samt genomfö- rande av beslut om stödinsatser, vård och behandling dokumenteras. En- ligt förarbetena (a. prop. s. 151 f. och 181) avses med handlä ggning av ärenden alla åtgärder från det att ett ärende anhängiggörs – genom en ansökan eller på något annat sätt, t.ex. på initiativ av myndigheten själv – till dess att det avslutas genom beslut. Verksamhet som rådgivning och information samt vissa öppna verksamheter omfattas inte av dokumen- tationsskyldigheten. Däremot omfattas socialnämndens arbete med att avge yttranden till andra myndigheter, t.ex. i brottmål beträffande bl.a. ungdomar, av dokumentationsskyldigheten. Som framgått skall vidare dokumentation ske av sådant rent faktiskt handlande som utgör genom- förande av beslut om stödinsatser, vård och behandling. I 51 § första stycket socialtjänstlagen regleras vidare generellt vilken information dokumentationen skall lämna. Enligt bestämmelsen skall dokumentationen utvisa beslut och åtgärder som vidtas i ärendet samt faktiska omständigheter och händelser av betydelse. Det är, framhåller regeringen i förarbetena (a. prop. s. 181), av primärt intresse för den enskilde att få en korrekt handläggning av ärendet och i förekommande fall en insats av god kvalitet. Dokumentationen skall kunna användas av personal som ett arbetsinstrument för den individuella planeringen, för handläggningen av ärendet, för genomförandet och för uppföljning av ärendehandlä ggningen och insatsen. Uppgifterna utnyttjas enligt regeringen också i flera andra för viktiga samman- hang, t.ex. som underlag för kvalitetssäkring, forskning och framställ- ning av statistik. I förarbetena (a. prop. s. 152 f. och 181 f.) framhåller regeringen att dokumentationen – för att fylla sin huvud uppgift – skall förslag om författningsreglering... innehålla tillräcklig, väsentlig och korrekt information. Det sägs vidare att vad som utgör tillräcklig och väsentlig information kan variera starkt mellan olika verksamheter och ärendetyper inom samt att endast de uppgifter som har betydelse med hänsyn till verksamhetens art och det enskilda fallet behöver dokumenteras. Enligt regeringen bör do- kumentationen innehålla uppgift om vem som har gjort en viss anteck- ning och när anteckningen gjordes. Att sådana uppgifter finns är, mena- de regeringen, väsentligt såväl under ett ärendes handläggning och under genomförandefasen som därefter för olika slag av uppföljning och kon- troll. Av 52 § socialtjänstlagen följer att dokumentationen skall utformas med respekt för den enskildes integritet samt att den enskilde bör hållas underrättad om de journalanteckningar och andra anteckningar som förs om honom. I bestämmelsen föreskrivs vidare att det skall antecknas om den enskilde anser att någon uppgift i dokumentationen är oriktig. konstaterade att de flesta kommuner i landet vid den dåvarande tidpunkten använde sig av personregister som förs med stöd av automatisk databehandling (ADB) för åtminstone något av soci- altjänstens verksamhetsområden. Enligt kommittén var syftet med ADB- användningen främst att underlätta olika administrativa rutiner. Kom- munerna måste ha möjlighet att bevaka och följa upp ärenden inom soci- altjänsten. Kommittén menade att, även om det i första hand är administ- rativa rutiner inom verksamhetsområden som har datori- serats, nya och effektiva ADB-stöd hade utvecklats ock- så inom service-, vård- och behandlingsområdena. framhöll att personregistrering med stöd av ADB i flertalet av landets kommuner således var en förutsättning för att kommunerna skulle kunna fullgöra sitt ansvar enligt . Enligt kommittén använde även och ett fåtal privata utövare personregister som stöd för sin verksamhet. I betänkandet lämnade en beskrivning av soci- altjänstens personregister (s. 44 ff.). Beskrivningen gällde verksamhet enligt socialtjänstlagen (1996:000), lagen (1990:52) med särskilda be- stämmelser om vård av unga, lagen (1988:70) om vård av missbrukare i vissa fall, lagen (1993:387) om stöd och service till vissa funktionshind- rade, ärenden om tillstånd till riksfärdtjänsten, verksamhet inom familje- rätten som bedrivs i kommunerna enligt samt ärenden om 112 förslag om författningsreglering... SOU 1999:109 bistånd åt asylsökande m.fl. och om introduktionsersättning för flykting- ar och vissa andra utlänningar. Beskrivningen har redovisats i avsnitt 3.2. ansåg att de från integritetssynpunkt viktiga grän- serna för registrering av personuppgifter på område bor- de anges i lag. Vid kommitténs överväganden beträffande vilka uppgifter som borde få finnas i dessa personregister (socialtjänstregister) var ut- gångspunkten de bestämmelser som föreslogs gälla för dokumentation inom m.m. Regleringen föreslogs bli införd i samma lag som dokumentationsbestämmelserna, dvs. i den föreslagna lagen om do- kumentation och socialtjänstregister m.m. Enligt förslaget skulle lagreg- leringen av socialtjänstregistren omfatta bestämmelser om registerända- mål, registerinnehåll, sambearbetning, registeransvar, direktåtkomst till registrerade uppgifter, sökbegrepp, utlämnande av uppgifter på ADB- medium, informationsskyldighet samt gallring. Flera av bestämmelserna avsågs bli kompletterade i ett antal till lagen anslutande förordningar. De register som skulle komma att föras med stöd av den föreslagna lagen skulle vara s.k. statsmaktsregister, som inte krävde tillstånd av Datain- spektionen (betänkandet s. 144). Kommittén erinrade dock om att Data- inspektionen skulle ha kvar sin befogenhet enligt datalagen att i vissa fall meddela föreskrifter till skydd för den personliga integriteten. Även i övrigt skulle datalagens allmänna regler om personregister fortsätta att gälla för de register som föreslogs lagreglerade, i den mån inte särskilda regler gavs i den föreslagna lagen eller i de till den lagen anslutande för- ordningarna. Bestämmelserna om socialtjänstregister föreslogs intagna i ett andra kapitel, 2 kap. Socialtjänstregister, i den tidigare berörda lagen om do- kumentation och socialtjänstregister m.m. Enligt 2 kap. 1 § skulle regle- ringen omfatta de personregister som behövdes för sådan handläggning av ärenden och verkställighet av beslut inom verksam- hetsområden som enligt den föreslagna lagen eller annan författning an- kom på en kommun, ett kommunalförbund, eller sådan privat verksamhet som stod under tillsyn. Be- stämmelserna skulle inte omfatta sådana personregister som fick föras utan tillstånd enligt datalagen (licensregister och statsmaktsregister). Vidare föreslogs att det s.k. socialtjänstundantaget i 2 a § tredje stycket 3 datalagen, dvs. att utan tillstånd får inrätta och föra per- sonregister som innehåller uppgifter om att någon fått e konomisk hjälp eller vård inom , skulle upphävas. Det var enligt kommittén