prop · GO0380 · 2001-01-01 00:00:00 — Mångfalden av uppgifter och det behov som finns inom område av att hantera känsliga uppgifter av detta slag medför enligt regeringens mening att det finns behov av en särskild författningsreglering. Eftersom en sådan behandling bör få ske oavsett den enskildes inställning är det av vikt att författningen garanterar ett för detta område specialanpassat integritetsskydd för den enskilde. Reglerna skall gälla för sådan behandling av personuppgifter som utförs av en socialnämnd i sin verksamhet eller av annan motsvarande inrättning vid handläggning av ärenden, den verksamhet som utför inom område och sådan behandling som för tillsyn m.m. utförs av centrala förvaltningsmyndigheter. Även enskilda som behandlar personuppgifter inom område kommer att omfattas av reglerna. 13.2 Lagteknisk utformning Regeringens förslag: En ny lag om behandling av personuppgifter inom skall införas som anpassas till bestämmelserna i personuppgiftslagen (1998:204). Förslaget innebär bl.a. att lagen utgår från personuppgiftslagens tillämpningsområde, begrepp och terminologi. Bestämmelserna anger de undantag och preciseringar i förhållande till personuppgiftslagen som är motiverade. Lagen skall ges namnet lag om behandling av personuppgifter inom . förslag överensstämmer med regeringens. Remissinstanserna: I stort sett alla remissinstanser är positiva till utredningens förslag. Några menar dock att lagen i sig framstår som otymplig och innehållsfattig och föreslår i stället andra lösningar för att få den mer ändamålsenlig. () och Hovrätten för anser att lagen även bör innefatta regler om undantag från eller kompletteringar till personuppgiftslagen (1998:204). vid ifrågasätter om förslaget uppfyller målsättningen att styra och precisera. För att fylla en funktion bör det i lagen anges närmare avgränsningar för när personuppgifter skall få behandlas. Datainspektionen framhåller att det är nödvändigt att införa begränsningar beträffande ändamål, personuppgiftsansvar, sökmöjligheter och direktåtkomst samt särskilda bestämmelser om information i samband med att uppgifterna registreras och om rätt att överklaga. Skälen för regeringens förslag: Verksamheten inom innefattar en omfattande hantering av personuppgifter som är känsliga från integritetssynpunkt. Därtill kommer att verksamheten berör ett mycket stort antal enskilda individer. Redan detta förhållande talar för att behandlingen av personuppgifter inom bör regleras i lag. Ett annat skäl är att regeringen i samband med införandet av personuppgiftslagen (prop. 1997/98:44 s. 40 f.) uttalade att den nya lagen i princip bara bör innehålla generella regler och att behovet av undantag och särregler för mer speciella områden får tillgodoses genom andra författningar. Det framhölls att registerförfattningarna innehåller många preciserade och viktiga regler som inte rimligen kan ersättas av de generella bestämmelser som den nya lagen innehåller. Vid utskottsbehandlingen av förslaget till personuppgiftslag uttalade , i sitt av godkända betänkande, att det saknas anledning att nu avvika från den tidigare fastlagda målsättningen att myndighetsregister med ett stort antal registrerade personer och ett särskilt känsligt innehåll skall regleras särskilt i lag (bet. 1997/98:KU 18 s. 43, rskr. 1997/98:180). Det finns emellertid även andra skäl som talar för en särskild lagreglering, bl.a. rätt att behandla personuppgifter som är att anse som känsliga i personuppgiftslagens mening. Även vissa andra undantag, som regeringen återkommer till, behöver göras från regleringen i personuppgiftslagen. Det är visserligen inget som hindrar att sådana undantag som nämnts ovan görs i annan form än i en särskild lag, t.ex. får enligt 20 § personuppgiftslagen regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet i 13 § mot att behandla känsliga personuppgifter. Eftersom frågan om undantag från personuppgiftslagens bestämmelser rör en så integritetskänslig verksamhet som , bör dock saken underställas . Avsikten med lagstiftningen är inte att på något sätt utvidga nuvarande möjligheter att registrera uppgifter om medborgarna. Huruvida personuppgifter i det enskilda fallet skall samlas in eller lämnas ut avgörs av annan lagstiftning (t.ex. tryckfrihetsförordningen, sekretesslagen (1980:100) och socialtjänstlagen (1980:620)) och inte av personuppgiftslagen eller av den lag som föreslås. Vad som däremot är viktigt att åstadkomma är att den lagstiftning som skall reglera under vilka förutsättningar personuppgifter i övrigt får behandlas inom , inte hindrar att personuppgifter får behandlas när så krävs för att skall kunna fullgöra sina arbetsuppgifter. Utgångspunkten för en ny lag bör vara att lagen innehåller de bestämmelser om behandling av personuppgifter som avviker från personuppgiftslagen. Den föreslagna lagen kommer inte att innehålla en fullständig reglering utan kan mer ses som en ramlag som reglerar de frågor som är av särskild betydelse inom område. Sambandet med personuppgiftslagen görs tydligt genom att det införs en särskild bestämmelse som markerar detta förhållande och att rubriksättningen - så långt möjligt - anknyter till den lagen. Lagrådet har ifrågasatt om inte lagen har fått alltför mycket karaktär av ramlag och om inte fler materiella bestämmelser bör införas på detta integritetskänsliga område samt att detta bör övervägas i det fortsatta lagstiftningsarbetet. Ett alternativ som regeringen har övervägt har varit att utforma lagen på ett sådant sätt att den blir mer "självbärande" i förhållande till personuppgiftslagen (1998:204). En fördel med en sådan lösning skulle vara att regelsystemet för då skulle bli mer lättöverskådligt. Enligt regeringens mening råder det inte heller något tvivel om att det från integritetssynpunkt skulle vara en fördel om det i lagtext på ett mer konkret sätt kunde anges fler materiella regler, t.ex. precisera för vilka ändamål personuppgifter får behandlas inom . Regeringen har emellertid bedömt det som i praktiken omöjligt att göra så. Lagrådet har i yttrande i propositionen 2000/01:33 Behandling av personuppgifter inom skatt, tull och exekution, där man använde sig av en lagstiftningsteknik för att få hanteringen mer självbärande i förhållande till personuppgiftslagen, uttalat att en sådan teknik som där användes var otillfredsställande. Även om tekniken användes i ett annat sammanhang och inte går att överföra direkt på område bäddar, enligt regeringens mening, en mer självbärande lagstiftning för särskilda risker samt kan leda till ofullständighet och dubbelreglering i förhållande till personuppgiftslagen. Därför bör den nu föreslagna lagen begränsas till att avse sådant som är specifikt för socialtjänstområdet med dess höga krav när det gäller integritetsskydd. Ett avgörande skäl för att hålla sig till en mer allmän reglering är att område är mångfacetterad och svår att detaljreglera. Möjligheterna att mer ingående reglera själva behandlingen av personuppgifter inom är små. Graden av integritetskänslighet varierar i stor utsträckning och inom finns behov av att behandla ett synnerligen stort antal olika personuppgifter. Stora delar av den kommunala verksamheten, Statens institutionsstyrelses verksamhet och även olika typer av enskild verksamhet kommer att omfattas av bestämmelserna (se avsnitt 13.3). I lagen görs inte någon uppräkning av för vilka ändamål som behandling får ske (se avsnitt 13.4). I stället anges att behandling av uppgifter får ske endast om behandlingen är nödvändig för att arbetsuppgifter inom skall kunna utföras. Såvitt gäller ärendehandläggningen i en verksamhet som har regeringen i direktiven till uttalat att regler som begränsar vad som får registreras för att uppnå ett integritetsskydd är det som mest försvårar ett rationellt utnyttjande av informationstekniken i verksamheten. Samtliga kategorier av personuppgifter kommer i och för sig att få behandlas inom (se avsnitt 13.5). Det finns dock särskilda regler i socialtjänstlagen (2001:000) som begränsar och preciserar socialnämnds m.fl. hantering av personuppgifter. Dessutom finns det särskilda bestämmelser om tystnadsplikts- och sekretessbestämmelser i sekretesslagen (1980:100), socialtjänstlagen (2001:000) och i lagen (1993:387) om stöd och service till vissa funktionshindrade som begränsar hanteringen av personuppgifter. Enligt regeringens mening kan det dock vara befogat att ytterligare begränsa den tillåtna behandlingen samt direktåtkomst, sökbegrepp och samkörning inom särskilda verksamhetsområden. För att skapa ett effektivt integritetsskydd som inte sätter hinder i vägen för en föränderlig verksamhet bör regeringen eller den myndighet som regeringen bestämmer ges rätt att meddela föreskrifter i detta avseende. Därutöver bör regeringen eller den myndighet regeringen bestämmer ges rätt att meddela föreskrifter om personuppgiftsansvaret. Regeringen bör även ges rätt att meddela föreskrifter om i vilken utsträckning personuppgifter får föras över till tredje land. Se avsnitt 13.6-13.10. Det kan även tilläggas att begränsningar i fråga om vad som får registreras, m.m. inte är den enda möjligheten att skapa ett effektivt integritetsskydd. Möjligheterna att skapa ett verksamt skydd genom fortlöpande kontroll av användning i efterhand (loggning) och andra säkerhetsfunktioner har förbättrats starkt genom teknik- och systemutvecklingen . Eftersom den föreslagna lagen bör ha samma tillämpningsområde som personuppgiftslagen och enhetliga regler bör gälla för såväl behandling av uppgifter som automatiserad används inte registerbegreppet i lagen. Lagen ges därför namnet lag om behandling av personuppgifter inom . 13.3 Tillämpningsområde Regeringens förslag: Lagen om behandling av personuppgifter inom skall tillämpas vid behandling av personuppgifter inom . Begreppet socialtjänst föreslås bli definierat i lagen. Lagen skall - liksom personuppgiftslagen (1998:204) - gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad och även för annan behandling, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. för behandling av personuppgifter. Det införs inte några särbestämmelser för den automatiserade behandlingen av personuppgifter. Lagen omfattar myndigheter och enskilda som behandlar personuppgifter inom område. Lagen är inte tillämplig vid behandling av personuppgifter för forsknings- och statistikändamål och inte heller vid behandling av personuppgifter hos domstolar. Behandling för sådana ändamål kommer att få regleras av bestämmelserna i personuppgiftslagen och av eventuell annan särlagstiftning på området. förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser har inte yttrat sig i frågan. Hovrätten för , kommun, kommun, kommun och Föreningen tillstyrker förslaget. avstyrker förslaget då det inte behövs någon särskild definition av begreppet socialtjänst just för detta område. () anger att det bör uttryckas tydligare att begreppet socialtjänst även inrymmer verksamhet i enskild regi. i anser att socialtjänstbegreppet i stället bör tas in i socialtjänstlagen. anger att deras tillsyn av den utbildning som anordnas på särskilda ungdomshem inte bör omfattas av begreppet socialtjänst. anger att gränsdragningen mellan forskning och utvärdering är oklar och att även forskning bör omfattas av reglerna. Skälen för regeringens förslag Begreppet socialtjänst Till socialtjänst räknas sedan socialtjänstlagen (1980:620) trädde i kraft inte enbart verksamhet enligt denna lag utan även på området närliggande verksamhet som regleras enligt annan lagstiftning. Reglerna i socialtjänstlagen tillämpas i den mån dessa lagar saknar särskilda bestämmelser i frågan. Enligt regeringens mening är verksamhetsområdet så vidsträckt att det behövs en särskild definition av begreppet socialtjänst. Det kan inte, som i föreslår, anses tillräckligt att ta in socialtjänstbegreppet i socialtjänstlagen. Enligt regeringens mening är det väsentligt att regleringen av hur personuppgifter behandlas får en gemensam grund att stå på. En lämplig väg är att samla all verksamhet som innefattar socialtjänst och reglera hanteringen av personuppgifter särskilt. Som tidigare nämnts föreligger det även andra skäl som talar för att behandlingen av personuppgifter bör regleras särskilt (se avsnitt 13.2). När det gäller definitionen av begreppet socialtjänst får det, såsom utredningen framhållit anses lämpligt att söka ledning i den definition av begreppet socialtjänst som återfinns i 7 kap. 4 § sekretesslagen (1980:100). Det är också praktiskt att begreppet därvidlag inte skiljer sig alltför mycket åt. Enligt regeringens mening skall med socialtjänst förstås; - verksamhet enligt lagstiftning om socialtjänst och anslutande särskild lagstiftning om vård av unga och av missbrukare utan samtycke, - verksamhet som i annat fall bedrivs av socialnämnd, - verksamhet som bedrivs av , - verksamhet hos invandrarbyrå, - verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade, - handläggning av ärenden om bistånd som lämnas av socialnämnd enligt lagstiftning om mottagande asylsökande m.fl., - handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar, - handläggning av ärenden om tillstånd till parkering för rörelsehindrade samt - tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration, under förutsättning att det anknyter till det huvudsakliga verksamhetsområdet. Förslaget innebär - när det gäller - emellertid en viss avvikelse från vad som gäller enligt 7 kap. 4 § tredje stycket sekretesslagen. Detta har sin grund i att styrelsen även bedriver verksamhet som endast är reglerad i förordning, men som lämpligen bör omfattas av den föreslagna lagstiftningen. Den nämnda uppräkningen av verksamheter m.m. som innefattas i begreppet socialtjänst är uttömmande. Förslaget inkluderar även sådan verksamhet som bedrivs av enskilda. Det bör dock framhållas att sådan verksamhet som inte omfattas av denna lag eller av annan särlagstiftning omfattas av personuppgiftslagen (1998:204). Konsekvensen av att man låter en verksamhet falla utanför lagens tillämpningsområde blir alltså inte att behandlingen av personuppgifter i den verksamheten förblir oreglerad. Huruvida de personuppgifter som har samlats in med stöd av denna lag får behandlas för t.ex. sådan verksamhet som nämnts, dvs. utanför , får således avgöras efter en tillämpning av personuppgiftslagen. Med verksamhet förstås inte enbart den verksamhet som utgörs av handläggning av ett ärende utan även rent faktisk verksamhet, som t.ex. handlingar och uppgifter i övrigt som gäller uppsökande verksamhet, social hemhjälp, , behandlingshem och samt socialnämnds utredning och framställning enligt särskild lagstiftning om vård av unga och av missbrukare utan samtycke. samt hel och delvis automatiserad behandling Personuppgiftslagen (1998:204) gäller för sådan behandling av personuppgifter som helt eller delvis är automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 § personuppgiftslagen). Enligt regeringens mening bör en lag som avser behandling av personuppgifter inom ha samma tillämpningsområde som personuppgiftslagen. Det finns flera skäl för en sådan lösning. För det första förekommer det fortfarande i en inte obetydlig utsträckning att personuppgifter inom behandlas manuellt i register. Det finns skäl att tro att det kommer att förhålla sig på det viset under . Vidare kan det väl knappast uteslutas att det alltid kommer att finnas ett visst behov av att behandla personuppgifter manuellt i register. Om tillämpningsområdet för lagen om behandling av personuppgifter inom begränsades till att avse endast automatiserad behandling av personuppgifter, skulle den behandlingen av sådana uppgifter i ett register komma att regleras enbart av personuppgiftslagen. Personuppgiftslagen gäller i den mån det inte i annan lag eller författning finns avvikande bestämmelser. Detta skulle få till följd att känsliga personuppgifter inte skulle kunna behandlas manuellt i ett register inom . Lagen bör därför gälla inte bara för all automatiserad behandling av personuppgifter utan även för behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Huruvida behandling av personuppgifter i personakter kommer att omfattas av lagens tillämpningsområde är beroende av om de personaktsystem som används inom är att anse som register i personuppgiftslagens mening, dvs. om de är sökbara på det sätt som där krävs. De sökregister som finns till personakterna är slag- och sökregister som är upplagda på namn och personnummer. När en stor mängd personuppgifter på papper behandlas på sådant sätt får de anses ha struktur av ett register (proposition 1997/98:44 s. 39) För att så skall anses vara fallet talar också det förhållandet att sökregistret och akten bör ses i ett sammanhang (proposition 1979/80:1 s.438 samt betänkandet Socialtjänst och socialförsäkringstillägg - Lagar och motiv SOU 1977:40 s. 740). Utanför lagens tillämpningsområde faller således behandling av personuppgifter som inte ingår i och inte heller är avsedda att ingå i ett register. Enligt regeringens uppfattning bör lagen - i likhet med personuppgiftslagen - inte innehålla några särregler för när uppgifter behandlas automatiserat. Det är viktigt att den nya lagen så litet som möjligt hämmar användningen av modern informationsteknik. Forsknings- och statistikändamål samt behandling av personuppgifter hos domstolar I förarbetena till personuppgiftslagen uttalade regeringen (prop. 1997/98:44 s. 71) att vikten av att värna om forskningens frihet gör att det förefaller lämpligare att göra en avvägning i varje enskilt fall än att i den nya lagen införa generella regler om vilken forskning och statistik som skall tillåtas. Regeringen tillade att många av dessa olikartade forsknings- och statistikprojekt som regel pågår bara . (s. 71) Den bedömning som regeringen gjorde i lagstiftningsärendet om en ny personuppgiftslag bör gälla även inom detta område. Inte heller lagen om behandling av personuppgifter inom kommer således explicit ange när personuppgifter får behandlas för forskning och statistik. Behandling för sådana ändamål faller således utanför lagens tillämpningsområde. I lagen skall därför - eftersom definitionen av socialtjänst i vissa fall kan innefatta även t.ex. forskning, se t.ex. 2 § första stycket 4 förordningen (1996:610) med instruktion för - tas in en uttrycklig bestämmelse om att lagen inte skall tillämpas vid behandling av personuppgifter för forsknings- och statistikändamål. Endast i den mån förutsättningarna i personuppgiftslagen är uppfyllda kommer behandling av personuppgifter inom att kunna användas för forsknings- och statistikändamål. Av 9 § andra stycket personuppgiftslagen följer att behandling för historiska, statistiska och vetenskapliga ändamål inte skall anses oförenlig med det ändamål för vilka uppgifterna ursprungligen samlades in. I 19 § personuppgiftslagen finns en allmän bestämmelse i ämnet. Känsliga personuppgifter får behandlas för forsknings- och statistikändamål, om behandlingen är nödvändig enligt särskilda förutsättningar och om samhällsintresset av det forsknings- eller statistikprojekt där behandlingen ingår klart överväger den risk för otillbörligt intrång i enskildas personliga integritet som behandlingen kan innebära. Det är i första hand den personuppgiftsansvarige som på eget ansvar gör avvägningen (undantag om behandlingen godkänts av en forskningsetisk kommitté). Personuppgiften får lämnas ut för att användas i sådana projekt om inte något annat följer av regler om sekretess och tystnadsplikt. Begreppet forskning bör beröras något eftersom forskning inte får förväxlas med uppföljning, utvärdering eller kvalitetssäkring. I propositionen Rättspsykiatriskt forskningsregister (prop. 1998/99:72 s. 36 f.) hänvisar regeringen till bl.a. ett uttalande i betänkandet Forskningsetisk prövning - Organisation, information och utbildning (SOU 1989:74 s. 25) samt framhålls att det är svårt att ge någon mera exakt definition av begreppet forskning. Där uttalade Forskningsetiska utredningen att begreppet forskning i ett OECD-dokument har fått en tvådelad förklaring, och tillade; Där talar man om dels grundforskning, dels tillämpad forskning, riktad forskning. I båda fallen finns det emellertid en gemensam kärna som getts formuleringen att man med forskning menar "ett systematiskt och metodiskt sökande efter ny kunskap och nya idéer". Denna allmänt inriktade och vida definition utgår jag också i från, när jag talar om "forskning", oberoende av inriktning, område och finansiering. I förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 127) uttalades om begreppet forskning bl.a. följande. Med forskning avses i paragrafen [19 §] i första hand den verksamhet som bedrivs vid etablerade institutioner, såsom universitet och högskolor eller privata, väletablerade forskningsinstitut. Även sådana epidemiologiska undersökningar som utförs vetenskapligt omfattas. Släktforskning faller utanför, liksom annan forskning eller utredningsverksamhet av mera privat natur. Det måste finnas ett samhällsintresse av att forskningen bedrivs, och den måste vara vetenskaplig i någon mening. I enlighet med Lagrådets förslag har tillagts att lagen inte heller tillämpas vid behandling av personuppgifter hos domstolar. Lagrådet har anmärkt att en sådan undantagsbestämmelse innebär att automatiserad behandling av personuppgifter i mål hos domstolar faller under personuppgiftslagen, om inte annat följer av lag eller förordning. I detta sammanhang kan nämnas att regeringen har tillsatt en utredning, den s.k. (Ju 2000:08), som har i uppdrag att se över behandlingen av personuppgifter hos samtliga domstolar samt föreslå de författningsändringar som behövs för den framtida behandlingen av personuppgifter hos dessa. Utredningen beräknas lämna ett delbetänkande och lägga fram förslag som är föranledda av att den övergångsvisa tillämpningen av datalagen upphör att gälla . Uppdraget i sin helhet skall redovisas . Regeringen förbehåller sig därför möjlighet att återkomma i frågan . 13.4 Ändamålen med behandlingen av personuppgifter Regeringens förslag: Personuppgifter får behandlas bara om behandlingen är nödvändig för att arbetsuppgifter inom skall kunna utföras. Enskilda har inte rätt att motsätta sig sådan behandling som är tillåten enligt lagen. Personuppgifter får lämnas ut om det följer av lag eller förordning. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter som begränsar den tillåtna behandlingen av personuppgifter. förslag överensstämmer med regeringens, förutom att utredningen föreslår att det får ankomma på den personuppgiftsansvarige i respektive verksamhet att med beaktande av personuppgiftslagen (1998:204) ange för vilka ändamål personuppgifter behandlas. Endast ändamål som är nödvändiga för att en arbetsuppgift inom skall kunna utföras kan därvid vara berättigade. Remissinstanserna: Flertalet av de remissinstanser som yttrat sig tillstyrker eller har inget att invända mot förslaget. ombudsman (JO), kammarrätten i och Datainspektionen anser att ändamålen bör specificeras alternativt exemplifieras i lagen. Hovrätten för ställer sig tveksam till om förslaget uppfyller EG-direktivet och anser att ändamålen borde preciseras i förordning eller föreskrifter för respektive verksamhetsområde.