prop · GQ03135 · 2003-06-05 00:00:00 — Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. Finns det i lag eller annan författning särskilda bestämmelser om registreringen eller utlämnandet av person- uppgifter behöver inte heller information lämnas då uppgifter samlas in från annan källa än den registrerade. De olika registerförfattningarna, ex- empelvis socialförsäkringsregisterlagen (1997:934), torde vara att anse som sådana bestämmelser som avses i denna undantagsbestämmelse (se prop. 2000/01:69 s 26 f.). När information skall lämnas skall den omfatta uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen samt all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Endast sådana uppgifter som den registrerade inte redan känner till behöver lämnas. Den personupp- giftsansvarige är härutöver skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör den sökande behandlas eller ej. Behandlas sådana uppgifter skall skriftlig information lämnas också om vilka uppgifter om den sökande som be- handlas, varifrån dessa uppgifter har hämtats, ändamålen med behand- lingen och till vilka mottagare eller kategorier av mottagare uppgifterna lämnas ut, s.k. registerutdrag. Under förutsättning att uppgifterna inte har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål behöver information dock inte lämnas beträffande personuppgifter som behandlas i löpande text som inte fått sin slutliga ut- formning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Undantaget för löpande text som inte fått sin slutliga utform- ning gäller dock inte om personuppgifterna behandlats . Bestämmelserna om informationsskyldighet gäller inte om sek- retess eller tystnadsplikt för uppgifterna är föreskriven i förhållande till den registrerade. Personuppgifter som är felaktiga eller ofullständiga eller som annars inte har behandlats i enlighet med personuppgiftslagen eller anknytande föreskrifter skall på begäran av den registrerade rättas, utplånas eller blockeras av den personuppgiftsansvarige. Den sistnämnde kan också vara skyldig att underrätta tredje man till vilken uppgifterna har lämnats ut. Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla person- uppgifter bara i enlighet med instruktioner från den personuppgiftsansva- rige. Om det i lag eller annan författning finns vissa särskilda bestäm- melser om behandlingen av personuppgifter i det allmännas verksamhet, t.ex. om tystnadsplikt och sekretess, skall dessa tillämpas. Den personuppgiftsansvarige skall enligt personuppgiftslagen vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de person- uppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de be- handlade uppgifterna är. Det är enligt personuppgiftslagen förbjudet att utan samtycke från den registrerade föra över personuppgifter till en stat utanför EU eller EES (tredje land) som inte har en adekvat nivå för skyddet av personuppgif- terna. Förbudet gäller också överföring av personuppgifter för behand- ling i tredje land. Frågan om ett land har en adekvat skyddsnivå skall be- dömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Som bestämmelserna är utformade torde de omfatta även överföring av en pappersutskrift av personuppgifter från till tredje land. Är av- sikten att personuppgifter efter överföring skall behandlas i tredje land torde förbudet omfatta även sådana personuppgifter som inte undergått automatiserad behandling eller ingått i ett manuellt register. Vidare om- fattas att uppgifter görs tillgängliga genom att publiceras öppet på Inter- net. Det finns en rad undantag från förbudet angivna direkt i personupp- giftslagen. Har den registrerade samtyckt till det får personuppgifter överföras utan hinder av huvudregeln. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till dataskyddskonvention. Vidare får överföring ske om den är nödvändig för att ett avtal mellan den registrerade och den personupp- giftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, för att ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registre- rades intresse skall kunna ingås eller fullgöras, för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras eller vitala intressen för den registrerade skall kunna skyddas. Regeringen får meddela föreskrifter om undantag från förbudet för överföring till vissa stater och om att en överföring är tillåten, om överfö- ringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Det förstnämnda undantaget om överföring till vissa stater tar sikte på direktivets regler om överföring till stater med adekvat skyddsnivå. har i enlighet med direktivet meddelat beslut med ställningstagande om adekvat skyddsnivå såvitt av- ser , , och enligt s.k. Safe Harbor-principer i . beslut har genomförts i genom 13 § personuppgiftsförordningen (1998:1191) och bilagan till förordningen. har vidare fattat beslut enligt direktivet om standard- avtalsklausuler som kan användas vid överföring av personuppgifter till tredje land (EGT L 181, , s. 19 och EGT L 6, 10.1.2002, s. 52). Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om undantag från förbudet i 33 § om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Direktivet medger un- dantag från förbudet mot överföring av personuppgifter med hänsyn till ett viktigt allmänt intresse. I punkt 58 i ingressen i direktivet har angetts att undantag från förbudet får medges om skyddet av väsentliga sam- hällsintressen kräver det, till exempel vid internationellt utbyte av upp- gifter mellan skattemyndigheter eller tullmyndigheter eller mellan social- försäkringsmyndigheter. Slutligen får regeringen och, efter delegation, Datainspektionen besluta om undantag från förbudet i vissa enskilda fall. Vissa undantag från förbudet finns i 12 § personuppgiftsförordningen för publicering av bl.a. kommuners och landstings diarier på Internet. Ge- nom 14 § personuppgiftsförordningen har regeringen vidare bemyndigat Datainspektionen att meddela beslut om undantag i enskilda fall om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Behandling av personuppgifter som är helt eller delvis automatiserad omfattas enligt personuppgiftslagen av anmälningsskyldighet. Den per- sonuppgiftsansvarige skall göra en skriftlig anmälan till tillsynsmyndig- heten innan en sådan behandling eller serie av sådana behandlingar med samma eller liknande ändamål genomförs. Regeringen eller den myndig- het som regeringen bestämmer får meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Anmälningsskyldighet för behandlingar föreligger inte heller om den personuppgiftsansvarige tillsätter ett personuppgiftsombud som anmälts till tillsynsmyndigheten. I har Datainspektionen tilldelats uppgiften att vara tillsyns- myndighet. Med rollen som tillsynsmyndighet följer vissa befogenheter, såsom rätt att få tillgång till behandlade personuppgifter och tillträde till lokaler med anknytning till behandlingen. Datainspektionen kan också vid vite förbjuda fortsatt behandling samt ansöka hos länsrätt om att per- sonuppgifter som har behandlats på ett olagligt sätt skall utplånas. Den personuppgiftsansvarige skall enligt personuppgiftslagen ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Er- sättningsskyldigheten kan dock i den utsträckning det är skäligt jämkas om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Den som uppsåtligen eller av oaktsamhet gör sig skyldig till vissa för- faranden kan enligt personuppgiftslagen dömas till böter eller fängelse. Det gäller i vissa fall vid lämnande av osann uppgift i information till den registrerade eller i anmälan eller information till tillsynsmyndigheten. Vidare gäller straffansvaret den som behandlar känsliga personuppgifter m.m. i strid med personuppgiftslagen, för över personuppgifter till tredje land i strid med lagen eller låter bli att göra föreskriven anmälan till till- synsmyndigheten. Regeringen har utsett en särskild utredare med uppgift att se över per- sonuppgiftslagen i syfte att, inom ramen för EG-direktivet om person- uppgifter, åstadkomma ett regelverk som mera tar sikte på missbruk av personuppgifter (se dir. 2002:31). Utredaren skall närmare analysera för- utsättningarna inom ramen för EG-direktivet om personuppgifter för en reglering som tar sikte på missbruk av personuppgifter snarare än varje slags hantering av sådana uppgifter. Syftet är i första hand att un- derlätta vardaglig hantering av personuppgifter och opinionsbildning samt kommunikation, som enskilda ges ett effektivt skydd mot missbruk av uppgifterna och andra obefogade intrång i den personliga integriteten. Utredningsuppdraget skall vara slutfört senast den 15 okto- ber 2003. Det sagda innebär att förändringar av personuppgiftslagen kan komma att genomföras inom en inte alltför avlägsen framtid. Förutsättningarna för såväl registerlagstiftningen i sig som myndigheternas insatser för in- tegritetsskydd kan således komma att förändras. skall inte kon- sekvenserna av en förändrad inriktning i enlighet med vad som övervägs överdrivas. Det är ett rimligt antagande att flertalet av de regler i regis- terlagstiftningen om ändamålsstyrning av behandling, begränsningar för sökning, reglering av behandling av känsliga personuppgifter, gallring m.m. kommer att anses lika motiverade vid en övergång till starkare in- slag av missbruksmodell i personuppgiftslagen. Till en del reglerar re- gisterlagstiftningen dessutom vissa frågor som inte omfattas av person- uppgiftslagen, exempelvis bestämmelser om i vilka fall uppgifter får Prop. 2002/03:135 lämnas ut genom direktåtkomst eller utlämnande på medium för automa- Det ter sig därför motiverat att genomföra den aktua- liserade översynen av registerlagstiftningen för socialförsäkringens ad- ministration även med beaktande av den påbörjade översynen av person- uppgiftslagen. 5.2Socialförsäkringsregisterlagen (1997:934) Socialförsäkringsregisterlagen (1997:934) trädde i kraft . genomfördes vissa förslag till ändringar i an- ledning av en begränsad översyn av lagen i syfte att anpassa den till per- sonuppgiftslagen (se prop. 2000/01:69, bet. 2000/01:SfU14, rskr. 2000/01:256). I socialförsäkringsregisterlagen särregleras personregister för sådan verksamhet i fråga om socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag, förordning eller särskilt beslut av reger- ingen ankommer på de allmänna försäkringskassorna, Premiepensions- myndigheten eller (socialförsäkringsregister). Med personregister förstås enligt socialförsäkringsregisterlagen dels register, förteckning eller andra anteckningar som förs helt eller delvis automatiserat och som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk person, dels strukturerade samlingar av uppgifter som inte förs automatiserat men som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk person. I personuppgiftslagen används emellertid inte begreppet personregis- ter. I stället regleras behandling av personuppgifter, vilket inte på samma sätt relaterar till förfaranden med inriktning på mer eller mindre fast- ställda samlingar av uppgifter i register utan innefattar i princip alla tänkbara handhavanden av en personuppgift. Socialförsäkringsregister får enligt lagen användas för ändamålen handläggning och förberedande åtgärder avseende ärenden om förmåner och ersättningar som de allmänna försäkringskassorna, Riksförsäkrings- verket eller har att sköta enligt lag, förord- ning eller särskilt beslut av regeringen. Registren får vidare användas för uppföljning, utvärdering och tillsyn samt statistikframställning i nämnda verksamhet. Personregistren får enligt en särskild ändamålsbestämmelse användas av och det organ som administrerar personalpen- sioner gemensamt för kommunerna och landstingen () för viss handläggning av ärenden om utbetalning och samordning av förmåner. Regeringen, eller den myndighet regeringen bestämt, får före- skriva i vilken omfattning detta får ske. får uppgifter i socialförsäkringsregister enligt ytterligare en särskild ändamålsbestämmelse behandlas av de allmänna försäkringskassorna och för tillhandahållande av information som behövs i Centrala och arbetslös- hetskassornas verksamhet som underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. Ett socialförsäkringsregister får innehålla uppgifter om en person som förekommer eller kan komma att förekomma i ett ärende som omfattas av lagen. En förutsättning för att personuppgifter skall få registreras är dock att dessa är av betydelse för handläggningen av ärendet. Personuppgifterna som får registreras indelas i allmänna och särskilda ärendeuppgifter. Allmänna ärendeuppgifter är identifierings- och adress- uppgifter samt uppgifter om kön, civilstånd, medborgarskap och födelse- ort. Särskilda ärendeuppgifter är uppgifter om sådana personliga och ekonomiska förhållanden som är av betydelse för handläggning av ett ärende. En huvudregel i socialförsäkringsregisterlagen är att särskilda ärende- uppgifter som är av sådant slag som avses i bestämmelserna i personupp- giftslagen om känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott m.m. inte får registreras i socialförsäkringsregister. I vissa särskilt angivna fall medges dock undantag från huvudregeln i socialförsäkringsregisterlagen om begränsningar för registrering av upp- gifter. Dels har i lagen intagits en lista med ett drygt 40-tal olika typer av uppgifter som får registreras, dels undantas särskilt vissa angivna typer av uppgifter som intagits i beslut eller domar i anledning av socialförsäk- ringsärenden. En särskild regel finns också om att regeringen får före- skriva att uppgifter om sjukdomsdiagnos i begränsad omfattning får regi- streras i socialförsäkringsregister om det behövs för angelägna uppfölj- ningsändamål. Slutligen finns också en undantagsregel som tar sikte på s.k. elektroniska akter (i lagtexten används begreppet socialförsäkrings- register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna för handläggning av ärenden). Tillförande av uppgifter genom sambearbetning får enligt socialförsäk- ringsregisterlagen ske dels från andra socialförsäkringsregister, dels när det gäller uppgifter som lämnats till en allmän försäkringskassa, Premie- pensionsmyndigheten eller med stöd av en särskild bestämmelse i lag eller förordning om lämnande av uppgifter. Uppgifter kan även tillföras ett socialförsäkringsregister med stöd av annan lag eller förordning. I socialförsäkringsregisterlagen återfinns särskilda bestämmelser om personuppgiftsansvaret för olika behandlingar hos de allmänna försäk- ringskassorna, och . Personuppgiftsansvariga för socialförsäkringsregister som förs gemen- samt för och de allmänna försäkringskassorna är verket samt varje försäkringskassa när det gäller behandling av uppgifter hos den . För register som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom denna är personuppgiftsansvarig. är personuppgifts- ansvarig för socialförsäkringsregister som förs särskilt för myndigheten. är personuppgiftsansvarigt för socialförsäkrings- register som förs särskilt för verket. I socialförsäkringsregisterlagen återfinns regler om direktåtkomst och utlämnande på medium för automatiserad behandling. Riksförsäkrings- verket och de allmänna försäkringskassorna får ha direktåtkomst till upp- gifter i socialförsäkringsregister som förs gemensamt för verket och för- säkringskassorna. Om det behövs för handläggning av ärenden eller för- beredande åtgärder för sådan handläggning får även Premiepensions- myndigheten ha direktåtkomst till ett sådant register. Direktåtkomst till uppgifter i socialförsäkringsregister som förs särskilt för en allmän för- säkringskassa får endast den ha. Om ett register förs särskilt för ett lokalt organs verksamhetsområde inom får dock endast det lokala organet ha direktåtkomst till uppgifterna. Direktåtkomst till uppgifter i socialförsäkringsregister som förs särskilt för får endast myndigheten ha. Om det be- hövs för handläggning av ärenden eller förberedande åtgärder för sådan handläggning får dock även en allmän försäkringskassa och Riksförsäk- ringsverket ha direktåtkomst till ett sådant register med undantag för så- dana handlingar som avses i bestämmelsen om elektroniska akter. Direktåtkomst till uppgifter i socialförsäkringsregister som förs särskilt för får endast verket ha. Om det behövs för hand- läggning av ärenden eller förberedande åtgärder för sådan handläggning får dock även en allmän försäkringskassa och Premiepensionsmyndig- heten ha direktåtkomst till ett sådant register med undantag för sådana handlingar som avses i bestämmelserna om elektroniska akter. Behörig- het för direktåtkomst till uppgifter i socialförsäkringsregister får endast ges till den som behöver ha tillgång till uppgifterna för att kunna utföra sitt arbete. Även organ utanför socialförsäkringsadministrationen får enligt social- försäkringsregisterlagen ha direktåtkomst till socialförsäkringsregister för vissa angivna ändamål. och det för kommunerna och landstingen gemensamma organet för administration av personalpensioner får, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, ha direktåtkomst till uppgif- ter i socialförsäkringsregister för handläggning av ärenden om utbetal- ning av socialförsäkringsförmåner och samordning av tjänstepensions- förmåner. får dessutom, i den utsträckning som föreskrivs av regeringen eller den myndighet regeringen bestämmer, använda socialförsäkringsregister för handläggning av ärenden om statens tjänstegrupplivförsäkring. I anledning härav finns även en särskild regel om tystnadsplikt för den som genom sin befattning med ett socialförsäkringsregister hos det för kommunerna och landstingen gemensamma organet för administration av personalpensioner. får även och arbetslöshetskassorna ha direktåtkomst till socialförsäkringsregister om det behövs för att upprätta underlag för beslut om och kontroll av förmåner, ersättningar och andra stöd åt enskild. Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild bestämmelse i lag eller förordning får lämnas på medium för automatisk databehandling. I övrigt får uppgifter lämnas ut på medium för automatiserad behandling endast om sådant utlämningssätt följer av lag eller förordning eller om uppgiften skall användas för forskning eller framställning av statistik. Särskilda restriktioner gäller enligt socialförsäkringsregisterlagen för sökning i socialförsäkringsregister. Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om det behövs för tillämpning av lag eller förordning eller särskilt beslut av regeringen samt för rättelse, tillsyn, uppföljning eller utvärdering, eller urval för forskning eller fram- ställning av statistik. Uppgifter om att den registrerade får eller har fått vård eller försörjning helt eller delvis på det allmännas bekostnad, är häktad, intagen i kriminalvårdsanstalt eller i övrigt har tagits om hand på det allmännas bekostnad får användas som sökbegrepp endast för rättelse och bara om felet inte kan rättas på annat sätt. I fråga om handlingar i elektroniska akter i ärendehanteringssystem får endast ärendebeteckning och beteckning på handling användas som sökbegrepp. Regeringen eller den myndighet regeringen bestämmer får dessutom föreskriva ytterligare begränsningar av användningen av uppgifter som sökbegrepp. Uppgifter i socialförsäkringsregister skall gallras ut senast efter det att de registrerades eller inom den kortare tidsfrist som föreskrivs av regeringen eller den myndighet regeringen bestämmer. Detta gäller dock inte om uppgifterna fortfarande kan antas ha betydelse för handläggning av ett ärende. Handlingar i elektroniska akter skall gallras ut senast efter utgången av det år under vilket ärendet har avslutats. Regeringen eller den myndighet regeringen bestämmer får föreskriva undantag från bestämmelserna om gallring i socialförsäkringsregister för bevarande av ett urval av material för forskningens behov. Sådant material skall över- lämnas till arkivmyndighet. Socialförsäkringsregisterlagen innehåller också bestämmelser om in- formation till den som är eller avses bli registrerad i ett socialförsäkrings- register. Inledningsvis anges att 23 och 2527 §§ personuppgiftslagen (1998:204) gäller vid tillämpning av socialförsäkringsregisterlagen. Be- träffande register som förs gemensamt för och de allmänna försäkringskassorna skall informationen lämnas av försäk- ringskassan. Uppgifter i handlingar i elektroniska akter behöver emeller- tid inte tas med i information enligt 26 § personuppgiftslagen. Av infor- mationen skall dock framgå vilka handlingar avseende den registrerade som finns i registret. Om den enskilde begär det och anger vilken hand- ling som avses skall, om inte annat följer av bestämmelser om sekretess, information lämnas även om uppgifter i handlingar i elektroniska akter. I sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att in- formation bara behöver lämnas gratis en gång per kalenderår gälla varje handling för sig. Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall se till att den som är eller avses bli registrerad på lämpligt sätt får information om registret. Informationen skall innehålla en beskrivning av de uppgifter som registret får innehålla samt upplysning om ändamålen med registret, de sekretess- och säkerhetsbestämmelser som gäller för re- gistret, rätten att ta del av uppgifter enligt 26 § personuppgiftslagen, rät- ten till rättelse enligt personuppgiftslagen och socialförsäkringsregister- lagen, samt de begränsningar i fråga om direktåtkomst, utlämnande av uppgifter på medium för automatiserad behandling, sökbegrepp och be- varande av uppgifter som gäller för registret. Ett motsvarande skadeståndsansvar som det som gäller vid behandling i strid med personuppgiftslagen gäller enligt socialförsäkringsregisterla- gen vid behandling i strid med sistnämnda lag eller anslutande författ- ningar. Vidare har i socialförsäkringsregisterlagen intagits en bestäm- melse om rättelse som motsvarar vad som gäller enligt personuppgifts- lagen. En myndighets beslut om rättelse och om information som skall läm- Prop. 2002/03:135 nas enligt 26 § personuppgiftslagen får enligt socialförsäkringsregister- lagen överklagas hos allmän förvaltningsdomstol. Andra beslut enligt so- cialförsäkringsregisterlagen får inte överklagas.