sou · GLB3101 · 1998-01-01 00:00:00 — Som exempel på fall där denna bestämmelse kan vara tillämplig har i lagmotiven nämnts att en myndighet behöver ge en annan myndighet del av hemlig information till grund för ett remissyttrande. Av motiven framgår dock också att bestämmelsen skall tillämpas restriktivt och att den inte får åberopas för att hjälpa en annan myndighet t.ex. den mottagande att fullgöra sin verksamhet. Om en myndighet enligt lag eller förordning har skyldighet att lämna vissa uppgifter till annan myndighet gäller inte sekretessen (14 kap. 1 § sekretesslagen). Som exempel kan nämnas 3 kap. förordningen (1995:238) om totalförsvarsplikt som ålägger skatte- myndigheten, , , , m. fl. myn- digheter att lämna uppgifter till om totalförsvarspliktigas förhållanden. Bestäm- melser om sekretess hindrar (enligt samma lagrum i sekretesslagen) inte att uppgifter lämnas till regeringen eller . Enligt 14 kap 2 § hindrar inte heller sekretess uppgiftslämnande från en myndighet till en annan i vissa särskilt uppräknade fall, som då uppgiften behövs vid förundersökning i brottmål, rättegång, omprövning av beslut eller åtgärd av den myndighet där uppgiften förekommer eller tillsyn eller revision hos denna myndighet m.m. I 14 kap 3 § första stycket sekretesslagen återfinns den s.k. generalklausulen som stadgar att sekretessbe- lagd uppgift får lämnas till myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen skall skydda. I andra stycket undan- tas flera sekretessbestämmelser till skydd för den enskildes personliga och ekonomiska förhål- landen från generalklausulens tillämpningsområde, bl.a. den ovan nämnda sekretessregeln inom hälso- och sjukvården. Vidare anges att generalklausulen inte heller får tillämpas om utläm- nandet strider mot lag eller förordning eller, såvitt angår uppgift i personregister enligt data- lagen, föreskrifter som meddelats med stöd av den lagen. Sekretess till skydd för en enskild kan enligt 14 kap. 4 § första stycket helt eller delvis efterges av den enskilde själv. En myndighet kan alltså efter samtycke från den enskilde lämna ut uppgifter om denne till en annan myndighet. Även tysta sk. presumerade samtycken som framgår av den enskildes beteende får godtas. Som nämnts ovan finns undantag från tillämpligheten av bestämmelserna i 14 kap. (se t.ex. 7 kap. 17 §). Sekretessen följer inte en hemlig uppgift som lämnas ut om inte det finns en särskild regel om detta. Sekretess som till följd av en sådan regel förs över till en annan myndighet brukar kallas för sekundär sekretess hos den mottagande myndigheten. Den sekundära sekretessen innebär att en handling som är hemlig hos en utlämnande myndighet också är hemlig hos den myndig- het som tar emot handlingen. Den sekundära sekretessen gäller också i fråga om handling till vilken har förts över uppgifter från den överlämnade handlingen. I sekretesslagens 1113 kap. ges bestämmelser om överföring av sekretess. 11 kap. inne- håller särskilda bestämmelser om sekretessbelagda uppgifter som överlämnats till regeringen, , ombudsmän och justitiekanslern medan 12 kap. behandlar sekretessbe- lagda uppgifter som erhållits av domstol i domstolens rättskipande eller rättsvårdande verk- samhet. I 13 kap. räknas särskilda fall i övrigt upp då sekretessen överförs mellan myndigheter. Sekundär sekretess gäller enligt dessa bestämmelser bl.a. om en myndighet i sin forsk- ningsverksamhet från en annan myndighet erhåller uppgift som är sekretessbelagd där (3 §) och hos arkivmyndighet för sekretessbelagda uppgifter som lämnats till arkivmyndigheten för arkivering (4 §). Om sekretess till skydd för samma intresse ändå är tillämplig hos den mottagande myn- digheten har denna företräde. Sekretess förs då inte över från den myndighet som lämnar uppgifterna, vilket innebär att skyddet kan förstärkas eller försvagas vid ett överlämnande. Om en sekretessbelagd uppgift lämnats ut till enskild har denne inte tystnadsplikt om det inte följer av särskilda föreskrifter (se t.ex. lagen [1975:689] om tystnadsplikt för vissa tolkar och översättare) eller utlämnandet förenats med förbehåll som inskränker rätten att föra upp- giften vidare (se 14 kap. 9 och 10 §§ sekretesslagen). För lämnande av uppgifter för offentliggörande i tryckt skrift eller för framställning i film eller radio gäller särskilda regler enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Här är, något förenklat uttryckt, utgångspunkten att uppgiftslämnande utom såvitt avser utläm- nande av en hemlig handling är tillåtet även om uppgiften är sekretessbelagd. 16 kap. 1 § sekretesslagen anger i vilka fall tystnadsplikten har företräde framför sådan meddelarfrihet. 4.4 Kort om förhållandet mellan datalagstiftningen, tryckfrihetsförordningen och sekretesslagen Informationsflödet mellan myndigheter, den enskildes rätt till skyddad integritet och rätt till insyn i det offentligas verksamhet regleras genom ett flertal författningar och föreskrifter av olika slag. Regelverket är inte okomplicerat och kan konflikter mellan olika regler uppkomma. Nedan ges en mycket kort beskrivning av förhållandet mellan de i rubriken an- givna författningarna jämte de föreskrifter Datainspektionen kan utfärda. Vad som nedan sägs framgår i huvudsak redan av texten ovan i detta kapitel. Datalagen har till syfte att hindra att hantering av personregister som förs med hjälp av ADB medför otillbörligt intrång i den enskildes integritet. Lagen anger i vilka situationer och under vilka villkor den enskilde får finna sig i att vara registrerad. Strängare villkor gäller generellt då det är fråga om registrering av för den enskilde känsliga personuppgifter. Data- lagen kompletteras och ersätts i vissa delar av särskilda registerlagar för statsmaktsregistren, de register som beslutats av regeringen eller . Datalagstiftningen varmed här avses såväl datalagen som de särskilda registerlagarna behandlar dock inte sekretess i det allmännas verksamhet. En myndighet som för ett personregister har främst att söka ledning i sekretesslagen när det gäller frågor om utlämnande av uppgifter ur registret. Som tidigare redovisats innebär ett förbud för en myndighet att överföra viss upptagning (t.ex. ADB-upp- tagning) till läsbar eller annan form som kan uppfattas, att upptagningen (handlingen) inte anses förvarad hos myndigheten (2 kap. 3 § andra stycket TF). Detta är inte en sekretessregel. Bestämmelsen innebär helt enkelt att upptagningen inte utgör en allmän handling. Enligt datalagen skall Datainspektionen, i den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet, meddela föreskrift för personregister om bl.a. utläm- nande och annan användning av personuppgift (6 § datalagen, se ovan 4.1.2). Enligt lagmotiven (prop. 1973:33 s. 129 f.) är det i många fall uppenbarligen påkallat att meddela föreskrift om utlämnande och annan användning av personuppgifter. Datainspektionen kan härvid begränsa de ändamål för vilka uppgifter får användas i den registeransvariges verksamhet och före- skriva skyldighet för denne att ställa villkor i fråga om användningen av uppgifter som lämnas ut till någon annan. I 6 § tredje stycket anges uttryckligen att Datainspektionens föreskrifter inte får inskränka en myndighets skyldigheter enligt tryckfrihetsförordningen. Datainspektio- nen kan därmed inte meddela ett förbud mot utlämnandet av allmänna handlingar (om inte förbudet är begränsat till utlämnande på datormedium eller via terminalanslutning eller lik- nande). Om de aktuella uppgifterna är belagda med sekretess skall förutom föreskrift från Datainspektionen naturligtvis de särskilda bestämmelserna om sekretess tillämpas. Härvid kan bl.a. 7 kap. 16 § sekretesslagen bli aktuell, som föreskriver sekretess för personuppgifter i personregister om det kan antas att utlämnande skulle medföra att uppgiften används för ADB i strid mot datalagen, t.ex. av någon utan erforderligt tillstånd. I den ovan behandlade sk. generalklausulen (14 kap 3 § sekretesslagen), anges som ett undantag för dess tillämpning att utlämnandet skulle strida mot lag eller förordning eller, såvitt avser personregister, föreskrift som meddelats med stöd av datalagen. Har det t.ex. i lag föreskrivits att en viss myndighet för sin verksamhet på angivna villkor kan få ta del även av hemliga uppgifter hos en annan myndighet kan det inte komma i fråga att, när de angivna villkoren inte är uppfyllda, lämna ut uppgifterna med stöd av generalklausulen i stället. Data- inspektionen kan inte meddela föreskrifter som står i strid med särskilda lagar och förord- ningar om utlämnande av uppgifter myndigheter emellan. Däremot bör hinder inte möta mot en föreskrift som bara innebär att utrymmet för registerföraren att tillämpa generalklausulen krymps eller utesluts helt (jfr prop. 1979/80:2, del A, s. 328). har pekat på problem som kan uppstå då personuppgifter behandlas på områden där tryckfrihetsförordningen och yttrandefrihetsgrundlagen (YGL) är tillämpliga. Enligt utredningen kan konflikter uppstå vid tillämpningen av de båda grundlagarna och data- lagstiftningen, dels genom att den senare kan verka försvårande för framställningen av olika yttranden och dels till följd av grundlagarnas regler om anonymitetsskydd. För närmare stu- dier av dessa frågor hänvisas till slutbetänkande (SOU 1993:10 s. 113 147). 4.5 Bevarande och gallring Grundläggande regler om offentliga arkiv finns i arkivlagen (1990:782) och i arkivförordningen (1991:446). Bestämmelserna omfattar arkiv hos såväl statliga som kommunala myndigheter och författningarna innehåller regler om vad som ingår i en myndighets arkiv, vård av arkiv och gallring av arkiv. Arkivlagens utgångspunkt är att allmänna handlingar skall bevaras. arkivlagens 3 § uttalas att myndigheternas arkiv är en del av det nationella kulturarvet och att arkiven skall bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av all- männa handlingar, behovet av information för rättskipningen och förvaltningen och forsk- ningens behov. Av 10 § framgår emellertid att allmänna handlingar får gallras, dvs. förstöras (som förstöring räknas även överförande till andra databärare om överföringen medför informationsförlust, se föreskrifter och allmänna råd om arkiv hos statliga myn- digheter [RA-FS 1991:1] 2 kap. 1 §). Dock skall, enligt samma lagrum, det arkivmaterial som återstår kunna tillgodose de ändamål som anges i 3 §. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning gäller dock dessa be- stämmelser (med undantag för 12 § datalagen, se strax nedan). I de särskilda författningar som reglerar olika integritetskänsliga register (dvs. statsmaktsregister) föreskrivs i regel att materialet skall förstöras , om det inte finns direkta föreskrifter om bevarande. För dessa fall är sålunda principen den omvända, dvs. att gallring skall ske. I motiven till arkivlagen (prop. 1989/90:72 s. 50 ff.) sägs att principen är rimlig med hänsyn till de integritets- aspekter som kan föreligga på de särskilda registerlagarnas områden. Vidare anförs att undan- tag från gallringsskyldigheten i dessa fall, som kan förestavas av hänsyn till insynsaspekten, myndigheternas informationsbehov och rättssäkerhetsaspekter, som regel bör tas in direkt i den särskilda registerlagen. Däremot bör konkreta avgöranden av vilka handlingar som skall bevaras med hänsyn till forskningens behov, i princip överlåtas till fackkunniga inom arkiv- myndigheterna. Av den anledningen anges i propositionen att, beträffande statliga myndighe- ters arkiv, det i den särskilda registerlagen också borde slås fast att, utöver de undantag från gallringsplikten som anges direkt i den lagen, ytterligare undantag får föreskrivas av reger- ingen eller av den myndighet som regeringen bestämmer. Dessa bemyndiganden får enligt pro- positionen förutsättas bli använda enbart för att bevara material med hänsyn till forskningens behov och då främst ett representativt urval av material. Prövningen av gallringsfrågor beträffande uppgifter i personregister som regleras genom särskilda registerlagar följer därmed teoretiskt följande modell: Utgångspunkten enligt arkivlagen är att handlingar som behövs för de i lagen uppräknade syftena skall bevaras. Om det i den särskilda registerlagen angetts att materialet skall förstöras gäller dock denna bestämmelse före arkivlagen. Beträffande material som behövs för forskningsändamål kan i den särskilda registerlagen ges bemyndigande för regeringen eller myndighet som regeringen bestämmer att meddela un- dantag från gallringsplikten. Om sådana bestämmelser meddelats gäller dessa. I annat fall gäller den särskilda registerlagens bestämmelser om gallringsplikt även detta material. Ett exempel på gallringsbestämmelse i en registerlag utgörs av 10 § i förslaget till lag om vissa personregister inom kriminalvården (Ds 1996:19): En uppgift i ett kriminalvårdsregister skall gallras så snart uppgiften inte längre behövs och senast efter det att den senast registrerade kriminalvårdspåföljden eller åtgärden till fullo verkställts eller annars har upphört. Regeringen får i förordning bestämma för gallring. Regeringen eller den myndighet som regeringen bestämmer får föreskriva undantag från första stycket i fråga om bevarande av ett urval av material för forskningens behov. Sådant material skall överlämnas till arkivmyndighet. Den myndighet som av regeringen utses att utfärda särskilda bestämmelser om gallring i dessa fall är som regel . För de register som inte är statsmaktsregister gäller delvis en annan ordning. Här måste man skilja på register som enbart kräver licens (licensregister) och sådana som kräver såväl licens som tillstånd från Datainspektionen (tillståndsregister). Enligt 12 § datalagen skall per- sonuppgift utgå ur registret då uppgiften inte längre behövs med hänsyn till ändamålet med registret, om inte uppgiften även därefter skall bevaras på grund av bestämmelse i lag eller annan författning eller enligt myndighets beslut som meddelats med stöd av författning. Enligt uttrycklig bestämmelse i arkivlagen (10 §) gäller arkivlagens bestämmelser om gallring före 12 § datalagen. Detta innebär att licensregister hos myndigheter därmed skall gallras enligt arkivlagens normsystem, dvs. huvudregeln är att uppgifterna skall bevaras i de delar det krävs för de i arkivlagen angivna syftena. För tillståndsregisternas del skall Datainspektionen, i den mån det behövs för att förebygga risk för otillbörligt intrång i den personliga integriteten, meddela föreskrift om bevarande och gallring av personuppgifter (6 § första stycket 9 data- lagen). Datainspektionens föreskrifter, som enligt 12 § dataförordningen skall lämnas efter samråd med , blir då gällande, dvs. bestämmelsen i 6 § datalagen gäller före arkiv- lagens regler (se närmare prop. 1989/90:72 s. 48 ff.). Den enskildes behov av skydd för den personliga integriteten behandlas i flera internationella överenskommelser och rekommendationer. Som följer av framställningen nedan liknar be- stämmelserna i de olika internationella dokumenten om behandling av personuppgifter varan- dra i hög grad. Det rör sig om regler som tar sikte på att registrering och annan behandling av uppgifter om enskildas personliga förhållanden skall vara begränsad till situationer då sådana åtgärder framstår som befogade ur samhällets eller den enskildes perspektiv. Vissa känsliga uppgifter erhåller regelmässigt särskilt skydd. Vidare intar bestämmelser om att uppgifterna skall vara korrekta och om den enskildes rätt till insyn en central roll. dataskyddskonvention och rekommendation och riktlinjer för da- taskydd har länge utgjort en grund för den svenska data- och registerlagstiftningen. EG-direktivet om personuppgifter har ännu inte implementerats i svensk rätt. Regeringen beslutade att tillsätta en särskild kommitté med uppgift att analysera på vilket sätt ett kommande EG-direktiv om skydd för personuppgifter skall införlivas i svensk lagstiftning samt lägga fram förslag till ny lag på området. Kommittén, som antog namnet , har lämnat förslag till persondatalag (se bilaga 2) (SOU 1997:39; Integritet Offentlighet Informationsteknik) samt förslag till de ändringar i tryckfrihetsförordningen, regeringsfor- men, sekretesslagen och arkivlagen som av kommittén bedömdes motiverade för att regle- ringen skall vara anpassad till EG-direktivet och den nya tekniken på dataområdet. Datalags- kommitténs förslag redovisas nedan i kapitel 6. (Hänvisningar till betän- kande sker fortsättningsvis genom angivande av kommitténs namn jämte hänvisning till det aktuella avsnittet, i kursiv stil, t.ex: , avsnitt x.x.x) antog en konvention till skydd för enskilda vid auto- matisk databehandling av personuppgifter, den s.k. dataskyddskonventionen. Konventionen trädde 1985 och har tillträtts av . Syftet med konventionen är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig inte- gritet i samband med automatisk databehandling av personuppgifter. Konventionen gäller för automatiserade personregister och för automatisk databehandling av personuppgifter i allmän och enskild verksamhet. En central del av konventionen innehåller bestämmelser om krav på beskaffenheten av de personuppgifter som undergår automatisk databehandling. Kraven inne- bär bl.a. att uppgifterna skall hämtas in och behandlas på ett korrekt sätt och vara relevanta med hänsyn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehand- ling om inte nationell lagstiftning ger ett ändamålsenligt skydd. Detta gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga åtgärder skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstö- relse m.m. Det föreskrivs också vissa ytterligare skyddsåtgärder för registrerade personer, bl.a. att alla som är registrerade i ett personregister skall ha möjlighet till insyn i registret och möj- lighet att få felaktiga uppgifter rättade. Vissa undantag från kraven på uppgifternas beskaffen- het får dock göras om de har stöd i nationell lagstiftning och om undantagen är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet e.d. eller för att skydda den registre- rade personen eller andra personers fri- och rättigheter. Rätten till insyn och rättelse får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller forskningsändamål. 5.3 rekommendation och riktlinjer för dataskydd och utveckling () har utarbetat vissa riktlin- jer för integritetsskyddet och persondataflödet över gränserna. Medlemsländerna, däribland , har åtagit sig att följa den rekommendation som antogs tillsammans med riktlinjerna av . Medlemsländerna skall enligt rekommendationen i sin lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som anges i riktlinjerna. De grundläggande riktlinjerna liknar bestämmelserna i dataskydds- konvention (liksom bestämmelserna i om personuppgifter, se nedan). Riktlin- jerna anger bl.a. att uppgifterna skall inhämtas på ett lagligt och korrekt sätt med när det är skäligt den registrerades kännedom eller samtycke, att de skall vara relevanta och ända- målsenliga samt riktiga och fullständiga, att ändamålet med insamlingen av uppgifter skall vara preciserat när uppgifterna samlas in, att uppgifterna inte får användas för andra ändamål än de vid insamlingen preciserade samt att de skall skyddas från otillåten användning och förstörelse m.m. Riktlinjerna innehåller vidare bestämmelser om den registrerades rätt att få reda på vilka uppgifter den registeransvarige har registrerade om honom eller henne och om den registeransvariges skyldigheter att rätta felaktiga uppgifter m.m. Inom har det tagits fram ett antal rekommendationer om dataskydd för person- uppgifter inom olika områden. Som exempel kan nämnas rekommendationerna om skydd för personuppgifter vid forskning och framställning av statistik (Recommendation No. R [83] 10) och om skydd för personuppgifter för anställningsändamål (Recommendation No. R [89] 2) samt rekommendationen om utlämnande av personuppgifter som innehas av det allmänna (public bodies) till tredje man (Recommendation No. R [91] 10). 5.5 EG-direktivet om personuppgifter antogs inom EU och rådets direktiv /46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. (Fortsättningsvis EG-direktivet eller direktivet). Direktivet utgör, enligt vad som uttrycks i dess ingress, en precisering och en förstärkning av dataskyddskonvention. Direktivet benämns ibland dataskyddsdirektivet. Enligt ingressen till direktivet skall det fria flödet av personuppgifter inom gemenskapen underlättas till gagn för den inre marknaden med fri rörlighet för varor, personer, tjänster och kapital. Detta skall ske genom att det i samtliga medlemsstater skapas en likvärdig, hög skydds- nivå när det gäller enskilda personers fri- och rättigheter, särskilt rätten till privatliv. När de enskilda medlemsländernas lagstiftning på området harmoniserats skall staterna inte längre kunna hindra det fria flödet av personuppgifter inom gemenskapen med hänvisning till skyd- det för enskilda personers fri- och rättigheter. Direktivet om behandling av personuppgifter är alltså inte av det slaget att det uppställer en miniminivå för den enskildes skydd. Det är inte tillåtet att föreskriva eller behålla vare sig ett sämre eller bättre skydd för den personliga integriteten vid behandling av personuppgifter eller för det fria flödet av sådana uppgifter än vad som följer av direktivet. Medlemsstaterna ges dock ett visst spelrum vid införandet av direktivet i nationell rätt. Bl.a. är det därvid enligt möjligt att ta hänsyn till principen om allmänhetens rätt att ta del av allmänna handlingar (, kap. 9). Direktivet gäller för behandling av personuppgifter som helt eller delvis företas på auto- matisk väg oavsett om uppgifterna ingår i ett register eller ej. Direktivet omfattar också icke- automatisk behandling av personuppgifter men då endast om uppgifterna ingår i eller är av- sedda att ingå i ett register. Med behandling av personuppgifter avses varje åtgärd eller serie av åtgärder som vidtas beträffande uppgifterna, oavsett om det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, sammanställning, förstöring eller utlämnande. Med register avses varje strukturerad samling av personuppgifter vilka är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Direktivet gäller inte behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av gemenskapsrätten. Som exempel anges verksamhet som avses i avdelning V och VI i Fördraget om Europeiska unionen (bestämmelser om en gemensam utrikes- och säker- hetspolitik respektive bestämmelser om samarbete i rättsliga och inrikes frågor unionsfördragets andra och tredje pelare). Vidare anges uttryckligen att direktivet inte gäl- ler behandlingar som rör allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Medlemsstaterna får under vissa närmare angivna omständigheter, t.ex. om undantag är nödvändiga med hänsyn till försvaret, allmän säkerhet eller förebyggande av brott, begränsa omfattningen av vissa av bestämmelserna i direktivet. Detta gäller bl.a. bestämmelserna om vissa grundläggande krav på uppgiftsbehandlingen. Medlemsstaterna skall vidare besluta om undantag och avvikelser från bestämmelser i direktivet för behandling av personuppgifter som sker uteslutande för journalistiska ändamål och konstnärligt eller litterärt skapande. I direktivet föreskrivs ett anmälningsförfarande till en tillsynsmyndighet när det gäller helt eller delvis automatiserad behandling av personuppgifter. När det gäller icke-automatiska be-