prop · GO0369 · 2001-01-01 00:00:00 — Det konstateras härvid att det inte kan begäras att en sådan myndighet lämnar information om alla personuppgifter som finns hos myndigheten då det skulle ta orimligt att ta fram informationen. Kommittén föreslog i stället att den enskilde närmare skulle precisera vilken information denne önskade, i enlighet med vad som anses gälla vid begäran om utlämnande av allmänna handlingar. Sådana föreskrifter skulle enligt kommittén lämnas av regeringen efter bemyndigande i lag att meddela föreskrifter om vad en ansökan skall innehålla. I PUL finns också ett sådant bemyndigande och frågan har, vad avser automatiserad behandling av personuppgifter, delegerats vidare till Datainspektionen. De nu nämnda föreskrifterna i PUL och därtill hörande reglering bör i huvudsak gälla även socialförsäkringsregister. För sådana handlingar som avses i 11 § SofrL - s.k. elektroniska akter - gäller dock den begränsningen i förhållande till registerutdrag enligt datalagen, att uppgifter i sådana handlingar inte behöver tas med i utdraget. Däremot skall av utdraget framgå vilka handlingar avseende den registrerade som finns i registret. Det är tveksamt om sådana begränsningar fortsättningsvis är möjliga att göra mot bakgrund av vad som föreskrivs i EG-direktivet. Vidare har ju en person normalt, med stöd av offentlighetsprincipen, rätt att få del av uppgifter även i sådana handlingar. Detta gäller visserligen endast om uppgiften finns i en allmän handling och inte sekretess utgör hinder för utlämnandet. skulle en helt obegränsad skyldighet att lämna ut uppgifter avseende handlingar i elektroniska akter innebära en klart ökad arbetsbelastning för socialförsäkringens administration och att stora mängder information skulle lämnas ut som den enskilde kanske egentligen inte är intresserad av. Till viss del rör det ju sig om handlingar som den enskilde själv tillställt myndigheten eller som redan expedierats till honom inom ramen för handläggningen av ett ärende. En rimlig lösning, som påminner om den som föreslog för arkivmyndigheter, är enligt regeringens mening, att information enligt 26 § PUL, vad gäller handlingar i elektroniska akter som avses i 11 § SofrL, begränsas på samma sätt som gäller registerutdrag enligt datalagen, men att den enskilde ges möjlighet att få information även om uppgifter som behandlas i sådana handlingar om han eller hon särskilt anger det. Regeringen har även förordat en liknande lösning när det gäller behandling av personuppgifter inom skatt, tull och exekution (jfr prop. 2000/01:33 s. 104 ff). Eftersom en enskild normalt inte vet vilka handlingar som finns i ett sådant register bör ettårsbegränsningen, avseende rätten att gratis få information som finns i 26 § PUL, emellertid gälla för varje handling för sig. Den enskilde kan då först lämna en allmän ansökan om information enligt 26 § PUL och därefter, när han eller hon fått vetskap om vilka handlingar som finns i registret som omfattas av 11 § SofrL, ansöka och få information om de handlingar han eller hon då närmare anger. Detta innebär naturligtvis inte att den enskilde inte redan från början kan ange att ansökan även avser samtliga handlingar som avses i 11 § SofrL. Den enskilde ges på detta sätt en rätt till information som är mer utsträckt än enligt tryckfrihetsförordningen eftersom ingen begränsning görs till allmänna handlingar och det kan inte heller anses strida mot EG-direktivet. De allmänna begränsningarna i PUL om personuppgifter i löpande text och minnesanteckningar m.m. samt de begränsningar som följer av sekretess mot den enskilde bör naturligtvis gälla även i detta avseende. Det bör i detta sammanhang noteras att en allmän begränsning som också rör handlingar som avses i 11 § SofrL följer av de begränsade sökmöjligheterna i fråga om sådana handlingar. Som sökbegrepp får i fråga om sådana handlingar bara användas ärendebeteckning och beteckning på handling. Det torde därför inte vara möjligt att få fram uppgifter om en person som finns i andra akter än som avser henne eller honom själv. 6 Ikraftträdande och kostnader m.m. Socialförsäkringsregisterlagen (1997:934), SofrL, är uppbyggd mot bakgrund av datalagen (1973:289). Datalagen gäller övergångsvis fram till . Den nya lagen om ändring i SofrL är i huvudsak föranledd av att den övergångsvisa regleringen upphör att gälla. Mot bakgrund härav föreslås ändringarna i SofrL träda i kraft . Vissa övergångsbestämmelser behövs. Dessa behandlas i författningskommentaren i anslutning till de paragrafer de berör. De föreslagna ändringarna i SofrL är i huvudsak lagtekniska och medför inget direkt merarbete för socialförsäkringens administration. RFV har dock menat att de ökade kraven på information till de registrerade kommer att innebära ökade kostnader. Regeringen instämmer i att det kan finnas en viss sådan risk. Emellertid är det endast den utvidgade skyldigheten att lämna uppgifter på begäran av den enskilde som kan tänkas medföra en viss ökad arbetsbelastning. Det är svårt att göra någon mer exakt bedömning av omfattningen på denna ökade arbetsbelastning. Med hänsyn till den tämligen omfattande rätt till erhållande av uppgifter som en enskild har redan enligt nuvarande lagreglering, och även med hänsyn till offentlighetsprincipen, bör detta merarbete enligt regeringens uppskattning emellertid bli ringa. Några ökade kostnader av betydelse torde förslagen därför inte komma att föranleda. SofrL behandlar endast bestämmelser om registrering m.m. i register inom socialförsäkringens administration. Som sådan får lagstiftningen anses vara könsneutral. 7 Författningskommentar 1 § Denna lag gäller personregister för sådan verksamhet i fråga om socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag eller förordning eller särskilt beslut av regeringen ankommer på de allmänna försäkringskassorna, eller (socialförsäkringsregister). Med personregister förstås register, förteckning eller andra anteckningar som förs helt eller delvis automatiserat och som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk person. Med personregister förstås också strukturerade samlingar av uppgifter som inte förs automatiserat men som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk person. De benämningar som i övrigt används i denna lag har samma betydelse som i personuppgiftslagen (1998:204). Personuppgiftslagen (1998:204), PUL, innehåller de generella regler som följer av dataskyddsdirektivet i fråga om vilka krav som allmänt ställs vid behandling av personuppgifter. I socialförsäkringsregisterlagen (1997:934), SofrL, särregleras behandling av personuppgifter i personregister inom socialförsäkringens administration. PUL är emellertid alltjämt tillämplig i samtliga de situationer som inte är uttryckligen särreglerade i SofrL. I datalagen (1973:289) fanns liksom i PUL ett antal definitioner. Bl.a. definierades i datalagen begreppet personregister. Någon sådan definition finns emellertid inte i PUL. Som tidigare anförts kan det ifrågasättas om registerbegreppet borde behållas men något förslag i den delen lämnas inte . I stället införs datalagens definition av personregister i första meningen i andra stycket i denna paragraf. Emellertid används begreppet "fysisk person" i stället för datalagens "den som avses med uppgiften" för att bättre överensstämma med PUL:s terminologi. Härmed avses liksom tidigare även avlidna (se avsnitt 5.1). Orden "som förs med hjälp av automatisk databehandling" ersätts vidare med "som förs helt eller delvis automatiserat", även detta för att bättre korrespondera med de begrepp som används i PUL. Betydelsen av nämnda begrepp berörs närmare i förarbetena till nämnda lag (jfr prop. 1997/98:44 sid. 240 ff.). Andra stycket innehåller också en utvidgning av tillämpningsområdet för SofrL. Detta gäller sådana register som regleringen i PUL avser och som här anges i andra meningen. I andra punkten i övergångsbestämmelserna föreskrivs dock att bestämmelserna i som rör känsliga personuppgifter och uppgifter om frihetsberövanden m.m. i vissa fall skall tillämpas i fråga om register först . Vad gäller andra begrepp som definieras i PUL - som personuppgift, personuppgiftsansvarig m.m. - skall dessa, när de används i denna lag ha motsvarande betydelse som enligt PUL. Detta framgår av tredje stycket. 7 § Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i 13 och 21 §§ personuppgiftslagen (1998:204). Utan hinder av första stycket får följande uppgifter registreras: 1. förekomsten av ansökan eller anmälan i ärenden som omfattas av 1 § första stycket, 2. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för ersättningsgrundande förhållanden, i ärenden som omfattas av 1 § första stycket, 3. grad av nedsatt arbetsförmåga, 4. förekomsten av intyg och utlåtande av läkare eller annan intygsgivare, 5. förekomsten av rehabiliteringsutredning eller annan utredning i rehabiliteringsärende samt av fastställd rehabiliteringsplan, 6. arten av och tidpunkter för föreslagna, planerade och vidtagna rehabiliteringsåtgärder, 7. förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om bostadsbidrag, 8. om den registrerade får eller har fått vård eller försörjning helt eller delvis på det allmännas bekostnad, 9. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt har tagits om hand på det allmännas bekostnad, 10. om den registrerade vistas eller bor i en särskild boendeform enligt socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt, 11. om fråga om återbetalningsskyldighet har uppkommit, 12. vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till handikappade som den bilstödsberättigade hör till, 13. att godmanskap eller förvaltarskap är anordnat enligt , 14. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga att vårda barn, 15. att den registrerade får aktivitetsstöd enligt 5 § tredje stycket förordningen (1996:1100) om aktivitetsstöd, 16. att den registrerade har rätt till ersättning enligt 16-22 §§ förordningen om aktivitetsstöd, 17. bevakningsanledning, samt 18. anledningen till att ett ärende avslutats. som förs för handläggning av ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa får dessutom, i fråga om vårdgivare, registreras uppgift om namn på praktik. I sådana register får vidare registreras uppgift om 1. förekomsten av begäran om förhandsprövning enligt förordningen om tandvårdstaxa samt kod för behandlingsförslag som begäran avser, 2. kod för behandling som avses i förordningen om tandvårdstaxa, 3. att den registrerade har rätt till ersättning enligt 9, 13 eller 14 § förordningen om tandvårdstaxa, 4. förhållanden som anges i 15 § andra stycket förordningen om tandvårdstaxa, 5. förekomsten av remiss, remitterande vårdgivares namn och namnet på den vårdgivare till vilken remiss har skett, samt 6. patientavgift och tandvårdsersättning. Denna paragraf behandlar vilka s.k. känsliga personuppgifter som ett socialförsäkringsregister får innehålla. I 6 § SofrL anges att socialförsäkringsregister får innehålla dels allmänna ärendeuppgifter, dels särskilda ärendeuppgifter. Med allmänna ärendeuppgifter avses identifierings- och adressuppgifter samt uppgifter om kön, civilstånd, medborgarskap och födelseort. Särskilda ärendeuppgifter är uppgifter om sådana ekonomiska och personliga förhållanden som har betydelse för handläggning av ärenden om socialförsäkringsförmåner och liknande. Som allmän begränsning gäller alltså i SofrL att en personuppgift bara får registreras om den har betydelse för handläggning av ett ärende. För s.k. känsliga personuppgifter föreskrivs dock i första stycket i denna paragraf att sådana uppgifter inte får registreras medan det i andra och tredje styckena medges vissa undantag från detta förbud. Vissa andra undantag finns i 9-11 §§. I datalagen användes inte begreppet känsliga personuppgifter men i 4 § räknades upp ett antal förhållanden som endast i undantagsfall fick registreras av andra än myndigheter. I 13 § PUL anges att det är förbjudet att behandla vissa känsliga personuppgifter och i 21 § PUL att vissa uppgifter om frihetsberövanden m.m. normalt inte får behandlas av andra än myndigheter. I första stycket i förevarande paragraf ändras hänvisningen till 4 § datalagen därför till 13 och 21 §§ PUL. Hänvisningen innebär att uppgifter som avses i sistnämnda paragrafer inte får registreras, i annat fall än när lagen medger undantag härifrån. Hänvisningen till 13 och 21 §§ PUL medför också att ett par av de undantag som anges i nuvarande andra stycket utgår eftersom något förbud att registrera dessa uppgifter inte följer av 13 eller 21 § PUL. Det gäller dels uppgift om att en vårdnadshavare är särskilt förordnad och dels vissa uppgifter om återbetalningsskyldighet. Dessa uppgifter är inte sådana som avses i 13 och 21 §§ PUL. Dock bör det undantag som innebär att uppgift om att fråga om återbetalningsskyldighet har uppkommit får registreras kvarstå, eftersom anledningen till återbetalningsskyldigheten kan innefatta ett brottsligt förfarande (se närmare avsnitt 5.3). Övriga undantag från förbudet att registrera s.k. känsliga personuppgifter är huvudsakligen hänförliga till uppgifter som kan hänföras till enskildas hälsa eller till sådana uppgifter om frihetsberövanden m.m. som avses i 21 § PUL. De kan därmed komma att bli tillämpliga även . 12 § Socialförsäkringsregister får genom sambearbetning tillföras 1. uppgifter från andra socialförsäkringsregister, och 2. uppgifter som lämnas till en allmän försäkringskassa, eller med stöd av en särskild bestämmelse i lag eller förordning om lämnande av uppgifter. Av föreskrifter i lag eller förordning kan följa att socialförsäkringsregister genom sambearbetning får tillföras uppgifter utöver vad som anges i första stycket. I paragrafen regleras när uppgifter genom sambearbetning får tillföras socialförsäkringsregister. Datalagens tillståndsbestämmelser har gett Datainspektionen en möjlighet att besluta om att personuppgifter får inhämtas från något annat personregister. En hänvisning till sådana beslut har därför funnits i andra stycket. Någon motsvarande tillståndsbestämmelse finns inte i personuppgiftslagen. Hänvisningen till Datainspektionens beslut har därför tagits bort. Personuppgiftsansvar 13 § Personuppgiftsansvariga för socialförsäkringsregister som förs gemensamt för och de allmänna försäkringskassorna är verket samt varje försäkringskassa när det gäller behandling av uppgifter hos den . För register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna är personuppgiftsansvarig. är personuppgiftsansvarig för socialförsäkringsregister som förs särskilt för myndigheten. är personuppgiftsansvarigt för socialförsäkringsregister som förs särskilt för verket. Datalagen innehöll bestämmelser om registeransvarig, vilka i stor utsträckning motsvarade vad som i PUL föreskrivs om personuppgiftsansvarig. I förevarande paragraf har begreppet registeransvarig ersatts med begreppet personuppgiftsansvarig. Även rubriken närmast före paragrafen har ändrats på motsvarande sätt. Utlämnande av uppgifter på medium för automatiserad behandling 17 § Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild bestämmelse i lag eller förordning får lämnas på medium för automatiserad behandling. I övrigt får uppgifter lämnas ut på medium för automatiserad behandling endast om sådant utlämningssätt följer av lag eller förordning eller om uppgiften skall användas för forskning eller framställning av statistik. I PUL används inte begreppet automatisk databehandling utan i stället uttrycket automatiserad behandling. Denna paragraf har anpassats härtill på så sätt att medium för automatisk databehandling tagits bort och ersatts med medium för automatiserad behandling. Rubriken närmast före denna paragraf har ändrats i överensstämmelse härmed. Liksom när det gäller 12 § har här hänvisningen till beslut av Datainspektionen tagits bort. Inte heller när det gäller utlämningssätt kommer Datainspektionen att fatta några beslut enligt personuppgiftslagen. 18 § Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om det behövs för 1. tillämpning av lag eller förordning eller särskilt beslut av regeringen, 2. rättelse, 3. tillsyn, uppföljning eller utvärdering, eller 4. urval för forskning eller framställning av statistik. Uppgifter som avses i 7 § andra stycket 8 och 9 får användas som sökbegrepp endast för rättelse och bara om felet inte kan rättas på annat sätt. I fråga om handlingar som avses i 11 § får endast ärendebeteckning och beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet regeringen bestämmer får föreskriva ytterligare begränsningar av användningen av uppgifter som sökbegrepp. Ändringen i andra stycket är endast redaktionell och följer av ändringarna i 7 § andra stycket. Information 20 § Vid tillämpningen av denna lag gäller bestämmelserna i 23 och 25-27 §§ personuppgiftslagen (1998:204) om information till den registrerade om inte annat följer av andra stycket. Beträffande register som förs gemensamt för och de allmänna försäkringskassorna skall informationen lämnas av . Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i information enligt 26 § personuppgiftslagen. Av informationen skall dock framgå vilka handlingar avseende den registrerade som finns i registret. Om den enskilde begär det och anger vilken handling som avses skall emellertid, om inte annat följer av bestämmelser om sekretess, information lämnas även om uppgifter i sådana handlingar som avses i 11 §. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Bestämmelserna i gäller även beträffande behandling som avses i SofrL, utom såvitt avser avlidna personer, om inga särskilda bestämmelser finns i denna lag. Eftersom både 20 och 21 §§ SofrL innehåller bestämmelser om information till enskilda har i första stycket tydliggjorts att även 23 och 25-27 §§ PUL gäller, med de undantag som anges i andra stycket. I första stycket har vidare "registerutdrag" som tidigare åsyftade registerutdrag enligt 10 § datalagen ändrats till "information" med syfte just på 23 och 25-27 §§ PUL. I andra stycket har hänvisningen till 10 § datalagen ändrats till 26 § PUL som avser information till enskilda efter ansökan. Tredje och fjärde meningarna är nya. I korthet innebär regleringen att bestämmelserna om information till enskilda i 23 och 25-27 §§ PUL i och för sig är tillämpliga men att det i fråga om s.k. elektroniska akter ges särskilda bestämmelser som avviker från regleringen i PUL. Information enligt 26 § PUL, vad gäller handlingar i elektroniska akter som avses i 11 § SofrL, begränsas på härvid samma sätt som gäller för registerutdrag enligt datalagen. Den enskilde ges emellertid möjlighet att få information även om uppgifter som behandlas i sådana handlingar om han eller hon särskilt begär det (se vidare avsnitt 5.4). 21 § Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall se till att den som är eller avses bli registrerad på lämpligt sätt får information om registret. Informationen skall innehålla en beskrivning av de uppgifter som registret får innehålla samt upplysning om 1. ändamålen med registret, 2. de sekretess- och säkerhetsbestämmelser som gäller för registret, 3. rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204), 4. rätten till rättelse enligt personuppgiftslagen och 21a § denna lag, samt 5. de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på medium för automatiserad behandling, sökbegrepp och bevarande av uppgifter som gäller för registret. I första stycket har begreppet registeransvarig ändrats till personuppgiftsansvarig. I andra stycket punkten 3 har hänvisningen till registerutdrag enligt datalagen ändrats till en hänvisning till rätt att ta del av uppgifter enligt personuppgiftslagen. Dessutom har bestämmelsen om rättelse förts över till en ny punkt, punkten 4. Hänvisningen till rätten för en enskild att erhålla rättelse avser därvid nu rätt enligt PUL samt enligt 21 a § denna lag. I den nya punkten 5 har "utlämnande av uppgifter på medium för automatisk databehandling" ändrats till "utlämnande av uppgifter på medium för automatiserad behandling". Rättelse och skadestånd 21 a § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag eller anslutande författningar. I 28 § personuppgiftslagen (1998:204), PUL finns bestämmelser om skyldighet för den som är personuppgiftsansvarig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med PUL eller föreskrifter som har utfärdats med stöd av lagen samt att underrätta tredje man därom. I förevarande paragraf, som är ny, anges att dessa bestämmelser också skall tillämpas om en personuppgift behandlats i strid med de mer preciserade reglerna i denna lag eller föreskrifter som har utfärdats med stöd av lagen. I 48 § PUL regleras den personuppgiftsansvariges skyldighet att ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. I denna paragraf ges även motsvarande reglering vad avser skadeståndsansvar för en personuppgiftsansvarig för skada och kränkning orsakad av behandling av en personuppgift i strid med SofrL. Överklagande 21 b § En myndighets beslut om rättelse och om information som skall lämnas enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. Många beslut som fattas inom socialförsäkringens administration och verksamhet och som gäller behandling av personuppgifter enligt denna lag är interna eller administrativa. Enskilda berörs dock direkt av myndigheternas beslut om rättelse och information. Talan mot sådana beslut förs vid allmän förvaltningsdomstol. Denna lag träder i kraft . I denna punkt anges tidpunkten för lagens ikraftträdande. Lagen träder i kraft som datalagen fullt ut ersätts av PUL, dvs. när även kommer att gälla behandling av personuppgifter som har påbörjats före . Beträffande personregister som avses i 1 § andra stycket andra meningen skall, i fråga om sådan behandling som avses i punkt 3 i övergångsbestämmelserna till personuppgiftslagen (1998:204), bestämmelserna i 7-11 §§ denna lag inte börja tillämpas förrän . Av artikel 32 i dataskyddsdirektivet följer bl.a. att bestämmelser om grundläggande krav på behandling av personuppgifter och när sådan behandling är tillåten inte behöver tillämpas förrän på sådana uppgifter som redan fanns i register före . I PUL har därför införts en särskild övergångsbestämmelse (punkten 3) avseende behandling av personuppgifter. Denna bestämmelse innebär att de bestämmelser i som anger de grundläggande kraven på behandling av personuppgifter och när sådan behandling är tillåten respektive förbjuden, inte tillämpas förrän , i fråga om sådan behandling som utförs för ett visst bestämt ändamål om behandling för ändamålet påbörjats före . Den här föreslagna bestämmelsen i punkten 2 överensstämmer i stort sett med övergångsbestämmelsen i PUL. Detta innebär att övergångsbestämmelsen i förevarande lag gäller för register som inrättats före .