sou · GNB3109 · 2000-01-01 00:00:00 — Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utre- dare för att utarbeta ett förslag till särskild författningsreglering för behandlingen av personuppgifter inom . Till särskild utredare förordnades lagmannen . Som experter har medverkat (fr.o.m. ) avdelnings- direktören , , f.d. universitetslektorn , arkivrådet Per , , departementssekreteraren , , kammarrättsassessorn , , förbundsjuristen , samt chefsjuristen , . Sekreterare åt utredningen har varit hovrättsassessorn (fr.o.m. ). Utredningen har antagit namnet (S 1997:15). Utredningen får härmed överlämna sitt betänkande Behandling av personuppgifter inom (SOU 1999:109). Till betänkandet fogas ett särskilt yttrande av och . Utredningsuppdraget är härmed slutfört. 1.Förslag till lag om behandling av personuppgifter inom 2.Förslag till lag om ändring i socialtjänstlagen (1980:620)24 Inledning................................ ................................ ......... Socialtjänstlagen (1980:620)................................ ........... 2.3Lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall samt verkställighet av sluten ungdomsvård........ 2.3.2 Lagen (1990:52) med särskilda bestämmelser om vård av unga ................................ .................. Lagen (1988:870) om vård av missbrukare i vissa fall ................................ .............................. Sluten ungdomsvård................................ ............. 2.4Vissa andra uppgifter som enligt lag eller förordning åvilar socialnämnd................................ .......................... 2.5Viss annan verksamhet som i 7 kap. 4 § sekretesslagen (1980:100) förstås som, räknas till eller jämställs med socialtjänst................................ ................................ ...... Statens institutionsstyrelses verksamhet................ 2.5.3 Verksamhet hos invandrarbyrå............ Bistånd m.m. åt flyktingar och vissa andrautlän- ningar ................................ ................................ .. Stöd och service till vissafunktionshindrade......... Ärenden om parkeringstillstånd för rörelse- 2.6 Annan verksamhet som kan anses ha ett nära samband med ................................ ................................ .. Förskoleverksamhet m.m................................. ..... behandling av personuppgifter............................ Inledning................................ ................................ ......... 3.2Socialtjänstkommitténs redogörelse för den dåvarande användningen av personregister inom Kommunernas behandling av personuppgifter.................. 3.4Statens institutionsstyrelses behandling av personupp- gifter ................................ ................................ .............. 3.5Avslutande synpunkter på den nuvarande och framtida behandlingen av personuppgifter inom ....... Den nuvarande rättsliga regleringen till skydd för den Inledning................................ ................................ ......... Personlig integritet................................ .......................... Nationell reglering................................ .......................... Sekretesslagen (1980:100)................................ .... Socialtjänstlagen (1980:620)................................ Datalagen (1973:289) ................................ .......... Personuppgiftslagen (1998:204)........................... Arkivlagen (1990:782)................................ ....... Internationell reglering................................ .................. EG:s dataskyddsdirektiv................................. .... 4.4.3 rekommendationer om dataskydd... förslag om författningsreglering av personregister, m.m. .......................................... Inledning ................................ ................................ ....... Nya lagbestämmelser om dokumentation i social tjänsten ................................ ................................ ......... Förslaget om socialtjänstregister ................................ .... Kommitténs förslag................................ ............ Remissynpunkter på förslag ...... 1996/97:124 Ändring i socialtjänstlagen ............... En ny lag om behandling av personuppgifter inom social Behovet av en särskild författningsreglering Registerbegreppet bör inte användas i lagen Särskilt om 59 § socialtjänstlagen (1980:620) Vad bör avses med socialtjänst? Vilken behandling av personuppgifter bör omfattas av regleringen? Behandling av personuppgifter för forsknings- och statistikändamål bör falla utanför lagens Lagens förhållande till hälso- ochsjukvårdsverk- 6.3När personuppgifter får behandlas och ändamålen med behandlingen av personuppgifter................................ ... När personuppgifter får behandlas ochända- målen med behandlingen................................ ..... 6.4Vilka kategorier av personuppgifter bör få behandlas?... Sökbegrepp................................ ................................ ... Samkörning................................ ................................ .. 6.8Utlämnade av personuppgifter på medium för automati- serad behandling................................ ........................... Information................................ ................................ ... 6.11Säkerheten vid behandling och tillsynsmyndighetens befogenheter................................ ................................ . Anmälan till tillsynsmyndigheten, m.m......................... Bevarande och gallring................................ .................. Sekretess ................................ ................................ ...... Rättelse ................................ ................................ ........ Skadestånd ................................ ................................ ... Ekonomiska konsekvenser................................ ............. Ikraftträdande- och övergångsbestämmelser................... Övriga frågor................................ ................................ 8.1Förslaget till lag om behandling av personuppgifter inom 8.2Förslaget till lag om ändring i socialtjänstlagen (1980:620)................................ ................................ .... Särskilt yttrande av och ................ Bilaga Kommittédirektiv 1997:108 ................................................. Utredningens förslag innebär att behandling av person- uppgifter författningsregleras och anpassas till bestämmelserna i person- uppgiftslagen (1998:204). Förslaget utgår från personuppgiftslagens tillämpningsområde, begrepp och terminologi och bestämmelserna har utformats så att de anger de undantag och preciseringar i förhållande till personuppgiftslagen som är motiverade. Lagen föreslås få namnet lag om behandling av personuppgifter inom (avsnitten 6.1.1– 6.1.4). Utredningens förslag innebär vidare vissa ändringar i socialtjänst- lagen (1980:620). Syftet med den föreslagna lagstiftningen är inte att utvidga socialtjän- stens nuvarande möjligheter att registrera uppgifter om medborgarna. Huruvida personuppgifter i det enskilda fallet skall samlas in eller lämnas ut avgörs av annan lagstiftning och inte av person uppgiftslagen eller av den föreslagna lagstiftningen. Avsikten med utredningens förslag är bl.a. att anpassa de regler som styr förutsättningarna för när personuppgifter får behandlas inom så att de inte hindrar att personuppgifter får behandlas när så krävs för att skall kunna fullgöra sina arbetsuppgifter. Förslaget till lag om behandling av personupp- gifter inom Lagens tillämpningsområde, m.m. Den föreslagna lagen skall tillämpas vid behandling av person uppgifter inom . Personuppgiftslagen är generellt t illämplig på behandling av person- uppgifter och anger de begränsningar i fråga om att behandla person- uppgifter som kan anses nödvändiga för att skydda den personliga integriteten. Att personuppgiftslagen är generell innebär att lagen är tillämplig vid behandling av person uppgifter inom , om inte särskilda bestämmelser meddelas som avviker från personuppgifts- lagens. Den föreslagna lagen innehåller sådana bestämmelser. Om inget annat följer av den föreslagna lagen, tillämpas emellertid person- uppgiftslagen vid behandling av personuppgifter inom . Begreppet socialtjänst definieras i lagen (avsnitt 6.2.1). Med social- tjänst förstås i detta sammanhang 1.verksamhet enligt lagstiftningen om socialtjänst och den särskilda lagstiftningen om vård av unga och av missbrukare utan sam- tycke, 2.verksamhet som i annat fall enligt lag handhas av socialnämnd, 3.verksamhet som bedrivs av , 4.verksamhet hos invandrarbyrå, 5.handläggning av ärenden om bistånd som lämnas av socialnämnd åt asylsökande och andra utlänningar, 6.handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar, 7.handläggning av ärenden om tillstånd till parkering för rörelse- hindrade, 8.verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade, samt 9.tillsyn, uppföljning, utvärdering, kvalitetssäkring och administra- tion av verksamhet som avses i 1–8. Den nämnda uppräkningen av verksamheter m.m. som innefattas i begreppet socialtjänst är uttömmande. Utanför lagens tillämpnings- område kommer därmed att falla t.ex. färdtjänstverksamhet samt för- skoleverksamhet m.m., vilka verksamheter regleras av lagen (1997:735) om riksfärdtjänst och lagen (1997:736) om färdtjänst respektive skollagen (1985:1100). Det bör dock framhållas att sådan verksamhet och annan verksamhet som inte omfattas av denna lag eller av annan särlagstiftning omfattas av personuppgiftslagen. Konsekvensen av att man låter en verksamhet falla utanför den föreslagna lagens tillämpningsområde blir alltså inte att behandlingen av person uppgifter i den verksamheten förblir oreglerad. Huruvida de personuppgifter som har samlats in med stöd av denna lag får behandlas för t.ex. sådan verksamhet som nämnts, dvs. utanför , får således avgöras efter en tillämpning av person uppgiftslagen. Frågan om uppgifterna får lämnas ut måste naturligtvis också prövas enligt sekretesslagen (1980:100). SOU 1999:109 Sammanfattning 11 Enligt förslaget är lagen tillämplig oavsett vilket subjekt som behand- lar personuppgifter, under förutsättning att det är fråga om socialtjänst i lagens mening. Det innebär att inte bara myndigheter utan även enskilda behandling av personuppgifter som är helt eller delvis automatiserad utan även för annan behandling, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är t illgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. för behandling av personregister (avsnitt 6.2.2). Det föreslås inte några särskilda bestämmelser för den automatiserade behandlingen av personuppgifter. Lagen är dock inte tillämplig vid behandling av person uppgifter för forsknings- och statistikändamål (avsnitt 6.2.3). Behandling för sådana ändamål regleras av bestämmelserna i personuppgiftslagen och av even- tuell annan särlagstiftning på området. Det bör dock påpekas att det inte är något som hindrar att de uppgifter som samlats in för att m yndigheter och andra skall kunna utföra sina arbetsuppgifter inom , dvs. med stöd av den föreslagna lagen, även används för forsknings- och statistikändamål. Av 9 § andra stycket personuppgiftslagen följer nämligen att behandling för historiska, statistiska och vetenskapliga ändamål inte skall anses oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in. Huruvida behandlingen av personuppgifterna, t.ex. själva utlämnandet, är t illåten i det enskilda fallet får emellertid avgöras av bestämmelserna i person uppgiftslagen och sekretesslagen. I 19 § tredje stycket personuppgiftslagen finns en allmän bestämmelse i ämnet. I den mån det, som t.ex. i 64 § socialtjänst- lagen, finns särskilda föreskrifter i lag eller förordning om utlämnande av uppgifter för forskningsändamål, gäller dessa bestämmelser före per- sonuppgiftslagens regler (2 § personuppgiftslagen). När personuppgifter får behandlas och ändamålen med Bestämningen av ändamål för behandlingen av personuppgifter anses vara av central betydelse från integritetssynpunkt. Utredningen har där- för noga övervägt om det skulle vara möjligt att direkt i lagen uttöm- mande ange för vilka ändamål personuppgifter skall få behandlas inom . Utredningen har emellertid av skäl som redovisas utförligt i avsnitt 6.3 ansett att det inte är möjligt att föreslå en sådan lösning. Utredningen har i stället stannat för en modell som innebär att det överlåts på de personuppgiftsansvariga i respektive verksamhet att – inom en i lagen angiven ram – ange de ändamål för vilka personuppgifter skall få behandlas inom . En sådan modell framstår – menar utredningen – som den bästa inte bara när det gäller skyddet för den enskildes personliga integritet utan även när det gäller verksamheten inom . Utredningens förslag innebär således att det i lagen föreskrivs att per- sonuppgifter, förutom med den registrerades samtycke, får behandlas bara om behandlingen är nödvändig för att en arbets uppgift inom skall kunna utföras. Lagen hindrar dock inte att person- uppgifter lämnas ut, om det följer av lag eller förordning. I lagen regle- ras inte för vilka ändamål personuppgifter skall få behandlas inom . Det ankommer således på de personuppgiftsansvariga i respektive verksamhet att med beaktande av 9 § första stycket c personuppgiftslagen – dvs. bestämmelsen att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål – ange för vilka ändamål personuppgifter behandlas. är nödvändiga för att en arbets uppgift inom skall kunna utföras kan därvid vara berättigade. Vilka kategorier av personuppgifter bör få behandlas? Föreskrifterna i 9 § första stycket e och f personuppgiftslagen – att de personuppgifter som behandlas skall vara adekvata och relevanta i för- hållande till ändamålen med behandlingen samt att inte fler personupp- gifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen – och viss annan lagstiftning, t.ex. socialtjänstlagens bestämmelser om dokumentation, innebär viktiga begränsningar av vilka personuppgifter som får behandlas. Det s kydd som dessa föreskrifter ger för den personliga integriteten är menar utredningen tillräckligt. I den föreslagna lagen finns det därför inte några särskilda begränsningar beträffande vilka kategorier av personuppgifter som får behandlas inom (avsnitt 6.4). Samtliga kategorier av personuppgifter kommer således i och för sig att få behandlas inom , även bl.a. känsliga personuppgifter i personuppgiftslagens mening. Utredningen framhåller att det inte råder något tvivel om att det från integritetssynpunkt skulle vara en fördel om det i lagtexten på ett konkret sätt kunde anges vilka personuppgifter som får behandlas inom . Utredningen har emellertid bedömt det som i praktiken omöjligt att göra så. Det beror på den mycket omfattande och mångskift- ande verksamhet som lagstiftningen skall omfatta och behov av att behandla ett synnerligen stort antal olika personuppgifter, som när det gäller graden av integritetskänslighet varierar i stor utsträckning. En reglering skulle nämligen – menar utredningen – antingen innebära stora risker för att socialtjänstarbetet försvårades eller – om listan över vilka uppgifter som fick behandlas gjordes mycket omfattande – knappast medföra några vinster från integritetssynpunkt. I den föreslagna lagen anges inte vem som skall vara personuppgifts- ansvarig för de behandlingar av personuppgifter som utförs inom social- tjänsten (avsnitt 6.5). Frågan om vem som är personuppgiftsansvarig för en viss behandling av personuppgifter enligt lagen om behandling av personuppgifter inom får i stället a vgöras efter en tillämpning av bestämmelserna i person uppgiftslagen. Någon särskild regel om detta behövs inte i den föreslagna lagen. Med sökbegrepp förstås bokstäver eller siffror med vars hjälp man kan söka fram lagrad information. Frågan om sökbegränsningar har behand- lats i avsnitt 6.6. De sekretessbestämmelser som gäller för personuppgifter inom (bl.a. 7 kap. 4 § sekretesslagen 1980:100 och 51 § andra stycket socialtjänstlagen) innebär ett mycket starkt skydd för uppgif- terna, inte bara i förhållande till verksamhet utanför , utan även mellan myndigheter på område samt inom en och samma myndighet. Möjligheterna att söka information begränsas emellertid inte endast av sekretessbestämmelser, utan även av person- uppgiftslagens bestämmelse (9 § första stycket d) om att redan insamlade personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna ursprungligen samlades in. Vidare innebär bestämmelsen i 59 § socialtjänstlagen om förbud mot att i s.k. sammanställningsregister hos socialnämnd ta in uppgifter om ömtåliga personliga förhållanden ytterligare begränsningar av sökmöjligheterna. Dessa bestämmelser innebär ett tillräckligt integritetsskydd. I lagen föreslås därför inte någon särskild begränsning i möjligheten att med olika sökbegrepp hämta information som finns inom . Utredningen framhåller dock att det vid denna bedömning förutsätts att den personuppgiftsansvarige utformar de tekniska systemen så att i princip endast behöriga personer kan göra sökningar samt att det finns behörighetskontrollsystem och att det i efterhand går att fastställa vilka personer som har tagit del av information (loggning). Den enskilde handläggarens sökmöjligheter torde kunna begränsas mycket kraftigt (jfr bl.a. 51 § andra stycket socialtjänstlagen). Den personkrets som arbetar med uppföljning, utvärdering, kvalitetssäkring, forskning och framställning av statistik – och som naturligtvis är beroende av att kunna söka information i en helt annan omfattning än en enskild handläggare – torde i de flesta fall kunna begränsas till ett minimum. Enligt utredningen saknas det anledning att i den föreslagna lagen ha en särskild bestämmelse som tillåter eller förbjuder att de person uppgifter som finns inom samkörs (avsnitt 6.7). Personuppgifts- lagens bestämmelser (9 § första stycket d, e och f) – att personuppgifter får behandlas för andra ändamål än de för vilka uppgifterna ursprungligen samlades in bara om de nya ändamålen inte är oförenliga med de ursprungliga ändamålen, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler uppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen – innebär ett tillräckligt integritetsskydd för den enskilde. I praktiken begränsar dessa bestämmelser möjligheterna till samkörning på ett sätt som är godtagbart från integritetssynpunkt som de innebär att personuppgifter kan samköras när det är ändamålsenligt och lämpligt. Även 59 § socialtjänstlagen och bestämmelserna i sekretesslagen kan hindra att personuppgifter samkörs. Utlämnande av personuppgifter på medium för automatiserad I den föreslagna lagen behövs ingen regel som tillåter att person uppgifter inom får lämnas ut på medium för automatiserad behand- ling (avsnitt 6.8). Personuppgifter får lämnas ut på vilket medium som helst om behandlingen – utlämnandet – inte är oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in. Detta följer direkt av personuppgiftslagen. Det finns inte heller tillräcklig anledning att förbjuda att personuppgifter lämnas ut på ett sådant medium. Sekretesslagen eller andra bestämmelser kan dock hindra att uppgifterna över huvud taget får lämnas ut. Den som har direktåtkomst till information som behandlas automatiserat kan, när han eller hon vill, ta del av informationen på en bildskärm. Åtkomsten kan avse all information som finns eller endast en del av denna. Direktåtkomst ger inte i sig möjlighet att påverka informations- innehållet. Frågan om direktåtkomst har behandlats i avsnitt 6.9. De sekretessbestämmelser som gäller vid behandling av personupp- gifter inom (bl.a. 7 kap. 4 § sekretesslagen och 51 § andra stycket socialtjänstlagen) innebär, oavsett om det är fråga att lämna ut uppgifter på papper eller om det rör sig om direktåtkomst, ett mycket starkt skydd för person uppgifterna. Vidare innebär personuppgiftslagens regler om att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen, samt att inte fler person- uppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket d, e och f), ett ytterligare skydd för personuppgifterna. Även detta gäller oavsett på vilket medium uppgifterna tas fram. Det finns inget behov av att härutöver föreslå en regel som innebär begränsningar av åtkomsten till personuppgifter som behandlas automatiserat inom . Utredningen framhåller att en förutsättning för att en lösning som den föreslagna skall ge ett tillräckligt integritetsskydd är att den person upp- giftsansvarige begränsar den krets av personer som har direktåtkomst till information – vilket redan med hänsyn till gällande sekretessregler är nödvändigt – och att det finns system för behörighetskontroll. Utredningen har vid sin bedömning också utgått från att så blir fallet och att de tekniska systemen utformas så att det i efterhand går att fastställa vilka personer som har tagit del av information. Personuppgiftslagens bestämmelser om den personuppgiftsansvariges informationsplikt skall gälla även när personuppgifter behandlas inom (avsnitt 6.10). Några särskilda bestämmelser om informa- tion behövs inte i den föreslagna lagen. I betänkandet gör utredningen en bedömning av hur personuppgiftslagens bestämmelser om information kan komma att tillämpas inom . Säkerheten vid behandling och tillsynsmyndighetens befogenheter Personuppgiftslagens bestämmelser om säkerheten vid behandling och tillsynsmyndighetens befogenheter skall gälla också när person uppgifter behandlas inom (avsnitt 6.11). Några särskilda bestämmelser därutöver behövs inte i den föreslagna lagen. Datainspek- tionen skall vara tillsynsmyndighet även enligt den föreslagna lagen. I betänkandet erinrar dock utredningen om att de uppgifter som finns och kommer att finnas inom mycket ofta kommer att vara av integritetskänslig natur. Utredningen understryker därför betydelsen av att det bedrivs ett aktivt arbete i syfte att vidmakthålla en hög säkerhetsnivå. Det kan också, framhåller utredningen, förväntas att Datainspektionen med stöd av 13 § personuppgiftsförordningen (1998:1191) kommer att meddela närmare föreskrifter om de säkerhets- åtgärder som behövs. Anmälan till tillsynsmyndigheten, m.m. Enligt 36 § första stycket personuppgiftslagen gäller att behandling av personuppgifter som är helt eller delvis automatiserad omfattas av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skrift- lig anmälan till tillsynsmyndigheten (Datainspektionen) innan en sådan behandling eller serie av sådana behandlingar med samma eller liknande ändamål genomförs. Emellertid innebär bestämmelsen i 3 § 3 personuppgiftsförordningen att den anmälningsskyldighet som följer av 36 § första stycket person- uppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Denna undantags- bestämmelse från anmälningsskyldigheten bör – menar utredningen – gälla också när personuppgifter behandlas med stöd av lagen om behandling av personuppgifter inom (avsnitt 6.12). personuppgifter behandlas automatiserat inom anmälan således inte göras till Datainspektionen.