Regeringens proposition

2000/01:69

En begränsad översyn av socialförsäkringsregisterlagen (1997:934)

Prop.

2000/01:69

Regeringen överlämnar denna proposition till riksdagen.

Stockholm den 15 mars 2001

Lena Hjelm-Wallén

 Ingela[REDACTED_EFTERNAMN]

 (Socialdepartementet)

Propositionens huvudsakliga innehåll

Propositionen innehåller förslag till ändring i socialförsäkringsregisterlagen

(1997:934), SofrL.

Förslaget utgör en begränsad översyn av lagen i syfte att anpassa den till den

generellt tillämpliga personuppgiftslagen (1998:204), PUL. Bl.a. föreslås att

tillämpningsområdet anpassas till PUL såtillvida att SofrL även skall gälla viss

 manuell hantering. Vidare förelås en anpassning när det gäller vilka

personuppgifter som anses särskilt integritetskänsliga, varvid samma regler som

föreslås gälla för särskilt integritetskänsliga uppgifter föreslås gälla också i

 fråga om sådana uppgifter om brott och frihetsberövanden m.m. som avses i 21 §

PUL. Förslaget innebär också en anpassning till PUL vad gäller den

personuppgiftsansvariges ansvar för rättelse m.m., skadestånd, information till

den enskilde och överklagande i vissa fall. Vissa begrepp som definieras i PUL

föreslås samtidigt få motsvarande betydelse i SofrL.

Lagändringarna föreslås träda i kraft den 1 oktober 2001.

Innehållsförteckning

1 Förslag till riksdagsbeslut 3

2 Förslag till lag om ändring i socialförsäkrings-

registerlagen (1997:934) 4

3 Ärendet och dess beredning 10

4 Bakgrund och utgångspunkter 10

4.1 Äldre registerlagstiftning 10

4.2 Socialförsäkringsregisterlagen (1997:934) 12

4.3 Datalagen (1973:289), dataskyddsdirektivet

 och personuppgiftslagen (1998:204) 13

4.4 Författningsreglering avseende

 myndighetsregister 16

4.5 En begränsad översyn av socialförsäkrings-

 registerlagen (1997:934) 16

5 Den materiella regleringen 18

5.1 Lagens tillämpningsområde 18

5.2 Registeransvar 20

5.3 Känsliga personuppgifter m.m. 21

5.4 Uppgiftslämnande till enskild 26

6 Ikraftträdande och kostnader m.m. 30

7 Författningskommentar 30

Bilaga 1 Departementspromemorians (Ds 2000:44)

 sammanfattning 38

Bilaga 2 Promemorians lagförslag 40

Bilaga 3 Förteckning över remissinstanser... 46

Bilaga 4 Lagrådsremissens lagförslag 47

Bilaga 5 Lagrådets yttrande... 53

Utdrag ur protokoll vid regeringssammanträde den 15 mars 2001... 54

1

Förslag till riksdagsbeslut

Regeringen föreslår att riksdagen antar regeringens förslag till lag om ändring

i socialförsäkringsregisterlagen (1997:934).

2

Förslag till lag om ändring i socialförsäkringsregisterlagen (1997:934)

Härigenom föreskrivs i fråga om socialförsäkringsregisterlagen

(1997:934)

dels att rubrikerna närmast före 3, 4 och 21 §§ skall utgå,

dels att 1, 7, 12, 13, 17, 18, 20 och 21 §§ samt rubrikerna närmast före 13, 17

och 20 §§ skall ha följande lydelse,

dels att i lagen skall införas två nya paragrafer, 21 a och 21 b §§ samt närmast

 före 21 a och 21 b §§ nya rubriker av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 §1

Denna lag gäller personregister för sådan verksamhet i fråga om

socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag

eller förordning eller särskilt beslut av regeringen ankommer på de allmänna

försäkringskassorna, Premiepensionsmyndigheten eller Riksförsäkringsverket

(socialförsäkringsregister).

Med personregister förstås detsamma som i datalagen (1973:289).

Med personregister förstås register, förteckning eller andra anteckningar som

förs helt eller delvis automatiserat och som innehåller uppgifter som direkt

eller indirekt kan hänföras till en fysisk person. Med personregister förstås

också strukturerade samlingar av uppgifter som inte förs automatiserat men som

är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och

 som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk

person.

De benämningar som i övrigt används i denna lag har samma betydelse som i

personuppgiftslagen (1998:204).

7 §2

Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i

4 § datalagen (1973:289) eller som utgör omdöme eller annan värderande

upplysning om den registrerade.

Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i

13 och 21 §§ personuppgiftslagen (1998:204).

Utan hinder av första stycket får följande uppgifter registreras:

1. förekomsten av ansökan eller anmälan i ärenden som omfattas av 1 § första

stycket,

2. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för

ersättningsgrundande förhållanden, i ärenden som omfattas av 1 § första stycket,

3. grad av nedsatt arbetsförmåga,

4. förekomsten av intyg och utlåtande av läkare eller annan intygsgivare,

5. förekomsten av rehabiliteringsutredning eller annan utredning i

rehabiliteringsärende samt av fastställd rehabiliteringsplan,

6. arten av och tidpunkter för föreslagna, planerade och vidtagna

rehabiliteringsåtgärder,

7. förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som

 avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om

bostadsbidrag,

8. att vårdnadshavare är förordnad särskilt enligt föräldrabalken,

9. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

10. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

 har tagits om hand på det allmännas bekostnad,

11. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

12. om fråga om återbetalningsskyldighet har uppkommit och i sådant fall

kravåtgärder, exekutiva åtgärder, utmätningsbelopp, utmätningsfria belopp och

beslut om skuldsanering enligt skuldsaneringslagen (1994:334),

13. vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

14. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

15. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

16. att den registrerade får aktivitetsstöd enligt 5 § tredje stycket

förordningen (1996:1100) om aktivitetsstöd,

17. att den registrerade har rätt till ersättning enligt 16-22 §§ förordningen

(1996:1100) om aktivitetsstöd,

18. bevakningsanledning, samt

19. anledningen till att ett ärende avslutats.

8. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

9. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

har tagits om hand på det allmännas bekostnad,

10. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

11. om fråga om återbetalningsskyldighet har uppkommit,

12 . vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

13. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

14. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

15. att den registrerade får aktivitetsstöd enligt 5 § tredje stycket

förordningen (1996:1100) om aktivitetsstöd,

16. att den registrerade har rätt till ersättning enligt 16-22 §§ förordningen

om aktivitetsstöd,

17. bevakningsanledning, samt

18. anledningen till att ett ärende avslutats.

I socialförsäkringsregister som förs för handläggning av ärenden om ersättning

för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och

förordningen (1998:1337) om tandvårdstaxa får dessutom, i fråga om vårdgivare,

registreras uppgift om namn på praktik. I sådana register får vidare registreras

 uppgift om

1. förekomsten av begäran om förhandsprövning enligt förordningen om

tandvårdstaxa samt kod för behandlingsförslag som begäran avser,

2. kod för behandling som avses i förordningen om tandvårdstaxa,

3. att den registrerade har rätt till ersättning enligt 9, 13 eller 14 §

förordningen om tandvårdstaxa,

4. förhållanden som anges i 15 § andra stycket förordningen om tandvårdstaxa,

5. förekomsten av remiss, remitterande vårdgivares namn och namnet på den

vårdgivare till vilken remiss har skett, samt

6. patientavgift och tandvårdsersättning.

12 §3

Socialförsäkringsregister får genom sambearbetning tillföras

1. uppgifter från andra socialförsäkringsregister, och

2. uppgifter som lämnas till en allmän försäkringskassa,

Premiepensionsmyndigheten eller Riksförsäkringsverket med stöd av en särskild

bestämmelse i lag eller förordning om lämnande av uppgifter.

Av föreskrifter i lag eller förordning eller av beslut av Datainspektionen kan

följa att socialförsäkringsregister genom sambearbetning får tillföras uppgifter

 utöver vad som anges i första stycket.

Av föreskrifter i lag eller förordning kan följa att socialförsäkringsregister

genom sambearbetning får tillföras uppgifter utöver vad som anges i första

stycket.

Registeransvar

Personuppgiftsansvar

13 §4

Registeransvariga för socialförsäkringsregister som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje

försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan registeransvarig.

Premiepensionsmyndigheten är registeransvarig för socialförsäkringsregister som

förs särskilt för myndigheten. Riksförsäkringsverket är registeransvarigt för

socialförsäkringsregister som förs särskilt för verket.

Personuppgiftsansvariga för socialförsäkringsregister som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje

försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan personuppgiftsansvarig.

Premiepensionsmyndigheten är personuppgiftsansvarig för

socialförsäkringsregister som förs särskilt för myndigheten.

Riksförsäkringsverket är personuppgiftsansvarigt för socialförsäkringsregister

som förs särskilt för verket.

Utlämnande av uppgifter på medium för automatisk databehandling

Utlämnande av uppgifter på medium för automatiserad behandling

17 §

Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

bestämmelse i lag eller förordning får lämnas på medium för automatisk

databehandling. I övrigt får uppgifter lämnas ut på medium för automatisk

databehandling endast om sådant utlämningssätt följer av lag eller förordning

eller beslut av Datainspektionen eller om uppgiften skall användas för forskning

 eller framställning av statistik.

Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

bestämmelse i lag eller förordning får lämnas på medium för automatiserad

behandling. I övrigt får uppgifter lämnas ut på medium för automatiserad

behandling endast om sådant utlämningssätt följer av lag eller förordning eller

om uppgiften skall användas för forskning eller framställning av statistik.

18 §

Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om det

behövs för

1. tillämpning av lag eller förordning eller särskilt beslut av regeringen,

2. rättelse,

3. tillsyn, uppföljning eller utvärdering, eller

4. urval för forskning eller framställning av statistik.

Uppgifter som avses i 7 § andra stycket 9 och 10 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

Uppgifter som avses i 7 § andra stycket 8 och 9 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

I fråga om handlingar som avses i 11 § får endast ärendebeteckning och

beteckning på handling användas som sökbegrepp.

Regeringen eller den myndighet regeringen bestämmer får föreskriva ytterligare

begränsningar av användningen av uppgifter som sökbegrepp.

Registerutdrag

Information

20 §

Registerutdrag beträffande register som förs gemensamt för Riksförsäkringsverket

 och de allmänna försäkringskassorna skall lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

registerutdrag enligt 10 § datalagen (1973:289). Av utdraget skall dock framgå

vilka handlingar avseende den registrerade som finns i registret.

Vid tillämpningen av denna lag gäller bestämmelserna i 23 och 25-27 §§

personuppgiftslagen (1998:204) om information till den registrerade om inte

annat följer av andra stycket. Beträffande register som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna skall informationen

lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

information enligt 26 § personuppgiftslagen. Av informationen skall dock framgå

vilka handlingar avseende den registrerade som finns i registret. Om den

enskilde begär det och anger vilken handling som avses skall emellertid, om inte

 annat följer av bestämmelser om sekretess, information lämnas även om uppgifter

 i sådana handlingar som avses i 11 §. I sistnämnda fall skall begränsningen i

26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång

per kalenderår gälla varje handling för sig.

21 §

Den som är registeransvarig för ett socialförsäkringsregister skall se till att

den som är eller avses bli registrerad på lämpligt sätt får information om

registret.

Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall se

till att den som är eller avses bli registrerad på lämpligt sätt får information

 om registret.

Informationen skall innehålla en beskrivning av de uppgifter som registret får

innehålla samt upplysning om

1. ändamålen med registret,

2. de sekretess- och säkerhetsbestämmelser som gäller för registret,

3. rätten att få registerutdrag och rättelse enligt datalagen (1973:289), samt

4. de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på medium

 för automatisk databehandling, sökbegrepp och bevarande av uppgifter som gäller

 för registret.

3. rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204),

4. rätten till rättelse enligt personuppgiftslagen och 21 a § denna lag, samt

5. de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på medium

 för automatiserad behandling, sökbegrepp och bevarande av uppgifter som gäller

för registret.

Rättelse och skadestånd

21 a §

Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd

gäller vid behandling av personuppgifter enligt denna lag eller anslutande

författningar.

Överklagande

21 b §

En myndighets beslut om rättelse och om information som skall lämnas enligt 26 §

 personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol.

Andra beslut enligt denna lag får inte överklagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1. Denna lag träder i kraft den 1 oktober 2001.

2. Beträffande personregister som avses i 1 § andra stycket andra meningen

skall, i fråga om sådan manuell behandling som avses i punkt 3 i

övergångsbestämmelserna till personuppgiftslagen (1998:204), bestämmelserna i

7-11 §§ denna lag inte börja tillämpas förrän den 1 oktober 2007.

3. Bestämmelserna om skadestånd i 21 a § skall inte tillämpas om den

omständighet som åberopas till grund för ersättningsanspråket har inträffat före

 lagens ikraftträdande.

4. Har en begäran om registerutdrag enligt 10 § datalagen (1973:289) kommit in

innan denna lag träder i kraft men har utdraget inte expedierats före

ikraftträdandet, skall framställningen anses som en ansökan om information

enligt denna lag.

3

Ärendet och dess beredning

I socialförsäkringsregisterlagen (1997:934), SofrL, särregleras automatiserad

behandling av personuppgifter inom socialförsäkringens administration. Lagen

gäller personregister för sådan verksamhet i fråga om socialförsäkringsförmåner

samt andra förmåner och ersättningar som enligt lag, förordning eller särskilt

beslut av regeringen ankommer på de allmänna försäkringskassorna,

Premiepensionsmyndigheten eller Riksförsäkringsverket

(socialförsäkringsregister).

När SofrL infördes gällde ännu datalagen (1973:289). SofrL är således uppbyggd

mot bakgrund av bestämmelserna i datalagen och innehåller även hänvisningar till

 denna lag. Datalagen har numera ersatts av personuppgiftslagen (1998:204), PUL.

 Enligt övergångsbestämmelserna till PUL skall datalagen gälla övergångsvis för

behandling av personuppgifter som utförs för ett visst bestämt ändamål om

behandlingen påbörjats före PUL:s ikraftträdande den 24 oktober 1998. Efter den

sista september 2001 upphör emellertid denna övergångsvisa reglering att gälla.

I departementspromemorian En begränsad översyn av socialförsäkringsregisterlagen

 (1997:934) föreslås en begränsad anpassning av SofrL med anledning av bl.a.

datalagens övergångsvisa upphörande.

Departementspromemorian har remissbehandlats. I bilaga 1 finns en förteckning

över remissinstanserna. En remissammanställning finns tillgänglig hos

Socialdepartementet (dnr 2000/4545/SF).

Det av regeringen nu framlagda förslaget till lag om ändring i SofrL utgör

endast en begränsad översyn av lagen i syfte att bättre anpassa denna till PUL.

Regeringen har emellertid för avsikt att under våren 2001 påbörja en översyn av

registerlagstiftningen inom socialförsäkringens administration i ett vidare

perspektiv.

Lagrådet

Regeringen beslutade den 8 februari 2001 att inhämta Lagrådets yttrande över det

 lagförslag som finns i bilaga 4. Lagrådets yttrande finns i bilaga 5.

Lagrådet lämnade förslaget utan erinran.

4 Bakgrund och utgångspunkter

4.1 Äldre registerlagstiftning

Socialförsäkringsregisterlagen (1997:934), SofrL, föregicks av två andra lagar,

lagen (1993:747) om sjukförsäkringsregister hos de allmänna försäkringskassorna,

 SjfrL och lagen (1994:1517) om socialförsäkringsregister, 1994 års SofrL.

Därtill fanns förordningar med närmare reglering av sjukförsäkringsregister hos

försäkringskassorna som utfärdats med stöd av 1994 års SofrL, samt en fristående

 förordning om bostadstilläggsregister. Vissa register inom socialförsäkringens

administration fördes också med stöd av tillstånd enligt den då gällande

datalagen (1973:289).

Lagen (1993:747) om sjukförsäkringsregister hos de allmänna

försäkringskassorna

Lagen trädde i kraft den 1 juli 1993. I lagen föreskrevs att varje lokalkontor

inom en allmän försäkringskassa med stöd av automatisk databehandling fick föra

ett sjukförsäkringsregister för sitt verksamhetsområde. Lagen reglerade också

försäkringskassans rätt att föra register över sjömän.

Registren fick användas för handläggning och förberedande åtgärder inför

handläggning av i lagen angivna ärendeslag. Registren fick också användas för

försäkringskassornas och Riksförsäkringsverkets (RFV) tillsyn, uppföljning och

utvärdering av ärendehanteringen samt för statistiska ändamål.

I SjfrL angavs i princip uttömmande vilka integritetskänsliga uppgifter som fick

 registreras. Den s.k. terminalåtkomsten reglerades på så sätt att endast de

lokalkontor inom en allmän försäkringskassa som förde registret fick ha tillgång

 till registret via sina terminaler. Lagen begränsade även möjligheterna att på

medium för automatisk databehandling lämna ut uppgifter från registren.

Möjligheterna att söka information om integritetskänsliga uppgifter i registren

var också begränsade. SjfrL innehöll vidare regler om gallring och de allmänna

försäkringskassornas informationsansvar till de registrerade. Informationen

skulle omfatta ändamålet med registret och de regler som på olika sätt skyddade

den enskilde.

Lagen (1994:1517) om socialförsäkringsregister

1994 års SofrL trädde i kraft den 1 juli 1995. Lagen reglerade de register hos

RFV och de allmänna försäkringskassorna som fördes med stöd av automatisk

databehandling för handläggning av ärenden om socialförsäkringsförmåner och

andra förmåner. 1994 års SofrL var i princip tillämplig på det område inom

socialförsäkringen som inte omfattades av SjfrL.

Lagen innehöll grundläggande generella bestämmelser för registerhantering inom

socialförsäkringens administration och omfattade registerändamål,

registerinnehåll, sambearbetning, registeransvar, terminalåtkomst, utlämnande av

 uppgifter på medium för automatisk databehandling, sökbegrepp, gallring samt

information.

Ett socialförsäkringsregister fick enligt 1994 års SofrL användas för

handläggning och förberedande åtgärder i ärenden om socialförsäkringsförmåner

och andra förmåner som enligt lag eller förordning ankom på de allmänna

försäkringskassorna eller RFV. Socialförsäkringsregister fick också användas för

 vissa utbetalningar, återbetalningar och inbetalningar som avsågs i SjfrL.

Identitets- och folkbokföringsuppgifter beträffande en person fick registreras.

Vidare fick registreras uppgifter om sådana ekonomiska och personliga

förhållanden som hade betydelse för rätten till och utbetalning av förmåner.

Detsamma gällde vid förberedande åtgärder inför handläggning av ett ärende.

Känsliga personuppgifter fick som huvudregel inte registreras. I lagen angavs

dock uttryckligen när undantag från förbudet fick göras.

4.2 Socialförsäkringsregisterlagen (1997:934)

Att ha två registerlagar som inte var kongruenta medförde negativa konsekvenser

i flera hänseenden. Bl.a. uppstod gränsdragningsproblem och pedagogiska problem

med att föra ut kunskaper om gällande reglering. Stora skillnader i behörigheten

 att besluta om registrens förande var ett annat problem. Mot bakgrund av det

anförda infördes den nu gällande socialförsäkringsregisterlagen (1997:934),

SofrL. Lagen trädde i kraft den 1 januari 1998 och ersatte då både SjfrL och

1994 års SofrL.

1997 års SofrL är en speciallag om personregister tillämplig i verksamheten hos

de allmänna försäkringskassorna, Premiepensionsmyndigheten (PPM) och

Riksförsäkringsverket (RFV). I lagen anges de grundläggande bestämmelser som har

 ansetts behövliga ur integritetsskyddssynpunkt.

Socialförsäkringsregister får enligt SofrL användas för handläggning och

förberedande åtgärder avseende ärenden om förmåner och ersättningar som de

allmänna försäkringskassorna, RFV eller PPM har att sköta enligt lag, förordning

 eller särskilt beslut av regeringen. Registren får vidare användas för

uppföljning, utvärdering och tillsyn samt statistikframställning i nämnda

verksamhet. Slutligen får registren användas av Statens pensionsverk och det

organ som administrerar personalpensioner gemensamt för kommunerna och

landstingen för viss handläggning av ärenden om utbetalning och samordning av

förmåner. Regeringen, eller den myndighet regeringen bestämt, får föreskriva i

vilken omfattning detta får ske.

Ett socialförsäkringsregister får innehålla uppgifter om en person som

förekommer i ett ärende som omfattas av lagen. En förutsättning för att

personuppgifter skall få registreras är dock att uppgifterna är av betydelse för

 handläggningen av ärendet.

Ärendeuppgifterna indelas i allmänna och särskilda uppgifter. Allmänna

ärendeuppgifter är identifierings- och adressuppgifter samt uppgifter om kön,

civilstånd, medborgarskap och födelseort. Särskilda ärendeuppgifter är

personliga och ekonomiska uppgifter som är av betydelse för handläggning av ett

ärende.

En grundläggande princip i SofrL är att särskilda ärendeuppgifter som kan

betraktas som känsliga personuppgifter inte får registreras. I vissa särskilt

angivna fall medges dock undantag. De känsliga personuppgifterna utgörs dels av

uppgifter som utgör omdöme eller annan värderande upplysning om den

registrerade, dels vissa i 4 § datalagen närmare angivna uppgifter. Dessa

uppgifter och de uppgifter som, trots att de är känsliga personuppgifter, ändå

får registreras behandlas närmare under avsnitt 5.3.

Socialförsäkringsregister kan under vissa förutsättningar genom s.k.

sambearbetning tillföras personuppgifter. Tillförande av uppgifter genom

sambearbetning får enligt SofrL ske dels från andra socialförsäkringsregister,

dels när det gäller uppgifter som lämnats till en allmän försäkringskassa, PPM

eller RFV med stöd av en särskild bestämmelse i lag eller förordning. Uppgifter

kan även tillföras ett socialförsäkringsregister genom att så föreskrivits i lag

 eller förordning eller efter beslut av Datainspektionen. En förutsättning för

att uppgifter ska få tillföras ett socialförsäkringsregister är dock att de

tillförda uppgifterna ryms inom såväl det tillåtna registerinnehållet som

registerändamålet. Bestämmelserna om sambearbetning är således underordnade

bestämmelserna om registerändamål och registerinnehåll.

Registeransvaret enligt SofrL överensstämmer med tidigare reglering i SjfrL och

1994 års SofrL. Frågan behandlas närmare i avsnitt 5.2.

Socialförsäkringsregister är i princip direktåtkomliga för den för vilken

registret förs. För ärendehandläggning och förberedande åtgärder kan, om det

behövs för i lagen angivna ändamål, även PPM, en allmän försäkringskassa eller

RFV ha direkt åtkomst till register som förs för annan eller andra än dem

själva.

I fråga om automatiserat utlämnande av personuppgifter från

socialförsäkringsregister gäller att utlämnande som har stöd i särskild

bestämmelse i lag eller förordning får ske genom automatiserat utlämnande. I

övrigt gäller att uppgifter i ett socialförsäkringsregister får utlämnas på

dylikt sätt endast om ett sådant utlämningssätt följer av lag, förordning eller

beslut av Datainspektionen eller om uppgiften skall användas för forsknings-

eller statistikändamål.

Bestämmelserna om sökbegrepp i SofrL överensstämmer i huvudsak med

bestämmelserna i 1994 års SofrL. Det innebär att särskilda restriktioner gäller

för användning av integritetskänsliga uppgifter som sökbegrepp. För de s.k.

elektroniska akterna, som reglerades först i nu gällande SofrL, får endast

ärendebeteckning och beteckning på handlingen användas som sökbegrepp.

Gallringfristerna i SofrL motsvarar också till stora delar vad som gällde enligt

 1994 års SofrL. Sålunda gäller för närvarande en tioårig gallringsfrist för

flertalet uppgifter som finns i registren. För handlingar i elektroniska akter

gäller en treårig gallringstid räknat från det år under vilket ärendet

avslutats. Undantag från dessa gallringstider kan i vissa fall föreskrivas för

ett urval av uppgifter för forskningsändamål.

Enligt SofrL ansvarar försäkringskassan för utlämnande av registerutdrag som

begärs med stöd av 10 § datalagen vad gäller de register som förs gemensamt för

RFV och de allmänna försäkringskassorna. Ett undantag från skyldigheten att

lämna registerutdrag görs för uppgifter i elektroniska akter. Det skall dock av

registerutdraget framgå vilka handlingar avseende den registrerade som finns i

en sådan akt.

SofrL innehåller slutligen också bestämmelser om information till den som är

eller avses bli registrerad i ett socialförsäkringsregister. Reglerna motsvarar

vad som reglerades därom i SjfrL och i 1994 års SofrL.

4.3 Datalagen (1973:289), dataskyddsdirektivet och

personuppgiftslagen (1998:204)

När socialförsäkringsregisterlagen (1997:934), SofrL, infördes gällde som

inledningsvis nämnts fortfarande datalagen (1973:289). Ett stort antal

hänvisningar görs därför i SofrL till datalagen. Den 24 oktober 1998 upphörde

datalagen att gälla och i stället trädde personuppgiftslagen (1998:204), PUL, i

kraft. Datalagen gäller dock övergångsvis fram till och med den 30 september

2001 för bl.a. behandling av personuppgifter som påbörjats före den 24 oktober

1998.

Datalagen (1973:289)

Datalagen innehöll grundläggande regler om inrättande och förande av

personregister med hjälp av automatisk databehandling. Syftet med lagen var att

skydda den enskilde mot otillbörligt integritetsintrång. Med personregister

avsågs i datalagen ett register, förteckning eller andra anteckningar som fördes

 med hjälp av automatisk databehandling och som innehöll personuppgift som kan

hänföras till den som avses med uppgiften.

Datalagen var uppbyggd så att den som skulle inrätta och föra ett personregister

 måste ha en licens utfärdad av Datainspektionen, som var tillsynsmyndighet

enligt lagen. För vissa register krävdes också ett särskilt tillstånd av

Datainspektionen. Detta gällde bl.a. de register som innehöll känsliga

personuppgifter, omdömen eller annan värderande upplysning om den registrerade.

Register inrättade efter beslut av riksdagen eller regeringen var undantagna

från kravet på tillståndsplikt. Undantagna var också personregister som en

enskild person inrättade eller förde uteslutande för personligt bruk samt några

andra register utan direkt betydelse i detta sammanhang.

Personregister skulle föras så att otillbörligt intrång i den registrerades

personliga integritet inte uppkom. Den registeransvarige var skyldig att se till

 att s.k. "god registersed" iakttogs vid förandet av personregistret. Förutom de

 övergripande kraven på licens, "god registersed" och i vissa fall särskilt

tillstånd för förande av dataregister, fanns också särskilda bestämmelser som

var avsedda att garantera att personuppgifterna skulle vara riktiga och

fullständiga. Dessa bestämmelser reglerade bl.a. rättelser och kompletteringar

av oriktiga eller missvisande uppgifter.

Den enskildes rätt till insyn i ett personregister reglerades genom möjligheten

att skriftligen begära ett s.k. registerutdrag, som lämnades högst en gång per

år. Ett sådant utdrag skulle innehålla de personuppgifter som fanns om den

enskilde i registret eller upplysning om att sådan uppgift inte fanns

registrerad.

Någon direkt gallringstid för personuppgifter gavs inte i datalagen.

Personuppgift skulle i stället utgå ur registret när uppgiften inte längre

behövdes med hänsyn till registerändamålet. Detta gällde emellertid bara om det

inte föreskrivits att uppgiften skulle bevaras.

Dataskyddsdirektivet

År 1995 antogs Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober

 1995 om skydd för enskilda personer med avseende på behandling av

personuppgifter och om det fria flödet av sådana uppgifter

(dataskyddsdirektivet).

EG-direktivet gäller för behandling av personuppgifter som helt eller delvis

företas på automatisk väg oavsett om uppgifterna ingår i ett register eller inte

 samt även viss manuell hantering av personuppgifter.

Syftet med direktivet är att garantera dels en hög skyddsnivå när det gäller

enskilda personers fri- och rättigheter med avseende på behandling av

personuppgifter, dels en likvärdig skyddsnivå i alla medlemsstater. Staterna

skall därmed inte kunna hindra det fria flödet mellan dem av personuppgifter

under hänvisning till enskilda personers fri- och rättigheter.

EG-direktivet ger dock medlemsstaterna viss möjlighet att - inom direktivets

ramar - närmare precisera villkoren för när behandling av personuppgifter är

tillåtet.

Utanför EG-direktivets tillämpningsområde faller behandling av personuppgifter

inom områden som inte omfattas av gemenskapsrätten, bl.a. allmän säkerhet,

statens säkerhet och statens verksamhet på straffrättens område. Direktivet

gäller heller inte för sådan behandling av personuppgifter som en fysisk person

utför som ett led i en verksamhet av rent privat natur. Från EG-direktivets

materiella regler undantas också behandling av personuppgifter för

journalistiska, konstnärliga och litterära ändamål.

Enligt artikel 8.1 i EG-direktivet skall medlemsstaterna förbjuda behandling av

personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter,

religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter

som rör hälsa eller sexualliv. Vissa undantag gäller dock från förbudet att

registrera sådana känsliga personuppgifter (se avsnitt 5.3).

Personuppgiftslagen (1998:204)

Personuppgiftslagen (1998:204), PUL, ersatte den 24 oktober 1998 datalagen

(1973:289). Genom den nya lagen genomförs EG-direktivet.

Med personuppgift avses i PUL all slags information som direkt eller indirekt

kan hänföras till en fysisk person som är i livet. Behandling av personuppgifter

 omfattar varje åtgärd eller serie av åtgärder som vidtas i fråga om

personuppgifter, vare sig det sker på automatisk väg eller inte. Sådan

behandling är tillåten dels om den enskilde samtyckt, dels i vissa andra närmare

 angivna fall. Ett sådant fall är när behandlingen sker i samband med

myndighetsutövning. För behandling av känsliga personuppgifter gäller särskilda

regler. Se vidare avsnitt 5.3.

PUL är generellt tillämplig, teknikoberoende och hänför sig när det gäller

automatiserad behandling av personuppgifter inte till registerbegreppet. Lagen

riktar sig i stället direkt till den personuppgiftsansvarige med vissa

grundläggande krav på behandling av personuppgifter. Se nedan avsnitt 5.2.

Enligt PUL skall den personuppgiftsansvarige självmant lämna information om

behandlingen av personuppgifter till den registrerade. När denna information

skall ges är beroende av varifrån uppgifterna samlats in - från den registrerade

 själv eller från någon annan källa - och om uppgifterna är avsedda att lämnas

ut till tredje man. Information till den enskilde skall också ges efter ansökan

av denne. Se vidare avsnitt 5.4.

Rättelse skall ske av personuppgifter som inte har behandlats i enlighet med

PUL, eller föreskrifter som utfärdats med stöd av lagen, om den registrerade

begär det. Rättelse enligt PUL kan innebära såväl rättelse som blockering eller

utplånande av uppgift. Den personuppgiftsansvarige är som huvudregel också

skyldig att underrätta tredje man, till vilken uppgifterna har lämnats ut, om

rättelsen, om den registrerade begär det eller om mer betydande skada eller

olägenhet skulle kunna undvikas genom en underrättelse. Undantag från

skyldigheten att underrätta tredje man medges bl.a. om det skulle innebära en

oproportionerligt stor arbetsinsats.

Om en registrerad har drabbats av skada eller kränkning av den personliga

integriteten på grund av att personuppgifter behandlats i strid med PUL skall

den personuppgiftsansvarige ersätta den registrerade härför. Rätten till

ekonomisk kompensation för olaglig behandling gäller ersättning för såväl

kränkning som för person-, sak- och förmögenhetsskada. Att skadestånd kan utges

för behandling i strid med PUL innebär också att ersättning kan utges om

behandlingen står i strid med kravet på god sed vid behandling av

personuppgifter. Ersättningsskyldigheten kan i skälig omfattning jämkas om den

personuppgiftsansvarige visar att felet inte berodde på denne.

PUL innehåller också straffbestämmelser för den som på olika sätt handlar eller

underlåter att handla i överensstämmelse med lagen.

4.4 Författningsreglering avseende myndighetsregister

Utöver vad som nu redovisats finns en omfattande författningsreglering avseende

automatiserad behandling av personuppgifter som utförs av myndigheter.

I den utsträckning ett personregister tidigare var reglerat i annan författning

än datalagen gällde att det registret var undantaget Datainspektionens

tillståndsprövning och föreskriftsrätt.

Personuppgiftslagen (1998:204), PUL, gör inget undantag för behandling av

personuppgifter som utförs av en myndighet, utan gäller generellt. I förarbetena

 till PUL uttalas emellertid att det inom den offentliga sektorn förekommer

stora mängder känsliga personuppgifter och uppgifter som har inhämtats med stöd

av straffsanktionerad uppgiftsplikt, varför lagen inte rimligen kan ersätta de

många preciserade och viktiga regler som finns i befintliga

registerförfattningar. Vidare konstateras att det - inom offentlig verksamhet -

är särskilt viktigt med ett starkt integritetsskydd för behandling av uppgifter

och att det traditionella svenska systemet med särregler i särskilda

författningar är att föredra framför generella undantag från PUL ( prop.

1997/98:44 s 41).

4.5 En begränsad översyn av socialförsäkringsregisterlagen (1997:934)

När socialförsäkringsregisterlagen (1997:934), SofrL, infördes gällde ännu

datalagen (1973:289). SofrL är således uppbyggd mot bakgrund av bestämmelserna i

 datalagen och innehåller även hänvisningar till denna lag. Datalagen har numera

 ersatts av personuppgiftslagen (1998:204), PUL. Enligt övergångsbestämmelserna

till PUL skall datalagen gälla övergångsvis för behandling av personuppgifter

som utförs för ett visst bestämt ändamål om behandlingen påbörjats före PUL:s

ikraftträdande den 24 oktober 1998. Efter den 30 september 2001 upphör

emellertid denna övergångsvisa reglering att gälla.

När datalagen upphör att gälla även övergångsvis behöver SofrL ändras i syfte

att anpassa lagen till PUL. Den generellt tillämpliga PUL föranleder också behov

 av vissa andra förändringar i SofrL.

SofrL har i nuvarande utformning ett mer begränsat tillämpningsområde än PUL.

Bestämmelserna i PUL behandlar inte bara register som förs helt eller delvis med

 hjälp av automatisk databehandling utan i huvudsak all behandling av

personuppgifter som helt eller delvis är automatiserad och även viss manuell

hantering av sådana uppgifter. Enligt regeringens mening bör SofrL nu anpassas

till PUL såtillvida att lagen även skall gälla viss manuell hantering av

personuppgifter.

Vissa begrepp som definieras i PUL bör vidare få motsvarande betydelse i SofrL.

Regeringen anser även att bestämmelserna i PUL, om den personuppgiftsansvariges

ansvar för rättelse m.m. och skadeståndsansvar mot den registrerade för skada

och kränkning av den personliga integriteten bör gälla även när personuppgifter

behandlats i strid med de mer preciserade reglerna i SofrL.

När det gäller vilka uppgifter som får registreras föreslår regeringen

emellertid ingen ändring i SofrL:s systematik. Även fortsättningsvis skall

alltså vissa allmänna ärendeuppgifter och sådana särskilda ärendeuppgifter som

har betydelse för handläggning av ärenden om socialförsäkringsförmåner m.m, och

som inte är särskilt integritetskänsliga, få registreras.

När det gäller de särskilt integritetskänsliga uppgifterna bör emellertid en

anpassning ske av vilka uppgifter som avses därmed till vad som gäller enligt

PUL. Samma regler som gäller för särskilt integritetskänsliga uppgifter bör

gälla också i fråga om sådana uppgifter om brott och frihetsberövanden m.m som

avses i 21 § PUL. En anpassning bör också göras av den s.k. undantagskatalogen i

 SofrL, som anger i vilken utsträckning särskilt integritetskänsliga uppgifter

får registreras.

I fråga om uppgiftslämnande till enskild när information samlas in föreslås

ingen särreglering. Detta innebär att den personuppgiftsansvarige i enlighet med

 PUL:s bestämmelse är skyldig att informera den enskilde om avsedd behandling av

 personuppgifter när dessa samlas in från den enskilde själv. I övrigt krävs

ingen ytterligare information vid insamlandet av personuppgifter än vad som

följer av dagens regler i SofrL.

Information skall enligt PUL också lämnas till den enskilde efter ansökan av

denne. Regeringen anser dock att sådan information - i likhet med vad som för

närvarande gäller i fråga om registerutdrag enligt 10 § datalagen - inte behöver

 innehålla personuppgifter i sådana handlingar som avses i 11 § SofrL, dvs. i

s.k. elektroniska akter. Av informationen skall dock framgå vilka handlingar som

 finns beträffande den registrerade. Vidare skall information om uppgifter i

sådana handlingar lämnas om den enskilde därefter, eller i samband med den

första ansökan, preciserar vilken eller vilka handlingar som han eller hon vill

ha information om.

Regeringen föreslår för närvarande ingen förändring vad gäller

registerbegreppet. Den begränsade anpassning av SofrL som nu är i fråga har inte

 gett utrymme för samtliga de överväganden som krävs för att antingen helt

frångå ett samlingsbegrepp eller för att till viss del byta ut det nuvarande

registerbegreppet.

Som tidigare anförts är regeringen emellertid medveten om behovet av en mer

övergripande översyn av registerlagstiftningen inom socialförsäkringens

administration. Under arbetet med detta förslag har också framkommit synpunkter

och önskemål från företrädare för bl.a. Riksförsäkringsverket (RFV) och

Premiepensionsmyndigheten (PPM) om andra tänkbara förändringar i SofrL. Detta

gäller bl.a. frågor om utökad användning av internet, elektroniska signaturer,

elektronisk kommunikation i övrigt samt automatiserat utlämnande till annan än

den enskilde. För närvarande pågår ett omfattande utvecklingsarbete för

modernisering av IT-stödet för RFV och de allmänna försäkringskassorna, bl.a.

redovisat i RFV:s Rapport om regelöversyn inför IT-baserade

ärendehanteringssystem m.m, (Dnr 10066/1999) jämte RFV:s Kommentarer och

förtydliganden till denna rapport. Enligt regeringens mening bör dessa frågor

lämpligen behandlas mer utförligt i ett sammanhang. Regeringen avser därför att

under våren 2001 påbörja en sådan mer utvidgad översyn.

5 Den materiella regleringen

5.1 Lagens tillämpningsområde

Regeringens förslag: Socialförsäkringsregisterlagens (1997:934)

tillämpningsområde utsträcks och kommer att omfatta personregister som förs helt

 eller delvis automatiserat liksom vissa manuella register.

Promemorians förslag överensstämmer med regeringens.

Remissinstanserna: De flesta remissinstanser har lämnat förslaget i huvudsak

utan erinran. Datainspektionen och Riksförsäkringsverket (RFV) anser emellertid

att det kan ifrågasättas om det finns tillräckliga skäl att avvika från

personuppgiftslagen (1998:204), PUL:s, tillämpningsområde på sådant sätt att

även uppgifter hänförliga till avlidna skall omfattas av SofrL:s

tillämpningsområde. RFV har vidare påpekat att SofrL i föreslagen lydelse inte

omfattar de uppgifter som är avsedda att ingå i ett register, varför PUL:s

bestämmelser i stället gäller i dessa fall. Verket har härvid menat att

lagstiftningen skulle bli tydligare om allt reglerades på ett och samma ställe.

Skälen för regeringens förslag: Socialförsäkringsregisterlagen (1997:934) SofrL

gäller för personregister för sådan verksamhet i fråga om

socialförsäkringsförmåner m.m. som hanteras av de allmänna försäkringskassorna,

RFV eller Premiepensionsmyndigheten (PPM). Med personregister förstås detsamma

som i datalagen (1973:289), nämligen register, förteckning eller andra

anteckningar som förs med hjälp av automatisk databehandling och som innehåller

personuppgift som kan hänföras till den som avses med uppgiften.

SofrL gäller alltså i nuvarande lydelse endast behandling av uppgifter med hjälp

 av automatiserad behandling. PUL däremot omfattar även viss manuell hantering

av personuppgifter. I 5 § första stycket PUL föreskrivs inledningsvis att lagen

gäller behandling av personuppgifter som är helt eller delvis automatiserad. Av

andra stycket i samma paragraf framgår vidare att PUL även gäller för annan

behandling av personuppgifter om uppgifterna ingår i eller är avsedda att ingå i

 en strukturerad samling av personuppgifter som är tillgängliga för sökning

eller sammanställning enligt särskilda kriterier. Bestämmelsen i 5 § PUL grundas

 i sin tur på artikel 3 i dataskyddsdirektivet, som anger att utöver behandling

av personuppgifter som helt eller delvis företas på automatisk väg, gäller

direktivet annan behandling än automatisk av personuppgifter som ingår i eller

kommer att ingå i ett register. Med register avses i direktivet varje

strukturerad samling av personuppgifter som är tillgänglig enligt särskilda

kriterier, oavsett om samlingen är centraliserad, decentraliserad eller spridd

på grundval av funktionella eller geografiska förhållanden.

Begreppet register används emellertid inte i PUL, bl.a. därför att det i en

sammansatt och komplex datormiljö blivit allt svårare att skilja ett register

från ett annat. Avsikten är dock inte att PUL:s bestämmelser skall ha ett mer

vidsträckt tillämpningsområde än EG-direktivet. I förarbetena till PUL anges

också, att det är först när en stor mängd personuppgifter på papper har

strukturerats på något sätt som det går att hitta bland uppgifterna på ett

enkelt sätt och att det är först då som egentliga integritetsrisker med

behandlingen uppkommer (jfr prop. 1997/98:44 s. 39 ff.).

Om SofrL:s tillämpningsområde inte ändras kommer behandling av personuppgifter i

 register inom socialförsäkringens administration alltjämt att följa två olika

lagar - SofrL vad avser automatisk databehandling och PUL vad gäller viss annan

hantering. Regeringen anser detta vara mindre lämpligt. SofrL:s

tillämpningsområde bör därför anpassas till vad som gäller enligt PUL och

således avse dels behandling av personuppgifter i register som förs helt eller

delvis automatiserat, dels viss manuell hantering av sådana uppgifter. Som RFV

påpekat kommer dock alltjämt automatiserad behandling av personuppgifter som

inte ingår i ett personregister att falla utanför SofrL:s tillämpningsområde.

Detta gäller då också t.ex. behandling av personuppgifter som är avsedda att

ingå i ett sådant register. I dessa fall blir i stället PUL:s allmänna

bestämmelser om behandling av personuppgifter tillämpliga, då PUL gäller för all

 automatiserad behandling av personuppgifter oavsett om behandlingen sker i

registerform eller i löpande text. Begränsningen i SofrL är en följd av att

SofrL:s nuvarande konstruktion är sådan att lagens tillämpningsområde är

begränsat till att gälla behandling av personuppgifter i registerform. Någon

ändring härvidlag föreslås inte här. Frågan om SofrL:s tillämpningsområde kommer

 dock att närmare ses över vid en utvidgad översyn av lagen (se avsnitt 4.5).

I ett avseende bör dock SofrL:s tillämpningsområde vara vidare än PUL:s. Detta

gäller uppgifter som kan hänföras till avlidna. SofrL har allt sedan lagens

tillkomst gällt även för sådana uppgifter. Skälet till detta är att det inom

socialförsäkringens administration förekommer en stor mängd personliga uppgifter

 som är hänförliga till avlidna. Enligt regeringens mening finns ingen anledning

 att nu frångå denna högre skyddsnivå.

5.2 Registeransvar

Regeringens förslag: Begreppen registeransvar och registeransvarig i

socialförsäkringsregisterlagen (1997:934), SofrL, ändras till

personuppgiftsansvar och personuppgiftsansvarig. Även andra begrepp och rubriker

 i SofrL anpassas till vad som gäller enligt personuppgiftslagen (1998:289),

PUL.

Vad som föreskrivs i PUL om skyldighet för en personuppgiftsansvarig att rätta,

blockera och utplåna uppgifter, att underrätta tredje man till vilken

uppgifterna har lämnats ut, samt om skadestånd skall gälla även när

personuppgifter har behandlats i strid med SofrL.

Myndigheters beslut om information som skall lämnas enligt 26 § PUL och om

rättelse skall kunna överklagas hos allmän förvaltningsdomstol.

Promemorians förslag överensstämmer delvis med regeringens. Dock har i förslaget

 paragraferna om rättelse och skadestånd lagts samman till en paragraf, för att

bättre överensstämma med annan registerlagstiftning. Vidare har lagts till en

bestämmelse som ger den enskilde möjlighet att överklaga en myndighets beslut om

 rättelse och om information som skall lämnas enligt 26 § PUL.

Remissinstanserna: Remissinstanserna tillstyrker eller har inte något att erinra

 mot förslaget.

Skälen för regeringens förslag: De bestämmelser i socialförsäkringsregisterlagen

 (1997:934), SofrL, datalagen (1973:289) och personuppgiftslagen (1998:289),

PUL, som åsyftar ett skydd för den personliga integriteten förutsätter att någon

 ansvarar för behandlingen av de uppgifter lagregleringen avser.

I SofrL och datalagen används begreppet registeransvarig. Med registeransvarig

avses den för vars verksamhet personregister förs, om han förfogar över

registret.

Registeransvaret enligt SofrL åvilar olika juridiska personer beroende på för

vem ett register förs. Registeransvarig för socialförsäkringsregister som förs

gemensamt för Riksförsäkringsverket (RFV) och de allmänna försäkringskassorna är

 RFV. Varje försäkringskassa är dessutom registeransvarig för sådant register

när det gäller behandling av uppgifter hos den försäkringskassan. För register

som förs särskilt för en allmän försäkringskassa eller ett lokalt organ inom

denna är den försäkringskassan registeransvarig. I fråga om

socialförsäkringsregister som förs särskilt för Premiepensionsmyndigheten (PPM)

är myndigheten registeransvarig. RFV är registeransvarigt för

socialförsäkringsregister som förs särskilt för verket.

I PUL används i stället begreppet personuppgiftsansvarig. Med

personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer

 ändamålen med och medlen för behandlingen av personuppgifter.

Det ansvar en registeransvarig har enligt datalagen och SofrL överensstämmer i

stort med det ansvar en personuppgiftsansvarig har enligt PUL. De skillnader som

 finns är huvudsakligen av redaktionell art, av mindre betydelse eller sådant

som det möjligen kan anses ha varit underförstått att den som enligt den

tidigare regleringen var registeransvarig skulle ansvara för.

Olika begrepp för i princip samma sak inom regleringar avseende behandlingen av

personuppgifter underlättar knappast för dem som skall tillämpa lagstiftningen

eller för andra som vill ta del av denna. Det saknas därför enligt regeringens

uppfattning skäl att bibehålla begreppet registeransvar i SofrL. Begreppet

registeransvar bör således ersättas med begreppet personuppgiftsansvar. SofrL

bör även i övrigt anpassas så att de begrepp och rubriker som används i lagen

ges samma betydelse som enligt PUL.

Enligt PUL har en personuppgiftsansvarig också ett ansvar för att

personuppgifterna som behandlas är riktiga och för att bl.a. rätta, blockera och

 utplåna uppgifter samt underrätta tredje man, till vilken uppgifterna har

lämnats ut, om personuppgifter är oriktiga eller har behandlats i strid med

PUL. Den personuppgiftsansvarige är enligt PUL också skadeståndsansvarig mot den

 registrerade för skada och kränkning av den personliga integriteten som en

behandling av personuppgifter i strid med lagen har orsakat. Vad som nu sagts om

 rättelse m.m. och skadestånd bör enligt regeringens mening gälla även när

personuppgifter behandlas i strid med de mer preciserade reglerna i SofrL.

Vidare bör beslut av myndigheter, med undantag för beslut av rent administrativ

eller intern karaktär, som direkt berör enskilda kunna överklagas. Det gäller

bl.a. beslut att avslå en ansökan om information om pågående behandling och

beslut att avslå en begäran om rättelse. Besluten bör överklagas till allmän

förvaltningsdomstol och det bör krävas prövningstillstånd för överklagande till

kammarrätten.

5.3 Känsliga personuppgifter m.m.

Regeringens förslag: Personuppgifter som avslöjar ras eller etniskt ursprung,

politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i

fackförening eller som rör hälsa eller sexualliv (känsliga personuppgifter)

skall inte få behandlas i ett socialförsäkringsregister. Detsamma skall gälla

personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål,

straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Vissa i

lagen närmare angivna undantag, framför allt vad gäller hälsa, skall dock gälla.

 Vidare skall även i fortsättningen bara sådana särskilda ärendeuppgifter som

har betydelse för handläggning av ärenden om socialförsäkringsförmåner m.m. få

registreras.

Promemorians förslag överensstämmer med regeringens.

Remissinstanserna: Kammarrätten i Jönköping framhåller att behandling av

känsliga personuppgifter som inte sker i register eller i elektroniska akter

inte regleras i lagförslaget, varför PUL:s allmänna bestämmelser i stället blir

tillämpliga. Enligt kammarrättens mening blir kontrasten till SofrL:s

detaljerade reglering stor och väcker farhågor. Riksförsäkringsverket (RFV)

avstyrker förslaget och anser att dataskyddsdirektivet och PUL ger stöd för en

registerreglering som inte detaljreglerar vilka personuppgifter (känsliga eller

icke känsliga) som skall få registreras. RFV menar att socialförsäkringens

administration bör få registrera de uppgifter som behövs för att kunna handlägga

 de olika förmånerna och bidragen, varvid de materiella reglerna för de olika

ärendeslagen kommer att styra vilken information som lagras i registren. Övriga

remissinstanser har inte haft något att erinra mot förslaget eller har avstått

från att yttra sig.

Skälen för regeringens förslag: En central fråga vid lagstiftning om behandling

av personuppgifter är hänsynen till den enskildes personliga integritet. Av stor

 betydelse är därvid vilka personuppgifter som får registreras, liksom

naturligtvis åtkomsten till dessa uppgifter.

Enligt 2 kap. 3 § andra stycket regeringsformen skall varje medborgare, i den

utsträckning som närmare anges i lag, skyddas mot att hans personliga integritet

 kränks genom att uppgifter om honom registreras med hjälp av automatiserad

behandling. I lagstiftning avseende register som förs med hjälp av automatiserad

 behandling har också i stor utsträckning föreskrivits begränsningar både vad

gäller vilka uppgifter rörande en person som får registreras och beträffande

åtkomsten till dessa uppgifter.

Som tidigare nämnts innehöll datalagen (1973:289) allmänna bestämmelser om

inrättande och förande av personregister. I socialförsäkringsregisterlagen

(1997:943), SofrL, hänvisas till datalagen även när det gäller registrering av

särskilda ärendeuppgifter. Vissa förändringar i SofrL beträffande registrering

av känsliga personuppgifter m.m. är därför nödvändiga med anledning av att

datalagen den 30 september 2001 upphör att gälla även övergångsvis.

Datalagen (1973:289)

I fråga om vilka uppgifter om en person som fick registreras föreskrevs i 4 och

6 §§ datalagen vissa begränsningar.

Bestämmelserna i 4 § första stycket avsåg uppgifter rörande brott och olika

former av tvångsingripanden, närmare bestämt uppgifter om att någon misstänkts

eller dömts för brott, avtjänat straff eller undergått annan påföljd för brott,

eller varit föremål för tvångsingripande enligt närmare angivna lagar.

Rätten att registrera någon eller några av dessa uppgifter begränsades genom att

 det, förutom det allmänna kravet på licens utfärdat av Datainspektionen, också

krävdes ett särskilt tillstånd för inrättande och förande av personregister som

innehöll någon eller några av dessa uppgifter. Sådant tillstånd fick meddelas

annan än myndighet som enligt lag eller annan författning hade att föra

förteckning över sådana uppgifter endast om det förelåg synnerliga skäl.

I 4 § andra stycket datalagen begränsades möjligheten för annan än myndighet som

 enligt lag eller annan författning hade att föra förteckning över uppgifter om

någons sjukdom, hälsotillstånd eller sexualliv eller uppgift om att någon fått

ekonomisk hjälp eller vård inom socialtjänsten eller varit föremål för åtgärd

enligt utlänningslagen (1989:529).

Enligt 4 § tredje stycket gällde en generell begränsning med krav på särskilda

skäl för tillstånd att inrätta och föra register som innehöll uppgifter om

någons ras, politiska uppfattning, religiösa tro eller övertygelse i övrigt.

Slutligen föreskrevs i 6 § andra stycket att Datainspektionen, vid bedömande av

om det behövdes särskilda föreskrifter för ett register för att förebygga risk

för otillbörligt intrång i personlig integritet, särskilt skulle beakta om

registret innehöll uppgifter som utgjorde omdöme eller annan värderande

upplysning.

Socialförsäkringsregisterlagen (1997:934)

I socialförsäkringsregisterlagen (1997:934), SofrL, har valts tekniken att ange

vilka uppgifter som får registreras på ett så klart sätt som möjligt. Eftersom

det är fråga om en mycket stor mängd uppgifter har en fullständig uppräkning

emellertid varken varit möjlig eller önskvärd.

När det gäller vilka personer som får registreras anges i 5 § SofrL att ett

socialförsäkringsregister får innehålla uppgifter om en person om denne

förekommer i ett ärende som det ankommer på de allmänna försäkringskassorna, RFV

 eller Premiepensionsmyndigheten (PPM) att handlägga eller, när det är fråga om

förberedande åtgärder för handläggning, som kan förekomma i ett sådant ärende.

En förutsättning är dock att uppgifter om personen har betydelse för

handläggningen av ärendet.

De uppgifter som får registreras enligt SofrL delas upp i allmänna och särskilda

 ärendeuppgifter. Med allmänna ärendeuppgifter avses identifierings- och

adressuppgifter samt uppgifter om kön, civilstånd, medborgarskap och födelseort.

 Särskilda ärendeuppgifter är uppgifter om sådana ekonomiska och personliga

förhållanden som har betydelse för handläggning av socialförsäkringsärenden.

Integritetskänsliga uppgifter får enligt SofrL i princip inte registreras. Med

integritetskänsliga uppgifter avses sådana särskilda ärendeuppgifter som avses i

 4 § datalagen eller uppgifter som utgör omdöme eller annan värderande

upplysning om den registrerade. SofrL medger dock genom undantag att vissa i

lagen närmare angivna uppgifter får registreras även om de skulle vara

integritetskänsliga. Dessa undantag är i huvudsak hänförliga till förhållanden

som rör enskildas hälsa och räknas upp i 7 § andra och tredje styckena samt i 9

§ i SofrL. Uppgifter som registreras med stöd av bestämmelserna i 7 § andra

eller tredje stycket SofrL skall enligt 8 § SofrL anges så kortfattat som

möjligt.

Regleringen om vilka uppgifter som ett socialförsäkringsregister får innehålla

är avsedd att vara i princip heltäckande. I SofrL har emellertid föreskrivits

att regeringen ytterligare får begränsa innehållet i ett

socialförsäkringsregister. Om det behövs för angelägna uppföljningsändamål får

regeringen också föreskriva att uppgifter om sjukdomsdiagnos i begränsad

omfattning får registreras i vissa närmare angivna socialförsäkringsregister.

Bestämmelserna om vilka integritetskänsliga uppgifter som får registreras i ett

socialförsäkringsregister gäller enligt 11 § SofrL inte för s.k. elektroniska

akter. I en sådan akt kan samlas all den information som behövs för

handläggningen av ett ärende. Akten skapas genom att inkomna handlingar läses

eller scannas in i ett datorbaserat system eller genom att handläggaren gör

tjänsteanteckningar eller skriver promemorior direkt i systemet. Syftet bakom

särbestämmelserna för elektronisk akthantering är att uppnå en rationell,

rättssäker och effektiv handläggning med stöd av automatiserad behandling.

Elektroniska akter får således innehålla alla handlingar som har kommit in i

eller framställts i ett visst ärende. En förutsättning för att

integritetskänsliga uppgifter i sådana handlingar skall få registreras är

emellertid att de har lämnats i ärendet eller att de behövs för handläggningen

av ärendet. I stället för att reglera vilka integritetskänsliga uppgifter som

får registreras i elektroniska akter har föreskrivits begränsningar vad gäller

sökbegrepp, gallringstid och direkt åtkomst. Som sökbegrepp får användas endast

ärendebeteckning och beteckning på handling. I lagen föreskrivs också en kortare

 gallringsfrist för handlingar i elektroniska akter. Sådana handlingar skall

gallras ut senast tre år efter utgången av det år under vilket ärendet har

avslutats. För övriga uppgifter som registrerats med stöd av SofrL gäller en

gallringstid om tio år från registrering, såvida inte uppgifterna fortfarande

kan antas ha betydelse för handläggning av ett socialförsäkringsärende.

Slutligen är också möjligheten till direkt åtkomst begränsad vad avser

elektroniska akter.

Dataskyddsdirektivet och personuppgiftslagen (1998:204)

Enligt artikel 8.1 i dataskyddsdirektivet skall medlemsstaterna förbjuda

behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska

 åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt

uppgifter som rör hälsa och sexualliv.

Vissa undantag gäller dock från förbudet att behandla sådana känsliga

personuppgifter bl.a. efter den enskildes uttryckliga samtycke, vid nödvändig

behandling inom arbetsrätten, för ideella föreningars medlemsregister och för

administration inom hälso- och sjukvård. Känsliga personuppgifter får även

behandlas om det är nödvändigt exempelvis för att rättsliga anspråk skall kunna

fastställas, göras gällande eller försvaras. Vidare får regeringen eller den

myndighet regeringen bestämmer i fråga om automatiserad behandling, meddela

föreskrifter om ytterligare undantag, om det behövs med hänsyn till ett viktigt

allmänt intresse.

Personuppgiftslagen (1998:204), PUL, genomför som tidigare nämnts EG-direktivet.

 Enligt 13 § PUL är det således i princip förbjudet att behandla känsliga

personuppgifter. PUL:s definition av känsliga personuppgifter överensstämmer

också med de uppgifter som enligt artikel 8.1 i direktivet inte får behandlas

annat än i närmare angivna undantagssituationer.

Enligt regeringens bedömning bör inte heller den reglering som ges i SofrL om en

 allmän begränsning vad avser registrering av känsliga personuppgifter avvika

från dataskyddsdirektivet och PUL. Den hänvisning som nu görs till 4 § datalagen

 bör därför ersättas med en hänvisning till bestämmelsen om känsliga

personuppgifter i 13 § PUL.

Liksom när det gäller PUL kommer därmed vissa uppgifter som det tidigare gällt

begränsningar för i 7 § SofrL att falla utanför den nya regleringen. Den

allmänna begränsningen i SofrL om att särskilda ärendeuppgifter, till vilka

känsliga personuppgifter hör, bara får registreras om de har betydelse för

handläggning av ärenden om socialförsäkringsförmåner m.m. som det ankommer på de

 allmänna försäkringskassorna, RFV eller PPM att hantera bör emellertid även

fortsättningsvis gälla. Detta kommer även framöver att begränsa möjligheterna

att registrera uppgifter som nu kommer att falla utanför regleringen om känsliga

 personuppgifter.

Uppgifter om lagöverträdelser m.m. definieras inte som känsliga personuppgifter

i 13 § PUL. Sådana uppgifter är dock otvivelaktigt också av känslig natur och

får enligt artikel 8.5 i dataskyddsdirektivet och 21 § PUL normalt bara

behandlas av myndigheter. Även uppgifter om lagöverträdelser m.m. bör därför

omfattas av de särskilda begränsningarna i SofrL och alltså i detta sammanhang

likställas med känsliga personuppgifter.

I 16 § PUL medges - under rubriken Nödvändig behandling - i vissa angivna fall

undantag från förbudet att behandla känsliga personuppgifter. Det skulle i och

för sig vara möjligt att anpassa SofrL härtill genom att föreskriva att

uppgifter som avses i 13 och 21 §§ PUL får registreras i

socialförsäkringsregister endast om det är nödvändigt för att anspråk på

socialförsäkringsförmåner m.m. skall kunna fastställas. Alternativt skulle

bestämmelsen i 6 § tredje stycket SofrL om att särskilda ärendeuppgifter får

registreras endast om de har betydelse för handläggning av ärenden om

socialförsäkringsförmåner m.m. kunna skärpas och anpassas till 16 § PUL

samtidigt som de uttryckliga undantagen från förbudet togs bort. Nu nämnda

alternativ skulle emellertid inte, enligt regeringens mening, lika tydligt som

den nuvarande regleringen ange i vilka situationer känsliga personuppgifter och

uppgifter om lagöverträdelser m.m. får registreras. Även om uppräkningen i

SofrL, om vilka sådana uppgifter som får registreras och när det får ske, kan

synas otymplig måste det ändå anses vara av värde för den enskilde att

regleringen är tydlig. Noteras bör härvid även att det alltjämt ges möjlighet

att i vissa fall registrera uppgifter om fråga om återbetalningsskyldighet har

uppkommit (p. 11). Detta har sin förklaring i att grunden för den enskildes

återbetalningsskyldighet kan vara att denne har lämnat oriktiga uppgifter eller

orsakat att felaktiga uppgifter lämnats, vilket i sin tur kan innefatta ett

brottsligt förfarande (jfr. prop. 1996/97:155 s. 49).

RFV har för sin del förespråkat en ordning som inte detaljreglerar vilka

uppgifter som skall få registreras. Verket menar att socialförsäkringens

administration bör få registrera de uppgifter som behövs för att kunna handlägga

 olika förmåner och bidrag, varvid de materiella reglerna för de olika

ärendeslagen skall få styra vilken information som lagras i registren. Också

regeringen ser möjligheten att i framtiden ha en annan ordning än den nuvarande.

 Ett sådant förslag kräver emellertid en utförlig analys av varje del av

socialförsäkringsverksamheten, något som den begränsade översyn som nu är i

fråga inte gett utrymme för. Regeringen har dock, som inledningsvis anförts, för

 avsikt att inom kort närmare se över behandlingen av personuppgifter inom

socialförsäkringens administration. Någon annan ändring i undantagen från

förbudet att registrera känsliga personuppgifter och uppgifter om

lagöverträdelser m.m. än som föranleds av skillnaderna mellan vad som ansetts

vara känsligt enligt datalagen och vad som definieras som känsliga

personuppgifter enligt dataskyddsdirektivet och PUL föreslås därför inte inom

ramen för denna översyn. Som Kammarrätten i Jönköping har framhållit kommer

behandling av känsliga personuppgifter som inte sker i register eller i

elektroniska akter inte att regleras i lagförslaget. I dessa fall blir i stället

 PUL:s allmänna bestämmelser tillämpliga. Regeringen konstaterar att detta är en

 effekt av SofrL:s nuvarande lagkonstruktion. Aktuellt område är emellertid

begränsat och effekten motverkas dessutom avsevärt av att SofrL:s

tillämpningsområde nu utsträcks till att omfatta även viss manuell hantering

(jfr avsnitt 5.1).

5.4 Uppgiftslämnande till enskild

Regeringens förslag: Uppgifter i s.k. elektroniska akter behöver inte tas med i

information enligt 26 § personuppgiftslagen (1998:204), PUL. Av informationen

skall dock framgå vilka sådana handlingar som finns avseende den registrerade.

Vidare skall - om inte annat följer av bestämmelser om sekretess mot den

enskilde själv - information om uppgifter i sådana handlingar lämnas om den

enskilde begär det och anger vilken handling ansökan avser. I sistnämnda fall

skall informationen lämnas ut utan hinder av begränsningen i PUL om att

information bara behöver lämnas en gång per kalenderår. Information om varje

sådan handling skall dock lämnas gratis högst en gång per kalenderår.

Promemorians förslag överensstämmer i huvudsak med regeringens.

Remissinstanserna: Datainspektionen har påpekat att de uppgifter som den

personuppgiftsansvarige är skyldig att informera om enligt 21 §

socialförsäkringsregisterlagen, (1997:934), SofrL, inte fullt ut överensstämmer

med regleringen i 25 § personuppgiftslagen (1998:204), PUL, vilket innebär att

den personuppgiftsansvarige i denna situation har två olika författningar att

tillämpa för att uppfylla sin informationsplikt. Enligt Datainspektionens

uppfattning bör bestämmelserna i SofrL utformas på annat sätt för att det

tydligare skall framgå vilken information den personuppgiftsansvarige är skyldig

 att lämna självmant. Remissinstanserna i övrigt tillstyrker eller har inget

annat att erinra mot förslaget.

Skälen för regeringens förslag: Bestämmelserna i 23-27 §§ PUL innehåller ett

antal bestämmelser om information till den registrerade. Viss sådan information

skall lämnas självmant medan annan information endast skall lämnas på begäran.

Enligt 23 § PUL skall, om uppgifter om en person samlas in från personen själv,

den personuppgiftsansvarige i samband därmed självmant lämna den registrerade

information om behandlingen av uppgifterna. Denna bestämmelse kommer, om ingen

särreglering görs, att gälla även för socialförsäkringsregister. Skäl till sådan

 särreglering synes inte föreligga, varför något undantag från nämnda

uppgiftsskyldighet inte föreslås.

I 24 § första stycket PUL regleras de situationer då personuppgifterna har

samlats in från någon annan källa än den registrerade. Den

personuppgiftsansvarige skall i dessa fall självmant lämna den registrerade

information om behandlingen av uppgifterna när de registreras. Om uppgifterna är

 avsedda att lämnas ut till tredje man, behöver informationen dock inte ges

förrän uppgifterna lämnas ut för första gången. Av paragrafens andra stycke

följer emellertid att information enligt första stycket inte behöver lämnas, om

det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna

i en lag eller någon annan författning.

I SofrL finns sedan tidigare såväl regler om registrering och utlämning som

regler om den personuppgiftsansvariges ansvar för information till den

registrerade. Detta innebär därför att information utan att ansökan därom har

gjorts om behandling av personuppgifter som omfattas av särregleringen i SofrL -

 till följd av undantagsbestämmelsen i 24 § andra stycket PUL - endast behöver

lämnas när informationen samlats in från den enskilde själv (alltså bara enligt

23 § PUL).

Beträffande informationens innehåll anges i 25 § PUL att den information som

skall lämnas självmant till den registrerade skall omfatta uppgift om den

personuppgiftsansvariges identitet, ändamålen med behandlingen och all övrig

information som behövs för att den registrerade skall kunna ta till vara sina

rättigheter i samband med behandlingen. Som exempel anges information om

mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka

om information och få rättelse. Information behöver dock inte lämnas om sådant

som den registrerade redan känner till.

I 21 § SofrL ges en särreglering avseende den personuppgiftsansvariges ansvar

för information till den som är eller avses bli registrerad. I bestämmelsen

uppställs krav på att den personuppgiftsansvarige skall se till att den enskilde

 på lämpligt sätt får information om registret. Informationen skall vidare

innehålla en beskrivning av de uppgifter som registret får innehålla samt

upplysning om ändamålet med registret, de sekretess- och säkerhetsbestämmelser

som gäller för registret, rätten att få registerutdrag och rättelse samt de

begränsningar i fråga om direkt åtkomst, automatiserat utlämnande, sökbegrepp

och bevarande av uppgifter som gäller för registret.

Som Datainspektionen påpekat kommer - eftersom 21 § SofrL inte fullt ut

överensstämmer med 25 § PUL - den personuppgiftsansvarige således att ha två

författningar att tillämpa för att uppfylla sin informationsplikt. Detta är en

följd av SofrL:s nuvarande utformning och en av de frågor som enligt regeringens

 mening ytterligare bör övervägas vid en mer genomgripande översyn av SofrL.

I 26 § PUL finns föreskrifter om information som skall lämnas efter ansökan.

Sådan ansökan skall göras skriftligen hos den personuppgiftsansvarige och vara

undertecknad av den sökande själv. Informationen skall ge besked om huruvida

personuppgifter som rör den sökande behandlas eller inte behandlas. Om sådana

uppgifter behandlas skall skriftlig information lämnas om vilka uppgifter om den

 sökande som behandlas, varifrån uppgifterna har hämtats, ändamålen med

behandlingen och till vilka mottagare eller kategorier av mottagare som

uppgifterna lämnas ut.

Informationen skall lämnas gratis en gång per kalenderår och normalt inom en

månad från ansökan. Om det finns särskilda skäl för det, t.ex. att

personuppgifterna är krypterade, att sökmöjligheterna är begränsade eller att

personuppgifterna är uppdelade på olika register, får informationen lämnas

senare, dock senast inom fyra månader från ansökan.

Information behöver emellertid inte lämnas om personuppgifter i löpande text som

 inte fått sin slutliga utformning när ansökan gjordes eller som utgör

minnesanteckning eller liknande. Vad som nu sagts gäller dock inte om

uppgifterna har lämnats ut till tredje man, om uppgifterna har behandlats under

längre tid än ett år eller om de behandlas enbart för historiska, statistiska

eller vetenskapliga ändamål. Med löpande text avses härvid information som inte

har strukturerats så att sökning av personuppgifter underlättas. Med text som

inte har fått sin slutliga utformning avses koncept, utkast och liknande. Text

som är avsedd att tid efter annan ändras eller kompletteras och aldrig kommer

att få någon slutlig utformning omfattas således inte. Med text som utgör

minnesanteckning avses promemorior och liknande som har tillkommit bara för att

bereda något slags ärende. Med behandling för historiska, statistiska eller

vetenskapliga ändamål avses detsamma som enligt artikel 6 i EG-direktivet.

Huvudfallet är här att ett utkast eller en minnesanteckning har tagits om hand

för arkivering (jfr prop. 1997/98:44 s 132 ff.). Sparas sådana

handläggningshjälpmedel som minnesanteckningar och liknande sedan ärendet

avgjorts eller annars slutbehandlats, bör den registrerade få ta del av

uppgifterna på motsvarande sätt som allmänheten har rätt att ta del av uppgifter

 i myndigheters minnesanteckningar och liknande som tagits om hand för

arkivering (jfr prop. 1997/98:44 s 84).

Regleringen i PUL innebär att den som en personuppgift rör har rätt att få

information enligt PUL i vidare utsträckning än vad som följer av

tryckfrihetsförordningen. Rätten enligt tryckfrihetsförordningen att få ta del

av uppgifter rör ju allmänna handlingar vilket inte är en förutsättning enligt

PUL. Allmänt gäller dock att informationsskyldigheten enligt PUL, både vad avser

 den information som skall ges självmant och den som skall ges efter ansökan,

viker för sekretess. Om sekretess gäller för uppgiften i förhållande till den

enskilde själv, föreligger alltså ingen informationsskyldighet enligt PUL.

När det gäller vilken information som måste lämnas den enskilde kan inte, enligt

 förarbetena till PUL, anses krävas att en personuppgiftsansvarig ordnar sina

uppgiftssamlingar på ett sådant sätt att det är möjligt att söka fram alla

uppgifter om en registrerad som behandlas. Ett införande eller tillåtande av

sådana sök- och sammanställningsmöjligheter, som inte behövs av något annat

skäl, skulle i själva verket kunna hota den personliga integriteten eftersom det

 då skulle bli enkelt att kartlägga en person. Skulle det t.ex., som är fallet i

 SofrL, finnas begränsningar i sökmöjligheterna, kan det inte krävas annat än

att den personuppgiftsansvarige utnyttjar de sök- och

sammanställningsmöjligheter som denne faktiskt och rättsligt har tillgång till

(jfr prop. 1997/98:44 s 82 ff.).

Problemet med stora mängder information berördes även i Datalagskommitténs

betänkande Integritet - Offentlighet - Informationsteknik (SOU 1997:39) bl.a.

vad gäller arkivmyndigheters skyldighet att lämna information avseende hos

myndigheten bevarade handlingar. Det konstateras härvid att det inte kan begäras

 att en sådan myndighet lämnar information om alla personuppgifter som finns hos

 myndigheten då det skulle ta orimligt lång tid att ta fram informationen.

Kommittén föreslog i stället att den enskilde närmare skulle precisera vilken

information denne önskade, i enlighet med vad som anses gälla vid begäran om

utlämnande av allmänna handlingar. Sådana föreskrifter skulle enligt kommittén

lämnas av regeringen efter bemyndigande i lag att meddela föreskrifter om vad en

 ansökan skall innehålla. I PUL finns också ett sådant bemyndigande och frågan

har, vad avser automatiserad behandling av personuppgifter, delegerats vidare

till Datainspektionen.

De nu nämnda föreskrifterna i PUL och därtill hörande reglering bör i huvudsak

gälla även socialförsäkringsregister. För sådana handlingar som avses i 11 §

SofrL - s.k. elektroniska akter - gäller dock i dag den begränsningen i

förhållande till registerutdrag enligt datalagen, att uppgifter i sådana

handlingar inte behöver tas med i utdraget. Däremot skall av utdraget framgå

vilka handlingar avseende den registrerade som finns i registret. Det är

tveksamt om sådana begränsningar fortsättningsvis är möjliga att göra mot

bakgrund av vad som föreskrivs i EG-direktivet. Vidare har ju en person normalt,

 med stöd av offentlighetsprincipen, rätt att få del av uppgifter även i sådana

handlingar. Detta gäller visserligen endast om uppgiften finns i en allmän

handling och inte sekretess utgör hinder för utlämnandet. Samtidigt skulle en

helt obegränsad skyldighet att lämna ut uppgifter avseende handlingar i

elektroniska akter innebära en klart ökad arbetsbelastning för

socialförsäkringens administration och att stora mängder information skulle

lämnas ut som den enskilde kanske egentligen inte är intresserad av. Till viss

del rör det ju sig om handlingar som den enskilde själv tillställt myndigheten

eller som redan expedierats till honom inom ramen för handläggningen av ett

ärende.

En rimlig lösning, som påminner om den som Datalagskommittén föreslog för

arkivmyndigheter, är enligt regeringens mening, att information enligt 26 § PUL,

 vad gäller handlingar i elektroniska akter som avses i 11 § SofrL, begränsas på

 samma sätt som för närvarande gäller registerutdrag enligt datalagen, men att

den enskilde ges möjlighet att få information även om uppgifter som behandlas i

sådana handlingar om han eller hon särskilt anger det. Regeringen har även

nyligen förordat en liknande lösning när det gäller behandling av

personuppgifter inom skatt, tull och exekution (jfr prop. 2000/01:33 s. 104 ff).

Eftersom en enskild normalt inte vet vilka handlingar som finns i ett sådant

register bör ettårsbegränsningen, avseende rätten att gratis få information som

finns i 26 § PUL, emellertid gälla för varje handling för sig. Den enskilde kan

då först lämna en allmän ansökan om information enligt 26 § PUL och därefter,

när han eller hon fått vetskap om vilka handlingar som finns i registret som

omfattas av 11 § SofrL, ansöka och få information om de handlingar han eller hon

 då närmare anger. Detta innebär naturligtvis inte att den enskilde inte redan

från början kan ange att ansökan även avser samtliga handlingar som avses i 11 §

 SofrL.

Den enskilde ges på detta sätt en rätt till information som är mer utsträckt än

enligt tryckfrihetsförordningen eftersom ingen begränsning görs till allmänna

handlingar och det kan inte heller anses strida mot EG-direktivet. De allmänna

begränsningarna i PUL om personuppgifter i löpande text och minnesanteckningar

m.m. samt de begränsningar som följer av sekretess mot den enskilde bör

naturligtvis gälla även i detta avseende.

Det bör i detta sammanhang noteras att en allmän begränsning som också rör

handlingar som avses i 11 § SofrL följer av de begränsade sökmöjligheterna i

fråga om sådana handlingar. Som sökbegrepp får i fråga om sådana handlingar bara

 användas ärendebeteckning och beteckning på handling. Det torde därför inte

vara möjligt att få fram uppgifter om en person som finns i andra akter än som

avser henne eller honom själv.

6 Ikraftträdande och kostnader m.m.

Socialförsäkringsregisterlagen (1997:934), SofrL, är uppbyggd mot bakgrund av

datalagen (1973:289). Datalagen gäller övergångsvis fram till den 1 oktober

2001. Den nya lagen om ändring i SofrL är i huvudsak föranledd av att den

övergångsvisa regleringen upphör att gälla. Mot bakgrund härav föreslås

ändringarna i SofrL träda i kraft den 1 oktober 2001. Vissa

övergångsbestämmelser behövs. Dessa behandlas i författningskommentaren i

anslutning till de paragrafer de berör.

De föreslagna ändringarna i SofrL är i huvudsak lagtekniska och medför inget

direkt merarbete för socialförsäkringens administration. RFV har dock menat att

de ökade kraven på information till de registrerade kommer att innebära ökade

kostnader. Regeringen instämmer i att det kan finnas en viss sådan risk.

Emellertid är det endast den utvidgade skyldigheten att lämna uppgifter på

begäran av den enskilde som kan tänkas medföra en viss ökad arbetsbelastning.

Det är i nuläget svårt att göra någon mer exakt bedömning av omfattningen på

denna ökade arbetsbelastning. Med hänsyn till den tämligen omfattande rätt till

erhållande av uppgifter som en enskild har redan enligt nuvarande lagreglering,

och även med hänsyn till offentlighetsprincipen, bör detta merarbete enligt

regeringens uppskattning emellertid bli ringa. Några ökade kostnader av

betydelse torde förslagen därför inte komma att föranleda.

SofrL behandlar endast bestämmelser om registrering m.m. i register inom

socialförsäkringens administration. Som sådan får lagstiftningen anses vara

könsneutral.

7 Författningskommentar

1 § Denna lag gäller personregister för sådan verksamhet i fråga om

socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag

eller förordning eller särskilt beslut av regeringen ankommer på de allmänna

försäkringskassorna, Premiepensionsmyndigheten eller Riksförsäkringsverket

(socialförsäkringsregister).

Med personregister förstås register, förteckning eller andra anteckningar som

förs helt eller delvis automatiserat och som innehåller uppgifter som direkt

eller indirekt kan hänföras till en fysisk person. Med personregister förstås

också strukturerade samlingar av uppgifter som inte förs automatiserat men som

är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och

 som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk

person.

De benämningar som i övrigt används i denna lag har samma betydelse som i

personuppgiftslagen (1998:204).

Personuppgiftslagen (1998:204), PUL, innehåller de generella regler som följer

av dataskyddsdirektivet i fråga om vilka krav som allmänt ställs vid behandling

 av personuppgifter. I socialförsäkringsregisterlagen (1997:934), SofrL,

särregleras behandling av personuppgifter i personregister inom

socialförsäkringens administration. PUL är emellertid alltjämt tillämplig i

samtliga de situationer som inte är uttryckligen särreglerade i SofrL.

I datalagen (1973:289) fanns liksom i PUL ett antal definitioner. Bl.a.

definierades i datalagen begreppet personregister. Någon sådan definition finns

emellertid inte i PUL. Som tidigare anförts kan det ifrågasättas om

registerbegreppet borde behållas men något förslag i den delen lämnas inte nu. I

 stället införs datalagens definition av personregister i första meningen i

andra stycket i denna paragraf. Emellertid används begreppet "fysisk person" i

stället för datalagens "den som avses med uppgiften" för att bättre

överensstämma med PUL:s terminologi. Härmed avses liksom tidigare även avlidna

(se avsnitt 5.1). Orden "som förs med hjälp av automatisk databehandling"

ersätts vidare med "som förs helt eller delvis automatiserat", även detta för

att bättre korrespondera med de begrepp som används i PUL. Betydelsen av nämnda

begrepp berörs närmare i förarbetena till nämnda lag (jfr prop. 1997/98:44 sid.

240 ff.).

Andra stycket innehåller också en utvidgning av tillämpningsområdet för SofrL.

Detta gäller sådana manuella register som regleringen i PUL avser och som här

anges i andra meningen. I andra punkten i övergångsbestämmelserna föreskrivs

dock att bestämmelserna i SofrL som rör känsliga personuppgifter och uppgifter

om frihetsberövanden m.m. i vissa fall skall tillämpas i fråga om manuella

register först från och med den 1 oktober 2007.

Vad gäller andra begrepp som definieras i PUL - som personuppgift,

personuppgiftsansvarig m.m. - skall dessa, när de används i denna lag ha

motsvarande betydelse som enligt PUL. Detta framgår av tredje stycket.

7 § Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som

avses i 13 och 21 §§ personuppgiftslagen (1998:204).

Utan hinder av första stycket får följande uppgifter registreras:

1. förekomsten av ansökan eller anmälan i ärenden som omfattas av 1 § första

stycket,

2. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för

ersättningsgrundande förhållanden, i ärenden som omfattas av 1 § första stycket,

3. grad av nedsatt arbetsförmåga,

4. förekomsten av intyg och utlåtande av läkare eller annan intygsgivare,

5. förekomsten av rehabiliteringsutredning eller annan utredning i

rehabiliteringsärende samt av fastställd rehabiliteringsplan,

6. arten av och tidpunkter för föreslagna, planerade och vidtagna

rehabiliteringsåtgärder,

7. förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som

 avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om

bostadsbidrag,

8. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

9. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

har tagits om hand på det allmännas bekostnad,

10. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

11. om fråga om återbetalningsskyldighet har uppkommit,

12. vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

13. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

14. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

15. att den registrerade får aktivitetsstöd enligt 5 § tredje stycket

förordningen (1996:1100) om aktivitetsstöd,

16. att den registrerade har rätt till ersättning enligt 16-22 §§ förordningen

om aktivitetsstöd,

17. bevakningsanledning, samt

18. anledningen till att ett ärende avslutats.

I socialförsäkringsregister som förs för handläggning av ärenden om ersättning

för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och

förordningen (1998:1337) om tandvårdstaxa får dessutom, i fråga om vårdgivare,

registreras uppgift om namn på praktik. I sådana register får vidare registreras

 uppgift om

1. förekomsten av begäran om förhandsprövning enligt förordningen om

tandvårdstaxa samt kod för behandlingsförslag som begäran avser,

2. kod för behandling som avses i förordningen om tandvårdstaxa,

3. att den registrerade har rätt till ersättning enligt 9, 13 eller 14 §

förordningen om tandvårdstaxa,

4. förhållanden som anges i 15 § andra stycket förordningen om tandvårdstaxa,

5. förekomsten av remiss, remitterande vårdgivares namn och namnet på den

vårdgivare till vilken remiss har skett, samt

6. patientavgift och tandvårdsersättning.

Denna paragraf behandlar vilka s.k. känsliga personuppgifter som ett

socialförsäkringsregister får innehålla.

I 6 § SofrL anges att socialförsäkringsregister får innehålla dels allmänna

ärendeuppgifter, dels särskilda ärendeuppgifter. Med allmänna ärendeuppgifter

avses identifierings- och adressuppgifter samt uppgifter om kön, civilstånd,

medborgarskap och födelseort. Särskilda ärendeuppgifter är uppgifter om sådana

ekonomiska och personliga förhållanden som har betydelse för handläggning av

ärenden om socialförsäkringsförmåner och liknande.

Som allmän begränsning gäller alltså i SofrL att en personuppgift bara får

registreras om den har betydelse för handläggning av ett ärende. För s.k.

känsliga personuppgifter föreskrivs dock i första stycket i denna paragraf att

sådana uppgifter inte får registreras medan det i andra och tredje styckena

medges vissa undantag från detta förbud. Vissa andra undantag finns i 9-11 §§.

I datalagen användes inte begreppet känsliga personuppgifter men i 4 § räknades

upp ett antal förhållanden som endast i undantagsfall fick registreras av andra

än myndigheter. I 13 § PUL anges att det är förbjudet att behandla vissa

känsliga personuppgifter och i 21 § PUL att vissa uppgifter om frihetsberövanden

 m.m. normalt inte får behandlas av andra än myndigheter.

I första stycket i förevarande paragraf ändras hänvisningen till 4 § datalagen

därför till 13 och 21 §§ PUL. Hänvisningen innebär att uppgifter som avses i

sistnämnda paragrafer inte får registreras, i annat fall än när lagen medger

undantag härifrån.

Hänvisningen till 13 och 21 §§ PUL medför också att ett par av de undantag som

anges i nuvarande andra stycket utgår eftersom något förbud att registrera dessa

 uppgifter inte följer av 13 eller 21 § PUL. Det gäller dels uppgift om att en

vårdnadshavare är särskilt förordnad och dels vissa uppgifter om

återbetalningsskyldighet. Dessa uppgifter är inte sådana som avses i 13 och 21

§§ PUL. Dock bör det undantag som innebär att uppgift om att fråga om

återbetalningsskyldighet har uppkommit får registreras kvarstå, eftersom

anledningen till återbetalningsskyldigheten kan innefatta ett brottsligt

förfarande (se närmare avsnitt 5.3).

Övriga undantag från förbudet att registrera s.k. känsliga personuppgifter är

huvudsakligen hänförliga till uppgifter som kan hänföras till enskildas hälsa

eller till sådana uppgifter om frihetsberövanden m.m. som avses i 21 § PUL. De

kan därmed komma att bli tillämpliga även framdeles.

12 § Socialförsäkringsregister får genom sambearbetning tillföras

1. uppgifter från andra socialförsäkringsregister, och

2. uppgifter som lämnas till en allmän försäkringskassa,

Premiepensionsmyndigheten eller Riksförsäkringsverket med stöd av en särskild

bestämmelse i lag eller förordning om lämnande av uppgifter.

Av föreskrifter i lag eller förordning kan följa att socialförsäkringsregister

genom sambearbetning får tillföras uppgifter utöver vad som anges i första

stycket.

I paragrafen regleras när uppgifter genom sambearbetning får tillföras

socialförsäkringsregister. Datalagens tillståndsbestämmelser har gett

Datainspektionen en möjlighet att besluta om att personuppgifter får inhämtas

från något annat personregister. En hänvisning till sådana beslut har därför

funnits i andra stycket. Någon motsvarande tillståndsbestämmelse finns inte i

personuppgiftslagen. Hänvisningen till Datainspektionens beslut har därför

tagits bort.

Personuppgiftsansvar

13 § Personuppgiftsansvariga för socialförsäkringsregister som förs gemensamt

för Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt

varje försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan personuppgiftsansvarig.

Premiepensionsmyndigheten är personuppgiftsansvarig för

socialförsäkringsregister som förs särskilt för myndigheten.

Riksförsäkringsverket är personuppgiftsansvarigt för socialförsäkringsregister

som förs särskilt för verket.

Datalagen innehöll bestämmelser om registeransvarig, vilka i stor utsträckning

motsvarade vad som i PUL föreskrivs om personuppgiftsansvarig. I förevarande

paragraf har begreppet registeransvarig ersatts med begreppet

personuppgiftsansvarig. Även rubriken närmast före paragrafen har ändrats på

motsvarande sätt.

Utlämnande av uppgifter på medium för automatiserad behandling

17 § Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

 bestämmelse i lag eller förordning får lämnas på medium för automatiserad

behandling. I övrigt får uppgifter lämnas ut på medium för automatiserad

behandling endast om sådant utlämningssätt följer av lag eller förordning eller

om uppgiften skall användas för forskning eller framställning av statistik.

I PUL används inte begreppet automatisk databehandling utan i stället uttrycket

 automatiserad behandling. Denna paragraf har anpassats härtill på så sätt att

medium för automatisk databehandling tagits bort och ersatts med medium för

automatiserad behandling. Rubriken närmast före denna paragraf har ändrats i

överensstämmelse härmed. Liksom när det gäller 12 § har här hänvisningen till

beslut av Datainspektionen tagits bort. Inte heller när det gäller

utlämningssätt kommer Datainspektionen att fatta några beslut enligt

personuppgiftslagen.

18 § Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om

 det behövs för

1. tillämpning av lag eller förordning eller särskilt beslut av regeringen,

2. rättelse,

3. tillsyn, uppföljning eller utvärdering, eller

4. urval för forskning eller framställning av statistik.

Uppgifter som avses i 7 § andra stycket 8 och 9 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

I fråga om handlingar som avses i 11 § får endast ärendebeteckning och

beteckning på handling användas som sökbegrepp.

Regeringen eller den myndighet regeringen bestämmer får föreskriva ytterligare

begränsningar av användningen av uppgifter som sökbegrepp.

Ändringen i andra stycket är endast redaktionell och följer av ändringarna i 7 §

 andra stycket.

Information

20 § Vid tillämpningen av denna lag gäller bestämmelserna i 23 och 25-27 §§

personuppgiftslagen (1998:204) om information till den registrerade om inte

annat följer av andra stycket. Beträffande register som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna skall informationen

lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

information enligt 26 § personuppgiftslagen. Av informationen skall dock framgå

vilka handlingar avseende den registrerade som finns i registret. Om den

enskilde begär det och anger vilken handling som avses skall emellertid, om inte

 annat följer av bestämmelser om sekretess, information lämnas även om uppgifter

 i sådana handlingar som avses i 11 §. I sistnämnda fall skall begränsningen i

26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång

per kalenderår gälla varje handling för sig.

Bestämmelserna i PUL gäller även beträffande behandling som avses i SofrL, utom

såvitt avser avlidna personer, om inga särskilda bestämmelser finns i denna lag.

 Eftersom både 20 och 21 §§ SofrL innehåller bestämmelser om information till

enskilda har i första stycket tydliggjorts att även 23 och 25-27 §§ PUL gäller,

med de undantag som anges i andra stycket. I första stycket har vidare

"registerutdrag" som tidigare åsyftade registerutdrag enligt 10 § datalagen

ändrats till "information" med syfte just på 23 och 25-27 §§ PUL.

I andra stycket har hänvisningen till 10 § datalagen ändrats till 26 § PUL som

avser information till enskilda efter ansökan. Tredje och fjärde meningarna är

nya. I korthet innebär regleringen att bestämmelserna om information till

enskilda i 23 och 25-27 §§ PUL i och för sig är tillämpliga men att det i fråga

om s.k. elektroniska akter ges särskilda bestämmelser som avviker från

regleringen i PUL. Information enligt 26 § PUL, vad gäller handlingar i

elektroniska akter som avses i 11 § SofrL, begränsas på härvid samma sätt som

för närvarande gäller för registerutdrag enligt datalagen. Den enskilde ges

emellertid möjlighet att få information även om uppgifter som behandlas i sådana

 handlingar om han eller hon särskilt begär det (se vidare avsnitt 5.4).

21 § Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall

se till att den som är eller avses bli registrerad på lämpligt sätt får

information om registret.

Informationen skall innehålla en beskrivning av de uppgifter som registret får

innehålla samt upplysning om

1. ändamålen med registret,

2. de sekretess- och säkerhetsbestämmelser som gäller för registret,

3. rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204),

4. rätten till rättelse enligt personuppgiftslagen och 21a § denna lag, samt

5. de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på medium

 för automatiserad behandling, sökbegrepp och bevarande av uppgifter som gäller

för registret.

I första stycket har begreppet registeransvarig ändrats till

personuppgiftsansvarig.

I andra stycket punkten 3 har hänvisningen till registerutdrag enligt datalagen

ändrats till en hänvisning till rätt att ta del av uppgifter enligt

personuppgiftslagen. Dessutom har bestämmelsen om rättelse förts över till en ny

 punkt, punkten 4. Hänvisningen till rätten för en enskild att erhålla rättelse

avser därvid nu rätt enligt PUL samt enligt 21 a § denna lag. I den nya punkten

5 har "utlämnande av uppgifter på medium för automatisk databehandling" ändrats

till "utlämnande av uppgifter på medium för automatiserad behandling".

Rättelse och skadestånd

21 a § Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och

skadestånd gäller vid behandling av personuppgifter enligt denna lag eller

anslutande författningar.

I 28 § personuppgiftslagen (1998:204), PUL finns bestämmelser om skyldighet för

den som är personuppgiftsansvarig att på begäran av den registrerade snarast

rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i

enlighet med PUL eller föreskrifter som har utfärdats med stöd av lagen samt att

 underrätta tredje man därom. I förevarande paragraf, som är ny, anges att dessa

 bestämmelser också skall tillämpas om en personuppgift behandlats i strid med

de mer preciserade reglerna i denna lag eller föreskrifter som har utfärdats med

 stöd av lagen.

I 48 § PUL regleras den personuppgiftsansvariges skyldighet att ersätta den

registrerade för skada och kränkning av den personliga integriteten som en

behandling av personuppgifter i strid med lagen har orsakat. I denna paragraf

ges även motsvarande reglering vad avser skadeståndsansvar för en

personuppgiftsansvarig för skada och kränkning orsakad av behandling av en

personuppgift i strid med SofrL.

Överklagande

21 b § En myndighets beslut om rättelse och om information som skall lämnas

enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän

förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Många beslut som fattas inom socialförsäkringens administration och verksamhet

och som gäller behandling av personuppgifter enligt denna lag är interna eller

administrativa. Enskilda berörs dock direkt av myndigheternas beslut om rättelse

 och information. Talan mot sådana beslut förs vid allmän förvaltningsdomstol.

Övergångsbestämmelserna

1. Denna lag träder i kraft den 1 oktober 2001.

I denna punkt anges tidpunkten för lagens ikraftträdande. Lagen träder i kraft

vid samma tidpunkt som datalagen fullt ut ersätts av PUL, dvs. när PUL:s regler

 även kommer att gälla behandling av personuppgifter som har påbörjats före den

24 oktober 1998.

2. Beträffande personregister som avses i 1 § andra stycket andra meningen

skall, i fråga om sådan manuell behandling som avses i punkt 3 i

övergångsbestämmelserna till personuppgiftslagen (1998:204), bestämmelserna i

7-11 §§ denna lag inte börja tillämpas förrän den 1 oktober 2007.

Av artikel 32 i dataskyddsdirektivet följer bl.a. att bestämmelser om

grundläggande krav på behandling av personuppgifter och när sådan behandling är

tillåten inte behöver tillämpas förrän senast den 24 oktober 2007 på sådana

uppgifter som redan fanns i manuella register före den 24 oktober 1998. I PUL

har därför införts en särskild övergångsbestämmelse (punkten 3) avseende manuell

 behandling av personuppgifter. Denna bestämmelse innebär att de bestämmelser i

PUL som anger de grundläggande kraven på behandling av personuppgifter och när

sådan behandling är tillåten respektive förbjuden, inte tillämpas förrän den 1

oktober 2007, i fråga om sådan manuell behandling som utförs för ett visst

bestämt ändamål om manuella behandling för ändamålet påbörjats före den 24

oktober 1998. Den här föreslagna bestämmelsen i punkten 2 överensstämmer i stort

 sett med övergångsbestämmelsen i PUL. Detta innebär att övergångsbestämmelsen i

 förevarande lag gäller för manuella register som inrättats före den 24 oktober

1998. För sådana register som inrättats den 24 oktober 1998 eller senare gäller

redan bestämmelserna i PUL vilket då också innebär att de begränsningar som

gäller enligt övergångsbestämmelsen i punkten 3 i den lagen är inte tillämpliga

på sådana register. Därför har inte heller här meddelats några undantag för

sådana manuella register. Inte heller har de allmänna bestämmelserna i 6 § SofrL

 undantagits när det gäller äldre manuella register. Detta innebär att kravet

att uppgifter om ekonomiska och personliga förhållanden får registreras endast

om de har betydelse för handläggning av ärenden om socialförsäkringsförmåner

m.m. även gäller äldre manuella register.

3. Bestämmelserna om skadestånd i 21 a § skall inte tillämpas om den

omständighet som åberopas till grund för ersättningsanspråket har inträffat före

 lagens ikraftträdande.

I 21 a § har införts en skadeståndsbestämmelse. Av punkten 3 följer att den

omständighet som åberopas till stöd för ett sådant skadeståndansvar inte får ha

inträffat före lagens ikraftträdande den 1 oktober 2001. Detta hindrar

emellertid inte att skadeståndsansvar enligt PUL kan ha uppkommit om behandling

har skett i strid med den lagens bestämmelser efter ikraftträdandet den 24

oktober 1998.

4. Har en begäran om registerutdrag enligt 10 § datalagen (1973:289) kommit in

innan denna lag träder i kraft men har utdraget inte expedierats före

ikraftträdandet, skall framställningen anses som en ansökan om information

enligt denna lag.

I punkten regleras vad som skall gälla om en begäran om registerutdrag enligt

datalagen har gjorts före denna lags ikraftträdande, men utdrag inte har hunnit

att expedierats före denna tidpunkt. Begäran om registerutdrag skall då i

stället ses som en begäran om information enligt de nya bestämmelserna.

38

Departementspromemorians (Ds 2000:44) sammanfattning

Socialförsäkringsregisterlagen (1997:934), SofrL, trädde i kraft den 1 januari

1998. Samtidigt som den nya lagen ersatte regleringen i äldre lagar utvidgades

också den nya lagens tillämpningsområde. Den nya lagen är inte begränsad till

någon särskild del av Riksförsäkringsverkets och de allmänna

försäkringskassornas hantering av socialförsäkringsförmåner och liknande. Efter

införandet har den också utvidgats till att avse den nya

Premiepensionsmyndighetens verksamhet.

SofrL är uppbyggd mot bakgrund av bestämmelserna i datalagen (1973:289).

Datalagen har nu ersatts av personuppgiftslagen (1998:204), PUL, som till

skillnad från SofrL och datalagen inte bara behandlar register som förs helt

eller delvis med hjälp av automatisk databehandling utan i huvudsak all

behandling av personuppgifter som helt eller delvis är automatiserad och även

viss manuell hantering av sådana personuppgifter. Enligt övergångsbestämmelserna

 till PUL skall dock datalagen fortsätta att gälla för behandling av

personuppgifter som utförs för ett visst bestämt ändamål om behandlingen

påbörjats före PUL:s ikraftträdande den 24 oktober 1998. Efter den sista

september 2001 upphör denna övergångsvisa reglering att gälla.

SofrL har som nyss sagts ett mer begränsat tillämpningsområde än PUL. I denna

promemoria - som innehåller en begränsad översyn av SofrL i syfte att anpassa

den till bl.a. PUL - föreslås att tillämpningsområdet anpassas till PUL

såtillvida att den även skall gälla viss manuell hantering. Däremot förslås

ingen ändring vad gäller registerbegreppet. Den anpassning till PUL:s

tillämpningsområde som föreslås är alltså begränsad.

Vissa begrepp som definieras i PUL föreslås få motsvarande betydelse i SofrL. I

samband därmed ersätts registeransvar med personuppgiftsansvar. Den

personuppgiftsansvariges ansvar för rättelse m.m. och skadeståndsansvar mot den

registrerade för skada och kränkning av den personliga integriteten som en

behandling av personuppgifter i strid med PUL har orsakat föreslås även gälla

när personuppgifter behandlats i strid med de mer preciserade reglerna i SofrL.

I fråga om vilka uppgifter som får registreras i ett socialförsäkringsregister

föreslås ingen ändring i SofrL:s systematik. Även fortsättningsvis skall alltså

enligt förslaget vissa allmänna ärendeuppgifter och sådana särskilda

ärendeuppgifter som har betydelse för handläggning av ärenden om

socialförsäkringsförmåner m.m., och som inte är särskilt integritetskänsliga, få

 registreras.

När det gäller de särskilt integritetskänsliga uppgifterna föreslås en

anpassning av vilka uppgifter som avses därmed till vad som gäller enligt PUL.

Samma regler som föreslås gälla för sådana uppgifter, föreslås också gälla i

fråga om sådana uppgifter om brott och frihetsberövanden m.m. som avses i 21 §

PUL. Den s.k. undantagskatalog i SofrL som anger i vilken utsträckning särskilt

integritetskänsliga uppgifter får registreras i ett socialförsäkringsregister

anpassas därtill.

I fråga om uppgiftslämnande till enskild när information samlas in föreslås

ingen särreglering. Detta innebär att den personuppgiftsansvarige är skyldig att

 informera den enskilde om avsedd behandling av personuppgifter när dessa samlas

 in från den enskilde själv. I övrigt krävs ingen information vid insamlande av

personuppgifter.

Information skall enligt PUL också lämnas till den enskilde efter ansökan av

denne. I denna promemoria föreslås dock att sådan information - i likhet med vad

 som för närvarande gäller i fråga om registerutdrag enligt 10 § datalagen -

inte behöver innehålla personuppgifter i sådana handlingar som avses i 11 §

SofrL, dvs. i s.k. elektroniska akter. Av informationen skall dock framgå vilka

handlingar som finns beträffande den registrerade. Vidare skall enligt förslaget

 information om uppgifter i sådana handlingar lämnas om den enskilde därefter,

eller i samband med den första ansökan, preciserar vilken eller vilka handlingar

 som han eller hon vill ha information om. Detta gäller naturligtvis bara om

uppgifterna inte är sekretessbelagda mot den enskilde själv.

I promemorian tas också upp vissa andra förändringar beträffande SofrL som är

önskvärda. Vissa av dem behandlas i andra sammanhang. Det konstateras vidare att

 det i och för sig vore önskvärt att, liksom skett inom andra områden, frångå

registerbegreppet även när det gäller behandling av personuppgifter inom

socialförsäkringens administration. Förslag om detta förs dock inte fram i denna

 promemoria.De föreslagna ändringarna föreslås träda i kraft den 1 oktober 2001.

Promemorians lagförslag

Förslag till lag om ändring i socialförsäkringsregisterlagen (1997:934)

Härigenom föreskrivs i fråga om socialförsäkringsregisterlagen (1997:934)

dels att 1, 7, 13, 17, 18, 20 och 21 §§ samt rubrikerna närmast före 13, 17 och

20 §§ skall ha följande lydelse,

dels att rubrikerna närmast före 3, 4 och 21 §§ skall utgå.

Nuvarande lydelse

Föreslagen lydelse

1 §

Denna lag gäller personregister för sådan verksamhet i fråga om

socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag

eller förordning eller särskilt beslut av regeringen ankommer på de allmänna

försäkringskassorna, Premiepensionsmyndigheten eller Riksförsäkringsverket

(socialförsäkringsregister).

Med personregister förstås detsamma som i datalagen (1973:289).

Med personregister förstås register, förteckning eller andra anteckningar som

förs helt eller delvis automatiserat och som innehåller uppgift som direkt eller

 indirekt kan hänföras till en fysisk person. Med personregister förstås också

strukturerade samlingar av uppgifter som är tillgängliga för sökning eller

sammanställning enligt särskilda kriterier och som innehåller sådana uppgifter

som avses i första meningen.

De begrepp som i övrigt används i denna lag har samma betydelse som i

personuppgiftslagen (1998:204).

7 §

Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i

4 § datalagen (1973:289) eller som utgör omdöme eller annan värderande

upplysning om den registrerade.

Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i

13 och 21 §§ personuppgiftslagen (1998:204).

Utan hinder av första stycket får följande uppgifter registreras:

1. förekomsten av ansökan eller anmälan i ärenden som omfattas av 1 § första

stycket,

2. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för

ersättningsgrundande förhållanden, i ärenden som omfattas av 1 § första stycket,

3. grad av nedsatt arbetsförmåga,

4. förekomsten av intyg och utlåtande av läkare eller annan intygsgivare,

5. förekomsten av rehabiliteringsutredning eller annan utredning i

rehabiliteringsärende samt av fastställd rehabiliteringsplan,

6. arten av och tidpunkter för föreslagna, planerade och vidtagna

rehabiliteringsåtgärder,

7. förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som

 avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om

bostadsbidrag,

8. att vårdnadshavare är förordnad särskilt enligt föräldrabalken,

9. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

10. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

 har tagits om hand på det allmännas bekostnad,

11. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

12. om fråga om återbetalningsskyldighet har uppkommit och i sådant fall

kravåtgärder, exekutiva åtgärder, utmätningsbelopp, utmätningsfria belopp och

beslut om skuldsanering enligt skuldsaneringslagen (1994:334),

13. vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

14. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

15. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

16. att den registrerade är berättigad till dagpenning enligt 3 § förordningen

(1996:1100) om aktivitetsstöd,

17. att den registrerade har rätt till ersättning enligt 13-19 §§ förordningen

(1987:409) om bidrag till arbetshjälpmedel m.m.,

18. bevakningsanledning, samt

19. anledningen till att ett ärende avslutats.

8. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

9. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

har tagits om hand på det allmännas bekostnad,

10. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

11. vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

12. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

13. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

14. att den registrerade är berättigad till dagpenning enligt 3 § förordningen

(1996:1100) om aktivitetsstöd,

15. att den registrerade har rätt till ersättning enligt 13-19 §§ förordningen

(1987:409) om bidrag till arbetshjälpmedel m.m.,

16. bevakningsanledning, samt

17. anledningen till att ett ärende avslutats.

I socialförsäkringsregister som förs för handläggning av ärenden om ersättning

för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och

förordningen (1998:1337) om tandvårdstaxa får dessutom, i fråga om vårdgivare,

registreras uppgift om namn på praktik. I sådana register får vidare registreras

 uppgift om

1. förekomsten av begäran om förhandsprövning enligt förordningen om

tandvårdstaxa samt kod för behandlingsförslag som begäran avser,

2. kod för behandling som avses i förordningen om tandvårdstaxa,

3. att den registrerade har rätt till ersättning enligt 9, 13 eller 14 §

förordningen om tandvårdstaxa,

4. förhållanden som anges i 15 § andra stycket förordningen om tandvårdstaxa,

5. förekomsten av remiss, remitterande vårdgivares namn och namnet på den

vårdgivare till vilken remiss har skett, samt

6. patientavgift och tandvårdsersättning.

Registeransvar

Personuppgiftansvar

13 §

Registeransvariga för socialförsäkringsregister som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje

försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan registeransvarig.

Premiepensionsmyndigheten är registeransvarig för socialförsäkringsregister som

förs särskilt för myndigheten. Riksförsäkringsverket är registeransvarigt för

socialförsäkringsregister som förs särskilt för verket.

Personuppgiftsansvariga för socialförsäkringsregister som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje

försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan personuppgiftsansvarig.

Premiepensionsmyndigheten är personuppgiftsansvarig för

socialförsäkringsregister som förs särskilt för myndigheten.

Riksförsäkringsverket är personuppgiftsansvarigt för socialförsäkringsregister

som förs särskilt för verket.

Utlämnande av uppgifter på medium för automatisk databehandling

Automatiserat utlämnande av uppgifter

17 §

Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

bestämmelse i lag eller förordning får lämnas på medium för automatisk

databehandling. I övrigt får uppgifter lämnas ut på medium för automatisk

databehandling endast om sådant utlämningssätt följer av lag eller förordning

eller beslut av Datainspektionen eller om uppgiften skall användas för forskning

 eller framställning av statistik.

Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

bestämmelse i lag eller förordning får lämnas med automatiserat hjälpmedel. I

övrigt får uppgifter i socialförsäkringsregister lämnas ut på sådant sätt endast

 om utlämningssättet följer av lag eller förordning eller beslut av

Datainspektionen eller om uppgiften skall användas för forskning eller

framställning av statistik.

18 §

Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om det

behövs för

1. tillämpning av lag eller förordning eller särskilt beslut av regeringen,

2. rättelse,

3. tillsyn, uppföljning eller utvärdering, eller

4. urval för forskning eller framställning av statistik.

Uppgifter som avses i 7 § andra stycket 9 och 10 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

Uppgifter som avses i 7 § andra stycket 8 och 9 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

I fråga om handlingar som avses i 11 § får endast ärendebeteckning och

beteckning på handling användas som sökbegrepp.

Regeringen eller den myndighet regeringen bestämmer får föreskriva ytterligare

begränsningar av användningen av uppgifter som sökbegrepp.

Registerutdrag

Information

20 §

Registerutdrag beträffande register som förs gemensamt för Riksförsäkringsverket

 och de allmänna försäkringskassorna skall lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

registerutdrag enligt 10 § datalagen (1973:289). Av utdraget skall dock framgå

vilka handlingar avseende den registrerade som finns i registret.

Vid tillämpningen av denna lag gäller bestämmelserna i 23 och 25-27 §§

personuppgiftslagen (1998:204) om information till den registrerade om inte

annat följer av andra stycket. Beträffande register som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna skall sådan

information lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

information enligt 26 § personuppgiftslagen. Av informationen skall dock framgå

vilka handlingar avseende den registrerade som finns i registret. Vidare skall,

om inte annat följer av bestämmelser om sekretess, information om uppgifter i

sådana handlingar lämnas om den enskilde anger vilken handling ansökan avser. I

sistnämnda fall skall begränsningen i 26 § personuppgiftslagen om att

information bara behöver lämnas en gång per kalenderår gälla var handling för

sig.

21 §

Den som är registeransvarig för ett socialförsäkringsregister skall se till att

den som är eller avses bli registrerad på lämpligt sätt får information om

registret.

Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall se

till att den som är eller avses bli registrerad på lämpligt sätt får information

 om registret.

Informationen skall innehålla en beskrivning av de uppgifter som registret får

innehålla samt upplysning om

1. ändamålen med registret,

2. de sekretess- och säkerhetsbestämmelser som gäller för registret,

3. rätten att få registerutdrag och rättelse enligt datalagen (1973:289), samt

4. de begränsningar i fråga om direkt åtkomst, automatiserat utlämnande av

uppgifter, sökbegrepp och bevarande av uppgifter som gäller för registret.

3. rätten att få registerutdrag och rättelse enligt personuppgiftslagen

(1998:204) och 21 a § denna lag, samt

4. de begränsningar i fråga om direkt åtkomst, automatiserat utlämnande av

uppgifter, sökbegrepp och bevarande av uppgifter som gäller för registret.

Korrigering av uppgifter

21 a §

Bestämmelserna i personuppgiftslagen (1998:204) om den personuppgiftsansvariges

skyldighet att på begäran av den registrerade rätta, blockera eller utplåna

personuppgifter och att underrätta tredje man, till vilken uppgifterna har

lämnats ut, skall gälla även då personuppgifter behandlats i strid med denna

lag.

Skadestånd

21 b §

Bestämmelserna i personuppgiftslagen (1998:204) om skadestånd skall gälla även

då personuppgifter behandlats i strid med denna lag.

1. Denna lag träder i kraft den 1 oktober 2001.

2. Beträffande personregister som avses i 1 § andra stycket andra meningen

skall, i fråga om sådan manuell behandling som avses i punkt 3 i

övergångsbestämmelserna till personuppgiftslagen (1998:204), bestämmelserna i

7-11 §§ denna lag inte börja tillämpas förrän den 1 oktober 2007.

3. Bestämmelserna i 21 b § skall inte tillämpas om den omständighet som åberopas

 till grund för ersättningsanspråket har inträffat före lagens ikraftträdande.

Förteckning över remissinstanser

Yttrande över departementspromemorian En begränsad översyn av

socialförsäkringslagen (1997:934) har inkommit från Hovrätten för Västra

Sverige, Kammarrätten i Jönköping, Länsrätten i Örebro län, Datainspektionen,

Riksförsäkringsverket, Statens pensionsverk, Riksrevisionsverket,

Riksskatteverket, Premiepensionsmyndigheten, Centrala studiestödsnämnden,

Riksarkivet, Arbetsmarknadsstyrelsen, Försäkringskasseförbundet och KPA Pension

AB.

Tjänstemännens Centralorganisation och Sveriges Akademikers Centralorganisation

har i svar på remissen förklarat att de avstår från att yttra sig.

Svenska arbetsgivareföreningen och Försäkringsanställdas förbund har inte

inkommit med svar på remissen.

Lagrådsremissens lagförslag

8 Förslag till lag om ändring i socialförsäkringsregisterlagen (1997:934)

Härigenom föreskrivs i fråga om socialförsäkringsregisterlagen

(1997:934)

dels att rubrikerna närmast före 3, 4 och 21 §§ skall utgå,

dels att 1, 7, 12, 13, 17, 18, 20 och 21 §§ samt rubrikerna närmast före 13, 17

och 20 §§ skall ha följande lydelse,

dels att i lagen skall införas två nya paragrafer, 21 a och 21 b §§ samt närmast

 före 21 a och 21 b §§ nya rubriker av följande lydelse.

Nuvarande lydelse

Föreslagen lydelse

1 §5

Denna lag gäller personregister för sådan verksamhet i fråga om

socialförsäkringsförmåner samt andra förmåner och ersättningar som enligt lag

eller förordning eller särskilt beslut av regeringen ankommer på de allmänna

försäkringskassorna, Premiepensionsmyndigheten eller Riksförsäkringsverket

(socialförsäkringsregister).

Med personregister förstås detsamma som i datalagen (1973:289).

Med personregister förstås register, förteckning eller andra anteckningar som

förs helt eller delvis automatiserat och som innehåller uppgifter som direkt

eller indirekt kan hänföras till en fysisk person. Med personregister förstås

också strukturerade samlingar av uppgifter som inte förs automatiserat men som

är tillgängliga för sökning eller sammanställning enligt särskilda kriterier och

 som innehåller uppgifter som direkt eller indirekt kan hänföras till en fysisk

person.

De benämningar som i övrigt används i denna lag har samma betydelse som i

personuppgiftslagen (1998:204).

7 §6

Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i

4 § datalagen (1973:289) eller som utgör omdöme eller annan värderande

upplysning om den registrerade.

Som särskilda ärendeuppgifter får inte registreras sådana uppgifter som avses i

13 och 21 §§ personuppgiftslagen (1998:204).

Utan hinder av första stycket får följande uppgifter registreras:

1. förekomsten av ansökan eller anmälan i ärenden som omfattas av 1 § första

stycket,

2. tidpunkter, tidsperioder och belopp dels för ersättningar, dels för

ersättningsgrundande förhållanden, i ärenden som omfattas av 1 § första stycket,

3. grad av nedsatt arbetsförmåga,

4. förekomsten av intyg och utlåtande av läkare eller annan intygsgivare,

5. förekomsten av rehabiliteringsutredning eller annan utredning i

rehabiliteringsärende samt av fastställd rehabiliteringsplan,

6. arten av och tidpunkter för föreslagna, planerade och vidtagna

rehabiliteringsåtgärder,

7. förekomsten av sådan särskild grund för beaktande av högre bostadskostnad som

 avses i 14 § tredje stycket och 17 § tredje stycket lagen (1993:737) om

bostadsbidrag,

8. att vårdnadshavare är förordnad särskilt enligt föräldrabalken,

9. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

10. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

 har tagits om hand på det allmännas bekostnad,

11. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

12. om fråga om återbetalningsskyldighet har uppkommit och i sådant fall

kravåtgärder, exekutiva åtgärder, utmätningsbelopp, utmätningsfria belopp och

beslut om skuldsanering enligt skuldsaneringslagen (1994:334),

13. vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

14. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

15. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

16. att den registrerade får aktivitetsstöd enligt 5 § tredje stycket

förordningen (1996:1100) om aktivitetsstöd,

17. att den registrerade har rätt till ersättning enligt 16-22 §§ förordningen

(1996:1100) om aktivitetsstöd,

18. bevakningsanledning, samt

19. anledningen till att ett ärende avslutats.

8. om den registrerade får eller har fått vård eller försörjning helt eller

delvis på det allmännas bekostnad,

9. om den registrerade är häktad, intagen i kriminalvårdsanstalt eller i övrigt

har tagits om hand på det allmännas bekostnad,

10. om den registrerade vistas eller bor i en särskild boendeform enligt

socialtjänstlagen (1980:620) eller vistas eller bor på annat liknande sätt,

11. om fråga om återbetalningsskyldighet har uppkommit,

12 . vilken personkrets enligt 5 § förordningen (1988:890) om bilstöd till

handikappade som den bilstödsberättigade hör till,

13. att godmanskap eller förvaltarskap är anordnat enligt föräldrabalken,

14. att en förälder på grund av sjukdom eller handikapp varaktigt saknar förmåga

 att vårda barn,

15. att den registrerade får aktivitetsstöd enligt 5 § tredje stycket

förordningen (1996:1100) om aktivitetsstöd,

16. att den registrerade har rätt till ersättning enligt 16-22 §§ förordningen

om aktivitetsstöd,

17. bevakningsanledning, samt

18. anledningen till att ett ärende avslutats.

I socialförsäkringsregister som förs för handläggning av ärenden om ersättning

för tandvård enligt 2 kap. 3 § lagen (1962:381) om allmän försäkring och

förordningen (1998:1337) om tandvårdstaxa får dessutom, i fråga om vårdgivare,

registreras uppgift om namn på praktik. I sådana register får vidare registreras

 uppgift om

1. förekomsten av begäran om förhandsprövning enligt förordningen om

tandvårdstaxa samt kod för behandlingsförslag som begäran avser,

2. kod för behandling som avses i förordningen om tandvårdstaxa,

3. att den registrerade har rätt till ersättning enligt 9, 13 eller 14 §

förordningen om tandvårdstaxa,

4. förhållanden som anges i 15 § andra stycket förordningen om tandvårdstaxa,

5. förekomsten av remiss, remitterande vårdgivares namn och namnet på den

vårdgivare till vilken remiss har skett, samt

6. patientavgift och tandvårdsersättning.

12 §7

Socialförsäkringsregister får genom sambearbetning tillföras

1. uppgifter från andra socialförsäkringsregister, och

2. uppgifter som lämnas till en allmän försäkringskassa,

Premiepensionsmyndigheten eller Riksförsäkringsverket med stöd av en särskild

bestämmelse i lag eller förordning om lämnande av uppgifter.

Av föreskrifter i lag eller förordning eller av beslut av Datainspektionen kan

följa att socialförsäkringsregister genom sambearbetning får tillföras uppgifter

 utöver vad som anges i första stycket.

Av föreskrifter i lag eller förordning kan följa att socialförsäkringsregister

genom sambearbetning får tillföras uppgifter utöver vad som anges i första

stycket.

Registeransvar

Personuppgiftsansvar

13 §8

Registeransvariga för socialförsäkringsregister som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje

försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan registeransvarig.

Premiepensionsmyndigheten är registeransvarig för socialförsäkringsregister som

förs särskilt för myndigheten. Riksförsäkringsverket är registeransvarigt för

socialförsäkringsregister som förs särskilt för verket.

Personuppgiftsansvariga för socialförsäkringsregister som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna är verket samt varje

försäkringskassa när det gäller behandling av uppgifter hos den

försäkringskassan. För register som förs särskilt för en allmän försäkringskassa

 eller ett lokalt organ inom denna är försäkringskassan personuppgiftsansvarig.

Premiepensionsmyndigheten är personuppgiftsansvarig för

socialförsäkringsregister som förs särskilt för myndigheten.

Riksförsäkringsverket är personuppgiftsansvarigt för socialförsäkringsregister

som förs särskilt för verket.

Utlämnande av uppgifter på medium för automatisk databehandling

Utlämnande av uppgifter på medium för automatiserad behandling

17 §

Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

bestämmelse i lag eller förordning får lämnas på medium för automatisk

databehandling. I övrigt får uppgifter lämnas ut på medium för automatisk

databehandling endast om sådant utlämningssätt följer av lag eller förordning

eller beslut av Datainspektionen eller om uppgiften skall användas för forskning

 eller framställning av statistik.

Uppgifter i socialförsäkringsregister som lämnas ut med stöd av en särskild

bestämmelse i lag eller förordning får lämnas på medium för automatiserad

behandling. I övrigt får uppgifter lämnas ut på medium för automatiserad

behandling endast om sådant utlämningssätt följer av lag eller förordning eller

om uppgiften skall användas för forskning eller framställning av statistik.

18 §

Uppgifter i socialförsäkringsregister får användas som sökbegrepp endast om det

behövs för

1. tillämpning av lag eller förordning eller särskilt beslut av regeringen,

2. rättelse,

3. tillsyn, uppföljning eller utvärdering, eller

4. urval för forskning eller framställning av statistik.

Uppgifter som avses i 7 § andra stycket 9 och 10 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

Uppgifter som avses i 7 § andra stycket 8 och 9 får användas som sökbegrepp

endast för rättelse och bara om felet inte kan rättas på annat sätt.

I fråga om handlingar som avses i 11 § får endast ärendebeteckning och

beteckning på handling användas som sökbegrepp.

Regeringen eller den myndighet regeringen bestämmer får föreskriva ytterligare

begränsningar av användningen av uppgifter som sökbegrepp.

Registerutdrag

Information

20 §

Registerutdrag beträffande register som förs gemensamt för Riksförsäkringsverket

 och de allmänna försäkringskassorna skall lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

registerutdrag enligt 10 § datalagen (1973:289). Av utdraget skall dock framgå

vilka handlingar avseende den registrerade som finns i registret.

Vid tillämpningen av denna lag gäller bestämmelserna i 23 och 25-27 §§

personuppgiftslagen (1998:204) om information till den registrerade om inte

annat följer av andra stycket. Beträffande register som förs gemensamt för

Riksförsäkringsverket och de allmänna försäkringskassorna skall informationen

lämnas av försäkringskassan.

Uppgifter i sådana handlingar som avses i 11 § behöver inte tas med i

information enligt 26 § personuppgiftslagen. Av informationen skall dock framgå

vilka handlingar avseende den registrerade som finns i registret. Om den

enskilde begär det och anger vilken handling som avses skall emellertid, om inte

 annat följer av bestämmelser om sekretess, information lämnas även om uppgifter

 i sådana handlingar som avses i 11 §. I sistnämnda fall skall begränsningen i

26 § personuppgiftslagen om att information bara behöver lämnas gratis en gång

per kalenderår gälla varje handling för sig.

21 §

Den som är registeransvarig för ett socialförsäkringsregister skall se till att

den som är eller avses bli registrerad på lämpligt sätt får information om

registret.

Den som är personuppgiftsansvarig för ett socialförsäkringsregister skall se

till att den som är eller avses bli registrerad på lämpligt sätt får information

 om registret.

Informationen skall innehålla en beskrivning av de uppgifter som registret får

innehålla samt upplysning om

1. ändamålen med registret,

2. de sekretess- och säkerhetsbestämmelser som gäller för registret,

3. rätten att få registerutdrag och rättelse enligt datalagen (1973:289), samt

4. de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på medium

 för automatisk databehandling, sökbegrepp och bevarande av uppgifter som gäller

 för registret.

3. rätten att ta del av uppgifter enligt 26 § personuppgiftslagen (1998:204),

4. rätten till rättelse enligt personuppgiftslagen och 21 a § denna lag, samt

5. de begränsningar i fråga om direkt åtkomst, utlämnande av uppgifter på medium

 för automatiserad behandling, sökbegrepp och bevarande av uppgifter som gäller

för registret.

Rättelse och skadestånd

21 a §

Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd

gäller vid behandling av personuppgifter enligt denna lag eller anslutande

författningar.

Överklagande

21 b §

En myndighets beslut om rättelse och om information som skall lämnas enligt 26 §

 personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol.

Andra beslut enligt denna lag får inte överklagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

1. Denna lag träder i kraft den 1 oktober 2001.

2. Beträffande personregister som avses i 1 § andra stycket andra meningen

skall, i fråga om sådan manuell behandling som avses i punkt 3 i

övergångsbestämmelserna till personuppgiftslagen (1998:204), bestämmelserna i

7-11 §§ denna lag inte börja tillämpas förrän den 1 oktober 2007.

3. Bestämmelserna om skadestånd i 21 a § skall inte tillämpas om den

omständighet som åberopas till grund för ersättningsanspråket har inträffat före

 lagens ikraftträdande.

4. Har en begäran om registerutdrag enligt 10 § datalagen (1973:289) kommit in

innan denna lag träder i kraft men har utdraget inte expedierats före

ikraftträdandet, skall framställningen anses som en ansökan om information

enligt denna lag.

Lagrådets yttrande

Utdrag ur protokoll vid sammanträde 2001-02-13

Närvarande: f.d. justitierådet Staffan Vängby, justitierådet Leif[REDACTED_EFTERNAMN],

regeringsrådet Rune Lavin.

Enligt en lagrådsremiss den 8 februari 2001 (Socialdepartementet) har regeringen

 beslutat inhämta Lagrådets yttrande över förslag till lag om ändring i

socialförsäkringsregisterlagen (1997:934).

Förslaget har inför Lagrådet föredragits av departementsrådet Marianne Jenryd.

Lagrådet lämnar förslaget utan erinran.

Socialdepartementet

Utdrag ur protokoll vid regeringssammanträde den 15 mars 2001

Närvarande: statsrådet Hjelm-Wallén, ordförande och statsråden[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],
[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], von[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN], Engqvist,[REDACTED_EFTERNAMN],
[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN],[REDACTED_EFTERNAMN]

Föredragande: Ingela[REDACTED_EFTERNAMN]

Regeringen beslutar proposition En begränsad översyn av

socialförsäkringsregisterlagen

1 Senaste lydelse 1998:687.

2 Senaste lydelse 2000:1408.

3 Senaste lydelse 1998:687.

4 Senaste lydelse 1998:687.

5 Senaste lydelse 1998:687.

6 Senaste lydelse 2000:1408.

7 Senaste lydelse 1998:687.

8 Senaste lydelse 1998:687.

Prop. 2000/01:69

37

1

Prop. 2000/01:69

Bilaga 1

2

Prop. 2000/01:69

Bilaga1

1

Prop. 2000/01:69

Bilaga 2

6

Prop. 2000/01:69

Bilaga 2

1

Prop. 2000/01:69

Bilaga 3

46

Prop. 2000/01:69

Bilaga 3

1

Prop. 2000/01:69

Bilaga 4

6

Prop. 2000/01:69

Bilaga 4

1

Prop. 2000/01:69

Bilaga 5

53

Prop. 2000/01:69

Bilaga 5

1

Prop. 2000/01:69

54

Prop. 2000/01:69

1