sou · GYB345 · 2010-06-30 00:00:00 — Utredningens överväganden, bedömning och förslag bör regeringen eller den myndighet regeringen bestämmer ges rätt att meddela föreskrifter i detta avseende. Utredningen har inte sett över behovet av bestämmelser om bevarande och gallring av dokumentation då det inte funnits utrymme att inom ramen för utredningen se över existerande bestämmelser. Det är dock inte uteslutet att en sådan översyn är nödvändig och att det kan behövas särskilda bestämmelser på detta område. Den förslagna lagens förhållande till annan lagstiftning om personuppgiftsbehandling PuL gäller vid behandling av personuppgifter inom hälso- och sjuk- vården och om det inte i en annan lag eller förord- ning finns bestämmelser som avviker från PuL. Lagen om behand- ling av personuppgifter vid verksamhet enligt lagen om händelse- analyser vid självmord föreslås gälla utöver PuL. Den nu föreslagna lagen innehåller således endast de särbestämmelser och förtyd- liganden som det har bedömts finnas behov av. I övrigt ska PuL tillämpas. Att PuL ska tillämpas om inte annat följer av den nu föreslagna lagen innebär, eftersom PuL är subsidiär i förhållande till avvikande bestämmelser i lag och förordning, även att hänsyn måste tas till de s.k. registerförfattningar som innehåller särskilda bestämmelser om behandling av personuppgifter för vissa verksamheter. Särskilt vik- tigt är därför att klargöra i vilken mån det finns registerförfatt- ningar som, utöver PuL och den föreslagna lagen om behandling av personuppgifter vid verksamhet enligt lagen om händelseanalyser vid självmord, är tillämpliga när skyldigheten att göra händelseana- lyser vid självmord fullgörs. För hälso- och sjukvårdens del gäller patientdatalagen utöver PuL vid behandling av personuppgifter inom hälso- och sjukvår- den. När hälso- och sjukvården behandlar personuppgifter som en följd av skyldigheterna att göra händelseanalyser enligt lagen om händelseanalyser vid självmord gäller dessutom den föreslagna lagen om behandling av personuppgifter vid verksamhet enligt lagen om händelseanalyser vid självmord. Sammantaget innebär detta att hälso- och sjukvården, när personuppgifter behandlas i syfte att fullgöra skyldigheterna enligt lagen om händelseanalyser vid självmord, förutom den föreslagna lagen, i tillämpliga delar även Utredningens överväganden, bedömning och förslag har att följa bestämmelserna i och patientdatalagen. Som exempel kan nämnas att patientdatalagens regler om inre sekretess, behörighetsstyrning och åtkomstkontroll gäller när hälso- och sjukvården gör händelseanalyser vid självmord. Vidare gäller t.ex. PuL:s bestämmelser om säkerhet i §§ 30–32 och om överföring av personuppgifter till tredje land i §§ 33–35. I sammanhanget kan även nämnas att , med stöd av patientdataförord- ningen (2008:360), meddelat föreskrifter (SOSFS 2008:14) om jour- nalföring och informationshantering i hälso- och sjukvården som på en rad områden preciserar och fyller ut bestämmelserna i patientdatalagen och PuL. För del gäller SoL-PuL och SoL-PuLF utöver personuppgiftslagen. När behandlar person- uppgifter som en följd av skyldigheterna att göra händelseanalyser enligt lagen om händelseanalyser vid självmord gäller den före- slagna lagen om behandling av personuppgifter vid verksamhet enligt lagen om händelseanalyser vid självmord. Det är i samman- hanget viktigt att klargöra att SoL-PuL och SoL-PuLF inte är till- lämpliga när personuppgifter behandlas i syfte att fullgöra skyldig- heterna enligt lagen om händelseanalyser vid självmord. Detta eftersom verksamhet enligt lagen om händelseanalyser vid själv- mord inte föreslås omfattas av definitionen av socialtjänst i 2 § SoL-PuL. PuL gäller dock i tillämpliga delar. Som exempel kan nämnas att PuL:s regler om säkerhet i §§ 30–32 och §§ 33–35 som reglerar överföring av personuppgifter till tredje land. Det finns inte någon samlad registerförfattning som regle- rar behandling av personuppgifter. Däremot finns bestämmelser om personuppgiftsbehandling på vissa särskilda områden. Exempel på detta är den personuppgifts- behandling som görs med anledning av utredningar avseende barn som har avlidit i anledning av brott enligt LuB samt hälsodatalagen och de förordningar som är knutna till respektive register. För den personuppgiftsbehandling som utförs som ett led i skyldigheter enligt lagen om händelseanalyser vid självmord gäller således, förutom den nu föreslagna lagen, PuL. Det bör genomgående framhållas att verksamheten enligt lagen om händelseanalyser vid självmord främst kommer att innebära en behandling av personuppgifter hänförliga till avlidna. Dessa upp- gifter är som huvudregel inte att betrakta som personuppgifter i lagens mening. Utredningens överväganden, bedömning och förslag Utredningens förslag: Lagen om behandling av personuppgifter vid verksamhet enligt lagen om händelseanalyser vid självmord ska tillämpas vid behandling av personuppgifter vid verksamhet enligt lagen om händelseanalyser vid självmord. Lagen ska – liksom PuL – gälla för sådan behandling av per- sonuppgifter som är helt eller delvis automatiserad och även för annan behandling, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är till- gängliga för sökning eller sammanställning enligt särskilda krite- rier, dvs. för behandling av personuppgifter. Det införs inte några särbestämmelser för den automatise- rade behandlingen av personuppgifter. Lagen omfattar myndigheter och enskilda som behandlar personuppgifter vid verksamhet enligt lagen om händelseanaly- ser vid självmord. Lagen är inte tillämplig vid behandling av personuppgifter för forsknings- och statistikändamål. Behandling av sådana ändamål kommer att få regleras av bestämmelser i och av eventuell annan särlagstiftning på området. Lagen ska gälla behandling av personuppgifter som sker inom ramen för verksamhet enligt lagen om händelseanalyser vid själv- mord. Enligt utredningen bör en lag som avser behandling av person- uppgifter inom verksamhet enligt lagen om händelseanalyser vid självmord ha samma tillämpningsområde som PuL. Vidare bör i likhet med PuL några särbestämmelser för när uppgifter behandlas automatiserat inte införas. I lagstiftningsärendet avseende PuL (prop. 1997/98:44 s. 71) och avseende SoL-PuL (prop. 2000/01:80 s. 138) gjordes bedöm- ningen att vikten att värna om forskningens frihet gör att det är lämpligare att göra en avvägning i varje enskilt fall än att i lag införa generella regler om vilken forskning och statistik som ska tillåtas. Denna bedömning gäller enligt utredningens uppfattning även inom detta område. Inte heller lagen om behandling av personupp- gifter vid verksamhet enligt lagen om händelseanalyser vid själv- mord bör alltså uttryckligen ange när personuppgifter får behandlas för forskning och statistik. Behandling för sådana ändamål ska falla Utredningens överväganden, bedömning och förslag utanför lagens tillämpningsområde. I lagen bör tas in en uttrycklig bestämmelse om att lagen inte ska tillämpas vid behandling av per- sonuppgifter för forsknings- och statistikändamål. I dessa fall gäller PuL:s bestämmelser. Ändamålen med behandlingen av personuppgifter Utredningens förslag: Personuppgifter får behandlas bara om behandlingen är nödvändig för att verksamhet enligt lagen om händelseanalyser vid självmord ska kunna utföras. Behandling ska vara tillåten även för tillsyn, uppföljning, utvärdering, kva- litetssäkring och administration av verksamheten. Enskilda har inte rätt att motsätta sig sådan behandling som är tillåten enligt lagen. Personuppgifter får lämnas ut om det följer av lag eller för- ordning. Regeringen eller den myndighet regeringen bestämmer får meddela föreskrifter som begränsar den tillåtna behandlingen av personuppgifter. Av PuL följer att personuppgifter får samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål samt att uppgifterna senare inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Utredningen har valt att i den föreslagna registerförfattningen utforma bestämmelsen om ändamålet med behandlingen på ett sätt som innebär att person- uppgifter får behandlas för den verksamhet som enligt lagen om händelseanalyser vid självmord ska utföras. Utredningen har inte velat göra ändamålsbestämmelsen alltför snäv eftersom en viss flexibilitet måste finnas på grund av att lagen riktar sig till flera olika verksamheter och i viss mån är sektorsövergripande. Person- uppgifter ska få behandlas även för tillsyn, uppföljning, utvärdering och kvalitetssäkring och administration av verksamheten. På detta sätt kommer även hantering att innefattas. PuL innehåller vidare en uppräkning av när behandling av per- sonuppgifter är tillåten. Det är bl.a. tillåtet att behandla personupp- gifter efter den registrerades samtycke. I vissa fall får uppgifterna behandlas trots avsaknaden av samtycke. Behandlingen måste dock vara nödvändig för ändamålen. Det finns ett allmänintresse att Utredningens överväganden, bedömning och förslag verksamheten enligt lagen om händelseanalyser vid självmord bedrivs effektivt och säkert. Även med beaktande av den enskildes krav på integritet bör personuppgifter få behandlas i verksamheten utan att den personuppgiften avser har gett sitt samtycke i den mån detta skulle komma att aktualiseras. Det som sagts avser givetvis behandling av personuppgifter som kan kopplas till levande fysiska personer och detta torde relativt sällan förekomma. Behandling av personuppgifter inom ramen för lagen om hän- delseanalyser vid självmord är integritetskänslig i de flesta fall. Behandlingen kommer även att omfatta särskilt känsliga uppgifter, t.ex. om hälsa och sociala insatser. För att bibehålla förtroendet för en sådan behandling är det viktigt att grundläggande krav ställs på behandlingen och att den tillgodoser den enskildes integritets- skydd. För att tillgodose den enskildes integritet bör det så klart som möjligt framgå i vilka sammanhang insamlade personuppgifter rörande honom eller henne kan användas. Ändamålen bör vara så preciserade att förhållandena utgör ett tillräckligt skydd för den personliga integriteten som de inte utgör ett hinder vid förändring i verksamheten eller till följd av verksamheternas skilda karaktär. Utredningen finner det vara tillräckligt att det i lagen föreskrivs att personuppgifter får behandlas om det är nödvändigt för att verksamhet enligt lagen om händelseanalyser vid självmord ska kunna utföras och för att de mer administrativa göromål som lagen kan komma att innefatta ska kunna genomföras. Regeringen eller den myndighet regeringen bestämmer ges därutöver rätt att meddela föreskrifter om ytterligare begränsningar som är nödvän- diga i detta hänseende. Vidare föreskrivs i den nya lagen liksom i PuL att lagen inte hindrar att personuppgifter lämnas ut om det följer av lag eller för- ordning. Utredningens överväganden, bedömning och förslag Personuppgifter som får behandlas Utredningens förslag: Samtliga kategorier av personuppgifter kommer att få behandlas inom verksamheten, dock får en enskilds namn, person- eller samordningsnummer behandlas endast om det för ändamålet med hanteringen inte är tillräckligt att behandla kodade personuppgifter eller personuppgifter som indirekt utpekar den enskilde. En särskild bestämmelse införs för att tillåta hantering av vissa känsliga personuppgifter m.m. Enligt utredningen skulle det vara en fördel om det direkt i lag på ett konkret sätt kunde anges vilka personuppgifter som får behandlas vid verksamhet enligt lagen om händelseanalyser vid självmord. I praktiken handlar det emellertid om en mycket omfattande och mångskiftande verksamhet även om behandlingen sker inom ett begränsat område. Lagen berör också behovet hos väsensskilda verksamheter att behandla ett antal olika personupp- gifter, som när det gäller graden av integritetskänslighet varierar i stor utsträckning. En reglering direkt i lag skulle antingen innebära stora risker för att arbetet i händelseanalysverksamheten försvåra- des eller om listan över vilka uppgifter som fick behandlas gjordes mycket omfattande – knappast medföra några vinster från integri- tetssynpunkt. Det bör därför enligt utredningen inte införas några begränsningar när det gäller vilka kategorier av personuppgifter som bör få behandlas utöver vad avser möjligheten att behandla namn, person- eller samordningsnummer. Det bör dock understry- kas att verksamheterna även i övrigt ska iaktta försiktighet vid behandlingen av personuppgifter, varför det ansetts motiverat att ta in en påminnelse om detta i lagen enligt förebild i PuL. Behandlingen av vissa kategorier av personuppgifter, närmare bestämt känsliga personuppgifter och uppgifter om lagöverträdel- ser som innefattar brott m.m. har reglerats restriktivt i PuL. Även uppgifter om person- och samordningsnummer har reglerats sär- skilt. Utredningens överväganden, bedömning och förslag Namn samt person- och samordningsnummer Enligt PuL får person- och samordningsnummer som huvudregel behandlas endast om samtycke lämnats. Sådana uppgifter får även behandlas när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. I syfte att få en säker identifiering och med hänsyn till ändamå- let med behandlingen nämligen att kunna göra sektorsövergripande samlade händelseanalyser finns det inom verksamheten enligt lagen om händelseanalyser vid självmord ett behov av att behandla upp- gifter om person- och samordningsnummer och eventuellt också namn. Som sagts går det inte att i detalj precisera vilka per- sonuppgifter som får behandlas på lagstiftningsnivå. Med hänsyn till den enskildes integritet bör dock en begränsning införas utöver den begränsning som ligger i att personuppgifter får behandlas endast för vissa i lagen angivna ändamål. I första hand ska endast kodade personuppgifter eller indirekt utpekande personuppgifter, t.ex. ålder, kön, och hemort i kombination med uppgifter om vård- och stödinsatser användas, istället för direkt utpekande personupp- gifter. I vissa fall kan det dock vara så att direkt utpekande uppgif- ter måste användas. I PuL finns ett generellt förbud mot att behandla personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, eller som rör hälsa eller sexualliv. uppräknade uppgifter betecknas i lagen som känsliga personuppgifter. Det finns – för att verksamheterna ska kunna klara sina uppgifter vid händelseanalyser vid självmord - ett behov att behandla personuppgifter som är känsliga i PuL:s mening. Sådana uppgifter bör enligt utredningen få behandlas. Att arbetsuppgifterna enligt lagen om händelseanalyser vid självmord ska kunna utföras på ett tillfredsställande sätt är ett viktigt allmänt intresse. Vissa typer av uppgifter kommer det inte finnas skäl att behandla inom ramen för verksamheten eftersom syftet med hän- delseanalyserna är att identifiera systemfel och att upptäcka brister i samverkan mellan olika samhällsaktörer. Behandlingen bör inte ske slentrianmässigt utan endast användas när det är av särskild Utredningens överväganden, bedömning och förslag betydelse för att identifiera och åtgärda ett systemfel och eller för att användas vid planering av förebyggande insatser i samhället. Något generellt undantag från rätten att behandla denna typ av uppgifter föreslår dock utredningen inte eftersom behovet är svårt att överblicka. Enligt utredningen borde det ytterst sällan före- komma att denna typ av uppgifter beträffande den avlidnes närstå- ende behandlas. Brott och domar i brottmål m.m. I PuL ges ett förbud för andra än myndigheter att behandla per- sonuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa fri- hetsberövanden. Inom lagens om händelseanalyser vid självmord område finns uppenbarligen ett behov av att låta såväl myndigheter som andra än myndigheter behandla personuppgifter av detta slag i vart fall i begränsad omfattning då händelseanalyser kan komma att aktualiseras inom såväl hälso- och sjukvården som beträffande personer som varit föremål för frihetsberövanden och det kan inte uteslutas att det ibland för att dra korrekta slutsatser eller upptäcka systembrister krävs att det av händelseanalysen framgår att personen som tagit sitt liv varit föremål för tvångs- medel eller frihetsberövanden av något slag. Den föreslagna lagen bör därför tillåta att även sådana uppgifter får behandlas generellt i den mån uppgifterna trots att de är hänförliga till en avliden får karaktären av personuppgifter i lagens mening. Det bör dock fram- hållas att de personuppgifter som behandlas enligt dessa bestäm- melser ska vara nödvändiga med hänsyn till den behandling som är tillåten. I PuL finns vidare en bestämmelse om att förbud mot överföring av personuppgifter till tredje land. Med tredje land förstås en stat som inte ingår i Europeiska unionen eller är ansluten till Europeiska ekonomiska samarbetsområdet. Förbudet är inte undantagslöst. I PuL finns en uppräkning av i vilka fall detta är tillåtet. Regeringen eller den myndighet regeringen bestämmer får med- dela föreskrifter om undantag från förbudet om det behövs med Utredningens överväganden, bedömning och förslag hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Utredningen har svårt att se behovet av en sådan möjlighet inom nu aktuellt område och förslår ingen möjlighet för regeringen att meddela sådana föreskrifter i denna lag. Utredningens förslag: De verksamheter som omfattas av lagen om händelseanalyser vid självmord är personuppgiftsansvariga för sin behandling av personuppgifter. är ansvarig för sin hantering av personupp- gifter enligt lagen. I PuL återfinns en definition av vem som är personuppgiftsansva- rig. I särlagstiftning finns det exempel på att det direkt i författ- ningen anges vem som är personuppgiftsansvarig, dels på att frågan om personuppgiftsansvaret inte berörts. Den sistnämnda varianten innebär att PuL:s regler gäller och att frågan om vem som är per- sonuppgiftsansvarig får avgöras genom en tillämpning av den lagen. Enligt utredningens uppfattning framstår det som lämpligt att, trots att lagstiftningen omfattar flera verksamhetsområden och på skilda nivåer, direkt i lag reglera personuppgiftsansvaret. Det är nämligen fullt möjligt att i lag definiera personuppgiftsansvaret. Av lagtexten bör därför framgå att var och en av de verksamheter som omfattas av lagen om händelseanalyser vid självmord är personupp- giftsansvariga för sin behandling av personuppgifter och att Social- styrelsen är ansvarig för sin personuppgiftsbehandling. Utredningens förslag: Regeringen eller den myndighet reger- ingen bestämmer får meddela föreskrifter om begränsningar i sökmöjligheterna för särskilt känsliga personuppgifter. En myndighets möjligheter – och därmed allmänhetens – att få till- gång till sammanställningar av sådana uppgifter som finns i myn- dighetens ADB-system kan underkastas såväl tekniska som rätts- Utredningens överväganden, bedömning och förslag När det gäller personregister följer av TF att en myndighets befogenhet att göra upptagningar tillgängliga för egen räkning kan begränsas genom lag, förordning eller särskilda beslut, som grundar sig på lag. Rättsliga begränsningar av detta slag kan ske genom föreskrifter om användningen av s.k. sökbegrepp i personregister. Om inga begränsningar görs av sökbegreppen i ett personregister följer av offentlighetsprincipen att en myndighet måste använda sig av alla till buds stående sökmöjligheter när någon begär uppgifter. I ett antal olika författningar finns exempel på att användningen av sökbegrepp har begränsats. Vanligen omfattar begränsningen uppgifter som anses som särskilt känsliga från integritetssynpunkt. Som sagts anser utredningen att det inte är möjligt att i lagen i någon större omfattning ange begränsningar när det gäller vilka kategorier av personuppgifter som bör få behandlas inom ramen för verksamhet enligt lagen om händelseanalyser vid själv- mord. Det ligger i sakens natur att många av dessa personuppgifter kommer att vara integritetskänsliga. Detta talar för att använd- ningen av sökbegrepp av integritetshänsyn bör begränsas i något avseende, dvs. att det inte blir möjligt att söka uppgifter eller göra sammanställningar efter eget gottfinnande. Sökordsbegränsningen bör inriktas på de mest känsliga uppgifterna enligt PuL:s mening. Regeringen eller den myndighet regeringen bestämmer bör ges rätt att meddela föreskrifter om begränsning av sökmöjligheterna i detta avseende. Utredningen utgår från att den personuppgiftsansvariga kom- mer att utforma de tekniska systemen så att endast behöriga perso- ner kan göra sökningar samt att det finns behörighetskontroll- system. Utredningens förslag: Regeringen eller den myndighet reger- ingen bestämmer får meddela föreskrifter om villkoren för sam- körning. Enligt PuL är samkörning tillåten så länge behandlingen är förenlig med ändamålet för vilka personuppgifterna ursprungligen hämtades in. Vidare måste behandlingen – samkörningen – för det nya ända- Utredningens överväganden, bedömning och förslag målet, liksom behandlingen för det ursprungliga ändamålet kunna hänföras till något av de tillåtna fall av behandling som anges i PuL och om känsliga personuppgifter ska behandlas dessutom vara till- låten enligt vissa andra bestämmelser i . Sekretessbestämmelser och bestämmelser i lagstiftning som rör verksamheterna kan också hindra att uppgifter samkörs. Samkörning bör inte förbjudas även om det oftast är just denna typ av hantering av personuppgifter som skapar oro hos enskilda. Möjligheten till samkörning bör dock begränsas när den enskildes integritet kan påverkas negativt. Villkoren för samkörning bör regleras på samma sätt som begränsningen av den tillåtna behand- lingen. Utlämnande av personuppgifter på medium för automatiserad behandling Utredningens förslag: Någon regel som tillåter att personupp- gifter inom ramen för verksamheten enligt lagen om händelse- analyser vid självmord får lämnas ut på medium för automatise- rad behandling bör inte införas. Utredningen menar att ingen regel som tillåter att personuppgifter inom nu aktuell verksamhet får lämnas ut på medium för automati- serad behandling behövs. Inte heller finns det av integritetsskäl anledning att i lagstiftningen förbjuda att uppgifter inom verksam- heten lämnas ut på ett sådant medium. Utredningens förslag: Regeringen eller den myndighet reger- ingen bestämmer får meddela föreskrifter om vilka som ska få ha direktåtkomst till personuppgifter som behandlas automati- serat inom ramen för verksamheten enligt lagen om händelse- analyser vid självmord. De sekretessbestämmelser som gäller inom de verksamheter som berörs av lagen om händelseanalyser vid självmord är generellt sett sådana att de ger ett mycket starkt skydd för personuppgifterna. Utredningens överväganden, bedömning och förslag Vidare innebär PuL att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål för vilket uppgifterna samlades in, att de personuppgifter som samlats in ska vara ade- kvata och relevanta i förhållande till ändamålen med behandlingen, samt att inte fler personuppgifter får behandlas än som är nödvän- digt med hänsyn till ändamålen med behandlingen, ett ytterligare skydd för personuppgifterna. I den särlagstiftning som införts i anslutning till PuL har direkt- åtkomsten preciserats, antingen direkt i lag eller i förordning. Utredningen anser att det finns skäl för en regel som innebär att direktåtkomsten till personuppgifter som behandlas automatiserat begränsas. Starka integritetsskäl talar också för detta.