sou · GXB332 · 2009-04-17 00:00:00 — Av 9 § framgår att ett hem som drivs av SiS får i sådan verksamhet som avses i 7 § 1–3 endast använda uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar. Enligt 10 § får ett hem som drivs av SiS inte hämta person- uppgifter från ett annat hem som drivs av styrelsen för behandling av uppgifter genom samkörning 1 10 a § anges att i fråga om personer som är intagna i särskilt ungdomshem med stöd av lagen (1998:603) om verkställighet av sluten ungdomsvård, ska SiS fortlöpande lämna uppgifter till för verkställighetens början och slut jämte eventuell ändrad sådan slutdag. I fråga om personer som genomgår sluten ungdomsvård ska SiS lämna uppgift till om datum för verkställig- hetens början, om den sammanlagda vårdtiden är . Rättslig reglering av behandling av personuppgifter Av 11 § framgår att en myndighet är personuppgifts- ansvarig för den behandling av personuppgifter inom som myndigheten utför. Om behandlingen görs gemensamt för flera myndigheter inom kommunen är varje myndighet personuppgiftsansvarig för den behandling som utförs hos den myndigheten. Vad avser ändamålen för behandling av personuppgifter framgår följande av 12 §. En myndighet får behandla person- uppgifter för 1.handläggning av ärenden om bistånd och annat stöd samt genomförande av beslut om bistånd, stödinsatser, vård och behandling samt annan social service som följer av bestäm- melserna i socialtjänstlagen (2001:453) och agen (2006:492) om kommunalbefogenhet att tillhandahålla servicetjänster åt äldre, 2.faderskapsutredningar, utredning om vårdnad av barn, adoptionsärenden samt annan verksamhet inom familjerätten som följer av bestämmelserna i , 3.handläggning av ärenden och annan verksamhet som följer av bestämmelserna i lagen (1990:52) med särskilda bestämmelser om vård av unga och lagen (1988:870) om vård av missbrukare i vissa fall, 4.handläggning av ärenden om insatser och för särskilda uppgifter som följer av bestämmelserna i lagen (1993:387) om stöd och service till vissa funktionshindrade, 5.handläggning av ärenden om tillstånd till parkering för rörelsehindrade, 6.handläggning av ärenden om bistånd som lämnas av social- nämnd enligt lagstiftning om mottagande av asylsökande m.fl., 7.handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar, 8.handläggning av ärenden och annan verksamhet inom social- tjänsten som utförs vid invandrarbyrå, 9.handläggning av ärenden som följer av bestämmelserna i lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare och körkortsförordningen (1998:980), samt Rättslig reglering av behandling av personuppgifter SOU 2009:32 10. tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration av verksamheten. Vid handläggning av ärenden om tillstånd till parkering för rörelse- hindrade som följer av bestämmelserna i körkortsförordningen får en myndighet inte behandla andra känsliga person- uppgifter än uppgifter som rör hälsa. I 15 § anges att vid handläggning av ärenden och i verksamhet som avses i 12 § 1–9 får en myndighet endast använda uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar. I 16 § finns regler för en myndighets överföring av personuppgifter till tredje land avseende fastställande av faderskap och adoptioner. I 17 § anges att en juridisk eller fysisk person som ansvarar för privat verksamhet är personuppgiftsansvarig för den behandling som görs i dess verksamhet. Enligt 18 § får, i privat verksamhet vidare, personuppgifter behandlas för dokumentation av sådan vård, behandling eller omsorg av enskilda som ges inom verksamheten. Personuppgifter får även behandlas för administration av verksamheten. I 20 § anges att i privat verksamhet endast uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer får användas som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar. Ett boende, en öppen verksamhet eller en annan enhet i privat verksamhet får inte, enligt 21 §, hämta personuppgifter från annat boende, annan öppen verksamhet eller annan enhet inom privat verksamhet för behandling av uppgifter genom samkörning. I 22 § anges att är personuppgiftsansvarig för den behandling av personuppgifter inom som görs i dess verksamhet enligt lagen (2007:606) om utredningar avseende barn Rättslig reglering av behandling av personuppgifter som har avlidit i anledning av brott m.m. får, enligt 23 §, behandla personuppgifter för sådan nämnd verksamhet. Uppgifter får behandlas endast i syfte att ge underlag till förslag om åtgärder som avser att förebygga att barn far illa. får, enligt 24 §, i verksamhet som avses i lagen om utredningar avseende barn som har avlidit i anledning av brott m.m. inte medge andra myndigheter eller enskilda direktåtkomst till person- uppgifter. får, enligt 25 §, i verksamhet som avses i lagen om utredningar avseende barn som har avlidit i anledning av brott m.m. använda de sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar som behövs för utrednings- verksamheten. 26 § anger att får meddela ytterligare föreskrifter om sammanställning av personuppgifter enligt 7 b § SoLPUL och att styrelsen ska meddela de föreskrifter som behövs för verkställigheten av denna förordning. 5.4Ändamålen i lagen om behandling av personuppgifter inom Bestämningen av ändamål för behandlingen av personuppgifter anses vara av central betydelse från integritetssynpunkt. I utredningens uppdrag ingår att överväga för vilka ändamål behandling av personuppgifter bör vara tillåten inom . Av utredningens direktiv framgår i denna del i huvudsak följande. Behandlingen av personuppgifter inom behövs för olika ändamål, såsom behandling av personuppgifter som är nödvändiga för klientrelaterade arbetsuppgifter, uppföljning, utvärdering, kvalitetssäkring, administration, planering, fram- ställning av statistik, forskning och tillsyn. På grund av splittrad lagstiftning inom området finns anledning att analysera och förtydliga för vilka ändamål personuppgifter får behandlas samt hur olika författningar förhåller sig till varandra vad gäller innehåll och gränsdragningsproblem. Enligt direktiven ska omfattningen av tillämpningsområdena mellan följande lagar förtydligas: -lagen (2001:454) om behandling av personuppgifter inom , -lagen (2001:99) om den officiella statistiken, samt -personuppgiftslagen (1998:204) Rättslig reglering av behandling av personuppgifter 5.4.2Allmänt om ändamålsbestämning och finalitets- principen För behandling som omfattas av personuppgiftslagen (PUL) gäller vissa grundläggande krav. I exempelvis 9 § PUL finns bestämmelser om krav på behandling av personuppgifter som en personuppgifts- ansvarig alltid måste följa. När det gäller ändamål anges i 9 § första stycket PUL att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål (punkt c). De insamlade personuppgifterna får inte senare behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (punkt d). Denna sistnämnda bestämmelse kallas för finalitets- principen. Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade personuppgifterna finns angivna redan då uppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns alltså inte. Enligt 9 § andra stycket PUL ska senare behandling av uppgifter för historiska, statistiska eller vetenskapliga ändamål dock inte anses som oförenliga med de ändamål för vilka uppgifterna samlades in. Med behandling avses i detta sammanhang varje typ av åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatiserad väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring (3 § PUL). Registerförfattningar innehåller i regel bestämmelser om ändamål med behandlingar av de uppgifter som omfattas av den särskilda regleringen. I registerförfattningarna finns ofta en hänvisning till 9 § PUL eller en bestämmelse i själva register- författningen med samma innehåll. Den ram för tillåtna behandlingar som ges genom en angivelse av ändamål definieras i regel av 9 § första stycket c) och d) PUL i förening med den aktuella registerförfattningen (jfr SOU 2003:99 s. 236 och prop. 2002/03:135 s. 55). Det har diskuterats i vad mån ändamålsbestämningar i registerförfattningar ska anses vara uttömmande eller inte. Med andra ord om andra med ändamålsbestämningen inte oförenliga ändamål ska anses vara tillåtna eller inte vid sidan av de uttryckliga ändamålen, då det handlar om en behandling av redan insamlade Rättslig reglering av behandling av personuppgifter – Att myndigheten inom ramen för register- författningens tillämpningsområde inte får behandla person- uppgifter för helt andra ändamål än de i författningen angivna, trots att det om författningen inte funnits skulle ha varit tillåtet enligt 10 § PUL, torde stå klart. Det är likaså klart att myndigheten oberoende av ändamålsangivelserna och registerförfattningen i övrigt ska uppfylla sina skyldigheter att enligt offentlighets- principen i 2 kap. tryckfrihetsförordningen söka efter, samman- ställa och lämna ut personuppgifter. Det följer om inte annat av att grundlag tar över författningar av lägre rang. I de särskilda registerförfattningarna anges de tillåtna ändamålen, men av 9 § PUL – som normalt gäller vid behandling som omfattas av en registerförfattning – framgår indirekt (första stycket punkt d) att det inte är otillåtet att personuppgifterna också behandlas för alla ändamål som inte är oförenliga med det för vilket uppgifterna samlades in och (andra stycket) under alla förhållanden för historiska, statistiska och vetenskapliga ändamål. till , 2006 s. 700). I dessa sammanhang har det uttolkats (bl.a. av Patientdata- utredningen 2006:82) att – om det inte framgår av den aktuella registerförfattningen att ändamålsbestämmelsen syftar till att vara uttömmande och PUL gäller utöver den särskilda register- författningen – även andra icke angivna ändamål torde vara tillåtna, om dessa andra ändamål är förenliga med de i författningen angivna ändamålen eller om det är fråga om behandling för historiska, statistiska eller vetenskapliga ändamål. 5.4.3Primära ändamål och sekundära ändamål Ett av de grundläggande kraven i PUL är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. I registerlagarna förekommer ofta även en indelning i primära och sekundära ändamål för behandling av personuppgifter. Primära ändamål är sådana som är direkt anpassade till den verksamhet som bedrivs av personuppgiftsansvarig myndighet. Sekundära ändamål är i stället sådana som kan hänföras till andra myndigheters eller enskildas verksamhet; t.ex. att tillhandahålla information som behövs i författningsreglerad verksamhet hos någon annan. Rättslig reglering av behandling av personuppgifter Eftersom personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket det samlades in fyller de sekundära ändamålen sin plats i och med att de anger för vilka andra ändamål än de primära, som uppgifter får behandlas genom insamling, lagring och annan behandling inom den aktuella myndighetens verksamhet (betänk- ande, Skyddet för den personliga integriteten – kartläggning och analys, SOU 2007:22 s. 465). I vissa fall har uppdelningen mellan primära och sekundära ändamål undvikits. har i sitt betänkande , SOU 2006:82 s. 176, anfört följande i denna fråga. Genom förslaget att ge patientdatalagen ett väsentligen mera vidsträckt tillämpningsområde i förhållande till vårdregisterlagens tillämpningsområde, har vi, med ett undantag, funnit det olämpligt att dela in ändamålen i primära och sekundära ändamål. Båda slagen av ändamål handlar om personuppgiftsbehandlingar som, mer eller mindre integrerat, normalt äger rum i varje vårdgivares egen verksamhet. -- [D]et [finns] ganska stora möjligheter att med stöd av personuppgiftslagen samla in och behandla personuppgifter för ändamål som inte är primära enligt vårdregisterlagens kategorisering. En inskränkning av dagens möjligheter genom att göra vissa ändamål tillåtna enbart om de innebär en efterkommande behandling av redan insamlade personuppgifter, torde kunna medföra tillämpnings- svårigheter som riskerar att hämma hälso- och sjukvårdens informationshantering på ett icke önskvärt sätt. Vi menar vidare att det inte innebär ett försämrat integritetsskydd att även sådana ändamål som faller vid sidan av den individinriktade verksamheten får vara primära. I allt väsentligt kommer det att även framgent handla om en efterkommande användning av uppgifter som härrör från den individinriktade verksamheten. Detta överensstämmer helt med strävandena inom hälso- och sjukvården att förbättra och effektivisera verksamheten bl.a. genom att skapa en ändamålsenlig och enhetlig vårddokumentation som minskar det administrativa merarbetet inom hälso- och sjukvården. Viktigt för våra överväganden är emellertid att den föreslagna lösningen i förhållande till gällande rätt inte innebär någon utvidgning av för vilka ändamål vårdgivare över huvud taget får behandla personuppgifter utan enskildas samtycke. Skillnaden gentemot gällande rätt är att även personuppgiftsbehandling som sker särskilt för ändamålen övergripande administration, planering, kvalitetssäkring, verksamhetsuppföljning, statistikframställning m.m. regleras i en särlag och inte bara av personuppgiftslagen. Därmed kommer även sådan personuppgiftsbehandling att bli kringgärdad av de ytterligare bestämmelserna i patientdatalagen som vi kommer att föreslå i det följande och som syftar till att ge ett gott integritetsskydd. Rättslig reglering av behandling av personuppgifter Härigenom ökar integritetsskyddet i förhållande till vad som gäller. Uttömmande reglering av sekundära ändamål Från integritetssynpunkt är fördelen med att uttömmande reglera ändamålen i en registerlag att det därigenom direkt av regleringen framgår vilket skydd respektive vilka inskränkningar i den enskildes integritet som är aktuella. Fördelen är vidare att en sådan typ av bestämmelse befrämjar tydlighet som den förhindrar att myndigheten på eget initiativ sprider person- uppgifter, när det inte är förutsatt i författningen (: till , 2006 s. 702). Om sekundära ändamål har angetts uttömmande i en registerlag och ett annat ändamål aktualiseras kan dock hindren mot elektroniskt informationsutbyte bli betydande. (Samsetrapport 2005:1, Elektroniskt informationsutbyte – myndighetsgemensamma rättsfrågor, s. 79) Ett exempel på sådan uttömmande reglering återfinns i lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet. Av 9 § i denna lag framgår t.ex. att personuppgifter inte får behandlas för några andra ändamål än de som anges i lagen, men att personuppgifter får lämnas ut till och regeringen samt, i den utsträckning uppgifts- skyldighet följer av lag eller förordning, till andra. har i sitt delbetänkande Skyddet för den personliga integriteten, kartläggning och analys (SOU 2007:22, del 1, s. 465) framhållit att en sådan bestämmelse är problematisk från den synpunkten att en sådan också avses ge svar på om när uppgifter får lämnas ut. Kommittén anförde vidare bl.a. följande. En sådan bestämmelse synes syfta till att, i betydligt större omfattning än vad som gäller enligt sekretesslagen, inskränka möjligheterna att lämna ut uppgifter till andra myndigheter. Om bestämmelsen skall tillämpas i enlighet med detta syfte torde man för uppgifter som behandlas i enlighet med lagen – vilket bör vara i stort sett alla uppgifter eftersom handläggningen i allt väsentligt är datoriserad – i praktiken ha infört en absolut sekretess i förhållande till andra myndigheter, trots att det i sekretesslagen anges att sekretess på detta område gäller med ett omvänt skaderekvisit. Rättslig reglering av behandling av personuppgifter Ej uttömmande reglering av sekundära ändamål I flertalet andra registerförfattningar finns bestämmelser där det inte ges någon uttömmande uppräkning av sekundära ändamål. Sådana bestämmelser kan vara avsedda att inte uttömmande ange när uppgifter får lämnas ut. Ett sådant syfte framgår i allmänhet inte av lagtexten, men brukar anges i förarbetena. Bestämmelser av detta slag synes snarare utgöra någon slags exemplifiering av när utlämnanden kan komma att ske (jfr förarbetena till skattedata- baslagen, prop. 2000/01:33 s. 99). Denna typ av bestämmelser försvårar möjligheterna att avgöra vilket skydd respektive vilka inskränkningar i den enskildes integritet som det är fråga om. (SOU 1999:105 s. 238) anförde följande i denna fråga. Sekundära ändamål bör även komma till uttryck i lagstiftningen i de fall det går att förutse att innehållet i en databas kommer att regelmässigt användas av andra myndigheter eller i annan författningsreglerad verksamhet, även om det inte sker genom direktåtkomst. En uppräkning av sekundära ändamål som inte avser utlämnande med hjälp av direktåtkomst kan inte bli uttömmande, eftersom det inte är möjligt att förutse samtliga de situationer då uppgifter med stöd av exempelvis sekretesslagen kan komma att lämnas ut till myndigheter eller andra för olika ändamål. I de fall då utlämnande skulle komma att ske från en databas i enlighet med särskilt författningsstöd eller då det är möjligt att förutsäga att uppgifter skulle komma att lämnas ut i större omfattning, var utredningen av den uppfattningen att det från upplysningssynpunkt fanns skäl att markera dessa användnings- områden genom de sekundära ändamålen. Av förarbetena till skattedatabaslagen (prop. 2000/01:33 s. 126) framgår vidare följande. En uppräkning som inte avser utlämnande med hjälp av direktåtkomst kan inte bli uttömmande, eftersom det inte är möjligt att förutse samtliga de situationer då uppgifter för olika ändamål kan komma att lämnas ut. Föreskrivna sekundära ändamål, som inte är särskilt inriktade på direktåtkomst, avser således de fall där det är möjligt att förutsäga att uppgifter kommer att lämnas ut i förhållandevis stor omfattning. Lagrådet har i ett annat lagstiftningsärende avseende den lag som gäller för socialförsäkringsadministrationen (prop. 2002/03:135 s. 160 och 56) uttalat att det allmänt är önskvärt att samtliga ändamål för vilka behandling ska vara tillåten framgår av registerförfattningen. Lagrådet ansåg att de formuleringar som Rättslig reglering av behandling av personuppgifter normalt används i registerförfattningar inte tillräckligt tydligt ger uttryck för att personuppgifterna ska få behandlas för andra ända- mål än de som anges i författningen. Trots Lagrådets synpunkter angav regeringen i ärendet följande: Om inte annat följer av den aktuella registerförfattningen är även sådana efterkommande behandlingar vars ändamål ligger vid sidan av de i lagen angivna ändamålen tillåtna, förutsatt att ändamålet för den nya behandlingen vid en tillämpning av 9 § första stycket d) och andra stycket PUL inte kan anses oförenligt med de ändamål för vilka personuppgifterna samlades in (prop. 2002/03:135 s. 55). Lagrådets invändningar medförde dock att det i den aktuella registerförfattningen togs in en uttrycklig bestämmelse om att 9 § första stycket d och andra stycket PUL gäller i fråga om behandling av personuppgifter för annat ändamål än vad som anges i författningen (se 9 § lagen (2003:763) om behandling av person- uppgifter inom socialförsäkringens administration). Mot bakgrund av att motsvarande förtydligande saknas i andra register- författningar fann regeringen det viktigt att betona att det inte var fråga om en materiell regel, utan endast ett förtydligande (prop. 2002/03:135 s. 56). På grund av de skilda synsätt som regeringen respektive Lagrådet gav uttryck för i lagstiftningsärendet får det anses vara oklart vad som gäller om det inte framgår av en registerförfattning om de angivna ändamålen är uttömmande eller inte. I litteraturen har synpunkter framförts på att man i kommande lagstiftnings- ärenden uttryckligen tar ställning till frågan (: till , 2006 s. 700 ff. samt Offentlighets- och sekretesskommittén SOU 2003:99 s. 237). Både uttömmande och ej uttömmande reglering I vissa sammanhang har regleringar ansetts vara uttömmande på ett visst sätt och ej uttömmande på ett annat sätt. Patientdata- utredningen anförde i betänkandet SOU 2006:82, s. 175 bl.a. att principiella skäl talar med styrka för att lagstiftaren i patientdatalagen uttryckligen och så uttömmande som möjligt bestämmer ändamålen för all personuppgiftsbehandling som regleras i lagen. Utredningen föreslog därför en sådan reglering och anförde vidare följande (kursivering tillagd). Rättslig reglering av behandling av personuppgifter Patientdatalagens ändamålsreglering blir därmed uttömmande i den meningen att vårdgivarna inte själva får besluta om ytterligare ändamål för vilket eller vilka personuppgifter skall samlas in i verksamheten, i vart fall inte utan den registrerades samtycke. -- Genom en uttrycklig reglering av för vilka ändamål personuppgifter får behandlas i verksamheten åstadkoms vidare en ökad tydlighet i regleringen, nog så viktigt i integritetshänseende. angav de ändamål för vilka personuppgifter får samlas in och även i övrigt behandlas inom hälso- och sjuk- vården enligt följande 1.patientjournalföring och annan dokumentation som behövs i och för vården av patienter eller som behövs för administration som rör patienter och som syftar till att bereda vård i enskilda fall eller som annars föranleds av vård i enskilda fall (Vårddokumentation), 2.utförande av annan dokumentation som följer av lag, förordning eller annan författning, 3.systematisk och fortlöpande utveckling och säkring av hälso- och sjukvårdens kvalitet (Kvalitetssäkring), 4.administration, planering, uppföljning, utvärdering och tillsyn av hälso- och sjukvårdsverksamheten och 5.framställning av statistik rörande hälso- och sjukvård Dessutom får personuppgifter som behandlas för ändamål enligt punkterna 1–5 behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller den s.k. finalitetsprincipen i 9 § första stycket d PUL för behandling av insamlade personuppgifter för ett nytt ändamål. Av kommentar till de särskilda ändamålen framgår vidare bl.a. följande (SOU 2006:82 s. 177 ff., kursivering tillagd). Av personuppgiftslagen (och det bakomliggande dataskyddsdirektivet) följer ett krav på att ändamålen skall vara särskilda. Det ligger emellertid i sakens natur att ändamålsbestämmelser måste formuleras tämligen generellt när det som i detta fall gäller en särlag som reglerar flera olika slags vårdgivares behandling av personuppgifter i en så komplex, omfattande och mångskiftande verksamhet som här är i fråga. En detaljerad uppräkning av alla tänkbara personuppgiftsbehandlingar på området låter sig knappast göras och riskerar även att hämma utvecklingen av hälso- och sjukvårdens informationsförsörjning. I sammanhanget bör man hålla i åtanke att hälso- och sjukvården är en Rättslig reglering av behandling av personuppgifter dynamisk verksamhet som ständigt förändras parallellt med att informationstekniken ständigt utvecklas och genererar nya möjligheter att förbättra verksamheten. Vi bedömer dock att de föreslagna ändamålen uppfyller direktivets krav på att vara särskilda, genom att de ger tillämparen ledning för bedömningen av vilka personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen.