prop · GQ03135 · 2003-06-05 00:00:00 — Den föreslagna lagen är en sådan s.k. registerlag, som utgör ett komplement till personupp- giftslagens (1998:204) bestämmelser om skydd för den personliga integ- riteten vid automatiserad behandling av personuppgifter m.m. med avse- ende på behandling av personuppgifter i myndigheters verksamhet. Lagen skall ersätta socialförsäkringsregisterlagen (1997:934). De centrala delarna i den föreslagna lagen innehåller i huvudsak föl- jande. -Lagen skall tillämpas vid behandling av personuppgifter vid Riks- försäkringsverket, de allmänna försäkringskassorna eller Premiepen- sionsmyndigheten (socialförsäkringens administration). Lagen gäller dock endast om behandlingen är helt eller delvis automatiserad eller om personuppgifter ingår i eller är avsedda att ingå i en strukturerad samling av uppgifter som är tillgängliga för sökning eller samman- ställning enligt särskilda kriterier. Detta innebär att den föreslagna lagens tillämpningsområde anpassats till personuppgiftslagens tillämpningsområde. Emellertid föreslås att bestämmelserna i den föreslagna lagen om bl.a. ändamål, känsliga uppgifter, gallring, data- bas och sökbegrepp i tillämpliga delar även skall gälla uppgifter om avlidna personer, vilket innebär en utvidgning av tillämpningsområ- det i förhållande till personuppgiftslagens bestämmelser. -Den föreslagna lagen utgör endast ett komplement till personupp- giftslagen. Även personuppgiftslagen skall alltså gälla vid behandling av personuppgifter inom de verksamheter som omfattas av den nya lagen, om inte annat följer av den lagen eller föreskrifter som med- delas i enlighet med denna eller personuppgiftslagen. -I den föreslagna lagen anges ändamål för behandling av personupp- gifter som på ett övergripande sätt återspeglar den behandling som förekommer. Ändamålen delas in i primära ändamål och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för tillgodoseende av de behov som finns inom socialförsäkringens administration. De sekundära ändamålen avser utlämnande av person- uppgifter från myndigheter inom socialförsäkringens administration. Såväl de primära som de sekundära ändamålen utgör även grunden för ett antal av de föreslagna detaljreglerna med integritetsskyddande syfte. -Känsliga personuppgifter som avses i 13 § personuppgiftslagen, dvs. uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv, skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för hand- läggning av ett ärende. För informationsverksamhet, behov av under- lag för bedömning av rättigheter och skyldigheter, planering, resultat- uppföljning, resultatredovisning, utvärdering, tillsyn eller framställ- ning av statistik får endast sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. Be- handling för planering, resultatuppföljning, resultatredovisning, ut- värdering, tillsyn eller framställning av statistik får inte ske beträff- ande andra känsliga uppgifter än sådana som behandlas eller har be- handlats för informationsverksamhet, behov av underlag för bedöm- ning av rättigheter och skyldigheter eller handläggning av ärenden. Känsliga personuppgifter får behandlas för återsökning av vägledande avgöranden eller för något av de sekundära ändamålen om det är nödvändigt med hänsyn till ändamålet. -Uppgifter om lagöverträdelser avses i 21 § personuppgiftslagen skall få behandlas om de lämnats till en myndighet i ett ärende eller är nödvändiga för handläggning av ett ärende. För informationsverk- samhet, dokumentation för framtida handläggning, planering, resul- tatuppföljning, resultatredovisning, utvärdering, tillsyn eller fram- ställning av statistik får endast sådana uppgifter om lagöverträdelser behandlas som ligger inom ramen för vad som får behandlas i social- försäkringsdatabasen. Behandling för planering, resultatuppföljning, resultatredovisning, utvärdering, tillsyn eller framställning av statistik får inte ske beträffande andra sådana uppgifter än dem som behandlas eller har behandlats för informationsverksamhet, dokumentation för framtida handläggning eller handläggning av ärenden. Uppgifter om lagöverträdelser avses i 21 § personuppgiftslagen får behandlas för återsökning av vägledande avgöranden eller för något av de sekun- dära ändamålen om det är nödvändigt med hänsyn till ändamålet. -Den övergripande regleringen av de mer integritetskänsliga typerna av behandlingar utgår från begreppet socialförsäkringsdatabasen. Det innebär att det s.k. registerbegreppet överges som utgångspunkt för regleringen. Socialförsäkringsdatabasen avser den samling uppgifter och handlingar som med hjälp av automatiserad behandling används gemensamt inom socialförsäkringens administration. Begreppet inne- fattar allt från enkla datorregister till avancerade datorsystem som kan hantera elektroniska dokument. Avgörande för att viss behandling av personuppgifter skall omfattas av de särskilda bestämmelser som relaterar till socialförsäkringsdatabasen är om uppgifter eller hand- lingar hanteras för gemensamt bruk inom myndigheterna. För be- handling i socialförsäkringsdatabasen av känsliga personuppgifter respektive sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall särskilda begränsningar gälla. -I syfte att möta de integritetsrisker som följer med ett ökat inslag av informationsteknik inom förvaltningen föreslås även vissa regler om ökad datasäkerhet. Tilldelning av behörighet för åtkomst till social- försäkringsdatabasen skall endast ske skriftligen. Den som tilldelas sådan behörighet skall skriftligen informeras om gränserna för behö- righeten. Behörighet för åtkomst till socialförsäkringsdatabasen skall alltid begränsas till den åtkomst till uppgifter som behövs för den en- skildes fullgörande av sina arbetsuppgifter. -Direktåtkomst till uppgifter i socialförsäkringsdatabasen skall förut- sätta särskilt medgivande i lag eller annan författning. försäkringskassorna, och Premiepensionsmyn- digheten skall dock få ha direktåtkomst till uppgifter i socialförsäk- ringsdatabasen i den utsträckning det behövs för verksamhet enligt de primära eller sekundära ändamålen. kommunerna och landstingen gemensamma organet för administra- tion av personalpensioner (i det följande benämnt KPA) skall, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, få ha direktåtkomst till uppgifter i socialförsäkringsdatabasen för samordning av tjänstepensioner. skall, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, få ha direktåt- komst till uppgifter i socialförsäkringsdatabasen även för handlägg- ning av ärenden i vilka reglerna om statens tjänstegrupplivförsäkring kassorna skall få ha direktåtkomst till vissa uppgifter i socialförsäk- -Personuppgifter om en enskild fysisk person som får lämnas ut till honom eller henne skall alltid få lämnas ut på medium för automatise- rad behandling till denne själv. Personuppgifter och handlingar som innehåller personuppgifter i socialförsäkringsdatabasen skall i övrigt endast få lämnas ut på medium för automatiserad behandling till myndigheter eller enskilda om det sker i enlighet med de sekundära ändamålen. -Personuppgifter i socialförsäkringsdatabasen skall få lämnas ut på medium för automatiserad behandling för sammanställning av ge- mensam pensionsinformation om den registrerade samtyckt till det. -Personuppgifter som behövs för skadereglering skall få lämnas ut på medium för automatiserad behandling till organ som driver försäk- ringsrörelse. En förutsättning skall dock vara att den försäkrade sam- tyckt till att mottagaren får del av uppgifterna. -Känsliga personuppgifter eller sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen skall inte få användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning i handlingar som kommit in i anledning av ett ärende eller upprättats i ett ärende och som lagrats på medium för automatiserad behandling skall endast ärendebeteckning eller beteckning på handling få använ- das som sökbegrepp. Utan hinder av begränsningarna för sökning i den föreslagna lagen skall dock personuppgifter som rör hälsa få an- vändas som urvalskriterium vid sammanställningar om regeringen har meddelat föreskrifter om det. -Överföring av personuppgifter till tredje land som är nödvändig på grund av åtaganden i avtal om social trygghet som ingått med andra stater skall få ske utan hinder av 33 § personuppgiftslagen. -I fråga om automatiserad behandling av personuppgifter som omfat- tas av den nya lagen skall bestämmelserna om information till den registrerade i 23 och 25-27 §§ personuppgiftslagen tillämpas, dock med den begränsningen att uppgifter i handlingar som kommit in i ett ärende eller upprättats i ett ärende inte behöver tas med i information enligt 26 § personuppgiftslagen om den registrerade tagit del av handlingens innehåll. Av informationen skall dock framgå vilka så- dana handlingar som behandlas. Om den registrerade begär det och anger vilken handling som avses skall dock informationen, om inte annat följer av bestämmelser om sekretess, även omfatta uppgifter i en sådan handling. I sistnämnda fall skall begränsningen i 26 § per- sonuppgiftslagen om att information bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. -Vid behandling av personuppgifter i strid med den nya lagen skall gälla en motsvarande skyldighet till skadestånd som enligt person- uppgiftslagen gäller vid behandling av personuppgifter i strid med den lagen. -Personuppgift eller handling som behandlas automatiserat skall gall- ras när det är nödvändigt med hänsyn till de primära än- damålen att bevara den. Regeringen eller den myndighet regeringen bestämmer får dock föreskriva att handlingar eller uppgifter skall be- varas. -Personuppgiftslagens bestämmelser om rättelse, blockering eller ut- plåning av personuppgifter skall gälla på motsvarande sätt vid be- handling av personuppgifter inom socialförsäkringens administration i strid med den föreslagna lagen. -De allmänna försäkringskassorna, och Premie- pensionsmyndigheten åläggs att genom särskilda åtgärder kontrollera efterlevnaden av den nya lagen, enligt vad som föreskrivs av reger- ingen eller den myndighet regeringen bestämmer. Lagförslag i departementspromemorian En ny lag om behandling av personuppgifter inom socialförsäkringens administration (Ds 2002:60) Förslag till lag om behandling av personuppgifter inom socialförsäkringens administration 1 § Denna lag tillämpas vid behandling av personuppgifter i verksamhet som gäller socialförsäkringsförmåner samt andra förmåner och ersätt- ningar som enligt lag eller förordning eller särskilt beslut av regeringen handläggs av , de allmänna försäkringskassorna eller (socialförsäkringens administration). Lagen gäller endast om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Bestämmelserna i 613, 22, 23 och 26 §§ gäller i tillämpliga delar även uppgifter om avlidna personer. 2 § Sådan behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. 3 § I fråga om behandling av personuppgifter inom ramen för den offici- ella statistiken finns särskilda bestämmelser i lagen (2001:99) om den officiella statistiken och i författningar som ansluter till den lagen. Be- stämmelsen i 1 § tredje stycket nämnda lag gäller inte i fråga om fram- ställning av statistik inom socialförsäkringens administration. 4 § Personuppgiftslagen (1998:204) gäller vid behandling av personupp- gifter inom socialförsäkringens administration, om inte annat följer av denna lag eller föreskrifter som meddelas i enlighet med denna lag eller med stöd av personuppgiftslagen. 5 § En myndighet inom socialförsäkringens administration är personupp- giftsansvarig för den behandling av personuppgifter som den utför. 6 § De allmänna försäkringskassorna, och får i sin verksamhet behandla personuppgifter om det är nödvändigt för att 1.återsöka vägledande avgöranden, 2.tillgodose behov av underlag som krävs för att den registrerades eller annans rättigheter eller skyldigheter i fråga om socialförsäkrings- förmåner skall kunna bedömas eller fastställas, 3.informera om socialförsäkringsförmåner, 5.planera, samt göra resultatuppföljning, resultatredovisning, utvärde- ring och tillsyn av respektive verksamhet, 6.framställa statistik avseende verksamhet enligt 4 och 5. Vid behandling för det ändamål som anges i första stycket 1 får inte användas uppgifter som direkt pekar ut den registrerade. 7 § Personuppgifter som behandlas för ändamål som anges i 6 § får också behandlas av de allmänna försäkringskassorna och för tillhandahållande av information som behövs 1.som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskilda i den verksamhet som bedrivs av och arbetslöshetskassorna, 2.för samordning av tjänstepensioner i den verksamhet som bedrivs av och det för kommunerna och landstingen gemen- samma organet för administration av personalpensioner eller 3.för handläggning av ärenden som handläggs av ivilka reglerna om statens tjänstegrupplivförsäkring skall tillämpas, De allmänna försäkringskassorna, och får även behandla personuppgifter som behandlas för ändamål som anges i 6 § för att tillhandahålla information till motta- gare utanför den egna myndigheten på grund av 1.sådan skyldighet att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning, 2.sådant medgivande att lämna ut uppgifter som följer av särskilda be- stämmelser i lag eller förordning, 3.sådan skyldighet att lämna ut uppgifter som följer av gemenskaps- rätten inom Europeiska unionen, 4.åtaganden i samarbetet inom Europeiska ekonomiska samarbetsom- rådet eller i avtal om social trygghet eller utgivande av sjukvårdsförmå- ner som ingått med andra stater. Behandling av känsliga personuppgifter m.m. 8 § Känsliga personuppgifter som avses i 13 § personuppgiftslagen (1998:204) (känsliga personuppgifter) får behandlas om uppgifterna lämnats till en myndighet inom socialförsäkringens administration i ett ärende eller är nödvändiga för handläggning av ett ärende. För något av de ändamål som anges i 6 § första stycket 2, 3, 5 och 6 får sådana känsliga personuppgifter behandlas som rör hälsa och som är nödvändiga med hänsyn till ändamålet. I övrigt får känsliga personupp- gifter inte behandlas för de ändamålen. Behandling för något av de än- damål som anges i 6 § första stycket 5 och 6 får inte ske beträffande andra sådana känsliga personuppgifter än dem som behandlas eller har behandlats för något av de ändamål som anges i 6 § första stycket 24. Känsliga personuppgifter får behandlas för något av de ändamål som anges i 6 § första stycket 1 eller 7 § om det är nödvändigt med hänsyn till 9 § Uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) får behandlas om uppgifterna lämnats till en myn- dighet inom socialförsäkringens administration i ett ärende eller är nöd- vändiga för handläggning av ett ärende. För något av de ändamål som anges i 6 § första stycket 2, 3, 5 och 6 får sådana uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen (1998:204) behandlas som enligt 12 § får behandlas i social- I övrigt får sådana uppgifter inte behandlas för de Behandling för något av de ändamål som anges i 6 § första stycket 5 och 6 får inte ske beträffande andra sådana uppgifter om lag- överträdelser än dem som behandlas eller har behandlats för något av de ändamål som anges i 6 § första stycket 24. Uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgifts- lagen (1998:204) får behandlas för något av de ändamål som anges i 6 § första stycket 1 eller 7 § om det är nödvändigt med hänsyn till ändamålet. 10 § I 12 § finns särskilda bestämmelser om behandling av känsliga per- sonuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) i socialförsäkringsdatabasen. 11 § uppgifter och handlingar som med hjälp av automatise- rad behandling används gemensamt i verksamhet som avses i 1 § utgör I socialförsäkringsdatabasen får endast sådana personuppgifter be- handlas som avser personer som omfattas eller har omfattats av verk- samhet enligt de ändamål som anges i 6 § eller personer om vilka upp- gifter på annat sätt behövs för handläggningen av ett ärende. 12 § För de ändamål som anges i 6 och 7 §§ får, med beaktande av de begränsningar som följer av 6, 8, 9 och 11 §§, i socialförsäkringsdataba- sen behandlas identifierings- och adressuppgifter samt uppgifter om 5.förekomsten av ansökan eller anmälan i ärenden, 6. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för er- sättningsgrundande förhållanden, i ärenden, 7.grad av nedsatt arbetsförmåga, 8.förekomsten av intyg och utlåtande av läkare eller annan intygs- givare, 9.förekomsten av rehabiliteringsutredning eller annan utredning i rehabiliteringsärende samt av fastställd rehabiliteringsplan, 10.arten av och tidpunkter för föreslagna, planerade och vidtagna rehabiliteringsåtgärder, 11.förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om bostadsbidrag, 12.den registrerade får eller har fått vård eller försörjning helt eller delvis på det allmännas bekostnad, 13.den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt har tagits om hand på det allmännas bekostnad, 14.den registrerade vistas eller bor i en särskild boendeform enligt socialtjänstlagen (2001:453) eller vistas eller bor på annat liknande sätt, 15.fråga om återbetalningsskyldighet har uppkommit, 16.vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till handikappade som den bilstödsberättigade hör till, 17.att godmanskap eller förvaltarskap är anordnat enligt föräldrabal- 18.att en förälder på grund av sjukdom eller handikapp varaktigt sak- nar förmåga att vårda barn, 19.att den registrerade får aktivitetsstöd enligt 5 § tredje stycket för- ordningen (1996:1100) om aktivitetsstöd, 20.att den registrerade har rätt till ersättning enligt 16-22 §§ förord- ningen om aktivitetsstöd, 22.anledningen till att ett ärende avslutats. 23.vårdgivare i ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa 24.förekomsten av begäran om förhandsprövning enligt förordningen om tandvårdstaxa samt kod för behandlingsförslag som begäran avser, 25.kod för behandling som avses i förordningen om tandvårdstaxa, 26.att den registrerade har rätt till ersättning enligt 9, 13 eller 14 § för- ordningen om tandvårdstaxa, 27.förhållanden som anges i 15 § andra stycket förordningen om tand- vårdstaxa, 28.förekomsten av remiss i ärenden om ersättning för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och förordningen (1998:1337) om tandvårdstaxa, remitterande vårdgivares namn och nam- net på den vårdgivare till vilken remiss har skett, 29.patientavgift och tandvårdsersättning. 30.avgöranden av domstol, , Premiepensions- myndigheten eller allmän försäkringskassa som är av betydelse för en- skilda ärenden såvitt avser uppgifter om utgången, de bestämmelser som har tillämpats, och huruvida avgörandet har överklagats 31. diagnos, 32. läkare som utfärdat intyg som ligger till grund för beslut om ersätt- 33. ekonomiska förhållanden, 34. arbetsgivare, 35. arbetsställe, 36. yrke, 37. bransch där den registrerade är verksam och 38. beslut i ärenden. Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får utöver vad som anges i första stycket och 13 § endast behandlas i socialförsäkringsdatabasen om det särskilt anges i lag eller förordning. Regeringen eller den myndighet regeringen bestämmer meddelar föreskrifter om ytterligare begränsningar för vilka uppgifter som får behandlas i socialförsäkringsdatabasen samt närmare föreskrifter om vilka uppgifter som får behandlas. 13 § En handling som kommit in i ett ärende får behandlas i socialförsäk- ringsdatabasen och får innehålla känsliga personuppgifter och uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204). En handling som upprättats i ett ärende får behandlas i soci- alförsäkringsdatabasen och får innehålla sådana uppgifter om de är nöd- vändiga för ärendets handläggning. 14 § Behörighet för åtkomst till socialförsäkringsdatabasen får endast Den som tilldelas sådan behörighet skall skriftligen informeras om gränserna för den. Behörighet för åtkomst till socialförsäkringsdatabasen skall begränsas till vad som behövs för att den enskilde skall kunna fullgöra sina arbets- 15 § Direktåtkomst till socialförsäkringsdatabasen är endast tillåten i den utsträckning som anges i denna lag eller annan författning. 16 § De allmänna försäkringskassorna, och Premie- pensionsmyndigheten får ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det behövs för de ändamål som anges i 6 och 7 §§. Sådan direktåtkomst skall vara förbehållen de personkategorier som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om direktåtkomst som avses i första stycket. 17 § och det för kommunerna och landstingen ge- mensamma organet för administration av personalpensioner får ha direktåtkomst till socialförsäkringsdatabasen för samordning av tjänste- pensioner med socialförsäkringsförmåner. får ha direktåtkomst till socialförsäkringsdata- basen för handläggning av ärenden i vilka reglerna om statens tjänste- grupplivförsäkring skall tillämpas. Bestämmelserna i 14 § och 16 § första stycket andra meningen gäller också för pensionsverket och det gemensamma organet. Regeringen eller den myndighet regeringen bestämmer meddelar före- skrifter om vilka uppgifter direktåtkomst enligt första och andra stycket 18 § och arbetslöshetskassorna får ha direktåtkomst till socialförsäkringsdatabasen i den utsträckning det be- hövs för ändamål som anges i 7 § första stycket 1. Regeringen meddelar föreskrifter om vilka uppgifter direktåtkomst en- ligt första stycket får omfatta. Utlämnande på medium för automatiserad behandling 19 § Personuppgifter i socialförsäkringsdatabasen som får lämnas ut till den registrerade får lämnas ut till denne på medium för automatiserad Personuppgifter eller handlingar i socialförsäkringsdatabasen som innehåller personuppgifter får i övrigt lämnas ut på medium för automatiserad behandling endast om det behövs för något av de ändamål som anges i 7 §. 20 § Personuppgifter i socialförsäkringsdatabasen får lämnas ut på medium för automatiserad behandling för sammanställning av gemensam pensionsinformation om den registrerade uttryckligen samtyckt till ut- Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som får lämnas ut enligt första 21 § Personuppgifter som behövs för skadereglering får lämnas ut på medium för automatiserad behandling till organ som driver försäkrings- rörelse om den registrerade uttryckligen samtyckt till utlämnandet. Regeringen eller den myndighet regeringen bestämmer meddelar när- mare föreskrifter om vilka uppgifter som skall få lämnas ut enligt första 22 § Känsliga personuppgifter eller uppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp vid sökning i socialförsäkringsdatabasen. Vid sökning i handlingar i socialförsäkringsdatabasen som kommit in