prop · GO0380 · 2001-01-01 00:00:00 — Skälen för regeringens förslag: Enligt personuppgiftslagen gäller att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Tanken är att den personuppgiftsansvarige själv, redan när uppgifterna samlas in, skall ange särskilda ändamål för sin behandling av personuppgifterna. Dessa ändamål sätter sedan gränser för hur uppgifterna får behandlas. Personuppgiftslagen innehåller vidare en uppräkning av när behandling av personuppgifter är tillåten. Det är bl.a. tillåtet att behandla personuppgifter efter den registrerades samtycke. I vissa fall får personuppgifter behandlas trots att samtycke från den registrerade saknas. En förutsättning i samtliga fall är att behandlingen är nödvändig för ändamålen. Det finns ett allmänintresse att verksamhet bedrivs effektivt och säkert. Även med beaktande av den enskildes krav på integritet bör personuppgifter få behandlas i verksamheten utan att den som uppgiften avser har gett sitt samtycke. Behandling av personuppgifter inom område är integritetskänsliga i de flesta fall. Behandling kommer därutöver att omfatta även särskilt känsliga uppgifter, t.ex. uppgifter om lagöverträdelser och frihetsberövanden. För att bibehålla förtroendet för en sådan behandling är det viktigt att grundläggande krav ställs på behandlingen och att den tillgodoser den enskildes integritetsskydd. För att uppnå ett tillräckligt integritetsskydd för den enskilde anser flera remissinstanser att ändamålen för behandling av uppgifter bör preciseras eller åtminstone exemplifieras. Det kan därför finnas skäl att närmare diskutera olika alternativ. I det följande redovisas kortfattat de modeller för ändamålsbestämning som utredningen lagt fram i betänkandet. modeller för ändamålsbestämning Den första modell som utredningen har diskuterat innebär att det i en ändamålsbestämmelse anges endast ett ändamål. Enligt utredningen skulle en sådan bestämmelse med nödvändighet bli ganska vid till sin utformning, eftersom det inte är möjligt att i en ändamålsbestämmelse, av det slag som Datainspektionen har meddelat i sina tillståndsbeslut, fånga en verksamhet som är så omfattande och mångskiftande som . Ändamålsbestämmelsen skulle kunna utformas så att den innebär att personuppgifter får behandlas för att en arbetsuppgift inom skall kunna utföras. Enligt utredningen är fördelarna med en sådan lösning att personuppgifterna samlas in och att de sedan kan - i den mån sekretess inte lägger hinder i vägen - flöda fritt inom och används för alla de skilda arbetsuppgifter som förekommer där. Detta innebär inte något negativt för den enskilde eftersom det i en och samma akt redan finns uppgifter som rör olika delar av socialtjänstverksamheten (till skillnad från vad som är fallet vid nästan all annan offentlig handläggning är hanteringen inom uppbyggd efter person i stället för ärende). En ändamålsbestämmelse som är något lite vidare till sin utformning blir, enligt utredningen också mer flexibel och hindrar eller försvårar inte en förändring av verksamheten. En nackdel med att ha alltför preciserade ändamålsbestämmelser är, enligt utredningen, dock att det finns en risk för att vissa arbetsuppgifter inte kan utföras, eftersom de inte går att föra in under en ändamålsbestämmelse. Det är även mycket tveksamt om en sådan ändamålsbestämmelse uppfyller EG-direktivets och personuppgiftslagens krav på att ändamålen skall vara särskilda. En annan fråga är om det från integritetssynpunkt är godtagbart att den stora mängd personuppgifter som finns och kommer att finnas inom utan hinder av lagen kan flöda så fritt inom som skulle bli fallet om ändamålet utformades på det sätt som diskuteras. Enligt utredningen torde detta kunna avhjälpas genom interna föreskrifter. Men sekretesslagen ställer dock vissa hinder i vägen mot utlämnande och det finns även annan lagstiftning som begränsar fritt flöde av uppgifter. Enligt utredningen är den kanske mest allvarliga invändningen som kan riktas mot den nu diskuterade modellen emellertid att den registrerade skulle ha mycket svårt att bilda sig en uppfattning om i vilka sammanhang uppgifter som samlas in beträffande honom eller henne kan användas. Den enda information som den registrerade skulle få om man angav ändamålet på det sätt som diskuteras, är att de personuppgifter som samlas in får behandlas för att en arbetsuppgift inom - vilken som helst - skall kunna utföras. Så snart en arbetsuppgift inom - en verksamhet som spänner över ett mycket stort område - behöver utföras skulle uppgifterna således kunna användas. Vid en samlad bedömning anser därför utredningen att det - även om det skulle innebära vissa fördelar - inte är någon framkomlig väg att i lagen ange endast ett ändamål för behandlingen av personuppgifter inom . I en andra modell som utredningen har diskuterat anges det flera särskilda ändamål för när personuppgifter får behandlas inom . Denna uppräkning är tänkt att vara uttömmande. Enligt utredningen är den största fördelen med en sådan modell att den enskilde, genom att det är angivet flera olika preciserade ändamål, skulle få en bättre och klarare uppfattning om i vilka sammanhang insamlade personuppgifter beträffande honom kan användas. Enligt utredningen kan dock samma kritik som i den första modellen i allt väsentligt riktas mot denna bestämmelse. Eftersom det är svårt att förutse för vilka ändamål personuppgifter kan behöva behandlas inom , beroende på att det är fråga om en mycket bred verksamhet, har ändamålsbestämmelsen - för att inget ändamål skall falla utanför - fått en förhållandevis allmän utformning. Det finns, enligt utredningen, även med denna modell en viss risk för att den inte uppfyller EG-direktivets och personuppgiftslagens krav på att ändamålen skall vara särskilda. Vidare menar utredningen framstår en sådan ändamålsbestämmelse för den registrerade som föga upplysande. Den ger knappast den enskilde mer information om vad insamlade personuppgifter kan användas till än den tidigare diskuterade modellen. En möjlighet att lösa detta menar utredningen vore att göra ändamålen mer preciserade än som redovisats. Utredningen bedömer dock att en sådan lista över olika ändamål skulle bli mycket lång och att det ändå skulle kvarstå en risk för att ett angeläget ändamål inte tagits med i den uttömmande uppräkningen. Dessutom anger utredningen att ändamålen även skulle behöva utformas på olika sätt beroende på hur verksamheten är organiserad i det enskilda fallet, t.ex. i en kommun. Enligt utredningens uppfattning är nackdelarna även med denna modell alltför stora för att den skall kunna användas. Istället förordar utredningen en tredje modell enligt vilken det överlåts på den personuppgiftsansvarige att ange de särskilda ändamål för behandlingen som just denne vill uppnå. Enligt utredningen är det viktigt att en författningsreglering, som anger under vilka förutsättningar personuppgifter skall få behandlas, datoriserat eller manuellt i register inom , inte innebär sådana begränsningar att det går ut över effektiviteten och behovet av flexibilitet. Modellen medför att den personuppgiftsansvarige skräddarsyr ändamålen så att de passar den aktuella verksamheten och hur den är organiserad. Personuppgifter inom kan även behandlas för andra ändamål, under förutsättning att dessa nya ändamål inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen samlades in. Mot modellen kan, anser utredningen, invändas att den i ett avseende måhända inte utgör ett tillräckligt skydd för den personliga integriteten. Utredningen menar dock att denna farhåga inte bör överdrivas. I första hand är naturligtvis utfallet av denna "oförenlighetsprövning" beroende av hur pass preciserat det ursprungliga ändamålet är. Vid en sådan prövning blir det fråga om en tillämpning av bestämmelsen i 9 § första stycket d personuppgiftslagen och utrymmet för att behandla redan insamlade personuppgifter för andra ändamål blir följaktligen litet. Utredningen framhåller särskilt att det är den modell man faktiskt enats om inom EU och att de personuppgiftsansvariga har ett EG-rättsligt grundat anspråk på att få använda personuppgifter för alla tillåtna ändamål som inte är oförenliga med de ursprungliga. Vidare utgör redan det förhållandet, att denna oförenlighetsprövning måste göras, ett skydd för integriteten. Alternativet är ju att ange ett enda mycket brett ändamål. För att personuppgifter inom inte skall kunna samlas in för vilka ändamål som helst bör dock, enligt utredningen, i lagen anges en yttersta ram inom vilken de särskilda, uttryckligt angivna ändamålen måste hålla sig. Endast sådana ändamål kan anses som berättigade. Slutsats För att tillgodose den enskildes integritet bör denne ges en så klar uppfattning som möjligt om i vilka sammanhang insamlade personuppgifter rörande honom/henne kan användas. Ändamålen bör vara så preciserade att förhållandena utgör ett tillräckligt skydd för den personliga integriteten som de inte utgör ett hinder vid förändring av verksamheten. Lagrådet har uttryckt att lagen saknar en föreskrift om ändamålet med personuppgiftsbehandlingen, vilket får anses vara en brist. Enligt regeringens mening blir det emellertid ohanterligt att ange ändamålen direkt i lagen - på sätt som också gett uttryck för i redovisningen ovan av olika tänkbara modeller. I likhet med utredningen anser regeringen att det är tillräckligt att det föreskrivs i lagen om att personuppgifter får behandlas bara om behandling är nödvändig för att arbetsuppgifter inom skall kunna utföras. Regeringen eller den myndighet regeringen bestämmer ges därutöver rätt att meddela föreskrifter om de begränsningar som är nödvändiga i detta hänseende. En sådan lösning är mer flexibel och ställer inte hinder i vägen eller försvårar en förändrad verksamhet. I den föreslagna lagen föreskrivs vidare att lagen - liksom är fallet enligt personuppgiftslagen - inte hindrar att personuppgifter lämnas ut om det följer av lag eller förordning. Det finns en rad författningar/föreskrifter som innebär att myndigheter eller enskilda får eller skall lämna ut uppgifter. När bestämmelser om sådant uppgiftslämnande har införts får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken avvägning man funnit att uppgiften bör lämnas ut. Enligt regeringens mening saknas det därför anledning att i en integritetsskyddslagstiftning, som den nu föreslagna, särskilt reglera dessa fall av redan författningsreglerat uppgiftslämnande. 13.5 Kategorier av personuppgifter Regeringens förslag: Samtliga kategorier av personuppgifter kommer att få behandlas inom . En särskild bestämmelse införs i lagen för att tillåta hanteringen av vissa känsliga personuppgifter m.m. Regeringen får meddela föreskrifter om i vilka fall personuppgifter får överföras till tredje land. förslag överensstämmer i stort med regeringens förslag. Remissinstanserna: De remissinstanser som yttrat sig är överlag positiva till förslaget. Kammarrätten i och Datainspektionen anger att känsliga uppgifter om enskilds politiska åsikter inte bör behandlas. Skälen för regeringens förslag: Enligt regeringens mening skulle det vara en fördel om det direkt i lag på ett konkret sätt kunde anges vilka personuppgifter som får behandlas inom . I praktiken handlar det emellertid om en mycket omfattande och mångskiftande verksamhet och behov av att behandla ett synnerligen stort antal olika personuppgifter, som när det gäller graden av integritetskänslighet varierar i stor utsträckning. En reglering skulle antingen innebära stora risker för att socialtjänstarbetet försvårades eller - om listan över vilka uppgifter som fick behandlas gjordes mycket omfattande - knappast medföra några vinster från integritetssynpunkt. Såvitt gäller ärendehandläggning i en verksamhet som socialtjänst kan konstateras att en sådan väg att uppnå ett integritetsskydd är den som mest försvårar ett rationellt utnyttjande av informationstekniken i verksamheten. Enligt regeringens mening bör det därför inte införas några begränsningar när det gäller vilka kategorier av personuppgifter som bör få behandlas. Det bör dock understrykas att skall iaktta försiktighet vid behandlingen av personuppgifter, varför det har ansetts motiverat att ta in en erinran om detta i lagen som bygger på 9 § första stycket e och f personuppgiftslagen. Behandlingen av vissa kategorier av personuppgifter, närmare bestämt känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. samt överföring av personuppgifter till tredje land har reglerats restriktivt i personuppgiftslagen (1998:204). Även uppgifter om personnummer och samordningsnummer har reglerats särskilt. Person- och samordningsnummer Enligt personuppgiftslagen får person- och samordningsnummer som huvudregel behandlas endast om samtycke lämnats (22 §). Sådana uppgifter får dock behandlas även när det är klart motiverat med hänsyn till a) ändamålet med behandlingen, b) vikten av en säker identifiering, eller c) något annat beaktansvärt skäl. I syfte att få en säker identifiering finns det inom behov av att regelmässigt behandla uppgifter om person- och samordningsnummer. Känsliga personuppgifter I personuppgiftslagen finns ett principiellt förbud mot att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller som rör hälsa eller sexualliv (13 §). Uppgifter av den angivna arten betecknas i lagen som känsliga personuppgifter. Det finns - för att skall kunna klara sina uppgifter - ett behov av att behandla även personuppgifter som är känsliga i personuppgiftslagens mening. Sådana uppgifter bör enligt regeringens mening få behandlas. Att skall kunna utföra sina arbetsuppgifter på ett tillfredsställande sätt är ett viktigt allmänt intresse. Datainspektionen och Kammarrätten i har uttryckt att känsliga personuppgifter av politisk natur generellt bör undantas. Lagrådet har påpekat att det kan förekomma fall där behandling av personuppgifter som avslöjar sådana uppgifter framstår som klart motiverat även inom . Som exempel har Lagrådet framhållit ungdomar som bl.a. på grund av sina politiska åsikter ägnar sig åt kriminalitet eller annat beteende som föranleder att socialnämnden skall ta sig an dem eller att det bland invandrare från ett land finns grupper som är starkt politiskt fientliga mot varandra och där socialnämnden behöver veta vilken gruppering en viss individ tillhör för att undvika att personen placeras tillsammans med politiska motståndare och riskerar att råka illa ut. Regeringen konstaterar att de exempel som Lagrådet fört fram visar att det kan finnas fog för att behandla även uppgifter av sådan karaktär i ett ärende inom . Naturligtvis bör det inte ske slentrianmässigt. Enligt regeringens mening bör sådana uppgifter behandlas i ett ärende i första hand i det fall det har särskild betydelse för att garantera framför allt ungdom en nödvändig vård- eller behandlingsinsats. Brott, domar i brottmål m.m. I personuppgiftslagen ges ett förbud för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden (21 §). Som exempel på administrativa frihetsberövanden nämns i förarbetena (proposition 1997/98:44 s. 76) tvångsingripanden enligt lagen (1990:52) med särskilda bestämmelser om vård av unga och lagen (1988:870) om vård av missbrukare i vissa fall. Eftersom det uppenbarligen finns ett behov inom av att låta såväl myndigheter som andra än myndigheter behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden, bör lagen tillåta att även sådana uppgifter får behandlas generellt inom . Det bör dock särskilt framhållas att de personuppgifter som behandlas enligt dessa bestämmelser skall vara nödvändiga med hänsyn till den behandling som är tillåten. Ett särskilt stycke om detta tas därför in i den föreslagna lagen i anslutning till bestämmelsen som anger vilka personuppgifter som får behandlas. Tredje land I personuppgiftslagen finns vidare en bestämmelse om att förbud mot överföring av personuppgifter till tredje land (33-35 §§). Med tredje land förstås en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Detta förbud är emellertid inte undantagslöst. I personuppgiftslagen finns en uppräkning av i vilka fall det är tillåtet att föra över personuppgifter till tredje land. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Enligt regeringens mening bör det även göras möjligt att inom föra över personuppgifter till tredje land. Sådana behov kan t.ex. finnas i ett faderskapsmål. Regeringen bör därför ges rätt att meddela föreskrifter om när personuppgifter får föras över till tredje land. 13.6 Personuppgiftsansvar Regeringens förslag: Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vem eller vilka som är personuppgiftsansvariga för behandling av personuppgifter. förslag: Utredningen föreslår att den personuppgiftsansvarige för viss behandling av personuppgifter skall avgöras efter en tillämpning av bestämmelserna i personuppgiftslagen (1998:204). Enligt utredningens mening behövs det inte någon lagregel härom. Remissinstanserna: Några remissinstanser har avstyrkt förslaget och menar att den personuppgiftsansvarige bör anges i lagen. kommun, och kommun har uttryckt behov av metoder för hanteringen och att man bör göra kontinuerliga uppföljningar. Skälen för regeringens förslag: Enligt definitionen i 3 § personuppgiftslagen (1998:204) är den personuppgiftsansvarige den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Av definitionen följer att personuppgiftsansvaret kan delas av flera. Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandlingen av personuppgifter iakttas. Vidare innebär personuppgiftsansvaret en skyldighet att lämna information till den registrerade (23-27 §§), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 § ), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §), att - enligt huvudregeln i 36 § - anmäla all automatiserad behandling av personuppgifter till Datainspektionen, samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). I särlagstiftningen som är knuten till personuppgiftslagen finns det exempel dels på att det direkt i författningen angetts vem som är personuppgiftsansvarig, dels på att frågan om personuppgiftsansvaret inte berörts. Båda varianter förekommer således. Den sistnämnda lösningen innebär att personuppgiftslagens regler gäller och att frågan om vem som är personuppgiftsansvarig får avgöras genom en tillämpning av den lagen. Enligt regeringens uppfattning ter det sig inte lämpligt att, i en lagstiftning som omfattar ett så stort verksamhetsfält som och som berör så många olika aktörer, direkt i lag reglera personuppgiftsansvaret. Ett lämpligare sätt att begränsa och synliggöra den krets som kan komma i fråga är att i en förordning eller i föreskrifter närmare upplysa om vem eller vilka som faktiskt bestämmer vilken behandling som är tillåten och medlen för behandlingen av personuppgifter. 13.7 Sökbegrepp Regeringens förslag: Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om begränsningar i sökmöjligheterna för särskilt känsliga personuppgifter. förslag: Utredningen föreslår inte någon särskild begränsning i sökmöjligheterna. Bestämmelserna i sekretesslagen (1980:100), personuppgiftslagen (1998:204) och socialtjänstlagen (1980:620) bedöms utgöra ett tillräckligt integritetsskydd för den enskilde. Remissinstanserna: Hovrätten för , Kammarrätten i och Datainspektion avstyrker förslaget och menar att begränsning av sökmöjligheterna bör göras generellt i lag eller förordning. Datainspektionen anser att begränsning bör göras åtminstone för känsliga personuppgifter. Skälen för regeringens förslag: En myndighets möjligheter - och därmed allmänhetens - att få tillgång till sammanställningar av sådana uppgifter som finns i myndighetens ADB-system kan underkastas såväl tekniska som rättsliga begränsningar. När det gäller personregister följer av 2 kap. 3 § andra stycket tryckfrihetsförordningen att en myndighets befogenhet att göra upptagningar tillgängliga för egen räkning kan begränsas genom lag, förordning eller särskilda beslut, som grundar sig på lag. Rättsliga begränsningar av detta slag kan ske genom föreskrifter om användningen av s.k. sökbegrepp i personregister. Om inga begränsningar görs av sökbegreppen i ett personregister, följer av offentlighetsprincipen att en myndighet måste använda sig av alla till buds stående sökmöjligheter när någon begär uppgifter ur myndighetens ADB-register. Det finns i ett antal olika författningar exempel på att användningen av sökbegrepp har begränsats. Sådana begränsningar finns t.ex. i 18 § socialförsäkringsregisterlagen (1997:934), i 7 § lagen (1998:544) om vårdregister och i 14 § lagen (1998:938) om behandling av personuppgifter om totalförsvarspliktiga. Även lagstiftning som har anpassats till regleringen i personuppgiftslagen, vilket är fallet med de båda sistnämnda författningarna, innehåller sålunda begränsningar beträffande vilka sökbegrepp som får användas. Vanligen omfattar en sådan begränsning uppgifter som anses som särskilt känsliga från integritetssynpunkt. Som tidigare framhållits anser regeringen att det inte är möjligt att i lagen ange några begränsningar när det gäller vilka kategorier av personuppgifter som bör få behandlas inom . Det ligger i sakens natur att många av dessa personuppgifter kommer att vara av integritetskänslig natur, t.ex. kommer det att finnas uppgifter om utbetalda socialbidrag, missbruk och andra sociala problem. Uppgifter om sjukdomar kan också förekomma. Vidare kan man anta att användningen av elektronisk akthantering inom kommer att öka i omfattning, vilket - med de möjligheter tekniken innebär - ger i princip obegränsade möjligheter att söka information. Detta förhållande talar för att användningen av sökbegrepp av integritetshänsyn bör begränsas i något avseende, dvs. att det inte blir möjligt att söka uppgifter eller göra sammanställningar efter eget gottfinnande. Sökordsbegränsningen bör därför inriktas på de mest känsliga personuppgifterna enligt personuppgiftslagens mening. Regeringen eller den myndighet regeringen bestämmer bör därför ges rätt att meddela föreskrifter om begränsning av sökmöjligheterna i detta avseende. Regeringen utgår även från att den personuppgiftsansvariga utformar de tekniska systemen så att endast behöriga personer kan göra sökningar samt att det finns behörighetskontrollsystem. Det skall i efterhand gå att fastställa vilka personer som har tagit del av informationen (loggning). Den enskilde handläggarens sökmöjligheter borde kunna begränsas mycket kraftigt. Den personkrets som arbetar med uppföljning, utvärdering, kvalitetssäkring, forskning och framställning av statistik borde kunna begränsas till vad som är ytterst nödvändigt. 13.8 Samkörning Regeringens förslag: Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om villkoren för samkörning.