sou · GRB387d2 · 2004-01-01 00:00:00 — 8Register med personuppgifter inom färdtjänsten och riksfärd- tjänsten Såsom utredningen konstaterar i delbetänkandet, SOU 2003:4, krävs automatiserade och register med personuppgifter för att kommuner, trafikhuvudmän, beställningscentraler och trafikutövare skall kunna fullgöra sina uppgifter inom färdtjänsten och riksfärdtjänsten. För att hantera sådana ärenden om tillstånd och för att kunna ge exempelvis trafikutövare inom färdtjänsten erforderlig information behövs register med uppgifter om bostads- adress, nödvändiga hjälpmedel vid transporter m.m. 8.1Allmänt om tidigare personregister Som framgått av föregående kapitel ersatte lagen (1997:736) om färdtjänst, som trädde i kraft , dåvarande bestäm- melser i socialtjänstlagen (1980:620) vad avsåg tillståndsgivning till färdtjänst. Lagen (1997:735) om riksfärdtjänst trädde i kraft och ersatte lagen (1993:963) om . Före angiven tidpunkt behandlades ärenden om färdtjänst i social- tjänstens verksamhet. föreskrifter om personregister inom (SOSFS 1981:126) tillämpades då för dessa ärenden. Utöver vad föreskrev gällde dock datalagens (1973:289) bestämmelser, om personregistren fördes med hjälp av automatisk databehandling. I föreskrifter anfördes bl.a. följande. I person- registren får tas in sådana uppgifter som inte rör ömtåliga person- liga förhållanden. Uppgifter som får tas in är i stället sådana som i allmänhet framstår som neutrala, exempelvis uppgifter om namn, personnummer och adress. Enligt 59 § andra stycket socialtjänst- lagen får dock i personregistren tas in uppgifter om ömtåliga person- liga förhållanden, när det är fråga om beslut som inom fattas om den registrerade och som innebär myndighetsutövning. Register med personuppgifter inom färdtjänsten och riksfärdtjänsten Med myndighetsutövning avses som regel utövning av befogenhet att bestämma om förmån, rättighet, skyldighet etc. Kommuner och trafikhuvudmän behövde tidigare ha tillstånd från Datainspektionen för att få inrätta och föra personregister för färdtjänsten och riksfärdtjänsten. 8.2Nuvarande register inom färdtjänsten och riksfärdtjänsten Personuppgiftslagen (1998:204) trädde i kraft och upphörde datalagen (1973:289) att gälla. Enligt övergångsbestämmelser till personuppgiftslagen skulle dock data- lagen i vissa avseenden tillämpas t.o.m. . Samtliga tillstånd från Datainspektionen upphörde att gälla , vilket innebär att de personregister som förts med sådant tillstånd numera helt innefattas av personuppgiftslagens bestämmelser. För att undersöka behandlingen av personuppgifter i register inom färd- och riksfärdtjänsten har utredningen genomfört en enkätundersökning som vänt sig till vissa kommuner och trafik- huvudmän, se bilaga 2. Utredningen har vidare tagit del av ett flertal beslut från Datainspektionen. Nedan följer en kortfattad redovisning av vad som framkommit genom denna undersökning. Såsom tidigare redovisats finns ingen författningsreglering av vilka register som får föras av kommuner, trafikhuvudmän och enskilda vad avser färdtjänsten och riksfärdtjänsten. Sådana register har tidigare förts med tillstånd av Datainspektionen. Den nedanstående redogörelsen av olika register med person- uppgifter inom färdtjänsten är av förklarliga skäl inte fullständig, utan avsikten med redovisningen är att få en överskådlig upp- fattning om vilka register som kan finnas, ändamålen med registren och en beskrivning av de uppgifter om de registrerade som skall behandlas. Det finns i vissa fall en redogörelse över mottagare till vilka uppgifterna kan komma att lämnas ut. I beskrivningen redovisas inte vilken kommun eller trafikhuvudman som inrättat eller för aktuellt register. Nedan lämnade redogörelse av olika Register med personuppgifter inom färdtjänsten och riksfärdtjänsten register är i vissa fall en sammanställning av uppgifter från kommuner och trafikhuvudmän. Utredningen har också inhämtat ett flertal tidigare beslut från Datainspektionen avseende olika register inom färdtjänsten och riksfärdtjänsten. Det bör anmärkas att det finns olika typer av register med personuppgifter inom färdtjänsten och riksfärdtjänsten. Registren har olika innehåll och det finns registerlösningar av olika slag. Skillnaderna kan bero på en mängd olika förhållanden, exempelvis kommunens storlek, att vissa kommuner och trafikhuvudmän inte är anslutna till beställningscentraler och att några register förs manuellt. För att det över huvud taget skall kunna vara möjligt att beskriva och analysera sådana register inom färdtjänsten och riksfärdtjänsten som kan innehålla känsliga personuppgifter, har utredningen valt att kalla register som är relevanta i detta sammanhang för tillståndsregister respektive beställningsregister. Tillståndsregister: Registret används för att där dokumentera samtliga uppgifter om en person som ansöker om eller har beviljats färdtjänst eller riksfärdtjänst. Registret används för handläggning av ärenden, dvs. utredning, journalhantering, produktion av tillståndsbevis eller färdtjänstkort, diarieändamål och aktkontroll, hjälpmedel för utskrift och expediering av beslut samt för betalning av resorna. Registren skall vidare möjliggöra planering och ut- värdering av verksamheten, bl.a. framtagande av olika avstämnings- underlag och bokföringsunderlag samt framställning av statistik. innehåller uppgifter om bl.a. namn, adress, personnummer, beslutsunderlag, dvs. läkarintyg, utredning, upp- gifter om den enskildes funktionsnedsättning, ansökan om färd- tjänst, fotografi och den enskildes behov av särskilda hjälpmedel och service. Beställningsregister: Vid beställning, dirigering och planering av resandet inom färdtjänsten och riksfärdtjänsten förs ibland uppgifter över till ett beställningsregister. Sådana uppgifter är exempelvis namn, adress, kundnummer, telefonnummer, om specialfordon eller annan utrustning krävs och om samåkning med andra resenärer är möjlig. I andra system lämnar kommunen eller trafikhuvudmannen normalt inte ut några uppgifter till trafik- utövaren, utan i stället får den färdtjänstberättigade ett plastkort Register med personuppgifter inom färdtjänsten och riksfärdtjänsten som används som färdbevis när resa sker med trafikutövaren. På färdbeviset anges bl.a. om ledsagare har rätt att följa med och om speciella riktlinjer gäller för resan. Ett beställningsregister används för planering, samordning och beställning av resor. Registret används också för planering och utvärdering av verksamheten, t.ex. framtagande av avstämningsunderlag, samt framställning av statistik. Vidare nyttjas ett sådant register för annan administration av resor, t.ex. betalning av resorna. Register med uppgifter om resor: Registren används för att kontrollera utförda uppdrag och för att samla alla uppgifter rörande beställningar, uppdrag och utförda resor för statistisk behandling. Syftet med registren är också att kontrollera inkommande taxa- meterdata och att hålla ett bokföringsmaterial. Registren innehåller uppgifter om bl.a. resebeställningar, transportuppdrag, resdatum, reslängd, restid och personnummer. Register för ekonomi och redovisning: Registret används för bok- föring, redovisning, kundfakturering och leverantörsbetalningar och innehåller uppgifter om namn, adress, resdag, avgiftsgrund m.m. Leverantörsregister: Registren används för att kunna fördela uppdrag till rätt leverantör. Gemensamma frågor för tillstånds- och beställningsregister Tillstånds- och beställningsregister kan vara separata eller samman- kopplade, vilket innebär att register kan finnas på två olika ställen, dels hos kommunen respektive trafikhuvudmannen, dels hos beställningscentralen. Vad avser tillståndsregistret förefaller handläggare som bedömer rätt till färdtjänst och den som är ansvarig för registret ha direkt åtkomst till uppgifter i ett sådant register. Färdtjänsthandläggare och beställningsmottagare har som regel direkt åtkomst till upp- gifter i ett beställningsregister. Av utredningens enkätundersökning framgår att s.k. tillstånds- register och beställningsregister finns även inom riksfärdtjänsten. Vissa kommuner och trafikhuvudmän anordnar således också resor Register med personuppgifter inom färdtjänsten och riksfärdtjänsten för dem som är berättigade till riksfärdtjänst, trots att kommunen respektive trafikhuvudmannen inte har någon skyldighet att tillhandahålla en tjänst utan i stället en skyldighet att lämna ersätt- ning för reskostnaden. Dessa s.k. tillståndsregister och beställ- ningsregister har motsvarande innehåll som beskrivna register inom färdtjänsten. Inom riksfärdtjänsten kan givetvis också förekomma register med uppgifter om resor, register för ekonomi och redovisning m.m. 9Överväganden och förslag avseende behandling av personuppgifter Utredningen konstaterar i sitt delbetänkande Behandling av per- sonuppgifter inom färdtjänsten och riksfärdtjänsten SOU 2003:4 att automatiserade och register får anses vara en nöd- vändig förutsättning för en effektiv och ändamålsenlig behandling av personuppgifter inom färdtjänsten och riksfärdtjänsten. I del- betänkandet har utredningen vidare konstaterat att verksamheterna inom färdtjänsten och riksfärdtjänsten innefattar en betydande hantering av personuppgifter och att det i vissa fall sker en direkt eller indirekt behandling av känsliga personuppgifter som rör hälsa. Delbetänkandet har varit föremål för remissbehandling och remissyttrandena finns tillgängliga i (dnr 2003/820/TP). Utredningens förslag i detta slutbetänkande överensstämmer i huvudsak med de förslag som lämnats i delbetänkandet. I slut- betänkandet är det dock nödvändigt att göra ytterligare över- väganden främst avseende frågor om personuppgiftsansvar, innehåll samt bevarande och gallring. Vid denna bedömning har utred- ningen att belysa huruvida avvikelser eller preciseringar är motive- rade i förhållande till personuppgiftslagens (1998:204) bestämmel- ser. Nedan redovisas några andra frågor som åter bör belysas i slutbetänkandet. Ändamålet med behandling av personuppgifter är en av de viktigaste frågorna vid tillämpningen av personuppgiftslagen. En ändamålsbestämmelse anger den allmänna ramen för registrens innehåll och på vilket sätt registren får användas. Såsom utred- ningen konstaterat i delbetänkandet är det viktigt att ändamålen med de register som blir föremål för särskild författningsreglering uttrycks så att det inte uppstår konflikter med hur registren i praktiken skall användas. Utredningen redovisar sina ställnings- taganden i avsnitt 9.4.1. Överväganden och förslag avseende behandling av personuppgifter Det är vidare av vikt att en särskild registerförfattning innehåller bestämmelser om behandling av känsliga personuppgifter för att undvika att sådan behandling står i strid med dataskyddsdirektivet eller personuppgiftslagen. Aktuella bestämmelser måste utformas så att de harmonierar med ändamålet med ett register. Frågor om känsliga personuppgifter behandlas i avsnitt 9.4.2. Om det förekommer behandling av personuppgifter i person- uppgiftslagens mening finns det någon eller några som är personuppgiftsansvariga för den behandlingen. En personuppgifts- ansvarig kan ådömas skadestånd om behandlingen av person- uppgifter inte sker i överensstämmelse med lagen. I delbetänkandet fann utredningen att personuppgiftsansvaret för behandling av personuppgifter i tillståndsregister och beställningsregister, i avvaktan på en närmare analys, tills vidare skulle avgöras genom en prövning enligt personuppgiftslagens bestämmelser. Utredningen redovisar i avsnitt 9.4.3 sina slutliga överväganden avseende detta personuppgiftsansvar. I dataskyddsdirektivet och personuppgiftslagen regleras inte uttryckligen frågan om sökmöjligheter och sökbegränsningar. Indirekt regleras dock sökmöjligheter genom den s.k. finalitets- principen i 9 § första stycket d) personuppgiftslagen. Förekomsten av många sökbegrepp kan öka risken för integritetsintrång och i registerförfattningar är det därför vanligt att användningen av registeruppgifter som sökbegrepp begränsas. Såsom utredningen konstaterat i delbetänkandet bör den rättsliga regleringen av vilka sökbegrepp som skall vara tillåtna analyseras. Detta görs i avsnitt 9.4.4. En annan viktig fråga är när uppgifter i ett register skall gallras. En alltför omfattande gallring i ett register kan medföra att offentlighetsprincipens syften inte kan uppfyllas och att det inte kommer att finnas tillräckligt med material för t.ex. planering och uppföljning av verksamheten. En alltför begränsad gallring kan få till följd att känsliga uppgifter om den enskilde onödigtvis sparas, vilket kan upplevas som integritetskränkande. Utredningens bedömning i delbetänkandet var att uppgifter i tillståndsregister och beställningsregister tills vidare skulle bevaras och gallras enligt bestämmelserna i personuppgiftslagen. Utredningens slutliga över- väganden redovisas i avsnitt 9.4.5. Bestämmelser om bl.a. skadestånd och rättelse i personuppgifts- lagen gäller endast för brott mot behandling av personuppgifter Överväganden och förslag avseende behandling av personuppgifter enligt den lagen. Fråga uppkommer därför om det finns behov av liknande bestämmelser i en särskild registerförfattning. Även utredningens överväganden i fråga om behovet av andra bestämmelser i en särskild registerförfattning för färdtjänsten och riksfärdtjänsten redovisas nedan. Regeringen har tillsatt en särskild utredare med uppgift att se över personuppgiftslagen, , Ju 2002:02. Utredaren skall inom ramen för dataskyddsdirektivet utforma ett regelverk som mera tar sikte på att förhindra missbruk av person- uppgifter, som reglerna om hur uppgifterna får behandlas lättas upp. Med ändring av den i kommittédirektiven beslutade tiden skall redovisa sitt uppdrag . saknar således möjlighet att närmare redovisa och ta hänsyn till över- väganden i nu aktuellt betänkande. 9.2Personuppgiftslagen eller särskild registerförfattning Utredningens förslag: Kommuners och trafikhuvudmäns behand- ling av personuppgifter som sker automatiserat eller manuellt inom färdtjänsten och riksfärdtjänsten i tillståndsregister och beställ- ningsregister skall författningsregleras särskilt i lag. Lagen skall även tillämpas på sådan behandling av personuppgifter i ett beställ- ningsregister som utförs av en enskild. En registrerad skall inte ha rätt att motsätta sig behandling som är tillåten enligt denna lag. Till- ståndsregister och beställningsregister skall definieras som register som motsvarar de i lag angivna ändamålen med sådana register. Utredningens bedömning: Personuppgifter i övriga register inom färdtjänsten och riksfärdtjänsten skall behandlas enligt person- uppgiftslagens (1998:204) bestämmelser. Det finns inte behov av någon särskild författningsreglering avseende behandling av personuppgifter i löpande text, utöver den som utförs i till- ståndsregister och beställningsregister. Överväganden och förslag avseende behandling av personuppgifter Personuppgiftslagen är en generell lagstiftning som reglerar behandling av personuppgifter. Om avvikande bestämmelser med- delas i lag eller förordning gäller dessa framför personuppgifts- lagen. Utredningen har i sitt delbetänkande funnit att automatiserad och behandling av personuppgifter i färdtjänsten och riksfärdtjänsten medför ett behov av särskild författningsreglering. Enligt utredningens bedömning finns inte skäl att nu göra någon annan bedömning. För tydlighetens skull bör utredningens över- väganden härvidlag även redovisas i slutbetänkandet. När behandling av personuppgifter är tillåten I 10 § personuppgiftslagen finns det en fullständig uppräkning av i vilka fall behandling av personuppgifter är tillåten. Om en behandling inte kan hänföras till någon av de rättsliga grunder för behandling av personuppgifter som anges i lagrummet, är behand- lingen otillåten och får inte genomföras. Är det fråga om behandling av känsliga personuppgifter eller personnummer m.m. måste behandlingen dessutom vara tillåten enligt bestämmelserna i 13 22 §§. Enligt 10 § personuppgiftslagen får personuppgifter behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig av vissa uppräknade orsaker. Enligt , SOU 1997:39 s. 359, kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av personuppgifter som omfattas av dataskyddsdirektivet. Det räcker sannolikt att det innebär en påtaglig förenkling för den personuppgiftsansvarige att personuppgifter behandlas automatiserat eller manuellt i register. Av intresse för färdtjänsten och riksfärdtjänsten är framför allt 10 § e) personuppgiftslagen om myndighetsutövning, men punk- ten b) om rättslig skyldighet kan också vara av intresse i detta sammanhang. Av 10 § e) personuppgiftslagen framgår att personuppgifter får behandlas om det är nödvändigt för att kunna utföra en arbets- uppgift i samband med myndighetsutövning. Myndighets- utövningen skall utföras av den personuppgiftsansvarige själv eller av en tredje man till vilken uppgifterna har lämnats ut. Den aktuella bestämmelsen tillåter sannolikt en stor del av den behandling av Överväganden och förslag avseende behandling av personuppgifter personuppgifter som utförs inom den offentliga sektorn. Enligt , SOU 1997:39 s. 362, bör man till dess att något annat framkommer kunna utgå från att det som i brukar anses som myndighetsutövning omfattas av lagrummet. Enligt 10 § b) personuppgiftslagen får personuppgifter behandlas om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet. En definition av rättslig skyldighet skulle kunna vara sådana skyldigheter som grundar sig på författningsbestämmelser (se SOU 1997:39 s. 360). Såsom utredningen redan konstaterat i delbetänkandet får datoriserade och register med personuppgifter anses vara nödvändiga för att kommunerna och trafikhuvudmännen skall kunna fullgöra sina uppgifter inom färdtjänsten och riksfärd- tjänsten gentemot de ca 400 000 personer som är berättigade till färdtjänst och de ca 26 000 som är berättigade till riksfärdtjänst. Nödvändighetsrekvisitet är således uppfyllt. Med myndighetsutövning avses sådan offentlig verksamhet som innebär utövande av befogenhet att för enskild bestämma förmån, rättighet, skyldighet, disciplinpåföljd eller annat jämförbart för- hållande, se prop. 1985/86:80 s. 55. Att pröva frågor om tillstånd till färdtjänst och riksfärdtjänst får betraktas som myndighets- utövning, även om det exempelvis är ett aktiebolag som prövar en sådan fråga. Av lagen (1997:736) om färdtjänst och lagen (1997:735) om riksfärdtjänst framgår att varje kommun ansvarar för färdtjänsten och riksfärdtjänsten för sina invånare. Detta ansvar kan överlåtas till trafikhuvudmannen i länet. En behandling av personuppgifter kan då vara nödvändig för att angivna juridiska personer skall kunna fullgöra sina rättsliga skyldigheter. Enligt utredningens uppfattning bör det således vara möjligt för kommuner och olika trafikhuvudmän att med stöd av aktuella bestämmelser i personuppgiftslagen fortsätta att föra olika register med anknytning till färdtjänsten och riksfärdtjänsten till den del de inte innehåller känsliga personuppgifter. Någon särskild för- fattningsreglering är inte nödvändig för sådana register. Behandling av personuppgifter i tillståndsregister och beställningsregister behöver emellertid regleras särskilt. Såsom redovisats är personuppgiftslagen generellt tillämplig på all behandling av personuppgifter inte bara i register utan även i löpande text, t.ex. ordbehandlingsdokument. Enligt 8 § personupp- giftsförordningen (1998:1191) är det tillåtet att behandla känsliga Överväganden och förslag avseende behandling av personuppgifter uppgifter i löpande text, om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Utredningen finner därför inte något behov av särskild författningsreglering avseende behandling av personuppgifter i löpande text, utöver den som utförs i tillstånds- och beställningsregister. Behandling av känsliga uppgifter m.m. I 13 § personuppgiftslagen föreskrivs ett principiellt förbud mot att behandla vad som enligt lagrummet är att beteckna som känsliga personuppgifter. För sådana uppgifter är det således inte tillräckligt att de krav som uppställs i 10 § personuppgiftslagen är uppfyllda för att behandling skall vara tillåten. Känsliga uppgifter är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Av intresse för färdtjänsten och riksfärdtjänsten är enligt utredningens uppfattning i detta fall främst uppgifter som rör hälsa och uppgifter om tolk (som indirekt kan vara en uppgift om etniskt ursprung). Av 14 § personuppgiftslagen framgår att förbudet mot behandling av känsliga personuppgifter inte gäller om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. Det har inte varit möjligt att i delbetänkandet eller i detta betänkande i detalj beskriva varje automatiserat och manuellt register med personuppgifter som förs inom färdtjänsten och riksfärdtjänsten, eftersom kommunerna och trafikhuvudmännen har olika sådana register. Av särskilt intresse för detta utrednings- uppdrag är endast sådana register som utredningen betecknar tillståndsregister och beställningsregister, eftersom dessa som regel innehåller känsliga uppgifter som direkt eller indirekt rör hälsa. Av enkätundersökningen som gjordes i samband med arbetet med delbetänkandet framgår t.ex. att uppgifter om personers funktionsnedsättningar, allergier och hjälpmedel vid transporter (exempelvis rullstol och ledarhund) i vissa fall behandlas i tillståndsregister och beställningsregister inom färdtjänsten. Det förekommer att känsliga uppgifter om hälsa också behandlas i sådana register som avser riksfärdtjänsten. Känsliga person- uppgifter får inte behandlas utan särskilt författningsstöd, utom i de undantagsfall som anges i personuppgiftslagen. Mot bakgrund av redovisningen ovan förefaller det vara endast ett undantag som Överväganden och förslag avseende behandling av personuppgifter är av intresse för färdtjänsten och riksfärdtjänsten, nämligen ut- tryckligt samtycke. Antalet personer som har tillstånd till färdtjänst är, som tidigare anförts, ca 400 000 och antalet personer som har tillstånd till riksfärdtjänst är ca 26 000. Att begära samtycke av dessa personer torde med hänsyn till antalet tillstånd vara om inte omöjligt så i vart fall både besvärligt och kostsamt. Detta sammantaget med utredningens uppfattning om att det finns behov av att behandla sådana känsliga uppgifter i register inom färdtjänsten och riks- färdtjänsten för att kommunerna, trafikhuvudmännen, beställ- ningscentraler och trafikutövare skall kunna fullgöra sina uppgifter i dessa verksamheter utgör såsom redovisats i delbetänkandet tillräckliga skäl för en särskild författningsreglering. har i sina av godkända betänkanden (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48) anfört att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag. Regeringen har delat bedömning (prop. 1990/91:60 s. 58 och 1997/98:44 s. 41). Kommunernas och trafikhuvudmännens behand- ling av personuppgifter inom färdtjänsten och riksfärdtjänsten i tillstånds- och beställningsregister är enligt utredningens mening, som redovisats i delbetänkandet, av sådan karaktär och omfattning att vissa principer för sådan behandling bör slås fast i lag. Detsamma gäller för behandling av personuppgifter som en enskild utför i ett beställningsregister på grund av att denne har ett avtal med en kommun eller en trafikhuvudman om utförande av resor enligt lagen om färdtjänst eller lagen om riksfärdtjänst eller ett avtal om en beställningscentral.