sou · GRB34 · 2004-01-01 00:00:00 — Utredningens förslag: Ett beslut om att avslå en ansökan om rättelse eller information enligt 26 § personuppgiftslagen (1998:204) skall i vissa fall få överklagas hos allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. En hänvisning skall göras till 22 § förvaltningslagen (1986:223) för att tydliggöra att alla beslut om rättelse eller information inte får överklagas. I ett flertal särskilda registerförfattningar, bl.a. lagen (2001:454) om behandling av personuppgifter inom och lagen (2001:185) om behandling av uppgifter i verksamhet, finns bestämmelser om att ifrågavarande myndigheters beslut om rättelse eller information enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltningsdomstol. I förarbetena till förstnämnda lag (prop. 2000/01:80 s. 159) framgår att regeringens uppfattning är att beslut angående behandling av personuppgifter som direkt rör den enskilde skall kunna överklagas. Enligt regeringen bör man därför kunna överklaga sådana beslut som redovisats ovan. Det finns inte skäl till att i nu aktuellt författningsärende göra en annan bedömning än den regeringen tidigare gjort om över- klagande. Enligt utredningens mening skall därför en kommuns eller en trafikhuvudmans beslut om att avslå en ansökan om infor- mation och om rättelse kunna överklagas som förvaltningsbeslut, jfr 10 kap. 3 § kommunallagen (1991:900). Besluten får således i enlighet med 22 a § förvaltningslagen. överklagas hos allmän för- valtningsdomstol och det bör krävas prövningstillstånd för överklagande till kammarrätten. Att materiellt reglera en enskilds rätt att överklaga beslut torde dock kräva författning i lag och det bör därför endast göras en hänvisning till 22 a § förvaltningslagen i nu aktuell förordning. Det bör emellertid understrykas att alla beslut om rättelse och information enligt 26 § personuppgiftslagen inte får överklagas, eftersom sådana beslut också kan fattas av andra än myndigheter, t.ex. ett privat taxiföretag som för ett beställnings- register. För att tydliggöra att vissa av nämnda beslut inte kan överklagas bör därför en hänvisning också göras till 22 § förvaltningslagen, i vilken framgår att ett beslut får överklagas av den som beslutet angår, om det har gått honom emot och beslutet kan överklagas. Andra beslut som rör behandling av personuppgifter i tillståndsregister och beställningsregister kan inte överklagas. 7Ekonomiska konsekvenser av förslagen Utredningen gör den bedömningen att de förslag som innebär eventuella förändringar i de nuvarande färdtjänst- och riksfärd- tjänstregistren kan medföra mindre kostnader av engångskaraktär för bl.a. kommuner och trafikhuvudmän. Kostnaderna förväntas därför kunna hanteras inom respektive myndighets budget. Förslagen innebär att området för överklagande till allmän förvaltningsdomstol utökas. Domstolsprövning med anledning av förordningen förväntas förekomma i ytterst begränsad omfattning och bedöms därför inte påverka förvaltningsdomstolarnas resursbehov. För att de lämnade förslagen skall kunna genomföras fordras att berörda kommuner, trafikhuvudmän m.fl. får tid att förbereda vissa tekniska åtgärder avseende register, t.ex. för direktåtkomst och sökbegränsningar. Förordningen om viss behandling av person- uppgifter inom färdtjänsten och riksfärdtjänsten föreslås därför träda i kraft . Av övergångsbestämmelserna till personuppgiftslagen (1998:204) framgår att beträffande skadestånd skall den lagens bestämmelser tillämpas bara om den omständighet som yrkandet hänför sig till har inträffat efter det att personuppgiftslagen har trätt i kraft. Motsvarande övergångsbestämmelse bör gälla avseende behandling enligt nu föreslagna förordning. Förordningens bestämmelser om skadestånd skall således tillämpas endast om den omständighet som yrkandet hänför sig till har inträffat efter det att förordningen trätt i kraft. För behandling av personuppgifter som har påbörjats före ikraftträdandet kommer skadeståndsbestämmelserna i antingen datalagen (1973:289) eller personuppgiftslagen att vara tillämpliga. För register gäller särskilda övergångsbestämmelser i personuppgiftslagen och motsvarande bestämmelser bör finnas i nu ifrågavarande förordning. Med hänsyn härtill skall bestämmelserna i den nya förordningen inte börja tillämpas förrän , i fråga om sådan behandling av personuppgifter som påbörjats före eller behandling av personuppgifter som utförs för ett visst ändamål, om behandling för ändamålet påbörjats före . 9.1Förslag till förordning om viss behandling av personuppgifter inom färdtjänsten och riksfärdtjänsten Av 2 § personuppgiftslagen framgår att bestämmelser i lagar och förordningar som avviker från personuppgiftslagen gäller framför denna. För tydlighetens skull kan det dock ändå vara motiverat att det av förordningen uttryckligen framgår att den gäller utöver personuppgiftslagen. Förordningen skall tillämpas vid kommuners och trafikhuvud- mäns behandling av personuppgifter i ett tillståndsregister eller ett beställningsregister inom färdtjänsten eller riksfärdtjänsten, om behandlingen är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling person- uppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Förordningen skall även tillämpas på behandling av personuppgifter i ett beställningsregister som utförs av en enskild, om den enskilde enligt avtal med en kommun eller en trafikhuvudman om utförande av resor enligt lagen om färdtjänst eller lagen om riksfärdtjänst eller enligt avtal om en beställnings- central för ett sådant register när förordningen träder i kraft, se avsnitten 5.2 och 5.4.3. Det bör i detta sammanhang understrykas att förslaget inte innebär något förbud mot att ett tillstånds- eller ett beställningsregister förs utan anpassningar i enlighet med förordningen. Personuppgiftslagens bestämmelser blir dock fullt tillämpliga på sådana register och är fortsatt tillämpliga på övriga register inom färdtjänsten och riksfärdtjänsten. Begreppen behandling och personuppgifter definieras i 3 § per- sonuppgiftslagen. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, exempelvis genom insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller för- störing. Med personuppgift avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är livet. I avsnitt 3.3 lämnas en redovisning av trafikhuvudmannens upp- gifter såvitt avser färdtjänsten och riksfärdtjänsten. Av utredning- ens enkätundersökning och av Datainspektionens tidigare beslut om register inom färdtjänsten och riksfärdjänsten framgår att känsliga personuppgifter enligt 13 § personuppgiftslagen som rör hälsa förekommer framför allt i register som utredningen betecknar tillståndsregister och beställningsregister. För tydlighetens skull definieras dessa register genom en hänvisning till ändamålsbestäm- melserna i föreslagen förordning. I paragrafen anges de ändamål för vilka personuppgifter i ett till- ståndsregister får användas, nämligen handläggning av ärenden enligt lagen om färdtjänst och lagen om riksfärdtjänst. Ett sådant register får dessutom användas för planering och utvärdering av färdtjänsten och riksfärdtjänsten samt för framställning av statistik. Genom ändamålsbestämmelsen anges den yttre ramen för vad uppgifterna i ett tillståndsregister får användas till. Ändamålet har avgörande betydelse för vilka uppgifter som får tas in i registret och hur dessa uppgifter får behandlas. Bestämmelsen blir därför av stor vikt för den personliga integriteten. Det åligger den personupp- giftsansvarige att se till att uppgifterna i ett register används på ett sätt som står i överensstämmelse med registrets ändamål. I bestämmelsen anges ändamålen med ett beställningsregister. Ett beställningsregisters ändamål kan vara planering, samordning och beställning av resor inom färdtjänsten och eventuellt riksfärd- tjänsten. Ett sådant register kan dessutom användas för annan administration av sådana resor, för planering och utvärdering av verksamheten samt för framställning av statistik. Ett beställ- ningsregister kan således användas t.ex. till framtagande av olika avstämningsunderlag, bokföringsunderlag och kontroll av att resor blivit utförda. I ett tillståndsregister får personuppgifter som rör hälsa behandlas, om uppgifterna har lämnats i ett ärende om färdtjänst eller riks- färdtjänst eller om sådana uppgifter är nödvändiga för de ändamål som sägs i 3 §. Bestämmelsen medför att kommuner och olika trafikhuvudmän inte längre behöver be om samtycke från färd- tjänstberättigade för att kunna registrera sådana känsliga personuppgifter. Ett beställningsregister får inte i samma omfattning som ett tillståndsregister innehålla sådana känsliga personuppgifter som avses i 13 § personuppgiftslagen som rör hälsa, utan får endast innehålla sådana uppgifter om hälsa som anges i bilaga till den föreslagna förordningen. Anledningen härtill är bl.a. att det inte finns ett lika stort behov av uppgifter om den enskildes hälsa i ett beställningsregister som i ett tillståndsregister. Det bör anmärkas att det i bilagan inte finns en fullständig uppräkning av vilka uppgifter som får förekomma i ett beställningsregister, utan endast en redovisning av vilka uppgifter om hälsa som får finnas i ett sådant register. I paragrafen regleras bruket av sökbegrepp i tillståndsregister och beställningsregister. Se avsnitt 5.4.4. Direktåtkomst omfattar vanligen hela registret och den som får direktåtkomst kan arbeta mot registret med sina frågor. Endast den som för de i 4 § angivna ändamålen behöver ha tillgång till uppgifterna får ha direktåtkomst till uppgifterna i ett beställnings- register. Direktåtkomst får endast omfatta de uppgifter som behövs för att anordna resor. Det finns endast behov av särskilda bestämmelser om direktåtkomst, om någon annan än den personuppgiftsansvarige har tillgång till uppgifterna i ett register. Enligt vad utredningen erfar bör detta komma i fråga endast avseende ett beställningsregister. Bestämmelsen är utformad i överensstämmelse med de sekretessbrytande bestämmelserna i 15 § lagen om färdtjänst och 12 § lagen om riksfärdtjänst. De närmare övervägandena avseende detta förslag finns i avsnitt 5.4.6. Personuppgiftslagens bestämmelser om rättelse och skadestånd är utformade så att dessa gäller vid överträdelse av den lagen. Genom aktuell paragraf görs personuppgiftslagens bestämmelser tillämpliga också då personuppgifter behandlas i strid med nu föreslagen förordning. I bestämmelsen upplyses om att ett beslut om rättelse eller om avslag på ansökan om information i vissa fall får överklagas hos allmän förvaltningsdomstol. Särskilt yttrande av , , och Frågan om vem som är personuppgiftsansvarig för behandling av de personuppgifter i register som omfattas av den föreslagna för- ordningen är inte reglerad i den av utredningen föreslagna författningstexten. Eftersom denna fråga är oreglerad gäller, som nämns i kapitel 5 i utredningens betänkande, personuppgiftslagens allmänna regler om personuppgiftsansvar. Utredningens uppfattning är att personuppgiftsansvaret för ett s.k. beställningsregister alltid bör åvila en myndighet, i detta fall en nämnd eller en trafikhuvudman. Personuppgiftsansvaret bör enligt utredningen åvila den kommunala nämnden/trafik- huvudmannen också i de fall då en privat utförare anordnar tjänster av typen beställningscentral och färdtjänsttransporter (avsnitt 5.4.3 i betänkandet). Vi vänder oss bestämt mot ett sådant synsätt. PuL:s bestämmelse i 3 § om personuppgiftsansvar innebär att den som ensam eller tillsammans med annan bestämmer över ändamålet med och hjälpmedel för behandlingen av personuppgifter är person- uppgiftsansvarig. Vidare utgår regleringen i 3 och 30-31 §§ person- uppgiftslagen (PuL) om personuppgiftsbiträde från att biträdet behandlar personuppgifter för en personuppgiftsansvarigs räkning. Den personuppgiftsansvarige äger alltså uppgifterna och kan rättsligt och faktiskt förfoga över dessa. I ett avtal mellan en kommun/trafik- huvudman och en privat utförare om anordnande av färdtjänst- transporter är så inte fallet, eftersom avtalet inte avser behandling av personuppgifter utan utförande av en tjänst. Utföraren bestämmer således med vilka hjälpmedel denne skall fullgöra sin del av avtalet och måste därför ges möjlighet att registrera uppgifter i de register som är bäst lämpade för utförarens egen verksamhet. Teoretiskt skulle kunna man kunna tänka sig ett avtal mellan en kommun/trafikhuvudman och en privat utförare som anger att utföraren är personuppgiftsbiträde till kommunen/trafik- huvudmannen för behandling av uppgifter i ett beställningsregister. Ett sådant avtal skulle dock strida mot den rättsliga grunden för avtal om personuppgiftsbiträde genom att de uppgifter som behandlas i verksamheten inte är kommunens/trafikhuvudmannens utan utförarens egna eftersom registret används som ett stöd i utförarens verksamhet för att utföra den avtalade tjänsten. Vidare löper avtal mellan en kommun/trafikhuvudman och en utförare oftast och kommunen/trafikhuvudmannen har ingen rättslig möjlighet att säga upp ett löpande avtal med utföraren för att reglera äganderätt till uppgifterna i de beställningsregister som utföraren arbetar med. Dessutom är det högst oklart om någon utförare frivilligt vill ingå ett avtal med en kommun/trafik- huvudman som innebär att uppgifterna de arbetar med inte är transportföretagets, utan en kommuns eller trafikhuvudmans. Detta är särskilt viktigt mot bakgrund av de konsekvenser ett sådant avtal skulle få för frågan om offentlighetsinsyn, bevarande och gallring av uppgifter m.m. Ur nämndens/trafikhuvudmannens synvinkel skulle en reglering som innebär att de är personuppgiftsansvariga för den behandling av personuppgifter som utförs av en utförare medföra mycket stora praktiska problem som den inte innebär några fördelar ur integritetssynpunkt. Det skulle t.ex. innebära att nämnden/trafik- huvudmannen har ansvaret för att tillse att personuppgifts- behandlingen hos en utförare sker enligt PuL:s och förordningens krav. Vidare innebär detta att nämnden/trafikhuvudmannen har ansvaret för att verkställa en eventuell begäran från en registrerad om att erhålla s.k. registerutdrag enligt 26 § PuL. Dessutom har nämnden/trafikhuvudmannen skadeståndsansvaret enligt PuL för behandlingar i strid mot den föreslagna förordningen eller mot PuL som biträdet utför. Enligt 30 § PuL gäller att ett personuppgiftsbiträde enbart får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Biträdet kan alltså inte självständigt vidta några åtgärder med register, programvara eller säkerhet utan måste alltid invänta instruktioner från uppdragsgivaren. Detta strider mot det rättsliga förhållandet mellan en huvudman och en självständig utförare. Det som är föremål för avtalet mellan beställaren och utföraren är inte heller behandlingen av personuppgifter, utan en driftentreprenad om anordnande av färdtjänsttransporter eller en beställningscentralsfunktion. Att i detalj styra utföraren vad gäller behandlingen av personuppgifter i verksamheten och förbehålla sig äganderätten till de uppgifter som utföraren själv påfört i registren strider mot den rättsliga konstruktionen. Så länge en privat utförare av färdtjänst är en självständig uppdragstagare finns inte heller några praktiska möjligheter för en kommun/trafik- huvudman att styra utföraren så hårt att denne kan ha nödvändig insyn och kontrollmöjligheter över personuppgiftsbehandlingen, vilket krävs för att vara säker på att behandlingen sker i enlighet med lagen. I 1 § andra stycket i den av utredningen föreslagna förordning, stadgas att förordningen gäller behandling i beställningsregister hos en privat utförare under förutsättning att utföraren förde ett sådant register . För register hos privata utförare som upprättas efter detta datum gäller endast PuL:s regler. En sådan konstruktion innebär att känsliga personuppgifter inte kan införas i register som upprättas efter utan samtycke från den registrerade. Vi menar att denna olikhet i regleringen beroende på när registret upprättades är orimlig. I sekretesslagen, 7 kap 37 §, finns en bestämmelse som innebär att sekretess gäller i ärende om tillstånd till färdtjänst eller riksfärd- tjänst för uppgift om enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde, eller någon honom närstående lider men. Vidare gäller att uppgift utan hinder av sekretessen får lämnas till enskild enligt vad som föreskrivs i färdtjänstlagen. I 14 § färdtjänstlagen stadgas också att trots sekre- tess får en tillståndsgivare lämna ut uppgifter om enskildas person- liga förhållanden till en beställningscentral för transporter eller en trafikutövare, om uppgifterna behövs för att anordna färdtjänst- transporter. Sekretesslagen tillåter alltså att känsliga uppgifter i PuL:s mening får lämnas till en privat utförare av färdtjänst. Det finns enligt vår mening ingen anledning att i denna förordning hindra att känsliga uppgifter behandlas i utförares datoriserade register när sekretesslagen och färdtjänstlagen tillåter att sådana uppgifter får hanteras i den private utförarens verksamhet. Enligt PuL:s regler gäller att ett personuppgiftsbiträde blir skyl- dig att behandla personuppgifter i enlighet med PuL genom ett avtal med den personuppgiftsansvarige. Personuppgiftsbiträdet får alltså ingen direkt skyldighet enligt PuL eller den föreslagna förord- ningen att uppfylla de lagliga kraven utan blir bunden först genom avtalet med den personuppgiftsansvarige. Om ett avtal mellan en kommun/trafikhuvudman och en utförare skulle innehålla brister ifråga om parternas förpliktelser på ömse sidor kan denna konstruk- tion medföra oklarhet om vem som är personuppgiftsansvarig för en Detta innebär således att det finns en uppenbar risk för rättsförluster för enskilda registrerade, vilket är en klar nackdel ur de registrerades synvinkel. Om kraven enligt PuL och den föreslagna förordningen däremot blir direkt gällande för den privata utföraren, alltså att denne blir personuppgiftsansvarig för sin behandling av personuppgifter, finns stora fördelar ur integritetsskyddssynpunkt. I avsnittet 5.4.3 under rubriken behandling av person- uppgifter i ett beställningsregister framgår att en privat utförare, med den föreslagna ordningen, i vissa fall kan anse vara personupp- giftsansvarig för sin behandling av personuppgifter. En sådan ordning innebär att det kan uppstå oklarheter för den registrerade vem som i ett konkret fall är personuppgiftsansvarig för behandling av personuppgifter hos en privat utförare. Detta är enligt vår mening mycket olyckligt. Vi menar därför att den föreslagna förordningen, efter förebild från 11 och 17 §§ i förordningen (2001:637) om behandling av personuppgifter inom , måste reglera frågan om personuppgiftsansvar. Vi kan inte heller finna några sakliga skäl till att regleringen av personuppgifts- ansvaret skall se annorlunda ut för behandling av personuppgifter inom färdtjänsten än inom . Förordningen bör därför utformas i enlighet med förordningen 2001:637, så att den kommunala nämnden/trafikhuvudmannen är personuppgifts- ansvarig för den behandling som sker i dess verksamhet och en privat utförare är personuppgiftsansvarig för behandling av person- uppgifter som sker i dess verksamhet. Genom en sådan ordning undanröjs eventuella oklarheter om vem som i ett konkret fall är personuppgiftsansvarig. Slutligen undanröjer en sådan ordning osäkerhet för den enskilde om huruvida ett avtal mellan ett personuppgiftsbiträde och en kommun/trafikhuvudman verkligen innebär att biträdet åläggs samma skyldigheter som den personuppgiftsansvarige har enligt lag. Beslut vid regeringssammanträde . En särskild utredare tillkallas med uppgift att N med utgångspunkt i redovisning av färdtjänstens utveckling och tillstånd – överväga behovet av ändringar i regelverket om färdtjänst, N överväga om det är lämpligt att undanta samordningen av beställning av sjuk- och färdtjänstresor i en beställningscentral från upphandlingskravet i lagen (1992:1528) om offentlig upp- handling och i så fall hur ett sådant undantag bör författnings- regleras, samt N lämna förslag till hur behandlingen av personuppgifter i kom- munernas och trafikhuvudmännens register över färdtjänst- berättigade bör författningsregleras. Bakgrund och behovet av en utredning började färdtjänst anordnas som ett frivilligt åtagande från kommunernas sida. Färdtjänst sågs som en humanitär insats med generellt utformad service för personer som på grund av funktionshinder hade begränsad förflyttningsförmåga och där- igenom inskränkt tillgång till kollektivtrafik. hade ett hundratal av landets då 850 kommuner inrättat färdtjänst i organiserad form. Införande av statsbidrag för färdtjänst aktuali- serades av i betänkandet (SOU 1970:64) Bättre socialtjänst åt handikappade. Allt fler kommuner inrättade också färdtjänst och fanns sådan i av kommunerna. hade färdtjänst inrättats i samtliga kommuner men det var först , i samband med att socialtjänstlagen trädde i kraft, som det blev en lagfäst skyldighet för kommunerna att tillhanda- hålla färdtjänst. Rätten till insatser enligt socialtjänstlagen (1980:620) har sin grund i 1 § lagen, portalparagrafen, där det bl.a. stadgas att samhällets socialtjänst skall på demokratins och solidaritetens grund främja människornas ekonomiska och sociala trygghet, jämlikhet i levnads- villkor och aktiva deltagande i samhällslivet. Fram t.o.m. var färdtjänst en sådan i socialtjänstlagen angiven insats. Kommu- nen har enligt socialtjänstlagen skyldighet att tillhandahålla också andra insatser än de angivna, om den enskilde har behov av sådana. Färdtjänst som beviljades enligt socialtjänstlagens tidigare bestäm- melser kunde därför, med socialtjänstlagens synsätt, ha andra grunder än ett faktiskt funktionshinder. Lagen innehöll inga krav på funktionshinder som förutsättning för att få rätt till färdtjänst. beslutade nya lagar om färdtjänst, riksfärdtjänst och ansvar för viss kollektiv persontrafik. Den nya lagstiftningen innebär ett nytt synsätt på färdtjänst och riksfärd- tjänst. Från att ha varit en fråga om bistånd betraktas färdtjänst numera som en form av kollektivtrafik för att bidra till en tillfreds- ställande trafikförsörjning även för funktionshindrade. om färdtjänstens tillstånd och utveckling samt behov av tillsynsmyndighet. redovisade på regeringens uppdrag färdtjänstens utveckling och tillstånd (ärende nr N2000/8680/TP). Redovisningen har därefter remissbehandlats. Enligt redovisning behövs förtydliganden av hur lagen (1997:736) om färdtjänst skall tillämpas. har före- slagit att detta bör ske genom att lagen ändras i vissa avseenden. Enligt har kommunerna efterfrågat bl.a. tydligare definitioner och stöd för tillämpning och tolkning av lagen. Mot bakgrund av redovisning finns det behov av att ytterligare överväga om lagen om färdtjänst bör ändras. Därvid bör beaktas att framför allt de färdtjänstberättigade uppfattar att tillämpningen av lagen har tenderat att bli allt mer restriktiv, vilket leder till att de får försämrade transportmöjligheter. för en analys av eventuella lagändringar finns det ett omfattande underlag som lagt till grund för sin redovisning. Samordning av beställningscentraler för sjukresor och färdtjänst Enligt 4 § lagen (1997:736) om färdtjänst får en kommun överlåta sina uppgifter enligt lagen till trafikhuvudmannen i länet. Detta får ske även om trafikhuvudmannen är ett aktiebolag.