sou · GXB396 · 2010-01-01 00:00:00 — b)den registrerades eller någon annans vitala intressen ska kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller c)rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras. Undantag från kravet på uttryckligt samtycke gäller även vid behandling inom ideella organisationer (17 §) och inom hälso- och sjukvården (18 §). Vidare finns ett undantag som gäller behandling av känsliga personuppgifter inom området för forskning och för statistikän- damål (19 §). Enligt 20 § får regeringen eller den myndighet som regeringen bestämmer meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. En annan kategori av personuppgifter som har reglerats särskilt är uppgifter om lagöverträdelser. I 21 § sägs att det är förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträ- delser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Dock har regeringen eller den myndighet som regeringen bestämmer bemyn- digats att meddela undantag från detta förbud. Vidare får reger- ingen i enskilda fall besluta om undantag. Regeringen får också överlåta åt tillsynsmyndighet att fatta sådana beslut. Enligt artikel 8.7 i dataskyddsdirektivet ska medlemsstaterna bestämma på vilka villkor ett nationellt identifikationsnummer eller något annat vedertaget sätt för identifiering får behandlas. Direkti- vet innebär alltså att det i måste finnas en reglering för användningen av personnummer. Däremot innehåller direktivet inte några bestämmelser om hur denna reglering ska se ut. Vid personuppgiftslagens införande valde man att i princip oförändrade föra över reglerna om användning av personnummer i den dåva- rande datalagen (1973:289) till den nya lagen (prop. 1997/98:44 s. 76 f.). Därmed gäller fortfarande att personnummer får behand- las utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av säker identifiering eller något annat beaktansvärt skäl (22 §). Information till den registrerade Personuppgiftslagen skiljer på två olika slag av information till den registrerade; information som ska lämnas självmant av den person- uppgiftsansvarige och information som ska lämnas efter ansökan. Om uppgifter om en person samlas in från personen själv ska enligt 23 § den personuppgiftsansvarige i samband därmed själv- mant lämna information om den behandling man avser att företa. Även om uppgifter har samlats in från någon annan än den registre- rade ska den personuppgiftsansvarige självmant lämna information (24 §). I detta fall behöver informationen dock lämnas först när uppgifterna registreras. Om uppgifterna är avsedda att lämnas till tredje man, behöver information inte ges förrän uppgifterna lämnas ut . Det finns dock undantag från skyldigheten enligt 24 § att själv- mant lämna information. Den information som lämnas enligt 23 och 24 §§ ska omfatta uppgift om den personuppgiftsansvariges identitet, ändamålet med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen (25 §). Som exempel på sådan information nämns mottagarna av uppgifterna, samt skyldig- het att lämna uppgifter och rätten att ansöka om information och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till. Enligt 28 § är den personuppgiftsansvarige skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana person- uppgifter som inte har behandlats i enlighet med personuppgifts- lagen eller i enlighet med föreskrifter som har meddelats med stöd av lagen. Rättelseskyldigheten innefattar också underrättelse till tredje man. I personuppgiftslagen finns i 29 § en bestämmelse som reglerar vad som gäller i fråga om s.k. automatiserade beslut. Bestämmelsen avser beslut som grundas enbart på sådan automatiserad behandling av personuppgifter som är avsedda att bedöma egenskaper hos den berörda personen. Med egenskaper avses här personliga egenskaper såsom arbetsprestationer, kreditvärdighet, pålitlighet och uppträ- dande (prop. 1997/98:44 s. 88). Om ett sådant beslut har rättsliga följder för en fysisk person eller annars har märkbara verkningar för denne, ska den som berörs av beslutet ha möjlighet att på begä- ran få beslutet omprövat. Överföring av personuppgifter till tredje land Enligt 33 § personuppgiftslagen är det som huvudregel förbjudet att till tredje land (dvs. ett land som varken ingår i EU eller är anslutet till EES-samarbetet) föra över personuppgifter som är under behandling, om landet inte har en adekvat nivå för skyddet av personuppgifter. Detsamma gäller vid överföring av personupp- gifter för behandling i tredje land. Förbudet gäller i princip alla slag av personuppgifter och är alltså inte begränsat till exempelvis kate- gorierna känsliga uppgifter eller uppgifter om lagöverträdelser Enligt 36 § gäller som huvudregel att behandling av personuppgif- ter som är helt eller delvis automatiserad omfattas av anmälnings- skyldighet. Regeringen eller den myndighet som regeringen bestämmer får dock meddela föreskrifter om undantag från anmäl- ningsskyldigheten för sådana typer av behandlingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integ- riteten. Sådana föreskrifter har meddelats bl.a. för behandlingar som utförs till följd av bestämmelserna i 2 kap. TF om utlämnande av allmän handling eller som utförs av arkivmyndighet till följd av bestämmelser om arkiv i lag eller förordning. Undantag från anmälningsskyldigheten gäller också behandlingar som i andra fall följer av lag eller förordning. Bestämmelser om tillsynsmyndighetens, dvs. Datainspektionens, befogenheter finns i 43–47 §§ personuppgiftslagen. Dessa befogen- heter innebär att Datainspektionen har rätt att på begäran få a)tillgång till de personuppgifter som behandlas, b)upplysningar om och dokumentation av behandlingen av per- sonuppgifter och säkerheten vid denna samt c)tillträde till sådana lokaler som har anknytning till behand- lingen av personuppgifter (43 §). Om en begäran enligt 43 § inte leder till ett tillräckligt underlag eller man konstaterar att uppgifter behandlas eller kommer att behandlas på ett olagligt sätt har Datainspektionen möjlighet att vid vite förbjuda annan behandling än lagring (44 och 45 §§). kan också ansöka hos länsrätt om att personuppgifter som behandlats på ett olagligt sätt ska utplånas om det inte är oskäligt (47 och 48 §§). Enligt 48 § ska den personuppgiftsansvarige ersätta den registre- rade för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med personuppgifts- lagen har orsakat. Om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne, kan ersättningsskyldigheten jämkas i den utsträckning det är skäligt. Till böter eller fängelse döms enligt 49 § den som uppsåtligen eller av grov oaktsamhet a)lämnar osann uppgift i information eller anmälan enligt lagen, b)behandlar personuppgifter i strid med bestämmelserna om känsliga personuppgifter eller uppgifter om lagöverträdelser m.m., c)för över personuppgifter till tredje land i strid med 33–35 §§, d)låter bli att göra en anmälan om behandling till tillsynsmyndig- heten, e)behandlar sådana personuppgifter som avses i 13 och 21 §§ i strid med 5 a § andra stycket, eller f)i strid med 5 a § andra stycket för över personuppgifter till tredje land som inte har en sådan adekvat nivå för skyddet av personuppgifterna som avses i 33 §. Om brottet är grovt är straffet fängelse i högst . Enligt 51 § får tillsynsmyndighetens beslut enligt personuppgifts- lagen överklagas hos allmän förvaltningsdomstol. I 21 kap. 7 § offentlighets- och sekretesslagen finns ett allmänt sekretesskydd för personuppgifter. Det gäller om det kan antas att ett utlämnande skulle medföra att uppgifterna behandlas i strid med personuppgiftslagen. Bestämmelsen ska tillämpas vid alla utlämnanden av personuppgifter från en myndighet och inte enbart vid utlämnanden från myndigheternas personregister. 13.3.3Behandling av personuppgifter inom socialförsäkringens administration För att ska ha underlag för beslut om ersättning måste uppgifter om en enskilde hämtas in, antingen från andra myndigheter eller organ, eller från den enskilde själv. Detta innebär att hanterar stora mängder information om enskilda. Uppgifter som lämnas till behandlas i register som används för att handlägga socialförsäkringsförmåner. Det finns ett tjugotal s.k. socialförsäkringsregister som Försäk- ringskassan ansvarar för, vilka tillsammans utgör socialförsäkrings- databasen. Inom socialförsäkringens administration, med vilket menas och () handläggning av förmåner, hanteras stora mängder uppgif- ter om nästan hela befolkning. Många av dessa uppgifter är s.k. känsliga personuppgifter om exempelvis hälsa. Inom socialför- säkringens administration finns det därför ett särskilt behov av ett skydd mot sådan användning av individrelaterad information som kan anses utgöra otillbörliga intrång i den personliga integriteten. För och verksamhet finns därför bestämmelser i lagen (2003:763) om behandling av personuppgifter inom socialförsäkringens administration (SofdL) samt i förord- ningen (2003:766) om behandling av personuppgifter inom social- försäkringens administration (SofdF). Dessa författningar utgör en kompletterande specialreglering i förhållande till personuppgifts- lagen och anger de undantag och preciseringar som bedömts nödvändiga för verksamhet. Enligt 1 § SofdL tillämpas lagen vid helt eller delvis automatiserad behandling av personuppgifter i verksamhet som handläggs av eller PPM (socialförsäkringens administration). I 7 och 8 §§ SofdL anges för vilka ändamål behandling av person- uppgifter får ske. Ändamålen är indelade i primära ändamål och sekundära ändamål. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns inom soci- alförsäkringens administration medan de sekundära ändamålen avser utlämnande av personuppgifter från och . I 7 § SofdL anges de primära ändamålen. Enligt denna bestämmelse får och behandla personupp- gifter bl.a. för att kunna söka vägledande avgöranden, tillgodose behov av underlag som krävs för att kunna bedöma förmåner och ersättningar, handlägga ärenden, planera verksamheten och genomföra resultatuppföljning m.m. samt för att framställa stati- stik. I förarbetena till bestämmelsen angav regeringen att hand- läggning av ärenden naturligtvis kan förekomma först när ett ärende har anhängiggjorts men att det ofta är nödvändigt att företa vissa behandlingar av personuppgifter hos även utan att ett ärende aktualiserats i egentlig mening. Ett exempel är sådan registrering av uppgifter om enskilda som är nödvändig för att handläggningen av vissa ärenden som regelmässigt, utan föregå- ende ansökan, utbetalas enbart på grundval av uppgifter från folk- bokföringen, exempelvis barnbidragen. I många fall förutsätts också för beräkning av vissa förmåner att regi- strerar personuppgifter under en längre eller innan ett egentligt ärende eventuellt anhängiggörs, exempelvis i ålderspen- sionssystemet. Regeringen menade att detta förutsätter att behand- ling av personuppgifter kan ske hos utan att ett ärende inletts och att ett sådant ändamål, på grund av omfattningen av insamlade uppgifter, särskilt bör anges i lagen (prop. 2002/03:135 s. 63 f.). I 8 § SofdL anges de sekundära ändamålen. Av 8 § första stycket framgår att personuppgifter får behandlas för att utlämnas till vissa organ utanför socialförsäkringens administration som har direktåt- komst till uppgifter i socialförsäkringsdatabasen, nämligen i verk- samhet som bedrivs av CSN, arbetslöshetskassorna och . I 8 § andra stycket föreskrivs de sekundära ändamål som avser utlämnande till andra organ än de som har direktåtkomst till uppgifter i socialförsäkringsdatabasen. Där anges att Försäk- ringskassan och PPM även får behandla personuppgifter som behandlas för ändamål som anges i 7 § bl.a. för att tillhandahålla information utanför den egna myndigheten på grund av uppgifts- skyldighet som avses i 14 kap. 1 § andra meningen SekrL eller som följer av särskilda bestämmelser i lag eller förordning. Behandling av känsliga personuppgifter m.m. I 10 § anges i vilka fall känsliga personuppgifter som avses i 13 § personuppgiftslagen får behandlas. Det är tillåtet om uppgifterna har lämnats till myndigheten i ett ärende eller är nödvändiga för handläggningen av ett ärende, samt för att kunna söka vägledande avgöranden eller för något av de sekundära ändamålen det är nödvändigt med hänsyn till ändamålet. Känsliga personuppgifter som rör hälsa får också behandlas för bl.a. planering, utvärdering och insamling av statistik. Även uppgifter om lagöverträdelser får behandlas i vissa fall (11 §). Med direktåtkomst menas att den som använder ett register via en dator på egen hand kan söka i detta, dock utan att själv kunna bear- beta eller påverka innehållet i registret. Innan direktåtkomst medges, prövas förutsättningarna för ett generellt utlämnande till den aktuella myndigheten. Sedan direktåtkomst medgetts kan den utlämnande myndigheten inte i det enskilda fallet kontrollera de utlämnade uppgifterna (prop. 2000/01:33 s. 111). Direktåtkomst till uppgifter i socialförsäkringsdatabasen är tillåten endast i den utsträckning som anges i lag eller förordning (17 § SofdL). Sådana bestämmelser finns i 3 § SofdF beträffande arbetslöshetskassorna och CSN samt, i den mån den försäkrade samtycker, för kommu- ner och landsting i samverkan inom rehabiliteringsområdet (3 a § SofdF). Även enskilda har direktåtkomst till uppgifter om sig själv i viss utsträckning (4 § SofdF). Utlämnande på medium för automatiserad behandling En annan form av utlämnande av uppgifter är utlämnande på medium för automatiserad behandling. Med detta menas att uppgifter lämnas ut exempelvis på en diskett så att mottagaren själv kan använda uppgifterna i automatiserad behandling. Till skillnad från vad som är fallet vid direktåtkomst, kan och ska myndigheten före varje utlämnande bedöma om uppgifterna kan lämnas ut i det enskilda fallet. Personuppgifter i socialförsäkringsdatabasen får enligt 21 § SofdL lämnas ut på medium för automatiserad behand- ling endast till den registrerade eller om det behövs för något av de ändamål som anges i 8 §, dvs. de sekundära ändamålen. Sådan till- gång har medgivits (5 § SofdF). Sökning i socialförsäkringsregistren får inte göras med hjälp av känsliga personuppgifter eller uppgifter om lagöverträdelser (24 § SofdL). Känsliga personuppgifter är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk överty- gelse eller medlemskap i fackförening, liksom uppgifter om hälsa och sexualliv. Regeringen kan emellertid meddela föreskrifter om att får använda uppgifter om hälsa som sökbe- grepp för att göra sammanställningar av olika slag. För gallring av allmänna handlingar gäller arkivlagen (1990:782). Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan författning än arkivlagen gäller dessa bestämmelser (10 § arkivlagen). I lagen om behandling av personuppgifter inom socialförsäk- ringens administration är gallring huvudregeln. Gallring av person- uppgifter ska inte göras efter ett på förhand bestämt antal år, utan när de inte längre behövs för de primära ändamålen (28 § SofdL). får således inte bevara personuppgifter än vad som är nödvändigt för ändamålet med behand- lingen av uppgifterna. Uppgifterna får dock bevaras för historiska, statistiska eller vetenskapliga ändamål. 13.3.4Behandling av personuppgifter inom hälso- och sjukvården IT-stödet för vårddokumentation inom vårdsektorn har nått mycket långt. De flesta landsting har eller kommer att ha samma IT-stöd för vårddokumentation för sjukhus, psykiatri och primär- vård genom att en mångfald äldre journalsystem fasas ut och ofta ersätts med ett enda enhetligt system. De flesta landsting väljer också att skapa en gemensam databas med åtkomst enligt koncep- tet en patient – en journal inom . Större delen av den personuppgiftsbehandling som äger rum inom hälso- och sjukvården avser personuppgifter som primärt samlas in för att dokumenteras i en patientjournal. Hur patient- journalföringen regleras är därför av avgörande betydelse för utformningen av lagstiftningen om personuppgiftsbehandling inom hälso- och sjukvården i stort. trädde patientdatalagen (2008:355) i kraft (prop. 2007/08:126). Den nya lagen ersatte patientjournallagen (1985:562) och lagen (1998:544) om vårdregister. I patientdata- lagen, som gäller för alla vårdgivare oavsett huvudmannaskap, regleras bl.a. sådana frågor som skyldigheten att föra patientjour- nal, inre sekretess och elektronisk åtkomst i en vårdgivares verk- samhet, utlämnande av uppgifter och handlingar genom direktåt- komst eller på annat elektroniskt sätt samt nationella och regionala kvalitetsregister. Patientdatalagen har delvis karaktär av ramlagstiftning, som anger vilka grundläggande principer som ska gälla för informa- tionshanteringen avseende uppgifter om patienter inom all hälso- och sjukvård. Den närmare regleringen i vissa generella frågor meddelas i förordning eller, efter regeringens bemyndigande, i myndighetsföreskrifter. Införandet av patientdatalagen är en del av den process som pågår för att bl.a. med hjälp av IT få till stånd en bättre samverkan mellan hälso- och sjukvårdens aktörer och en starkare patient- orientering i verksamheten. Den centrala utgångspunkten för lagen att möjliggöra både en ökad patientsäkerhet och ett starkt integri- tetsskydd. I 2 kap. 4 § patientdatalagen anges ändamål för vilka personupp- gifter som får samlas in och även i övrigt behandlas inom hälso- och sjukvården. Ändamålen är följande: 1.patientjournalföring och annan dokumentation som behövs i och för vården av patienter, 2.annan dokumentation som behövs för administration som rör patienter och som syftar till att bereda vård i enskilda fall eller som annars föranleds av vård i enskilda fall, 3.upprättande av annan dokumentation som följer av lag, förord- ning eller annan författning, 4.systematisk och fortlöpande utveckling och säkring av hälso- och sjukvårdens kvalitet, 5.administration, planering, uppföljning, utvärdering och tillsyn av hälso- och sjukvårdsverksamheten, eller 6.framställning av statistik rörande hälso- och sjukvård. Dessutom får personuppgifter som behandlas för ändamål enligt punkterna 1–6 behandlas för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller den s.k. finalitetsprincipen i 9 § första stycket d och andra stycket personuppgiftslagen (1998:204) för behandling av insamlade personuppgifter för ett nytt ändamål. Endast sådana personuppgifter som behövs för det ändamål för vilket personuppgiftsbehandlingen utförs, får behandlas enligt pati- entdatalagen (2 kap. 7 §). Personuppgiftsbehandling enligt patientdatalagen får ske även om den enskilde motsätter sig personuppgiftsbehandlingen (2 kap. 2 §). Undantag från denna huvudregel kan gälla enligt lag eller förordning. Vissa undantag följer av patientdatalagen. Sådan personuppgiftsbehandling som inte är tillåten enligt patientdata- lagen får ändå ske om den enskilde registrerade uttryckligen samtycker till det och inte annat följer av andra bestämmelser i patientdatalagen eller av annan lag eller förordning (2 kap. 3 §). De sökbegränsningar som gäller vid behandling av personuppgifter enligt patientdatalagen innebär att känsliga personuppgifter som avses i 13 § personuppgiftslagen, samt personuppgifter om lagöverträdelser m.m. som avses i 21 § personuppgiftslagen inte får användas som sökbegrepp, förutom vid vissa undantag (2 kap. 8 §). Uppgifter om att någon fått bistånd eller varit föremål för andra insatser inom eller enligt utlänningslagen (2005:716) får inte användas som sökbegrepp. Dessutom får uppgifter av bety- delse för smittskyddet som inte rör hälsa inte användas som sök- begrepp. Regeringen får meddela föreskrifter om att en vårdgivare, trots sökbegränsningarna, får använda personuppgifter om etnicitet, uppgifter av betydelse för smittskyddet samt uppgifter om bistånd eller andra insatser inom eller åtgärder enligt utlän- ningslagen som sökbegrepp för att göra vissa slags sammanställ- ningar. Med direktåtkomst avses i patientdatalagen – till skillnad från i vårdregisterlagen – en viss form av elektroniskt utlämnande av personuppgifter till en mottagare utanför en vårdgivares organisa- tion. Med begreppet avses dock även ett sådant utlämnande från en hälso- och sjukvårdsmyndighet inom ett landsting eller en kommun till en annan sådan myndighet i samma landsting eller kommun. Direktåtkomst till personuppgifter som behandlas enligt pati- entdatalagen får medges bara i den utsträckning som följer av lag eller förordning. I patientdatalagen regleras vissa fall av direktåt- komst. Om ett landsting eller en kommun bedriver hälso- och sjukvård genom flera myndigheter, får en sådan myndighet ha direktåtkomst till personuppgifter som behandlas av någon annan sådan myndighet i samma landsting eller kommun (5 kap. 4 § andra stycket). En vårdgivare får medge en enskild direktåtkomst till sådana uppgifter om den enskilde själv som får lämnas ut till honom eller henne och som behandlas för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 (5 kap. 5 §). En vårdgivare får, under vissa förut- sättningar, inom ramen för sammanhållen journalföring ha direkt- åtkomst till personuppgifter som behandlas av andra vårdgivare för ändamål som anges i 2 kap. 4 § första stycket 1 och 2 (6 kap. 1 §). En patient kan dock motsätta sig att vissa uppgifter om patienten görs tillgängliga för andra vårdgivare genom sammanhållen jour- nalföring. Utlämnande på medium för automatiserad behandling Enligt 5 kap. 6 § kan, om en personuppgift får lämnas ut, utläm- nandet ske på medium för automatiserad behandling. Utredningens bedömning: Förutsättningar för försäkringsbola- gen att få direktåtkomst till uppgifter hos myndigheter finns inte. Möjligheten för bolagen att få ut uppgifter på medium för automa- tiserad behandling är avhängig av tillämpliga sekretessregler. Om försäkringsbolaget har en fullmakt från den enskilde kan bolaget få ut uppgifter på medium för automatiserad behandling utan hinder av sekretessregler. När trafikförsäkringen tar över ansvaret för trafikskadades inkomstförlust från socialförsäkringen innebär det inte bara ett större behov av uppgifter om den skadelidande utan även ett behov av effektiva sätt att erhålla informationen. Som framgått av redogörelsen ovan är möjligheten till direktåt- komst till myndigheters register som innehåller känsliga uppgifter starkt begränsad. För andra än myndigheter och den registrerade själv finns inga exempel på sådana möjligheter. Det kan med fog hävdas att om lagstiftaren ålägger försäkringsbolagen ansvaret för den skadades hela inkomstförlust, borde möjligheter öppnas för en effektivare informationsinhämtning (möjligheten att utfå sekre- tessbelagda uppgifter diskuteras i föregående del av avsnittet). Frågan är dock om trafikförsäkringsreformen kan motivera avsteg från den restriktiva hållning som intagits i svensk rätt när det gäller skyddet för den personliga integriteten. Det går att i författning föreskriva en rätt att få ut uppgifter på medium för automatiserad behandling. Här handlar det om huruvida ändamålet med behandlingen av uppgifterna är godtag- I de nu nämnda fallen ska dock utlämnandet sekretessprövas, varför diskussionen åter hamnar i frågan om sekretessreglernas inverkan på försäkringsbolagens möjlighet att få ut information om den skadade försäkringstagaren.