prop · GQ03135 · 2003-06-05 00:00:00 — Lagrådet har anfört att ett undantag från en bestämmelse i en lag för- anlett av att specialbestämmelser finns i en annan lag bör tas in i den lag från vilken undantag görs samt att det förhållandet att detta kräver en bredare översyn inte är skäl att i förevarande fall frångå denna ordning. Regeringen instämmer i den principiella utgångspunkt Lagrådet sålunda gett uttryck för. Bestämmelsen om undantag från lagen om den officiella statistiken har därför inte tagits med i lagförslaget i propositio- nen. Det innebär att de båda lagarna får tillämpas i fråga om behandling av personuppgifter för framställning av annan statistik än officiell inom socialförsäkringens administration. Det kan inte anses in- nebära någon nackdel, eftersom det är regeringens bedömning att den som följer det som föreskrivs i lagen om behandling av personuppgifter inom socialförsäkringens administration jämte den anknytande förord- ning som regeringen avser att utfärda i praktiken också uppfyller det som krävs enligt lagen om den officiella statistiken. Frågan om en eventuell översyn av lagen om den officiella statistiken får bedömas i annat sammanhang. Förhållandet till personuppgiftslagen m.m. Personuppgiftslagen innehåller vissa definitioner och grundläggande regler för hur personuppgifter får behandlas. Den är enligt huvudregeln generellt tillämplig inom ramen för sitt tillämpningsområde och omfattar alltså även behandling av personuppgifter inom socialförsäkringens ad- ministration. Omfattningen av behandlingar av bl.a. integritetskänsliga uppgifter inom socialförsäkringens administration och behovet av en tydlig reglering av sådana behandlingar påkallar emellertid att person- uppgiftslagens bestämmelser kompletteras genom en registerlag som är tillämplig inom de aktuella myndigheternas verksamheter. Datainspek- tionen och har, med hänvisning till att en större tydlighet därigenom skulle uppnås, föreslagit att det i den nya lagen uttryckligen skall anges vilka bestämmelser i personuppgiftslagen som skall vara tillämpliga vid behandling av personuppgifter inom den föreslagna la- gens tillämpningsområde. Regeringen har emellertid redan i tidigare lag- stiftningsärenden, med hänvisning till den kritik som Lagrådet riktat mot en lagstiftningsteknik av liknande slag som den som föreslås av Data- inspektionen och , avvisat en sådan konstruktion (se ex- empelvis prop. 2001/02:144 s. 21). De skäl som låg till grund för detta ställningstagande gör sig gällande även i fråga om den nu föreslagna la- Därtill kommer att förhållandet mellan bestämmelser i en register- Prop. 2002/03:135 författning och bestämmelser i personuppgiftslagen i vissa fall kan vara betydligt mer komplext än vad som är möjligt att uttrycka i en sådan slags uppräkning av bestämmelser som föreslagits av de nämnda myn- digheterna. Regeringen föreslår därför att de regler i personuppgiftslagen som är tillämpliga inte skall anges i lagen. Enligt 2 § personuppgiftslagen skall, om det i en annan lag eller i en förordning finns bestämmelser som avviker från personuppgiftslagen, de bestämmelserna gälla. I de flesta fall är också registerlagstiftningen kon- struerad så att den genom särreglering endast kompletterar personupp- giftslagen vad avser frågor som är specifika för de verksamheter som omfattas av lagstiftningen. Visserligen innebär detta att myndigheter som omfattas av en sådan registerlag måste beakta såväl den lagen som per- sonuppgiftslagen vid behandling av personuppgifter. Alternativet, att den särskilda registerlagen heltäckande reglerar all behandling av personupp- gifter, framstår dock som en svårhanterlig lösning. Detta gäller bl.a. på grund av svårigheterna att överblicka konsekvenserna av eventu- ella framtida ändringar av personuppgiftslagen eller av dataskyddsdirek- tivet. Den reglering som föreslås för socialförsäkringens administration omfattar därför endast de särbestämmelser och förtydliganden som det bedöms föreligga behov av. Lagen bör dock endast innehålla de ur integ- ritetssynpunkt viktigaste bestämmelserna och inte vara alltför detaljerad. Det är därför nödvändigt att i många avseenden komplettera lagen med författningar på lägre nivå. Den föreslagna lagen innehåller, helt i enlig- het med vad som anges i 2 § personuppgiftslagen, bestämmelser som in- nebär möjligheter att i föreskrifter meddela bestämmelser som innebär undantag från personuppgiftslagens bestämmelser. I den föreslagna lagen används en rad beteckningar som hämtats från personuppgiftslagen. Det gäller exempelvis beteckningarna behandling (av personuppgift), personuppgift, personuppgiftsansvarig och den registrerade. Dessa beteckningar definieras i 3 § personuppgiftslagen. Avsikten är att de skall ha samma innebörd i de fall de används i den föreslagna lagen. En gemensam reglering för personuppgifter som används gemensamt i verksamheten Den föreslagna lagen skall vara tillämplig i fråga om i princip all auto- matiserad behandling av personuppgifter och viss behandling av personuppgifter inom socialförsäkringens administration. Detta innebär att även ordbehandling på en enstaka persondator som innefattar behand- ling av personuppgifter inbegrips i lagens tillämpningsområde. Det finns emellertid ett behov av att kunna särskilt reglera sådan auto- matiserad behandling av personuppgifter som innebär att fler än ett fåtal personer har sådan tillgång till uppgifterna i fråga att de förutom att ta del av dem i regel även kan bearbeta dem eller förfoga över dem på annat sätt. Sådan behandling av personuppgifter är naturligtvis typiskt sett mer integritetskänslig än vad som är fallet när endast en enstaka person förfo- gar över uppgifterna. I datalagen (1973:289) och socialförsäkringsregisterlagen liksom i an- nan äldre registerlagstiftning har begreppet personregister använts som utgångspunkt för regleringen. Med personregister avses register, förteck- ning eller andra anteckningar som förs med hjälp av automatisk databe- handling och som innehåller personuppgift som kan hänföras till den som avses med uppgiften. I personuppgiftslagen används emellertid inte be- greppet register över huvud taget för olika samlingar av uppgifter. I stäl- let talas det om behandling av personuppgifter. I de nya lagarna om be- handling av personuppgifter inom beskattnings-, tull- och exekutions- verksamheterna har begreppet databas införts för de elektroniska sam- manställningar av personuppgifter som sker i dessa verksamheter (se ex- empelvis lagen [2001:181] om behandling av uppgifter i skatteförvalt- ningens beskattningsverksamhet). De skäl som anförts för införandet av detta begrepp kan sammanfattas enligt följande. Ofta är samlingar av personuppgifter i elektronisk form att se som register i ordets mer egentliga bemärkelse. Begreppet register är emellertid inte så väl lämpat att användas som beteckning för det samlade datasystemet hos myndigheter som tillämpar elektronisk ären- dehantering. I ett sådant system lagras inkomna handlingar i ett ärende i en elektronisk akt efter att ha lästs av genom s.k. skanning eller sänts in av den enskilde i elektronisk form. Handlingar som upprättas i ärendet framställs genom automatiserad behandling och lagras även huvudsakli- gen i elektronisk form. Begreppet register bör på detta område förbehål- las sådana automatiserade uppgiftssamlingar som faktiskt utgör register i strikt betydelse, nämligen när uppgifter är organiserade på ett systema- tiskt sätt enligt fastställda kriterier. Begreppet databas har rent språkligt en mer naturlig anknytning till automatiserade sammanställningar i all- mänhet och har den fördelen att det inte tekniskt avgränsar hur en sam- ling uppgifter är uppbyggd eller organiserad (se prop. 2000/01:33 s. 88 ff.). För att tillgodose det ovan berörda behovet av att kunna särreglera be- handling av personuppgifter som innebär att fler än ett fåtal personer har tillgång till uppgifterna krävs utöver begreppet databas ytterligare ett be- grepp som tar sikte på just detta förhållande. I den nämnda lagstiftningen om behandling av personuppgifter inom beskattnings-, tull- och exeku- tionsverksamheterna har begreppet används gemensamt i verksamhe- ten använts för att markera att de aktuella reglerna inte skall tillämpas i fråga om exempelvis ordbehandling av en enstaka tjänsteman. Det vä- sentliga är därvid inte på vilket sätt uppgifter tekniskt lagras, utan den faktiskt åsyftade tillgängligheten. En uppgift anses gemensamt tillgänglig om den registreras och lagras på ett sådant sätt att tjänstemännen inom en eller flera myndigheter har möjlighet att vid behov och i olika samman- hang t.ex. i samband med handläggningen av ett ärende ta del av uppgiften direkt på automatiserad väg. Även i fråga om den här föreslagna lagen föreslås att begreppet data- bas används som centralt begrepp. Behovet av en särreglering av de ge- mensamt tillgängliga samlingarna av personuppgifter och handlingar som finns inom socialförsäkringens administration framstår som minst lika starkt som när det gäller myndigheter i övrigt. I lagrådsremissen före- slogs att socialförsäkringsdatabasen skulle definieras som den samling uppgifter och handlingar som med hjälp av automatiserad behandling an- vänds gemensamt i verksamheten. Lagrådet konstaterar att den föreslagna parallella användningen av uppgifter och handlingar inte förekommer i de motsvarande definitioner på databaser som finns i registerlagar för andra verksamheter, såsom för skatteförvaltningen, kronofogdemyndigheterna, och den arbetsmarknadspolitiska verksamheten. Med hänvisning till att den ter- minologi som används i dessa lagar svarar bättre mot den i bl.a. person- uppgiftslagen och sekretesslagen anför Lagrådet att densamma bör användas även i den här föreslagna lagen. Regeringen instämmer i Lag- rådets bedömning. I definitionen av socialförsäkringsdatabasen i lagför- slaget i propositionen har därför hänvisningen till handlingar tagits bort. Därmed uppnås enhetlighet i definitionerna i de olika register- lagarna som använder databasbegreppet. Någon saklig skillnad är inte avsedd. Vad som avses med begreppet socialförsäkringsdatabasen är alltså i princip den inom socialförsäkringens administration gemensamt använda samling av dels personuppgifter i olika personregister i egentlig mening, dvs. på visst sätt organiserade sammanställningar av personuppgifter som används som underlag för beslutsfattande, utbetalning, uppföljning m.m., som förs eller framgent kommer att föras inom socialför- säkringens administration, dels uppgifter i handlingar som inkommit eller upprättats i ett ärende och som lagrats elektroniskt för användning i ett ärendehanteringssystem inom socialförsäkringens administration. I andra bestämmelser än definitionen av socialförsäkringsdatabasen förekommer emellertid begreppet handling när bara handlingar i data- basen avses. Någon definition av begreppen handling och uppgift lämnas inte i lagen. Med handlingar avses i den föreslagna lagen sammanställningar av uppgifter utan en sådan i förväg fastställd struktur som brukar finnas när det är fråga om exempelvis ett personregister. Exempel på handlingar är ansökningar, läkarintyg, skriftlig komplettering av uppgifter från en försäkrad eller beslut i ärenden. Med uppgift avses enskilda ord eller mindre sammanställningar av ord som är bärare av en begränsad infor- mationsmängd och som enligt särskilda fastställda rutiner kan registreras på ett bestämt sätt, exempelvis i ett personregister, i ett datasystem. Även andra typer av handlingar eller uppgifter än dessa kan anses ingå i socialförsäkringsdatabasen. Ett exempel är samlingar av domar eller be- slut som upprättats för ledning angående praxis etc. och som inte är av- identifierade så att de kan anses innehålla personuppgifter. Är det däremot så att en sammanställning hanteras av endast en enstaka tjänsteman på en avskild persondator utan avsikt att sammanställningen skall vara gemensamt tillgänglig ingår den inte i databasen. En grundläg- gande förutsättning för att en elektroniskt lagrad uppgift skall anses ingå i en databas, är att uppgiften används gemensamt i verksamheten. Det väsentliga är alltså inte på vilket sätt en uppgift lagras, utan den faktiskt åsyftade tillgängligheten. Det avgörande för om en uppgift används gemensamt i en verksamhet och därmed utgör en beståndsdel i en databas är om den behandlas på ett sätt som medför att den utgör allmän egendom i verksamheten. olika personalkategorier kan ha olika behörighet och att vissa uppgifter därför i praktiken är åtkomliga endast för ett begränsat antal personer hos olika myndigheter inom en myndighetsorganisation förtar i sig inte upp- gifternas egenskap som gemensamt använda. Detsamma gäller om vissa uppgifter görs åtkomliga endast för handläggare inom en regional myndighet. En uppgift som lagras elektroniskt på hårddisken i en dator eller i en server hos en myndighet i samband med att en tjänsteman arbetar med ordbehandling, och som normalt är åtkomlig endast för tjänstemannen själv och exempelvis systemadministratören vid myndigheten, kan där- emot inte anses vara gemensamt använd. Syftet med sådan tillfällig behandling är inte att uppgifterna som lagras i datorn skall användas av andra än dem som utför behandlingen. (Se prop. 2000/01:33 s. 89 f.) Det är dock viktigt att komma ihåg att begreppet socialförsäkrings- databasen är ett juridiskt begrepp och att det inte bygger på tekniska avgränsningar eller utformningar i övrigt av uppgiftshanteringen. Inte heller innebär det förhållandet att en uppgift anses hänförlig till socialförsäkringsdatabasen att den på något sätt kan anses generellt tillgänglig för alla verksamma inom socialförsäkringens administration. Tillgängligheten är naturligtvis på olika sätt begränsad genom behörighetsregler m.m. Å andra sidan medger förslaget om en socialförsäkringsdatabas att myndighetsöverskridande tillgänglighet till uppgifter kan komma i fråga på ett annat sätt än vad som gäller. Exempelvis möjliggörs nya former för samarbete mellan olika försäkringskassor i fråga om ärendehandläggning, informationsverk- samhet m.m. Även det behov av gränsöverskridande informations- inhämtning som s.k. koncentrerad handläggning av vissa ärendeslag kan tänkas medföra torde kunna tillgodoses. Den grundläggande tanken med socialförsäkringsdatabasen är att re- glera behandling av personuppgifter som på grund av just gemensam användning är att anse som särskilt integritetskänslig. Det innebär att vanlig ordbehandling och e-posthantering där avsikten är att endast en enstaka tjänsteman skall använda och ha tillgång till uppgifterna i de aktuella dokumenten faller utanför ramen för socialförsäkringsdatabasen. Det faktum att en systemadministratör eller någon annan tjänsteman vid myndigheten kan få tillgång till en uppgift genom ett visst tekniskt förfarande medför inte att uppgiften är lagrad för att användas gemensamt i verksamheten. Inte heller innebär det förhållandet att en handling som innehåller exempelvis ett koncept till ett beslut i ett ärende och som av en enstaka tjänsteman behandlas tillfälligt i en dator med det uttalade syftet att den senare skall användas gemensamt att uppgiften ingår i databasen. När det gäller gränsdragningen för vilka uppgifter eller handlingar som kan anses hänförliga till socialförsäkringsdatabasen kan naturligtvis led- ning sökas i de ovan redovisade förarbetsuttalandena och den praxis som kan komma från Datainspektionen och domstolar om tillämpningen av de sålunda införda reglerna om databaser. Det finns emellertid skäl att utöver vad som angetts ovan något ut- veckla innebörden av att en uppgift används gemensamt i verksamheten. När man talar om behörighet att få del av en viss uppgift avses ibland den rättsligt betingade rättigheten att ta del av en uppgift som kan följa av en anställning eller ett förordnande av annat slag, ibland den faktiska Prop. 2002/03:135 tekniskt betingade möjligheten att ta del av en uppgift som ofta styrs av tilldelning av åtkomst i olika kortsystem etc. Ofta görs i dagligt tal ingen åtskillnad mellan dessa olika betydelser. När det gäller den ovan berörda registerlagstiftningen för beskattnings-, tull- och exekutionsverksamhe- terna torde det vara den rättsligt betingade rättigheten som är utgångs- punkten för gränsdragningen för om en uppgift skall anses gemensamt använd i verksamheten, även om uttrycket används kan tyckas leda tanken till ett faktiskt användande. Nedan föreslås en i lag intagen reglering av behörighet till åtkomst till uppgifter som alltså tar sikte på den rättsligt betingade rättigheten. Behö- righeten skall enligt förslaget alltid vara begränsad till den åtkomst till uppgifter som behövs för den enskilde handläggarens fullgörande av sina arbetsuppgifter. Det innebär naturligtvis i allmänhet att behörigheten att ta del av en viss uppgift är beroende av hur arbetet är organiserat inom en myndighet och att den behöriga kretsen kan vara be- gränsad till ett mycket litet antal personer, nämligen de som har behov av behörigheten för att kunna utföra sina arbetsuppgifter, och att kretsen tjänstemän som har behörighet till åtkomst till uppgiften i inte obetydlig mån torde kunna variera . I vissa fall torde det kunna vara så att det inte är någon eller endast en enda tjänsteman vid en försäkringskassa som har behörighet att få tillgång till en uppgift. Att så kan vara fallet innebär emellertid inte att uppgiften i fråga inte kan anses gemensamt använd i verksamheten. Vad som är utgångspunkten för gränsdragningen är snarare den avsedda omfattningen av den krets av tjänstemän som kan förmodas ha behov av uppgiften i fråga. Regeringens förslag: En myndighet inom socialförsäkringens administ- ration skall vara personuppgiftsansvarig för den behandling av person- uppgifter som den utför. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: Datainspektionen föreslår att bestämmelsen i 5 § om personuppgiftsansvar formuleras En myndighet inom socialförsäk- ringens administration är personuppgiftsansvarig för den behandling av personuppgifter som den utför eller som det åligger den att utföra. för att markera att det finns ett ansvar inte endast för att en utförd behandling är korrekt utan även för att en behandling faktiskt utförs när det skall ske. föreslår att personuppgiftsansvaret knyts till den be- handling som myndigheten skall utföra. På det sättet blir det tydligare att myndigheten även ansvarar i de fall då den har underlåtit att t.ex. föra in uppgifter i databasen. läns allmänna försäkringskassa m.fl. anför att det är nödvändigt med ett för försäkringskassorna och gemensamt personuppgiftsansvar för de system som skapar, med hänsyn till att det är verket som har faktisk möjlighet att påverka om och hur en behandling skall företas och som kan påverka säkerhetsnivån. Skälen för regeringens förslag: Enligt 3 § personuppgiftslagen är den personuppgiftsansvarig, som ensam eller tillsammans med andra be- stämmer ändamålen med och medlen för behandling av personuppgifter. I verksamhet som omfattas av registerlagstiftning är emellertid ändamå- len i regel angivna i den aktuella registerförfattningen. Detta medför ett behov av att i registerlagen klargöra personuppgiftsansvaret för olika fö- rekommande behandlingar av personuppgifter genom en särskild be- stämmelse. Med personuppgiftsansvaret följer av såväl personuppgiftslagen som den föreslagna lagen en rad åligganden, såsom ett ansvar för att behand- lingen av personuppgifter sker i enlighet med respektive lags bestämmel- ser, skyldighet att lämna information enligt de särskilda bestämmelserna om detta, skadeståndsskyldighet m.m. En rimlig utgångspunkt för fördel- ningen av personuppgiftsansvaret bör vara att det är den myndighet som har faktisk möjlighet att påverka om och hur en behandling skall företas som bör vara personuppgiftsansvarig för den behandlingen. För varje be- handling finns det en personuppgiftsansvarig, som har ansvaret bl.a. för att föreskrivna åtgärder i anslutning till den behandlingen utförs, t.ex. lämnande av registerutdrag. Det ligger i personuppgiftsansvaret att det omfattar även underlåtenhet att vidta föreskrivna åtgärder, t.ex. underlå- tenhet att genomföra den behandling som krävs för att lämna ett register- utdrag. Regeringen anser till skillnad från Datainspektionen att det inte finns anledning att särskilt markera att ansvaret gäller också en sådan underlåtenhet. En sådan markering saknas i de flesta andra registerlagar. Det är inte ändamålsenligt att i lag i detalj specificera vem som skall vara personuppgiftsansvarig för alla de olika typer av behandlingar som kan tänkas förekomma inom socialförsäkringens administration. Särskilt gäller detta de mer komplexa förhållanden som råder vid myndighetsge- mensam användning av de stora register som ingår i socialförsäkrings- databasen. I stället bör personuppgiftsansvaret fördelas genom en regel av mer övergripande karaktär. Det mest närliggande alternativet är då att regeln om personuppgiftsansvaret utformas så att den i första hand tar sikte på den myndighet som utför en viss behandling. När det gäller behandlingar av personuppgifter som inte sker inom ra- men för den nedan föreslagna socialförsäkringsdatabasen, exempelvis ordbehandling i ett dokument som utförs av en tjänsteman, torde det inte vara något större problem att identifiera den myndighet i vars verksamhet behandlingen utförs. I fråga om behandlingar i databasen, i vilken upp- gifter i många fall kan vara gemensamt tillgängliga för flera myndighe- ter, kan dock bedömningen av personuppgiftsansvaret vara mer kompli- cerad. Databasbegreppet är i och för sig endast en juridisk konstruktion för gemensam reglering av behandling av personuppgifter för en viss massa av uppgifter och handlingar i elektronisk form. Det förhållandet att en uppgift är hänförlig till databasen innebär inte att andra anställda inom socialförsäkringens administration än dem som behöver det för sin tjänst skall ha tillgång till uppgiften. Systematiken i det tekniska systemet för registrering av uppgifter m.m. kommer naturligtvis att beakta indel- ningen av verksamheten i olika myndigheter. I regel torde det med ut- gångspunkt i forumregler och vem som faktiskt utfört en behandling inte vara något större problem att avgöra vilken myndighet som utfört en viss Det är också den enskilda behandlingen som skall utgöra grunden för fördelningen av personuppgiftsansvaret. Har en uppgift lag- rats i databasen är det den myndighet som i och för sin verksamhet utför lagringsåtgärden som är ansvarig för att den lagrade uppgiften är korrekt. Ansvaret för uppgiften bör rimligtvis sedan sträcka sig så långt som fram till den tidpunkt då gallring aktualiseras, dock inte längre än fram till den tidpunkt då den myndigheten av olika skäl inte längre besitter möjlighe- ter att förfoga över uppgiften genom rättning, blockering, borttagning etc. Om en personuppgift lämnas ut av en annan myndighet än den som registrerade uppgiften svarar naturligtvis den utlämnande myndigheten för den behandling som utgörs av själva utlämnandet. För den fortsatta behandlingen av uppgiften efter en registrering kan även andra myndigheter vara ansvariga, allt efter vilka faktiska behand- lingar som utförs. Förslaget om fördelning av personuppgiftsansvar för- utsätter naturligtvis att det går att genom loggning spåra vilken myndig- het som företagit en viss behandling. I övergripande frågor, såsom ansvar för att tekniska eller organisato- riska säkerhetsåtgärder vidtas, måste personuppgiftsansvaret fördelas ef- ter vilka myndigheter som har befogenhet och skyldighet att utföra dessa åtgärder. I regel torde det följa av åläggandet för i verksinstruktionen att vara ansvarig systemägare för Riksförsäkringsver- kets och försäkringskassornas gemensamma IT-system att det är verket som har personuppgiftsansvaret vad avser sådana frågor.