prop · GO0369 · 2001-01-01 00:00:00 — I övrigt gäller att uppgifter i ett socialförsäkringsregister får utlämnas på dylikt sätt endast om ett sådant utlämningssätt följer av lag, förordning eller beslut av Datainspektionen eller om uppgiften skall användas för forsknings- eller statistikändamål. Bestämmelserna om sökbegrepp i SofrL överensstämmer i huvudsak med bestämmelserna SofrL. Det innebär att särskilda restriktioner gäller för användning av integritetskänsliga uppgifter som sökbegrepp. För de s.k. elektroniska akterna, som reglerades först i nu gällande SofrL, får endast ärendebeteckning och beteckning på handlingen användas som sökbegrepp. Gallringfristerna i SofrL motsvarar också till stora delar vad som gällde enligt SofrL. Sålunda gäller en tioårig gallringsfrist för flertalet uppgifter som finns i registren. För handlingar i elektroniska akter gäller en treårig gallringstid räknat från det år under vilket ärendet avslutats. Undantag från dessa gallringstider kan i vissa fall föreskrivas för ett urval av uppgifter för forskningsändamål. Enligt SofrL ansvarar för utlämnande av registerutdrag som begärs med stöd av 10 § datalagen vad gäller de register som förs gemensamt för RFV och de allmänna försäkringskassorna. Ett undantag från skyldigheten att lämna registerutdrag görs för uppgifter i elektroniska akter. Det skall dock av registerutdraget framgå vilka handlingar avseende den registrerade som finns i en sådan akt. SofrL innehåller slutligen också bestämmelser om information till den som är eller avses bli registrerad i ett socialförsäkringsregister. Reglerna motsvarar vad som reglerades därom i SjfrL och SofrL. 4.3 Datalagen (1973:289), dataskyddsdirektivet och personuppgiftslagen (1998:204) När socialförsäkringsregisterlagen (1997:934), SofrL, infördes gällde som inledningsvis nämnts fortfarande datalagen (1973:289). Ett stort antal hänvisningar görs därför i SofrL till datalagen. upphörde datalagen att gälla och i stället trädde personuppgiftslagen (1998:204), PUL, i kraft. Datalagen gäller dock övergångsvis fram till och med för bl.a. behandling av personuppgifter som påbörjats före . Datalagen (1973:289) Datalagen innehöll grundläggande regler om inrättande och förande av personregister med hjälp av automatisk databehandling. Syftet med lagen var att skydda den enskilde mot otillbörligt integritetsintrång. Med personregister avsågs i datalagen ett register, förteckning eller andra anteckningar som fördes med hjälp av automatisk databehandling och som innehöll personuppgift som kan hänföras till den som avses med uppgiften. Datalagen var uppbyggd så att den som skulle inrätta och föra ett personregister måste ha en licens utfärdad av Datainspektionen, som var tillsynsmyndighet enligt lagen. För vissa register krävdes också ett särskilt tillstånd av Datainspektionen. Detta gällde bl.a. de register som innehöll känsliga personuppgifter, omdömen eller annan värderande upplysning om den registrerade. Register inrättade efter beslut av eller regeringen var undantagna från kravet på tillståndsplikt. Undantagna var också personregister som en enskild person inrättade eller förde uteslutande för personligt bruk samt några andra register utan direkt betydelse i detta sammanhang. Personregister skulle föras så att otillbörligt intrång i den registrerades personliga integritet inte uppkom. Den registeransvarige var skyldig att se till att s.k. "god registersed" iakttogs vid förandet av personregistret. Förutom de övergripande kraven på licens, "god registersed" och i vissa fall särskilt tillstånd för förande av dataregister, fanns också särskilda bestämmelser som var avsedda att garantera att personuppgifterna skulle vara riktiga och fullständiga. Dessa bestämmelser reglerade bl.a. rättelser och kompletteringar av oriktiga eller missvisande uppgifter. Den enskildes rätt till insyn i ett personregister reglerades genom möjligheten att skriftligen begära ett s.k. registerutdrag, som lämnades högst en gång . Ett sådant utdrag skulle innehålla de personuppgifter som fanns om den enskilde i registret eller upplysning om att sådan uppgift inte fanns registrerad. Någon direkt gallringstid för personuppgifter gavs inte i datalagen. Personuppgift skulle i stället utgå ur registret när uppgiften inte längre behövdes med hänsyn till registerändamålet. Detta gällde emellertid bara om det inte föreskrivits att uppgiften skulle bevaras. Dataskyddsdirektivet antogs och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). EG-direktivet gäller för behandling av personuppgifter som helt eller delvis företas på automatisk väg oavsett om uppgifterna ingår i ett register eller inte samt även viss hantering av personuppgifter. Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlemsstater. Staterna skall därmed inte kunna hindra det fria flödet mellan dem av personuppgifter under hänvisning till enskilda personers fri- och rättigheter. EG-direktivet ger dock medlemsstaterna viss möjlighet att - inom direktivets ramar - närmare precisera villkoren för när behandling av personuppgifter är tillåtet. Utanför EG-direktivets tillämpningsområde faller behandling av personuppgifter inom områden som inte omfattas av gemenskapsrätten, bl.a. allmän säkerhet, statens säkerhet och statens verksamhet på straffrättens område. Direktivet gäller heller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Från EG-direktivets materiella regler undantas också behandling av personuppgifter för journalistiska, konstnärliga och litterära ändamål. Enligt artikel 8.1 i EG-direktivet skall medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Vissa undantag gäller dock från förbudet att registrera sådana känsliga personuppgifter (se avsnitt 5.3). Personuppgiftslagen (1998:204) Personuppgiftslagen (1998:204), PUL, ersatte datalagen (1973:289). Genom den nya lagen genomförs EG-direktivet. Med personuppgift avses i PUL all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Behandling av personuppgifter omfattar varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte. Sådan behandling är tillåten dels om den enskilde samtyckt, dels i vissa andra närmare angivna fall. Ett sådant fall är när behandlingen sker i samband med myndighetsutövning. För behandling av känsliga personuppgifter gäller särskilda regler. Se vidare avsnitt 5.3. PUL är generellt tillämplig, teknikoberoende och hänför sig när det gäller automatiserad behandling av personuppgifter inte till registerbegreppet. Lagen riktar sig i stället direkt till den personuppgiftsansvarige med vissa grundläggande krav på behandling av personuppgifter. Se nedan avsnitt 5.2. Enligt PUL skall den personuppgiftsansvarige självmant lämna information om behandlingen av personuppgifter till den registrerade. När denna information skall ges är beroende av varifrån uppgifterna samlats in - från den registrerade själv eller från någon annan källa - och om uppgifterna är avsedda att lämnas ut till tredje man. Information till den enskilde skall också ges efter ansökan av denne. Se vidare avsnitt 5.4. Rättelse skall ske av personuppgifter som inte har behandlats i enlighet med PUL, eller föreskrifter som utfärdats med stöd av lagen, om den registrerade begär det. Rättelse enligt PUL kan innebära såväl rättelse som blockering eller utplånande av uppgift. Den personuppgiftsansvarige är som huvudregel också skyldig att underrätta tredje man, till vilken uppgifterna har lämnats ut, om rättelsen, om den registrerade begär det eller om mer betydande skada eller olägenhet skulle kunna undvikas genom en underrättelse. Undantag från skyldigheten att underrätta tredje man medges bl.a. om det skulle innebära en oproportionerligt stor arbetsinsats. Om en registrerad har drabbats av skada eller kränkning av den personliga integriteten på grund av att personuppgifter behandlats i strid med PUL skall den personuppgiftsansvarige ersätta den registrerade härför. Rätten till ekonomisk kompensation för olaglig behandling gäller ersättning för såväl kränkning som för person-, sak- och förmögenhetsskada. Att skadestånd kan utges för behandling i strid med PUL innebär också att ersättning kan utges om behandlingen står i strid med kravet på god sed vid behandling av personuppgifter. Ersättningsskyldigheten kan i skälig omfattning jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne. PUL innehåller också straffbestämmelser för den som på olika sätt handlar eller underlåter att handla i överensstämmelse med lagen. 4.4 Författningsreglering avseende myndighetsregister Utöver vad som redovisats finns en omfattande författningsreglering avseende automatiserad behandling av personuppgifter som utförs av myndigheter. I den utsträckning ett personregister tidigare var reglerat i annan författning än datalagen gällde att det registret var undantaget Datainspektionens tillståndsprövning och föreskriftsrätt. Personuppgiftslagen (1998:204), PUL, gör inget undantag för behandling av personuppgifter som utförs av en myndighet, utan gäller generellt. I förarbetena till PUL uttalas emellertid att det inom den offentliga sektorn förekommer stora mängder känsliga personuppgifter och uppgifter som har inhämtats med stöd av straffsanktionerad uppgiftsplikt, varför lagen inte rimligen kan ersätta de många preciserade och viktiga regler som finns i befintliga registerförfattningar. Vidare konstateras att det - inom offentlig verksamhet - är särskilt viktigt med ett starkt integritetsskydd för behandling av uppgifter och att det traditionella svenska systemet med särregler i särskilda författningar är att föredra framför generella undantag från PUL ( prop. 1997/98:44 s 41). 4.5 En begränsad översyn av socialförsäkringsregisterlagen (1997:934) När socialförsäkringsregisterlagen (1997:934), SofrL, infördes gällde ännu datalagen (1973:289). SofrL är således uppbyggd mot bakgrund av bestämmelserna i datalagen och innehåller även hänvisningar till denna lag. Datalagen har numera ersatts av personuppgiftslagen (1998:204), PUL. Enligt övergångsbestämmelserna till PUL skall datalagen gälla övergångsvis för behandling av personuppgifter som utförs för ett visst bestämt ändamål om behandlingen påbörjats före PUL:s ikraftträdande . Efter upphör emellertid denna övergångsvisa reglering att gälla. När datalagen upphör att gälla även övergångsvis behöver SofrL ändras i syfte att anpassa lagen till PUL. Den generellt tillämpliga PUL föranleder också behov av vissa andra förändringar i SofrL. SofrL har i nuvarande utformning ett mer begränsat tillämpningsområde än PUL. Bestämmelserna i behandlar inte bara register som förs helt eller delvis med hjälp av automatisk databehandling utan i huvudsak all behandling av personuppgifter som helt eller delvis är automatiserad och även viss hantering av sådana uppgifter. Enligt regeringens mening bör SofrL nu anpassas till PUL såtillvida att lagen även skall gälla viss hantering av personuppgifter. Vissa begrepp som definieras i PUL bör vidare få motsvarande betydelse i SofrL. Regeringen anser även att bestämmelserna i , om den personuppgiftsansvariges ansvar för rättelse m.m. och skadeståndsansvar mot den registrerade för skada och kränkning av den personliga integriteten bör gälla även när personuppgifter behandlats i strid med de mer preciserade reglerna i SofrL. När det gäller vilka uppgifter som får registreras föreslår regeringen emellertid ingen ändring i SofrL:s systematik. Även fortsättningsvis skall alltså vissa allmänna ärendeuppgifter och sådana särskilda ärendeuppgifter som har betydelse för handläggning av ärenden om socialförsäkringsförmåner m.m, och som inte är särskilt integritetskänsliga, få registreras. När det gäller de särskilt integritetskänsliga uppgifterna bör emellertid en anpassning ske av vilka uppgifter som avses därmed till vad som gäller enligt PUL. Samma regler som gäller för särskilt integritetskänsliga uppgifter bör gälla också i fråga om sådana uppgifter om brott och frihetsberövanden m.m som avses i 21 § PUL. En anpassning bör också göras av den s.k. undantagskatalogen i SofrL, som anger i vilken utsträckning särskilt integritetskänsliga uppgifter får registreras. I fråga om uppgiftslämnande till enskild när information samlas in föreslås ingen särreglering. Detta innebär att den personuppgiftsansvarige i enlighet med PUL:s bestämmelse är skyldig att informera den enskilde om avsedd behandling av personuppgifter när dessa samlas in från den enskilde själv. I övrigt krävs ingen ytterligare information vid insamlandet av personuppgifter än vad som följer av dagens regler i SofrL. Information skall enligt PUL också lämnas till den enskilde efter ansökan av denne. Regeringen anser dock att sådan information - i likhet med vad som gäller i fråga om registerutdrag enligt 10 § datalagen - inte behöver innehålla personuppgifter i sådana handlingar som avses i 11 § SofrL, dvs. i s.k. elektroniska akter. Av informationen skall dock framgå vilka handlingar som finns beträffande den registrerade. Vidare skall information om uppgifter i sådana handlingar lämnas om den enskilde därefter, eller i samband med den första ansökan, preciserar vilken eller vilka handlingar som han eller hon vill ha information om. Regeringen föreslår ingen förändring vad gäller registerbegreppet. Den begränsade anpassning av SofrL som är i fråga har inte gett utrymme för samtliga de överväganden som krävs för att antingen helt frångå ett samlingsbegrepp eller för att till viss del byta ut det nuvarande registerbegreppet. Som tidigare anförts är regeringen emellertid medveten om behovet av en mer övergripande översyn av registerlagstiftningen inom socialförsäkringens administration. Under arbetet med detta förslag har också framkommit synpunkter och önskemål från företrädare för bl.a. () och () om andra tänkbara förändringar i SofrL. Detta gäller bl.a. frågor om utökad användning av internet, elektroniska signaturer, elektronisk kommunikation i övrigt samt automatiserat utlämnande till annan än den enskilde. pågår ett omfattande utvecklingsarbete för modernisering av IT-stödet för RFV och de allmänna försäkringskassorna, bl.a. redovisat i RFV:s Rapport om regelöversyn inför IT-baserade ärendehanteringssystem m.m, (Dnr 10066/1999) jämte RFV:s Kommentarer och förtydliganden till denna rapport. Enligt regeringens mening bör dessa frågor lämpligen behandlas mer utförligt i ett sammanhang. Regeringen avser därför att påbörja en sådan mer utvidgad översyn. 5 Den materiella regleringen 5.1 Lagens tillämpningsområde Regeringens förslag: Socialförsäkringsregisterlagens (1997:934) tillämpningsområde utsträcks och kommer att omfatta personregister som förs helt eller delvis automatiserat liksom vissa register. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser har lämnat förslaget i huvudsak utan erinran. Datainspektionen och () anser emellertid att det kan ifrågasättas om det finns tillräckliga skäl att avvika från personuppgiftslagen (1998:204), PUL:s, tillämpningsområde på sådant sätt att även uppgifter hänförliga till avlidna skall omfattas av SofrL:s tillämpningsområde. RFV har vidare påpekat att SofrL i föreslagen lydelse inte omfattar de uppgifter som är avsedda att ingå i ett register, varför i stället gäller i dessa fall. Verket har härvid menat att lagstiftningen skulle bli tydligare om allt reglerades på ett och samma ställe. Skälen för regeringens förslag: Socialförsäkringsregisterlagen (1997:934) SofrL gäller för personregister för sådan verksamhet i fråga om socialförsäkringsförmåner m.m. som hanteras av de allmänna försäkringskassorna, RFV eller (). Med personregister förstås detsamma som i datalagen (1973:289), nämligen register, förteckning eller andra anteckningar som förs med hjälp av automatisk databehandling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. SofrL gäller alltså i nuvarande lydelse endast behandling av uppgifter med hjälp av automatiserad behandling. PUL däremot omfattar även viss hantering av personuppgifter. I 5 § första stycket PUL föreskrivs inledningsvis att lagen gäller behandling av personuppgifter som är helt eller delvis automatiserad. Av andra stycket i samma paragraf framgår vidare att PUL även gäller för annan behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Bestämmelsen i 5 § PUL grundas i sin tur på artikel 3 i dataskyddsdirektivet, som anger att utöver behandling av personuppgifter som helt eller delvis företas på automatisk väg, gäller direktivet annan behandling än automatisk av personuppgifter som ingår i eller kommer att ingå i ett register. Med register avses i direktivet varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden. Begreppet register används emellertid inte i PUL, bl.a. därför att det i en sammansatt och komplex datormiljö blivit allt svårare att skilja ett register från ett annat. Avsikten är dock inte att skall ha ett mer vidsträckt tillämpningsområde än EG-direktivet. I förarbetena till PUL anges också, att det är först när en stor mängd personuppgifter på papper har strukturerats på något sätt som det går att hitta bland uppgifterna på ett enkelt sätt och att det är först då som egentliga integritetsrisker med behandlingen uppkommer (jfr prop. 1997/98:44 s. 39 ff.). Om SofrL:s tillämpningsområde inte ändras kommer behandling av personuppgifter i register inom socialförsäkringens administration alltjämt att följa två olika lagar - SofrL vad avser automatisk databehandling och PUL vad gäller viss annan hantering. Regeringen anser detta vara mindre lämpligt. SofrL:s tillämpningsområde bör därför anpassas till vad som gäller enligt PUL och således avse dels behandling av personuppgifter i register som förs helt eller delvis automatiserat, dels viss hantering av sådana uppgifter. Som RFV påpekat kommer dock alltjämt automatiserad behandling av personuppgifter som inte ingår i ett personregister att falla utanför SofrL:s tillämpningsområde. Detta gäller då också t.ex. behandling av personuppgifter som är avsedda att ingå i ett sådant register. I dessa fall blir i stället PUL:s allmänna bestämmelser om behandling av personuppgifter tillämpliga, då PUL gäller för all automatiserad behandling av personuppgifter oavsett om behandlingen sker i registerform eller i löpande text. Begränsningen i SofrL är en följd av att SofrL:s nuvarande konstruktion är sådan att lagens tillämpningsområde är begränsat till att gälla behandling av personuppgifter i registerform. Någon ändring härvidlag föreslås inte här. Frågan om SofrL:s tillämpningsområde kommer dock att närmare ses över vid en utvidgad översyn av lagen (se avsnitt 4.5). I ett avseende bör dock SofrL:s tillämpningsområde vara vidare än PUL:s. Detta gäller uppgifter som kan hänföras till avlidna. SofrL har allt sedan lagens tillkomst gällt även för sådana uppgifter. Skälet till detta är att det inom socialförsäkringens administration förekommer en stor mängd personliga uppgifter som är hänförliga till avlidna. Enligt regeringens mening finns ingen anledning att nu frångå denna högre skyddsnivå. 5.2 Registeransvar Regeringens förslag: Begreppen registeransvar och registeransvarig i socialförsäkringsregisterlagen (1997:934), SofrL, ändras till personuppgiftsansvar och personuppgiftsansvarig. Även andra begrepp och rubriker i SofrL anpassas till vad som gäller enligt personuppgiftslagen (1998:289), PUL. Vad som föreskrivs i PUL om skyldighet för en personuppgiftsansvarig att rätta, blockera och utplåna uppgifter, att underrätta tredje man till vilken uppgifterna har lämnats ut, samt om skadestånd skall gälla även när personuppgifter har behandlats i strid med SofrL. Myndigheters beslut om information som skall lämnas enligt 26 § PUL och om rättelse skall kunna överklagas hos allmän förvaltningsdomstol. Promemorians förslag överensstämmer delvis med regeringens. Dock har i förslaget paragraferna om rättelse och skadestånd lagts samman till en paragraf, för att bättre överensstämma med annan registerlagstiftning. Vidare har lagts till en bestämmelse som ger den enskilde möjlighet att överklaga en myndighets beslut om rättelse och om information som skall lämnas enligt 26 § PUL. Remissinstanserna: Remissinstanserna tillstyrker eller har inte något att erinra mot förslaget. Skälen för regeringens förslag: De bestämmelser i socialförsäkringsregisterlagen (1997:934), SofrL, datalagen (1973:289) och personuppgiftslagen (1998:289), PUL, som åsyftar ett skydd för den personliga integriteten förutsätter att någon ansvarar för behandlingen av de uppgifter lagregleringen avser. I SofrL och datalagen används begreppet registeransvarig. Med registeransvarig avses den för vars verksamhet personregister förs, om han förfogar över registret. Registeransvaret enligt SofrL åvilar olika juridiska personer beroende på för vem ett register förs. Registeransvarig för socialförsäkringsregister som förs gemensamt för () och de allmänna försäkringskassorna är RFV. Varje försäkringskassa är dessutom registeransvarig för sådant register när det gäller behandling av uppgifter hos den . För register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna är den registeransvarig. I fråga om socialförsäkringsregister som förs särskilt för () är myndigheten registeransvarig. RFV är registeransvarigt för socialförsäkringsregister som förs särskilt för verket. I PUL används i stället begreppet personuppgiftsansvarig. Med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Det ansvar en registeransvarig har enligt datalagen och SofrL överensstämmer i stort med det ansvar en personuppgiftsansvarig har enligt PUL. De skillnader som finns är huvudsakligen av redaktionell art, av mindre betydelse eller sådant som det möjligen kan anses ha varit underförstått att den som enligt den tidigare regleringen var registeransvarig skulle ansvara för. Olika begrepp för i princip samma sak inom regleringar avseende behandlingen av personuppgifter underlättar knappast för dem som skall tillämpa lagstiftningen eller för andra som vill ta del av denna. Det saknas därför enligt regeringens uppfattning skäl att bibehålla begreppet registeransvar i SofrL. Begreppet registeransvar bör således ersättas med begreppet personuppgiftsansvar. SofrL bör även i övrigt anpassas så att de begrepp och rubriker som används i lagen ges samma betydelse som enligt PUL. Enligt PUL har en personuppgiftsansvarig också ett ansvar för att personuppgifterna som behandlas är riktiga och för att bl.a. rätta, blockera och utplåna uppgifter samt underrätta tredje man, till vilken uppgifterna har lämnats ut, om personuppgifter är oriktiga eller har behandlats i strid med PUL. Den personuppgiftsansvarige är enligt PUL också skadeståndsansvarig mot den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat.