sou · GRB34 · 2004-01-01 00:00:00 — Enligt 59 § andra stycket social- tjänstlagen får dock i personregistren tas in uppgifter om ömtåliga personliga förhållanden, när det är fråga om beslut som inom fattas om den registrerade och som innebär myndig- Register med personuppgifter inom färdtjänsten och riksfärdtjänsten Med myndighetsutövning avses som regel utövning av befogenhet att bestämma om förmån, rättighet, skyldighet etc. Kommuner och trafikhuvudmän behövde tidigare ha tillstånd från Datainspektionen för att få inrätta och föra personregister för färdtjänsten och riksfärdtjänsten. 4.2Nuvarande register inom färdtjänsten och riksfärdtjänsten Personuppgiftslagen (1998:204) trädde i kraft och upphörde datalagen (1973:289) att gälla. Enligt övergångsbestämmelser till personuppgiftslagen skulle dock data- lagen i vissa avseenden tillämpas t.o.m. . Samtliga tillstånd från Datainspektionen upphörde att gälla , vilket innebär att de personregister som förts med sådant tillstånd numera helt innefattas av personuppgiftslagens bestämmelser. För att undersöka behandlingen av personuppgifter i register inom färd- och riksfärdtjänsten har utredningen genomfört en enkätundersökning som vänt sig till vissa kommuner och trafik- huvudmän, se bilaga 2. Utredningen har vidare tagit del av ett flertal beslut från Datainspektionen. Nedan följer en kortfattad redovisning av vad som framkommit genom denna undersökning. Såsom tidigare redovisats finns ingen författningsreglering av vilka register som får föras av kommuner, trafikhuvudmän och enskilda vad avser färdtjänsten och riksfärdtjänsten. Sådana register har tidigare förts med tillstånd av Datainspektionen. Den nedanstående redogörelsen av olika register med person- uppgifter inom färdtjänsten är av förklarliga skäl inte fullständig, utan avsikten med redovisningen är att få en överskådlig upp- fattning om vilka register som kan finnas, ändamålen med registren och en beskrivning av de uppgifter om de registrerade som skall behandlas. Det finns i vissa fall en redogörelse över mottagare till vilka uppgifterna kan komma att lämnas ut. I beskrivningen redovisas inte vilken kommun eller trafikhuvudman som inrättat eller för aktuellt register. Nedan lämnade redogörelse av olika Register med personuppgifter inom färdtjänsten och riksfärdtjänsten register är i vissa fall en sammanställning av uppgifter från kommuner och trafikhuvudmän. Utredningen har också inhämtat ett flertal tidigare beslut från Datainspektionen avseende olika register inom färdtjänsten och riksfärdtjänsten. Det bör anmärkas att det finns olika typer av register med personuppgifter inom färdtjänsten och riksfärdtjänsten. Registren har olika innehåll och det finns registerlösningar av olika slag. Skillnaderna kan bero på en mängd olika förhållanden, exempelvis kommunens storlek, att vissa kommuner och trafikhuvudmän inte är anslutna till beställningscentraler och att några register förs manuellt. För att det över huvud taget skall kunna vara möjligt att beskriva och analysera sådana register inom färdtjänsten och riks- färdtjänsten som kan innehålla känsliga personuppgifter, har utred- ningen valt att kalla register som är relevanta i detta sammanhang för tillståndsregister respektive beställningsregister. Tillståndsregister: Registret används för att där dokumentera samtliga uppgifter om en person som ansöker om eller har beviljats färdtjänst eller riksfärdtjänst. Registret används för handläggning av ärenden, dvs. utredning, journalhantering, produktion av tillståndsbevis eller färdtjänstkort, diarieändamål och aktkontroll, hjälpmedel för utskrift och expediering av beslut samt för betalning av resorna. Registren skall vidare möjliggöra planering och utvärdering av verksamheten, bl.a. framtagande av olika avstämningsunderlag och bokföringsunderlag samt framställning av statistik. innehåller uppgifter om bl.a. namn, adress, personnummer, beslutsunderlag, dvs. läkarintyg, utredning, uppgifter om den enskildes funktionsnedsättning, ansökan om färdtjänst, fotografi och den enskildes behov av särskilda hjälpmedel och service. Beställningsregister: Vid beställning, dirigering och planering av resandet inom färdtjänsten och riksfärdtjänsten förs ibland uppgifter över till ett beställningsregister. Sådana uppgifter är exempelvis namn, adress, kundnummer, telefonnummer, om specialfordon eller annan utrustning krävs och om samåkning med andra resenärer är möjlig. I andra system lämnar kommunen eller trafikhuvudmannen normalt inte ut några uppgifter till trafik- utövaren, utan i stället får den färdtjänstberättigade ett plastkort Register med personuppgifter inom färdtjänsten och riksfärdtjänsten som används som färdbevis när resa sker med trafikutövaren. På färdbeviset anges bl.a. om ledsagare har rätt att följa med och om speciella riktlinjer gäller för resan. Ett beställningsregister används för planering, samordning och beställning av resor. Registret används också för planering och utvärdering av verksamheten, t.ex. framtagande av avstämningsunderlag, samt framställning av stati- stik. Vidare nyttjas ett sådant register för annan administration av resor, t.ex. betalning av resorna. Register med uppgifter om resor: Registren används för att kontrollera utförda uppdrag och för att samla alla uppgifter rörande beställningar, uppdrag och utförda resor för statistisk behandling. Syftet med registren är också att kontrollera inkommande taxameterdata och att hålla ett bokföringsmaterial. Registren innehåller uppgifter om bl.a. resebeställningar, transportuppdrag, resdatum, reslängd, restid och personnummer. Register för ekonomi och redovisning: Registret används för bok- föring, redovisning, kundfakturering och leverantörsbetalningar och innehåller uppgifter om namn, adress, resdag, avgiftsgrund m.m. Leverantörsregister: Registren används för att kunna fördela uppdrag till rätt leverantör. Gemensamma frågor för tillstånds- och beställningsregister Tillstånds- och beställningsregister kan vara separata eller samman- kopplade, vilket innebär att register kan finnas på två olika ställen, dels hos kommunen respektive trafikhuvudmannen, dels hos beställningscentralen. Vad avser tillståndsregistret förefaller handläggare som bedömer rätt till färdtjänst och den som är ansvarig för registret ha direkt åtkomst till uppgifter i ett sådant register. Färdtjänsthandläggare och beställningsmottagare har som regel direkt åtkomst till uppgifter i ett beställningsregister. Av utredningens enkätundersökning framgår att s.k. tillstånds- register och beställningsregister finns även inom riksfärdtjänsten. Vissa kommuner och trafikhuvudmän anordnar således också resor för dem som är berättigade till riksfärdtjänst, trots att kommunen Register med personuppgifter inom färdtjänsten och riksfärdtjänsten respektive trafikhuvudmannen inte har någon skyldighet att till- handahålla en tjänst utan i stället en skyldighet att lämna ersättning för reskostnaden. Dessa s.k. tillståndsregister och beställnings- register har motsvarande innehåll som beskrivna register inom färdtjänsten. Inom riksfärdtjänsten kan givetvis också förekomma register med uppgifter om resor, register för ekonomi och redovisning m.m. Enligt utredningens bedömning får automatiserade och register anses vara en nödvändig förutsättning för en effektiv och ändamålsenlig behandling av personuppgifter inom färdtjänsten och riksfärdtjänsten. Exempel på vilka register som kan förekomma i dessa verksamheter finns redovisat i kapitel 4. Verksamheterna inom färdtjänsten och riksfärdtjänsten innefattar en betydande hantering av personuppgifter och i vissa fall sker en direkt eller indirekt behandling av känsliga personuppgifter som rör hälsa. De aktuella registren berör vidare ett stort antal individer. För behandling av personuppgifter inom färdtjänsten och riks- färdtjänsten gäller personuppgiftslagen (1998:204). Den första frågan utredningen har att ta ställning till är om det finns behov av särskild författningsreglering av behandlingen av personuppgifter i angivna verksamheter. Vid denna bedömning har utredningen att belysa huruvida avvikelser eller preciseringar är motiverade i förhållande till personuppgiftslagens bestämmelser. Med hänsyn till den begränsade tid som utredningen har till sitt förfogande för att lämna delbetänkandet omfattar övervägandena i första hand huruvida det finns behov av särskild författnings- reglering i förhållande till personuppgiftslagens bestämmelser om bl.a. ändamål, behandling av känsliga uppgifter, personuppgifts- ansvar, bevarande och gallring och enskildas rättigheter, t.ex. skadestånd. En mer ingående analys av vissa registerfrågor inom färdtjänsten och riksfärdtjänsten får ske i slutbetänkandet. Ändamålet med behandling av personuppgifter är en av de viktigaste frågorna vid tillämpningen av personuppgiftslagen. En ändamålsbestämmelse anger den allmänna ramen för registrens innehåll och på vilket sätt registren kan användas. Det är enligt utredningens uppfattning viktigt att ändamålen med de register som blir föremål för särskild författningsreglering uttrycks så att det inte uppstår konflikter med hur registren i praktiken skall användas. Det är av vikt att en särskild registerförfattning innehåller bestäm- melser om behandling av känsliga personuppgifter, se avsnitt 5.4.2, för att undvika att sådan behandling står i strid med dataskydds- direktivet eller personuppgiftslagen. Aktuella bestämmelser måste utformas så att de harmonierar med ändamålet med ett register. Om det förekommer behandling av personuppgifter i person- uppgiftslagens mening finns det någon eller några som är person- uppgiftsansvariga för den behandlingen. En personuppgiftsansvarig kan ådömas skadestånd om behandlingen av personuppgifter inte sker i överensstämmelse med lagen. Vid särskild författnings- reglering av register finns det två alternativa lösningar till frågan om personuppgiftsansvar. I det första alternativet anges det direkt i författningen vem som är personuppgiftsansvarig. I det andra alter- nativet berörs inte personuppgiftsansvaret i den särskilda register- författningen, vilket medför att frågan om vem som är person- uppgiftsansvarig får avgöras genom en tillämpning av person- uppgiftslagen. Utredningen redovisar i avsnitt 5.4.3 överväganden om vilket alternativ som är mest lämpligt i en registerförfattning för färdtjänsten och riksfärdtjänsten. I dataskyddsdirektivet och personuppgiftslagen regleras inte uttryckligen frågan om sökmöjligheter och sökbegränsningar. Indirekt regleras dock sökmöjligheter genom den s.k. finalitets- principen i 9 § första stycket d) personuppgiftslagen. Förekomsten av många sökbegrepp kan öka risken för integritetsintrång och i registerförfattningar förekommer därför att användningen av registeruppgifter som sökbegrepp begränsas. Enligt utredningen bör den rättsliga regleringen av vilka sökbegrepp som skall vara tillåtna analyseras. En annan viktig fråga är när uppgifter i ett register skall gallras. En alltför omfattande gallring i ett register kan medföra att det inte kommer att finnas tillräckligt med material för t.ex. planering och uppföljning av verksamheten. En alltför begränsad gallring kan få till följd att känsliga uppgifter om den enskilde onödigtvis sparas, vilket kan upplevas som integritetskränkande. Utredningens över- väganden redovisas i avsnitt 5.4.5. Bestämmelser om bl.a. skadestånd och rättelse, se avsnitten 6.1 och 6.2, gäller endast för brott mot personuppgiftslagen. Fråga uppkommer därför om det finns behov av liknande bestämmelser i en särskild registerförfattning. Även utredningens överväganden i fråga om behovet av andra bestämmelser i en särskild registerförfattning för färdtjänsten och riksfärdtjänsten redovisas nedan. Regeringen har tillsatt en särskild utredare med uppgift att se över personuppgiftslagen, Utredningen om översyn av personuppgifts- lagen, Ju 2002:02. Utredaren skall inom ramen för dataskydds- direktivet utforma ett regelverk som mera tar sikte på att förhindra missbruk av personuppgifter, som reglerna om hur uppgifterna får behandlas lättas upp. Utredningen skall vara klar . Det är mot bakgrund av att arbetet med nämnda utredning ännu pågår inte möjligt att beakta den utredningens arbete i nu aktuellt författningsärende. Det kan dock senare finnas anledning att närmare belysa vilka överväganden som gjorts av Utredningen om översyn av personuppgiftslagen. 5.2Personuppgiftslagen eller särskild registerförfattning Utredningens förslag: Kommuners och trafikhuvudmäns behandling av personuppgifter som sker automatiserat eller manuellt inom färdtjänsten och riksfärdtjänsten i tillståndsregister och beställningsregister skall författningsregleras särskilt i förordning. Förordningen skall även tillämpas på behandling av personuppgifter i ett beställningsregister som utförs av en enskild, om den enskilde enligt avtal med en kommun eller en trafik- huvudman om utförande av resor enligt lagen (1997:736) om färdtjänst eller lagen (1997:735) om riksfärdtjänst eller enligt avtal om en beställningscentral redan för ett sådant register den dag förordningen träder i kraft. En registrerad skall inte ha rätt att motsätta sig behandling som är tillåten enligt denna förordning. Tillståndsregister och beställningsregister skall definieras som register som motsvarar ändamålen med sådana register. Utredningens bedömning: Personuppgifter i övriga register inom färdtjänsten och riksfärdtjänsten skall behandlas enligt personuppgiftslagens (1998:204) bestämmelser. behov av någon särskild författningsreglering avseende behandling av personuppgifter i löpande text. Personuppgiftslagen är en generell lagstiftning som reglerar behand- ling av personuppgifter. Om avvikande bestämmelser meddelas i lag eller förordning gäller dessa framför personuppgiftslagen. Fråga uppkommer då om automatiserad och behandling av personuppgifter i färdtjänsten och riksfärdtjänsten medför ett behov av särskild författningsreglering eller om det är tillräckligt att personuppgiftslagen är direkt tillämplig på behandlingen. När behandling av personuppgifter är tillåten I kapitel 4 har redovisats exempel på olika register som används inom färdtjänsten och riksfärdtjänsten. Det som avgör om dessa register även fortsättningsvis kan användas utan särskild författ- ningsreglering, är om behandlingen innefattas i det tillåtna området som sätts upp av personuppgiftslagens bestämmelser. I 10 § personuppgiftslagen finns det en fullständig uppräkning av i vilka fall behandling av personuppgifter är tillåten. Om en behand- ling inte kan hänföras till någon av de rättsliga grunder för behand- ling av personuppgifter som anges i lagrummet, är behandlingen otillåten och får inte genomföras. Är det fråga om behandling av känsliga personuppgifter eller personnummer m.m. måste behand- lingen dessutom vara tillåten enligt bestämmelserna i 13 22 §§. Enligt 10 § personuppgiftslagen får personuppgifter behandlas om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig av vissa uppräknade orsaker. Enligt , SOU 1997:39 s. 359, kan nödvändighetskravet inte rimligen innebära att det skall vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av personuppgifter som omfattas av dataskyddsdirektivet. Det räcker sannolikt att det inne- bär en påtaglig förenkling för den personuppgiftsansvarige att per- sonuppgifter behandlas automatiserat eller manuellt i register. Av intresse för färdtjänsten och riksfärdtjänsten är framför allt 10 § e) personuppgiftslagen om myndighetsutövning, men punkten b) om rättslig skyldighet kan också vara av intresse i detta sammanhang. Av 10 § e) personuppgiftslagen framgår att personuppgifter får behandlas om det är nödvändigt för att kunna utföra en arbetsuppgift i samband med myndighetsutövning. Myndighets- utövningen skall utföras av den personuppgiftsansvarige själv eller av en tredje man till vilken uppgifterna har lämnats ut. Den aktuella bestämmelsen tillåter sannolikt en stor del av den behandling av personuppgifter som utförs inom den offentliga sektorn. Enligt , SOU 1997:39 s. 362, bör man till dess att något annat framkommer kunna utgå från att det som i brukar anses som myndighetsutövning omfattas av lagrummet. Enligt 10 § b) personuppgiftslagen får personuppgifter behandlas om det är nödvändigt för att den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet. En definition av rättslig skyldighet skulle kunna vara sådana skyldigheter som grundar sig på författningsbestämmelser, se SOU 1997:39 s. 360. Datoriserade och register med personuppgifter är enligt utredningens mening nödvändiga för att kommunerna och trafikhuvudmännen skall kunna fullgöra sina uppgifter inom färd- tjänsten och riksfärdtjänsten gentemot de ca 420 000 personer som är berättigade till färdtjänst och de ca 26 000 som är berättigade till riksfärdtjänst. Nödvändighetsrekvisitet är således uppfyllt. Med myndighetsutövning avses sådan offentlig verksamhet som innebär utövande av befogenhet att för enskild bestämma förmån, rättighet, skyldighet, disciplinpåföljd eller annat jämförbart förhåll- ande, se prop. 1985/86:80 s.55. Att pröva frågor om tillstånd till färdtjänst och riksfärdtjänst får betraktas som myndighetsutövning, även om det exempelvis är ett aktiebolag som prövar en sådan fråga. Av lagen (1997:736) om färdtjänst och lagen (1997:735) om riksfärdtjänst framgår att varje kommun ansvarar för färdtjänsten och riksfärdtjänsten för sina invånare. Detta ansvar kan överlåtas till trafikhuvudmannen i länet. En behandling av personuppgifter kan då vara nödvändig för att angivna juridiska personer skall kunna fullgöra sina rättsliga skyldigheter. Enligt utredningens uppfattning bör det således vara möjligt för kommuner och olika trafikhuvudmän att med stöd av aktuella bestämmelser i personuppgiftslagen fortsätta att föra olika register med anknytning till färdtjänsten och riksfärdtjänsten till den del de inte innehåller känsliga personuppgifter. Någon särskild författ- ningsreglering är inte nödvändig för sådana register. Behandling av personuppgifter i tillståndsregister och beställningsregister behöver emellertid regleras särskilt, se nedan. Såsom redovisats är personuppgiftslagen generellt tillämplig på all behandling av personuppgifter inte bara i register utan även i löpande text, t.ex. ordbehandlingsdokument. Enligt 8 § personupp- giftsförordningen (1998:1191) är det tillåtet att behandla känsliga uppgifter i löpande text, om uppgifterna har lämnats i ett ärende eller nödvändiga för handläggningen av det. Utredningen finner därför inte något behov av särskild författningsreglering i detta avseende. Behandling av känsliga uppgifter m.m. I 13 § personuppgiftslagen föreskrivs ett principiellt förbud mot att behandla vad som enligt lagrummet är att beteckna som känsliga personuppgifter. För sådana uppgifter är det således inte tillräckligt att de krav som uppställs i 10 § personuppgiftslagen är uppfyllda för att behandling skall vara tillåten. Känsliga uppgifter är personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Av intresse för färdtjänsten och riksfärdtjänsten är enligt utredningens uppfattning i detta fall endast uppgifter som rör hälsa. Av 14 § person- uppgiftslagen framgår att förbudet mot behandling av känsliga personuppgifter inte gäller om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. Det är i detta sammanhang inte möjligt att i detalj beskriva varje automatiserat och manuellt register med personuppgifter som förs inom färdtjänsten och riksfärdtjänsten, eftersom olika kommuner och trafikhuvudmän har olika sådana register. Av särskilt intresse för detta utredningsuppdrag får anses vara sådana register som utredningen betecknar tillståndsregister och beställningsregister, eftersom dessa som regel innehåller känsliga uppgifter som rör hälsa. Av enkätundersökningen, se avsnitt 4.2, framgår att uppgifter om personers funktionsnedsättningar, allergier och hjälpmedel vid transporter (exempelvis rullstol, ledarhund m.m.) i vissa fall behandlas i tillståndsregister och beställningsregister inom färd- tjänsten. Det förekommer att känsliga uppgifter också behandlas i sådana register som avser riksfärdtjänsten. Uppgifter som direkt rör hälsotillstånd, exempelvis angivande av funktionsnedsättning, liksom uppgifter som indirekt rör hälsotillståndet, exempelvis rullstol eller ledarhund, tillhör kategorin känsliga personuppgifter om hälsa. Känsliga personuppgifter får inte behandlas utan särskilt författningsstöd, utom i de undantagsfall som anges i person- Mot bakgrund av redovisningen ovan förefaller det vara endast ett undantag som är av intresse för färdtjänsten och riksfärdtjänsten, nämligen uttryckligt samtycke. Antalet personer som har tillstånd till färdtjänst är, som tidigare anförts, ca 420 000 och antalet personer som har tillstånd till riksfärdtjänst är ca 26 000. Att begära samtycke av dessa personer torde med hänsyn till antalet tillstånd vara både besvärligt och kostsamt. Detta sammantaget med utredningens uppfattning om att det finns behov av att behandla sådana känsliga uppgifter i register inom färdtjänsten och riksfärdtjänsten för att kommun- erna, trafikhuvudmännen, beställningscentraler och trafikutövare skall kunna fullgöra sina uppgifter i dessa verksamheter utgör tillräckliga skäl för en särskild författningsreglering. Av 8 kap. 5 § regeringsformen framgår att föreskrifter om kommunernas befogenheter och om deras åligganden skall med- delas i lag. Kommunernas och trafikhuvudmännens ansvar när det gäller färdtjänsten och riksfärdtjänsten följer av lag och i detta ansvar får anses ingå att administrera verksamheten, så att denna kan fullgöras på ett ändamålsenligt sätt, exempelvis genom behandling av personuppgifter. Allmänna föreskrifter om behand- ling av personuppgifter finns också i personuppgiftslagen. Enligt utredningens uppfattning utgör den nämnda bestämmelsen i regeringsformen inte något hinder mot att nu aktuell registerförfattning regleras i förordning. har dock i sina av godkända betänkanden (bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 48) anfört att myndighetsregister med ett stort antal registrerade och ett känsligt innehåll skall regleras särskilt i lag. Regeringen har delat bedömning (prop. 1990/91:60 s. 58 och 1997/98:44 s. 41). Kommunernas och trafikhuvudmännens behandling av personuppgifter inom färdtjänsten och riksfärd- tjänsten i tillstånds- och beställningsregister är enligt utredningens mening av sådan karaktär och omfattning att vissa principer för sådan behandling bör slås fast i lag. Detsamma gäller för behandling av personuppgifter som en enskild utför i ett beställningsregister. I kommittédirektiven till nu aktuell utredning uttalas emellertid att det är angeläget att en författningsreglering kommer till stånd , varför regleringen bör ske i förordning. Personuppgiftslagen, som i detta avseende har samma tillämpningsområde som dataskyddsdirektivet, omfattar såväl automatiserad behandling av personuppgifter som behandling av personuppgifter i register. Med register avses enligt dataskyddsdirektivet varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier. För register gäller särskilda övergångsbestämmelser, om registret fanns eller påbörjades innan personuppgiftslagen trädde i kraft, vilket medför att flera bestämmelser i personuppgiftslagen inte blir tillämpliga på ett sådant manuellt register . Enligt vad utredningen erfarit förekommer tillstånds- och beställningsregister inom färdtjänsten och riksfärdtjänsten i ytterst begränsad omfattning. Trots detta är det utredningens uppfattning att sådana register bör omfattas av den särskilda författningsregleringen.