prop · GO0369 · 2001-01-01 00:00:00 — Vad som sagts om rättelse m.m. och skadestånd bör enligt regeringens mening gälla även när personuppgifter behandlas i strid med de mer preciserade reglerna i SofrL. Vidare bör beslut av myndigheter, med undantag för beslut av rent administrativ eller intern karaktär, som direkt berör enskilda kunna överklagas. Det gäller bl.a. beslut att avslå en ansökan om information om pågående behandling och beslut att avslå en begäran om rättelse. Besluten bör överklagas till allmän förvaltningsdomstol och det bör krävas prövningstillstånd för överklagande till kammarrätten. 5.3 Känsliga personuppgifter m.m. Regeringens förslag: Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv (känsliga personuppgifter) skall inte få behandlas i ett socialförsäkringsregister. Detsamma skall gälla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Vissa i lagen närmare angivna undantag, framför allt vad gäller hälsa, skall dock gälla. Vidare skall även i fortsättningen bara sådana särskilda ärendeuppgifter som har betydelse för handläggning av ärenden om socialförsäkringsförmåner m.m. få registreras. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Kammarrätten i framhåller att behandling av känsliga personuppgifter som inte sker i register eller i elektroniska akter inte regleras i lagförslaget, varför PUL:s allmänna bestämmelser i stället blir tillämpliga. Enligt kammarrättens mening blir kontrasten till SofrL:s detaljerade reglering stor och väcker farhågor. () avstyrker förslaget och anser att dataskyddsdirektivet och PUL ger stöd för en registerreglering som inte detaljreglerar vilka personuppgifter (känsliga eller icke känsliga) som skall få registreras. RFV menar att socialförsäkringens administration bör få registrera de uppgifter som behövs för att kunna handlägga de olika förmånerna och bidragen, varvid de materiella reglerna för de olika ärendeslagen kommer att styra vilken information som lagras i registren. Övriga remissinstanser har inte haft något att erinra mot förslaget eller har avstått från att yttra sig. Skälen för regeringens förslag: En central fråga vid lagstiftning om behandling av personuppgifter är hänsynen till den enskildes personliga integritet. Av stor betydelse är därvid vilka personuppgifter som får registreras, liksom naturligtvis åtkomsten till dessa uppgifter. Enligt 2 kap. 3 § andra stycket regeringsformen skall varje medborgare, i den utsträckning som närmare anges i lag, skyddas mot att hans personliga integritet kränks genom att uppgifter om honom registreras med hjälp av automatiserad behandling. I lagstiftning avseende register som förs med hjälp av automatiserad behandling har också i stor utsträckning föreskrivits begränsningar både vad gäller vilka uppgifter rörande en person som får registreras och beträffande åtkomsten till dessa uppgifter. Som tidigare nämnts innehöll datalagen (1973:289) allmänna bestämmelser om inrättande och förande av personregister. I socialförsäkringsregisterlagen (1997:943), SofrL, hänvisas till datalagen även när det gäller registrering av särskilda ärendeuppgifter. Vissa förändringar i SofrL beträffande registrering av känsliga personuppgifter m.m. är därför nödvändiga med anledning av att datalagen upphör att gälla även övergångsvis. Datalagen (1973:289) I fråga om vilka uppgifter om en person som fick registreras föreskrevs i 4 och 6 §§ datalagen vissa begränsningar. Bestämmelserna i 4 § första stycket avsåg uppgifter rörande brott och olika former av tvångsingripanden, närmare bestämt uppgifter om att någon misstänkts eller dömts för brott, avtjänat straff eller undergått annan påföljd för brott, eller varit föremål för tvångsingripande enligt närmare angivna lagar. Rätten att registrera någon eller några av dessa uppgifter begränsades genom att det, förutom det allmänna kravet på licens utfärdat av Datainspektionen, också krävdes ett särskilt tillstånd för inrättande och förande av personregister som innehöll någon eller några av dessa uppgifter. Sådant tillstånd fick meddelas annan än myndighet som enligt lag eller annan författning hade att föra förteckning över sådana uppgifter endast om det förelåg synnerliga skäl. I 4 § andra stycket datalagen begränsades möjligheten för annan än myndighet som enligt lag eller annan författning hade att föra förteckning över uppgifter om någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått ekonomisk hjälp eller vård inom eller varit föremål för åtgärd enligt utlänningslagen (1989:529). Enligt 4 § tredje stycket gällde en generell begränsning med krav på särskilda skäl för tillstånd att inrätta och föra register som innehöll uppgifter om någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt. Slutligen föreskrevs i 6 § andra stycket att Datainspektionen, vid bedömande av om det behövdes särskilda föreskrifter för ett register för att förebygga risk för otillbörligt intrång i personlig integritet, särskilt skulle beakta om registret innehöll uppgifter som utgjorde omdöme eller annan värderande upplysning. Socialförsäkringsregisterlagen (1997:934) I socialförsäkringsregisterlagen (1997:934), SofrL, har valts tekniken att ange vilka uppgifter som får registreras på ett så klart sätt som möjligt. Eftersom det är fråga om en mycket stor mängd uppgifter har en fullständig uppräkning emellertid varken varit möjlig eller önskvärd. När det gäller vilka personer som får registreras anges i 5 § SofrL att ett socialförsäkringsregister får innehålla uppgifter om en person om denne förekommer i ett ärende som det ankommer på de allmänna försäkringskassorna, RFV eller () att handlägga eller, när det är fråga om förberedande åtgärder för handläggning, som kan förekomma i ett sådant ärende. En förutsättning är dock att uppgifter om personen har betydelse för handläggningen av ärendet. De uppgifter som får registreras enligt SofrL delas upp i allmänna och särskilda ärendeuppgifter. Med allmänna ärendeuppgifter avses identifierings- och adressuppgifter samt uppgifter om kön, civilstånd, medborgarskap och födelseort. Särskilda ärendeuppgifter är uppgifter om sådana ekonomiska och personliga förhållanden som har betydelse för handläggning av socialförsäkringsärenden. Integritetskänsliga uppgifter får enligt SofrL i princip inte registreras. Med integritetskänsliga uppgifter avses sådana särskilda ärendeuppgifter som avses i 4 § datalagen eller uppgifter som utgör omdöme eller annan värderande upplysning om den registrerade. SofrL medger dock genom undantag att vissa i lagen närmare angivna uppgifter får registreras även om de skulle vara integritetskänsliga. Dessa undantag är i huvudsak hänförliga till förhållanden som rör enskildas hälsa och räknas upp i 7 § andra och tredje styckena samt i 9 § i SofrL. Uppgifter som registreras med stöd av bestämmelserna i 7 § andra eller tredje stycket SofrL skall enligt 8 § SofrL anges så kortfattat som möjligt. Regleringen om vilka uppgifter som ett socialförsäkringsregister får innehålla är avsedd att vara i princip heltäckande. I SofrL har emellertid föreskrivits att regeringen ytterligare får begränsa innehållet i ett socialförsäkringsregister. Om det behövs för angelägna uppföljningsändamål får regeringen också föreskriva att uppgifter om sjukdomsdiagnos i begränsad omfattning får registreras i vissa närmare angivna socialförsäkringsregister. Bestämmelserna om vilka integritetskänsliga uppgifter som får registreras i ett socialförsäkringsregister gäller enligt 11 § SofrL inte för s.k. elektroniska akter. I en sådan akt kan samlas all den information som behövs för handläggningen av ett ärende. Akten skapas genom att inkomna handlingar läses eller scannas in i ett datorbaserat system eller genom att handläggaren gör tjänsteanteckningar eller skriver promemorior direkt i systemet. Syftet bakom särbestämmelserna för elektronisk akthantering är att uppnå en rationell, rättssäker och effektiv handläggning med stöd av automatiserad behandling. Elektroniska akter får således innehålla alla handlingar som har kommit in i eller framställts i ett visst ärende. En förutsättning för att integritetskänsliga uppgifter i sådana handlingar skall få registreras är emellertid att de har lämnats i ärendet eller att de behövs för handläggningen av ärendet. I stället för att reglera vilka integritetskänsliga uppgifter som får registreras i elektroniska akter har föreskrivits begränsningar vad gäller sökbegrepp, gallringstid och direkt åtkomst. Som sökbegrepp får användas endast ärendebeteckning och beteckning på handling. I lagen föreskrivs också en kortare gallringsfrist för handlingar i elektroniska akter. Sådana handlingar skall gallras ut senast efter utgången av det år under vilket ärendet har avslutats. För övriga uppgifter som registrerats med stöd av SofrL gäller en gallringstid från registrering, såvida inte uppgifterna fortfarande kan antas ha betydelse för handläggning av ett socialförsäkringsärende. Slutligen är också möjligheten till direkt åtkomst begränsad vad avser elektroniska akter. Dataskyddsdirektivet och personuppgiftslagen (1998:204) Enligt artikel 8.1 i dataskyddsdirektivet skall medlemsstaterna förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. Vissa undantag gäller dock från förbudet att behandla sådana känsliga personuppgifter bl.a. efter den enskildes uttryckliga samtycke, vid nödvändig behandling inom arbetsrätten, för ideella föreningars medlemsregister och för administration inom hälso- och sjukvård. Känsliga personuppgifter får även behandlas om det är nödvändigt exempelvis för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Vidare får regeringen eller den myndighet regeringen bestämmer i fråga om automatiserad behandling, meddela föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt allmänt intresse. Personuppgiftslagen (1998:204), PUL, genomför som tidigare nämnts EG-direktivet. Enligt 13 § PUL är det således i princip förbjudet att behandla känsliga personuppgifter. PUL:s definition av känsliga personuppgifter överensstämmer också med de uppgifter som enligt artikel 8.1 i direktivet inte får behandlas annat än i närmare angivna undantagssituationer. Enligt regeringens bedömning bör inte heller den reglering som ges i SofrL om en allmän begränsning vad avser registrering av känsliga personuppgifter avvika från dataskyddsdirektivet och PUL. Den hänvisning som görs till 4 § datalagen bör därför ersättas med en hänvisning till bestämmelsen om känsliga personuppgifter i 13 § PUL. Liksom när det gäller PUL kommer därmed vissa uppgifter som det tidigare gällt begränsningar för i 7 § SofrL att falla utanför den nya regleringen. Den allmänna begränsningen i SofrL om att särskilda ärendeuppgifter, till vilka känsliga personuppgifter hör, bara får registreras om de har betydelse för handläggning av ärenden om socialförsäkringsförmåner m.m. som det ankommer på de allmänna försäkringskassorna, RFV eller PPM att hantera bör emellertid även fortsättningsvis gälla. Detta kommer även framöver att begränsa möjligheterna att registrera uppgifter som kommer att falla utanför regleringen om känsliga personuppgifter. Uppgifter om lagöverträdelser m.m. definieras inte som känsliga personuppgifter i 13 § PUL. Sådana uppgifter är dock otvivelaktigt också av känslig natur och får enligt artikel 8.5 i dataskyddsdirektivet och 21 § PUL normalt bara behandlas av myndigheter. Även uppgifter om lagöverträdelser m.m. bör därför omfattas av de särskilda begränsningarna i SofrL och alltså i detta sammanhang likställas med känsliga personuppgifter. I 16 § PUL medges - under - i vissa angivna fall undantag från förbudet att behandla känsliga personuppgifter. Det skulle i och för sig vara möjligt att anpassa SofrL härtill genom att föreskriva att uppgifter som avses i 13 och 21 §§ PUL får registreras i socialförsäkringsregister endast om det är nödvändigt för att anspråk på socialförsäkringsförmåner m.m. skall kunna fastställas. Alternativt skulle bestämmelsen i 6 § tredje stycket SofrL om att särskilda ärendeuppgifter får registreras endast om de har betydelse för handläggning av ärenden om socialförsäkringsförmåner m.m. kunna skärpas och anpassas till 16 § PUL som de uttryckliga undantagen från förbudet togs bort. nämnda alternativ skulle emellertid inte, enligt regeringens mening, lika tydligt som den nuvarande regleringen ange i vilka situationer känsliga personuppgifter och uppgifter om lagöverträdelser m.m. får registreras. Även om uppräkningen i SofrL, om vilka sådana uppgifter som får registreras och när det får ske, kan synas otymplig måste det ändå anses vara av värde för den enskilde att regleringen är tydlig. Noteras bör härvid även att det alltjämt ges möjlighet att i vissa fall registrera uppgifter om fråga om återbetalningsskyldighet har uppkommit (p. Detta har sin förklaring i att grunden för den enskildes återbetalningsskyldighet kan vara att denne har lämnat oriktiga uppgifter eller orsakat att felaktiga uppgifter lämnats, vilket i sin tur kan innefatta ett brottsligt förfarande (jfr. 1996/97:155 s. 49). RFV har för sin del förespråkat en ordning som inte detaljreglerar vilka uppgifter som skall få registreras. Verket menar att socialförsäkringens administration bör få registrera de uppgifter som behövs för att kunna handlägga olika förmåner och bidrag, varvid de materiella reglerna för de olika ärendeslagen skall få styra vilken information som lagras i registren. Också regeringen ser möjligheten att ha en annan ordning än den nuvarande. Ett sådant förslag kräver emellertid en utförlig analys av varje del av socialförsäkringsverksamheten, något som den begränsade översyn som är i fråga inte gett utrymme för. Regeringen har dock, som inledningsvis anförts, för avsikt att närmare se över behandlingen av personuppgifter inom socialförsäkringens administration. Någon annan ändring i undantagen från förbudet att registrera känsliga personuppgifter och uppgifter om lagöverträdelser m.m. än som föranleds av skillnaderna mellan vad som ansetts vara känsligt enligt datalagen och vad som definieras som känsliga personuppgifter enligt dataskyddsdirektivet och PUL föreslås därför inte inom ramen för denna översyn. Som Kammarrätten i har framhållit kommer behandling av känsliga personuppgifter som inte sker i register eller i elektroniska akter inte att regleras i lagförslaget. I dessa fall blir i stället PUL:s allmänna bestämmelser tillämpliga. Regeringen konstaterar att detta är en effekt av SofrL:s nuvarande lagkonstruktion. Aktuellt område är emellertid begränsat och effekten motverkas dessutom avsevärt av att SofrL:s tillämpningsområde nu utsträcks till att omfatta även viss hantering (jfr avsnitt 5.1). 5.4 Uppgiftslämnande till enskild Regeringens förslag: Uppgifter i s.k. elektroniska akter behöver inte tas med i information enligt 26 § personuppgiftslagen (1998:204), PUL. Av informationen skall dock framgå vilka sådana handlingar som finns avseende den registrerade. Vidare skall - om inte annat följer av bestämmelser om sekretess mot den enskilde själv - information om uppgifter i sådana handlingar lämnas om den enskilde begär det och anger vilken handling ansökan avser. I sistnämnda fall skall informationen lämnas ut utan hinder av begränsningen i PUL om att information bara behöver lämnas en gång per kalenderår. Information om varje sådan handling skall dock lämnas gratis högst en gång per kalenderår. Promemorians förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: Datainspektionen har påpekat att de uppgifter som den personuppgiftsansvarige är skyldig att informera om enligt 21 § socialförsäkringsregisterlagen, (1997:934), SofrL, inte fullt ut överensstämmer med regleringen i 25 § personuppgiftslagen (1998:204), PUL, vilket innebär att den personuppgiftsansvarige i denna situation har två olika författningar att tillämpa för att uppfylla sin informationsplikt. Enligt Datainspektionens uppfattning bör bestämmelserna i utformas på annat sätt för att det tydligare skall framgå vilken information den personuppgiftsansvarige är skyldig att lämna självmant. Remissinstanserna i övrigt tillstyrker eller har inget annat att erinra mot förslaget. Skälen för regeringens förslag: Bestämmelserna i 23-27 §§ PUL innehåller ett antal bestämmelser om information till den registrerade. Viss sådan information skall lämnas självmant medan annan information endast skall lämnas på begäran. Enligt 23 § PUL skall, om uppgifter om en person samlas in från personen själv, den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna. Denna bestämmelse kommer, om ingen särreglering görs, att gälla även för socialförsäkringsregister. Skäl till sådan särreglering synes inte föreligga, varför något undantag från nämnda uppgiftsskyldighet inte föreslås. I 24 § första stycket PUL regleras de situationer då personuppgifterna har samlats in från någon annan källa än den registrerade. Den personuppgiftsansvarige skall i dessa fall självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Om uppgifterna är avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Av paragrafens andra stycke följer emellertid att information enligt första stycket inte behöver lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. I SofrL finns såväl regler om registrering och utlämning som regler om den personuppgiftsansvariges ansvar för information till den registrerade. Detta innebär därför att information utan att ansökan därom har gjorts om behandling av personuppgifter som omfattas av särregleringen i SofrL - till följd av undantagsbestämmelsen i 24 § andra stycket PUL - endast behöver lämnas när informationen samlats in från den enskilde själv (alltså bara enligt 23 § PUL). Beträffande informationens innehåll anges i 25 § PUL att den information som skall lämnas självmant till den registrerade skall omfatta uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen och all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen. Som exempel anges information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. I 21 § SofrL ges en särreglering avseende den personuppgiftsansvariges ansvar för information till den som är eller avses bli registrerad. I bestämmelsen uppställs krav på att den personuppgiftsansvarige skall se till att den enskilde på lämpligt sätt får information om registret. Informationen skall vidare innehålla en beskrivning av de uppgifter som registret får innehålla samt upplysning om ändamålet med registret, de sekretess- och säkerhetsbestämmelser som gäller för registret, rätten att få registerutdrag och rättelse samt de begränsningar i fråga om direkt åtkomst, automatiserat utlämnande, sökbegrepp och bevarande av uppgifter som gäller för registret. Som Datainspektionen påpekat kommer - eftersom 21 § SofrL inte fullt ut överensstämmer med 25 § PUL - den personuppgiftsansvarige således att ha två författningar att tillämpa för att uppfylla sin informationsplikt. Detta är en följd av SofrL:s nuvarande utformning och en av de frågor som enligt regeringens mening ytterligare bör övervägas vid en mer genomgripande översyn av SofrL. I 26 § PUL finns föreskrifter om information som skall lämnas efter ansökan. Sådan ansökan skall göras skriftligen hos den personuppgiftsansvarige och vara undertecknad av den sökande själv. Informationen skall ge besked om huruvida personuppgifter som rör den sökande behandlas eller inte behandlas. Om sådana uppgifter behandlas skall skriftlig information lämnas om vilka uppgifter om den sökande som behandlas, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Informationen skall lämnas gratis en gång per kalenderår och normalt inom en månad från ansökan. Om det finns särskilda skäl för det, t.ex. att personuppgifterna är krypterade, att sökmöjligheterna är begränsade eller att personuppgifterna är uppdelade på olika register, får informationen lämnas senare, dock senast från ansökan. Information behöver emellertid inte lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Vad som sagts gäller dock inte om uppgifterna har lämnats ut till tredje man, om uppgifterna har behandlats eller om de behandlas enbart för historiska, statistiska eller vetenskapliga ändamål. Med löpande text avses härvid information som inte har strukturerats så att sökning av personuppgifter underlättas. Med text som inte har fått sin slutliga utformning avses koncept, utkast och liknande. Text som är avsedd att tid efter annan ändras eller kompletteras och aldrig kommer att få någon slutlig utformning omfattas således inte. Med text som utgör minnesanteckning avses promemorior och liknande som har tillkommit bara för att bereda något slags ärende. Med behandling för historiska, statistiska eller vetenskapliga ändamål avses detsamma som enligt artikel 6 i EG-direktivet. Huvudfallet är här att ett utkast eller en minnesanteckning har tagits om hand för arkivering (jfr prop. 1997/98:44 s 132 ff.). Sparas sådana handläggningshjälpmedel som minnesanteckningar och liknande sedan ärendet avgjorts eller annars slutbehandlats, bör den registrerade få ta del av uppgifterna på motsvarande sätt som allmänheten har rätt att ta del av uppgifter i myndigheters minnesanteckningar och liknande som tagits om hand för arkivering (jfr prop. 1997/98:44 s 84). Regleringen i PUL innebär att den som en personuppgift rör har rätt att få information enligt PUL i vidare utsträckning än vad som följer av tryckfrihetsförordningen. Rätten enligt tryckfrihetsförordningen att få ta del av uppgifter rör ju allmänna handlingar vilket inte är en förutsättning enligt PUL. Allmänt gäller dock att informationsskyldigheten enligt PUL, både vad avser den information som skall ges självmant och den som skall ges efter ansökan, viker för sekretess. Om sekretess gäller för uppgiften i förhållande till den enskilde själv, föreligger alltså ingen informationsskyldighet enligt PUL. När det gäller vilken information som måste lämnas den enskilde kan inte, enligt förarbetena till PUL, anses krävas att en personuppgiftsansvarig ordnar sina uppgiftssamlingar på ett sådant sätt att det är möjligt att söka fram alla uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat skäl, skulle i själva verket kunna hota den personliga integriteten eftersom det då skulle bli enkelt att kartlägga en person. Skulle det t.ex., som är fallet i SofrL, finnas begränsningar i sökmöjligheterna, kan det inte krävas annat än att den personuppgiftsansvarige utnyttjar de sök- och sammanställningsmöjligheter som denne faktiskt och rättsligt har tillgång till (jfr prop. 1997/98:44 s 82 ff.). Problemet med stora mängder information berördes även i betänkande Integritet - Offentlighet - Informationsteknik (SOU 1997:39) bl.a. vad gäller arkivmyndigheters skyldighet att lämna information avseende hos myndigheten bevarade handlingar.