sou · GNB3109 · 2000-01-01 00:00:00 — Ett annat argument mot att i lagen uttömmande ange ändamålen med behandlingen, är att man kan anta att ändamålen kan behöva utformas på olika sätt beroende på hur verksamheten är organiserad i det enskilda fallet, t.ex. i en kommun. De i lagen angivna ändamålen skulle kanske därför ibland passa verksamheten ganska bra, medan de i andra fall skulle fungera mindre bra. Detta talar för att ändamålen inte bör uttöm- mande anges i lag utan att man på något sätt bör försöka hitta en mer flexibel lösning. Enligt utredningens uppfattning är nackdelarna även med denna mo- dell alltför stora för att den skall kunna användas. Utredningens slutsats blir således att det inte är möjligt att i lagen uttömmande ange för vilka ändamål personuppgifter får behandlas inom . Det överlåts på de personuppgiftsansvariga att – inom en i lagen angiven ram – bestämma ändamålen med behandlingen (modell 3) Det är viktigt att en författningsreglering, som anger under vilka förut- sättningar personuppgifter skall få behandlas, datoriserat eller manuellt i register inom , inte innebär sådana begränsningar att det går ut över effektiviteten och kvaliteten i arbetet. är det natur- ligtvis mycket betydelsefullt att regleringen i största möjliga utsträckning eliminerar riskerna för kränkningar av enskildas personliga integritet. Det är självfallet de personuppgiftsansvariga i respektive verksamhet som har störst förutsättningar att bedöma för vilka ändamål personupp- gifter behöver behandlas inom . Enligt utredningens uppfattning har en modell som innebär att det överlåts på den person- uppgiftsansvarige att ange de särskilda ändamål för behandlingen som just denne vill uppnå stora fördelar i flexib ilitetshänseende. Genom att man inte i en författning uttömmande anger för vilka ändamål person- uppgifter får behandlas, kan den personuppgiftsansvarige skräddarsy ändamålen så att de passar den aktuella verksamheten och hur den är organiserad. Man hindrar då inte heller att personuppgifter inom social- tjänsten behandlas även för andra ändamål, under förutsättning att dessa nya ändamål inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen samlades in. 160 En ny lag om behandling av personuppgifter... SOU 1999:109 Mot modellen kan invändas att den i ett avseende måhända inte utgör ett tillräckligt skydd för den personliga integriteten. Det skulle kunna hävdas att det med en sådan ordning inte finns några egentliga gränser för när insamlade personuppgifter får behandlas, eftersom de nya ända- målen kanske inte skulle anses vara oförenliga med de ändamål för vilka uppgifterna ursprungligen samlades in. I de båda tidigare re dovisade modellerna skulle ändamålen anges uttömmande i författningen och det skulle därför inte bli aktuellt att göra någon sådan prövning. Utredningen menar dock att denna farhåga inte bör överdrivas. I första hand är naturligtvis utfallet av denna oförenlighetsprövning be- roende av hur pass preciserat det ursprungliga ändamålet är. I författ- ningskommentaren lämnar utredningen några exempel på hur en tillräck- ligt preciserad ändamålsbestämmelse skulle kunna se ut. Det kan dock redan här sägas att en ändamålsbestämmelse, som är relativt vanlig i Datainspektionens beslut, av slaget handläggning av ärenden inom indi- vid- och familjeomsorgen torde vara alltför allmänt hållet. Det saknas i princip auktoritativa uttalanden om vilka överväganden som skall göras när man prövar om ett nytt ändamål är förenligt med det ändamål för vilket uppgifterna ursprungligen har samlats in. uttalade i betänkandet Integritet – Offentlighet – Informa- tionsteknik (SOU 1997:39) att vad som är oförenligt med de ursprungli- ga ändamålen får bestämmas genom praxis och de mer preciserade reg- ler som regeringen och Datainspektionen kan utfärda (s. 351). F.n. finns på området emellertid varken praxis eller närmare föreskrifter. Enligt utredningens uppfattning bör man vid denna oförenlighetspr övning, hypotetiskt utgå från hur en registrerad typiskt sett (inte den registrerade i det enskilda fallet) skulle se på saken. Kommer man vid en sådan be- dömning fram till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. Detta är, menar utredningen, en rimlig utgångspunkt med tanke på syftet bakom EG-direktivet, dvs. att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatlivet, i sam- band med behandling av personuppgifter. Vid sådant förhållande blir det fråga om en restriktiv tillämpning av bestämmelsen i 9 § första stycket d personuppgiftslagen och utrymmet för att behandla redan insamlade per- sonuppgifter för andra ändamål blir följaktligen litet. Det bör i sammanhanget också framhållas att det är den modell man faktiskt enats om inom EU och att de personuppgiftsansvariga har ett EG-rättsligt grundat anspråk på att få använda personuppgifter för alla tillåtna ändamål som inte är oförenliga med de ursprungliga. Vidare ut- gör redan det förhållandet att denna oförenlighetsprövning måste göras SOU 1999:109 En ny lag om behandling av personuppgifter... 161 ett skydd för integriteten. Alternativet är ju att ange ett enda mycket brett ändamål. Genom att ändamålen är preciserade skulle den registrerade också få en klar bild av i vilka sammanhang de personuppgifter som samlas in beträffande honom kommer att användas. För att personuppgifter inom inte skall kunna samlas in för vilka ändamål som helst bör dock i lagen anges en yttersta ram inom vilken de särskilda, uttryckligt angivna ändamålen måste hålla sig. En- dast sådana ändamål kan anses som berättigade. Denna regel skulle helt enkelt ersätta 10 § personuppgiftslagen och kunna lyda enligt följande. Personuppgifter får, förutom med den registrerades samtycke, behandlas bara om behandlingen är nödvändig för att en arbets uppgift inom social- tjänsten skall kunna utföras. Personuppgifterna kan då i princip inte heller användas utanför , eftersom ändamålen får en så stark anknytning till det området. En behandling av de insamlade perso- nuppgifterna för ändamål som ligger utanför , torde där- med i de allra flesta fall anses vara oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in (9 § första stycket d personupp- giftslagen). Utredningen återkommer till denna fråga i det följande. En sådan bestämmelse skulle inte vara en ändamålsbestämmelse i den mening som avses i 9 § första stycket c personuppgiftslagen. Men den skulle likväl innebära ett integritetsskydd i så måtto att det där läggs fast vilka ändamål som är berättigade. Det ankommer sedan på den perso- nuppgiftsansvarige i respektive verksamhet att ange konkreta ändamål för sin behandling av personuppgifter. Dessa konkreta ändamål måste uppfylla personuppgiftslagens krav på precision och hålla sig inom den ram som läggs fast i den nu föreslagna lagen. Det skulle följaktligen vara felaktigt att göra tolkningen att en sådan yttersta ram för behandlingen av personuppgifter skulle innebära att man inte måste ange uttryckliga och preciserade ändamål med personuppgiftsbehandlingen. Inget hindrar att det redan från början angavs flera ändamål för vilka uppgifterna skulle behandlas. De insamlade personuppgifterna får i denna modell behandlas även för andra ändamål än de för vilka de ursprungligen samlades in, under förutsättning att den nya behandlingen inte är oförenlig med de ur- sprungliga ändamålen. Personuppgifterna kan behandlas även för forsknings- och statis- tikändamål. Av 9 § första stycket f personuppgiftslagen följer nämligen att behandling för historiska, statistiska och vetenskapliga ändamål inte skall anses oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in. Huruvida behandlingen av personuppgifterna, t.ex. själva utlämnandet, är tillåten i det enskilda fallet får emellertid avgöras av bestämmelserna i personuppgiftslagen och bestämmelserna i denna lag. 162 En ny lag om behandling av personuppgifter... 19 § tredje stycket personuppgiftslagen finns en allmän bestämmelse i ämnet. kan det emellertid också, som i t.ex. 64 § socialtjänstlagen (1980:620), finnas en uttrycklig föreskrift om att personuppgifter skall lämnas ut för forskningsändamål. En sådan regel gäller före bestämmel- serna i personuppgiftslagen (2 §). Som tidigare nämndes skulle emellertid i praktiken personuppgifter som har samlats in inom – med undantag för behandling för forsknings- och statistikändamål och när personuppgifterna har läm- nats ut med stöd av författning – knappast kunna behandlas (samlas in) utanför . Bl.a. personuppgiftslagens krav på att behand- lingen för det nya ändamålet inte skall vara oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades (9 § första stycket d), och de regler som gäller om sekretess på område, torde ofta hindra en sådan användning av person uppgifterna. Vidare skulle det i andra fall än de ovan angivna knappast vara möjligt för någon utanför att hänföra sin behandling under något av de tillåtna fall som anges i 10 § personuppgiftslagen. Skulle behandlingen avse t.ex. känsliga personuppgifter skulle behandlingen dessutom be höva vara till- låten enligt bestämmelserna i 13–22 §§ personuppgiftslagen. Enligt utredningens uppfattning framstår den senast re dovisade modellen som den bästa inte bara när det gäller skyddet för den enskildes personli- ga integritet utan även när det gäller verksamheten inom . En modell som innebär att den personuppgiftsansvarige skall ange än- damålen med behandlingen av personuppgifter överensstämmer också bäst med EG-direktivet. Utredningen föreslår att denna modell används och att det således överlåts på de personuppgiftsansvariga i respektive verksamhet att ange de ändamål för vilka personuppgifter skall få be- handlas inom . Dock att endast ändamål som är nödvändi- ga för att en arbetsuppgift inom skall kunna utföras kan vara berättigade. I lagen bör tas in bestämmelser med denna innebörd. Avslutningsvis vill utredningen framhålla att den föreslagna lösning- en – under förutsättning att ändamålen anges på ett heltäckande sätt – går utmärkt väl att förena med systemet med socialtjänstakter. Sammanfattningsvis innebär således utredningens förslag att personupp- gifter, förutom med den registrerades samtycke, får behandlas bara om behandlingen är nödvändig för att en arbets uppgift inom skall kunna utföras. Lagen hindrar dock inte att personuppgifter lämnas En ny lag om behandling av personuppgifter... 163 ut om det följer av lag eller förordning. I lagen regleras inte för vilka ändamål personuppgifter skall få behandlas inom . Det ankommer således på de personuppgiftsansvariga i respektive verksamhet att med beaktande av 9 § första stycket c personuppgifts- lagen (1998:204) – dvs. bestämmelsen att personuppgifter bara får sam- las in för särskilda, uttryckligt angivna och berättigade ändamål – ange för vilka ändamål personuppgifter behandlas. Endast ändamål som är nödvändiga för att en arbets uppgift inom skall kunna utfö- ras kan därvid vara berättigade. 6.4Vilka kategorier av personuppgifter bör få behandlas? Utredningens förslag : Föreskrifterna i 9 § första stycket e och f per- sonuppgiftslagen (1998:204) och viss annan lagstiftning, t.ex. social- tjänstlagens bestämmelser om dokumentation, innebär viktiga be- gränsningar av vilka personuppgifter som får behandlas. Det s kydd som dessa föreskrifter ger för den personliga integriteten är tillräck- ligt. Det behöver därför inte finnas några särskilda begränsningar be- träffande vilka kategorier av personuppgifter som får behandlas inom . Samtliga kategorier av personuppgifter kommer såle- des i och för sig att få behandlas inom . Enligt 9 § första stycket e och f personuppgiftslagen (1998:204) skall den personuppgiftsansvarige se till att de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. För behandlingen av känsliga personuppgifter gäller särskilt restrik- tiva regler. I 13 § finns ett principiellt förbud mot att behandla person- uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller som rör hälsa eller sexualliv. Uppgifter av den angivna arten betecknas i lagen som känsliga personuppgifter (13 § tredje stycket). Det är att notera att en del av det som enligt datalagen (1973:289) omfattas av sär- skilda regler – t.ex. uppgifter om att någon misstänks eller dömts för brott, att någon avtjänat straff eller undergått annan påföljd för brott, att någon varit föremål för tvångsingripanden enligt viss lagstiftning, att någon fått ekonomisk hjälp eller vård inom , att någon varit föremål för åtgärd enligt utlänningslagen eller uppgifter om någon som 164 En ny lag om behandling av personuppgifter... SOU 1999:109 utgör omdöme eller annan värderande upplysning – inte omfattas av bestämmelserna om känsliga uppgifter i personuppgiftslagen. Förbudet i 13 § mot behandling av känsliga personuppgifter är emel- lertid inte undantagslöst (14 §). I 15–19 §§ regleras under vilka omstän- digheter en behandling av känsliga uppgifter trots förbudet är t illåten. Enligt 15 § får känsliga personuppgifter behandlas, om den registre- rade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Övriga undantag från förbudet är – med undantag för bestämmelsen i 19 § om behandling av känsliga personuppgifter för forsknings- och sta- tistikändamål – i princip inte tillämpliga vid behandling av person uppgif- ter inom . I 20 § finns ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om ytterligare undantag från förbudet i 13 § mot behandling av känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Några sådana före- skrifter har emellertid ännu inte meddelats. I 21 § personuppgiftslagen finns ett förbud för andra än m yndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Regeringen eller den myndighet som regeringen be- stämmer får dock meddela föreskrifter om undantag från förbudet i 21 § (21 § tredje stycket). Vidare får regeringen eller, om regeringen så be- stämmer, tillsynsmyndigheten i enskilda fall besluta om undantag från förbudet. Som exempel på fall där det kan vara befogat med undantag nämndes i förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 75 f.) den behandling av uppgifter om t.ex. brottmålsdomar som privata vård- och behandlingshem kan behöva utföra för att vårda och behandla den dömde på ett effektivt sätt. Datainspektionen har beslutat föreskrif- ter om undantag från förbudet (1998:3). Uppgifter om personnummer får som huvudregel behandlas endast om samtycke lämnats (22 §). Sådana uppgifter får dock behandlas även när det är klart motiverat med hänsyn till a) ändamålet med behandling- en, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. I 33 § personuppgiftslagen finns ett förbud mot överföring av perso- nuppgifter till tredje land. Med tredje land förstås en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska sam- arbetsområdet (3 § personuppgiftslagen). Detta förbud är emellertid inte undantagslöst. I 34 § personuppgiftslagen finns en uppräkning av i vilka fall det är tillåtet att föra över person uppgifter till tredje land. Bl.a. får så ske om den registrerade har lämnat sitt samtycke till överföringen. Vidare kan ytterligare undantag från förbudet göras med stöd av 35 §. SOU 1999:109 En ny lag om behandling av personuppgifter... 165 Enligt den bestämmelsen får regeringen eller den myndighet som rege- ringen bestämmer bl.a. meddela föreskrifter om undantag från förbudet i 33 §, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. I en lagrådsremiss föreslår regeringen vissa ändringar i förbudet mot överföring av personuppgifter till tredje land. Enligt försla- get skall överföring av personuppgifter till tredje land inte längre vara förbjuden om det tredje landet har en adekvat nivå för skyddet av perso- nuppgifter. Frågan är om – och i så fall i vilken utsträckning – det finns ett behov av att, i en lag om behandling av personuppgifter inom , göra undantag från personuppgiftslagens särskilda regler om behandling av känsliga personuppgifter, uppgifter om la göverträdelser som innefat- tar brott m.m. och uppgifter om personnummer samt när det gäller över- föring av personuppgifter till tredje land. En annan fråga är om de all- mänt hållna bestämmelserna i 9 § första stycket e och f personupp- giftslagen innebär en tillräcklig begränsning av de uppgifter som får be- handlas eller om man i något avseende mer konkret bör inskränka i vil- ken omfattning personuppgifter får behandlas inom . Av de beslut enligt datalagen som utredningen har studerat (se avsnitt 3) framgår att det inom finns ett behov av att behandla i stort sett alla slags uppgifter, allt från harmlösa personuppgifter till så- dana uppgifter som kan betraktas som mycket integritetskänsliga. I an- nat fall skulle nämligen verksamheten inom inte kunna fullgöras på ett tillfredsställande sätt. Dessa utredningens iakttagelser har bekräftats vid samtal som utredningen har haft med företrädare för ett antal olika myndigheter inom . , vars betänkanden Socialvården – Mål och medel (SOU 1974:39) och Socialtjänst och socialförsäkringst illägg – Lagar och motiv (SOU 1977:40) ligger till grund för socialtjänstlagen, ansåg att det var praktiskt omöjligt att närmare ange vilken dokumentation som bör samlas i personakter (SOU 1977:40 s. 739 f.). Av förarbetena till socialtjänstlagen framgår (prop. 1979/80:1 s. 438) att flera av remissinstanserna, bl.a. och LO, stödde de prin- ciper som hade redovisat. Det anmärktes att remissin- stanserna inte förordat att särskilda föreskrifter skulle utfärdas om inne- hållet i personakterna. Departementschefen uttalade att inte heller han ansåg det vara nödvändigt med sådana föreskrifter. Som tidigare redovi- sats (se avsnitt 4.3.4) finns det numera i socialtjänstlagen vissa mer övergripande regler om dokumentation. ansåg, som har nämnts (se avsnitt 5.3.2), att det inte – med hänsyn till behovet av flexibilitet och före- komsten av ständiga förändringar inom – var lämpligt att i 166 En ny lag om behandling av personuppgifter... SOU 1999:109 lagform mer ingående reglera vilka uppgifter ett register skulle få inne- hålla. Avsikten var att regeringen i förordningar skulle närmare föreskri- va vilka uppgifter som fick registreras. Kommittén uttalade dock att det var nödvändigt att sådana regler skulle få ges en mer allmän utformning. Flera remissinstanser, däribland några domstolar och Datainspektionen, ansåg att innehållet i registren borde konkret regleras i lagen. ansåg däremot att det skulle vara olämpligt att i lag mer ingående reglera vilka uppgifter ett socialtjänstregister skulle få in- nehålla. Förbundet avvisade därutöver förslaget om att regeringen i för- ordning närmare skulle få föreskriva vilka uppgifter som skulle få regist- reras i ett socialtjänstregister. Det framhölls därvid att det fanns en upp- enbar risk för att en sådan ordning skulle leda till ett otydligt och osam- manhängande regelverk, som skulle vara lika dåligt anpassat till tekni- kutvecklingen som det som då gällde. I den mån reglering behövdes be- träffande vilka uppgifter som skulle få registreras, borde, menade , detta ske i lagen och inte i kompletterande bestämmelser. Det råder inget tvivel om att det från integritetssynpunkt skulle vara en fördel om det i lagtexten på ett konkret sätt kunde anges vilka perso- nuppgifter som får behandlas inom . Utredningen har emellertid bedömt det som i praktiken omöjligt att göra så. Detta beror på den mycket omfattande och mångskiftande verksamhet som lagstift- ningen skall omfatta och behov av att behandla ett syn- nerligen stort antal olika personuppgifter, som när det gäller graden av integritetskänslighet varierar i stor utsträckning. En reglering skulle nämligen antingen innebära stora risker för att socialtjänstarbetet försvå- rades eller – om listan över vilka uppgifter som fick behandlas gjordes mycket omfattande – knappast medföra några vinster från integritets- synpunkt. Även regeringen uttrycker i utredningens direktiv en viss skepsis inför en lösning som skulle innebära begränsningar beträffande vad som får registreras inom . Regeringen uttalar i direktiven att såvitt gäller ärendehandläggning i en verksamhet som socialtjänst kan konsta- teras att en sådan väg att uppnå ett integritetss kydd är den som mest för- svårar ett rationellt utnyttjande av informationstekniken i verksamheten. Utredningen anser således att det i princip inte i lagen bör införas några begränsningar när det gäller vilka kategorier av personuppgifter som bör få behandlas inom . Som framgått av den redogörelsen har emellertid behandlingen av vissa kategorier av person- uppgifter, närmare bestämt känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. och överföring av person upp- gifter till tredje land reglerats särskilt strängt i EG-direktivet och i personuppgiftslagen. Även uppgifter om pers onnummer har reglerats SOU 1999:109 En ny lag om behandling av personuppgifter... 167 I det följande berör utredningen dessa särskilda kategorier av personuppgifter. Som inledningsvis nämndes framgår av 22 § personuppgiftslagen att uppgifter om personnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering, eller något annat beaktansvärt skäl. Bestämmel- sens innebörd är att det beträffande varje enskilt register skall övervä- gas behovet av att registrera personnummer och att en prövning av detta behov utifrån integritetssynpunkt skall ske. Det skall därvid föreligga ett objektivt intresse, enligt personuppgiftslagens rekvisit, att registrera per- sonnumret (jfr prop. 1997/98:108 s. 47). Av utredningens genomgång av vilka uppgifter det finns behov av att behandla har det framkommit att vikten av en säker identifiering gör att det regelmässigt är nödvändigt att behandla uppgifter om personnum- mer. Vid sådant förhållande anser utredningen att denna lag bör tillåta att uppgifter om personnummer får behandlas. Det kan vidare tilläggas att EG-direktivet (artikel 8.7) endast kräver att medlemsstaterna skall bestämma på vilka villkor ett nationellt identifikationsnummer eller nå- got annat vedertaget sätt för identifiering får behandlas. Medlemsstater- na får följaktligen fritt bestämma det materiella innehållet i reglerna. Det finns vidare – för att skall kunna klara sina upp- gifter – ett behov av att behandla även personuppgifter som är känsliga i personuppgiftslagens mening. Sådana uppgifter bör enligt utredningen därför få behandlas. Att skall kunna utföra sina arbets- uppgifter på ett t illfredsställande sätt är ett viktigt allmänt intresse. Det är därför enligt artikel 8.4 i EG-direktivet tillåtet att göra ytterligare un- dantag från förbudet mot att behandla känsliga personuppgifter. Ett så- dant undantag skall anmälas till kommissionen (artikel 8.6). I artikel 8.5 i EG-direktivet finns det särskilda regler rörande be- handling av uppgifter om lagöverträdelser, brottmålsdomar eller säker- hetsåtgärder.