sou · GXB332 · 2009-04-17 00:00:00 — Eftersom det är svårt att förutse för vilka ändamål personuppgifter kan behöva behandlas inom , beroende på att det är fråga om en mycket bred verksamhet, har ändamålsbestämmelsen – för att inget ändamål skall falla utanför – fått en förhållandevis allmän utformning. Det finns därför även med denna modell en viss risk för att den inte uppfyller EG-direktivets och personuppgiftslagens krav på att ändamålen skall vara särskilda. Vidare framstår en sådan ändamålsbestämmelse för den registrerade som föga upplysande. Den ger knappast den enskilde mer information om vad insamlade personuppgifter kan användas till än den tidigare diskuterade modellen. Vill man att ändamålen skall vara mer preciserade än som redovisats skulle listan över olika ändamål troligen behöva bli mycket lång och det skulle ändå kvarstå en risk för att ett angeläget ändamål inte tagits med i den uttömmande uppräkningen. Person- uppgifter skulle ju få behandlas inom endast om behandlingen rymdes under något av de angivna ändamålen. Ett annat argument mot att i lagen uttömmande ange ändamålen med behandlingen, är att man kan anta att ändamålen kan behöva utformas på olika sätt beroende på hur verksamheten är organiserad i det enskilda fallet, t.ex. i en kommun. De i lagen angivna ändamålen skulle kanske därför ibland passa verksamheten ganska bra, medan de i andra fall skulle fungera mindre bra. Detta talar för att ändamålen inte bör uttömmande anges i lag utan att man på något sätt bör försöka hitta en mer flexibel lösning. Enligt utredningens uppfattning är nackdelarna även med denna modell alltför stora för att den skall kunna användas. Utredningens slutsats blir således att det inte är möjligt att i lagen uttömmande ange för vilka ändamål personuppgifter får behandlas inom . Det överlåts på de personuppgiftsansvariga att – inom en i lagen angiven ram – bestämma ändamålen med behandlingen (modell 3) Rättslig reglering av behandling av personuppgifter Det är viktigt att en författningsreglering, som anger under vilka förutsättningar personuppgifter skall få behandlas, datoriserat eller manuellt i register inom , inte innebär sådana begränsningar att det går ut över effektiviteten och kvaliteten i arbetet. är det naturligtvis mycket betydelsefullt att regleringen i största möjliga utsträckning eliminerar riskerna för kränkningar av enskildas personliga integritet. Det är självfallet de personuppgiftsansvariga i respektive verksamhet som har störst förutsättningar att bedöma för vilka ändamål personuppgifter behöver behandlas inom . Enligt utredningens uppfattning har en modell som innebär att det överlåts på den personuppgifts- ansvarige att ange de särskilda ändamål för behandlingen som just denne vill uppnå stora fördelar i flexibilitetshänseende. Genom att man inte i en författning uttömmande anger för vilka ändamål personuppgifter får behandlas, kan den personuppgifts- ansvarige skräddarsy ändamålen så att de passar den aktuella verksamheten och hur den är organiserad. Man hindrar då inte heller att personuppgifter inom behandlas även för andra ändamål, under förutsättning att dessa nya ändamål inte är oförenliga med de ändamål för vilka uppgifterna ursprungligen samlades in. Mot modellen kan invändas att den i ett avseende måhända inte utgör ett tillräckligt skydd för den personliga integriteten. Det skulle kunna hävdas att det med en sådan ordning inte finns några egentliga gränser för när insamlade personuppgifter får behandlas, eftersom de nya ändamålen kanske inte skulle anses vara oförenliga med de ändamål för vilka uppgifterna ursprungligen samlades in. I de båda tidigare redovisade modellerna skulle ändamålen anges uttömmande i författningen och det skulle därför inte bli aktuellt att göra någon sådan prövning. Utredningen menar dock att denna farhåga inte bör överdrivas. I första hand är naturligtvis utfallet av denna oförenlighetsprövning beroende av hur pass preciserat det ursprungliga ändamålet är. I författningskommentaren lämnar utredningen några exempel på hur en tillräckligt preciserad ändamålsbestämmelse skulle kunna se ut. Det kan dock redan här sägas att en ändamåls- bestämmelse, som är relativt vanlig i Datainspektionens beslut, av slaget handläggning av ärenden inom individ- och familjeomsorgen torde vara alltför allmänt hållet. Det saknas i princip auktoritativa uttalanden om vilka överväganden som skall göras när man prövar om ett nytt ändamål är förenligt med det ändamål för vilket uppgifterna ursprungligen har samlats in. uttalade i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39) att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och de mer preciserade regler som regeringen och Datainspektionen kan utfärda (s. 351). F.n. finns på området Rättslig reglering av behandling av personuppgifter emellertid varken praxis eller närmare föreskrifter. Enligt utredningens uppfattning bör man vid denna oförenlighetsprövning, hypotetiskt utgå från hur en registrerad typiskt sett (inte den registrerade i det enskilda fallet) skulle se på saken. Kommer man vid en sådan bedömning fram till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. Detta är, menar utredningen, en rimlig utgångspunkt med tanke på syftet bakom EG-direktivet, dvs. att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatlivet, i samband med behandling av personuppgifter. Vid sådant förhållande blir det fråga om en restriktiv tillämpning av bestämmelsen i 9 § första stycket d personuppgiftslagen och utrymmet för att behandla redan insamlade personuppgifter för andra ändamål blir följaktligen litet. Det bör i sammanhanget också framhållas att det är den modell man faktiskt enats om inom EU och att de personuppgiftsansvariga har ett EG-rättsligt grundat anspråk på att få använda personuppgifter för alla tillåtna ändamål som inte är oförenliga med de ursprungliga. Vidare utgör redan det förhållandet att denna oförenlighetsprövning måste göras ett skydd för integriteten. Alternativet är ju att ange ett enda mycket brett ändamål. Genom att ändamålen är preciserade skulle den registrerade också få en klar bild av i vilka sammanhang de personuppgifter som samlas in beträffande honom kommer att användas. För att personuppgifter inom inte skall kunna samlas in för vilka ändamål som helst bör dock i lagen anges en yttersta ram inom vilken de särskilda, uttryckligt angivna ändamålen måste hålla sig. Endast sådana ändamål kan anses som berättigade. Denna regel skulle helt enkelt ersätta 10 § personuppgiftslagen och kunna lyda enligt följande. Personuppgifter får, förutom med den registrerades samtycke, behandlas bara om behandlingen är nödvändig för att en arbetsuppgift inom skall kunna utföras. Personuppgifterna kan då i princip inte heller användas utanför , eftersom ändamålen får en så stark anknytning till det området. En behandling av de insamlade personuppgifterna för ändamål som ligger utanför , torde därmed i de allra flesta fall anses vara oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades in (9 § första stycket d personuppgiftslagen). Utredningen återkommer till denna fråga i det följande. En sådan bestämmelse skulle inte vara en ändamålsbestämmelse i den mening som avses i 9 § första stycket c personuppgiftslagen. Men den skulle likväl innebära ett integritetsskydd i så måtto att det där läggs fast vilka ändamål som är berättigade. Det ankommer sedan på den personuppgiftsansvarige i respektive Rättslig reglering av behandling av personuppgifter verksamhet att ange konkreta ändamål för sin behandling av personuppgifter. Dessa konkreta ändamål måste uppfylla personuppgiftslagens krav på precision och hålla sig inom den ram som läggs fast i den nu föreslagna lagen. Det skulle följaktligen vara felaktigt att göra tolkningen att en sådan yttersta ram för behandlingen av personuppgifter skulle innebära att man inte måste ange uttryckliga och preciserade ändamål med personuppgiftsbehandlingen. Inget hindrar att det redan från början angavs flera ändamål för vilka uppgifterna skulle behandlas. De insamlade personuppgifterna får i denna modell behandlas även för andra ändamål än de för vilka de ursprungligen samlades in, under förutsättning att den nya behandlingen inte är oförenlig med de ursprungliga ändamålen. Personuppgifterna kan behandlas även för forsknings- och statistikändamål. Av 9 § första stycket f personuppgiftslagen följer nämligen att behandling för historiska, statistiska och vetenskapliga ändamål inte skall anses oförenlig med de ändamål för vilka uppgifterna ursprungligen samlades in. Huruvida behandlingen av personuppgifterna, t.ex. själva utlämnandet, är tillåten i det enskilda fallet får emellertid avgöras av bestämmelserna i personuppgiftslagen och bestämmelserna i denna lag. I 19 § tredje stycket personuppgiftslagen finns en allmän bestämmelse i ämnet. kan det emellertid också, som i t.ex. 64 § socialtjänstlagen (1980:620), finnas en uttrycklig föreskrift om att personuppgifter skall lämnas ut för forskningsändamål. En sådan regel gäller före bestämmelserna i personuppgiftslagen (2 §). Som tidigare nämndes skulle emellertid i praktiken personuppgifter som har samlats in inom – med undantag för behandling för forsknings- och statistikändamål och när personuppgifterna har lämnats ut med stöd av författning – knappast kunna behandlas (samlas in) utanför . Bl.a. personuppgiftslagens krav på att behandlingen för det nya ändamålet inte skall vara oförenlig med det ändamål för vilket uppgifterna ursprungligen samlades (9 § första stycket d), och de regler som gäller om sekretess på område, torde ofta hindra en sådan användning av personuppgifterna. Vidare skulle det i andra fall än de ovan angivna knappast vara möjligt för någon utanför att hänföra sin behandling under något av de tillåtna fall som anges i 10 § personuppgiftslagen. Skulle behandlingen avse t.ex. känsliga personuppgifter skulle behandlingen dessutom behöva vara tillåten enligt bestämmelserna i 13–22 §§ personuppgifts- lagen. Utredningen fann därefter att det inte skulle vara möjligt att direkt i lagen uttömmande ange för vilka ändamål personuppgifter ska få behandlas inom . Utredningen stannade i stället för Rättslig reglering av behandling av personuppgifter modell 3 ovan, som således innebar att det överlåts på de person- uppgiftsansvariga i respektive verksamhet att – inom en i lagen angiven ram – ange de ändamål för vilka personuppgifter ska få behandlas inom . Utredningen ansåg att denna modell var bäst dels när det gäller skyddet för den enskildes personliga integritet dels när det gäller verksamheten inom . Modellen ansågs även vara bäst överensstämmande med EG- direktivet. Utredningens förslag innebar därmed att det i lagen skulle föreskrivas att personuppgifter, förutom med den registrerades samtycke, skulle få behandlas bara om behandlingen var nödvändig för att en arbetsuppgift inom skulle kunna utföras. Utredningen framhöll dock vidare att lagen inte hindrade att personuppgifter lämnas ut, om det följde av lag eller förordning. Utredningen föreslog därmed inte någon reglering för vilka ändamål personuppgifter skulle få behandlas inom . Enligt utredningen skulle det ankomma på de personuppgifts- ansvariga i respektive verksamhet att med beaktande av 9 § första stycket c PUL – dvs. bestämmelsen att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål – ange för vilka ändamål personuppgifter behandlas. Endast ända- mål som är nödvändiga för att en arbetsuppgift inom ska kunna utföras kan därvid vara berättigade. Proposition 2000/01:80 Vid remissbehandlingen av betänkandet riktades ingen särskild kritik mot det sätt på vilket ändamålsbestämmelsen hade utformats. Några remissinstanser, JO och Datainspektionen och Kammarrätten i , ansåg dock att ändamålen borde specificeras alternativt exemplifieras i lagen och Hovrätten för ansåg att ändamålen borde preciseras i förordning eller föreskrifter inom respektive verksamhetsområde. Även Lagrådet uttryckte att lagen saknade en föreskrift om ändamålet med personuppgiftsbehandlingen, vilket fick anses vara en brist. Lagrådet uttryckte förståelse för att en ny lag inte kan innehålla en detaljerad reglering av personuppgiftsbehandling inom men ställde sig frågan om inte lagen hade fått alltför mycket karaktär av ramlag. Rättslig reglering av behandling av personuppgifter Regeringen instämde dock i utredningens bedömning och anförde att det skulle bli ohanterligt att ange ändamålen direkt i lagen. I likhet med utredningen ansåg därför regeringen att det var tillräckligt att det föreskrevs i lagen om att personuppgifter får behandlas bara om behandling är nödvändig för att arbetsuppgifter inom ska kunna utföras. Regeringen eller den myndighet regeringen bestämmer gavs därutöver rätt att meddela föreskrifter om de begränsningar som var nödvändiga i detta hänseende. En sådan lösning ansågs vara mer flexibel och ställde inte hinder i vägen eller försvårade en förändrad verksamhet. Regeringen anförde vidare att det i den föreslagna lagen föreskrivs att lagen inte hindrar att personuppgifter lämnas ut om det följer av lag eller förordning. Det finns, konstaterade regeringen, en rad författningar/föreskrifter som innebär att myndigheter eller enskilda får eller ska lämna ut uppgifter. När bestämmelse om sådant uppgiftslämnande har införts får det, anser regeringen vidare, förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken avvägning man funnit att uppgiften bör lämnas ut. Enligt regeringens mening saknas det därför anledning att särskilt reglera dessa fall av redan författningsreglerat utgiftslämnande. Utredningen ska enligt direktiven lämna förslag till författnings- ändringar för att åstadkomma en välfungerande och sammanhållen reglering av behandlingen av personuppgifter inom . Denna reglering ska syfta till att förbättra möjligheterna att inom a)framställa statistik, b)göra verksamhetsuppföljning, samt c)säkerställa kvaliteten på vård, omsorg och insatser. Regleringen ska omfatta all behandling av personuppgifter som är nödvändig för klientrelaterade arbetsuppgifter, uppföljning, utvärdering, kvalitetssäkring, administration, planering, fram- ställning av statistik, forskning och tillsyn. Av utredningens direktiv framgår vidare bl.a. följande. Insatser inom ska vara av god kvalitet. Detta krav gäller vid såväl myndighetsutövning som övriga instanser och berör både offentlig och enskild verksamhet inom . Av 3 kap. 3 § socialtjänstlagen (2001:453, SoL) respektive 6 § lagen (1993:387) om stöd och service till vissa funktionshindrade (LSS) framgår att kvaliteten i verksamheten ska systematiskt och fortlöpande ut- vecklas och säkras. En förutsättning för att kvaliteten ska utvecklas och säkras är att olika effekter och resultat av kan mätas och utvärderas. Verksamhetsuppföljningarna kräver i sin tur tillgång till relevant statistik. Sammanfattningsvis ska alltså utredningen i denna del se över behandlingen av personuppgifter inom och lämna förslag till författningsändringar som bl.a. ska syfta till att förbättra möjligheterna att framställa statistik inom . 6.2.1Vad är statistik? definierar begreppet statistik dels som uppgifter om omvärlden i numerisk form, vanligen presenterade i tabeller och diagram, dels som vetenskapen om hur data med inslag av slumpmässig variation eller osäkerhet ska insamlas, utvärderas och presenteras. Termen statistik kan användas med lite olika betydelse.1 Huvudinnebörden kan bl.a. vara sammanfattande numerisk beskrivning av förhållanden i en grupp. Statistik tas fram för att ge information som kan belysa konkreta sakproblem. Den utgör ofta en viktig del av besluts- och planeringsunderlag, men ger också information till allmänhet, utredare, forskare m.fl. om sakernas tillstånd och utveckling. Statistik kan även definieras som sifferuppgifter som samlats in, registrerats, bearbetats, sammanställts, analyserats och/eller kommenterats. Uppgifterna beskriver läge, tillstånd och/eller utveckling.2 Statistiken används inte bara för planering och beslutsfattande utan spelar också stor roll som underlag för samhällsdebatt och forskning. För att samhället ska ha tillgång till viktig statistik har beslutat att det ska finnas officiell statistik. Den officiella statistiken regleras främst av lagen (2001:99) och förordningen (2001:100) om den officiella statistiken. Officiell statistik är sådan statistik som, enligt 3 § lagen (2001:99) om den officiella statistiken, ska finnas för allmän information, utredningsverksamhet och forskning. Den officiella statistiken ska vara objektiv och allmänt tillgänglig och när den publiceras ska den vara försedd med beteckningen officiella statistik eller en viss specifik symbol.3 1 () Meddelande i samordningsfrågor (MIS) 2001:1; Kvalitetsbegreppet och riktlinjer för kvalitetsdeklaration av officiell statistik. 2Socialstyrelsens klassificering av utgivning av olika dokumenttyper; Statistik – Socialtjänst. 3Se vidare angående officiell statistik 6.4 kap. har en omfattande produktion av statistik i olika former. Utöver den officiella statistiken ingår även statistikregister och bearbetningar som baseras på uppgifter som primärt samlats in för den officiella statistiken, men som publiceras i exempelvis externa databaser. 6.2.4Slutlig och preliminär statistik Med slutlig statistik (tidigare benämnd definitiv statistik) menas, enligt SCB:s, Rådet för den officiella statistiken ()4, Riktlinjer 2006:03: Preliminär statistik och närliggande begrepp och termer, att detta antingen utgör den enda publiceringen av statistiken eller den sista av flera publiceringar. Preliminär statistik å andra sidan följs av minst en ytterligare planerad publicering. Förfarandet kallas revidering. Slutlig statistik kan inte revideras. Begreppen preliminär och slutlig statistik används för att tydliggöra den skillnad som finns mellan de olika publiceringarna. Kriterierna för tillräcklig kvalitet5 bör vara uppfyllda även för den preliminära statistiken. 6.2.5Mängdstatistik och personnummerbaserad statistik Begreppet mängdbaserad statistik eller mängdstatistik kan sägas utgöra ett motsatt alternativ till individbaserad statistik alternativt personnummerbaserad statistik. Med detta menas att statistiken baseras på antalsuppgifter som samlats in från uppgiftslämnarna. Detta kan ske per kommun och genom att uppgifter anges i fördefinierade tabeller. Det kan t.ex. gälla antal personer i olika åldersgrupper som har beviljats hemtjänst med stöd av socialtjänst- lagen under en viss månad eller antal vuxna män och kvinnor med missbruksproblem som har fått individuellt behovsprövad öppenvård. Uppgiften kan inte brytas ner till att avse enskilda personer. Antalsuppgifterna summeras efter insamlingen upp till statistik på lokal, regional eller nationell nivå. Exempel på sådan statistik är familjerådgivning. 4Se vidare 6.3.3 kap. 5Se vidare 6.4 kap. Begreppet individbaserad statistik har använts av i flera rapporter.6 Av 14 § förordningen (2001:100) om den officiella statistiken framgår att individbaserad officiell statistik ska vara uppdelad efter kön om det inte finns särskilda skäl mot detta. I förordningen definieras inte begreppet individbaserad statistik. () har dock tolkat begreppet7 som statistik som direkt eller indirekt rör fysiska personer. Utgångs- punkt för begreppet är enligt SCB därmed de objekt (personer) som statistiken beskriver och inte om de uppgifter som samlas in för att skapa statistiken innehåller personnummer eller ej. Mot bakgrund av SCB:s tolkning har valt8 att i stället för individbaserad statistik använda begreppet personnummerbaserad statistik. I utredningens direktiv definieras begreppet personnummer- baserad statistik som statiska sammanställningar av uppgifter som är relaterade till enskilda individer och där uppgifterna består i sin obearbetade form av en personidentifikation (personnummer) till vilken en eller flera variabler knutits med för individen gällande mätvärden. Begreppet innebär alltså att en specifik identitetsfaktor, personnummer, påförs de uppgifter som gäller för de individer vilka avses omfattas av uppgiftsinsamlingen. Personnummerbaserad statistik klargör alltså att primäruppgifterna för statistiken innehåller just personnummer. Mot bakgrund härav använder utredningen nedan genomgående begreppet personnummerbaserad statistik. () har vidare i MIS, Meddelanden i samordningsfrågor, 2001:1, Kvalitetsbegreppet och riktlinjer för kvalitetsdeklaration av officiell statistik, inledningsvis redogjort något för ytterligare termer inom statistikområdet och därvid bl.a. anfört följande. Det i statistiksammanhang centrala begreppet är statistisk storhet. En sådan är ett värde, som definieras av att ett statistiskt mått (antal, 6Se bl.a. skrivelse Övergång till individbaserad statistik över vård och omsorg/stöd och service - analys av vissa integritets- och sekretessfrågor. 7Se SCB:s skrift Könsuppdelad statistik. Ett nödvändigt medel för jämställdhetsanalys (CBM 2004:1). 8Socialstyrelsens rapport: Individbaserad statistik om kommunernas äldre- och handikappomsorg, , s. 14. medelvärde, median, m.fl.) används för att sammanfatta värdena på en variabel (= egenskap) hos objekten i en grupp. Det totala objektkollektivet kallas populationen. -- En statistisk undersökning går ut på att skaffa kunskap om värdena på en eller flera statistiska storheter för en population, och oftast också för delgrupper i denna. De statistiska storheter som en undersökning gäller kallas dess målstorheter. De har sanna men okända värden. En statistisk undersökning omfattar normalt två huvudmoment, insamling av grunduppgifter (primäruppgifter), respektive bearbetning av dessa till statistikvärden, som skattar målstorheterna. Ordet skattning indikerar framför allt att ett statistikvärde normalt inte anger ett helt korrekt värde på motsvarande målstorhet, utan är förenat med viss osäkerhet. Vanligtvis efterfrågas aktuell statistik, varmed avses (åtminstone idealt) statistik som beskriver nuläget. Faktorer som påverkar aktualiteten är snabbheten i uppgiftsinsamling och bearbetning, och för återkommande undersökningar hur frekvent de genomförs. En vanlig och viktig användning av statistik är att göra jämförelser, dels jämförelser över tiden (med hjälp av tidsserier) dels jämförelser mellan olika grupper. Rättvisande jämförelser ställer konsistenskrav på statistikvärdenas målstorheter, krav som också kan aktualiseras när statistikvärden från olika statistikkällor skall användas tillsammans. Framtagen statistik görs tillgänglig för användarna med olika spridningsformer, via olika media (papper, elektroniskt, medium, m.m.) och via olika kanaler (Statistiska Meddelanden per post, årsbok, på diskett, uttag från databas, m.m.). Informationen kan också presenteras på olika sätt, i text, diagram, tabeller, m.m.). Vissa användare efterfrågar annan statistik än den som publiceras reguljärt. En del sådan statistik finns ofta redan framtagen hos producenten, eller kan tas fram av denne genom specialbearbetning av primärmaterial. Ett alternativ, som önskas särskilt av forskare, utredare, m.fl., är att få direkttillgång till (avidentifierat) primärmaterial, vilket ger möjlighet att själv framställa statistik som man är intresserad av. I samband med den statistikreform som trädde i kraft , fördelades ansvaret för den officiella statistiken på 25 myndigheter; () och 24 andra statliga myndigheter. överfördes därmed stora delar av ansvaret för den officiella statistiken inom avgränsade sektors- områden från SCB. SCB fortsatte att ansvara för sektors-