Utökat befolkningsregister hos landstinget
Kommuner och landsting
Fråga:
I egenskap av personuppgiftsombud för landstingsstyrelsen vänder jag mig till Datainspektionen med begäran om samråd.
Snabb och säker tillgång till aktuella folkbokföringsuppgifter för patienter är mycket viktigt för sjukvården och dess administration. Landstinget har sedan lång tid tillbaka ett datasystem med ett befolkningsregister som innehåller adressuppgifter med mera om patienter och medarbetare. Systemet uppdateras regelbundet med filer med folkbokföringsuppgifter från Skatteverket om personer bosatta i länet.
Folkbokföringsuppgifter om länets innevånare och patienter från andra län som fått vård inom landstinget är lagrade i och hämtas från landstingets egen databas när dessa efterfrågas. Men uppgifter om andra personer, dvs merparten av alla personer utanför länet, hämtas från Statens Person- och Adressregister (SPAR) när de efterfrågas. Därefter vidarebefordras uppgifterna av landstingets befolkningssystem till den person eller det datasystem som efterfrågat uppgif-terna.
Att inte hela befolkningens folkbokföringsuppgifter nu lagrats i landstingets egen databas leder till ett tekniskt mer komplicerat system. Det är avsevärt dyrare i drift, har fler driftstörningar och är betydligt långsammare än det borde vara.
Landstinget bygger nu ett nytt modernt system och önskar att folkbokföringsuppgifter gällande hela befolkningen samt personer med samordningsnummer skall finnas för att snabbt och säkert göras åtkomliga i landstingets egen databas.
Patienternas ökade rörlighet och fria val av sjukvård och centraliseringen av högspecialiserad vård gör att sjukvården i länet ger service och vård till patienter från hela Sverige. Detta innebär att redan nu så behandlas folkbokföringsuppgifter om patienter från alla delar av Sverige. Hämtningen av utomlänspatienter från SPAR är tekniskt komplicerad, mindre driftsäker och onödigt kostsam.
Anser Datainspektionen att ett komplett befolkningsregister i landstinget, mot bakgrund av dessa skäl, ej föranleder att samtycke till behandlingen krävs med hänvisning till intresseavvägningen enligt 10 § f personuppgiftslagen?
Landstingsstyrelsen önskar också få reda på Datainspektionens åsikt beträffande information till patienterna i ett nytt, komplett befolkningsregister. Kan landstinget åberopa omöjlig eller oproportionerligt stor arbetsinsats och därmed undvika att ge information till varje enskild person i registret?
Svar:
Med anledning av din begäran om samråd angående ett komplett befolkningsregister för landstinget kan Datainspektionen lämna följande vägledning.
Skatteverkets folkbokföringsverksamhet
Som Datainspektionen uppfattar förslaget är tanken att folkbokföringsuppgifter avseende hela befolkningen ska hämtas in från Skatteverket. I lag (2001:182) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet samt förordning (2001:589) om behandling av personuppgifter i Skatteverkets folkbokföringsverksamhet (förordningen) finns bestämmelser på området, bland annat avseende vilka uppgifter som får lämnas ut till en myndighet och för vilka ändamål detta får ske. Tillämpningen av dessa bestämmelser ankommer på Skatteverket. Av 12 § tredje stycket förordningen framgår att uppgifter, som lämnas ut, och som den mottagande myndigheten inte får behandla, ska gallras omedelbart.
Grundläggande krav på behandlingen
Enligt 9 § punkt f) personuppgiftslagen får inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålet med behandlingen. Med hänsyn till att en majoritet av de registrerade i ett register över hela befolkningen varken har eller kan antas komma etablera en vårdrelation med landstinget kan det, enligt Datainspektionens uppfattning, ifrågasättas om den föreslagna behandlingen skulle motsvara detta krav.
Tillåten behandling
Av 10 § punkt f) personuppgiftslagen följer att personuppgifter får behandlas utan den registrerades samtycke om behandlingen är nödvändig för att ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige ska kunna tillgodoses om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.
Ska behandlingen omfatta brottsuppgifter, personnummer eller känsliga personuppgifter måste behandlingen dock vara tillåten också enligt bestämmelserna i 13-22 §§ personuppgiftslagen.
Den aktuella frågan rymmer två motstående intressen. Å ena sidan landstingets behov av en effektiv och billig hantering av patienternas personuppgifter, å andra sidan människors krav på integritet. Landstingets behov kan delvis tillgodoses genom inhämtning av uppgifterna från SPAR. Ett sådant system har emellertid, enligt uppgift, fler driftsstörningar, är långsammare och dessutom dyrare. Användandet av omfattande personregister, i synnerhet sådana avseende hela befolkningen, är dock alltid förenade med stora integritetsrisker. Mot bakgrund av detta anser Datainspektionen att de enskildas intresse av integritet väger tyngre än landstingets intresse av att få behandla uppgifterna.
Information
Som framgått ovan anser Datainspektionen att det kan ifrågasättas huruvida behandlingen uppfyller det grundläggande kravet i 9 § punkt f) personuppgiftslagen. Datainspektionen anser dessutom att behandlingen inte är tillåten 10 § punkt f) personuppgiftslagen. Det saknas därför anledning att i detta ärende göra en bedömning beträffande undantaget från informationsplikten vid omöjlig eller oproportionerligt stor arbetsinsats (24 § tredje stycket personuppgiftslagen).
Övrigt
Datainspektionen är medveten om att landstingets behov av att behandla folkbokföringsuppgifter ständigt ökar. Det aktuella förslaget ryms dock inte inom ramen för nuvarande lagstiftning. Reglerna på hälso- och sjukvårdsområdet ses för närvarande över av Patientdatautredningen (S 2003:03). Utredningen ska i sitt uppdrag bland annat överväga för vilka ändamål personuppgifter får behandlas inom hälso- och sjukvården. Datainspektionen kommer att uppmärksamma utredningen på den aktuella frågeställningen.
Med de synpunkter som har lämnats ovan avslutas ärendet.
Detta yttrande har beslutats av generaldirektören Göran Gräslund.
(april 2005)
Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.
Till listan med samrådsyttranden
Frågor & svar
För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.
