prop · GQ03135 · 2003-06-05 00:00:00 — 1.i lag eller förordning reglerad sekretessbrytande uppgiftsskyldighet i förhållande till andra myndigheter, 2.sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning, 3.sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen (EU), 4.åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet (EES) eller i avtal om social trygghet eller utgivande av sjukvårds- förmåner som ingått med andra stater. Promemorians förslag: Överensstämmer med regeringens. Remissinstanserna: har påtalat att begreppet mottagare såsom det definieras i personuppgiftslagen inte omfattar myndigheter som mottar uppgifter för att kunna utföra tillsyn, kontroll eller revision. En följd av detta är att uppgifter därigenom inte får lämnas ut på medium för automatiserad behandling. Verket har föreslagit att be- stämmelserna om utlämnande på medium för automatiserad behandling eller om sekundära ändamål ändras så att det står klart att utlämnande till för granskning får ske på medium för automatiserad be- handling respektive omfattas av de sekundära ändamålen. Arbetsmark- nadsstyrelsen föreslår att personuppgifter även bör få behandlas av de allmänna försäkringskassorna och för tillhanda- hållande av information som behövs som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd till enskilda i den verk- samhet som bedrivs av , (den föreslagna) In- spektionen för arbetslöshetsförsäkringen och länsarbetsnämnderna. En- ligt bedömning bör inom ramen för de nuva- rande administrativa kontakterna med de nämnda myndigheterna, men också med beaktande av det nu utökade samarbetet mellan myndighe- terna inom sjukförsäkringsområdet och arbetsmarknadssektorn, en möj- lighet till utökat informationsutbyte medges. anför att det är angeläget att verket från försäkringskassorna och Riksförsäkrings- verket erhåller uppgifter på arbetsställenivå vad beträffar bl.a. sjukfrån- varo, arbetsskador, diagnoser samt förekomsten av rehabiliteringsutred- ningar. Därigenom skulle verket ges bättre möjligheter att rikta sina till- synsinsatser. Verket är i första hand inte i behov av enskilda personupp- gifter utan av aggregerade och avidentifierade uppgifter sammanställda på arbetsställenivå. Verket föreslår att förutsättningarna för informa- tionsutbytet mellan verket och socialförsäkringens administration klar- görs i den nya lagen genom tillägg i ändamålsbestämmelserna. Detta gäller även det informationsutbyte som finns i fråga om arbetsska- dor och som är oumbärligt för att upprätthålla och driva databasen och bör säkerställas i lagen. När det gäller de sekundära ändamålen framgår det enligt inte tillräckligt tydligt att personuppgifter även enligt den nya lagen får lämnas ut för forsknings- ändamål. Skälen för regeringens förslag: Utlämnande av uppgifter till andra organ än de organ utanför socialförsäkringens administration som före- slås ha direktåtkomst till socialförsäkringsdatabasen sker till en rad olika organ för mångskiftande syften. Det kan gälla uppgifter som behövs för handläggning av ärenden hos andra myndigheter, men även vara fråga om helt andra användningsområden som exempelvis tillsyn eller revi- sion. Som påpekats av innefattar begreppet motta- gare enligt dess definition i personuppgiftslagen inte myndigheter som inhämtar uppgifter för att kunna utföra tillsyn, kontroll eller revision. I anledning härav anser regeringen att en mindre justering av bestämmel- sen om sekundära ändamål bör göras, så att det står klart att även ett ut- lämnande för sådana syften omfattas av bestämmelsen. Det skulle i och för sig vara önskvärt att det i en registerlag på ett pre- ciserat sätt anges vilka utlämnanden av uppgifter som sker från den verk- samhet som regleras av lagen. Regeringen delar emellertid den i prome- redovisade bedömningen att det inte är möjligt att i en i lagen in- tagen ändamålsbestämmelse på ett preciserat sätt ange alla de fall av ut- lämnanden som sker från myndigheterna inom socialförsäkringens admi- nistration. Den i promemorian föreslagna systematiken, som i första hand utgår från olika slag av författningsregleringar av utlämnande av uppgif- ter framstår enligt regeringens uppfattning som ett ändamålsenligt sätt att reglera utlämnandet av uppgifter. De synpunkter som framförts av och Arbets- miljöverket om utökningar av uppgiftslämnandet till de myndigheterna finns det inte underlag för att ta ställning till i detta lagstiftningsärende. Lagrådet har invänt mot utformningen av lagtexten i lagrådsremissen såvitt avser den punkt i bestämmelsen om sekundära ändamål som gäller skyldighet att lämna ut uppgifter till följd av s.k. sekretessbrytande regler som avses i 14 kap. 1 § sekretesslagen (1980:100) och anfört att bestäm- melsen bör förtydligas. Till följd av Lagrådets synpunkter har utform- ningen av lagtexten förtydligats. Frågan om utlämnande enligt 15 kap. 5 § sekretesslagen påverkas inte av den föreslagna lagen. En annan fråga som berörts av Lagrådet är vilka typer av författningar som de sekundära ändamålen bör omfatta. Enligt regeringens uppfattning bör inte myndighetsföreskrifter omfattas. Som resultat av Lagrådets på- pekande har därför lagtexten ändrats. De sekundära ändamål som regeringen föreslår är tillhandahållande av information på grund av 1.i lag eller förordning reglerad sekretessbrytande uppgiftsskyldighet i förhållande till andra myndigheter, 2.sådant medgivande att lämna ut uppgifter som följer av särskilda bestämmelser i lag eller förordning, 3.sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen (EU), 4.åtaganden i samarbetet inom Europeiska ekonomiska sam- arbetsområdet (EES) eller i avtal om social trygghet eller utgivande av sjukvårdsförmåner som ingått med andra stater. De olika myndigheterna inom socialförsäkringens administration är enligt ett stort antal författningar skyldiga att lämna ut uppgifter till andra Bestämmelsen i punkt 1 avser sådana s.k. sekretessbry- tande regler som avses i 14 kap. 1 § sekretesslagen. Enligt nämnda be- stämmelse bryts den annars gällande sekretessen mellan myndigheter om en uppgiftsskyldighet följer av lag eller förordning. En sådan uppgifts- skyldighet måste vara uttrycklig. Bestämmelsen i 12 § förordningen (1977:284) om arbetsskadeförsäkring och statligt personskadeskydd är ett exempel på en sådan bestämmelse. Det behov av reglering av infor- mationsutbytet angående arbetsskador som efterlyst i sitt remissvar är alltså beaktat i den föreslagna lagen. Punkt 2 avser i första hand dels sådana sekretessbrytande bestämmel- ser som avses i 7 kap. 7 § fjärde stycket eller 9 kap. 25 § andra stycket sekretesslagen (1980:100), dels vissa särskilda bestämmelser om utläm- nande på medium för automatiserad behandling som återfinns antingen i den föreslagna lagen eller i förordning. Exempel på bestämmelser av det förstnämnda slaget är 20 kap. 9 a § lagen (1962:381) om allmän försäkring, 3 § lagen (1993:16) om försäk- ring mot vissa semesterlönekostnader, 11 § och 27 § lagen (1991:1047) om sjuklön, 15 kap. 15 § lagen (1998:674) om inkomstgrundad ålders- pension, 6 kap. 3 § lagen (1998:702) om garantipension, 22 § lagen (1998:703) om handikappersättning och vårdbidrag och 10 § lagen (2000:461) om efterlevandepension och efterlevandestöd till barn. En annan typ av bestämmelse som avses i den aktuella punkten är vissa fall av utlämnanden på medium för automatiserad behandling som särskilt reglerats i denna lag eller i förordning, exempelvis socialförsäk- ringsregisterförordningen (1998:1576). Ytterligare ett exempel på en regel som avses i punkt 2 är 19 § tredje stycket personuppgiftslagen. (I prop. 2002/03:50 lämnas emellertid vissa förslag till ändring av bestäm- melsen i personuppgiftslagen och att bestämmelsen om utlämnande för forskning skall föras över till en särskild lag, lagen om etikprövning av forskning som avser människor, som föreslås träda i kraft .) Härigenom tillgodoses det av påtalade behovet av reglering av utlämnande för forskningsändamål. Härutöver omfattas även vissa utlämnanden av information om pen- sionsförhållanden m.m. av särskilda regleringar som föreslås. I det ena fallet avses utlämnande av uppgifter till den registrerade i fråga för ge- mensam pensionsinformation via den s.k. Pensionsportalen. Pensions- portalen är en planerad hemsida på Internet där den enskilde genom upp- giftsinhämtande från såväl offentliga som privata organ skall kunna få en helhetsbild av sina pensionsförhållanden. Det andra fallet är utlämnande av personuppgifter för användning vid skadereglering till organ som driver försäkringsrörelse. I artikel 84 i förordningen (EEG) nr 1408/71 om tillämpningen av sy- stemen för social trygghet när anställda, egenföretagare eller deras fa- miljemedlemmar flyttar inom gemenskapen finns bestämmelser om skyl- dighet för myndigheterna inom socialförsäkringens administration att lämna ut uppgifter till socialförsäkringsmyndigheter i de andra med- lemsländerna. Förordningen ingår i gemenskapsrätten och gäller således i med den verkan som följer av EG-rätten. Av punkt 5 i artikel 84 framgår emellertid att då en medlemsstats myndigheter enligt förord- ningen överför personuppgifter till myndigheter eller institutioner i en annan medlemsstat, skall sådant överförande omfattas av de lagbestäm- melser om skydd av personuppgifter som gäller i den medlemsstat som lämnar uppgifterna. Utlämnande av uppgifter enligt förordningen är alltså underkastat den nationella lagstiftningen om behandling av person- uppgifter. Personuppgiftslagen innehåller inte några bestämmelser som tar sikte på utlämnande av uppgifter på grund av gemenskapsrätten. Ge- nom en särskild ändamålsbestämmelse i punkt 3 klargörs att utlämnande av personuppgifter från socialförsäkringens administration på grund av förordningen eller annan gemenskapsrätt får ske under de förutsättningar som anges i den föreslagna lagen, vilken får anses vara en sådan lag som avses i den ovan berörda punkt 5 i artikel 84. Utlämnande av uppgifter till socialförsäkringsorgan i andra länder sker även på grund av åligganden inom samarbetet inom Europeiska ekono- miska samarbetsområdet (EES) eller i avtal om social trygghet m.m. som ingått med andra stater. Sådana åligganden kan även omfatta ut- lämnande av uppgifter till myndigheter eller institutioner inom EU, bl.a. i fråga om personer som är medborgare i tredje land, men därutöver sker naturligtvis utlämnanden av uppgifter till socialförsäkringsorgan i andra länder i stor omfattning. har träffat avtal om so- cial trygghet med cirka 25 länder och om utgivande av sjukvårdsförmå- ner med 7 länder. Utlämnandet av uppgifter på grund av dessa avtal bör omfattas av de sekundära ändamålen. Från myndigheterna inom socialförsäkringens administration lämnas även personuppgifter ut för tillgodoseende av behov av underlag för forskning. Med forskning avses här i första hand verksamhet som bedrivs vid institutioner, såsom universitet och högskolor eller privata forsk- ningsinstitut. Även viss annan verksamhet kan i nu berört avseende anses utgöra forskning förutsatt att det finns ett samhällsintresse av att verk- samheten bedrivs och att den är vetenskaplig i någon mening. I 9 § andra stycket personuppgiftslagen anges att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ursprungliga ändamål för vilka uppgifterna samlades in. Detta innebär att den s.k. finalitetsprincipen i personuppgiftslagen inte i sig påkallar att utlämnande av uppgifter för tillgodoseende av forsk- ningens behov anges som ett särskilt ändamål. I 19 § personuppgiftslagen anges dessutom vissa materiella regler, bl.a. för behandling av känsliga personuppgifter för forskningsändamål. 2002/03:50 har föresla- gits vissa ändringar i 19 § personuppgiftslagen som innebär att bestäm- melserna om behandling av personuppgifter för forskningsändamål skall flyttas över till en särskild lag, lagen om etikprövning av forskning som avser människor, som föreslås träda i kraft . Reglerna i 19 § personuppgiftslagen respektive den föreslagna lagen bör vara tillämpliga i de fall det aktualiseras ett utlämnande av personuppgifter från socialförsäkringens administration för forskningsändamål. Det ter sig därför, med hänsyn till den lagtekniska konstruktionen i den före- slagna lagen med ändamålsrelaterade gränsdragningar bl.a. i fråga om behandling av känsliga personuppgifter, som mindre lämpligt att ange utlämnande av personuppgifter för forskningsändamål som ett särskilt ändamål i den föreslagna lagen. 6.8Behandling av känsliga personuppgifter m.m. 6.8.1Personuppgiftslagens regler om känsliga personuppgifter Huvudregeln är enligt personuppgiftslagen att det är förbjudet att be- handla uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. Det är också förbjudet att behandla sådana personuppgifter som rör hälsa el- ler sexualliv. Dessa olika slag av uppgifter kallas med en samlingsbe- teckning känsliga personuppgifter. Det finns emellertid en rad undantag från förbudet mot behandling av känsliga personuppgifter angivna direkt i personuppgiftslagen. Sålunda får sådana uppgifter enligt lagen behandlas med den registrerades ut- tryckliga samtycke eller när denne offentliggjort uppgifterna på ett tyd- ligt sätt. Känsliga personuppgifter får vidare bl.a. behandlas om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, om det är nöd- vändigt för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke eller om det är nödvändigt för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Förbudet mot att behandla känsliga personupp- gifter gäller inte heller när ideella organisationer med politiskt, filoso- fiskt, religiöst eller fackligt syfte inom ramen för sin verksamhet be- handlar personuppgifter om organisationens medlemmar och sådana andra personer som på grund av organisationens syfte har regelbunden kontakt med den. Känsliga personuppgifter får dock lämnas ut till tredje man bara om den registrerade uttryckligen har samtyckt till det. Känsliga personuppgifter får vidare behandlas för hälso- och sjukvårdsändamål, om behandlingen är nödvändig för förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling eller administration av hälso- och sjukvård eller om uppgifterna omfattas av sjukvårdssekretess. Slutligen undantas viss behandling för forsknings- och statistikändamål från förbudet mot behandling av känsliga personuppgifter. Regeringen eller den myndighet regeringen bestämmer får enligt per- sonuppgiftslagen medge ytterligare undantag från förbudet att behandla känsliga personuppgifter om det behövs med hänsyn till ett viktigt all- mänt intresse. infördes en bestämmelse i 8 § person- uppgiftsförordningen (1998:1191) om att känsliga personuppgifter får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Regleringen av behandling av känsliga personuppgifter i personupp- giftslagen följer i princip den motsvarande reglering som återfinns i data- skyddsdirektivet. Direktivet medger att medlemsstaterna, under förut- sättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse, i sin nationella lagstiftning eller genom ett beslut av tillsyns- myndighet beslutar om andra undantag från förbudet mot behandling av känsliga personuppgifter än dem som anges i personuppgiftslagen. Den nationella lagstiftningen kan således innehålla ytterligare undantag från förbudet mot behandling av känsliga personuppgifter. I punkt 34 i ingres- sen till direktivet anges bl.a. att När det av hänsyn till viktiga allmänna intressen är nödvändigt, måste medlemsstaterna kunna avvika från för- budet mot att behandla känsliga kategorier av uppgifter på sådana områ- Prop. 2002/03:135 den som exempelvis folkhälsa och socialskydd, särskilt för att säkerställa kvalitet och lönsamhet när det gäller förfaranden som används i samband med ansökningar om förmåner och tjänster inom sjukförsäkringssyste- met, i samband med vetenskaplig forskning och i samband med offentlig statistik. 6.8.2Personuppgiftslagens regler om uppgifter om lagöverträdelser m.m. Det är enligt personuppgiftslagen förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, do- mar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden. Regeringen eller den myndighet som regeringen be- stämmer (Datainspektionen) får dock besluta om undantag från förbudet. Uttrycket myndighet i 21 § första stycket personuppgiftslagen är avsett att ha samma innebörd som i den artikel i direktivet som innehåller mot- svarande bestämmelse. Såväl de allmänna försäkringskassorna som Riks- försäkringsverket och torde vara att anse som myndigheter i personuppgiftslagens mening. Förbudet i personupp- giftslagen mot att behandla personuppgifter om lagöverträdelser omfattar alltså inte något av dessa organ. 6.8.3Generella regler om behandling av känsliga personuppgifter inom socialförsäkringens administration Regeringens förslag: Känsliga personuppgifter som avses i 13 § person- uppgiftslagen skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggning av ett ärende. Känsliga per- sonuppgifter får vidare behandlas för återsökning av vägledande avgö- randen eller för något av de sekundära ändamålen om det är nödvändigt med hänsyn till ändamålet. För informationsverksamhet, behov av underlag för bedömning av rät- tigheter och skyldigheter, planering, resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. I övrigt får känsliga personupp- gifter inte behandlas för de ändamålen om det inte är fråga om behand- ling av uppgifter i handlingar i ett ärende. Behandling för planering, resultatstyrning, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får inte ske beträffande andra käns- liga personuppgifter än sådana som behandlas eller har behandlats för in- formationsverksamhet, behov av underlag för bedömning av rättigheter och skyldigheter eller handläggning av ärenden. I fråga om behandling av känsliga personuppgifter i socialförsäkrings- databasen skall särskilda begränsningar gälla. Promemorians förslag: Överensstämmer i huvudsak med regering- ens. Remissinstanserna: avstyrker att generella be- stämmelser om behandling av känsliga personuppgifter införs med de fö- reslagna lydelserna. Verkets uppfattning grundas på att verket och för- säkringskassorna har behov av att behandla sådana uppgifter i större om- fattning än de föreslagna bestämmelserna medger och att förslagen i promemorian innebär att möjligheterna att behandla sådana uppgifter blir mer begränsade än vad som är fallet i nuvarande lagstiftning. Verkets bedömning är att det enligt den föreslagna lagen inte blir möjligt att vid tillsyn av elektroniska akter behandla andra känsliga personuppgifter än uppgifter om hälsa. Även om det vid tillsynen inte finns ett intresse av t.ex. den sexuella läggningen hos en person går det inte att undvika att den sortens uppgifter kommer att behandlas. Även i övrigt har verket be- hov av att behandla andra känsliga personuppgifter än uppgifter om hälsa. Det är t.ex. mycket möjligt att verket kan få ett uppdrag från re- geringen att följa upp om homosexuella föräldrar behandlas annorlunda än andra. Dessutom anser verket att de föreslagna bestämmelserna är mycket svårbegripliga och svårtolkade. De tydliga ändamålsbestämmel- serna bör i kombination med gällande sekretessbestämmelser får enligt verkets uppfattning anses utgöra ett tillräckligt skydd för integriteten. Kammarrätten i anmärker att det är oklart hur dataskydds- direktivet skall tolkas bl.a. när det gäller registrering av känsliga person- uppgifter och innebörden av t.ex. begreppet hälsa. Vidare anser kammar- rätten att en analys av i vilken utsträckning en motsvarande behandling som den som föreslås kommer att ske i andra medlemsstater och av i vil- ken utsträckning uppgifterna kan skyddas vid överföring till andra med- lemsstater bör utföras innan lagstiftningen genomförs. Skälen för regeringens förslag: Begränsningar av möjligheterna att behandla känsliga personuppgifter är ett viktigt inslag i registerförfatt- ningar. I en sådan verksamhet som socialförsäkringen är det emellertid nödvändigt att i viss utsträckning behandla känsliga personuppgifter. Handläggningen av olika förmånsslag såsom sjukpenning, handikapp- förmåner etc. måste med nödvändighet innebära behandling av känsliga personuppgifter redan på grund av att själva grunden för en sådan ersätt- ning är en känslig personuppgift, dvs. en personuppgift som rör hälsa. Övergången från pappersbaserade akter till ärendehanteringssystem (ÄHS) med integrerade elektroniska akter innebär dessutom att alla rele- vanta uppgifter, handlingar och all information i övrigt i ett ärende kom- mer att behandlas automatiserat. Alla inkomna handlingar i ett ärende lä- ses i ett sådant system in genom s.k. skanning och lagras elektroniskt för den aktuella räkning. Eftersom det naturligtvis inte är möjligt för den handläggande personalen att påverka innehållet i de handlingar som ges in eller att radera ut eventuella känsliga personupp- gifter från de elektroniskt lagrade inkomna handlingarna måste det vara tillåtet att behandla sådana känsliga personuppgifter som lämnats i ett ärende. Även beslut, tjänsteanteckningar och andra hand- lingar upprättas och lagras i den elektroniska akten. Det är omöjligt att i detalj förutse vilka känsliga personuppgifter som det kan bli nödvändigt att behandla vid upprättandet av dessa typer av elektroniska handlingar. Däremot kan det med säkerhet sägas att det i många fall kommer att fö- religga behov av behandling av sådana uppgifter. Detta innebär att det i sådana sammanhang i viss utsträckning måste vara tillåtet att behandla sådana uppgifter. Här föreslås att känsliga personuppgifter skall få be- handlas inom socialförsäkringsadministrationen om de är nödvändiga för handläggningen av ett ärende. En följd härav är också att det vid utövande av tillsyn måste vara möj- ligt att i ett tillsynsärende behandla alla typer av uppgifter eftersom sådan tillsyn regelmässigt innebär att akter i ärenden granskas. Som Riksförsäk- ringsverket påtalat innebär förslaget i promemorian att det vid tillsyn inte skulle vara möjligt att behandla andra känsliga uppgifter än uppgifter om hälsa. Eftersom de elektroniska akterna kan innehålla alla slags känsliga uppgifter är enligt regeringens uppfattning en sådan begränsning inte lämplig. Även när det gäller verksamhet i övrigt inom socialförsäkringens ad- ministration föreligger emellertid behov av att behandla sådana känsliga personuppgifter som rör hälsa. Vid en närmare eftertanke kan detta tyckas vara en självklarhet när det är fråga om ett system som bl.a. om- fattar den allmänna offentliga sjukförsäkringen och ett antal olika förmå- ner med inriktning på funktionshindrade. Det ankommer på såväl som de allmänna för- säkringskassorna att analysera utvecklingen inom de olika förmånssla- gen, särskilt sjukförsäkringen. Detta förutsätter en omfattande kartläg- gande verksamhet, som med nödvändighet måste omfatta behandling av personuppgifter. Att ta informationstekniken i anspråk för sådana upp- gifter utgör en självklar del av modern förvaltning.