sou · GXB332 · 2009-04-17 00:00:00 — Detta beror på den mycket omfattande och mångskiftande verksamhet som lagstiftningen ska omfatta och behov av att behandla ett synnerligen stort antal olika personuppgifter, som när det gäller graden av integritetskänslighet varierar i stor utsträck- ning. En reglering skulle nämligen antingen innebära stora risker för att socialtjänstarbetet försvårades eller – om listan över vilka uppgifter som fick behandlas gjordes mycket omfattande – knappast medföra några vinster från integritetssynpunkt. – anser således att det i princip inte i lagen bör införas några begränsningar när det gäller vilka kategorier av personuppgifter som bör få behandlas inom . – Det finns, för att ska kunna klara sina uppgifter, ett behov av att behandla även personuppgifter som är känsliga i personuppgiftslagens mening. Sådana uppgifter bör enligt därför få behandlas. Att ska kunna utföra sina arbetsuppgifter på ett tillfredställande sätt är ett viktigt allmänt intresse. -- Eftersom uppgifterna kringgärdas av en mycket sträng sekretess anser att det från Författningsreglering av behandling av uppgifter integritetssynpunkt inte är något som hindrar en sådan ordning. Det bör dock särskilt framhållas att bestämmelserna i 9 § första stycket e) och f) personuppgiftslagen innebär begränsningar för när personuppgifter får behandlas. De personuppgifter som behandlas ska enligt dessa bestämmelser vara adekvata och relevanta i förhållande till ändamålen med behandlingen och fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Av förarbetena till SoLPUL (prop. 2000/01:80 s. 144 ff.) framgår att det– för att ska kunna klara sina uppgifter – finns ett behov av att behandla även personuppgifter som är känsliga i personuppgiftslagens mening. Att ska kunna utföra sina arbetsuppgifter på ett tillfredsställande sätt är ett viktigt allmänt intresse. I förarbetena till lagen underströks dock särskilt att ska iaktta försiktighet vid behandlingen av person- uppgifter. Därför ansågs det motiverat att i 7 § andra stycket ta in en erinran som bygger på 9 § första stycket e) och f) person- uppgiftslagen och som anger att personuppgifter enligt första stycket samma paragraf endast får behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. Om sådana känsliga personuppgifter måste behandlas i offentlig verksamhet utan samtycke, behövs – enligt vår mening – det särskilda och avvikande bestämmelser för i vilka fall det får göras. Vi föreslår därför att uppgifter om en person inte får behandlas enbart på grund av vad som är känt om en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Det innebär t.ex. att det inte kan föras anteckningar etc. om enskilda personer enbart på den grunden att de tillhör en viss etnisk grupp. Om uppgifter däremot behandlas på annan grund måste de få kompletteras med känsliga personuppgifter när det är absolut nödvändigt för syftet med behandlingen. Som exempel kan nämnas att en person är aktuell i ett ärende. Om det är absolut nödvändigt för handläggningen av ärendet får de övriga uppgifterna i ärendet kompletteras med känsliga uppgifter. Utan hinder vad som sägs ovan får sådana uppgifter behandlas om de förekommer i en muntlig eller skriftlig ansökan eller anmälan, eller i övrigt i en handling som kommer in i verksamheten. Författningsreglering av behandling av uppgifter För uppgifter som på annat sätt kommit till kännedom, t.ex. genom egna iakttagelser, tillämpas inte undantaget i paragrafens sista stycke utan i stället paragrafens första och andra stycken. 11.2.6Känsliga personuppgifter som sökbegrepp (10 § SoLPUL) Vårt förslag: Uppgifter som avslöjar ras, religiös eller filosofisk övertygelse, medlemskap i fackförening eller sexualliv får inte användas som sökbegrepp. Uppgifter om en persons etniska ursprung, politiska åsikter och hälsa får användas som sökbegrepp. Frågan om på vilket sätt uppgifter kan sammanställas är en av de viktigare från integritetssynpunkt. Ju större möjligheter det finns att sammanställa uppgifter om enskilda, desto större blir riskerna för otillbörliga intrång i enskildas integritet. Det är framför allt när det gäller känsliga personuppgifter som det av integritetsskäl finns anledning att ha begränsningar för vilka uppgifter som ska få användas vid sökning efter uppgifter. bör beaktas vad som tidigare anförts om att social- tjänstens verksamhet måste kunna fullgöras på ett tillfredställande sätt. Den nu gällande regleringen av känsliga personuppgifter som sökbegrepp återfinns i 7 a § lagen (2001:454) om behandling av personuppgifter inom (SoLPUL) angående samman- ställning av personuppgifter, varav framgår bl.a. följande. I sammanställningar av personuppgifter får det inte tas in känsliga personuppgifter eller uppgifter i övrigt om ömtåliga personliga förhållanden. Undantag och därmed alltså möjlighet till att göra sökningar m.m., gäller vissa i paragrafen angivna situationer. Det anges uttryckligen att uppgift som avslöjar medlemskap i fack- förening aldrig får tas in. Eftersom det i våra direktiv bl.a. har redogjorts för att det föreligger ett utökat behov av informationsutbyte mellan och hälso- och sjukvården för att underlätta möjligheterna till en gemensam verksamhetsuppföljning däremellan (jfr 9.4 kap.), kan det med anledning härav även i nu aktuellt Författningsreglering av behandling av uppgifter SOU 2009:32 sammanhang finnas skäl att beakta hur patientdatalagen har utformat sitt regelverk avseende känsliga uppgifter som sök- begrepp. I 2 kap. 8 § första stycket patientdatalagen (2008:355) finns en huvudregel som innebär ett förbud att använda sådana känsliga uppgifter som anges i 13 § personuppgiftslagen som sökbegrepp. – Av andra stycket framgår vidare, trots nämnda huvudregel, att det ändå är tillåtet att som sökbegrepp använda uppgifter om 1. hälsa, eller 2. att någon varit föremål för tvångsingripande enligt lagen (1995:1128) om psykiatrisk tvångsvård eller enligt lagen (1991:1129) om rättspsykiatrisk vård. – Regeringen får vidare, enligt tredje stycket, meddela föreskrifter om att en vårdgivare, trots förbudet i första stycket, får använda uppgifter om etnicitet eller uppgifter av betydelse för smittskyddet samt om att någon fått bistånd eller andra insatser inom eller varit föremål för åtgärder enligt utlänningslagen som sökbegrepp för att göra vissa slags sammanställningar. En fråga som särskilt har diskuterats i förarbetena till SoLPUL (jfr 2000/01:80 s. 144, 176 och 272) är om skulle få behandla personuppgifter som avslöjar politiska åsikter. Att detta skulle kunna få förekomma inom ansågs av såväl Lagrådet som regeringen som klart motiverat. Det framhölls att behandlingen kan gälla ungdomar som bl.a. på grund av sina politiska åsikter ägnar sig åt kriminalitet eller annat beteende som föranleder att socialnämnden behöver veta vilken gruppering en viss individ tillhör för att undvika att personer placeras tillsammans med politiska motståndare och riskerar att råka illa ut. Vi har med anledning härav också funnit skäl att föreslå att ska kunna få använda sig av politiska åsikter som sökbegrepp Av samma skäl som ovan anförts avseende personers politiska åsikter, föreligger även behov av att beakta personers etniska ursprung. Om detta inte skulle vara möjligt skulle problem kunna Författningsreglering av behandling av uppgifter uppstå vid planering och placering av personer inom olika delar av omsorgsverksamhet, exempelvis angående personer som kommer från samma geografiska område men där det kan föreligga starka motsättningar mellan olika grupper av individer på grund av personernas olika etniska ursprung. I förarbetena till patientdatalagen (2007/08:126 s. 232) har vidare angetts att bakgrunden till att etnicitet ska kunna få användas som sökbegrepp är att t.ex. en enskild vårdgivare kan behöva planera, utföra och följa upp hälso- och sjukvård som en del invandrargrupper behöver. Motsvarande resonemang kan föras inom omsorg. Etniskt ursprung bör med anledning härav därför få användas som sökbegrepp. Av förarbetena till patientdatalagen (2007/08:126 s. 232) har angetts bl.a. följande. Uppgifter som rör hälsa kan behöva användas som sökbegrepp för att man snabbt och effektivt ska kunna finna relevanta journalanteckningar från en patients tidigare vård- tillfällen. Förutom i det individinriktade arbetet kan det vid t.ex. verksamhetsuppföljningar vara nödvändigt att göra samman- ställningar utifrån bl.a. sökkriterier, diagnoser etc. -- Även vid verksamhetsplanering, t.ex. då man undersöker framtida tillströmningar av olika patientkategorier, kan det vara nödvändigt att använda sökbegrepp som rör hälsa. På grund av de närliggande verksamhetsområdena socialtjänst respektive hälso- och sjukvård finner vi att motsvarande resonemang som har använts vid utformningen av patientdatalagen angående möjligheten att använda begreppet hälsa som sökbegrepp, även gör sig gällande inom . Författningsreglering av behandling av uppgifter 11.2.7Sökning avseende uppgifter om lagöverträdelse som innefattar brott, domar i brottmål, tvångsmål eller administrativa frihetsberövanden (10 § SoLPUL) I 21 § personuppgiftslagen (1998:204, PUL) ges ett förbud för andra än myndigheter att behandla personuppgifter om lagöver- trädelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Som exempel på administrativa frihetsberövanden nämns i förarbetena (prop. 1997/98:44 s. 76) tvångsingripanden enligt lagen (1990:52) med särskilda bestämmelser om vård av unga (LVU) och lagen (1988:870) om vård av missbrukare i vissa fall (LVM). I förarbetena till lagen (2001:454) om behandling av person- uppgifter inom , prop. 2000/01:80 s. 144 ff. anförs att det finns ett behov inom för såväl myndigheter som andra än myndigheter behandla personuppgifter om lagöverträd- elser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden och att lagen bör tillåta att även sådana uppgifter får behandlas generellt inom . Som nämnts ovan har det även i patientdatalagen (2008:355) tagits in bestämmelser om att uppgifter om att någon varit föremål för tvångsingripande enligt lagen (1995:1128) om psykiatrisk tvångsvård (LPT) eller lagen (1991:1129) om rättspsykiatrisk vård (LRV) får användas som sökbegrepp. Vi har inte funnit skäl att göra en annan bedömning än vad som framgår av tidigare lydelse av SoLPUL. Vi föreslår därför att – såväl myndigheter som andra än myndigheter – nu ska ges möjlighet att kunna söka efter uppgifter om lagöverträdelser som innefattar brott, domar i brott- mål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden såsom tvångsingripanden enligt framför allt LVU, LVM. LPT och LRV. Vi föreslår dock inte någon uttrycklig lagreglering i denna del utan erinrar om utformningen av 5 § i vårt förslag till ny lag om behandling av personuppgifter inom (nya SoLPUL), att denna lag ska – om inte annat anges – gälla i stället för PUL samt att det inte i 6 § nya SoLPUL görs någon hänvisning till 21 § PUL. Därigenom följer att det inte föreligger någon begränsning till att det enbart är myndigheter som ska kunna behandla personuppgifter om bl.a. administrativa frihetsberövanden, utan Författningsreglering av behandling av uppgifter även andra än myndigheter. Vid en sådan sökning ska alltjämt övriga bestämmelser i nya SoLPUL vara uppfyllda. 11.2.8Sökning avseende ömtåliga personliga förhållanden (10 § SoLPUL) Av 7 a § lagen (2001:454) om behandling av personuppgifter inom (SoLPUL) framgår att det i sammanställningar av personuppgifter inte får tas in känsliga personuppgifter eller uppgifter i övrigt om ömtåliga personliga förhållanden (kursivering tillagd). I kommentaren till socialtjänstlagen (Handläggning inom ; Clevesköld m.fl, 10 uppl, s. Enligt 7 a § första stycket får det i sammanställningar av personuppgifter inte tas in känsliga personuppgifter eller uppgifter i övrigt om ömtåliga personliga förhållanden. Det råder alltså ett generellt förbud för mot att föra s.k. samman- ställningsregister med känsliga och ömtåliga personuppgifter. Begreppet uppgifter om ömtåliga personliga förhållanden infördes genom den tidigare socialtjänstlagen (1980:620). Detta begrepp omfattar förutom vad som räknas som känsliga personuppgifter enligt personuppgiftslagen även andra uppgifter om personliga förhållanden som kan förekomma inom social- tjänsten och vars behandling kan anses vara kränkande för den personliga integriteten. Det kan t.ex. vara uppgifter om försörjningsförmåga och familjeförhållanden. Detta är ett vedertaget begrepp inom som bedömts stämma överens med vad som inte ska få finnas med i olika typer av sammanställningsregister. I samband med införandet av 7 a § anförde regeringen (prop. 2002/03:36 s. 18) att begreppet ömtåliga personliga förhållanden bör tillämpas i all socialtjänstverksamhet. Det innebär att begreppet nu är tillämpligt för hela den kommunala verksamheten, privat verksamhet liksom för den tillsynsverksamhet som bedrivs av och länsstyrelserna samt den verksamhet som bedrivs av . -- För att förtydliga att vedertagna begrepp ömtåliga personliga förhållanden även inbegriper känsliga personuppgifter i person- uppgiftslagens mening, har det i 7 a § gjorts tydligt att det inte får Författningsreglering av behandling av uppgifter tas in vare sig känsliga personuppgifter eller uppgifter i övrigt om ömtåliga förhållanden i sammanställningar av personuppgifter. I 7 a § andra stycket anges undantag från första styckets principiella förbud. Undantaget gäller bl.a. för uppföljning, utvärdering och kvalitetssäkring. Vi har ovan under 11.2.5 kap. redogjort för innebörden av begreppet känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204). Det finns inte någon möjlighet till utvidgning av detta begrepp så att det även skulle kunna komma att omfatta begreppet ömtåliga personliga förhållanden. Som anförts ovan har, inom , det sistnämnda begreppet dock knutits till begreppet känsliga personuppgifter när det gäller att bedöma vilka sammanställningar/sökningar av personuppgifter som ska kunna göras. Begreppet ömtåliga personliga förhållanden har uppgetts utgöra ett vedertaget begrepp inom och avsett exempelvis uppgifter om den enskildes försörjningsförmåga och familjeförhållanden. Även med beaktande av vad som har anförts och att troligen flertalet av de uppgifter – som inom har hanterats såsom ömtåliga personliga förhållanden – kan vara av integritetskänslig natur, anser vi inte att det föreligger tillräckliga skäl för att behandlingen av sådana personuppgifter ska regleras särskilt. Vi anser att bestämmelserna i personuppgiftslagen, föreslagen ny lag (2009:000) om behandling av personuppgifter inom och sekretesslagen (1980:100) är tillräckligt omfattande för att skydda den personliga integriteten. 11.2.9Utlämnande av uppgifter på medium för automatiserad behandling (11 § SoLPUL) Vårt förslag: Till annan än svensk myndighet, statlig eller , får endast enstaka uppgifter eller handlingar lämnas ut på medium för automatiserad behandling, om inte regeringen föreskriver att även annat utlämnande på sådant medium är tillåtet. Någon direktåtkomst får inte förekomma. Ett utlämnande av uppgifter på medium för automatiserad behandling innebär som regel att mottagaren kan vidarebearbeta Författningsreglering av behandling av uppgifter den utlämnade informationen på olika sätt, t.ex. genom strukture- ring och sambearbetning med andra uppgifter. Ett sådant utläm- nande innefattar därmed särskilda risker från integritetssynpunkt. Vi anser med anledning av det anförda att förutsättningarna för utlämnande av uppgifter på medium för automatiserad behandling bör författningsregleras. Den nya lagen bör medge att enstaka uppgifter bör få lämnas ut på medium för automatiserad behandling – t.ex. genom e-post eller på en – när förutsättningarna i övrigt är uppfyllda för ett utlämnade. När det gäller förutsättningar för att lämna ut uppgifter i elektronisk form i större mängd bör de närmare förutsättningarna för detta anges i föreskrifter i förordning. Det bör därtill finnas utrymme för regeringen att i ett enskilt fall besluta om utlämnade av större mängder uppgifter i elektronisk form även i annat fall. Den nya regleringen för bör vara teknikneutral, så att socialnämnder m.fl. ges möjlighet att kunna bedriva en effektiv verksamhet. Till annan än svensk myndighet, statlig eller , får endast enstaka uppgifter eller handlingar lämnas ut. I övrigt krävs att regeringen föreskriver att även annat sådant utlämnande är tillåtet. Vårt förslag innebär att direktåtkomst inte får förekomma, dvs. att någon får ha direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information. 11.3Enskildas rättigheter (del av 6 § SoLPUL) Dataskyddsdirektivets regler om enskildas rättigheter i samband med behandling av personuppgifter är av central betydelse för skyddet av de registrerades personliga integritet. För att otillbörliga intrång i den personliga integriteten i största möjliga mån ska undvikas har det ansetts nödvändigt att enskilda tillskrivs särskilda rättigheter. Mot bakgrund härav finns i personuppgiftslagen bestämmelser om bl.a. information, rättelse och skadestånd. Att enskilda ges möjlighet till insyn i vad som finns registrerat om dem i olika databaser och register är av betydelse för att de ska kunna kräva rättelse av felaktiga uppgifter. När personuppgiftsansvariga behandlar uppgifter i strid med gällande regler, har det ansetts att de enskilda ska kunna få ersättning för skada och kränkning av den personliga integriteten. Författningsreglering av behandling av uppgifter Inom de särskilda registerförfattningarnas områden har det av rättssäkerhetsskäl vidare ansetts viktigt att myndigheternas beslut i frågor som rör rätten till information och krav på att behandlade uppgifter är korrekta, kan överklagas av enskilda i den för förvaltningsbeslut gällande ordningen. Vårt förslag: Personuppgiftslagens bestämmelser om informa- tion som ska lämnas självmant till den registrerade när uppgifter har samlats in från honom själv och om information som ska lämnas efter ansökan av den registrerade, ska i huvudsak tillämpas vid behandling av personuppgifter inom . Personuppgiftslagens bestämmelser om information som ska lämnas självmant till den registrerade när uppgifter har samlats in från personen själv och om information som ska lämnas efter ansökan av den registrerade ska enligt vår uppfattning tillämpas vid behandling av personuppgifter inom . Av 23 § personuppgiftslagen framgår att den personuppgifts- ansvarige självmant ska informera en enskild om behandling av uppgifter som samlas in från den enskilde själv. Den information som ska lämnas är enligt 25 § samma lag uppgift om den personuppgiftsansvariges identitet, ändamålen med behandlingen samt övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. I 24 § första stycket personuppgiftslagen anges att den personuppgiftsansvarige självmant ska lämna information till den registrerade om uppgifterna har samlats in från någon annan källa än den registrerade. Av paragrafens andra stycke följer att sådan information inte behöver lämnas om det finns bestämmelser om registrerande eller utlämnande av personuppgifterna i en lag eller annan författning. När behandling av personuppgifter hos en myndighet regleras i särskild lagstiftning på det sätt som gäller för , med särskilda bestämmelser om vad som får registreras och hur uppgifter i övrigt får hanteras, krävs det enligt personuppgiftslagen inte att sådan information ges. Vi har inte funnit några skäl för att trots detta ska lämna sådan Författningsreglering av behandling av uppgifter Bestämmelsen i 24 § personuppgiftslagen bör således inte tillämpas på behandling enligt den lag vi föreslår. En av de från integritetssynpunkt viktigaste bestämmelserna i personuppgiftslagen återfinns i 26 §. Den innebär att enskilda efter ansökan har rätt att få information av den personuppgiftsansvarige om personuppgifter som rör den sökande behandlas eller inte. Om uppgifter behandlas ska information lämnas om vilka uppgifter det rör sig om, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. Information behöver dock inte lämnas om personuppgifter i löpande text som inte har fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande, under förutsättning att uppgifterna inte har lämnats ut till tredje man. Bestämmelsen i personuppgiftslagen bör vara tillämplig vid behandling av personuppgifter enligt den av oss föreslagna lagen. Även 27 § personuppgiftslagen anser vi ska vara tillämplig på behandling av personuppgifter inom . Rätten till information gäller enligt 27 § personuppgiftslagen inte om det i lag eller annan författning eller i beslut som har meddelats med stöd av författning särskilt har föreskrivits att uppgifter inte får lämnas ut till den registrerade. Vårt förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd ska tillämpas vid behandling av personuppgifter inom . Bestämmelsen i 28 § personuppgiftslagen om rättelse innebär att den personuppgiftsansvarige är skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte behandlats i enlighet med lagstiftningen. När en person- uppgiftsansvarig vidtar rättelse i fråga om en personuppgift ska underrättelse lämnas till tredje man som har fått del av uppgiften, om den registrerade begär det eller om mer betydande skada eller olägenhet därigenom kan undvikas. Sådan underrättelse behöver dock inte lämnas om det visar sig vara omöjligt eller om det skulle innebära en oproportionerligt stor arbetsinsats. Författningsreglering av behandling av uppgifter Det är enligt vår uppfattning av väsentlig betydelse att person- uppgifter som behandlas felaktigt hos en myndighet rättas för att intrång i den personliga integriteten ska undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras mot bakgrund av de bestämmelser som gäller för behandlingen, oavsett om det är grundläggande regler i personuppgiftslagen eller specialbestäm- melser som gäller för . Vi föreslår därför att bestämmelsen om rättelse i 28 § personuppgiftslagen ska tillämpas vid behandling av personuppgifter inom . En personuppgift ska rättas när den har behandlats felaktigt. I princip är all behandling av personuppgifter felaktig som strider mot den lagstiftning som reglerar behandlingen. Att i detalj ange vad som är felaktig behandling låter sig därför inte göras. Felen kan dock något förenklat delas in i två grupper. För det första kan felaktig behandling bestå i att personuppgifter är oriktiga till sitt innehåll, dvs. felet finns inbyggt i uppgifterna (oriktiga uppgifter). För det andra kan felaktig behandling bestå i att personuppgifter – oavsett om de är korrekta eller inte – används på ett felaktigt sätt i verksamheten, dvs. felet ligger i hur uppgifter används (oriktig användning). Oriktig användning kan exempelvis innebära att en uppgift används på ett sätt som är oförenligt med de ändamål för vilket den samlades in, att en otillåten uppgift förs in i en databas eller att en uppgift inte gallras inom föreskriven tid. Även underlåtenhet att behandla en personuppgift torde i vissa fall kunna innebära oriktig användning. Bedömningen av om en uppgift används på ett oriktigt sätt måste göras mot bakgrund av de bestämmelser som gäller för behandling av personuppgifter inom . I fråga om oriktiga uppgifter är det vanligtvis inte svårt att avgöra om det föreligger en felaktig behandling.