prop · GO0380 · 2001-01-01 00:00:00 — Till undantagen hänförs bl.a. uppgifter som behövs för forsknings- och statistikändamål och uppgift som inte är direkt hänförlig till den enskilde. Datalagen upphörde datalagen (1973:289) att gälla och ersattes av personuppgiftslagen (1998:204), som genomför och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Eftersom datalagen i enlighet med övergångsbestämmelserna till personuppgiftslagen fortsätter att i vissa fall gälla ytterligare in , finns det anledning att redovisa regelsystemet i datalagen. Enligt datalagen får personregister inrättas, varmed förstås även insamling av uppgifter som skall ingå i registret, och föras endast av den som har anmält sig hos Datainspektionen och fått licens. En licens berättigar den registeransvarige att föra ett eller flera personregister. Med hjälp av ADB för Datainspektionen ett register över licensanmälningar, licensregistret. får Datainspektionen använda för sin tillsyns- och informationsverksamhet samt som underlag för uppbörd av licensavgifter. För vissa typer av register med känsliga personuppgifter krävs utöver licens även ett särskilt tillstånd från Datainspektionen Myndigheter inom behöver inte ha tillstånd för att inrätta och föra personregister som innehåller uppgifter om att någon fått ekonomisk hjälp eller vård inom . Enligt förarbetena avses sådana kommunala register, vilka som ett led i en myndighets normala verksamhet innehåller uppgift om social omsorg. De uppgifter som får registreras är sådana som behövs för de verksamheter som regleras av socialtjänstlagen (1980:620), lagen om vård av missbrukare i vissa fall (1988:870) och lagen (1990:52) med särskilda bestämmelser om vård av unga. Enligt Datainspektionens praxis innebär detta att det endast är uppgift om beslut om ekonomisk hjälp eller vård samt den paragraf som beslutet grundar sig på som får registreras. Skall andra känsliga uppgifter registreras blir registret tillståndspliktigt. Detsamma gäller om registret skall användas för annat än administrativt ändamål. Det krävs synnerliga skäl för att andra än myndigheter som enligt lag eller annan författning har att föra förteckning över sådana uppgifter skall kunna få tillstånd att inrätta och föra personregister som innehåller vissa angivna typer av känsliga uppgifter, såsom exempelvis uppgift om att någon misstänks eller har dömts för brott eller varit föremål för vissa tvångsingripanden. Tillstånd att inrätta och föra personregister som i övrigt innehåller uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom får bara om det finns särskilda skäl meddelas någon annan än en myndighet. Personuppgiftslagen Personuppgiftslagen (1998:204) som trädde i kraft , har ersatt den tidigare datalagen. Lagen innebär ett genomförande i svensk lagstiftning av och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Regeringen har i personuppgiftsförordningen (1998:1191) gett kompletterande föreskrifter beträffande sådan behandling av personuppgifter som omfattas av personuppgiftslagen. Vidare har Datainspektionen meddelat föreskrifter om, dels skyldigheten att anmäla behandlingar av personuppgifter till inspektionen (1998:2), dels undantag från förbudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser m.m. (1998:3). Tillämpningsområde Personuppgiftslagen omfattar all behandling av personuppgifter som är helt eller delvis automatiserad (5 §). Lagen gäller även för behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier, dvs. i ett register. Personuppgiftslagen gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur (6 §). Lagen innehåller också en bestämmelse som anger att personuppgiftslagen inte skall tillämpas, om en sådan tillämpning skulle inskränka myndigheternas skyldighet att lämna ut uppgifter enligt 2 kap. tryckfrihetsförordningen (7 §). Definitioner Genom personuppgiftslagen utmönstras en rad begrepp som använts i datalagen, t.ex. personregister och i stället införs en rad nya begrepp, vilka definieras i 3 §. Med behandling (av personuppgifter) avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Personuppgifter definieras som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Personuppgiftsansvarig är den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Behandling av personuppgifter I lagen läggs fast vissa grundläggande krav på behandlingen av personuppgifter (9 §). Den personuppgiftsansvarige skall se till att a) personuppgifter behandlas bara om det är lagligt, b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och i) personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. För behandlingen av personuppgifter för historiska, statistiska eller vetenskapliga ändamål gäller vissa särregler. Behandling för sådana ändamål skall inte anses oförenlig med de ändamål för vilka uppgifterna samlades in och personuppgifter insamlade för sådana ändamål får bevaras än vad som sägs i punkten i) ovan. Dock gäller att uppgifterna inte får bevaras än som behövs för dessa ändamål. Lagen innehåller en uttömmande uppräkning av de fall då personuppgifter får behandlas. Om känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer skall behandlas, måste behandlingen dessutom vara tillåten i enlighet med 13-22 §§. Innebär behandlingen att personuppgifter överförs till tredje land, dvs. till en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet, måste också 33-35 §§ följas. Förbudet mot behandling av känsliga personuppgifter är emellertid inte undantagslöst (14 §). I 15-19 §§ regleras under vilka omständigheter en behandling av känsliga uppgifter trots förbudet är tillåten. Enligt 21 § är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Som exempel på administrativa frihetsberövanden nämns i förarbetena (prop.1997/98:44 s. 76) tvångsingripanden enligt lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1991:1128) om psykiatrisk tvångsvård. Regeringen eller den myndighet som regeringen bestämmer får dock meddela föreskrifter om undantag från förbudet. Anmälningsskyldighet Något tillståndsförfarande - motsvarande det som finns i datalagen - förekommer inte i personuppgiftslagen. Däremot föreskrivs i lagen att behandling av personuppgifter som är helt eller delvis automatiserad skall anmälas till tillsynsmyndigheten, dvs. Datainspektionen (36 §) Undantag från sådan anmälningsskyldighet gäller bl.a. för sådan behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Information I 23-27 §§ finns bestämmelser om information till den registrerade. Enligt 23 § skall den personuppgiftsansvarige i samband med att uppgifter om en person samlas in från personen själv, självmant lämna den registrerade information om behandlingen av uppgifterna. När uppgifterna samlas in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras (24 §). Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Information enligt 24 § behöver dock inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet i en lag eller någon annan författning (24 § andra stycket). Enligt samma lagrum behöver information inte heller lämnas om detta visar sig omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. I 25 § anges vilken information som skall lämnas självmant. Informationen enligt 23 eller 24 § skall omfatta uppgift om den personuppgiftsansvariges identitet, uppgift om ändamålen med behandlingen och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Enligt 26 § är den personuppgiftsansvarige skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som behandlas, varifrån dessa uppgifter har hämtats, ändamålen med behandlingen, och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 26 § andra stycket finns det bestämmelser dels om den registrerades ansökan om information, dels om efter ansökan som den personuppgiftsansvarige skall lämna informationen. I 26 § tredje stycket finns vissa undantagsbestämmelser beträffande personuppgifter i löpande text. Med mottagare avses (3 §) den till vilken personuppgifter lämnas ut. När personuppgifter lämnas ut för att en myndighet skall kunna utföra sådan tillsyn, kontroll eller revision som den är skyldig att sköta, anses dock inte myndigheten som mottagare. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade gäller, enligt 27 §, inte bestämmelserna om information. En personuppgiftsansvarig som inte är myndighet får därvid i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter. Överklagande m.m. beslut enligt personuppgiftslagen om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Myndigheten får dock bestämma att beslutet skall gälla även om det överklagas. Prövningstillstånd krävs vid överklagande till kammarrätt. I 48 § föreskrivs att den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen vid behandling av personuppgifter har orsakat. Ersättningsskyldigheten kan dock i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Socialtjänstlagen Dokumentation I nuvarande 50-52 §§ socialtjänstlagen (1980:620), ges bestämmelser om dokumentation inom . Dessa bestämmelser infördes, enligt vad regeringen uttalade i prop. 1996/97:124 (s. 149 f.), främst i förtydligande syfte och som ett komplement till förvaltningslagens regler. Reglerna om dokumentation är vidare generellt tillämpliga på sådan enskilt bedriven verksamhet inom som står under tillsyn. Ytterligare regler om dokumentation finns i socialtjänstförordningen (1981:750) och i förordningen (1998:641) om verkställighet av sluten ungdomsvård. Handläggning av ärenden som rör enskilda samt genomförande av beslut om stödinsatser, vård och behandling skall dokumenteras. Enligt förarbetena (a. prop. s. 151 f. och 181) avses med handläggning av ärenden alla åtgärder från det att ett ärende anhängiggörs - genom ansökan eller på något annat sätt, t.ex. på initiativ av myndigheten själv - till dess att det avslutas genom beslut. Dokumentationen skall utformas med respekt för den enskildes integritet samt att den enskilde bör hållas underrättad om de journalanteckningar och andra anteckningar som förs om honom. Vad som har kommit fram vid utredning som har betydelse för ett ärendes avgörande skall tillvaratas på ett betryggande sätt, och handlingar som rör enskildas personliga förhållanden skall förvaras så att den som är obehörig inte får tillgång till dem. Register Hos en socialnämnd finns personuppgifter om de enskilda klienterna i nämndens protokoll och i bilagor till dessa, i olika sammanställningsregister som kan föras manuellt eller med hjälp av ADB, och - framför allt - i personakterna. Dessa personakter innehåller en mängd uppgifter om klienten och hans anhöriga. Som regel innehåller akten löpande anteckningar från samtal som förts med den enskilde i samband med planerade eller genomförda insatser. Dessutom finns det i personakterna handlingar av skiftande natur. Där förvaras utredningar och kopior av beslut i tidigare ärenden, kopior av yttranden till andra myndigheter, inkomna anmälningar och rapporter, läkarintyg, skriftväxling med andra sociala myndigheter m.m. Som sökregister till personakterna finns ofta ett slag- eller sökregister som är upplagt på namn och personnummer. Ett sådant sökregister - som oftast torde föras med hjälp av ADB - med därtill hörande personakter bildar ett personregister (prop. 1979/80:1 Del A s. 435). Det blir vidare allt mer vanligt att även personakterna förs med hjälp av ADB, s.k. elektroniska akter. I sådana personregister hos en socialnämnd som utgör sammanställningar av uppgifter får inte tas in uppgifter om ömtåliga personliga förhållanden. Denna bestämmelse gäller inte innehållet i de personakter som ingår i socialnämndernas personregister utan endast sådana register i mer inskränkt bemärkelse som utgör sammanställning av uppgifterna (prop. 1979/80:1 Del A s. 568 f.). Enligt förarbetena hör framför allt de databaserade personregistren hit men även alla former av register såsom t.ex. kortregister över utbetalningar, bevakningsregister av olika slag, servicekort etc. I de register som avses i bestämmelsen får inte integritetskänsliga uppgifter tas in rörande t.ex. sjukdom, arbetsförmåga, missbruk, kriminalitet. Om sådana anteckningar behöver göras, blir det nödvändigt att lägga upp en personakt. I registret får sedan göras hänvisning till personakten. En socialnämnd får dock i personregister av angivet slag ta in uppgifter om åtgärder som har beslutats inom och som innebär myndighetsutövning samt den bestämmelse på vilken ett beslut om en sådan åtgärd grundas. Ett exempel på detta är beslut i ärenden om bistånd enligt socialtjänstlagen. Gallring Enligt 60 § i den nuvarande socialtjänstlagen gäller som huvudregel att anteckningar och andra uppgifter i en personakt som tillhör socialnämndens personregister skall gallras efter det att sista anteckningen gjordes i akten. Från denna gallringsregel undantas handlingar i faderskapsärenden, adoptionsärenden och i ärenden om placering av barn. Därutöver undantas från gallring vissa handlingar av hänsyn till forskningens behov. Uppgifts- och underrättelseskyldighet I 63-66 §§ nuvarande socialtjänstlag finns vissa bestämmelser om uppgifts- och underrättelseskyldighet för socialnämnd. Bl.a. skall socialnämnden, enligt vad regeringen närmare föreskriver, ur personregister lämna ut uppgifter till för angelägna statistiska ändamål. Sådana närmare föreskrifter har meddelats i förordningen (1981:1370) om skyldighet för socialnämnderna att lämna statistiska uppgifter. Vidare skall socialnämnden lämna ut uppgifter ur personregister till statliga myndigheter, när detta begärs för forskningsändamål och det kan ske utan risk för att den enskilde eller någon honom närstående lider men. Arkivlagen Arkivlagen (1990:782) innehåller bestämmelser om myndigheternas och vissa andra organs arkiv samt om arkivmyndigheterna. Enligt 3 § bildas en myndighets arkiv enbart av de allmänna handlingarna från myndighetens verksamhet samt av sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (vissa minnesanteckningar och utkast eller koncept) och som myndigheten beslutar skall tas om hand för arkivering. EG:s dataskyddsdirektiv och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter ålägger EU:s medlemsstater att genom lagstiftning eller på annat sätt ge föreskrifter av det innehåll som framgår av direktivet. gäller i personuppgiftslagen (1998:204), vars bestämmelser i huvudsak följer direktivets text och disposition. Syftet med direktivet är dels att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv i samband med behandling av personuppgifter, dels att främja det fria flödet av personuppgifter mellan EU:s medlemsstater. Dataskyddsdirektivet är endast bindande i fråga om det resultat som skall uppnås och överlämnar åt medlemsländerna att själva välja form och metod för detta. Medlemsstaterna får inom den ram som ges i direktivet närmare precisera villkoren för när behandling av personuppgifter får förekomma. Dessa preciseringar får dock inte hindra det fria flödet av personuppgifter inom unionen. dataskyddskonvention antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter (SÖ 1982:50), den s.k. dataskyddskonventionen. Konventionen trädde i kraft och har ratificerats av ett antal länder, bl.a. . Syftet med konventionen är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatisk databehandling av personuppgifter. Utgångspunkten är att vissa av den enskildes rättigheter kan behöva skyddas i förhållande till den princip om fritt flöde av information, oberoende av gränser, som finns inskriven i internationella överenskommelser om mänskliga rättigheter. Varje konventionsstat kan göra vissa allmänna inskränkningar eller utvidgningar i tillämpningsområdet för konventionen i dess helhet. Därutöver finns vissa möjligheter att göra undantag från några av de enskilda bestämmelserna. rekommendationer om dataskydd har antagit ett flertal rekommendationer om dataskydd inom olika områden. Dessa rekommendationer är i och för sig inte bindande för medlemsländerna men genom att anta en rekommendation utan reservation anses medlemslandet i princip åtagit sig att följa den och försöka anpassa sin nationella lagstiftning till rekommendationens innehåll. Av intresse torde vara endast rekommendationen om skydd för personuppgifter som används för forskning och statistik, No. R (83) 10. riktlinjer för ekonomiskt samarbete och utveckling () har en expertgrupp utarbetat vissa riktlinjer i fråga om integritetsskyddet och persondataflödet över gränserna. Riktlinjerna antogs av tillsammans med en rekommendation till medlemsstaternas regeringar om att beakta riktlinjerna i nationell lagstiftning. Samtliga medlemsländer, däribland , har godtagit rekommendationen och därmed åtagit sig att följa denna. Regeringens förslag: Behandlingen av personuppgifter inom författningsregleras. förslag överensstämmer med regeringens. Remissinstanserna: I stort sett alla remissinstanser är positiva till förslaget och anser att det finns behov av en lagreglering. Barnens rätt i samhället (), och anser att behoven av reglering borde kunna lösas i befintliga lagar. och tingsrätter anser att en reglering i stället kan göras genom undantag i personuppgiftslagen. Skälen för regeringens förslag: Särskilda registerförfattningar har blivit allt mer vanliga. En registerförfattning innebär en specialreglering i förhållande till personuppgiftslagen i syfte att komplettera den eller i vissa delar ersätta den. En särskild författning anses under vissa förutsättningar innebära en bättre garanti för utformning av integritetsskyddet i särskilt känsliga register. Sådan särskild författningsreglering av personregister har skett utifrån det principiella ställningstagandet att personregister med ett stort antal registrerade personer och ett integritetskänsligt innehåll bör vara reglerade i lag (prop. 1990/91:60 s. 56 ff. och bet. 1990/91:KU11 s. 11). Detta framhålls också i förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 41). Registerförfattningar finns inom flera områden och omfattar bl.a. behandling av personuppgifter om totalförsvarspliktiga, skatteregister, hälsodataregister, vårdregister, social och polisregister. Det har länge funnits krav på en reglering av behandlingen av personuppgifter inom . Frågan om författningsreglering av personregister har tidigare behandlats av (se kommitténs slutbetänkande dokumentation och socialtjänstregister SOU 1995:86). Regeringen fann emellertid att utredningen inte gav ett tillräckligt tillfredställande underlag för att förelägga ett förslag i frågan (prop. 1996/97:124). För behandling av personuppgifter inom område gäller personuppgiftslagen (1998:204) och övergångsvis datalagen (1973:289). För verksamheten inom är det nödvändigt med en omfattande hantering av känsliga personuppgifter. Det är inte helt känt i vilken utsträckning personuppgifter behandlas automatiserat i kommunerna för socialtjänständamål. gjorde i sitt slutbetänkande Dokumentation och socialtjänst register (SOU 1995:86 s. 43) bedömningen att de flesta kommuner i landet använde sig av automatiserad databehandling (ADB) för åtminstone något av verksamhetsområden. I de ADB-system som byggts upp i kommunerna lagras i huvudsak individrelaterade person-, ärende-, beslut- och verkställighetsuppgifter inom . Personregistren används i första hand som stöd för handläggningen av de uppgifter där har en utredningsskyldighet och som stöd för de beslut som utredningen mynnar ut i. Även under verkställighetsfasen används personregister som administrativt stöd vid handläggningen av arbetsplaner, genomförandet av olika insatser, utbetalningar av ekonomiskt bistånd, hanteringen av egenavgifter inom äldreomsorg m.m. Därutöver används personregistren - om än i mindre omfattning - som underlag för tillsyn, uppföljning och utvärdering av verksamhet. Registren underlättar också rapporteringen av uppgifter till som underlag för den officiella statistiken. bör på samma sätt som i övrigt inom offentlig och privat förvaltning ha möjlighet att utnyttja modern informationsteknik för att höja effektiviteten och kvalitén i arbetet. Det gäller inte bara arbetet i enskilda ärenden utan även i hög grad möjligheten att uppfylla ökade krav i fråga om att följa, analysera och utveckla verksamheten, dvs. dokumentationen samt framställning av olika sammanställningar och statistik. En särskild författningsreglering av behandlingen av personuppgifter inom kan ses som ett led i denna strävan. Inom område hanteras många uppgifter av mycket känslig natur och behandlingen av personuppgifter kan därför av den enskilde ses som ett intrång i den personliga integriteten.