sou · GRB34 · 2004-01-01 00:00:00 — Likaså får sådana upp- gifter behandlas om det är nödvändigt för att en arbetsuppgift av allmänt intresse skall kunna utföras och för att den personuppgifts- ansvarige, eller någon annan till vilken personuppgifter har lämnats ut, skall kunna utföra en arbetsuppgift i samband med myndighets- utövning. Personuppgifter får vidare behandlas om en avvägning ger vid handen att den personuppgiftsansvariges berättigade intresse av en behandling väger tyngre än den registrerades intresse av skydd. Vid intresseavvägningen jämställs med den personuppgiftsansvarige också sådana tredje män till vilka uppgiften lämnas ut. Om en behandling av personuppgifter inte kan räknas till något av de fall som anges i 10 §, är behandlingen otillåten och får inte genomföras. Behandling av känsliga personuppgifter (13 §) I artikel 8 i dataskyddsdirektivet föreskrivs att medlemsstaterna skall förbjuda behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse samt medlemskap i fackförening. Likaså är det förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv. I fråga om uppgifter som rör hälsa omfattas uppgifter om den regi- strerades tidigare, nuvarande och framtida fysiska och psykiska hälsa samt uppgifter om missbruk av droger och alkohol. I person- uppgiftslagen återfinns direktivets förbud mot behandling av käns- liga personuppgifter. Rättslig reglering till skydd för den personliga integriteten Undantag från förbudet (14 20 §§) I 14 20 §§ personuppgiftslagen finns det bestämmelser som med- för att känsliga personuppgifter i vissa fall ändå får behandlas. För- budet mot behandling av känsliga personuppgifter gäller inte om den registrerade har lämnat sitt samtycke till behandlingen. Till skillnad från när samtycke krävs i andra sammanhang måste i fråga om känsliga personuppgifter samtycket emellertid vara uttryckligt, dvs. Känsliga personuppgifter får vidare behandlas när det är nöd- vändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten. I stort sett gäller det fullgörandet av alla skyldigheter och rättigheter för arbetsgivaren beträffande de anställda och deras organisationer. De uppgifter som behandlas under denna förutsättning får lämnas ut till tredje man endast om det inom arbetsrätten finns en uttrycklig skyldighet för den personuppgiftsansvarige att göra det eller om den registrerade har samtyckt till utlämnandet. Om den registrerade inte kan lämna sitt samtycke, får känsliga personuppgifter behandlas när det är nödvändigt för att den regi- strerades vitala intressen skall kunna skyddas. Innebörden av begreppet vitala intressen är inte entydigt definierat, utan ett sådant intresse kan antingen vara av grundläggande betydelse för den regi- strerade alternativt vara livsviktigt för honom eller henne. Förbudet mot att behandla känsliga personuppgifter gäller inte heller när behandlingen utförs inom ramen för ideella organisa- tioners berättigade verksamhet med ett politiskt, filosofiskt, religiöst eller fackligt syfte. För att sådan behandling skall vara tillåten förutsätts emellertid att behandlingen endast avser upp- gifter om medlemmar eller personer som organisationen på grund av sitt ändamål har regelbunden kontakt med. Utlämnande av sådana uppgifter till tredje man kräver den registrerades uttryckliga samtycke. Det är tillåtet att behandla känsliga personuppgifter som på ett tydligt sätt offentliggörs av den registrerade. Det är vidare tillåtet att behandla känsliga personuppgifter när det är nödvändig för att kunna fastslå, göra gällande eller försvara rättsliga anspråk. Detta gäller när det förhållande som faller in under definitionen av känsliga personuppgifter också är en förutsättning för att personen i fråga skall ha rätt till en förmån eller ha en rättslig skyldighet gentemot någon annan. Som exempel kan nämnas rätten för en Rättslig reglering till skydd för den personliga integriteten sjuk person att få försäkringsersättning eller skyldigheten för den som tillhör att betala avgift. Förbudet mot behandling av känsliga uppgifter gäller inte när behandlingen är nödvändig med hänsyn till förebyggande hälso- och sjukvård, medicinska diagnoser, vård eller behandling samt administration av hälso- och sjukvård. Förbudet gäller inte heller när sådana uppgifter behandlas antingen av någon som är yrkes- mässigt verksam inom hälso- och sjukvårdsområdet och som sam- tidigt är underkastad tystnadsplikt eller av någon annan person som är underkastad en liknande tystnadsplikt. Slutligen undantas, under vissa förutsättningar, behandling för forskning och statistik från förbudet. Regeringen eller den myndighet som regeringen bestämmer, dvs. Datainspektionen, får meddela föreskrifter om ytterligare undan- tag, om det behövs med hänsyn till ett viktigt allmänt intresse, exempelvis folkhälsa. 2.6.4Information till den registrerade I 23 27 §§ personuppgiftslagen (1998:204) finns bestämmelser om information till den registrerade. Bestämmelserna gäller främst den information som den personuppgiftsansvarige utan uppmaning har att lämna. Om uppgifter om en person lämnas av personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen. Om personuppgifterna inhämtas från någon annan källa än den registrerade själv, skall den personuppgiftsansvarige utan upp- maning lämna den registrerade information om behandlingen, när uppgifterna registreras. Är uppgifterna avsedda att lämnas ut till tredje man behöver informationen emellertid inte lämnas förrän uppgifterna lämnas ut . Informationen skall inne- hålla uppgifter om vem den personuppgiftsansvarige är, ändamålet med behandlingen och all övrig information som den registrerade behöver för att kunna ta tillvara sina rättigheter i samband med behandlingen. Enligt 25 § personuppgiftslagen behöver information inte lämnas om sådant som den registrerade redan känner till, exempelvis på grund av att han eller hon redan har fått informationen i enlighet med annan lagstiftning. Rättslig reglering till skydd för den personliga integriteten Har uppgifterna hämtats in från en annan källa än den regi- strerade själv, behöver informationen inte lämnas om det är omöj- ligt eller skulle innebära en oproportionerligt stor arbetsinsats. Den personuppgiftsansvarige är skyldig att, till var och en som ansöker om det, en gång per kalenderår gratis lämna besked om huruvida uppgifter som rör sökanden behandlas eller inte, ända- målet med behandlingen, vilka uppgifter som behandlats, varifrån dessa kommer och till vem de lämnas ut. Sådan information behöver emellertid inte lämnas beträffande personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta gäller dock inte om uppgifterna har lämnats ut till tredje man eller om uppgifterna behandlas enbart för historiska, statistiska eller vetenskapliga ändamål, eller när det gäller löpande text som inte har fått sin slutliga utformning, om uppgifterna har behandlats . I den utsträckning det i en lag eller annan författning eller i ett beslut som har meddelats med stöd av en författning är särskilt föreskrivet att uppgifter inte får lämnas ut till den registrerade, behöver information inte lämnas. Regler om sekretess och tyst- nadsplikt går således före beskriven informationsskyldighet. Av 28 § personuppgiftslagen (1998:204) framgår att den person- uppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller före- skrifter som har utfärdats med stöd av lagen. Med blockering avses varje åtgärd som kan vidtas för att de ifrågavarande personupp- gifterna i alla sammanhang skall vara förknippade med tydlig information om att de är spärrade och inte får lämnas ut till tredje man och anledningen till spärren. Den personuppgiftsansvarige skall i vissa fall lämna en underrätt- else om vidtagna korrigeringsåtgärder till tredje man till vilka per- sonuppgifterna har lämnats ut. Detta skall ske om den registrerade begär det eller om det behövs för att undvika mera betydande skada eller olägenhet för den registrerade. En underrättelse behöver dock inte lämnas om det visar sig vara omöjligt att underrätta eller det skulle innebära en oproportionerligt stor arbetsinsats att lämna en Rättslig reglering till skydd för den personliga integriteten Den personuppgiftsansvarige har inte någon skyldig- het att hålla reda på till vem uppgifterna lämnas ut. Om den per- sonuppgiftsansvarige inte vet till vilka uppgifterna har lämnats ut, är det omöjligt att senare underrätta dem. 2.6.6Säkerheten vid behandling av personuppgifter Bestämmelser om säkerheten vid behandling av personuppgifter finns i 30 och 32 §§ personuppgiftslagen (1998:204). Ett person- uppgiftsbiträde, den som behandlar personuppgifter för den per- sonuppgiftsansvariges räkning, och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges räkning får bara behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna bör formuleras på ett sådant sätt att var och en som arbetar med personuppgifter skall veta vilka ändamålen är med behandlingen och att behandling som är oförenlig med dessa ändamål är förbjuden. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet i sådana frågor, skall i stället de bestämmelserna tillämpas. Det gäller i huvudsak bestäm- melser om tystnadsplikt och sekretess. Den personuppgiftsansvarige är skyldig att vidta tekniska och organisatoriska åtgärder för att skydda personuppgifterna. Åtgärderna skall åstadkomma en lämplig säkerhetsnivå med hänsyn till de tekniska möjligheter som finns, kostnaden för att genomföra åtgärderna, riskerna med behandlingen och hur känsliga de behandlade uppgifterna är. Enligt 32 § personuppgiftslagen får Datainspektionen meddela beslut om säkerhetsåtgärder i enskilda fall. Följs inte beslutet fri- villigt i det enskilda fallet, kan Datainspektionen enligt 45 § vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på något annat sätt än genom att lagra dem. I 43 47 §§ personuppgiftslagen (1998:204) regleras vissa av de befogenheter som tillkommer tillsynsmyndigheten, dvs. Data- inspektionen, vilken har rätt att för sin tillsyn på begäran få tillgång till bl.a. personuppgifter som behandlats och tillträde till sådana Rättslig reglering till skydd för den personliga integriteten lokaler som har anknytning till behandlingen. Om Datainspek- tionen inte kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, kan myndigheten också vid vite förbjuda den personuppgiftsansvarige att behandla person- uppgifter på annat sätt än genom att lagra dem. Datainspektionen får också hos länsrätten ansöka om att sådana personuppgifter som har behandlats på ett olagligt sätt skall utplånas. Anmälningsskyldighet (36 §) Den personuppgiftsansvarige är skyldig att till Datainspektionen anmäla helt eller delvis automatiserad behandling av personupp- gifter innan en sådan behandling företas. behandlingar omfattas inte av anmälningsskyldigheten. Avsikten med anmälnings- skyldigheten är att göra behandlingens ändamål och dess viktigaste egenskaper kända. Datainspektionen skall föra register över anmälda behandlingar. I förarbetena (prop. 1997/98:44 s.97) till personuppgiftslagen (1998:204) redovisas regeringens uppfattning om Datainspek- tionens verksamhet. Enligt regeringen borde denna verksamhet koncentreras till att ge råd och sprida kunskap om de materiella reglerna samt att utöva tillsyn över att reglerna följs. Dataskydds- direktivet föreskriver dock som huvudregel att alla automatiserade behandlingar av personuppgifter skall anmälas på förhand till tillsynsmyndigheten, se artikel 18.1. En sådan ordning skulle inne- bära att Datainspektionen, i motsats till regeringens uppfattning, i huvudsak skulle ägna sig åt hantering av anmälningar, tillstånd m.m. Från anmälningsskyldigheten får ett medlemsland emellertid föreskriva undantag. För att kunna tillgodose både kravet att följa direktivet och önskemålet att begränsa anmälningsskyldigheten, har i personupp- giftslagen en principiell anmälningsskyldighet till Datainspektionen införts, som möjligheterna att föreskriva om undantag från skyldigheten har utnyttjats fullt ut. När fråga är om särskilt integritetskänsliga behandlingar, som Datainspektionen skall kon- trollera innan de påbörjas, föreskrivs dock inga undantag från anmälningsskyldigheten. Rättslig reglering till skydd för den personliga integriteten I personuppgiftslagen finns ett bemyndigande som ger regeringen eller Datainspektionen möjlighet att genom föreskrifter meddela undantag från anmälningsskyldigheten. Personuppgiftsombud (37 40 §§) En anmälan till Datainspektionen avseende automatiserad behand- ling av personuppgifter behöver inte ske, om den personuppgifts- ansvarige har anmält till Datainspektionen att ett personuppgifts- ombud utsetts och vem denne är. Personuppgiftsombudet skall ha till uppgift att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt påpeka eventuella brister för denne. Om personuppgiftsombudet finner anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och om någon rättelse inte vidtas, skall personuppgiftsombudet anmäla detta till Datainspektionen. Personuppgiftsombudet skall vidare bl.a. hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personuppgifter är felaktiga eller ofullständiga. Skadestånd (48 §) Den personuppgiftsansvarige skall ersätta den registrerade för skada och kränkning av den personliga integriteten som en behand- ling av personuppgifter i strid mot lagen har orsakat. Skadestånd kan således inte utgå vid brott mot motsvarande bestämmelser i s.k. registerförfattningar, vilka enligt 2 § gäller framför personupp- giftslagen (1998:204). Om skadestånd skall utgå i det sistnämnda fallet måste registerförfattningen innehålla egna skadestånds- bestämmelser eller en hänvisning till 48 § personuppgiftslagen. Rätten till ersättning omfattar inte bara personskada, sakskada och ren förmögenhetsskada, utan även den kränkning av den personliga integriteten som behandlingen kan ha medfört. Ersätt- ningen för kränkningen bör uppskattas efter skälighet mot bak- grund av samtliga omständigheter i det aktuella fallet. Skadeståndsansvaret är i princip strikt. Det finns dock en möjlighet att helt eller delvis jämka skadeståndet, om den Rättslig reglering till skydd för den personliga integriteten personuppgiftsansvarige kan visa att den felaktiga behandlingen inte berodde på honom eller henne. Straff (49 §) Behandling av personuppgifter i strid med personuppgiftslagen kan medföra skyldighet att till de drabbade betala skadestånd och kan dessutom föranleda ett vitesföreläggande av tillsynsmyndigheten. Vissa förseelser är också straffbelagda. Den som uppsåtligen eller av oaktsamhet bryter mot vissa bestämmelser i lagen kan dömas till böter eller fängelse eller, om brottet är grovt, till fängelse i högst . Det är straffbart att lämna osanna uppgifter i den information till den registrerade som lagen föreskriver eller i information till Datainspektionen. Det är vidare straffbart om någon i strid med lagen behandlar känsliga personuppgifter, för över uppgifter till tredje land eller underlåter att göra föreskriven anmälan om behandling av personuppgifter till Datainspektionen. I ringa fall skall emellertid inte dömas till ansvar. Vid en sådan bedömning får beaktas bl.a. vilken integritetskränkning eller risk för integritets- kränkning som behandlingen orsakat. Genom lagen (1997:736) om färdtjänst, vilken trädde i kraft , ersattes socialtjänstlagens (1980:620) dåvarande bestämmelser om färdtjänst. Färdtjänsten skall numera i huvudsak betraktas som en trafikpolitisk tjänst i syfte att bidra till en till- fredställande trafikförsörjning också för funktionshindrade i stället för lämnande av bistånd. I förarbetena till lagen om färdtjänst (prop. 1996/97:115 s. 36) anförde regeringen följande. Det kan inte uteslutas att det alltjämt undantagsvis kan uppstå situationer när funktionshindrade behöver bistånd enligt socialtjänstlagen från kommunen för att kunna resa. Detta är dock inte något specifikt för funktionshindrade. Även en person utan funktionshinder kan behöva sådan hjälp.- Det kommer däremot inte att bli möjligt att kräva av kommunen att regelrätt färdtjänst ges som bistånd eller service enligt socialtjänstlagen. Enligt 7 § lagen om färdtjänst skall tillstånd till färdtjänst med- delas för den som på grund av funktionshinder, som inte endast är tillfälligt, har väsentliga svårigheter att förflytta sig på egen hand eller att resa med allmänna kommunikationsmedel. Om de allmänna kommunikationerna är så utformade att det är rimligt att kräva att även en funktionshindrad person skall kunna använda dem föreligger således ingen rätt att få färdtjänst. Tillståndet till färdtjänst omfattar inte resor som på något annat sätt bekostas av det allmänna, exempelvis skolskjutsar och sjukresor. I 3 § lagen om färdtjänst anges att kommunen ansvarar för färdtjänsten för sina invånare. Detta ansvar omfattar i första hand färdtjänsten inom kommunen, men om det finns särskilda skäl skall färdtjänsten också anordnas mellan kommunen och en annan kommun. Kommunen har frihet att anordna färdtjänst även i andra fall. Kommunen har således möjlighet att ombesörja att färdtjänst ges även i andra kommuner. Sådana transporter måste, för att falla inom kommunens befogenheter, gälla invånare i kommunen. Kommunen kan överlåta sina uppgifter enligt lagen om färd- tjänst till en trafikhuvudman, se avsnitt 3.3. Med riksfärdtjänst avses resor mellan kommuner, där kommunen ger tillstånd och lämnar ersättning för kostnader utöver normala reskostnader för personer som till följd av ett stort och varaktigt funktionshinder måste resa på ett särskilt kostsamt sätt. När det gäller riksfärdtjänst är det således fråga om att lämna ersättning för reskostnaden i stället för att tillhandahålla en tjänst, men det inträffar dock att kommunerna också tillhandahåller resetjänsten. Bestämmelser om riksfärdtjänst finns i lagen (1997:735) om riksfärdtjänst. Av 4 § lagen om riksfärdtjänst framgår att frågor om tillstånd prövas av den kommun där den sökande är folkbokförd. Kommunen kan överlåta sina uppgifter enligt lagen till en trafik- huvudman, se avsnitt 3.3. Enligt lagen (1997:734) om ansvar för viss kollektiv persontrafik skall det i varje län finnas länstrafikansvariga som ansvarar för den lokala och regionala kollektivtrafiken för persontransporter. I allmänhet är och kommunerna i länet gemensamt länstrafikansvariga. I är länstrafikan- svarigt och i kommunen. Landstingen och kommun- erna i övriga län kan komma överens om att antingen eller kommunerna skall vara länstrafikansvariga. Den juridiska person som handhar de länstrafikansvarigas uppgifter kallas trafikhuvudman. Av 5 § lagen om ansvar för viss kollektiv persontrafik framgår att en trafikhuvudman som grundregel skall vara ett kommunalförbund. Är de som är länstrafikansvariga över- ens, kan trafikhuvudmannen också vara ett aktiebolag. I ett sådant bolag skall de länstrafikansvariga inneha samtliga aktier. Ett lands- ting som ensamt är länstrafikansvarigt eller en kommun som ensam är länstrafikansvarig skall emellertid alltid vara trafikhuvudman. Trafikhuvudmannens uppgifter vad avser färdtjänsten Enligt 4 § lagen (1997:736) om färdtjänst får kommunen, efter överenskommelse med , om det hör till de länstrafik- ansvariga, överlåta sina uppgifter till trafikhuvudmannen i länet. Begreppen länstrafikansvariga och trafikhuvudman har samma innebörd i denna lag som i lagen om ansvar för viss kollektiv persontrafik. De uppgifter som kan överlåtas till trafikhuvudmannen är ansvaret för att anordna färdtjänsten och uppgifter som innefattar myndighetsutövning, bl.a. prövning av frågor om tillstånd till färd- tjänst. Uppgifter av praktisk natur vad avser färdtjänsten, exempel- vis uppgiften att utföra själva transporten eller beställnings- verksamheten kan en kommun utan stöd i lagen uppdra åt annan, se Lagrådets yttrande prop. 1996/97:115 s. 120 ff. Om kommunen har överlåtit sina uppgifter till trafikhuvud- mannen övertar denne också kommunens ansvar och skyldigheter. Trafikhuvudmannen skall då ansvara för att färdtjänst anordnas i en sådan kommun. Om det föreligger särskilda skäl kan trafik- huvudmannen vara skyldig att anordna färdtjänst mellan den kommunen och andra kommuner. Trafikhuvudmannen skall vidare pröva frågor om tillstånd till färdtjänst, vilket dock inte utesluter att kommunen svarar för beredningen av ärendet. I förarbetena till lagen om färdtjänst (prop. 1996:97:115 s. 41) anförde regeringen följande. En skyldighet för trafikhuvudmannen att i varje tillståndsärende låta kommunen yttra sig bör införas. Om så befinns lämpligt kan trafikhuvudmannen och kommunen komma överens om att ansökan ges in direkt till kommunen, som då bereder ärendet. Kommunen kan då också ge förslag till beslut, inkl. vilka villkor som bör gälla för tillståndet (färdmedel, antal resor per tidsperiod, geografisk räckvidd, om ledsagare behövs, om samåkning är möjlig osv.) varefter trafikhuvudmannen beslutar. Trafikhuvudmannens uppgifter vad avser riksfärdtjänsten I likhet med vad som gäller för färdtjänsten får kommunens upp- gifter vad avser riksfärdtjänsten och som innefattar myndighets- utövning överlåtas till trafikhuvudmannen i länet. Bestämmelsen finns i 3 § lagen (1997:735) om riksfärdtjänst. En överenskommelse om överlåtelsen skall dock ske med , om det hör till de länstrafikansvariga. De uppgifter som här avses är endast prövning av frågor om tillstånd till riksfärdtjänst, eftersom kommunen inte har någon skyldighet att tillhandahålla en tjänst utan i stället en skyldighet att lämna ersättning för reskostnaden. Uppgifterna får bara överlåtas till trafikhuvudmannen i länet och kan således inte överlåtas till en annan kommun eller ett landsting, om inte detta är länstrafikansvarigt och trafikhuvudman i länet. 4Register med personuppgifter inom färdtjänsten och riksfärdtjänsten Det är utredningens uppfattning att automatiserade och register med personuppgifter krävs för att kommuner, trafik- huvudmän, beställningscentraler och trafikutövare skall kunna fullgöra sina uppgifter inom färdtjänsten och riksfärdtjänsten. För att hantera sådana ärenden om tillstånd och för att kunna ge exempelvis trafikutövare inom färdtjänsten erforderlig information behövs register med uppgifter om bostadsadress, nödvändiga hjälpmedel vid transporter m.m. 4.1Allmänt om tidigare personregister Som framgått av föregående kapitel ersatte lagen (1997:736) om färdtjänst, som trädde i kraft , dåvarande bestäm- melser i socialtjänstlagen (1980:620) vad avsåg tillståndsgivning till färdtjänst. Lagen (1997:735) om riksfärdtjänst trädde i kraft och ersatte lagen (1993:963) om . Före angiven tidpunkt behandlades ärenden om färdtjänst i verksamhet. föreskrifter om per- sonregister inom (SOSFS 1981:126) tillämpades då för dessa ärenden. Utöver vad föreskrev gällde dock datalagens (1973:289) bestämmelser, om personregistren fördes med hjälp av automatisk databehandling. I föreskrifter anfördes bl.a. följande. I person- registren får tas in sådana uppgifter som inte rör ömtåliga person- liga förhållanden. Uppgifter som får tas in är i stället sådana som i allmänhet framstår som neutrala, exempelvis uppgifter om namn, personnummer och adress.