prop · GO0380 · 2001-01-01 00:00:00 — förslag: Utredningen föreslår inte någon särskild bestämmelse som tillåter eller förbjuder att uppgifter som finns inom samkörs. Remissinstanserna har i stort inte yttrat sig i denna fråga. Skälen för regeringens förslag: Enligt personuppgiftslagen (1998:204), som innebär ett tillståndslöst system, är samkörning tillåten så länge behandlingen är förenlig med det ändamål för vilka personuppgifterna ursprungligen samlades in. Vidare måste behandlingen - samkörningen - för det nya ändamålet, liksom behandlingen för de ursprungliga ändamålen, kunna hänföras under något av de tillåtna fall av behandling som anges i 10 § personuppgiftslagen och, om känsliga personuppgifter skall behandlas, dessutom vara tillåten enligt 13-20 §§ samma lag. Sekretessbestämmelser och bestämmelsen i nuvarande 59 § socialtjänstlagen (1980:620) kan också hindra att uppgifter samkörs. Möjligheterna att samköra personregister är en vanlig anledning till den oro som enskilda kan känna inför behandling av känsliga uppgifter. En sådan oro kan uppstå trots det skydd som sekretesslagen (1980:100) och socialtjänstlagen ger. Samkörning bör med hänsyn till de vidgade möjligheterna att nyttja insamlade data inte förbjudas, men inhämtande av uppgifter från andra register som hanterar personuppgifter bör dock begränsas när den enskildes integritet kan påverkas negativt. Eftersom saken i hög grad kommer att anknyta till begränsning av den tillåtna behandlingen, som kommer att regleras i en förordning eller i föreskrifter, bör även villkoren för samkörning få meddelas i sådan form. 13.9 Utlämnande av personuppgifter på medium för automatiserad behandling Regeringens bedömning: Någon regel som tillåter att personuppgifter inom får lämnas ut på medium för automatiserad behandling bör inte införas. bedömning överensstämmer med regeringens. Remissinstanserna har inte yttrat sig i frågan. Skälen för regeringens bedömning: Enligt personuppgiftslagen (1998:204) behövs inte tillstånd för att behandla - t.ex. registrera - personuppgifter. Om inget annat har föreskrivits får personuppgifter - under förutsättning att utlämnandet (behandlingen) är tillåten enligt personuppgiftslagen och eventuellt anslutande speciallagstiftning - lämnas ut på vilket medium som helst, även på medium för automatiserad behandling. Bestämmelser om sekretess kan dock hindra att uppgifterna över huvud taget får lämnas ut. I vissa fall, t.ex. i nuvarande 64 § socialtjänstlagen (1980:620), finns särskilda bestämmelser om utlämnande av personuppgifter som tar över personuppgiftslagens bestämmelser. Följaktligen behövs ingen regel som tillåter att personuppgifter inom får lämnas ut på medium för automatiserad behandling. Inte heller finns det från integritetssynpunkt tillräckliga skäl för att i lagstiftningen förbjuda att personuppgifter inom lämnas ut på ett sådant medium. 13.10 Direktåtkomst Regeringens förslag: Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter om vilka som skall få ha direktåtkomst till personuppgifter som behandlas automatiserat inom . förslag: Utredningen föreslår inte någon regel som begränsar åtkomsten till personuppgifter som behandlas automatiserat inom utan anser att bestämmelserna i sekretesslagen (1980:100) och personuppgiftslagen (1998:204) ger ett tillräckligt skydd. Remissinstanserna: De flesta remissinstanser har inte yttrat sig i frågan. Hovrätten för anser att generella regler härom bör föras in i lag eller förordning. Datainspektionen anger att åtkomsten bör begränsas åtminstone för de institutioner för vilka ansvarar. Skälen för regeringens förslag: De sekretessbestämmelser som gäller vid behandling av personuppgifter inom innebär, oavsett om det är fråga att lämna ut uppgifter på papper eller om det rör sig om direktåtkomst, ett mycket starkt skydd för personuppgifterna. Vidare innebär personuppgiftslagens regler om att personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen, samt att inte fler personuppgifter får behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen (9 § första stycket d, e och f), ett ytterligare skydd för personuppgifterna. Även detta gäller oavsett på vilket medium uppgifterna tas fram. I den särlagstiftning som är knuten till personuppgiftslagen har direktåtkomsten preciserats, antingen direkt i lag eller i förordning. Regeringen anser att det finns skäl för en regel som innebär att direktåtkomsten till personuppgifter som behandlas automatiserat inom begränsas. Starka integritetsskäl talar också för detta. Som tidigare nämnts spänner inom ett vitt område och hanterar en ansenlig mängd känsliga personuppgifter. Ett riktmärke bör vara att åtkomsten begränsas till att avse uppgifter som behövs för handläggningen av ett ärende inom . Det finns uppgifter vilka myndigheterna inte har något eller mycket lite behov att få del av. Enligt regeringens mening bör en begränsning av direktåtkomsten kopplas till de områden där den tillåtna behandlingen begränsas och endast förekomma när det finns starka effektivitetsskäl som talar för det. Eftersom begränsningar av den tillåtna behandlingen kommer att regleras i förordning, bör regeringen eller den myndighet regeringen bestämmer även ges rätt att meddela föreskrifter om direktåtkomst till personuppgifterna. 13.11 Information Regeringens bedömning: Personuppgiftslagens (1998:204) bestämmelser om den personuppgiftsansvariges informationsplikt bör gälla även när personuppgifter behandlas inom . bedömning överensstämmer med regeringens utom i den del det gäller att regler om dokumentation som finns bl.a. i socialtjänstlagen (1980:620) utgör ett sådant undantag från informationsskyldigheten som avses i personuppgiftslagen. Remissinstanserna: Flertalet remissinstanser har inte yttrat sig i frågan. ombudsmän () anser att förvaltningslagen (1986:223) inte kan användas för att generellt tillämpa undantaget i personuppgiftslagen (1998:204) beträffande verksamhet enligt lagen (1993:387) om stöd och service till vissa funktionshindrade/LSS. Datainspektionen anser att information alltid ska lämnas om behandling av personuppgifter och tillstyrker att även tredje man bör informeras. Skälen för regeringens bedömning: I 23-27 §§ personuppgiftslagen (1998:204) finns bestämmelser om information som den personuppgiftsansvarige skall lämna till den registrerade. Dessa bestämmelser har sin motsvarighet i EG-direktivet. Personuppgiftslagen går i detta avseende inte längre än vad direktivet kräver. Enligt regeringens förslag skall personuppgifter inom få behandlas oavsett vilken inställning den enskilde har till att uppgifterna blir behandlade. Mot bakgrund härav är det ur integritetssynpunkt angeläget att den enskilde får information om att personuppgifterna behandlas, syftet med behandlingen, vad för slags uppgifter som behandlas, vem som är personuppgiftsansvarig för behandlingen och vilka rättigheter den enskilde har i anledning av behandlingen. Information är även viktig för att skapa en nödvändig grund för allmänhetens förtroende för behandlingen. Enligt regeringens mening finns det inget behov av att i detta sammanhang utvidga informationsskyldigheten utöver vad som följer av personuppgiftslagen. Några ytterligare inskränkningar i densamma kan man inte göra. När personuppgifter behandlas inom har man således att utgå från personuppgiftslagens bestämmelser om information. I sammanhanget kan nämnas att det åvilar den personuppgiftsansvarige att skapa rutiner som garanterar att informationsskyldigheten fullgörs. Följande genomgång av personuppgiftslagens regler om information och dess tillämplighet på område är inte avsedd att vara heltäckande, men kan ge vägledning i tillämpningen. Information skall lämnas självmant När uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband med insamlandet självmant lämna den registrerade information om behandlingen av uppgifterna (23 § personuppgiftslagen). Från denna informationsskyldighet har inte föreskrivits något uttryckligt undantag. I praktiken torde informationen kunna lämnas t.ex. i en broschyr som lämnas till den registrerade eller på den blankett där denne lämnar sina uppgifter. Denna informationsskyldighet torde knappast förorsaka något större arbete eller innebära några särskilda svårigheter. Mer problematiskt kan det naturligtvis bli i de sannolikt ofta förekommande situationer där uppgifterna samlas in från annan än den registrerade. Enligt regleringen i personuppgiftslagen skall information i sådana fall lämnas i princip när uppgifterna registreras (24 § första stycket). Denna regel är emellertid försedd med några undantag. Undantag från informationsskyldigheten Information behöver inte lämnas om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifter i en lag eller någon annan författning (24 § andra stycket personuppgiftslagen). Utredningen har dragit den slutsatsen att de regler om dokumentation som finns i 15 § förvaltningslagen (1986:223), 51 § socialtjänstlagen (1980:620), i 14 § socialtjänstförordningen (1981:750) och i 6 § förordningen (1998:641) om verkställighet av sluten ungdomsvård utgör sådana särskilda bestämmelser som avses med undantaget. Enligt regeringens mening är det emellertid inte sådana allmänna bestämmelser som man i första hand avser i 24 § andra stycket. De bestämmelser som avses torde behöva vara mer preciserade, t.ex. i form av sådan särlagstiftning som den regeringen nu föreslår. Eftersom regeringens avsikt är att denna lag och till den hörande förordning på området kommer att innehålla sådana bestämmelser som personuppgiftslagen avser kommer det att finnas ett betydande utrymme för att på den grunden underlåta att lämna information i samband med att uppgifterna registreras. Det bör emellertid framhållas att avsikten inte är att de uppgifter som registreras skall undanhållas den registrerade. Denne kommer förr eller senare att få del av uppgifterna men då med stöd av andra bestämmelser, t.ex. socialtjänstlagens regel om att den enskilde bör hållas underrättad om de journalanteckningar och andra anteckningar som förs om honom (52 §), 15 § förvaltningslagen (1986:223) eller då han eller hon ansöker om information enligt 26 § personuppgiftslagen. Undantaget innebär emellertid att befrias från bördan att lämna information till den registrerade om förhållanden som har att göra med att uppgifterna behandlas. Information behöver inte heller lämnas när uppgifter samlats in från en annan källa än den registrerade, om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats (24 § tredje stycket personuppgiftslagen). Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock informationen lämnas senast i samband med att så sker. När det gäller behandling av personuppgifter inom torde dock detta undantag endast mera sällan komma att tillämpas. Dock att det kan få en viss betydelse i de situationer där personuppgifter inom antecknas om andra personer än den som är föremål för åtgärd. Något som lär förekomma i en inte obetydlig utsträckning, det kan t.ex. röra sig om uppgifter om anhöriga, kontaktpersoner m.fl. Enligt regeringens mening kan det inte anses tillåtet att göra ytterligare undantag från informationsskyldigheten. I de allra flesta fall kan man förmodligen underlåta att lämna information med hänvisning till den nu föreslagna lagen och till den hörande förordning. Det är också möjligt att åberopa undantaget i 24 § tredje stycket personuppgiftslagen. Särskilt om tredje man Beträffande den som i informationshänseende kan betraktas som "tredje man" bör man kunna hävda att så länge det är fråga om ett fåtal harmlösa personuppgifter bör en avvägning göras om den registrerades intresse av att bli informerad står i någon rimlig proportion till den arbetsinsats som krävs för att kunna lämna information. Den personuppgiftsansvarige måste i varje enskilt fall göra en bedömning av hur stort intresset är av att informera. Det kan ju inte uteslutas att de uppgifter som antecknats om "tredje man" är så pass integritetskänsliga eller så pass omfattande att det framstår som högst motiverat att vederbörande informeras om att dessa uppgifter samlats in. Eftersom "tredje man" kanske inte känner till att personuppgifter om honom eller henne behandlas och därför inte på samma sätt kan bevaka sin rätt bör det inte var lämpligt att helt undanta "tredje man" från kravet på information i 24 § personuppgiftslagen. Under förutsättning att personuppgiftslagens bestämmelser om information tillämpas på ett rimligt och förnuftigt sätt behöver de inte försvåra eller hindra från att arbeta på ett rationellt sätt. En sådan tolkning av undantagsbestämmelsen i 24 § tredje stycket personuppgiftslagen kan enligt regeringens mening vara godtagbar från integritetssynpunkt. Det bör alltså inte - annat än om någon sekretessbestämmelse kan åberopas - bli fråga om att dölja för den enskilde att vissa uppgifter som gäller denne eller dennes förhållanden har samlats in. En avvägning får dock göras från fall till fall. Förhållandet innebär att - vid tvist om undantaget är tillämpligt - bevisbördan torde ligga på den personuppgiftsansvarige, en viss spärr mot en alltför generös tillämpning av undantagsbestämmelsen. Den som avstår från att lämna information löper således en viss risk att bli skadeståndsskyldig gentemot den registrerade. Andra undantag från informationsskyldigheten Ytterligare ett undantag i personuppgiftslagen från informationsskyldighet återfinns i 27 § personuppgiftslagen. Information behöver inte lämnas i den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att uppgifter inte får lämnas ut till den registrerade. En personuppgiftsansvarig som inte är en myndighet får därför i motsvarande fall som avses i sekretesslagen (1980:100) vägra att lämna ut uppgifter till den registrerade. Bestämmelser om sekretess och tystnadsplikt gäller således alltid före skyldigheten att lämna information. hindrar bestämmelser om sekretess och tystnadsplikt att någon får reda på uppgifter om sig själv, t.ex. 7 kap. 6 § sekretesslagen (paragrafen innehåller bestämmelser till skydd för den som lämnar uppgifter till bl.a. socialvårdsmyndigheter om andras förhållanden). Slutligen kan nämnas att information inte behöver lämnas om sådant som den registrerade redan känner till (25 § andra stycket personuppgiftslagen). Det förhållandet att - vid tvist om undantaget är tillämpligt - bevisbördan torde ligga på den personuppgiftsansvarige, innebär en viss spärr mot en alltför generös tillämpning av undantagsbestämmelsen. Information efter ansökan Vilken information som skall lämnas efter ansökan regleras i 26 § första stycket personuppgiftslagen. Denna bestämmelse är självfallet tillämpbar även inom . Där sägs att skriftlig information skall lämnas om a) vilka uppgifter om den sökande som behandlas, b) varifrån dessa uppgifter har hämtats, c) ändamålen med behandlingen, och d) till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Informationen om vilka personuppgifter som behandlas skall, enligt EG-direktivet, vara begriplig för den registrerade. När det gäller information om varifrån uppgifterna kommer, behöver den personuppgiftsansvarige bara lämna all den information som finns tillgänglig för honom eller henne. Den personuppgiftsansvarige behöver således inte hålla reda på varifrån uppgifterna har hämtats, men vet han eller hon det när den registrerade begär information skall det uppges (prop. 1997/98:44 s. 81 f.). Skyldigheten att lämna uppgifter enligt 26 § personuppgiftslagen omfattar samtliga personuppgifter om den registrerade som den personuppgiftsansvarige behandlar. Även personuppgifter i löpande text i ett ordbehandlingsdokument omfattas, dock att det i 26 § tredje stycket personuppgiftslagen görs undantag för personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Beträffande sådana personuppgifter finns det särskilda svårigheter att söka fram alla uppgifter om en och samma person som behandlas. I förarbetena till personuppgiftslagen har emellertid regeringen uttalat (prop. 1997/98:44 s. 82 f.) att den personuppgiftsansvarige bara är skyldig att utnyttja alla de sök- och sammanställningsmöjligheter som han eller hon har tillgång till för att få fram information. En särskild fråga är om förbudet i 59 § första stycket socialtjänstlagen mot att i s.k. sammanställningsregister ta in uppgifter om ömtåliga personliga förhållanden, kan utgöra hinder mot att hos en socialnämnd göra de sökningar och sammanställningar som är nödvändiga för att uppfylla kraven på information enligt 26 § personuppgiftslagen. Enligt regeringens mening innebär nuvarande 59 § första stycket socialtjänstlagen inget sådant hinder. Syftet med förbudet i den bestämmelsen är nämligen att skydda den enskildes personliga integritet och den kan därför knappast tillämpas när en sökning eller sammanställning skall göras på den enskildes egen begäran, just för att denne skall kunna ta tillvara sina intressen gentemot myndigheten. För övrigt är det inte fråga om en sammanställning av uppgifter om den enskilde som skall lämnas ut. 13.12 Säkerhet vid behandling och tillsynsmyndighetens befogenheter Regeringens bedömning: Personuppgiftslagens (1998:204) bestämmelser om säkerhet vid behandlingen och tillsynsmyndighetens befogenheter bör gälla också när personuppgifter behandlas inom . bedömning överensstämmer med regeringens. Remissinstanserna har inte yttrat sig särskilt i frågan. Skälen för regeringens bedömning: Personuppgiftslagens (1998:204) bestämmelser om säkerheten vid behandling av personuppgifter och tillsynsmyndighetens befogenheter skall gälla även när personuppgifter behandlas inom . Några särskilda regler därutöver behövs inte i denna lag. Det bör dock i sammanhanget framhållas att de uppgifter som finns och kommer att finnas inom mycket ofta kommer att vara av integritetskänslig natur. Regeringen förutsätter att myndigheterna bedriver ett aktivt arbete i syfte att vidmakthålla en hög säkerhetsnivå. Datainspektionen har även möjlighet att med stöd av 13 § personuppgiftsförordningen meddela närmare föreskrifter om de säkerhetsåtgärder som behövs. Som regeringen uttalade i propositionen om hälsodata- och vårdregister (prop. 1997/98:108 s. 86) rör säkerhetsfrågor ofta sådana områden som behörighetskontrollsystem, förvaring av datamedia, säkerhetskopiering, m.m., dvs. frågor med klar inriktning på teknik. Sådana frågor lämpar sig, menade regeringen, mindre väl för en reglering på lag- eller förordningsnivå och bör i stället - liksom - hanteras på myndighetsnivå. 13.13 Anmälan till tillsynsmyndigheten, m.m. Regeringens bedömning: Någon särskild bestämmelse om anmälan till tillsynsmyndighet m.m. bör inte införas. bedömning överensstämmer med regeringens. Remissinstanserna har i stort inte yttrat sig särskilt i denna fråga. ombudsmän () uttrycker att det bör övervägas om inte 36 § första stycket och 37 § personuppgiftslagen bör gälla. Skälen för regeringens bedömning: Enligt 36 § första stycket personuppgiftslagen (1998:204) omfattas behandling av personuppgifter som är helt eller delvis automatiserad av anmälningsskyldighet. Den personuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndigheten innan en sådan behandling eller en serie av sådana behandlingar med samma eller liknande ändamål genomförs. Denna anmälningsskyldighet är emellertid inte utan undantag. Av personuppgiftslagen följer att anmälan inte behöver göras om den personuppgiftsansvarige har anmält att ett personuppgiftsombud har utsetts och vem det är (37 §). Vidare får regeringen eller den myndighet som regeringen bestämmer enligt 36 § tredje stycket personuppgiftslagen meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Sådana föreskrifter finns i 3-5 §§ personuppgiftsförordningen (1998:1191) och i 4 och 5 §§ i Datainspektionens föreskrifter (1998:2) i fråga om skyldigheten att anmäla behandlingar av personuppgifter till Datainspektionen. I 3 § 3 personuppgiftsförordningen föreskrivs, såvitt här är av intresse, att anmälningsskyldigheten enligt 36 § första stycket personuppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Denna bestämmelse innebär att behandling av personuppgifter inom som sker med stöd av denna lag inte kommer att omfattas av den nämnda anmälningsskyldigheten. Regeringen anser att det inte framkommit tillräckliga skäl för att föreskriva att anmälningsskyldighet för berörda myndigheter skall gälla. Allmänhetens intresse av information tillgodoses även om behandling av personuppgifter inom är undantaget från kravet på anmälningsskyldighet. Personuppgiftslagens bestämmelser om informationsskyldighet (23-27 §§) torde vara tillräckliga. Upplysningarna skall - med vissa undantag - omfatta det som en anmälan enligt personuppgiftslagen skulle ha omfattat. Vidare kan nämnas bestämmelsen i 15 kap. 11 § första stycket sekretesslagen (1980:100), där det föreskrivs att varje myndighet skall för allmänheten hålla tillgänglig beskrivning av de register, förteckningar eller andra anteckningar hos myndigheten som förs med hjälp av automatisk databehandling (ADB-register). En förutsättning är att registret till någon del utgör allmän handling och att beskrivningen inte är obehövlig från offentlighetssynpunkt. I bestämmelsens andra stycke anges vad en sådan beskrivning skall innehålla, bl.a. skall beskrivningen ge upplysning om registrets ändamål och vilka typer av uppgifter som myndigheten har tillgång till och på vilket sätt dessa uppgifter normalt inhämtas. 13.14 Bevarande och gallring Regeringens förslag: Bevarande och gallring skall ske med beaktande av reglerna i personuppgiftslagen (1998:204) och socialtjänstlagen (1980:620). Av socialnämnden godkända avtal om vårdnad, boende och umgänge får inte gallras förrän barnet fyller . förslag överensstämmer i stort med regeringens. Remissinstanserna har överlag inte yttrat sig i frågan. avstyrker förslaget eftersom socialtjänstlagens regler om bevarande och gallring är allt mer obsoleta och det är angeläget med en översyn. De nuvarande reglerna tillgodoser endast delvis forskningens behov. Möjligheterna att allsidigt forska om vår tids samhälle minskar. Skälen för regeringens förslag: Enligt bestämmelserna i arkivlagen (1990:782) , som är tillämpliga på bl.a. myndigheter inom , skall allmänna handlingar bevaras så att de tillgodoser rätten att ta del av sådana handlingar, behovet av information för rättsskipningen och förvaltningen samt forskningens behov (3 § arkivlagen). Vidare föreskrivs att allmänna handlingar får gallras, varvid hänsyn skall tas till dessa ändamål samt till att arkiven är en del av kulturarvet (10 §). Beträffande vissa handlingar inom finns dock särskilda bestämmelser rörande gallring, närmare bestämt beträffande anteckningar och andra uppgifter i en personakt som tillhör socialnämndens personregister och personregister som avses i nuvarande 59 § socialtjänstlagen (1980:620). Sådana uppgifter skall enligt huvudregeln gallras efter det att sista anteckningen gjordes i akten (60 § socialtjänstlagen). Undantag från gallring skall dock göras bl.a. med hänsyn till forskningens behov i ett representativt urval av kommuner och i övriga kommuner beträffande ett representativt urval av personer (62 §). I 51 § socialtjänstförordningen (1981:750) preciseras de urvalsmetoder som skall komma till användning.