sou · GXB375 · 2010-01-01 00:00:00 — Även inom landstingens verksamhet konstaterades att samma problematik gällde som inom de kommunala förvaltningarna, det vill säga att sådan landstingsverksamhet som inte är hälso- och sjukvård kunde sakna en sekretessbestämmelse som omfattar den enskildes personuppgifter. genomförde Datainspektionen fältinspektioner hos kommunala nämnder i åtta kommuner. Inspektionerna påvisade brister bland annat när det gällde hantering av sekretessmarkerade personuppgifter. Datainspektionen genomförde därför och början av 2004 ett tillsynsprojekt för att närmare kontrollera hur personuppgifter behandlas hos kommunernas social- och miljönämnder. Inom ramen för kontrollen inspekterades nio miljö- nämnder och tio socialnämnder med besök på plats. Vidare fick 100 slumpmässigt utvalda miljö- och socialnämnder i hela landet skriftligen besvara ett antal frågor i en enkät. Samtliga svarade på enkäten. Därefter gjordes en uppföljande inspektion hos tio av de nämnder som hade besvarat enkäten. Totalt har Datainspektionen kontrollerat behandlingen av personuppgifter i 119 nämnder. Enligt Datainspektionens iakttagelser förekom det att en adress med sekretessmarkering blev synlig för alla handläggare men med en markering om att adressen var skyddad. Vissa nämnder förde inte in adressen i ärendehanteringssystemet. De flesta handläggarna hade åtkomst till de sekretesskyddade uppgifterna. Det förekom dock att åtkomsten var begränsad till ett fåtal personer. Datainspektionen fann att en tredjedel av socialnämnderna saknade rutiner för hur de skulle hantera sekretessmarkerade uppgifter, vilket befanns anmärkningsvärt. I vissa nämnder hade alla hand- läggare åtkomst till sekretessmarkerade adresser. Datainspektionen ansåg att nämnderna borde ta fram rutiner för hur sekretessmar- kerade personuppgifter ska hanteras och att inte fler handläggare än vad som är absolut nödvändigt ska ges åtkomst till sekretess- markerade uppgifter. Datainspektionen ansåg det vara mycket olämpligt att adressen syns i kommuninvånarregistret eller ärende- hanteringssystemet med åtkomst för alla handläggare.10 Datainspektionen genomförde vidare ett tillsynsprojekt och granskade den personuppgiftsbehandling som utförs inom sjukvården, framför allt vid sjukhusen. 10 Datainspektionens rapport 2004:1, Behandling av personuppgifter hos social- och miljö- förvaltningen s. 20. tionen inspekterade sju landsting och en landstingsfri kommun. Datainspektionen gjorde inte någon djupgående granskning av hanteringen av sekretessmarkerade personuppgifter inom sjuk- vården, men redogjorde ändå för vad som kommit fram, eftersom inspektionen menade att frågan är av stor vikt. Datainspektionen fann exempel på att man använde sig av grupplösenord för åtkomst till befolkningsregistret, i vilket finns uppgifter med sekretess- markering. Detta fann inspektionen inte vara godtagbart. Rutinerna för att hantera patienters skyddade personuppgifter varierade. Även om interna regler fanns förekom det att personalen inte kände till dem. I vårdregistren registrerades vanligtvis namn och personnummer till de personer som hade sekretessmarkerade personuppgifter. Det var således möjligt att se att en namngiven person hade bokat tid på en viss mottagning en viss dag. Det före- kom att anställda ansåg att de kunde lämna ut den uppgiften. Vissa landsting valde att hantera uppgifter om personer med sekretess- markering manuellt. Enligt Datainspektionens uppfattning var det oroväckande att det fanns brister i hanteringen av sekretess- markerade uppgifter. Landstingen måste ha tydliga rutiner för hur sekretessmarkerade personuppgifter ska hanteras. De rutiner som finns måste vara kända i verksamheten så att all personal som kan tänkas komma i kontakt med uppgifterna vet hur de ska hanteras.11 rutiner för att tillhandahålla myndigheter och andra uppgifter om personer med sekretessmarkering samt verkets egen hantering av personer med sekretessmarkering redogör vi för i avsnitt 13. Utöver att tillhandahålla andra uppgifter kan Skatte- verket hjälpa personer som har en sekretessmarkering att förmedla post till dem. För att så ska ske måste den som har en sekretess- markering själv kontakta de olika personer/organisationer som skickar post till denne och meddela att han eller hon vill att post skickas via . De som har sekretess- markering är överlag mycket oroliga, de är rädda för att vara för- följda eller för att skyddet ska förstöras. Att posten då fungerar på ett bra sätt ger för dem en stor känsla av trygghet. Personer som har är kvarskrivna har sin adress till och får därför all sin post förmedlad via . 11 Datainspektionens rapport 2005:1, Ökad tillgänglighet till patientuppgifter s. 15 f. Den som ska skicka post till en person med sekretessmarkering och som vill anlita skickar sin för- sändelse till vilket som helst av de av kontor som hanterar skyddade personuppgifter (förmedlingskontor). Alla för- medlingskontor förmedlar post över hela landet. Myndigheter bestämmer själva utifrån sina egna rutiner, om de ska använda förmedlingen eller använda den korrekta adressen som de har till- gång till. Myndigheter måste anlita förmedlingen bara när det gäller kvarskrivna. Företag och enskilda som inte av den enskilde själv fått den korrekta adressen måste anlita förmedlingen både för personer med sekretessmarkering och kvarskrivna. I normalfallet skickar vidare en försändelse som har inkommit för förmedling . Försändelserna skickas alltid med a-post. Vid arbetstoppar, som exempelvis vid års- skiftet när många försändelser med deklarationsunderlag skickas ut, kan det ta upp emot . förmedlar omkring 500 000 försändelser per år.12 Försändelsen som skickas till ska ha mottagarens personnummer angivet på kuvertet. Adressen till dem som har sekretessmarkering får handläggarna fram genom att söka på personnumret i folkbokföringsdatabasen. Adressen till dem som är kvarskrivna finns inte lagrad datoriserat, utan i ett manuellt register. När försändelsen skickas vidare läggs den i egna kuvert, med förmedlingsenhetens avsändaradress. Att denna avsändaradress är angiven är viktigt. Om ett brev kommer i retur ska det därmed enligt posthanteringsrutiner inte öppnas av postöppningen utan går oöppnat till postförmedlingen. Vid våra kontakter med har bland annat följande problem påtalats när det gäller postförmedlingen. Det förekommer att försändelsen når personen med skyddade personuppgifter först . Det beror i många fall på att avsändaren hanterar försändelsen felaktigt. Om det fel på de försändelser som kommer till blir verket tvunget att skicka tillbaka försändelsen till avsändaren med information om vad som är fel. Verket öppnar aldrig några försändelser och förmedlar aldrig några icke förslutna försändelser. Felen kan exempelvis bestå i att det bara står ett namn angivet och att personnumret saknas, eller att endast födelsetid anges. 12 Källa: . då inte utreda vilken person som avses returneras förändelsen till avsändaren. Även om det går att fastställa vem som avses medför detta merarbete och därmed förseningar. Ett annat fel kan vara att försändelsen till mottagaren inte är försluten. Då skickar alltid tillbaka försändelsen till avsändaren med uppmaningen att försluta brevet. Det förekommer också att exempelvis sjukvården skickar kallelser och till och med provsvar till flera olika personer i samma kuvert – i dessa fall returneras också försändelserna till avsändaren. Vidare förekommer att de delar av sjukvården som använder alias för sina patienter ibland glömmer bort att på försändelsen skriva ut det verkliga person- numret i stället för det fiktiva. får de försändelser som är till personer vars sekretessmarkering redan har upphört, i vissa fall . Vissa stora organisationer, som exempelvis större sjukhus, skriver som returadress endast sjukhusets namn och inte vilken avdelning som försändelsen kommer från. Detta medför att om försändelsen måste skickas i retur till avsändaren kommer den till den allmänna postöppningen vid sjukhuset vilket innebär att en person i postöppningen, som inte har behörighet att se de sekretessbelagda uppgifterna, får se dem ändå. Det är därför viktigt att den avsändande enheten inom organisationen kuvertet. Ett annat problem är att vissa företag tycks ha datorsystem som är konstruerade så att om en person som i och för sig inte har skyddade personuppgifter har en ofullständig adress registrerad hos företaget, uppfattas detta av datorsystemet som att personen har skyddade personuppgifter och brevet skickas då till för förmedling. hanterar varje försändelse manuellt och får därmed lägga ned betydande arbete på att konstatera att personen i fråga inte har något skydd, varefter försändelsen returneras till avsändaren. Många företag tycks samla ihop försändelser som ska gå till för förmedling och skickar dem till bara en eller . Detta medför också förseningar för mottagaren. Så är fallet inom vissa delar av sjukvården. Det före- kommer att sjukvården skickar kallelser till läkarbesök som redan har varit när försändelsen når mottagaren. Detta medför att patienten får betala en avgift för uteblivet besök. ägnar mycket tid åt att träffa avsändare som ofta nyttjar förmedlingstjänsten och informerar då om hur rutinerna är. Avsändarna uppmanas då ofta att flytta fram förfallodagen på fakturor , för att mottagaren ska slippa försenings- avgifter. Om man som avsändare vill använda sig av post- förmedling ska man göra så här: Lägg den handling som ska skickas i ett kuvert som försluts. Skriv personens namn och fullständiga personnummer på kuvertet. Skriv ett meddelande till att man vill att de förmedlar brevet. Lägg det förslutna kuvertet och meddelandet i ett annat kuvert och skriv utanpå adressen till något av de skattekontor som hanterar skyddade personuppgifter. får uppgifter genom aviseringar från Skatte- verket och uppdaterar omgående sina register. Endast sekretess- markeringar som aviseras från förs in. Enda undan- taget är att om det kommer en avisering om en sekretessmarkering avseende en person som är mottagare av barnbidrag eller under- hållsstöd och det saknas sekretessmarkering på mottagarens barn, sekretessmarkerar själv även alla mottagarens barn. förde vid behov in sekretess- markeringar i sina register efter ansökan från en enskild. Man upp- hörde med det bland annat för att det kan ge en falsk trygghet, om den som markeringen avser får uppfattningen att uppgifterna därmed är skyddade hos alla myndigheter. hade alla handläggare tillgång till uppgifter som hade en sekretessmarkering och det fanns en markering på skärmbilden som visade att det rörde sig om sådana uppgifter. Då var avsikten att skydda sig endast mot misstag. Efter en allvarlig händelse då en anställd medvetet lämnade ut adresser med sekretessmarkering har man sedan omkring i stället som mål att skydda sig både mot misstag och mot illvilja hos en anställd. har endast ett begränsat antal handläggare med särskild behörighet möjlighet att se de uppgifter som rör personer med sekretessmarkering eller annat skydd och det är också dessa som handlägger alla ärenden där en person med sekretessmarkering förekommer. Om en person som har en sekretessmarkering kontaktar kundcenter med en fråga eller ett ärende ser handläggaren inga uppgifter alls om personen när personnumret matas in, inte ens namnet. Personen blir i stället kopplad till en särskild handläggare inom telefonkundtjänsten med behörighet att se uppgifter med sekretessmarkering. De självbetjäningstjänster som har kan personer med sekretessmarkering inte använda sig av. Kassan har gjort bedömningen att dessa personer är beredda att acceptera en något lägre servicenivå för att säkerställa att deras skydd bevaras väl. De får i stället använda sig av blanketter. Alla blanketter som skickas till kommer till kassans inläsningscentral. Där skannas blanketterna in. Därefter skickas blanketten elektroniskt till en handläggare. Datorn läser personnumret och känner av om personen har sekretessmarkering. Blanketter som rör personer med sekretessmarkering skickas automatiskt till handläggare som har behörighet att handlägga dessa ärenden. Personalen vid inläsningscentralen skulle kunna notera en adress med sekretessmarkering. Men arbetstempot är högt och blanketterna är inte sökbara, så har bedömt att detta system är mer säkert än om blanketterna som rör personer med sekretessmarkering skulle skickas till en särskild inläsningscentral, eftersom hotbilden mot denna central då skulle öka betydligt. skickar brev till personer med sekretess- markering till deras folkbokföringsadress och använder sig inte av Skatteverkets förmedlingstjänst. Eftersom en stor del av kassans post skickas automatiserat och ingen människa därmed behöver ha tillgång till eller se adresserna, har gjort bedöm- ningen att denna rutin inte medför någon ökad risk. För brev- bäraren som delar ut brevet torde rimligen adressen till personen med sekretessmarkering redan vara känd. Skrivelser som skickas maskinellt från inne- håller inte, sedan kassan omorganiserades och består av en enda myndighet, någon uppgift om handläggande kontor. Det enda som framgår är samt telefonnummer till den centrala kundtjänsten och adressen till kassans hemsida. I ärenden som rör underhållsstöd skickas en skrivelse till den underhållsskyldige. Av denna skrivelse framgår aldrig boförälderns och barnets adress, endast barnets namn och personnummer samt boförälderns namn. Om en sekretessmarkering finns anges inte något namn och inte barnets personnummer, endast födelsedatum. har inte noterat något större missnöje från personer med sekretessmarkering över att de får något sämre service och att handläggningen blir något krångligare för dem. Tvärtom är kassans uppfattning den att det viktigaste för dessa personer är att deras skydd bevaras. Kommunerna aviseras från och dessa uppgifter förs in i kommunens invånarregister. Personer som har sekretessmarkering förekommer endast med personnummer och namn i dessa register, adressen syns inte. Genom att personen är registrerad i invånarregistret man får emellertid ändå fram informa- tion om att personen finns inom kommunen, och redan den uppgiften kan i vissa fall leda till men för den registrerade. I stora kommuner lär detta troligen inte vara något problem, men det kan vara det i de mindre kommunerna. När ett barn ska registreras inom barnomsorgen eller skolan registreras inte adressen om en sekretessmarkering finns. På den aktuella förskolan eller skolan har personalen adress och andra kontaktuppgifter till dessa barn och deras föräldrar, men dessa uppgifter förvaras manuellt. I registret registreras dock i vilken förskola/skola barnet är inskrivet. Inom är det mellan 1 500 och 2 000 personer som har behörighet att titta i registret och som därmed kan se exempelvis var ett barn går i skola. Detta kan vara en uppgift som är riskabel att lämna ut. Tieto, som levererar systemet till stad har därför lanserat en tilläggsmodul, vilken innebär att man kan ge vissa personer speciella behörigheter att se personer med sekretessmarkering, så att personer utan behörighet inte kan se något alls beträffande dessa. Då kan man begränsa antalet personer med tillgång till dessa uppgifter till omkring 250 stycken. Personer med sekretessmarkering kan inte använda sig av de e-tjänster som finns. har gjort en kartläggning av rutiner i sju lands- ting/regioner: Resultatet redovisas i en rapport som också inne- håller förslag till åtgärder.13 I denna kartläggning har bland annat följande framkommit. I sjukvårdens vårdadministrativa system är generellt län, kommun och församling fiktivt kodade på patient med skyddade personuppgifter. I fyra landsting/regioner registreras identiteten för kvarskrivna patienter med reservnummer (dagens datum + fyra tecken) och för spärrmarkerade (sekretesskyddad adress) med personnummer. Oav- sett vilket personuppgiftsskydd patienten har är adress, län, kommun och församling fiktivt kodade. Dessa fyra landsting saknar skriftliga rutiner för motsvarande hantering av anställdas personuppgiftsskydd. En region har som huvudregel att IT-systemen oavsett person- uppgiftsskydd endast visar personnummer tillsammans med adressen till skattekontoret/förmedlingsuppdrag avseende patienter. Ett sjuk- hus inom regionen har tagit fram rutiner för personal med person- uppgiftsskydd, där den anställde förses med aliasuppgifter i sjukhusets system och själv avgör om han/hon vill vara synlig i systemen, veder- börandes personnummer förvaras inlåst hos utsedd person. Ett landsting står i begrepp att införa riktlinjer för patienter och har som intention att personnummer och förmedlingsuppdragsadress ska registreras/visas på kvarskrivna patienter. I ett landsting registreras/visas personnummer och namn på kvar- skriven patient medan adressfältet är avmarkerat och uppgift om ´skyddad identitet´ framkommer på annat ställe. Överlag utnyttjar vårdgivare inom landstingsvärlden för- medlingsuppdrag. Av här undersökta sju landsting skiljer sig hanter- ingen kring kvarskrivna beroende på om man valt personnummer- eller reservnummerregistrering. Används reservnummer kan Skatteverkets förmedlingsuppdrag inte utnyttjas, patienten får då själv kontakta sjukvården för inhämtande av information. Kontakt med Skatteverkets förmedlingsuppdrag i våren- 2006 för genomgång av frågor och rutiner visar att sjukvården i södra regionen inte alltid lever upp till sina egna riktlinjer. Man har t.ex. funnit att försändelser kan vara helt oskyddade utan innerkuvert, ej försedda med personnummer alternativt försedda med sjukvårdens reservnummer eller adresserade till närmaste lokala skattekontor i stället för närmaste regionala förmedlingsskattekontor. 13 Särskilt skydd av personuppgifter i HoS vid förföljelse – rapport med synpunkter och förslag till åtgärd, , , s. 7. Det finns skäl anta att motsvarande problem/avvikelser i för- sändelser med sjukvården som avsändare kan förekomma även vid övriga förmedlingsskattekontor i landet. Vi har också sammanträffat med företrädare för och . Därvid har framkommit bland annat följande. Reservnummer används bland annat för personer som beviljats kvarskrivning, men inte för dem som har sekretessmar- kering. Användningen av systemen inom landstingen är dock behörighetsstyrd så att den anställde inte ska få tillgång till fler uppgifter än som är nödvändigt för arbetet. De flesta landsting loggranskar dessutom vilka som haft tillgång till uppgifter om patienter med skyddade personuppgifter. har valt att ta emot skyddade personuppgifter från folkbokföringen. Dessa förs in i befolkningsregister- system. Det är endast en person som kan se dessa uppgifter i detta system. Vidare har ett antal olika vårdsystem som är kopplade till befolkningsregistersystemet. Dessa vårdsystem är exempelvis röntgensystem, laboratoriesystem, operationsplanering, tandvårdssystem, sjukreseplanering. har tre eller fyra stora journalsystem, men det pågår ett arbete med att föra ihop dessa till ett stort journalsystem, VAS. För varje vårdsystem gör man en bedömning om det har tillräckliga möjligheter att hantera skyddade personuppgifter innan man bestämmer om systemet ska få hantera sådana uppgifter. Den som har behörighet att se uppgifter exempelvis i journal- systemet kan också se uppgifter beträffande en person som har skyddade personuppgifter. Exempelvis kan det i ett visst vård- system fungera så att innan de skyddade uppgifterna visas kommer det på skärmen upp ett meddelande om att personen har skyddade personuppgifter, din sökning kommer att loggas, vill du fortsätta?. I de flesta system raderas dock uppgiften om adressen, i stället ser man adressen till . Endast person- nummer och namn visas utöver det. Domstolarnas målregister, , ska enligt praxis inte innehålla några sekretessbelagda uppgifter, eftersom dessa register ska vara tillgängliga även för allmänheten. Om exempelvis en parts namn omfattas av sekretess bör parten registreras i målregistret endast med beteckningen sekretess.14 Det är respektive domstols ansvar att se till att reglerna i offentlighets- och sekretesslagen följs. kan inte beordra domstolarna eller dess beslutsfattare att hantera skyddade uppgifter på särskilt vis. Det varierar från domstol till domstol om sekretessmarkerade uppgifter förs in i eller inte. En sekretess- markering hos innebär inte att uppgifterna auto- matiskt ska ha en sekretessmarkering i domstolens register. Det är inte givet att en sekretessmarkering utgör en sådan särskild anled- ning som krävs i 22 kap. 1 § offentlighets- och sekretesslagen för att en uppgift ska omfattas av sekretess.15 Det är vidare svårt att veta om en uppgift omfattas av sekretess eller inte, eftersom dom- stolen inte vet vilken av uppgifterna i Navet som sekretess- markeringen avser. togs en ny version av i bruk, där dom- stolen kan söka efter uppgifter avseende en person direkt i Navet. När en ny person ska registreras i domstolens register söker man efter adress och andra uppgifter i Navet. Om personen har en sekretessmarkering hos står det sekretess intill uppgifterna i Navet. Handläggaren kan välja att registrera de upp- gifter som finns i Navet och slipper då att manuellt skriva in exempelvis personens adress – uppgifterna från Navet fylls i auto- matiskt i fälten. Uppgiften om sekretess kan dock inte föras in i domstolens register. Vill handläggaren att exempelvis en adress inte ska registreras får man i stället i detta läge välja att manuellt ta bort adressen. I stället för att lägga in uppgifterna från Navet kan man välja att sekretessbelägga aktören; då registreras inga uppgifter om personen, inte heller namn och personnummer. Detta görs främst i sexualbrottmål och liknande, men det varierar mellan dom- stolarna hur vanligt det är att denna funktion används. 14Heuman m.fl., Sekretess m.m. hos allmän domstol – en handbok, 2:a uppl. 2007, s. 26 och s. 30. 15Angående vilka bestämmelser i den numera upphävda sekretesslagen (1980:100) som de bestämmelser i offentlighets- och sekretesslagen som omnämns i detta betänkande mot- svaras av, se not 1 i kapitel 12. Det förekommer att en part själv ger in sin adress till domstolen och uppger att han eller hon har en sekretessmarkering i folkbokföringsdatabasen. Om domstolen då kontrollerar adressen i Navet uppkommer frågan om adressuppgiften härrör från Navet (varvid 22 kap. 1 § offentlighets- och sekretesslagen tillsammans med bestämmelsen om överföring av sekretess i 43 kap. 2 § nämnda lag blir tillämplig) eller från parten (vilket medför att sekretessen i 22 kap. 1 § offentlighets- och sekretesslagen inte överförs, utan sekretessbestämmelsen i 21 kap. 3 § offentlighets- och sekretess- lagen blir tillämplig). Denna oklarhet utgör ett problem för dom- stolarna. Skaderekvisitet i 21 kap. 3 § offentlighets- och sekretesslagen är strängare än det som finns i 22 kap. 1 § nämnda lag. Detta medför att om en enskild som har en sekretessmarkering i folkbokförings- databasen lämnar in exempelvis sin adress till domstolen kan man inte med stöd av sekretessmarkeringen utgå från att adressen omfattas av sekretess. Enligt kommentaren till sekretesslagen avseende 21 kap. 3 § är det parten som har att informera domstolen om att det finns en sekretessmarkering i folkbokföringsdatabasen. Detta kan ske exempelvis genom att den enskilde ger in en kopia av beslut om sekretessmarkering. Om så inte sker har, enligt Dom- stolsverkets mening, domstolen inte någon skyldighet att under- söka om någon sekretessmarkering finns. Transportstyrelsen, som bland annat förvaltar vägtrafikregistret, som förser samhället med uppgifter om fordon, körkort och yrkes- trafik, aviseras uppgifter från . Endast ett fåtal per- soner inom Transportstyrelsen har åtkomst till de fullständiga upp- gifterna om personer med sekretessmarkering. Övriga handläggare ser bara personnumret och uppgiften skyddade uppgifter.