Datum Diarienr 2014-12-04 1647-2014 Socialnämnden Norrköpings kommun Rådhuset 601 81 Norrköping Tillsyn enligt personuppgiftslagen (1998:204) socialtjänstens behandling av personuppgifter om etniskt ursprung Datainspektionens beslut Datainspektionen konstaterar att Socialnämnden i Norrköpings kommun kan komma att behandla känsliga personuppgifter som avslöjar etniskt ursprung i strid med 7 lagen (2001:454) om behandling av personuppgifter inom socialtjänsten. Datainspektionen förutsätter att Socialnämnden i Norrköpings kommun ger instruktioner gällande behandling av känsliga personuppgifter som avslöjar etniskt ursprung, så att dessa personuppgifter endast behandlas när de har lämnats i ett ärende eller är nödvändiga för verksamheten. Redogörelse för tillsynsärendet Bakgrund Regeringen har uppdragit åt Datainspektionen att genomföra tillsyn över hur personuppgiftslagen och aktuella registerförfattningar följs inom socialtjänsten och på bostadsmarknaden, med avseende på behandling av känsliga personuppgifter som avslöjar etniskt ursprung, i första hand med inriktning på uppgifter om romer och i andra hand med inriktning på uppgifter om annat etniskt ursprung. Postadress: Box 8114, 104 20 Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Drottninggatan 29, plan 5 Telefon: 08-657 61 00 Webbplats: www.datainspektionen.se Telefax: 08-652 86 52
Datainspektionens uppdrag kompletterar det uppdrag som regeringen gett till kommissionen om åtgärder mot antiziganism. Syftet med kommissionen är att åstadkomma en kraftsamling i arbetet mot antiziganism och att överbrygga den förtroendeklyfta som finns mellan den romska gruppen och samhället i övrigt. Datainspektionen har inom ramen för regeringens uppdrag genomfört en inspektion hos Socialnämnden (nämnden) den 18 augusti 2014. Syftet med tillsynen var att granska hur personuppgiftslagen respektive lag och förordning om behandling av personuppgifter inom socialtjänsten följs med avseende på känsliga personuppgifter som avslöjar etniskt ursprung. Tillsynen har i första hand inriktat sig på uppgifter om romer inom individoch familjeomsorgen. Protokoll har upprättats och översänts till nämnden för synpunkter. Nämnden har vid inspektionen uppgett bland annat följande. Individ- och familjeomsorgen använder ärendehanteringssystemet Viva. Behandlingen av personuppgifter skiljer sig inte åt när det gäller romer, jämfört med personer med annat etniskt ursprung. Nämnden för inte några särskilda register eller sammanställningar över romer, eller personer med ett visst annat etniskt ursprung, varken elektroniskt eller i pappersform. Det förekommer ingen kartläggning av släktförhållanden, utöver att det kan framgå uppgift om vårdnadshavare. Socialtjänsten har inte organiserat sitt arbete utifrån de registrerades etniska ursprung. Det finns inte särskilda handläggare för ärenden som rör romer. Nämnden har inte heller haft särskilda insatser eller uppsökande verksamhet gentemot romer. Sådana insatser har förekommit inom kommunen längre tillbaka i tiden, bland annat i slutet på 1990-talet på kommunstyrelsenivå. Socialtjänsten har inga pågående projekt som riktar sig till romer. Uppgift om språk eller etniskt ursprung, exempelvis att någon har romskt ursprung, förekommer endast i utredningar och journalanteckningar i Viva. Uppgift om etniskt ursprung registreras om den registrerade själv tar upp det och socialtjänsten bedömer att uppgiften är till nytta i ärendet. Det kan av en utredning exempelvis framgå att föräldrarna önskar ett romskt familjehem. Det är inte möjligt att använda uppgift om språk eller etniskt ursprung som sökbegrepp vid sökning i Viva. I Viva kan handläggarna endast söka på personnummer, namn eller ärendenummer. Det är således inte möjligt att i Viva söka fram och sammanställa uppgifter om romer eller personer med ett visst annat etniskt ursprung. Sida 2 av 6
Nämnden lämnar inte ut känsliga personuppgifter som avslöjar etniskt ursprung och har en dokumenterad plan för gallring av personuppgifter. Avslutade ärenden bevaras i Viva i fem år. Individ- och familjeomsorgen har inga skriftliga riktlinjer som rör behandling av personuppgifter. Datainspektionen kontroller Datainspektionen har utfört kontroller i syfte att granska förekomsten av personuppgifter som avslöjar etniskt ursprung. Datainspektionen har vid kontroller i Viva genomfört sökningar på ett tjugotal namn som är vanligt förekommande bland personer med romskt ursprung, varvid fjorton personakter har granskats närmare i relevanta delar, exempelvis dokumentation i beslut, utredningar och journalanteckningar. Datainspektionen har dessutom granskat tre pappersakter som rör barn till föräldrar som i ärendena uppges ha romsk bakgrund. Vid kontrollerna i Viva har Datainspektionen påträffat vissa uppgifter som avslöjar etniskt ursprung. Exempelvis har i olika ärenden noterats att ett föräldrapar är romer och kommer från Serbien i det forna Jugoslavien, att familjen är romer och att en förälder önskar ett romskt familjehem. Beträffande en familj finns uppgift om föräldrarnas etniska ursprung under rubriken familjebakgrund i dokumentation som avser ett av barnen, men motsvarande anteckning fanns inte avseende ett annat barn i familjen. Dokumentationen under rubriken är i övrigt likartad med i stort sett samma formuleringar. Utredningarna är skrivna av två olika handläggare. Uppgiften gäller att föräldrarna tillhör den romska kulturen. Det framgår inte varifrån uppgiften kommer. Skäl för beslutet Tillämplig lag I lag (2001:454) respektive förordning (2001:637) om behandling av personuppgifter inom socialtjänsten finns bestämmelser som ska tillämpas när personuppgifter behandlas inom socialtjänsten. Bestämmelserna gäller, enligt 1 lagen om behandling av personuppgifter inom socialtjänsten, även för så kallade manuella register som är sökbara på endast ett kriterium. I den mån som behandlingen av personuppgifter inte särskilt regleras av lagen eller Sida 3 av 6
förordningen om behandling av personuppgifter inom socialtjänsten gäller personuppgiftslagen. Känsliga personuppgifter som avslöjar etniskt ursprung får enligt 7 lagen om behandling av personuppgifter inom socialtjänsten endast behandlas om uppgifterna har lämnats i ett ärende eller är nödvändiga för verksamheten. Enligt 15 förordningen om behandling av personuppgifter inom socialtjänsten får en kommunal myndighet vid handläggning av ärenden bara använda uppgifter om namn eller uppgifter om person-, samordnings-, eller ärendenummer som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar. Det är således inte tillåtet att vid ärendehandläggningen använda till exempel uppgift om födelseland eller medborgarskap som sökbegrepp vid sökning efter uppgifter i verksamhetssystemet. Det är således inte tillåtet att vid ärendehandläggningen använda till exempel uppgift om födelseland eller medborgarskap som sökbegrepp vid sökning efter uppgifter i verksamhetssystemet. Enligt 9 personuppgiftslagen har den personuppgiftsansvarige (nämnden) ett ansvar att se till att personuppgifter behandlas bara om det är lagligt, på ett korrekt sätt och i enlighet med god sed. Enligt 30 personuppgiftslagen får den som arbetar för nämnden bara behandla personuppgifter i enlighet med instruktioner från nämnden. Datainspektionens bedömning Även om en uppgift om etniskt ursprung inte är sökbar i ärendehanteringssystemet, måste det finnas ett rättsligt stöd för att socialtjänsten ska få behandla uppgiften. Enligt 7 lagen om behandling av personuppgifter inom socialtjänsten finns det ett krav på nödvändighet när socialtjänsten dokumenterar sådana uppgifter i ärendena. Detta innebär att en uppgift om att någon exempelvis har romsk bakgrund, måste vara av betydelse för det enskilda ärendet. Uppgiften i fråga får inte dokumenteras slentrianmässigt, utan endast efter att socialtjänsten har gjort en prövning av behovet i varje enskilt ärende. Uppgifter som avslöjar etniskt ursprung som den registrerade i ett ärende själv har lämnat i samtal med socialtjänsten, får således antecknas om det har betydelse för ärendet. Datainspektionen har uppfattat att socialtjänsten, enligt beskrivningen ovan, gör en prövning av att uppgifter som anger etniskt ursprung endast dokumenteras om de behövs i det enskilda ärendet. Sida 4 av 6
Datainspektionen har vid de kontroller som gjorts i Viva påträffat uppgifter s0m avslöjar etniskt ursprung. Datainspektionen konstaterar att det förefaller att finnas skillnader i handläggningen när det gäller behandling av uppgifter om etniskt ursprung eftersom uppgift om romskt ursprung är antecknad i en familjs akt beträffande bara ett av familjens barn. Dokumentationen i övrigt gav inte förklaring till denna skillnad, utan den mest påtagliga skillnaden var att det var olika handläggare som dokumenterat uppgifterna. Det kan också tyda på att nämndens egna rutiner för behandling av känsliga personuppgifter om etniskt ursprung inte följs i verksamheten. Enligt 30 personuppgiftslagen får den som arbetar för nämnden bara behandla personuppgifter i enlighet med instruktioner från nämnden. Enligt 9 personuppgiftslagen har nämnden ett ansvar att se till att personuppgifter behandlas bara om det är lagligt, på ett korrekt sätt och i enlighet med god sed. Bestämmelserna innebär att nämnden ansvarar för att all behandling av personuppgifter sker i enlighet med instruktioner från nämnden och att instruktionerna är så tydliga att otillåten behandling inte sker om instruktionerna följs. Frånvaro av tydliga riktlinjer för behandlingen av känsliga personuppgifter som avslöjar etniskt ursprung ökar risken för behandling av personuppgifter som inte är nödvändiga och relevanta. Datainspektionen konstaterar att skillnaderna i den faktiska behandlingen av uppgifter om etniskt ursprung innebär att nämnden riskerar att behandla känsliga personuppgifter som avslöjar etniskt ursprung i strid med 7 lagen om behandling av personuppgifter inom socialtjänsten. Med hänsyn till det ovanstående förutsätter Datainspektionen att nämnden utformar så tydliga instruktioner gällande behandlingen av känsliga personuppgifter som avslöjar etniskt ursprung att sådana personuppgifter endast behandlas när de har lämnats i ett ärende eller är nödvändiga för verksamheten. Övrigt Efter det att Datainspektionen har beslutat i samtliga tillsynsärenden som ingår i projektet kommer uppdraget att redovisas till Regeringskansliet. Datainspektionen kommer i samband därmed att i en skriftlig rapport redovisa sina iakttagelser och även lämna eventuella synpunkter och råd mot bakgrund av det som framkommit vid tillsynen. Nämnden kommer att få del av rapporten i fråga. Sida 5 av 6
Hur man överklagar Om ni vill överklaga beslutet ska ni skriva till Datainspektionen. Ange i skrivelsen vilket beslut som överklagas och den ändring som ni begär. Överklagandet ska ha kommit in till Datainspektionen senast tre veckor från den dag beslutet meddelades för att kunna prövas. Datainspektionen sänder överklagandet vidare till Förvaltningsrätten i Stockholm för prövning om inspektionen inte själv ändrar beslutet på det sätt ni har begärt. Detta beslut har fattats av generaldirektören Kristina Svahn Starrsjö efter föredragning av juristen Katarina Högquist. Vid den slutliga handläggningen har även chefsjuristen Hans-Olof Lindblom och enhetschefen Katarina Tullstedt deltagit. Kristina Svahn Starrsjö Katarina Högquist Sida 6 av 6