sou · GXB332 · 2009-04-17 00:00:00 — Följaktligen bör inte t.ex. färdtjänstverksamheten innefattas i begreppet socialtjänst. -- Med socialtjänst bör således förstås även tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration, allt naturligtvis under förutsätt- ning att det anknyter till det huvudsakliga verksamhetsområdet. Flertalet remissinstanser yttrade sig inte över utredningens förslag i denna del och några instanser tillstyrkte. avstyrkte förslaget och ansåg att det inte behövdes någon särskild definition av begreppet socialtjänst just för detta område medan Läns- styrelsen i ansåg att socialtjänstbegreppet i stället borde tas in i socialtjänstlagen. mål, syften och organisation Lagrådet konstaterade i sitt yttrande bl.a. att den aktuella bestämmelsen angav vad som avses med uttrycket socialtjänst efter mönster av bestämningen av denna term i 7 kap. 4 § sekretesslagen, vilken även innefattar prövning i förvaltningsdomstolarna av beslut i verksamheten. Då det upplysts att domstolars behandling av personuppgifter inte var avsedd att regleras i lagen, ansåg Lagrådet att detta också borde framgå av denna genom ett tydliggörande att lagen inte tillämpas vid behandling av personuppgifter hos domstolar. I övrigt hade Lagrådet inte någon invändning angående begreppet socialtjänst. I den därpå följande propositionen (prop. 2000/01:80 s. 236 f.) har regeringen anfört följande avseende begreppet socialtjänst. Till socialtjänst räknas sedan socialtjänstlagen (1980:620) trädde i kraft inte enbart verksamhet enligt denna lag utan även inom området närliggande verksamhet som regleras enligt annan lagstiftning. Reglerna i socialtjänstlagen tillämpas i den mån dessa lagar saknar särskilda bestämmelser i frågan. Enligt regeringens mening är verksamhetsområdet så vidsträckt att det behövs en särskild definition av begreppet socialtjänst. Det kan inte, som i län föreslår, anses tillräckligt att ta in socialtjänstbegreppet i socialtjänstlagen. Enligt regeringens mening är det väsentligt att regleringen av hur personuppgifter behandlas får en gemensam grund att stå på. En lämplig väg är att samla all verksamhet som innefattar socialtjänst och reglera hanteringen av personuppgifter särskilt. Som tidigare nämnts föreligger det även andra skäl som talar för att behandlingen av personuppgifter bör regleras särskilt (se avsnitt 13.2). När det gäller definitionen av begreppet socialtjänst får det, såsom utredningen framhållit, anses lämpligt att söka ledning i den definition av begreppet socialtjänst som återfinns i 7 kap. 4 § sekretesslagen (1980:100). Det är också praktiskt att begreppet därvidlag inte skiljer sig alltför mycket åt. Enligt regeringens mening skall med socialtjänst förstås; –verksamhet enligt lagstiftning om socialtjänst och anslutande särskild lagstiftning om vård av unga och av missbrukare utan samtycke, –verksamhet som i annat fall bedrivs av socialnämnd, –verksamhet som bedrivs av , –verksamhet hos invandrarbyrå, –verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade, –handläggning av ärenden om bistånd som lämnas av socialnämnd mål, syften och organisation enligt lagstiftning om mottagande av asylsökande m.fl., –handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar, –handläggning av ärenden om tillstånd till parkering för rörelse- hindrade samt –tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration, under förutsättning att det anknyter till det huvudsakliga verksamhets- området. Förslaget innebär – när det gäller – emellertid en viss avvikelse från vad som gäller enligt 7 kap. 4 § tredje stycket sekretesslagen. Detta har sin grund i att styrelsen även bedriver verksamhet som endast är reglerad i förordning, men som lämpligen bör omfattas av den föreslagna lagstiftningen. Den nämnda upp- räkningen av verksamheter m.m. som innefattas i begreppet social- tjänst är uttömmande. Förslaget inkluderar även sådan verksamhet som bedrivs av enskilda. Det bör dock framhållas att sådan verksamhet som inte omfattas av denna lag eller av annan särlagstiftning omfattas av personuppgiftslagen (1998:204). Konsekvensen av att man låter en verksamhet falla utanför lagens tillämpningsområde blir alltså inte att behandlingen av personuppgifter i den verksamheten förblir oreglerad. Huruvida de personuppgifter som har samlats in med stöd av denna lag får behandlas för t.ex. sådan verksamhet som nämnts, dvs. utanför , får således avgöras efter en tillämpning av personuppgiftslagen. Med verksamhet förstås inte enbart den verksamhet som utgörs av handläggning av ett ärende utan även rent faktisk verksamhet, som t.ex. handlingar och uppgifter i övrigt som gäller uppsökande verksamhet, social hemhjälp, , behandlingshem och samt socialnämnds utredning och framställning enligt särskild lagstiftning om vård av unga och av missbrukare utan samtycke. I specialkommentaren till lagen angavs i propositionen bl.a. följande avseende begreppet socialtjänst. Lagen är tillämplig endast om det är fråga om behandling av person- uppgifter inom och så som detta begrepp definieras i 2 §. I denna paragraf definieras uttömmande begreppet socialtjänst. Lagen är tillämplig oavsett vilket subjekt som behandlar personuppgifter, under förutsättning att åtgärden är att anse som socialtjänst. Det innebär att även enskilda som behandlar personuppgifter inom social- tjänsten har att tillämpa lagen. Med socialtjänst förstås verksamhet enligt lagstiftning om socialtjänst. Detta följer av första stycket punkten 1. Vidare avses med social- tjänst verksamhet enligt lagen (1988:870) om vård av missbrukare i vissa fall och lagen (1990:52) med särskilda bestämmelser om vård av unga. Verksamheten består inte enbart i handläggning av ärende utan kan utgöras av faktisk verksamhet som uppsökande verksamhet, social mål, syften och organisation hemhjälp, vård och behandling vid behandlingshem, och annan social service som lämnas av socialnämnden. Enligt punkten 2 förstås med socialtjänst också verksamhet som i annat fall enligt lag handhas av socialnämnd. T.ex. finns i föräldra- balken regler om socialnämnds medverkan vid fastställande av faderskap och underhållsbidrag till barn, om medverkan i frågor om vårdnad, boende och umgänge samt om medverkan i samband med adoptioner. Av punkten 3 följer att verksamhet som bedrivs av är socialtjänst i lagens mening. Statens institutions- styrelse är central förvaltningsmyndighet för sådana hem som avses i 12 § lagen (1990:52) med särskilda bestämmelser om vård av unga (särskilda ungdomshem) samt 22 och 23 §§ lagen (1988:870) om vård av missbrukare i vissa fall (LVM-hem). Vidare bedriver institutions- styrelsen verksamhet som är att hänföra till socialtjänst enligt förordningen (1996:610) med instruktioner för Statens institutions- styrelse samt enligt lagen (1998:603) om verkställighet av sluten ungdomsvård. Även verksamheten vid en invandrarbyrå hänförs i detta sammanhang – liksom i sekretesshänseende – till . Detta framgår av punkten 4. Men med stöd av även denna punkt så kommer all behandling av personuppgifter vid en invandrarbyrå att omfattas av lagen. T.ex. kommer behandling av personuppgifter som sker inom ramen för kommunens tolkförmedling att omfattas av lagen, om den äger rum vid en invandrarbyrå. Även verksamhet enligt lagstiftningen om stöd och service till vissa funktionshindrade förstås i detta sammanhang som socialtjänst. Detta framgår av punkten 5. Enligt punkten 6 förstås som socialtjänst också handläggning av ärenden om bistånd som lämnas av socialnämnd enligt lagstiftning om mottagande av asylsökande m.fl. Beträffande vissa av utlänningarna – de som har ansökt om uppehållstillstånd i och av särskilda skäl medgetts rätt att vistas här medan ansökan prövas – beslutar och betalar socialnämnden i den kommun där utlänningen vistas ut bistånd. Handläggning av ärenden om introduktionsersättning för flyktingar och vissa andra utlänningar är också att anse som socialtjänst vid tillämpning av denna lag. Detta följer av punkten 7. I lagen (1957:259) om rätt för kommun att ta ut avgift för vissa upplåtelser av offentlig plats, m.m. och i vägtrafikkungörelsen (1972:603) finns bl.a. bestämmelser om att rörelsehindrade av kommunen får befrias från skyldighet att erlägga parkeringsavgift och att kommunen när det gäller rörelsehindrade får besluta om undantag från bestämmelser som avser stannande och parkering. Ansökningar om parkeringstillstånd för rörelsehindrade prövas av en nämnd. Även denna verksamhet anses, enligt punkten 8, som socialtjänst. mål, syften och organisation Slutligen förstås enligt andra stycket som socialtjänst tillsyn, uppföljning, utvärdering, kvalitetssäkring och administration av verksamhet som avses i första stycket punkterna 1–8. 4Övergripande rättslig reglering av behandling av personuppgifter regleras den grundläggande ramen för behandling av personuppgifter i personuppgiftslagen (1998:204), som därigenom ersatte datalagen (1973:289). Person- uppgiftslagen har sin utgångspunkt i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Detta kapitel innehåller en kortfattad genomgång av vissa internationella överenskommelser jämte dataskyddsdirektivet samt en redogörelse för personuppgiftslagens bestämmelser. Härutöver behandlas artikel 8 i den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () jämte artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna. Båda artiklarna behandlar skyddet av personuppgifter. Internationella riktlinjer har meddelats för automatisk data- behandling av personuppgifter. Bestämmelser av betydelse finns i bl.a. konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (dataskyddskonven- tionen). Konventionens innehåll kan ses som en precisering av skyddet vid användning av automatisk databehandling enligt artikel 8 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (). Övergripande rättslig reglering av behandling av personuppgifter är att säkerställa den enskildes rätt till personlig integritet och att förbättra förutsättningarna för ett fritt informationsflöde över gränserna. Konventionen trädde i kraft . Samtliga medlemsstater i EU har ratificerat konventionen, som alltså är bindande för och övriga medlemsstater. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste uppfylla i sin nationella lagstiftning. Personuppgifter som är föremål för automatisk databehandling ska hämtas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Uppgifterna måste vara relevanta för och förenliga med ändamålen. Vidare måste uppgifterna vara riktiga och aktuella och uppgifterna får inte bevaras längre än vad som är nödvändigt för ändamålen. Vissa personuppgifter får behandlas endast om den nationella lagen ger ett ändamålsenligt skydd. Till sådana personuppgifter hör uppgifter om enskildas ras, politiska tillhörighet, religiösa tro eller övertygelse i övrigt, hälsa eller sexualliv eller uppgifter som hänför sig till misstanke om brott och dom för brott. För att skydda personuppgifter mot avsiktlig eller otillåten förstörelse m.m. föreskriver konventionen att lämpliga skydds- åtgärder ska vidtas. Vidare ska den registrerade ha möjligheter till insyn i register och till att få uppgifter rättade. I vissa fall får undantag göras från bestämmelserna om uppgifternas beskaffenhet och rätten till insyn. Sådana inskränkningar i den enskildes skydd förutsätter stöd i den nationella lagstiftningen och att inskränkningen är nödvändig i ett demokratiskt samhälle för vissa ändamål, t.ex. statens penningintressen och brottsbekämpning samt för att skydda enskildas fri- och rättigheter. Dataskydds- konventionens roll som riktmärke för automatiserad behandling av personuppgifter övertas i princip av dataskyddsdirektivet i och med att detta införlivas i EU-ländernas nationella lagstiftningar. Direktivet behandlas närmare i avsnitt 4.4. har antagit ett tilläggsprotokoll till dataskyddskonventionen. Tilläggsprotokollet har öppnats för undertecknande. Det innehåller bestämmelser om dataskyddsmyndigheter och överföring av personuppgifter mellan länder. Den beslutade att underteckna och ratificera tilläggsprotokollet, vilket skedde . Övergripande rättslig reglering av behandling av personuppgifter Internationella riktlinjer för integritetsskydd och persondataflöde har även utarbetats inom och utveckling (). Ett antal internationella organisationer och företag har antagit egna regler om dataskydd som bygger på riktlinjer. Riktlinjerna motsvarar i princip de bestämmelser som återfinns i dataskyddskonventionen och redovisas inte närmare här. För ytterligare information om och riktlinjer på området se SOU 1993:10 s. 62 ff. Det bör tilläggas att antogs ministerdeklaration Protection of Privacy on , som innebär att man slår fast intentionen att i ett internationellt perspektiv harmonisera de regler som bör gälla för hantering av personuppgifter i globala nätverk, för att skydda den personliga integriteten. antogs och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivets principer om skydd för enskilda personers fri- och rättigheter är en precisering och förstärkning av dataskyddskonventionen . Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på behandling av personuppgifter, dels en likvärdig skyddsnivå i alla medlems- stater, så att staterna inte ska kunna hindra det fria flödet mellan dem av personuppgifter under hänvisning till enskilda personers fri- och rättigheter. Dataskyddsdirektivet är direkt bindande för medlemsstaterna i fråga om det resultat som ska uppnås. Direktivet måste införlivas i den nationella lagstiftningen. Medlemsstaterna bestämmer själva på vilket sätt direktivet ska införlivas, men är därvid starkt bundna av direktivets innehåll. Medlemsstaterna får inte föreskriva vare sig ett bättre eller sämre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som gäller enligt dataskyddsdirektivet. Övergripande rättslig reglering av behandling av personuppgifter Dataskyddsdirektivet handlar om fysiska personers skydd. Skyddet för juridiska personer berörs inte. Dataskyddsdirektivet omfattar inte bara helt eller delvis automatiserad behandling utan också behandling av personuppgifter, dock endast behandling av uppgifter som ingår eller kommer att ingå i ett register. Utanför tillämpningsområdet faller t.ex. ostrukturerade akter. Kriterierna för när uppgifterna är så strukturerade att fråga är om ett manuellt register bestäms inte i direktivet, utan kan utformas av varje enskild medlemsstat. Dataskyddsdirektivet omfattar inte behandling av personuppgifter för privat bruk, oavsett om behandlingen är automatiserad eller . Direktivet gäller inte heller för sådan behandling av person- uppgifter som utgör ett led i en verksamhet som faller utanför gemenskapsrätten, och inte under några omständigheter behandlingar som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område (artikel 3.2). 4.4.2Bestämmelser om när personuppgifter får behandlas Enligt dataskyddsdirektivet måste all behandling av person- uppgifter vara laglig och korrekt. Uppgifterna måste vara riktiga och aktuella samt adekvata, relevanta och nödvändiga med hänsyn till de ändamål för vilka de behandlas. Ändamålen ska vara uttryckligen angivna vid tiden för insamling av uppgifterna. De ändamål för vilka uppgifterna senare behandlas får inte vara oförenliga med de ursprungliga ändamålen. Personuppgifter får enligt direktivet behandlas bara i vissa fall. Personuppgifter får behandlas efter att den registrerade otvetydigt har lämnat sitt samtycke eller i samband med fullgörande av avtal där den registrerade är part. Behandling får också ske om det är nödvändigt för att fullgöra en rättslig förpliktelse, som åvilar den registeransvarige, eller för att skydda vitala intressen för den registrerade. Vidare får behandling ske om den är nödvändig för att utföra en arbetsuppgift som antingen är av allmänt intresse eller utgör ett led i myndighetsutövning. Slutligen får personuppgifter behandlas efter en intresseavvägning, nämligen om intresset av att Övergripande rättslig reglering av behandling av personuppgifter den registeransvarige får behandla uppgifterna överväger den registrerades intresse av att de inte behandlas. Vissa särskilda i direktivet angivna kategorier av uppgifter får inte behandlas utan uttryckligt samtycke av den registrerade. Det gäller sådana uppgifter som avslöjar den enskildes ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa och sexualliv. I vissa, särskilt angivna, undantagsfall får dock sådan behandling ske även utan den enskildes samtycke, t.ex. när behandling av sådana uppgifter är nödvändig för åtgärder inom hälso- och sjukvård eller liknande. Medlemsländerna får under förutsättning av lämpliga skyddsåtgärder och av hänsyn till ett viktigt allmänt intresse besluta om andra undantag än de som anges i direktivet. 4.4.3Information och rättelse m.m. Dataskyddsdirektivet föreskriver att den registeransvarige ska informera den registrerade om att personuppgifter är föremål för behandling och därvid redogöra för ändamålet med behandlingen. Har uppgifterna inte samlats in från den registrerade själv behöver den registeransvarige inte lämna någon information, om det skulle visa sig vara omöjligt eller innebära en ansträngning som inte står i proportion till nyttan. Den registrerade har dock rätt att på begäran få information om de registrerade uppgifterna. Vidare har den registrerade rätt att få sådana uppgifter som inte har behandlats i enlighet med direktivet rättade, utplånade eller blockerade. Om en uppgift rättas ska den registeransvarige underrätta tredje man som fått del av den felaktiga uppgiften. Underrättelse behövs dock inte i de fall där sådan är omöjlig eller förenad med en oproportionerligt stor arbetsinsats. Medlemsstaterna får föreskriva begränsningar i fråga om vissa skyldigheter och rättigheter, bl.a. informationsskyldigheten och rättigheten att på begäran få tillgång till uppgifter. En sådan begränsning måste dock vara en nödvändig åtgärd med hänsyn till vissa allmänna intressen, bl.a. intresset av att undersöka, avslöja och åtala för brott samt skyddet av den registrerades eller andras fri och rättigheter. Till skydd för den registrerade innehåller direktivet även bestämmelser om säkerhet vid behandlingen. Övergripande rättslig reglering av behandling av personuppgifter tekniska och organisatoriska åtgärder ska den registeransvarige skydda personuppgifter mot otillåten behandling samt mot förstöring, förlust, ändring eller otillåten spridning. Enligt dataskyddsdirektivet ska varje medlemsstat tillse att det utses en eller flera myndigheter som har till uppgift att inom dess territorium övervaka tillämpningen av de bestämmelser som medlemsstaterna antar till följd av direktivet. Dessa myndigheter ska fullständigt oberoende utöva de uppgifter som åläggs dem. Datainspektionen har utsetts till sådan tillsynsmyndighet i . Varje tillsynsmyndighet ska ha undersökningsbefogenheter, såsom befogenhet att få tillgång till uppgifter som blir föremål för behandling och befogenhet att inhämta alla uppgifter som är nödvändiga för att sköta tillsynen, effektiva befogenheter att ingripa och befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. I dataskyddsdirektivet föreskrivs ett relativt omfattande anmälningsförfarande till tillsynsmyndigheten när det gäller helt eller delvis automatiserad behandling av personuppgifter. För icke- automatiserade behandlingar får medlemsländerna föreskriva ett förenklat anmälningsförfarande. Undantag från anmälningsplikt alternativt tillämpning av ett förenklat anmälningsförfarande får också föreskrivas dels om det med hänsyn till de behandlade uppgifterna inte är sannolikt att den registrerades fri- eller rättigheter kränks, dels om den registeransvarige har utsett uppgiftsskyddsombud (personuppgiftsombud). 4.4.5Överföring av personuppgifter till tredje land Direktivet syftar till ett fritt flöde av personuppgifter mellan medlemsländerna. Som huvudregel gäller att överföring av person- uppgifter som är under behandling, eller är avsedda att behandlas efter överföringen, till ett land utanför EU eller EES (tredje land), får ske endast om det mottagande landets lagstiftning kan säkerställa en adekvat skyddsnivå. Vad som är en adekvat Övergripande rättslig reglering av behandling av personuppgifter skyddsnivå får avgöras med hänsyn tagen till bl.a. de uppgifter som ska behandlas och ändamålet med behandlingen. I vissa fall får personuppgifter föras över till länder vars lagstiftning i och för sig inte erbjuder en adekvat skyddsnivå. Det gäller bl.a. om den registrerade går med på att överföring sker eller om överföringen är nödvändig eller bindande enligt författning av skäl som rör viktiga allmänna intressen. Exempel på det sistnämnda är vissa överföringar vid internationellt utbyte av uppgifter mellan skattemyndigheter eller tullmyndigheter. Dataskyddsdirektivet skulle vara införlivat i medlemsländernas nationella lagstiftningar . När det gäller sådan behandling av personuppgifter som pågick vid den tid- punkten, skulle denna bringas i överensstämmelse med direktivet senast därefter. I fråga om register gäller dock en övergångstid . För del har införlivande av direktivet skett genom personuppgiftslagen, som trädde i kraft just . Enligt övergångsbestämmelserna till lagen ska dock äldre lagstiftning, datalagen, tillämpas i sådana fall och under de tider som anges i dataskyddsdirektivet i fråga om bl.a. pågående behandling av personuppgifter. Den europeiska konventionen om skydd för de mänskliga rättig- heterna och de grundläggande friheterna gäller som svensk lag här i landet. I artikel 8 stadgas att var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka åtnjutande av denna rättighet annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Såvitt gäller laglighetskriteriet krävs, utöver att intrånget ska grundas på nationell lag, att den åberopade lagen uppfyller vissa minimikrav i fråga om kvalitet och tydlighet. Övergripande rättslig reglering av behandling av personuppgifter inskränkande tolkning av lagen ska kunna förutses och lagen ska vara allmänt tillgänglig. Att ett ingripande ska vara nödvändigt innebär att det ska föreligga ett angeläget samhälleligt behov av åtgärden i fråga. Åtgärden får dock inte gå längre än vad som är erforderligt med beaktande av proportionalitetsprincipen, dvs. den ska stå i rimlig relation till det intresse åtgärden är avsedd att tillgodose. Vid denna avvägning har staterna ett visst handlings- utrymme att inom rimliga gränser göra de avvägningar i bevis- och andra bedömningsfrågor, vilka läggs till grund för ett ingripande. Primärt innebär artikel 8 att staten ska avhålla sig från ingrepp i den skyddade rättigheten, utom i de fall som omfattas av de i artikeln föreskrivna undantagen.