sou · GXB332 · 2009-04-17 00:00:00 — Typiska exempel på oriktiga uppgifter är att fel personnummer eller fel adress har angetts för en person. Sådana fel är det ofta enkelt att konstatera på ett objektivt sätt. Det råder sällan någon oenighet i fråga om uppgiften är fel eller inte. Det är dock inte i alla situationer självklart om en uppgift är oriktig. I svårare fall måste bedömningen av om en uppgift i ett fall ska anses vara oriktig eller inte, dvs. om uppgiften ska rättas, göras mot bakgrund av vilka krav verksamheten ställer på uppgiftsbehandlingen. Även om det inte är möjligt att ge en exakt definition på vad som är en oriktig uppgift, anser vi att man bör ha som utgångspunkt att en uppgift – trots att den inte återger en korrekt bild av ett sakförhållande – inte är oriktig i den bemärkelsen att den ska rättas, om den korrekt återger Författningsreglering av behandling av uppgifter ett händelseförlopp i verksamheten och dessutom behövs i densamma. Det bör påpekas att endast fysiska personer kan åberopa bestämmelsen om rättelse i personuppgiftslagen. Om en juridisk person anser att en uppgift är fel och påtalar detta, bör myndigheten naturligtvis ändå kontrollera påståendet och rätta uppgiften om det finns anledning till det. Rättelse kan göras genom att en uppgift rättas, blockeras eller utplånas. Att en personuppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personuppgifter ska vara förknippade med information om att de är spärrade och om anledningen till spärren. Att en uppgift utplånas innebär att den förstörs så att den inte kan återskapas. I personuppgiftslagen finns inga bestämmelser om när en viss form av rättelse ska vidtas, utan det bör vara upp till den personuppgiftsansvarige att avgöra om en uppgift ska rättas, blockeras eller utplånas. Det torde vanligtvis inte vara några problem att avgöra hur rättelse ska göras. Om en uppgift har blivit felaktig i samband med registreringen, t.ex. angivande av felaktig adress till en misstänkt, bör felet givetvis åtgärdas genom att uppgiften rättas, dvs. i nämnda exempel att korrekt adress anges. Om en uppgift som enligt lagstiftningen över huvud taget inte få behandlas i en databas ändå har registrerats, är den rimliga åtgärden att uppgiften gallras, t.ex. genom att den utplånas. När en uppgift befinns vara oriktig, men ändå är av betydelse i verksamheten, kan ett alternativ vara att uppgiften kompletteras med nya och korrekta uppgifter som den ursprungliga uppgiften blockeras. Någon närmare vägledning om hur rättelse ska göras är enligt vår mening inte möjlig att ge. En bedömning av vilken åtgärd som är mest ändamålsenlig får göras i de enskilda fallen. Enligt 48 § personuppgiftslagen ska den personuppgifts- ansvarige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Skadestånd kan komma i fråga vid varje brott mot lagen och utgår trots att ingen har skadats fysiskt eller ekonomiskt och trots att den personuppgiftsansvarige inte haft uppsåt att göra fel eller varit försumlig vid behandlingen. Bakgrunden till denna stränga reglering är att bestämmelsen om skadestånd, precis som enskildas rättigheter i övrigt enligt lagen, rätt till information och rättelse m.m., har till syfte att skydda Författningsreglering av behandling av uppgifter människor mot kränkning av den personliga integriteten genom behandling av personuppgifter. Rätten till skadestånd bör finnas även för skada och kränkning som uppstår när uppgifter behandlas i strid med de särskilda bestämmelserna i vårt lagförslag. Vi föreslår därför att bestämmel- serna om skadestånd i 48 § personuppgiftslagen ska tillämpas på motsvarande sätt när personuppgifter behandlas i strid med lagen om behandling av uppgifter inom . I likhet med vad som gäller de rättsliga möjligheterna att få information eller att få uppgifter rättade, gäller rätten till skadestånd endast fysiska personer. Vårt förslag: Personuppgiftslagens bestämmelser om över- klagande, med undantag för möjlighet för tillsynsmyndigheten att bestämma att dess beslut ska gälla även om det överklagas, ska tillämpas vid behandling av personuppgifter inom social- tjänsten I 51 § personuppgiftslagen finns en bestämmelse om att tillsyns- myndighetens beslut enligt lagen om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Vårt förslag om att tillsynsmyndigheten ska kunna meddela förbud enligt 44 eller 45 § personuppgiftslagen innebär att en hänvisning också bör göras till Enligt 51 § andra stycket får tillsynsmyndigheten bestämma att dess beslut ska gälla även om det överklagas. Frågan är om denna bestämmelse ska gälla för personuppgifts- behandling. Det kan finnas skäl som talar både för och emot detta. Systematiska skäl kan synas tala för att regleringen bör utformas på samma sätt, oavsett vem beslutet gäller. Det är emellertid svårt att se något egentligt praktiskt behov av en sådan möjlighet. Vid en samlad bedömning anser vi att tillsynsmyndigheten inte bör ges möjlighet att meddela interimistiska beslut. Hänvisningen bör därför endast avse det första stycket i paragrafen. En myndighets beslut om information, om rättelse och underrättelse till tredje man om rättelseåtgärder, om information om automatiserade beslut och om allmänna upplysningar om pågående behandlingar får, enligt Författningsreglering av behandling av uppgifter 52 § personuppgiftslagen, överklagas hos allmän förvaltnings- domstol. Andra beslut enligt personuppgiftslagen får inte över- klagas (53 §). Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser (prop. 2005/06:173 s. 53) uttalades att det efter införandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda registerförfattningar, som hänvisar till personuppgiftslagen. I konsekvens med detta bör den nya lagen inte innehålla någon särskild bestämmelse om överklagande utan i stället enbart hänvisa till personuppgiftslagens bestämmelser om överklagande. 11.4Bevarande och gallring av uppgifter (12 § SoLPUL) Vår bedömning: När det gäller bevarande och gallring av andra allmänna handlingar än handlingar i en personakt enligt 12 kap. 1 och 2 §§ socialtjänstlagen (2001:453) respektive 21 c § och 21 d § lagen (1993:557) om stöd och service till vissa funktions- hindrade ska arkivlagens bestämmelser gälla. Det behövs ingen bestämmelse om detta i lagen om behandling av personuppgifter inom . I fråga om bevarande och gallring av personuppgifter som inte är allmänna handlingar gäller personuppgiftslagen. Det behövs ingen uttrycklig bestämmelse om detta i lagen om behandling av personuppgifter inom . – En allmän upplysning om att det i fråga om bevarande och gallring av uppgifter i personakter gäller särskilda bestämmelser i annan lagstiftning bör föras in i lagen om behandling av personuppgifter inom . Med dagens teknik är det enkelt att göra avancerade samman- ställningar av information som lagrats elektroniskt. En metod att minska integritetskänsligheten är att se till att uppgifter som inte längre behövs för en myndighets verksamhet inte finns kvar i Författningsreglering av behandling av uppgifter myndighetens databaser eller register. För att uppnå detta krävs bestämmelser om gallring av uppgifter eller om överlämnande av uppgifter till en arkivmyndighet. Vid utformningen av gallringsbestämmelser måste det dock hållas i minnet att offentlighetsprincipen, för att den inte ska bli verkningslös, ställer krav på att vissa uppgifter bevaras för framtiden. Uppgifter får i princip aldrig gallras i sådan omfattning att det äventyrar arkivens roll som en del av kulturarvet eller något av de tre huvudändamålen med arkivverksamheten. Även efter en genomförd gallring måste arkiven kunna tillgodose rätten att ta del av allmänna handlingar, rättskipningens och förvaltningens behov samt forskningens behov. Det går alltså inte att bara ange att samtliga uppgifter ska gallras när de inte behövs för verksamheten. Tvärtom behövs en avvägning mellan integritets- och offentlighets- intresset. Detta är viktigt inte minst i då mängder av uppgifter finns endast i elektronisk form. En fullständig gallring av samtliga uppgifter i ett dataregister kan omöjliggöra en senare rekonstruk- tion av händelseförlopp. Integritetsintresset tjänas inte alltid bäst av att så många uppgifter som möjligt gallras. I vissa fall har bevarandet av känsliga uppgifter visat sig vara till stor fördel för enskilda. Som exempel kan nämnas den högaktuella frågan om ersättning till tvångssteriliserade. Ett stort antal personer har nu fått upprättelse för tidigare allvarliga integritets- kränkningar, just på grund av att de känsliga uppgifterna inte har förstörts, utan i stället bevarats och därigenom kunnat utgöra underlag för att rekonstruera historiska händelseförlopp. I fråga om personuppgifter som behandlas i myndighets- verksamhet tillämpas i första hand bestämmelserna i arkivlagen. I de registerförfattningar som gäller för statlig verksamhet finns regelmässigt även särskilda gallringsbestämmelser för uppgifter som behandlas automatiserat. Enligt vår bedömning finns det behov av klara och enkla regler om gallring i de lagar som ska reglera behandling av personuppgifter i myndighetsverksamhet. Hur dessa bestämmelser bör utformas kan bero på sådana omständigheter som omfattningen av och integritetskänsligheten hos de registrerade uppgifterna. Författningsreglering av behandling av uppgifter 11.4.2Uppgifter i en personakt Socialtjänstlagen (SoL) Av 12 kap. 1 § SoL följer att anteckningar och andra uppgifter i en personakt hos socialnämnden ska gallras ut efter det att sista anteckningen gjordes i akten. har innehållet i akten som regel förlorat sitt intresse för socialförvaltningens verksamhet. Datumet för sista anteckningen utgör således utgångspunkten för beräkningen av tidsfristen. För register som utgör sammanställningar av personuppgifter, dvs. register i egentlig mening, bestäms däremot utgångspunkten för gallringsfristen av den tidpunkt då de förhållanden som den antecknade uppgiften avser har upphört. I 12 kap. 1 § första stycket SoL framgår att personakter inte får gallras tidigare än eventuella registeruppgifter om ett bestående förhållande. Innebörden är att en uppgift i ett register om en bestående åtgärd, t.ex. placering i ett familjehem, inte ska gallras förrän efter det att placeringen har upphört. Först då ska personakten gallras, om dessutom har gått från sista anteck- ningen i personakten. Eftersom det vid en bestående åtgärd oftast förs löpande anteckningar i personakten får regeln begränsad betydelse. Gallringreglerna i SoL gäller endast ovan nämnda sammanställningar och personakter som tillhör socialnämnderna. Socialnämndernas protokoll och bilagor omfattas däremot inte av bestämmelserna. Dokumentation i enskild verksamhet som står under läns- styrelsens19 tillsyn omfattas inte av gallringsskyldigheten i 12 kap 1 § SoL utan av bestämmelser i 7 kap. 3 § SoL. Där framgår att dokumentationen ska bevaras så länge den kan antas ha betydelse för åtgärden i verksamheten. Genom avtal mellan dem som driver verksamheten och en placerande kommun kan förlängas. Vissa handlingar har, främst av säkerhetsskäl, undantagits från gallringsplikten, nämligen -handling rörande faderskap eller föräldraskap enligt 1 kap. 9 § Jfr nya förslag till bestämmelser. Författningsreglering av behandling av uppgifter -handlingar rörande adoption och rörande underårigs placering, med eller utan samtycke, i hem för vård eller boende, familje- hem eller annat enskilt hem, -av socialnämnden godkända avtal om vårdnad, boende och umgänge för barn som inte fyllt , och -handling för forskning. Det är naturligt att handlingar rörande föräldraskap bevaras för framtiden eftersom de kan få betydelse som bevisurkunder. Då det har ansetts som en rättighet för människor att få kunskap om sin historia och sin bakgrund har handlingarna angående adoption och placeringar undantagits från gallringsplikten. Det har även ansetts föreligga behov av att bevara avtal om vård, boende och umgänge till dess barnet blir myndigt. Det har också ansetts viktigt att bevara visst socialtjänstmaterial i syfte att trygga behovet av data för forsknings- och utvecklingsarbete. Genom forskningens resultat kan det sociala arbetet underbyggas. Ökade kunskaper behövs bl.a. om effekterna av insatser. Forskning utgör därmed en garanti för ökad rättssäkerhet. Av 12 kap. 2 § SoL följer bestämmelser om att handlingar ska undantas från 12 kap. 1 § SoL, av hänsyn till forskningens behov i ett representativt urval av kommuner och i övriga kommuner beträffande ett representativt urval personer. Lagen om stöd och service till vissa funktionshindrade (LSS) Dokumentationen i verksamhet enligt LSS innehåller i regel känsliga uppgifter, t.ex. angående hälsa och andra personliga förhållanden. Det har bedömts angeläget att gallringsbestämmelser införs så att sådana uppgifter inte förvaras än som är motiverat med beaktande av den allmänna inriktning verksamhet enligt LSS ska ha. Av hänsyn till att verksamheten ska vara grundad på respekt för den enskildes självbestämmanderätt och integritet och för att inte avskräcka personer från att söka särskilt stöd och service av oro för att dokumentationen sparas än som behövs för det ändamål den har skett, har bestämmelser om gallring ansetts behövliga. Författningsreglering av behandling av uppgifter Med socialtjänstlagens ovannämnda bestämmelser som förebild har fr.o.m. tagits in motsvarande bestämmelser om gallring i LSS. I 21 c § första stycket LSS anges en gallringsbestämmelse angående personakter. Anteckningar och andra uppgifter i en personakt hos den eller de nämnder som avses i 22 § LSS som tillhör sådan sammanställning av uppgifter som avses i lagen om behandling av personuppgifter inom ska gallras efter det att sista anteckningen gjordes i akten; dvs. sista kontakten med ifrågavarande nämnd. Uppgifterna ska dock inte gallras så länge uppgifterna om samma person inte gallrats i enlighet med vad som gäller för uppgifter i en sammanställning. Uppgifter i en sammanställning som avses i lagen om behandling av personuppgifter inom ska enligt 21 § c andra stycket gallras efter det att de förhållanden som uppgifterna avser har upphört. En uppgift i en sammanställning om en bestående åtgärd, t.ex. i form av särskilt boende, ska således inte gallras förrän efter det att insatsen upphört. Först då får personakten gallras, om dessutom har gått från sista anteckningen i personakten. I 21 d § LSS anges undantag avseende handlingar som kommit in eller upprättats i samband med att en insats lämnats i form av boende i familjehem eller i bostad med särskild service för barn och ungdomar som behöver bo utanför föräldrahemmet (9 § p. Det har vidare ansetts angeläget att bevara vissa handlingar inom LSS-verksamhetens område i syfte att trygga behovet för forsknings- och utvecklingsarbete. Även i LSS har därför förts in en bestämmelse som anger att handlingar ska undantas från gallring av hänsyn till forskningens behov i ett representativt urval av kommuner och landsting och i övriga kommuner och landsting ska handlingar beträffande ett representativt urval av personer undantas från gallring. Handlingar som upprättats inom eller inkommit till en enskild verksamhet enligt LSS omfattas inte av gallringsbestämmelserna utan dokumentationen ska, enligt 23 a § LSS, bevaras så länge den kan antas ha betydelse för åtgärder i verksamheten. Författningsreglering av behandling av uppgifter Det resonemang som vi anger ovan följer de tankegångar som varit styrande vid utformningen av gallringsbestämmelser i många registerförfattningar. Vi anser dock att tiden börjar bli mogen att göra en översyn av och ta ett helhetsbegrepp över gallringsfrågor och därvid noggrant reda ut och ta ställning till bl.a. elektroniska arkiv.20 Grundläggande bestämmelser om bevarande och gallring av upp- gifter hos myndigheter finns i 2 kap. TF och arkivlagen (1990:782). Hur länge personuppgifter får bevaras regleras dessutom allmänt i personuppgiftslagen som ett grundläggande krav på behandling av personuppgifter. Enligt 9 § första stycket i) personuppgiftslagen ska den person- uppgiftsansvarige se till att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Personuppgifter får dock bevaras för historiska, statistiska eller vetenskapliga ändamål än vad som sagts. Personuppgifterna får dock i sådana fall inte bevaras än vad som behövs för dessa ändamål. måste personuppgifterna avidentifieras och utplånas. Personuppgiftslagens bestämmelser hindrar inte att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Grundläggande bestämmelser om bevarande och gallring av allmänna handlingar hos myndigheter finns, som ovan nämnts, i arkivlagen. De bestämmelser som gäller för kommunala myndig- heters arkiv gäller även för arkiv hos sådana juridiska personer som avses i 1 kap. 9 § sekretesslagen, dvs. aktiebolag, handelsbolag, ekonomiska föreningar och stiftelser där kommuner eller landsting utövar ett rättsligt bestämmande inflytande. 20 Se mer om dessa tankegångar i SOU 2008:87; Åklagarväsendets brottsbekämpning, Integritet – effektivitet, s. 235. Författningsreglering av behandling av uppgifter I arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet. Det i lagen angivna syftet med arkiv- bildningen är att myndigheternas arkiv ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt forskningens behov. En myndighets arkiv bildas av de allmänna handlingarna från myndigheternas verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (minnesanteckningar, utkast och koncept) som myndigheten beslutar ska tas hand om för arkivering. Upptagningar för automatisk databehandling som är tillgängliga för flera myndigheter, så att de där utgör allmänna handlingar, ska dock bilda arkiv endast hos en av dessa myndig- heter, i första hand den myndighet som svarar för huvuddelen av upptagningen. Huvudregeln enligt arkivlagen är att allmänna handlingar ska bevaras. Enligt 10 § arkivlagen får emellertid gallring ske. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller i förordning gäller dessa bestämmelser. Detta innebär således att, om det finns avvikande bestämmelser, de bestämmelser om gallring i SoL respektive LSS som återgivits ovan är gällande före arkivlagens motsvarande bestämmelser. Med gallring avses traditionellt att vissa handlingar sorteras ut ur sitt sammanhang och sedan förstörs. När det gäller gallring av elektroniska upptagningar innebär detta normalt att viss information raderas från databäraren, dvs. det fysiska underlaget. Det är dock inte nödvändigt att den egentliga information som finns på ett elektroniskt medium verkligen förstörs för att det ska vara fråga om gallring. Tvärtom kan ett visst material gallras genom att den elektroniskt lagrade informationen överförs till en pappersutskrift, varefter den raderas från det elektroniska mediet. Även om alla uppgifter då fortfarande kan tyckas finnas kvar på papper, så har olika sökmöjligheter eller möjligheter att göra sammanställningar eller kontroller av handlingars autenticitet – t.ex. elektroniska signaturer – gått förlorade, vilket medför att materialet har gallrats. Innebörden av att ett visst material har gallrats, är alltså att möjligheten att få fram information ur materialet på något sätt har försämrats. har definierat gallring som förstöring av allmänna handlingar och uppgifter i allmänna handlingar. Förstöring av sådana handlingar/uppgifter i samband med överföring till annan Författningsreglering av behandling av uppgifter databärare räknas som gallring om överföringen medför informationsförlust, förlust av informationssammanställningar, förlust av sökmöjligheter eller förlust av möjligheter att fastställa informationens autenticitet. Vid gallring ska alltid beaktas att arkiven utgör en del av kultur- arvet och att det arkivmaterial som återstår ska kunna tillgodose arkivbildningens syften. En myndighet får inte på egen hand avgöra vad som ska gallras ur dess arkiv. för sådana myndig- heter meddelas av kommunfullmäktige respektive landstings- fullmäktige. För vissa typer av handlingar är dock rätten att meddela gallringsföreskrifter inskränkt genom lag eller förordning. Uppgifter i en personakt Som redogjorts ovan föreligger separata gallringsbestämmel- ser avseende bl.a. uppgifter som förekommer i en personakt enligt SoL och LSS respektive gallringsbestämmelser av övriga person- uppgifter inom . Vid en jämförelse med hälso- och sjukvårdsområdet kan konstateras att även där finns gallringsbestämmelser som enbart ska omfatta journalhandlingar. Som tidigare angivits tar bestämmelserna i och LSS över arkivlagens motsvarande regler om gallring och bevarande (jfr 10 § arkivlagen). Vi har inte funnit anledning att vidta några ändringar i uppdelningen att vissa gallringsbestämmelser ska omfatta uppgifter i personakt och att andra gallringsbestämmelser omfattar övriga områden. Vi har i denna del övervägt två alternativ till hur gallrings- och bevarandefrågor kan regleras i speciallagstiftning för behandling av personuppgifter inom , nämligen Författningsreglering av behandling av uppgifter -alternativ ett; att i lag ange att samtliga uppgifter ska gallras och när det ska göras, men ge regeringen eller möjlighet att besluta om undantag, eller -alternativ två; att inte ha några särbestämmelser över huvud taget, vilket innebär att arkivlagens regler gäller fullt ut. Det första alternativet är det vanligaste i nya registerförfattningar och metoden utgår från att det i lag ställs upp huvudregler för när gallring ska ske. Regeringen eller kan sedan besluta eller meddela föreskrifter om att uppgifter ska bevaras. Detta innebär en fördel från författningssynpunkt, eftersom särskild reglering behöver göras endast när det finns skäl för det. En ytterligare fördel med en sådan metod är att det direkt i lagtexten finns en säkerhetsventil mot att stora uppgiftssamlingar med känsliga uppgifter bevaras, trots att de inte har något faktiskt värde för verksamheten, men som på grund av sin omfattning kan vara skadliga från integritetssynpunkt. Det andra alternativet dominerar helt när det gäller traditionella pappersbaserade uppgifter i allmänna handlingar. Det finns starka skäl som talar för att samma förfarande bör gälla som huvudregel även i fråga om uppgifter som behandlas automatiserat, inte minst eftersom det blir allt vanligare att elektronisk information helt ersätter vanlig pappersbaserad information. Enligt vår bedömning kommer det i förlängningen inte att vara möjligt att som ha principiellt skilda bevarande- och gallringsregler för uppgifter på papper respektive digitala uppgifter. För integritetskänsliga uppgifter och handlingar, vilket det generellt är fråga om inom verksamhet, kan det ifrågasättas om det är lämpligt att nu tillämpa det för pappersbaserade uppgifter normala alternativet som huvudregel i fråga om automatiserad behandling. En generell tillämpning av denna metod skulle innebära att lagstiftaren inte hade någon direkt kontroll över gallringsförfar- andet för de aktuella uppgifterna, utan de allmänna bestämmelserna i arkivlagen skulle gälla fullt ut. Lagstiftningstekniken har i och för sig använts i annan lagstiftning som rör känsliga uppgifter, men det har då funnits särskilda skäl för det. I lagen (1998:543) om hälsodataregister saknas bestämmelser om gallring, vilket innebär att arkivlagens bestämmelser blir tillämpliga.