Behörigheter i IT-systemet

Kommuner och landsting

Fråga:

Vi håller inom äldre- och handikappomsorgen i kommunen på med att datorisera arbetslagen på våra särskilda boenden och övriga verksamheter. Ett stort problem i och med detta, blir att hålla reda på alla nya och gamla användare som ska ha olika rättigheter i olika system. Vi började med gruppinloggningar till nätverket (ett arbetslag = en gemensam användaridentitet), men så kan det inte vara när de anställda så småningom ska börja dokumentera i våra verksamhetssystem eller komma åt andra system. Varje användare måste då ha en egen identitet.

Jag skulle helst vilja ha ett system, med central administration i kommunen, där man redan från det man anställs genom personalsystemet får ett användarnamn, och att man sedan utifrån det kan administrera användarna med anpassad behörighet för administratörerna. Kommunens IT-chef håller på att undersöka hur ett sådant centralt system skulle kunna se ut.

I dagsläget dokumenterar socialförvaltningens biståndshandläggare, sjuksköterskor, sjukgymnaster och arbetsterapeuter enligt SOL och HSL i datasystem. Dessa har tidigare inte varit fler än att det går att hålla reda på genom personkännedom och inbyggd användarhantering med namn och befattning. Det är i dagsläget ca 200 som är eller varit behöriga.

För vikarier i form av sjuksköterskor via bemanningsföretag, eller sjuksköterskeelever som ska lära sig att dokumentera, där vi inte har ett vanligt anställningsförhållande, har vi nu begärt att få in personnummer för rättssäkerhet, då det är mycket viktigt att det går att kontrollera vem det är som har dokumenterat eller har haft tillgång till systemet.

Tanken är att all personal framöver ska göra sin dokumentation kring ärende och vårdtagare via dator, i ovanstående system, men med olika behörighet beroende på arbetsuppgift och arbetsplats. Det rör sig om ca 800 nya användare (vårdpersonal såsom undersköterskor, vårdarinnor, vårdbiträden) av totalt ca 1 000 aktiva användare när allt är utbyggt. Inga användarnamn ska återanvändas, vilket innebär att det totala antalet användare kommer att öka.

Personalen ska heller inte bara ha tillgång till dokumentationssystemen. Kommunen har ett centralt ekonomisystem, en informationsportal för ekonomi, och ett system för fakturahantering som några i varje arbetslag ska ha tillgång till. Det nyköpta personal- och lönesystemet kommer säkerligen att innebära så kallad självservice där varje anställd kommer att ha rättigheter så småningom.

För att kunna administrera alla socialförvaltningens användare, och hålla reda på att de har rätt behörigheter i olika system, skulle jag behöva registrera: personnummer kopplat till användaridentitet, var i vår del av organisationen personen är anställd, hur länge, vilken befattning personen har och vilka system personen ska ha tillgång till. Det är vanligt att vårdpersonal byter befattning, vilket då innebär att deras behörighet inom system, eller tillgång till olika system ska ändras. Inom andra förvaltningar är inte rörligheten, datoriseringen eller antalet anställda densamma som i vår förvaltning, vilket inte gjort samma fråga lika aktuell för andra förvaltningar.

För att kunna dokumentera i ett verksamhetssystem måste det finnas kontroll på vem som dokumenterar och kravet kommer i framtiden att bli att man som personal dokumenterar i verksamhetssystemet. Det nya personalsystemet med tanken om så kallad självbetjäning (det vill säga själv göra frånvarorapport med mera) kräver också säker identifiering liksom rättigheter till olika kataloger i nätverket.

Skulle det vara lagligt att behandla dessa personuppgifter, inklusive personnummer, för detta ändamål utan samtycke, efter att information getts?

Svar:

Du har i ett e-brev begärt samråd om det är förenligt med personuppgiftslagen att socialnämnden för att administrera socialförvaltningens användares behörighet i IT-systemen registrerar uppgift om personnummer kopplat till användaridentitet, var i organisationen personen är anställd, hur länge, vilken befattning personen har och vilka system personen ska ha tillgång till. Datainspektionen lämnar följande synpunkter.

I 10 § personuppgiftslagen finns det en uttömmande uppräkning för i vilka fall behandling av personuppgifter är tillåten.

Av 10 § punkten a) framgår att personuppgifter får behandlas utan samtycke om det är nödvändigt för att ett anställningsavtal eller något annat avtal mellan arbetsgivaren och arbetstagaren skall kunna uppfyllas. Personuppgifter som är nödvändiga för att administrera ett anställningsavtal kan till exempel vara personaladministrativa system och behörighetskontrollsystem. Avtal måste ha ingåtts med den registrerade själv, det vill säga den anställde. Ett avtal mellan arbetsgivaren och en juridisk person, till exempel ett bemanningsföretag, innebär inte att uppgifter får behandlas om personer som är anställda hos ett bemanningsföretag.

10 § punkten b) tillåter behandling om det är nödvändigt för att fullgöra en rättslig skyldighet. En sådan skyldighet ger arbetsgivaren rätt att samla in och registrera nödvändiga uppgifter som behövs för att till exempel redovisa skatter och avgifter beträffande den registrerade.

10 § punkten f) tillåter behandling av personuppgifter om det är nödvändigt och intresset av att behandla uppgifterna är större än den registrerades intresse av att uppgifterna inte behandlas (intresseavvägning).

Enligt grundläggande regler i 9 § framgår att ändamålet bestämmer ramen för vilka personuppgifter som får behandlas, men att flera ändamål kan anges. Arbetsgivaren måste bestämma ändamål för varje typ av behandling, till exempel personaladministration, behörighetskontroll med mera Uppgifter som har samlats in för ett visst syfte, till exempel personaladministration får sedan inte behandlas för något syfte som är oförenligt med det man samlade in uppgifterna för. Om uppgifterna används för andra syften än det ursprungliga bestämda krävs som huvudregel information och samtycke.

Uppgift om personnummer får enligt 22 § personuppgiftslagen behandlas utan samtycke bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Som det får förstås avser den aktuella användningen av personnummer enbart behörighetsadministration, inte användning av personnummer som användaridentitet vid in- eller utloggning i systemen. Inom socialtjänstens verksamhetsområde behandlas en mängd känsliga personuppgifter och det är av vikt att den personuppgiftsansvarige genomför behörighetskontroller. Vid utredning av felaktig eller obehörig användning av personuppgifter i systemen måste användaren kunna identifieras. I syfte att administrera tilldelning och kontroller av behörigheter inom socialtjänsten anser Datainspektionen att personnummer får behandlas för att säkerställa att rätt användare ges tillgång till verksamhetssystemen.

Personuppgiftslagen ställer stora krav på att de registrerade informeras om vilka personuppgifter som behandlas och vad uppgifterna ska användas till, se Datainspektionens allmänna råd Information till registrerade enligt personuppgiftslagen.

Läs Datainspektionens allmänna råd Information till registrerade, i pdf-format

(September 2003)

Personuppgiftsombudet


Samrådsyttranden
Ett personuppgiftsombud kan fråga Datainspektionen om råd när han eller hon är osäker på vilka regler som gäller för hur personuppgifter ska behandlas eller hur de ska användas. På de här sidorna har vi samlat en del av dessa samrådsfrågor och -svar som kan vara av allmänt intresse.

Till listan med samrådsyttranden

Frågor & svar

För dig som vill veta mer har Datainspektionen sammanställt en mängd vanliga frågor och svar om personuppgiftslagen och andra områden.