Beslut efter tillsyn enligt personuppgiftslagen (1998:204)

Transkript

1 Beslut Dnr Social- och arbetsmarknadsnämnden i Karlstads kommun KARLSTAD Beslut efter tillsyn enligt personuppgiftslagen (1998:204) Datainspektionens beslut Datainspektionen konstaterar att Social- och arbetsmarknadsnämnden i Karlstads kommun (socialnämnden), trots inspektionens påpekande i beslutet den 10 juni 2004, fortfarande behandlar personuppgifter i fråga om sökbegrepp i strid med lagen och förordningen om behandling av personuppgifter inom socialtjänsten. Datainspektionen förelägger socialnämnden att se till att den personkrets som arbetar med uppföljning, utvärdering och kvalitetssäkring av verksamheten och kan göra känsligare sökningar i verksamhetssystemet begränsas till vad som är nödvändigt, samt att övriga handläggare av systemet bara använder sökbegreppen namn, person-, samordnings- eller ärendenummer i ärendehandläggningen. Socialnämnden bör kontakta leverantören av IFO-systemet för att lösa frågan om hur begränsning och kontroll av handläggarnas användning av sökbegrepp ska säkras. Socialnämnden ska vidare se till att det utarbetas en rutin för regelbunden uppföljning av loggarna i IFO-systemet för att kontrollera åtkomsten till känsliga och ömtåliga personuppgifter. Datainspektionen påpekar på nytt att socialnämnden måste gå igenom sina personuppgiftsbehandlingar, upprätta förteckning över behandlingarna, och ta ställning till om information måste lämnas till de registrerade. Datainspektionen förutsätter att socialnämnden enligt sin ambition uppdaterar namn- och adressuppgifter i IFOsystemet genom befolkningsregistret. Med dessa påpekanden avslutas ärendet. Datainspektionen kommer att följa upp ärendet senast den 30 december Redogörelse för tillsynsärendet Datainspektionen har efter enkätinspektion i beslut den 10 juni 2004, dnr , konstaterat att socialnämnden behandlar personuppgifter i fråga om sökbegrepp i strid med förordningen om behandling av personuppgifter inom socialtjänsten. Inspektionen påpekade att nämnden är skyldig att se till att bara tillåtna sökbegrepp används. Inspektionen påpekade även att socialnämnden bör se till att all personal som har tillgång till personuppgifter kontinuerligt får relevant utbildning, att socialnämnden måste gå igenom sina behandlingar och ta ställning till om information enligt personuppgiftslagen måste lämnas samt att socialnämnden automatiskt bör uppdatera namn- och adressändringar. Postadress: Box 8114, STOCKHOLM E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: Webbplats: Telefax:

2 2 (5) Datainspektionen har genomfört en uppföljande inspektion hos socialnämnden den 26 april Datainspektionen har sänt ett inspektionsprotokoll till socialnämnden som har yttrat sig. Sökbegrepp sammanställningar m.m. Vid socialnämnden arbetar drygt 350 personer, varav c:a har tillgång till verksamhetssystemet IFO (IFO-systemet) från leverantören WM-data. Enligt socialnämnden syns inga spärrmarkerade uppgifter i folkbokföringen i IFO-systemet från leverantören WM-data. Det konstaterades dock vid inspektionstillfället att handläggarna kunde få fram sammanställning (lista med personnummer och uppgiften skyddad adress ) beträffande samtliga personer som har spärrmarkerade adresser i folkbokföringen via kommuninvånarregistret TEFAT/KID. Med ingång via sammanställningen kunde handläggarna få fram uppgifter om adresser till anhöriga som inte har skyddade adresser. Enligt tjänsteskrivelse som daterats den 10 februari 2005 som gått ut till all personal inom socialnämnden skall personalen skriva under att de tagit del av information och regler om datoranvändandet. Enligt skrivelsen uppmanas de anställda bl.a. att bara använda datorerna för arbetsuppgifter. Handläggarna informeras även om att vad som görs i verksamhetssystemen loggas så att systemadministratören kan se vad de enskilda handläggarna har gjort. Socialnämnden uppger sig känna till bestämmelsen om sökbegrepp. Socialnämnden kan inte längre använda medborgarskap som sökbegrepp. Socialnämnden anser att ett problem har varit att handläggarna inte använder sig av de rapportmöjligheter som finns i IFO-systemet i ärendehandläggningen. I systemet sammanställer endast någon eller några handläggare och/eller chefer per avdelning uppgifter i rapporter för ärendehandläggningen. Handläggarna kan söka på bl.a. familjebehandling vuxna missbrukare, LVU- och LVM-åtgärder och beslut. I rapporterna finns även namn och personnummer på samtliga i kommunen beträffande vilka aktuella åtgärder som har beslutats. Det finns logg som visar åtkomst till personuppgifter, men inte vilka sökbegrepp/sammanställningar som handläggarna har gjort i systemet. Socialnämnden har i yttrande över inspektionen anfört bl.a. följande. Handläggarna kan inte längre få fram uppgifter om skyddad adress via sammanställning i befolkningsregistret TEFAT/KID. I IFO-systemet loggas den systemansvariges åtgärder i användaradministrationen och samtliga inloggningsförsök, såväl lyckade som misslyckade samt rapporter. Om ett urval på personnummer eller en del av ett personnummer görs vid en rapportkörning loggas även det. Datainspektionen noterar att problemen med åtkomsten till de skyddade adresserna har åtgärdats. Av 7 a första stycket lagen (2001:454) om behandling av personuppgifter inom socialtjänsten framgår att i sammanställningar av personuppgifter får det inte tas in känsliga personuppgifter eller uppgifter i övrigt om ömtåliga person-

3 3 (5) liga förhållanden. Enligt bestämmelsens andra stycke undantas från förbudet uppgifter om åtgärder som har beslutats inom socialtjänsten som innebär myndighetsutövning och om den bestämmelse som ett sådant beslut grundar sig på. Vidare undantas från förbudet bl.a. uppföljning, utvärdering och kvalitetssäkring av verksamheten. Uppräkningen i fråga om undantagen från förbudet i andra stycket är uttömmande (se prop. 2002/03:36 s. 28). Enligt 15 förordningen (2001:637) om behandling av personuppgifter inom socialtjänsten får socialnämnden vid handläggning av ärenden bara använda uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar. Denna begränsning gäller dock inte för tillsyn, uppföljning, utvärdering och kvalitetssäkring av verksamheten. Chefer och handläggare vid socialnämnden söker fram rapporter i IFO-systemet. Om personnummer eller del av personnummer används som sökbegrepp loggas det. Någon uppgift om att andra sökbegrepp skulle loggas finns inte. Socialnämnden har alltså bristande kontroll över vilka sökbegrepp/sammanställningar/rapporter som faktiskt används. Det åligger socialnämnden att se till att den personkrets som arbetar med uppföljning, utvärdering, och kvalitetssäkring av verksamheten och kan göra känsligare sökningar, begränsas till vad som är nödvändigt. Socialnämnden ska vidare se till att övriga användare av IFO-systemet bara använder sökbegreppen namn, person-, samordnings- eller ärendenummer vid ärendehandläggningen. Handläggarnas sökmöjligheter i IFO-systemet måste alltså begränsas, även om det inte nödvändigtvis innebär en teknisk begränsning i systemet. Om inte en teknisk begränsning väljs är det särskilt angeläget att loggning görs av vilka sökbegrepp som används (se prop. 2000/01:80 s. 147). Socialnämnden bör ta kontakt med leverantören av IFO-systemet i frågan. För att kontrollera åtkomsten till känsliga och ömtåliga personuppgifter måste socialnämnden i IFOsystemet se till att det utarbetas en rutin för regelbunden uppföljning av loggarna. Information m.m. Iakttagelser Socialnämnden har på grund av omorganisation inte gjort något med anledning av Datainspektionens påpekande i fråga om information till de registrerade. Någon plan för hur de registrerade ska informeras finns inte för närvarande. Någon förteckning över de personuppgiftsbehandlingar enligt 39 PuL finns inte upprättad. Datainspektionen påpekar på nytt att socialnämnden måste gå igenom sina personuppgiftsbehandlingar och ta ställning till om information måste lämnas till de registrerade. Personuppgiftsombudet måste se till att det upprättas en förteckning över de personuppgiftsbehandlingar som socialnämnden genomför enligt 39 PuL.

4 Utbildning 4 (5) Iakttagelser Socialnämnden har tidigare haft en tekniker anställd som har hållit i utbildning för personalen, men sedan han slutade har personalen inte utbildats. Inom socialnämnden har man pratat om att framställa utbildningsmaterial om personuppgiftslagen. Trots Datainspektionens tidigare påpekande har socialnämnden inte sett till att personalen får utbildning i fråga om personuppgiftshanteringen. Datainspektionen finner anledning att på nytt påpeka att det är av stor vikt att socialnämnden ser till att personalen kontinuerligt får utbildning om hur personuppgifter behandlas. Uppdatering av befolkningsregistret Socialnämnden har betalat för förbättrad uppdatering av namn- och adressuppgifter i IFO-systemet genom befolkningsregistret men någon förbättring har ännu inte gjorts. Socialnämnden räknar med att det snart görs. Datainspektionen förutsätter att socialnämnden enligt sin ambition uppdaterar namn- och adressuppgifter i IFO-systemet genom befolkningsregistret. Känsliga personuppgifter i befolkningsregister Socialnämnden använder ett befolkningsregister som innehåller bl.a. uppgift om namn, adress, personnummer och medborgarskap och födelseland. Datainspektionen gör följande bedömning Personuppgiftslagen innehåller ett principiellt förbud mot att behandla personuppgifter som avslöjar ras eller etniskt ursprung. En uppgift om en persons födelseland i kombination med uppgift om medborgarskap kan i många fall avslöja personens ras eller etniska ursprung och då utgöra en känslig personuppgift (däremot inte en isolerad uppgift om medborgarskap, se prop. 2001/02:144 s. 41). För att känsliga personuppgifter ska få behandlas i en kommuns befolkningsregister måste något undantag från förbudet vara tillämpligt. Kommunernas behandling i denna fråga kan komma att undersökas i annat sammanhang. Övrigt Datainspektionen kommer att tillskriva organisationen Sveriges kommuner och landsting för att ta upp en diskussion om de generella frågeställningar som aktualiseras i detta och andra tillsynsärenden som rör socialnämnder i landet.

5 Hur man överklagar 5 (5) Om ni vill överklaga beslutet skall ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet skall ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades för att kunna prövas. Datainspektionen sänder överklagandet vidare till Länsrätten i Stockholms län för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Beslut i detta ärende har fattats av generaldirektören Göran Gräslund, i närvaro av tillsynsdirektören Britt Marie Wester datarådet Hans-Olof Lindblom byrådirektören Johan Sehlström, föredragande, samt informationssekreteraren Amina Grill. Göran Gräslund Johan Sehlström Kopia till: Social- och arbetsmarknadsnämnden i Karlstads kommun Att. personuppgiftsombudet Göran Andersson KARLSTAD