sou · GXB332 · 2009-04-17 00:00:00 — I ombudets skyldig- heter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. Den behandling av personuppgifter som förekommer inom social- tjänsten rör i stor utsträckning uppgifter som är integritetskänsliga. Detta gör enligt vår mening det särskilt angeläget med den kontroll som kan utövas av ett personuppgiftsombud. Det är även viktigt att enskilda registrerade enkelt ska kunna vända sig till rätt person hos myndigheter i t.ex. frågor om information om behandlingen och om rättelse. Vår bedömning är mot bakgrund av det anförda att det bör ställas krav på att myndigheter inom utser person- uppgiftsombud och anmäler detta till Datainspektionen. Den nya lagen bör således innehålla hänvisning till 36 § andra stycket och 38–40 §§. Regeringen har enligt 41 § personuppgiftslagen möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll oavsett om det finns ett personuppgiftsombud eller inte. Denna möjlighet bör regeringen enligt vår mening ha även i fråga om sådana behandlingar som utförs inom verksamhet. Vissa upplysningar till allmänheten (42 §) Enligt 42 § personuppgiftslagen ska den personuppgiftsansvarige, till den som begär det, lämna upplysningar om de behandlingar av personuppgifter som utförs och som inte har anmälts till Datainspektionen. Eftersom behandling av personuppgifter inom är författningsreglerad har myndigheterna ingen skyldighet att till Datainspektionen anmäla vilka behandlingar som utförs. För att enskilda på ett snabbt och enkelt sätt ska kunna få besked av myndigheter inom om vilka behandlingar som utförs bör bestämmelsen i personuppgiftslagen vara tillämplig. Författningsreglering av behandling av uppgifter befogenheter (43 och 44 §§, 45 § första stycket och 47 §) För att kunna säkerställa att personuppgifter behandlas på ett korrekt sätt har Datainspektionen vissa befogenheter gentemot de personuppgiftsansvariga. Datainspektionen har enligt 43 § möjlig- het att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Vi anser att dessa möjligheter bör gälla även för vidkommande. Om Datainspektionen efter en begäran enligt 43 § inte kan få tillräckligt med underlag för att konstatera om behandlingen av personuppgifter är laglig, får myndigheten enligt 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Den föreslagna nya lagen ger myndigheter inom stort utrymme att behandla vissa typer av personuppgifter. Detta talar enligt vår bedömning för att Datainspektionen bör kunna förbjuda viss behandling om en begäran enligt 43 § inte ger tillräckligt underlag. Den nya lagen bör således hänvisa till 44 § när det gäller möjligheten att meddela förbud. I 45 § första stycket anges att Datainspektionen – om den konstaterar att personuppgifter behandlas felaktigt – ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse eller om saken är brådskande, får Datainspektionen vid vite förbjuda den person- uppgiftsansvarige att fortsätta att behandla personuppgifter på något annat sätt än att lagra dem. Det kan tyckas självklart att Datainspektionen vidtar de åtgärder som är rimliga för att få till stånd rättelse om inspektionen skulle finna brister i hanteringen av personuppgifter. En hänvisning till 45 § första stycket kan därför anses som onödig. Vi anser dock att det är av stort värde att den lag vi föreslår klart och tydligt visar att Datainspektionens kontrollfunktion är allvarligt menad. Ett sätt att visa detta på är att undanröja varje tvekan, såväl inom berörda myndigheter som hos den enskilde, om vilka instrument Datainspektionen har att tillgå i sin verksamhet. Vi anser mot bakgrund av det sagda och även med beaktande av vad som anförts ovan beträffande 44 § att en hänvisning bör göras till 45 § första stycket både när det gäller påpekanden och förbud. Som angetts ovan har Datainspektionen enligt både 44 och 45 §§ Författningsreglering av behandling av uppgifter möjlighet att förena ett förbud enligt respektive bestämmelse med vite. Enligt allmänna rättsgrundsatser bör vite inte användas mellan statliga myndigheter.11 Regeringen har med denna motivering i flera propositioner valt att inte ge Datainspektionen någon sådan möjlighet.12 Vi delar denna uppfattning och föreslår därför att ett förbud enligt 44 eller 45 § inte får förenas med vite. Detta medför att det i den nya lagen särskilt bör anges att ett förbud enligt 44 eller 45 § inte får förenas med vite. Vidare innebär det att lagen inte bör hänvisa till 45 § andra stycket och 46 §. Enligt 47 § person- uppgiftslagen har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Bestämmelsen har sin grund i och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) artikel 28.3, där det anges att varje nationell tillsynsmyndighet ska ha särskild befogenhet att inleda rättsliga förfaranden när de nationella bestämmelser som antagits till följd av direktivet har överträtts eller att uppmärksamma de rättsliga myndigheterna på dessa överträdelser. Denna bestämmelse bör enligt vår uppfattning gälla även i socialtjänstverksamheten. Skadestånd (48 §) Bestämmelserna i 48 § personuppgiftslagen om att den person- uppgiftsansvarige ska ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat ska tillämpas på motsvarande sätt vid behandling av personuppgifter i social- tjänstens verksamhet. Straff (49 §) Bestämmelsen i 49 § personuppgiftslagen föreskriver ansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Lagrådet har i tidigare lagstiftningsärende ansett att bestämmelsen enligt 11Jfr Lavin, Viteslagstiftningen – En kommentar, s. 34 ff. 12Se bl.a. prop. 2004/05:164 s. 54 och 2006/07:46 s. 105. Författningsreglering av behandling av uppgifter legalitetsprincipen inte kan ges motsvarande tillämpning beträffande överträdelser av bestämmelser i den föreslagna särlag- stiftningen.13 En hänvisning till 49 § personuppgiftslagen kan därför endast få den innebörden att ansvar inträder i händelse av överträdelser av de paragrafer i personuppgiftslagen som i övrigt ska gälla och som är straffsanktionerade. Med hänsyn till att bl.a. behandling av känsliga personuppgifter regleras särskilt i den föreslagna lagstiftningen kommer straff- bestämmelsen att urholkas, eftersom den blir tillämplig endast i ett fåtal fall. Vi anser därför att det inte föreligger något behov av en hänvisning till 49 § personuppgiftslagen. Det finns enligt vår mening heller inget behov av att införa separata straffbestämmelser i den föreslagna lagen.14 Överklagande (51 § första stycket, 52 § första stycket och 53 §) Bestämmelserna i 51 § första stycket, 52 § första stycket och 53 § personuppgiftslagen om överklagande ska tillämpas vid behandling av personuppgifter inom . 11.2.3Tillåtna ändamål för behandling av personuppgifter (7 § SoLPUL) Vårt förslag: I lagen ska anges för vilka ändamål behandling av uppgifter får ske. Uppgifter ska inte få behandlas för några andra ändamål än dessa. Inom , på lokal nivå, ska personuppgifter uteslutande få behandlas för 1.att handlägga ärenden som rör enskilda och för att dokumentera verkställighet av beslut om stödinsatser, vård och behandling, 2.att upprätta eller inhämta annan dokumentation som följer av lag, förordning eller annan författning, 3.systematisk och fortlöpande utveckling och säkring av verksamhetens kvalitet (kvalitetssäkring), 4.administration, planering, sammanställning av uppgifter i personakt, uppföljning och utvärdering av verksamheten, 2000/01:33 s. 346. 2000/01:33 s. 97. Författningsreglering av behandling av uppgifter 5.framställning av statistik, samt 6.att genomföra gemensam uppföljning, utvärdering och kvalitetssäkring med hälso- och sjukvård. Bestämmelser om för vilka ändamål uppgifter i statliga person- register får behandlas har en central roll i registerförfattningar. Genom att ange ändamålen och reglera vilka uppgifter som får registreras sätts en ram för hanteringen av uppgifterna upp. I detta sammanhang bör dataskyddsdirektivet och personuppgiftslagen uppmärksammas. Både dataskyddsdirektivet15 och personuppgifts- lagen har bestämmelser som anger att personuppgifter endast får samlas in för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med de för vilka uppgifterna samlades in (artikel 6.1 a och b i direktivet samt 9 § första stycket c och d [den s.k. finalitetsprincipen] i personuppgiftslagen). Bestämmelser om ändamål med behandlingen av uppgifter kan utformas på två principiellt olika sätt. Det ena innebär att lagen anger att uppgifter får samlas in enbart för vissa angivna ändamål och att senare behandling inte får ske för något ändamål som är oförenligt med de i lagen angivna ändamålen. Det andra sättet är att i lagen uttömmande ange de ändamål för vilka behandling får ske. Exempel på registerlagstiftning med uttömmande ändamål är bl.a. lagen (2001:185) om behandling av uppgifter i brottsbekämpande verksamhet, förslaget till ny polisdatalag i promemorian Behandling av personuppgifter inom polisens brottsbekämpande verksamhet (Ds 2007:43) samt åklagardata- utredningens förslag till ny lag om lag om åklagarväsendets brottsbekämpande verksamhet (SOU 2008:87). Det förra alternativet innebär förvisso en viss praktisk flexibilitet och har dessutom en förebild i personuppgiftslagen och flera andra registerlagar. I förarbetena till personuppgiftslagen16 har emellertid inte närmare preciserats vad som kan anses oförenligt med de ursprungliga ändamålen. Det skulle därför bli svårt att avgöra om denna förutsättning är uppfylld. Som en följd därav skulle det inte alltid gå att förutse vilken behandling som kan komma att ske. 1997/98:44. Författningsreglering av behandling av uppgifter Vi har i utredningen under 5.4.4. kap. redogjort för tidigare utredningar på området17 och deras diskussion avseende ändamåls- bestämmelsen i nu gällande lagstiftning på området. Socialdata- utredningen (SOU 1999:109) har i detta sammanhang bl.a. konstaterat att det inte var möjligt att i lagen uttömmande ange för vilka ändamål personuppgifter får behandlas inom och i stället föreslagit en annan lösning av problematiken, nämligen att det överlåts på de personuppgiftsansvariga att – inom en i lagen angiven ram – bestämma ändamålen med behandlingen. Vi har vid en jämförelse med andra registerförfattningar konstaterat att den nu gällande ändamålsbestämmelsen i lagen om behandling av personuppgifter inom (SoLPUL) skiljer sig från övriga registerförfattningar. Bl.a. härför föreligger skäl att utforma vår lag på ett likartat sätt som övriga register- författningar.18 Dessutom kan ifrågasättas om den nu gällande bestämmelsen uppfyller tillräckligt skydd för den enskilde ur ett integritetsperspektiv. Vi har i utredningen vidare under 5.4 kap. i detalj redogjort för ändamålsbestämning och finalitetsprincipen, frågan om primära och sekundära ändamål samt redogjort för olika exempel inom registerförfattningarna där regleringen av ändamålen varit uttömmande respektive ej uttömmande. Vi har särskilt beaktat förarbetena till patientdatalagen (2008:355), där (SOU 2006:82) i sitt betänkande resonerat i termer som så uttryckliga och uttömmande ändamål som möjligt och att det ligger i sakens natur att ändamålsbestämmelserna måste formuleras tämligen generellt när det gäller en särlag som reglerar flera olika slags vårdgivares behandling av personuppgifter i en så komplex , omfattande och mångskiftande verksamhet som är i fråga. Vidare har konstaterat att en detaljerad uppräkning av alla tänkbara personuppgiftsbehandlingar knappast låter sig göras och riskerar även att hämma utvecklingen av hälso- och sjukvårdens informationsförsörjning. I sammanhanget kan också påpekas att varken remissinstanser eller Lagrådet hade några invändningar i denna del avseende patientdatalagens ändamålsbeskrivning. 17Socialtjänstkommittén (SOU 1995:86) respektive (SOU 1999:109) 18Reformbehov i form av t.ex. ett samordnat och enhetligt regelverk hos register- författningarna har bl.a. förordats av Informationsutbytesutredning (SOU 2007:45). Författningsreglering av behandling av uppgifter Som tidigare angetts under 11.1 kap. har en utgångspunkt i utformningen av vårt förlag till ny SoLPUL varit att använda patientdatalagen som utgångspunkt, samt – på grund av verksamhetsområdenas närhet till varandra – försöka sträva efter att få till stånd en liknande utformad bestämmelse inom social- tjänstens område. Mot bakgrund av patientdatalagens utformning och då den nya SoLPUL ska gälla i fråga om uppgifter som, typiskt sett, är av integritetskänsligt slag är det enligt vår mening oförenligt med de befogade integritetsintressen som finns att låta en oprecis bestämmelse avgöra i vilken utsträckning senare behandling av uppgifterna är tillåten. Ökad tydlighet kommer också att underlätta för tillämparna. Lagen bör således uttömmande reglera även tillåtligheten av senare behandling av insamlade uppgifter. På samma sätt som i förarbetena till patientdatalagen kan det dock även i detta sammanhang konstateras att verksamheten inom socialtjänstområdet är minst lika komplex, omfattande och mångskiftande som inom hälso- och sjukvården, varför det även för nya SoLPUL:s del innebär att de termer, som vi föreslår i lagen ska beskriva de aktuella ändamålen, oundvikligen måste vara tämligen generellt utformade. Vi föreslår att inom , på lokal nivå, personuppgifter uteslutande ska få behandlas för 1.att handlägga ärenden som rör enskilda och för att dokumentera verkställighet av beslut om stödinsatser, vård och behandling, 2.att upprätta eller inhämta annan dokumentation som följer av lag, förordning eller annan författning, 3.systematisk och fortlöpande utveckling och säkring av verksamhetens kvalitet (kvalitetssäkring), 4.administration, planering, sammanställning av uppgifter i personakt, uppföljning och utvärdering av verksamheten, 5.framställning av statistik, samt 6.att genomföra gemensam uppföljning, utvärdering och kvalitetssäkring med hälso- och sjukvård. Författningsreglering av behandling av uppgifter Punkt 1: att handlägga ärenden som rör enskilda och för att dokumentera verkställighet av beslut om stödinsatser, vård och behandling. Med begreppet ärende menas i detta sammanhang detsamma som i förvaltningslagens (1986:223) samt 11 kap. 1 socialtjänstlagens (2001:453) mening. Ärendet ska avse enskilda och ska kunna föranleda någon åtgärd av nämnden. Punkten omfattar även dokumentation av verkställigheten av beslut. Punkt 2: att upprätta eller inhämta annan dokumentation som följer av lag, förordning eller annan författning. Punkten avser sådana fall då det utöver punkten 1 uppkommer en skyldighet för , som har stöd i lag, förordning eller annan författning, att exempelvis lämna ifrån sig uppgifter vilket i sin tur medför en särskild personuppgiftsbehandling. I en rad olika författningar förekommer skyldighet för att lämna ut uppgifter till myndigheter, domstolar etc. I allmänhet är det fråga om utlämnande av sådana uppgifter som uppkommer i ett ärende. I viss mindre utsträckning kan det dock vara nödvändigt med en särskild personuppgiftsbehandling där dokumentationen i stället utformas utifrån hur uppgiftsskyldigheten ska fullgöras. Det behövs därför ett särskilt ändamål härför. Punkt 3: systematisk och fortlöpande utveckling och säkring av verksamhetens kvalitet (kvalitetssäkring). I likhet med 2 kap. 4 § patientdatalagen tas begreppet kvalitets- säkring upp som en separat punkt i ändamålen. Angående kvalitetssäkring inom se 7.4 kap. Punkt 4: administration, planering, sammanställning av uppgifter i personakt, uppföljning och utvärdering av verksamheten, Härmed avses administration och planering på ett mer övergrip- ande plan, exempelvis att planera och dimensionera antalet omsorgsplatser, fördela anslag etc. Författningsreglering av behandling av uppgifter I punkten finns även angivet begreppet sammanställning av uppgifter i personakt, vilket ska läsas som sådana sammanställningar som görs i samband med administration och planering. Med dessa sammanställningar avses alltså sådant som upprättas inom bl.a. för att underlätta administrationen och vilka utgör ett slags register i mer inskränkt bemärkelse. Sammanställningarna, eller sammanställningsregister som de ibland kallas, används främst som stöd för handläggning, beslut och i samband med verkställigheten av besluten. Sistnämnda kan exempelvis genomförande av olika insatser, utbetalningar m.m. Med sammanställningar i detta sammanhang avses inte sådana pärmar som förvaras inom där uppgifter tagits emot med anledning av telefonsamtal, jfr 16 kap. Punkten omfattar även uppföljning och utvärdering av social- tjänsten, se 7 kap. Punkt 5: framställning av statistik Punkten avser framställning av statistik, se 6.6 kap. Punkt 6: att genomföra gemensam uppföljning, utvärdering och kvalitetssäkring med hälso- och sjukvård Punkten avser sådan gemensam uppföljning, utvärdering och kvalitetssäkring mellan och hälso- och sjukvården som anges i 9.5 kap. och 13.4 kap. I betänkande (SOU 1999:109) Behandling av personuppgifter inom anges att behandling av personuppgifter för forskningsändamål bör falla utanför lagens tillämpningsområde. I betänkandet (s. 146) har bl.a. redogjorts för begreppet forskning varvid hänvisats till betänkande (SOU 1997:39 Integritet – Offentlighet – Informations- teknik, s. 275 f.) och förarbetena till personuppgiftslagen (prop. 1997/98:44 s. 127). I sistnämnda förarbeten uttalade regeringen (a.a. s. 71) att vikten av att värna om forskningens frihet gör att det förefaller lämpligare att göra en avvägning i varje enskilt fall än att i Författningsreglering av behandling av uppgifter den nya lagen införa generella regler om vilken forskning och statistik som ska tillåtas. – Många av dessa olikartade forsknings- och statistikprojekt pågår som regel bara . Även Datalagskommitténs slutsats var att det måste göras en avvägning i varje enskilt fall (SOU 1997:39 s. 297). Socialdata- utredningen intog samma ståndpunkt i sitt tidigare nämnda betänkande. Samma bedömning gjordes i därpå följande förarbeten till lagen (2001:454) om behandling av personuppgifter inom (prop. 2000/01:80 s. 138). Vi har vid våra överväganden inte funnit skäl att göra en annan bedömning än den som framgår av förarbetena ovan. Vi anser därmed, på de skäl som tidigare angivits i nämnda förarbeten, att den nya lagen inte ska omfatta ändamålet forskning. Behandling för sådant ändamål bör därför falla utanför lagens tillämpningsområde. Vid behandling av personuppgifter för forskning gäller i stället personuppgiftslagens (1998:204, PUL) regler. Däri stadgas att personuppgifter i princip alltid får behandlas om den registrerade lämnat sitt samtycke. Om samtycke inte har lämnats krävs, enligt 10 § PUL, att behandling är nödvändig för forskning. Det är inget som hindrar att de uppgifter som samlats in för att exempelvis myndigheter ska kunna utföra sina arbetsuppgifter inom även används för forskningsändamål. Av 9 § andra stycket PUL följer att behandlingen för historiska, statistiska och vetenskapliga ändamål inte ska anses oförenlig med det ändamål för vilka uppgifterna ursprungligen samlades in. I 19 § första, andra och tredje styckena PUL regleras när känsliga personuppgifter får behandlas utan uttryckligt samtycke för bl.a. forskningsändamål. Lagen (2003:460) om etikprövning av forskning som avser människor reglerar i sak när känsliga personuppgifter får behandlas utan uttryckligt samtycke för forskningsändamål och när personuppgifter får lämnas ut till forskningsprojekt. 11.2.4Personuppgiftsansvaret (8 § SoLPUL) Vårt förslag: Den som bedriver socialtjänst ska vara person- uppgiftsansvarig för den behandling av personuppgifter som utförs eller ska utföras. Författningsreglering av behandling av uppgifter Av 3 § personuppgiftslagen följer att det är den personuppgifts- ansvarige som ensam eller tillsammans med andra bestämmer ända- målen med och medlen för behandling av personuppgifter. I registerförfattningar är det vanligt att på ett tydligt sätt peka ut vem som är ansvarig för den behandling som regleras i de särskilda författningarna. Vi anser att det är lämpligt att göra så även i den nya lagen. Personuppgiftsansvaret bör utformas så att den som bedriver socialtjänst ansvarar för den behandling av uppgifter som utförs eller som det åligger denna, exempelvis socialnämnden, att utföra. På det sättet markeras att det finns ett ansvar inte endast för att utförd behandling är korrekt, utan även för att behandling faktiskt utförs när den ska ske. Med begreppet ska utföras menas det som åligger den personuppgiftsansvarige att utföra inom verksamheten. 11.2.5Behandling av känsliga uppgifter (9 § SoLPUL) Vårt förslag: Uppgifter om en person ska inte få behandlas enbart på grund av vad som är känt om personens ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse, medlemskap i fackförening, hälsa eller sexualliv (känsliga personuppgifter). Om uppgifter behandlas på annan grund ska de dock få kompletteras med känsliga personuppgifter, när det är absolut nödvändigt för syftet med behandlingen. Utan hinder vad som sägs ovan får sådana uppgifter behandlas om de förekommer i en ansökan, anmälan eller i övrigt i en handling som kommer in i verksamheten. Vid behandling av uppgifter intar känsliga personuppgifter en särställning. Enligt 13 § personuppgiftslagen (1998:204) är det i princip förbjudet att behandla känsliga personuppgifter utan enskildas samtycke. Med känsliga personuppgifter avses uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religiösa eller filosofiska övertygelse eller medlemskap i fack- förening samt uppgifter som rör hälsa eller sexualliv. I 14–20 §§ PUL (se kap. 4.7.2 ovan) anges vissa generella undantag från förbudet mot att behandla känsliga personuppgifter. Författningsreglering av behandling av uppgifter I en nu gällande regleringen om känsliga personuppgifter inom , 7 § lagen (2001:454) om behandling av person- uppgifter inom (SoLPUL ), anges bl.a. att social- nämnden får behandla känsliga personuppgifter som – enligt p. 2 – avses i 13 § PUL och – enligt p. – uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. I sista stycket i samma paragraf anges dock att personuppgifter enligt första stycket får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. har i sitt betänkande (SOU 1999:109; Behandling av personuppgifter inom , s. 165) konstaterat – bl.a. genom samtal som utredningen har haft med företrädare för ett antal olika myndigheter inom – att det inom finns ett behov av att behandla i stort sett alla slags uppgifter, från harmlösa personuppgifter till sådana uppgifter som kan betraktas som mycket integritetskänsliga. I annat fall skulle, enligt , inte kunna fullgöras på ett tillfredställande sätt. – Det råder inget tvivel om att det från integritetssynpunkt skulle vara en fördel om det i lagtexten på ett konkret sätt kunde anges vilka personuppgifter som får behandlas inom . har emellertid bedömt det som i praktiken omöjligt att göra så.