sou · GRB34 · 2004-01-01 00:00:00 — Det är således endast den behandling av personuppgifter som sker automatiserat och manuellt inom färdtjänsten och riksfärd- tjänsten i tillståndsregister och beställningsregister som skall för- fattningsregleras särskilt i förordning. För tydlighetens skull bör sådana register definieras, se avsnitt 5.4.1. Det är vidare utredningens uppfattning att nu föreslagen förordning skall vara tillämplig när det är kommuner och trafikhuvudmän som behandlar personuppgifter i nämnda register. Förordningen bör dock även gälla för en enskilds behandling av personuppgifter i ett beställningsregister, om den enskilde enligt avtal med en kommun eller en trafikhuvudman om utförande av resor enligt lagen (1997:736) om färdtjänst eller lagen (1997:735) om riksfärdtjänst eller enligt avtal om en beställningscentral redan för ett sådant register den dag förordningen träder i kraft, se avsnitt 5.4.3. För övriga register inom färdtjänsten och riksfärdtjänsten bör personuppgiftslagen fortsatt vara ensam tillämplig på behandlingen av personuppgifter. Den registrerades rätt att motsätta sig behandling av uppgifter Enligt artikel 14 a) i dataskyddsdirektivet skall medlemsstaterna tillförsäkra den registrerade rätten att när som helst av avgörande och berättigade skäl som rör den registrerades personliga situation motsätta sig behandling av uppgifter som rör honom eller henne. Detta gäller åtminstone i de fall som avses i bl.a. artikel 7 e), av vilken framgår att personuppgifter får behandlas om detta är nödvändigt för att utföra en arbetsuppgift som är ett led i myndighetsutövning, utom när den nationella lagstiftningen föreskriver något annat. Av 12 § andra stycket personuppgiftslagen framgår att en registrerad, utöver vad som följer av 11 § och 12 § första stycket, inte har rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt den lagen. Utformningen av bestämmelsen är sådan att den inte omfattar behandling som sker enligt bl.a. särskilda registerförfattningar. Det finns skäl att anta att de som är i behov av eller redan är berättigade till färdtjänst eller riks- färdtjänst inte skulle motsätta sig sådan behandling av person- uppgifter, som t.ex. en kommun utför korrekt med stöd av nu aktuell förordning, eftersom behandlingen är en förutsättning för att färdtjänsten respektive riksfärdtjänsten skall kunna fungera på ett effektivt och ändamålsenligt sätt. Enligt utredningens uppfattning bör trots detta uttryckligen anges att behandling av personuppgifter som är tillåten enligt förordningen får utföras även om den registrerade motsätter sig behandlingen. Utredningens bedömning: Personuppgiftslagens (1998:204) bestämmelser om personnummer bör gälla när personuppgifter behandlas inom färdtjänsten och riksfärdtjänsten. Enligt 22 § personuppgiftslagen får uppgifter om personnummer och samordningsnummer behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller av något annat beaktansvärt ändamål. Syftet med bestämmelsen är att det beträffande varje enskilt register skall göras en intresseavvägning mellan de skäl som gör att behandlingen av personnummer och samordningsnummer är påkallade, mot behovet av ett fullgott skydd för den personliga integriteten. Enligt utredningens uppfattning bör inte denna reglering avseende samordningsnummer vara av något större intresse för färdtjänsten eller riksfärdtjänsten, eftersom det för varje folkbok- förd person fastställs ett personnummer, se 18 § folkbokförings- lagen (1991:481). En enskilds rätt till färdtjänst eller riksfärdtjänst förutsätter nämligen att man är folkbokförd i en kommun. Ett personnummer är en enhetlig och en för varje person särskiljande och varaktig identitetsbeteckning. Det är ett billigt och säkert instrument för identifiering av enskilda. Ett personnummer är vidare kort och det är lätt att kontrollera. En användning av personnummer inom färdtjänsten och riksfärdtjänsten kan exempelvis bidra till att förväxlingar av resenärer undviks och att transportmedlen utnyttjas effektivt vilket påverkar bl.a. kost- naderna för färdtjänsten. Med beaktande av vad som anförts ovan är det utredningens uppfattning att registrering av personnummer inom färdtjänsten och riksfärdtjänsten även fortsättningsvis skall kunna ske utan särskild författningsreglering utöver personuppgiftslagen. Vid denna bedömning tas också hänsyn till de bestämmelser om sekre- tess som gäller inom dessa verksamheter till skydd för den enskildes personliga integritet. Det bör dock understrykas att kommuner, trafikhuvudmän m.fl. skall överväga behovet av att registrera personnummer beträffande varje enskilt register. 5.4Författningsreglerad behandling av personuppgifter i ett tillståndsregister respektive ett beställningsregister Utredningens förslag: Ett tillståndsregister skall få användas för handläggning av ärenden enligt lagen (1997:736) om färdtjänst och lagen (1997:735) om riksfärdtjänst. Ett sådant register skall dessutom få användas för planering och utvärdering av färdtjänsten och riksfärdtjänsten samt för framställning av statistik. Ett beställningsregister inom färdtjänsten och riksfärdtjänsten skall få användas för planering, samordning och beställning av resor. Ett sådant register skall dessutom få användas för annan administration av resor, för planering och utvärdering av färd- tjänsten och riksfärdtjänsten samt för framställning av statistik. I särskilda registerförfattningar är ändamålsbestämmelser av central betydelse, eftersom bestämmelserna anger den allmänna ramen för registrens innehåll och på vilket sätt den personuppgiftsansvarige får använda registren. Avgränsningen av de ändamål för vilka ett register får användas är därför av stor betydelse för skyddet av den Enligt 9 § personuppgiftslagen (1998:204) får personuppgifter endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Av lagrummet framgår vidare att senare behandling inte får vara oförenlig med de ursprungliga ända- målen och att de personuppgifter som behandlas skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Behandling av personuppgifter i ett tillståndsregister eller ett beställningsregister inom färdtjänsten och riksfärdtjänsten kommer att omfatta känsliga personuppgifter, exempelvis uppgifter om den funktionshindrades behov av särskilt hjälpmedel. Det är därför viktigt att grundläggande krav ställs på behandlingen och att den tillgodoser den enskildes integritetsskydd. För att åstadkomma ett tillräckligt integritetsskydd är det lämpligt att specificera ända- målen för behandling av personuppgifter i tillståndsregister och beställningsregister. Av enkätundersökningen och av Datainspektionen tidigare med- delade beslut framgår att ett s.k. tillståndsregister används för bl.a. utredning om färdtjänst, diarieändamål, aktkontroll, statistik och för att de som beviljats resor skall ha möjlighet att få resor beställda och utförda enligt de tillstånd som givits. Vad som framkommit visar enligt utredningens mening att ett tillståndsregister bör få användas för handläggning av ärenden enligt lagen om färdtjänst och lagen om riksfärdtjänst. I begreppet handläggning ingår bl.a. utredning om färdtjänst och riksfärdtjänst, utredning om vilka behov den enskilde har avseende resor, journal- hantering, diarieföring, aktkontroll, produktion av tillståndsbevis eller färdtjänstkort, hjälpmedel för utskrift och expediering av beslut, betalningsadministration för resorna samt delgivnings- rutiner. Ett sådant register bör också få användas för framställning av statistik. Enligt utredningens uppfattning är det vidare av mycket stort värde för kommuner och trafikhuvudmän att få använda ett tillståndsregister för att ta fram underlag för planering och utvärdering av den egna verksamheten, även om det inte sker uteslutande i statistisk form. Det kan i detta avseende vara fråga om att ta fram olika avstämningsunderlag eller bokföringsunderlag. Vad som framkommit vid utredningens enkätundersökning och analys av Datainspektionens tidigare beslut visar att ändamålet med ett beställningsregister kan vara att möjliggöra planering, sam- ordning och beställning av resor, exempelvis bokning av ett fordon till den färdtjänstberättigade och utskrift av en körorder till en trafikutövare. För att kommuner, trafikhuvudmän, beställnings- centraler och trafikutövare skall kunna fullgöra sina uppgifter inom färdtjänsten och riksfärdtjänsten är det motiverat att uppgifter i ett beställningsregister får behandlas för de ändamål som nämnts. Enligt utredningens uppfattning bör ett beställningsregister också få användas för planering och utvärdering av den egna verksam- heten, t.ex. för att ta fram avstämningsunderlag eller bokförings- underlag eller för kontroll av att trafikutövaren utfört en beställd resa. Ett sådant register bör vidare få användas för framställning av statistik. Ett beställningsregister bör också få användas för annan administration av resor, t.ex. vid betalning av resorna m.m. Utredningens förslag: Det skall införas bestämmelser för att tillåta hanteringen av känsliga personuppgifter som rör hälsa enligt 13 § personuppgiftslagen (1998:204) i tillståndsregister och beställ- ningsregister, utan att något samtycke behövs från de som ansöker om eller redan är berättigade till färdtjänst eller riksfärdtjänst. För att känsliga uppgifter om hälsa skall få registreras i ett tillståndsregister skall krävas att uppgifterna har lämnats i ett ärende om färdtjänst eller riksfärdtjänst eller är nödvändiga för ändamålen med ett sådant register. I ett beställningsregister skall man få behandla sådana känsliga uppgifter som rör hälsa som anges i bilaga till föreslagen förordning, om uppgifterna har lämnats i ett ärende om färdtjänst eller riks- färdtjänst eller är nödvändiga för ändamålen med ett sådant register. En reglering av innehållet i ett register har stor betydelse för skyddet av den personliga integriteten. Behovet av skydd förstärks när de uppgifter som behövs är av känslig natur. Känsliga personuppgifter får inte behandlas utan särskilt författningsstöd, utom i de undantagsfall som anges i personuppgiftslagen. personuppgiftslagen framgår dock att regeringen får meddela ytterligare undantag från förbudet mot att behandla känsliga upp- gifter, om det behövs med hänsyn till ett viktigt allmänt intresse. I ett tidigare lagstiftningsärende (prop. 2000/01:80 s.144) har gjorts bedömningen att det är ett viktigt allmänt intresse att kan utföra sina arbetsuppgifter på ett tillfredställande sätt. Av utredningens enkätundersökning och beslut från Data- inspektionen framgår att ett tillståndsregister kan innehålla uppgifter om bl.a. funktionshinder, behov av hjälpmedel eller av särskilt fordon och av service. Ett sådant register kan också innehålla uppgifter om bl.a. ärendets handläggning, medicinsk utredning i övrigt, personnummer och adress. Med hänsyn till alla de uppgifter som kan ingå i ett tillstånds- register, exempelvis uppgifter om en utredning om tillstånd skall ges till färdtjänst, är det inte möjligt eller lämpligt att i detalj beskriva vilka uppgifter som skall få registreras i ett sådant automatiserat eller manuellt tillståndsregister. Personuppgiftslagen innehåller emellertid ett principiellt förbud mot att behandla personuppgifter som rör bl.a. hälsa. Vissa av uppgifterna i ett tillståndsregister, exempelvis om en persons funktionshinder eller behovet av hjälpmedel, får betecknas som sådana känsliga personuppgifter. Från förbudet gäller undantag bl.a. vid uttryckligt samtycke från den registrerade. Det undantaget är dock besvärligt och kostsamt att använda när det gäller register som rör personer berättigade till färdtjänst eller riksfärdtjänst, se avsnitt 5.2. För att känsliga uppgifter om hälsa skall kunna registreras i kommunernas och trafikhuvudmännens tillstånds- register måste detta därför uttryckligen framgå av annan lag eller förordning. I detta sammanhang bör det framhållas att kommuner och trafikhuvudmän har behov av att kunna behandla sådana känsliga personuppgifter för att klara sina åligganden inom färdtjänsten och riksfärdtjänsten. Att kommuner och trafikhuvud- män skall ges möjlighet att utföra sina arbetsuppgifter inom färdtjänsten och riksfärdtjänsten på ett tillfredställande sätt är enligt utredningens uppfattning ett viktigt allmänt intresse. Känsliga personuppgifter bör därför få behandlas i ett tillstånds- register under förutsättning att uppgifterna har lämnats i ett ärende om färdtjänst eller riksfärdtjänst eller är nödvändiga för de ändamål som i föreslagen förordning särskilt anges för ett tillståndsregister. Behandling i ett tillståndsregister av andra känsliga person- uppgifter som nämns i 13 § personuppgiftslagen skall vara förbjuden, om inte annat följer av personuppgiftslagen. I ett beställningsregister finns sådana uppgifter om färdtjänst- berättigade som är av särskilt intresse för beställningscentraler och trafikutövare. Det är fråga om uppgifter som är nödvändiga för att anordna en resa. I ett beställningsregister behövs uppgifter bl.a. om specialfordon eller annan utrustning krävs, om samåkning med andra resenärer är möjlig, behov av ledsagare eller ledarhund, placering i fordonet, resebeställningar, adresser, telefonnummer, portkoder m.m. Det förekommer att beställningsregister används också inom riksfärdtjänsten. I ett beställningsregister finns således uppgifter om den enskilde är exempelvis rullstolsburen eller har ledarhund, uppgifter som enligt utredningens mening får anses röra hälsa. I likhet med vad som bör gälla för ett tillståndsregister måste det därför uttryckligen framgå av annan lag eller förordning, om känsliga uppgifter som rör hälsa skall kunna registreras utan uttryckligt samtycke i ett s.k. beställningsregister. Det får anses vara ett viktigt allmänt intresse att kommuner, trafikhuvudmän, beställningscentraler och trafik- utövare skall kunna ges möjlighet att utföra sina arbetsuppgifter inom färdtjänsten och riksfärdtjänsten på ett tillfredställande sätt. I detta arbete är ett beställningsregister av central betydelse. I avsnitt 2.3 finns en redogörelse för att sekretess i ärenden om färdtjänst och riksfärdtjänst gäller för alla uppgifter om enskilds personliga förhållanden. Trots sekretessen finns det en begränsad möjlighet för en tillståndsgivare att till en beställningscentral för transporter och till en trafikutövare lämna ut sådana uppgifter som behövs för att anordna transporten. Bestämmelserna om sekretess sammantaget med ändamålet med ett beställningsregister, dvs. att möjliggöra t.ex. planering, samordning och beställning av resor, medför att förekomsten av känsliga personuppgifter om hälsa bör vara betydligt mindre omfattande än i ett tillståndsregister. Det kan därför vara lämpligt att specificera vilka uppgifter rörande hälsa som får registreras i ett automatiserat eller manuellt beställnings- SOU 2003:4 Överväganden och förslag Till en förordning om behandling av personuppgifter inom färdtjänsten och riksfärdtjänsten bör det därför fogas en bilaga med specificering av sådana uppgifter. I bilagan bör således inte en fullständig uppräkning göras av vilka uppgifter som får förekomma i ett beställningsregister, utan endast redovisas vilka uppgifter om hälsa som får förekomma i ett sådant register. Följande uppgifter som indirekt kan röra hälsa bör få förekomma i ett beställningsregister. Uppgifter om den färdtjänstberättigades behov av: N hjälpmedel, exempelvis rullstol, rollator eller krycka, ledarhund etc. som används vid förflyttning eller andra hjälpmedel, t.ex. medicinsk utrustning N specialfordon N ledsagare N viss placering i fordonet N ett sanerat fordon, exempelvis uppgifter om att pälshår inte får förekomma i fordonet N viss annan service för att transporten skall kunna utföras, t.ex. uppgifter om att den färdtjänstberättigade behöver viss hjälp av chaufför etc. N viss annan anpassning av fordonet, t.ex. att ett säte måste justeras eller tas bort I ett beställningsregister bör vidare få förekomma uppgifter om samåkning med andra resenärer är möjlig. De angivna känsliga uppgifterna får behandlas i ett beställnings- register under förutsättning att uppgifterna har lämnats i ett ärende om färdtjänst eller riksfärdtjänst eller är nödvändiga för de ändamål som i förordningen särskilt anges för ett beställningsregister. Det är således utredningens uppfattning att det är nödvändigt för bl.a. beställningscentraler och enskilda trafikutövare, såsom ett taxiföretag, att få tillgång till angivna uppgifter om hälsa i ett beställningsregister. Andra uppgifter om hälsa, exempelvis den enskildes funktions- nedsättning eller diagnos och övriga känsliga personuppgifter enligt 13 § personuppgiftslagen är således förbjudna att behandla i ett automatiserat eller manuellt beställningsregister, om inte annat följer av personuppgiftslagen. Utredningens bedömning: Frågan om vem som är person- uppgiftsansvarig för behandling av personuppgifter i ett tillstånds- register eller ett beställningsregister skall avgöras efter en tillämpning av bestämmelserna i personuppgiftslagen (1998:204). Personuppgiftsansvaret för ett beställningsregister bör dock åvila kommunen eller trafikhuvudmannen även i de fall dessa myndig- heter inte sköter och administrerar ett beställningsregister, om registret inte förs när förordningen träder i kraft. Om ett privat bolag administrerar ett beställningsregister bör detta ske i egenskap av personuppgiftsbiträde. Av 3 § personuppgiftslagen framgår att med personuppgifts- ansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. I 9 § personuppgiftslagen anges de grundläggande kraven på den personuppgiftsansvariges behandling av person- uppgifter. Den personuppgiftsansvarige skall se till bl.a. att personuppgifter endast behandlas i överensstämmelse med lag och att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed. Den personuppgiftsansvarige ansvarar gentemot de registrerade för att de grundläggande kraven alltid uppfylls vid behandlingen av personuppgifter. Detta ansvar gäller även om den personuppgiftsansvarige har anlitat ett person- uppgiftsbiträde eller utsett ett personuppgiftsombud. Vidare innebär personuppgiftsansvaret skyldigheter att bl.a. lämna infor- mation till den registrerade, att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas och att ersätta den registrerade för skada som åstad- kommits på grund av felaktig behandling av personuppgifter, se 23 27 §§, 31 och 48 §§ personuppgiftslagen. Det finns två alternativa lösningar till hur frågan om person- uppgiftsansvar skall regleras. I det första alternativet anges det direkt i författningen vem som är personuppgiftsansvarig. I det andra alternativet berörs inte personuppgiftsansvaret i den särskilda registerförfattningen. Det sistnämnda alternativet medför att personuppgiftslagens bestämmelser gäller och att frågan om vem som är personuppgiftsansvarig får avgöras genom en tillämpning av den lagen. En fördel med det förstnämnda alternativet är att det blir enklare för den enskilde att få rätt gentemot den personuppgiftsansvarige, om avgränsningsfrågor kan undvikas genom en bestämmelse som klart uttalar vem som bär personuppgiftsansvaret. Detta alternativ kan dock vara svårt att tillämpa om aktuell lagstiftning berör många olika aktörer. Inom färdtjänsten och riksfärdtjänsten kan det förekomma flera olika aktörer. Kommunen är i och för sig huvudman för båda dessa verksamheter men kan överlåta sina uppgifter till trafikhuvud- mannen i länet, vilken kan vara t.ex. ett kommunalförbund eller ett aktiebolag. Kommunens uppgifter fullgörs av den eller de nämnder som kommunfullmäktige bestämmer. Ansvaret för färdtjänsten ligger i de flesta kommuner kvar på socialnämnden. för färdtjänsten och riksfärdtjänsten kan också vara t.ex. en färd- tjänstnämnd, en teknisk nämnd eller en kommundelsnämnd. I ett informationsblad från Datainspektionen anges att i en kommun är normalt både kommunstyrelsen och de kommunala nämnderna, om de är så självständiga att de är förvaltningsmyndigheter, personuppgiftsansvariga, var och en i sin verksamhet. Enligt informationsbladet är det inte möjligt att generellt ange vilket organ i kommunen som är personuppgiftsansvarigt, utan de faktiska omständigheterna måste prövas i varje enskilt fall, exempelvis om nämnden självständigt förfogar över de person- uppgifter som behandlas. Det kan således vara svårt att med stöd av endast person- uppgiftslagen fastställa vem som är personuppgiftsansvarig, vilket talar för att det i en författning om register inom färdtjänsten och riksfärdtjänsten uttryckligen bör anges vem eller vilka som är personuppgiftsansvariga. måste det emellertid noga analyseras hur ett sådant uttryckligt ansvar skall regleras, för att en sådan författningsreglering inte skall binda upp kommuner och andra trafikhuvudmän vid en viss ordning i fråga om förande av de aktuella registren. Av tidsskäl är det dock inte möjligt att göra en sådan ingående analys i detta delbetänkande. Enligt utredningens uppfattning är det därför lämpligt att personuppgiftsansvaret tills vidare avgörs genom en prövning enligt personuppgiftslagens allmänna bestämmelse. I de flesta fall torde det inte uppstå några problem, eftersom det kan förväntas att ansvaret för att föra ett register och behandla uppgifter i detta på något sätt kommer till uttryck genom interna överenskommelser, arbetsordningar m.m. Utredningen återkommer till frågan om personuppgiftsansvar i slutbetänkandet. Personuppgiftsansvar och förordningens tillämpningsområde Med hänsyn bl.a. till gällande bestämmelser om sekretess, förutsätter utredningen att ett tillståndsregister inte sköts och administreras av annan än tillståndsgivaren till färdtjänst eller riksfärdtjänst, dvs. en kommun eller en trafikhuvudman. Ett beställningsregister kan däremot administreras av bl.a. en kommun, en trafikhuvudman och ett aktiebolag, t.ex. ett privat taxibolag. Det är utredningens ståndpunkt att i de fall en kommun eller någon annan trafikhuvudman inte sköter och administrerar ett beställningsregister bör personuppgiftsansvaret för ett sådant regi- ster ändå åvila kommunen eller trafikhuvudmannen. Anledningen härtill är att det finns känsliga personuppgifter i ett beställnings- register. Vidare har uppgifterna i ett beställningsregister anknyt- ning till uppgifterna i ett tillståndsregister och är i vissa fall direkt överförda från det sistnämnda registret, vilket finns hos kommunen eller trafikhuvudmannen. Det är därför utredningens förslag att förordningen skall omfatta kommuners och trafik- huvudmäns behandling av personuppgifter inom färdtjänsten och riksfärdtjänsten i tillstånds- och beställningsregister. Förordningen bör dock även omfatta enskildas behandling av personuppgifter i ett beställningsregister, om den enskilde enligt avtal med en kommun eller trafikhuvudman om utförande av resor enligt lagen (1997:736) om färdtjänst eller lagen (1997:735) om riksfärdtjänst eller avtal om en beställningscentral redan för ett sådant register när förordningen träder i kraft, se vidare nedan. Såsom tidigare redovisats är det utredningens uppfattning att personuppgiftsansvaret för ett beställningsregister bör åvila kommunen eller trafikhuvudmannen även i de fall dessa myndig- heter inte sköter ett sådant register. Enligt utredningens mening bör kommuner och olika trafikhuvudmän tillämpa personuppgifts- lagens bestämmelser om personuppgiftsbiträde i förhållande till privata taxibolag m.fl. Om ett privat bolag sköter ett beställnings- register bör detta alltså ske i egenskap av personuppgiftsbiträde.