1 §  Denna förordning reglerar behandlingen av personuppgifter inom socialtjänsten för Statens institutionsstyrelse, kommunala myndigheter, privat verksamhet, Inspektionen för vård och omsorg och Socialstyrelsen enligt lagen (2001:454) om behandling av personuppgifter inom socialtjänsten. Förordning (2013:183).

2 §  Särskilda bestämmelser om behandling av personuppgifter inom socialtjänsten finns i lagen (2001:454) om behandling av personuppgifter inom socialtjänsten, i 12 kap.socialtjänstlagen (2001:453), i lagen (1993:387) om stöd och service till vissa funktionshindrade och i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation. Förordning (2022:923).

3 §  Förordningen innehåller:

• inledande bestämmelser (1-5 §§ ),
• bestämmelser om personuppgiftsansvar (6, 11, 17 och 22 §§ ),
• bestämmelser om för vilka ändamål personuppgifter får behandlas (7, 12, 18 och 23 §§ ),
• bestämmelser om direktåtkomst (24 § ),
• bestämmelser om sökbegrepp och samkörning (9, 10, 10 a, 15, 20, 21 och 25 §§ ),
• bestämmelser om överföring av personuppgifter till tredjeland (16 § ), och
• bestämmelser om bemyndiganden (26-28 §§ ). Förordning (2023:861).

5 §  I förordningen avses med privat verksamhet yrkesmässig verksamhet som bedrivs av en juridisk eller fysisk person med tillstånd av Inspektionen för vård och omsorg enligt socialtjänstlagen (2001:453) eller enligt lagen (1993:387) om stöd och service till vissa funktionshindrade och sådan privat verksamhet inom socialtjänsten som i övrigt bedrivs enligt avtal med kommunen. Förordning (2013:183).

6 §  Statens institutionsstyrelse är personuppgiftsansvarig för den behandling av personuppgifter inom socialtjänsten som görs i dess verksamhet.

7 §  Statens institutionsstyrelse får behandla personuppgifter för

1. platsanvisning och institutionsplaceringar inom styrelsens verksamhetsområde,
2. dokumentation av vård, behandling och behandlingsresultat samt verkställighet,
3. underlag, beslut och övriga åtgärder i ärenden inom verksamhetsområdet, samt
4. uppföljning, utvärdering, kvalitetssäkring och administration av verksamheten. Förordning (2009:1141).

9 §  Ett hem som drivs av Statens institutionsstyrelse får i sådan verksamhet som avses i 7 § 1-3 endast använda uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar.

10 §  Ett hem som drivs av Statens institutionsstyrelse får inte hämta personuppgifter från ett annat hem som drivs av styrelsen för behandling av uppgifter genom samkörning.

10 a §  I fråga om personer som är intagna i särskilt ungdomshem med stöd av lagen (1998:603) om verkställighet av sluten ungdomsvård ska Statens institutionsstyrelse fortlöpande lämna uppgifter till Försäkringskassan och Pensionsmyndigheten om dagen för verkställighetens början och slut samt eventuell ändrad sådan slutdag.

I fråga om personer som genomgår sluten ungdomsvård ska Statens institutionsstyrelse lämna uppgift till Polismyndigheten om dagen för verkställighetens början, om den sammanlagda vårdtiden är minst ett år.

Bestämmelser om skyldighet att i andra fall lämna uppgifter till Polismyndigheten finns i 34 § förordningen (1999:1134) om belastningsregister. Förordning (2014:1293).

11 §  En kommunal myndighet är personuppgiftsansvarig för den behandling av personuppgifter inom socialtjänsten som myndigheten utför.

Om behandlingen görs gemensamt för flera myndigheter inom kommunen är varje myndighet personuppgiftsansvarig för den behandling som utförs hos den myndigheten.

15 §  Vid handläggning av ärenden och i verksamhet som avses i 12 § 1-9 får en kommunal myndighet endast använda uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar.

16 §  En kommunal myndighet får föra över uppgifter till tredjeland i ett ärende om fastställande av faderskap och om internationella adoptioner. Förordning (2018:457).

17 §  En juridisk eller fysisk person som ansvarar för privat verksamhet är personuppgiftsansvarig för den behandling som görs i dess verksamhet.

18 §  I privat verksamhet får personuppgifter behandlas för dokumentation av sådan vård, behandling eller omsorg av enskilda som ges inom verksamheten. Personuppgifter får även behandlas för administrationen av verksamheten.

20 §  I privat verksamhet får endast uppgifter om namn eller uppgifter om person-, samordnings- eller ärendenummer användas som sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar.

21 §  Ett boende, en öppen verksamhet eller en annan enhet i privat verksamhet får inte hämta personuppgifter från annat boende, annan öppen verksamhet eller annan enhet inom privat verksamhet för behandling av uppgifter genom samkörning.

22 §  Socialstyrelsen är personuppgiftsansvarig för den behandling av personuppgifter inom socialtjänsten som görs i dess verksamhet enligt lagen (2007:606) om utredningar för att förebygga vissa skador och dödsfall. Förordning (2018:1379).

23 §  Socialstyrelsen får behandla personuppgifter för sådan verksamhet som avses i lagen (2007:606) om utredningar för att förebygga vissa skador och dödsfall. Sådana uppgifter får behandlas endast i syfte att ge underlag till förslag om åtgärder som har som mål att förebygga att

1. barn far illa, eller
2. vuxna utsätts för våld eller andra övergrepp av närstående eller tidigare närstående personer. Förordning (2018:1379).

24 §  Socialstyrelsen får i verksamhet som avses i lagen (2007:606) om utredningar för att förebygga vissa skador och dödsfall inte medge andra myndigheter eller enskilda direktåtkomst till personuppgifter. Förordning (2018:1379).

25 §  Socialstyrelsen får i verksamhet som avses i lagen (2007:606) om utredningar för att förebygga vissa skador och dödsfall använda de sökbegrepp vid sökning efter uppgifter eller i samband med sammanställningar som behövs för utredningsverksamheten. Förordning (2018:1379).

26 §  Socialstyrelsen får, efter att ha gett Integritetsskyddsmyndigheten tillfälle att yttra sig, meddela ytterligare föreskrifter om

1. sammanställning av personuppgifter enligt 7 a § lagen (2001:454) om behandling av personuppgifter inom socialtjänsten, och
2. krav som gäller för den personuppgiftsansvarige enligt 9 § första stycket den lagen. Förordning (2023:861).

27 §  Socialstyrelsen får, efter att ha gett Integritetsskyddsmyndigheten tillfälle att yttra sig, meddela föreskrifter om verkställigheten av bestämmelserna i lagen (2001:454) om behandling av personuppgifter inom socialtjänsten som rör

1. villkor för tilldelning av behörighet för åtkomst till uppgifter som förs helt eller delvis automatiserat i 10 § första stycket 1 den lagen, och
2. dokumentation och kontroll av åtkomst i 10 § första stycket 2 och 3 den lagen.

Socialstyrelsen får även, efter att ha gett Integritetsskyddsmyndigheten tillfälle att yttra sig, meddela föreskrifter om verkställigheten av bestämmelserna i lagen (2022:913) om sammanhållen vård- och omsorgsdokumentation som rör

1. krav på säkerhetsåtgärder som ska gälla vid direktåtkomst eller annat elektroniskt utlämnande i 4 kap. 2 § den lagen,
2. tilldelning av behörighet för åtkomst till uppgifter som förs helt eller delvis automatiserat i 4 kap. 3 § den lagen,
3. dokumentation och kontroll av åtkomst i 4 kap. 4 § den lagen,
4. den information som ska ges till omsorgsmottagare i 4 kap. 5 § den lagen, och
5. krav på säkerhetsåtgärder i övrigt vid helt eller delvis automatiserad behandling av personuppgifter enligt den lagen. Förordning (2023:861).

28 §  Socialstyrelsen får meddela föreskrifter om verkställigheten av denna förordning. Förordning (2023:861).