sou · GRB387d2 · 2004-01-01 00:00:00 — I lagrummets andra stycke föreskrivs att uppgifter i en sammanställning av personuppgifter skall gallras efter det att förhållanden som uppgifterna avser har upphört. Gallringen skall vara avslutad senast kalenderåret efter det att gallrings- skyldigheten inträdde. Av 12 kap. 4 § tredje stycket samma lag framgår att vissa handlingar som annars skulle ha gallrats undantas från gallring med hänsyn till forskningens behov i ett representativt urval av kommuner och i övriga kommuner beträffande ett representativt urval av personer. I sistnämnda fall gäller det personer födda den femte, femtonde och tjugofemte i . I 7 kap. 3 § socialtjänstlagen finns en bestämmelse om bevarande av dokumentation i enskild verksamhet. I lagrummet uttalas att vissa bestämmelser i socialtjänstlagen om dokumentation i tillämp- liga delar gäller i enskild verksamhet som står under tillsyn samt att dokumentationen skall bevaras så länge den kan antas ha betydelse för åtgärder i verksamheten. Överväganden och förslag avseende behandling av personuppgifter Utredningen har övervägt om bevarande och gallring av upp- gifter i tillstånds- och beställningsregister skall ske med beaktande av bestämmelserna i socialtjänstlagen. anser att social- tjänstlagens regler om bevarande och gallring blir allt mer obsoleta och att det är angeläget med en översyn av dessa regler. Enligt tillgodoser de nuvarande reglerna endast delvis forsk- ningens behov och man framhåller att möjligheterna att allsidigt forska om vår tids samhälle minskar, se prop. 2000/01:80 s. 155. Mot bakgrund av det här anförda är det utredningens upp- fattning att bevarande och gallring i tillståndsregister och beställningsregister inte skall ske med bestämmelserna i social- tjänstlagen som förebild. Fyra alternativa metoder för gallring och bevarande Som utredningen nämnt i inledningen av detta avsnitt finns det olika alternativa metoder för att reglera gallring och bevarande av uppgifter i register. Ett första alternativ kan vara att inte ha några särbestämmelser alls, dvs. det utredningen föreslog i delbetänkan- det. Ett andra alternativ kan vara att som huvudregel ange att samtliga uppgifter skall gallras och när det skall göras, men ge en arkivmyndighet möjlighet att föreskriva undantag. Ett tredje alternativ kan vara att i detalj ange vilka uppgifter som skall gallras eller bevaras och när det skall göras, men ge en arkivmyndighet möjlighet att föreskriva undantag. Ett fjärde alternativ kan vara att ange att samtliga uppgifter skall gallras och när det skall göras, utan att ge en arkivmyndighet möjlighet att föreskriva undantag. I de flesta särskilda registerförfattningar tillämpas alternativ ett eller två. Enligt utredningens mening kan det inte komma i fråga att i detalj ange vilka uppgifter som skall gallras eller bevaras i tillstånds- och beställningsregister, eftersom dessa register innehåller en stor mängd uppgifter. Exempelvis kan det i ett tillståndsregister ingå elektronisk ärendehantering, där inkomna handlingar som läkar- intyg m.m. kan skannas och lagras. Med hänsyn till framför allt offentlighetsprincipen och forskningsintresset är också det ovan redovisade fjärde alternativet, dvs. att samtliga uppgifter skall gallras utan möjlighet till undantag, enligt utredningens upp- fattning uteslutet när det gäller tillstånds- och beställningsregister. Överväganden och förslag avseende behandling av personuppgifter Enligt utredningens uppfattning är det således endast de ovan redovisade första och andra alternativen som kan komma i fråga för närmare överväganden. Innebörden av alternativ två är relativt enkel att förstå. Det skall direkt i lagen anges en huvudregel för när gallring skall ske, men berörda arkivmyndigheter har möjlighet att föreskriva om undantag. Det krävs alltså ett aktivt ställnings- tagande och handlande från främst kommunernas sida för att uppgifter skall bevaras. För förståelsen av alternativ ett kan det finnas anledning att kort redovisa vilka regler i personuppgiftslagen och arkivlagen som blir tillämpliga om ingen reglering alls sker i registerlagen. Bevarande och gallring enligt personuppgiftslagen och arkivlagen Regler om bevarande och gallring av allmänna handlingar hos myndigheter finns i arkivlagen (1990:782). De bestämmelser som gäller för kommunala myndigheters arkiv gäller även för arkiv hos sådana juridiska personer som avses i 1 kap. 9 § sekretesslagen (1980:100), dvs. aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner, landsting eller kommunalförbund utövar ett rättsligt bestämmande inflytande. Enligt lagen är huvudregeln att allmänna handlingar skall bevaras. Av 10 § arkivlagen framgår emellertid att allmänna handlingar får gallras. Gallringen skall ske på ett sådant sätt att kvarvarande arkivmaterial kan tillgodose rätten att ta del av allmänna handlingar, rättskip- ningens och förvaltningens behov av information samt forsk- ningens behov. I annan lag eller förordning får det finnas avvikande bestämmelser om gallring som tar över arkivlagens bestämmelser. Av 8 § andra stycket arkivlagen framgår att kommunstyrelsen är arkivmyndighet i kommunen och i , om inte kommunfullmäktige eller har utsett någon annan nämnd eller styrelse till arkivmyndighet. Enligt 16 § samma lag får kommunfullmäktige eller meddela föreskrifter om arkivvården inom kommunen, i den utsträckning något annat inte är särskilt föreskrivet. Det är således kommuner och landsting som bestämmer vilka gallringsbestämmel- ser för allmänna handlingar som skall gälla inom dessa myndig- heter. Arkivlagen är tillämplig utan någon hänvisning behöver göras till den lagen (prop. 1997/98:108 s. 80). Överväganden och förslag avseende behandling av personuppgifter Enskilda rättssubjekts arkiv regleras inte av arkivlagen annat än om offentlighetsprincipen gjorts tillämplig på handlingar hos sådana subjekt (jfr 1 kap. 8 och 9 §§ sekretesslagen). Personupp- giftslagen gäller dock för dessa arkivbildare. I 9 § i) första stycket personuppgiftslagen anges att personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste de avidentifieras eller förstöras, dvs. det som motsvarar gallring av allmänna handlingar. En särskild författningsreglering av möjligheten att gallra de uppgifter som finns i tillstånds- och beställningsregister kan vara viktig för att skydda enskildas integritet. En alltför begränsad gallring kan medföra att t.ex. känsliga uppgifter om den enskilde onödigtvis finns kvar i ett register och det kan då uppstå integritetsproblem. En gallringsbestämmelse skall emellertid också tillgodose bl.a. offentlighetsprincipen och forskningens behov. En alltför omfattande gallring kan givetvis få till följd att det inte finns ett tillräckligt underlag för att möjliggöra vanlig insyn i myndigheternas verksamhet eller särskilda undersökningar av olika slag. Såsom redovisats i tidigare avsnitt har ett tillståndsregister ett delvis annat ändamål och innehåll än ett beställningsregister. Ett tillståndsregister används i vissa fall som ett ärendehanterings- system och har därför ett betydligt större informationsinnehåll än ett beställningsregister. Framför allt innehåller ett tillståndsregister betydligt fler känsliga personuppgifter. I princip används ett tillståndsregister för hela handläggningen av ärenden om färdtjänst och riksfärdtjänst, medan ett beställningsregister endast används för att praktiskt kunna anordna och samordna resor. Enligt utredningens uppfattning talar registrens olika ändamål och innehåll för att gallringsbestämmelserna bör utformas på olika sätt. Mot bakgrund av nu redovisade omständigheter anser ut- redningen att ett tillståndsregister är mer betydelsefullt än ett beställningsregister med hänsyn till både integritetsintresset och offentlighetsintresset. För ett integritetskänsligt register kan det vara lämpligt att tillämpa en metod som utredningen kallar alternativ två, dvs. att det i lag anges en huvudregel för när gallring skall ske, men att en arkivmyndighet ges möjlighet att föreskriva Överväganden och förslag avseende behandling av personuppgifter Denna lagstiftningsmetod har dock allt mer blivit föremål för kritik, eftersom metoden kan medföra att färre uppgifter bevaras och därmed inte kan vara tillgängliga (se t.ex. SOU 2002:113 s. 339 ff.). Det förtjänar att påpekas att ett stort antal uppgifter finns endast i elektronisk form och att en omfattande gallring av informationen därför helt kan omöjliggöra såväl allmänhetens insyn som framtida forskning. Med hänsyn till bl.a. offentlighetsintresset är det utredningens uppfattning att uppgifter i ett tillståndsregister bör bevaras och gallras enligt bestämmelserna i personuppgiftslagen. Det innebär att arkivlagen blir tillämplig på de uppgifter som utgör allmänna handlingar och huvudprincipen enligt arkivlagen är att allmänna handlingar skall bevaras. Integritetsaspekterna anser utredningen får tillgodoses främst genom den bestämmelse som föreslås om sökbegränsningar och som innebär att möjligheterna för myndig- heter eller enskilda att göra sammanställningar av känsligt material är mycket små. Därutöver har kommunerna (och eventuellt landstingen) möjlighet att meddela beslut om vilka gallrings- bestämmelser som skall gälla för uppgifter i ett tillståndsregister. Det kommer alltså att finnas förutsättningar för att av bl.a. integritetsskäl gallra ut uppgifter ur registren. Med detta förslag kommer i princip samma regler att gälla för all information om enskilda i tillståndsärenden, oavsett om informationen finns lagrad elektroniskt eller på papper. Såsom anförts är det utredningens uppfattning att ett beställ- ningsregister innehåller färre integritetskänsliga uppgifter än ett tillståndsregister. Det är också utredningens uppfattning att upp- gifterna i ett sådant register inte torde vara av något större värde vad avser offentlighetsintresset. Mot bakgrund härav anser utred- ningen att det av utredningen benämnda alternativ två bör vara en lämplig reglering för gallring av uppgifter i ett beställningsregister. Utredningen anser att det är skäligt att uppgifter i ett beställnings- register gallras senast efter utgången av det kalenderår då tillståndet till färdtjänst eller riksfärdtjänst upphörde. Från den nu redovisade huvudregeln för gallring bör det få föreskrivas undan- tag, som innebär att uppgifter antingen skall gallras eller bevaras. Överväganden och förslag avseende behandling av personuppgifter 9.4.6Särskilt om beställningscentraler och trafikutövare samt direktåtkomst Utredningens förslag: Endast den som behöver ha tillgång till uppgifter i ett beställningsregister för de ändamål som gäller för ett sådant register skall få ha direktåtkomst till uppgifterna. Direkt- åtkomst får endast omfatta de uppgifter som behövs för att anordna resor. Regeringen skall dock få möjlighet att föreskriva att en till- ståndshavare till färdtjänst eller riksfärdtjänst kan få direktåtkomst till uppgifter om sig själv i ett beställningsregister. En beställningscentral kan administreras av exempelvis en kommun, en trafikhuvudman eller ett privat taxibolag. Ett av de effektivaste sätten att sänka kommunernas och andra trafik- huvudmäns kostnader för färdtjänsten är att samordna resor. Det kan ske genom att flera personer reser i ett fordon eller att viss planering sker avseende resorna, bl.a. vad avser färdväg. Det förekommer också att samordning sker mellan färdtjänsten och andra samhällsbetalda resor, t.ex. sjukresor och skolskjutsar. För att kunna tillgodogöra sig sådana möjligheter till samordning är det som regel nödvändigt med en gemensam beställningscentral. I likhet med vad som gäller för beställningscentraler finns det både samhällsägda och privatägda trafikutövare, dvs. trafikutövan- det kan skötas av exempelvis en kommun eller ett taxiföretag. Såsom anförts i delbetänkandet ligger det inte inom utredningens uppdrag att göra en översyn av behandlingen av personuppgifter i register i samband med anordnandet av sjukresor, skolskjutsar eller andra samhällsbetalda resor. Utredningen vill dock påpeka att det i och för sig inte finns något direkt hinder mot att en och samma beställningscentral i sitt arbete med anordnande av transporter samordnar information om t.ex. både färdtjänst- och sjukrese- berättigade personer. Det krävs emellertid att uppgifterna i ett beställningsregister avseende färdtjänstberättigade och eventuellt Överväganden och förslag avseende behandling av personuppgifter SOU 2003:87 riksfärdtjänstberättigade behandlas i överensstämmelse med bestämmelserna i utredningens förslag. Att den som har bestämmanderätt över ändamålen med och medlen för behandling av personuppgifter, dvs. den personupp- giftsansvarige, skall ha tillgång till alla uppgifterna i sina egna register får anses klart. Med direktåtkomst avses vanligen att någon annan än den personuppgiftsansvarige har direkt tillgång till upp- gifter i ett register, och således inte vid varje enskilt tillfälle behöver begära att få ta del av uppgifterna. Det finns därför endast behov av särskilda bestämmelser om direktåtkomst, om någon annan än den personuppgiftsansvarige behöver ha tillgång till uppgifterna i ett register. Såsom tidigare redovisats organiseras färdtjänsten och riksfärd- tjänsten inte på samma sätt hos olika kommuner och trafik- huvudmän. Detta medför givetvis också skillnader i uppbyggnaden och hanteringen av register i nyssnämnda verksamheter. Av den enkätundersökning som utredningen gjort framkommer att upp- gifter som behövs för att anordna en resa i vissa fall överförs från ett tillståndsregister till ett beställningsregister. Vidare framgår det att en handläggare som har att bedöma tillstånd till färdtjänst och riksfärdtjänst kan ha tillgång till uppgifterna i både tillstånds- och beställningsregistret medan en beställningsmottagare, dvs. viss personal i beställningscentralen, endast har tillgång till uppgifter i det sistnämnda registret. Enligt vad utredningen erfarit förekommer det att annan än den personuppgiftsansvarige har tillgång till uppgifterna i ett beställ- ningsregister, t.ex. om beställningscentralen är privatägd. Från integritetssynpunkt är det angeläget att direktåtkomst till upp- gifterna i ett beställningsregister inte är vidare än vad som behövs med hänsyn till de ändamål för vilka uppgifterna behandlas. Tillgång till uppgifterna i ett beställningsregister bör begränsas så att direktåtkomst enbart ges den som behöver uppgifterna för att kunna utföra sitt arbete. Uppgifterna får naturligtvis inte användas för något annat än de ändamål för vilka ett beställningsregister får föras. I praktiken torde direktåtkomst endast förekomma i de fall då en beställningscentral inte för ett eget beställningsregister, t.ex. när ett privat bolag använder sig av uppgifter i kommunens register. Sekretess gäller i ärenden om tillstånd till färdtjänst och riks- färdtjänst för uppgifter om en enskilds personliga förhållanden, om uppgiftslämnaren inte är säker på att uppgifterna kan lämnas ut utan att den enskilde lider men. Överväganden och förslag avseende behandling av personuppgifter uppgifter kräver att det finns en sekretessbrytande bestämmelse som tillåter att uppgifterna lämnas ut. Sådana bestämmelser finns i 15 § lagen (1997:736) om färdtjänst och 12 § lagen (1997:735) om riksfärdtjänst. Utredningens förslag till reglering av direktåtkomst är i överensstämmelse med dessa bestämmelser. Enligt 31 § personuppgiftslagen skall den personuppgifts- ansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Det ankommer således på den personuppgiftsansvarige att t.ex. utforma nöd- vändiga system för behörighetskontroll m.m., vilket är viktigt med hänsyn till att ett beställningsregister innehåller uppgifter som indirekt kan beröra enskilda personers hälsa. Direktåtkomst för en tillståndshavare till färdtjänst eller riksfärdtjänst till uppgifter om sig själv i ett beställningsregister Utredningen har erfarit att det i vissa kommuner är möjligt för en tillståndshavare till färdtjänst eller riksfärdtjänst att använda Internet för bokning av resor. Det förekommer då att en resenär, efter att ha loggat in sig på beställningscentralens webbplats, kan få tillgång till uppgifter om sig själv i ett beställningsregister, t.ex. uppgifter om tidigare genomförda resor. Utredningen anser att det inte finns några principiella integritetsskäl som talar mot att beställningscentraler tillämpar en sådan ordning. Ett exempel på liknande system i en annan verksamhet, är den enskildes rätt att enligt lagen (2001:181) om behandling av uppgifter i skatte- förvaltningens beskattningsverksamhet få tillgång till uppgifter om sig själv i beskattningsdatabasen. Genom den bestämmelsen är det nu tillåtet för skatteförvaltningen att tillhandahålla de medel som krävs för att enskilda skall kunna deklarera genom Internet. Mot bakgrund av det här anförda är det utredningens upp- fattning att det bör vara möjligt för en tillståndshavare till färdtjänst eller riksfärdtjänst att få direktåtkomst till uppgifter om sig själv i ett beställningsregister. En förutsättning för detta är självfallet att det finns en acceptabel teknisk säkerhet som garan- terar att ingen annan än den än den enskilde resenären själv får tillgång till de ifrågavarande uppgifterna. Utredningen har inte möjlighet att bedöma i vilken omfattning sådana tekniska förut- sättningar finns hos beställningscentralerna , och är därför inte beredd att nu lämna ett konkret förslag som tillåter att Överväganden och förslag avseende behandling av personuppgifter tillståndshavare får direktåtkomst till egna uppgifter. I stället föreslår utredningen att regeringen ges möjlighet att i förordning föreskriva om en sådan rätt till direktåtkomst. Det är endast fysiska personer, jfr 3 § personuppgiftslagen (1998:204), som kan kräva information om utförd behandling av personuppgifter eller rättelse av felaktiga uppgifter samt begära skadestånd. Utredningens förslag: De bestämmelser om rättelse som finns i personuppgiftslagen (1998:204) skall gälla även behandlingar som utförts i strid med nu aktuell lag. Av 28 § personuppgiftslagen framgår att den personuppgifts- ansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behand- lats i enlighet med lagen eller föreskrifter som har utfärdats med stöd av lagen. Med blockering avses att en uppgift förknippas med information om att den är spärrad för annat utlämnande än vad som anges i 2 kap. tryckfrihetsförordningen. I lagrummet uttalas inte vilken av de alternativa metoderna som skall väljas i olika situationer och den personuppgiftsansvarige får således välja själv. Att en uppgift behandlas i strid med personuppgiftslagen kan innebära antingen att uppgiften är felaktig eller att den används på ett felaktigt sätt i verksamheten. Det sistnämnda fallet bör t.ex. vara för handen när behandlingen av en personuppgift inte sker i överensstämmelse med ändamålet med registret. Bestämmelserna om rättelse gäller endast för behandling av upp- gifter enligt personuppgiftslagen eller föreskrifter som har utfär- dats med stöd av lagen, vilket betyder bl.a. att rättelse enligt lag- rummet inte kan ske vid behandling i strid mot bestämmelser i s.k. särskilda registerförfattningar, som gäller framför personuppgifts- lagen. Den enskilde bör ha möjlighet till rättelse av uppgifter som behandlas enligt nu aktuell lag och det är därför nödvändigt att i Överväganden och förslag avseende behandling av personuppgifter denna lag införa en hänvisning till bestämmelsen i personuppgifts- lagen. Utredningens förslag: De bestämmelser om skadestånd som finns i personuppgiftslagen (1998:204) skall gälla även behandlingar som utförts i strid med nu föreslagen lag. Enligt 48 § personuppgiftslagen skall den personuppgiftsansvarige ersätta den registrerade för den skada som en behandling av personuppgifter i strid med den lagen har orsakat. Bestämmelserna om skadestånd gäller således endast för brott mot personupp- giftslagen. Enligt utredningens uppfattning bör den enskilde ha samma förutsättningar till skadestånd om han eller hon lider skada av behandling som utförs i strid med nu aktuell lag. I lagen bör därför införas en hänvisning till bestämmelserna om skadestånd i personuppgiftslagen. 9.5.3Information till den registrerade Utredningens bedömning: Bestämmelserna i personuppgiftslagen (1998:204) om den personuppgiftsansvariges informationsplikt bör gälla även när personuppgifter behandlas i ett tillståndsregister eller ett beställningsregister inom färdtjänsten eller riksfärdtjänsten. Bestämmelser om vilken information den registrerade har rätt till då personuppgifter beträffande honom eller henne behandlas finns i 23 27 §§ personuppgiftslagen. En redogörelse för dessa bestäm- melser lämnas i avsnitt 7.6.4. När uppgifter om en person inhämtas från denne själv skall den personuppgiftsansvarige alltid självmant lämna information om behandlingen. Sådan information är obligatorisk, dvs. det finns inte möjlighet till undantag från denna informationsskyldighet. Det bör inte uppkomma några större problem för kommuner, trafikhuvudmän m.fl. att tillgodose sådan informationsskyldighet. Om personuppgifter samlas in från någon annan än den registrerade skall information lämnas när uppgifterna registreras. Information behöver dock inte lämnas, om det finns bestämmelser Överväganden och förslag avseende behandling av personuppgifter om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning. Information behöver inte heller lämnas om det visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Såsom konstaterats i delbetänkandet inhämtas uppgifter om en sökande till färdtjänst eller riksfärdtjänst i första hand från den sökande själv och information behöver inte lämnas om sådant som den enskilde redan känner till. Av 16 § förvaltningslagen (1986:223) framgår att en sökande har rätt att ta del av det som har tillförts ärendet från annan än honom själv, om detta avser myndighetsutövning mot någon enskild. Den enskilde bör därför redan genom denna bestämmelse om kommunicering få informa- tion bl.a. om personuppgifter som samlas in från någon annan än honom eller henne. Med hänsyn till det anförda torde informa- tionsskyldigheten inte förorsaka kommuner, trafikhuvudmän eller enskilda några större svårigheter. Såsom anförts i delbetänkandet beträffande färdtjänsten och riksfärdtjänsten saknas det således skäl att göra undantag, vare sig genom utvidgning eller genom inskränk- ning, från den informationsskyldighet som föreskrivs i person- uppgiftslagen. Utredningens förslag: En kommuns eller en trafikhuvudmans beslut om att avslå en ansökan om rättelse eller information enligt 26 § personuppgiftslagen (1998:204) skall få överklagas hos allmän förvaltningsdomstol. När trafikhuvudmannen är ett aktiebolag som fattat nämnda beslut, skall bolaget därvid vara den enskildes mot- part. Prövningstillstånd krävs vid överklagande till kammarrätten. I ett flertal särskilda registerförfattningar, bl.a. lagen (2001:454) om behandling av personuppgifter inom och lagen (2001:185) om behandling av uppgifter i verksamhet, finns bestämmelser om att ifrågavarande myndigheters beslut om rättelse eller information enligt 26 § personuppgiftslagen får överklagas hos allmän förvaltningsdomstol. Av förarbetena till förstnämnda lag (prop. 2000/01:80 s. 159) framgår att regeringens uppfattning är att beslut angående behandling av personuppgifter som direkt rör den enskilde skall kunna överklagas. Överväganden och förslag avseende behandling av personuppgifter regeringen bör man därför kunna överklaga sådana beslut som redovisats ovan. Det finns inte skäl till att i detta betänkande göra en annan bedömning än den utredningen tidigare gjort i delbetänkandet om överklagande.