sou · GNB3105d1 · 2000-01-01 00:00:00 — Behandling i databaser 249 När inkomna handlingar förs in i ett ärende hanteringssystem kan således även känsliga personuppgifter komma att tas in i databasen. Det förekommer även att personer som inte berörs av ett ärende namnges i inkomna handlingar. För att inte omöjliggöra för myn digheter att bedriva en effektiv ärendehantering är det nödvändigt att sådan regi- strering är tillåten. Vi föreslår därför att elektroniska hand lingar skall få innehålla samtliga de uppgifter som har lämnats i ett ärende. Någon begränsning av vad som får registreras i form av inkomna handlingar skall alltså enligt vår uppfattning inte finnas. Motsvarande resonemang kan delvis föras i fråga om handlingar som upprättas av den handläggande myndigheten. När en myndighet skall fatta beslut i ett ärende måste hänsyn självfallet tas till det ma terial som har kommit in. Det materialet utgör underlag för beslut. Det kan därför vara nödvändigt att i skälen för ett beslut, eller i andra hand lingar som upprättas i ett ärende, återge sakomständig heter eller argument som innefattar uppgifter av vitt skilda slag. Att i författning ange att vissa kategorier av uppgifter inte får återges i beslut är därför inte vare sig möjligt eller önskvärt. Även i fråga om de handlingar som upprättas av myndigheten måste det därför finnas en stor frihet för registrering av uppgifter. I dessa fall finns det dock en möjlighet för myn digheten att påverka innehållet i handlingarna. Känsliga person uppgifter m.m. bör därför enligt vår uppfattning få finnas i handlingar som har upp rättats av myndigheten endast om det är nödvändigt för handläggningen av ett ärende. Kravet på att det skall vara nödvändigt att behandla känsliga personuppgifter m.m., innebär inte att det krävs att det är omöjligt att hantera frågorna på annat sätt, t.ex. genom pap pershantering eller genom att utelämna vissa delar av skälen för ett beslut. Vad som avses är att behandlingen av uppgifterna skall vara nödvändig för att myn- digheten skall kunna sköta sina åligganden vid hanteringen av ärenden enligt gällande rutiner och regler. 6.4.5Begränsade sökmöjligheter i ärende hanterings- system Behandlingen av känsliga personuppgifter m.m. i elektroniska ärende- hanteringssystem kan innebära risker för otillbörligt intrång i den per- sonliga integriteten. Vi anser därför att det i likhet med vad som gäller är nöd vändigt att ställa upp vissa sär skilda regler för hanteringen av elektroniska handlingar. Det bör enligt vår uppfattning inte vara möj ligt att i ett ärendehanteringssystem med hjälp av fria sökbegrepp göra sammanställningar av uppgifter i handlingar. Beroende på de tekniska förutsättningarna skul le en sådan möj lighet kunna innebära att samman- 250 Behandling i databaser ställningar skulle kunna göras av samtliga ärenden hos t.ex. en skatte- myndighet, där de enskilda parterna i skrivelser som finns elektroniskt lagrade har åberopat psykisk sjukdom som skäl för t.ex. avdrag vid taxeringen eller undanröjande av förseningsavgift. Något behov av att kunna göra sam manställningar av den karaktären finns inte och bör enligt vår mening av integritetsskäl inte heller tillåtas. Därför bör det sättas upp begräns ningar för sök möjligheterna i ärendehanteringssystem. För att ärende hanteringen skall kunna skötas på ett effektivt sätt är det dock nödvändigt att handläggare ges möjlighet att söka efter såväl ett ärende som enskilda handlingar, t.ex. med angivande av ärende- beteckning eller beteckning på en specifik handling. Däremot anser vi att integritetsskälen väger tyngre än effektivitets skälen när det gäller mer sofistikerade eller exakta sökmöjligheter. Vid sök ning efter en handling i databasen bör där för få användas endast ärende beteckning, beteckning på handlingen eller andra uppgifter, t.ex. personnummer, som behövs för att identifiera ett ärende eller en handling. Däremot finns det enligt vår bedömning skäl att se annorlunda på saken när en handling är identifierad och direkt tillgänglig för hand- läggaren. Att i den situationen inte tillåta de sökmöjligheter som ges i ordbehandlingsprogram, t.ex. för att finna ett speciellt text- avsnitt, framstår inte som befogat. Det är av effektivitetsskäl inte rimligt att en handläggare när han arbetar med en omfattande elektronisk hand- ling i ett ärende skall lägga ner tid på att på egen hand söka sig fram till ett önskat text avsnitt, i stället för att genom ett enkelt sök kommando låta datasystemet utföra det arbetet. Några faror från inte gritetssynpunkt med att tillåta ett sådant förfarande föreligger knappast. De uppställda sökbegränsningarna bör gälla vid sökning efter hand lingar, men inte i desamma när de väl har identifierats. Till elektroniska akter hör ofta ett indexregister, dvs. ett dag boksblad eller motsvarande, av vilket framgår vilka handlingar som finns i akten. Om ett sådant register är en integrerad del av ett ärendehante- ringssystem, och således en del av den elektroniska akt som det avser, omfattas registret enligt våra förslag av samma regler som övriga hand- lingar i akten. Under förutsättning att ett indexregister inte innehåller känsliga personuppgifter eller andra uppgifter som endast får före kom- ma i handlingar som hör till ett ärende, föreligger dock inga hinder från integritetssynpunkt mot att uppgifterna även behandlas i den infor- mationsbaserade delen av en databas. Ett sådant förfarande innebär att indexregistret kan göras tillgängligt utan att den elektroniska akten öppnas och registret kommer inte att omfattas av de begränsningar i sök- möjligheter som gäller för övriga hand lingar i akten. Det innebär även att uppgifter i indexregistret kan göras åtkom liga genom direktåtkomst på samma sätt som andra uppgifter i databasen, utan de begränsningar för Behandling i databaser 251 åt komst som vi föreslår skall gälla för hand lingar i ett ärendehanteringssystem (se avsnitt 6.7). En generell fråga som uppkommer när det införs begränsningar av sökmöjligheterna i elektroniskt material, är hur länge begränsningarna skall vara tillämpliga. Ofta överlämnas myndigheters elektroniska ma te- rial, t.ex. personregister eller andra databaser, till en arkiv- myndighet. En av orsakerna till detta är arkivlagens bestämmelser om att forskningens behov skall tillgodoses genom att uppgifter bevaras. De begränsningar som finns av möjligheterna att söka i materialet kan dock för svåra framtida forskningsarbete, genom att tillgängligheten till uppgifterna är mindre än om det vore möjligt att söka fritt i mate rialet. Det är därför enligt vår uppfattning viktigt att ställning tas i frå gan om författningsreglerade begränsningar av sök möjligheter i elektroniskt material skall gälla för obegränsad tid eller om begräns ningarna skall upphöra efter att materialet har över lämnats till en arkivmyndighet. Detta är emellertid en fråga av generell karaktär för den statliga förvaltningen, och den bör därför enligt vår uppfattning ut redas i ett annat och mer allmänt sammanhang. Vårt förslag: Det skall inte finnas några begränsningar i fråga om på vilket sätt uppgifter får hämtas in för behandling i en databas. Vilka uppgifter som får behandlas i en databas avgörs med ledning av de i lagstiftningen angivna ändamålen med databasen, vilket är en följd av att det i artikel 6.1a i dataskyddsdirektivet ställs krav på att uppgifter skall samlas in för särskilda, ut tryckligt angivna och berättigade ända- mål (se avsnitt 6.2). Några särskilda krav på begräns ningar av på vilket sätt uppgifter får samlas in följer däremot inte av EG-rätten. Vi har inte heller funnit anledning att införa sådana begränsningar. Tvärt om är det vår uppfattning att i den mån en viss uppgift får hämtas in till en da tabas hos en myndighet, får det ske på det sätt som myndigheten an ser lämp- ligt. Vi ser inte några integritetsskäl mot att enskilda eller myndigheter som av olika anledningar har att lämna uppgifter som skall ingå i en myndighetsdatabas gör detta med hjälp av automatiserad be handling. Det kan däremot finnas andra argument för att uppgifter skall läm nas på ett visst sätt, t.ex. så får själv deklarationer inte lämnas i elektronisk form till skattemyndigheter om det inte särskilt har medgivits av . Likaså kan det i olika författningar som reglerar 252 Behandling i databaser behandling av personuppgifter i myndigheters verksamhet ställas upp begränsningar i fråga om på vilket sätt uppgifter får lämnas ut. Möjlig- heten att lämna ut uppgifter genom direktåtkomst är t.ex. regelmässigt begränsad. Det kan med andra ord finnas olika orsaker till att uppgifter inte kan eller får hämtas in till en databas med hjälp av automatiserad behandling. Dessa begränsningar följer då av andra författningar eller av tekniska orsaker och det finns inte anledning att föreskriva om ytterligare begränsningar i den av oss före slagna lagstiftningen. Vårt förslag: Det skall inte finnas några begränsningar för myndig- heter som enligt bestämmelser i sekretesslagen eller andra författ- ningar får ta del av uppgifter i en databas, att få tillgång till upp- gifterna på medium för automatiserad behandling. För direktåtkomst skall särskilda bestämmelser gälla. Uppgifter skall även kunna lämnas ut till andra än myndigheter på medium för automatiserad behandling om regeringen föreskriver det eller om utlämnandet följer av en internationell överens kommelse. 6.6.1Allmänt om utlämnande av personuppgifter Vad är behandling av uppgifter? I dataskyddsdirektivet definieras vad som avses med behandling av personuppgifter. Det är varje åtgärd eller serie av åtgärder som vidtas beträffande personuppgifter vare sig det sker på automatisk väg eller inte (artikel 1 b). Artikeln innehåller även en exemplifiering, vari bl.a. insamling, registrering, utlämnande, spridning och annat tillhandahållan- de av uppgifter nämns. Bestämmelsen har sin exakta motsvarighet i 3 § personuppgiftslagen. Definitionen innebär att all hantering av person- uppgifter är behandling, från insamlande till utlämnande. Det spelar med den utgångspunkten ingen roll om utlämnande av uppgifter sker genom direktåtkomst eller med hjälp av annan automatiserad behandling eller om uppgifter skrivs ut på papper och därefter lämnas ut. Allt ut lämnan- de utgör behandling av personuppgifter och omfattas således av data- skyddsdirektivets bestämmelser. Dataskyddsdirektivet innehåller även bestämmelser om uppgifters kvalitet. Ett grundläggande åtagande för medlemsländerna är att de skall SOU 1999:105 Behandling i databaser 253 föreskriva att per sonuppgifter skall samlas in för särskilda, ut tryckligt angivna och berättigade ändamål. behandling får inte ske på ett sätt som är oförenligt med dessa ändamål (artikel 6.1b). Mot svarande bestämmelser återfinns i 9 § första stycket c och d per sonuppgiftslagen. I direktivets ingress (punkterna 28 och 29) sägs bl.a. att personuppgifter måste vara adekvata, relevanta och nödvändiga med hänsyn till de ända- mål för vilka de behandlas. Dessa ändamål skall vara uttryckligt angivna, berättigade och bestämda vid tiden för insam ling av uppgifterna. Sådana ändamål som läggs fast sedan uppgifterna har samlats in får inte vara oför enliga med de ursprungliga ändamålen. Det är inte helt klart vad som avses med att de ändamål för vilka personuppgifter samlas in skall vara berättigade . ansåg för sin del att detta betyder att ändamålen måste överensstämma med de grunder för behandling av personuppgifter som regleras i direk- tivets artikel 7, vilka har sin motsvarighet i 10 § personuppgiftslagen (SOU 1997:39 s. 350 ff). Av dessa grunder är en av de mer relevanta att personuppgifter får behandlas om det är nödvändigt för att ut föra en arbetsuppgift av allmänt intresse eller som är ett led i myndighetsutöv- ning som utförs av den registeransvarige eller tredje man till vilken uppgifterna har lämnats ut... (dataskyddsdirektivets artikel 7 d samt 10 § d och e personuppgiftslagen). över vägde möj- ligheten att uttrycket berättigade ändamål i dataskyddsdirektivet hade en mer självständig betydelse, men konstaterade att detta är osäkert. Innebörden av ovan redovisade artikel 6 i dataskyddsdirektivet är att det i en lag om behandling av personuppgifter för myndighetsverksamhet bör anges klara och uttryckliga ändamål för vilka person uppgifterna får samlas in. Dessutom innebär det att uppgifterna efter att de har samlats in inte får användas på ett sätt som är oförenligt med dessa klart angivna ändamål. Vad som mer exakt avses med att ett använ dande av uppgifter är oförenligt med det för vilket de samlades in är enligt närmast en fråga som får ha sin lösning i framtida praxis (SOU 1997:39 s. 351). Begreppet som sådant antyder dock enligt vår mening att det finns utrymme för tolkningen att behandling som sker efter insamlandet inte direkt måste motsvaras av ett från början angivet ändamål. Ett visst spelrum torde alltså finnas. 254 Behandling i databaser När får uppgifter lämnas ut? Vad som kan konstateras genom de ovan redovisade bestämmelserna i dataskyddsdirektivets artikel 6 är att en uppgift som har samlats in för ett visst ändamål inte får lämnas ut om utlämnandet är oför enligt med det ursprungligen angivna ändamålet. För för fattningsreglerad offentlig verksamhet innebär detta att allt utlämnande av personuppgifter som omfattas av dataskyddsdirektivet måste stå i överens stämmelse med de olika ändamål för behandling av personuppgifter som är tillämpliga för olika verksamheter. Det är mer oklart om det är nöd vändigt att de ända- målsbestämmelser som avgör om utlämnande är tillåtet måste åter finnas i den författningsreglering som avser den utlämnande myndig hetens verksamhet. Möjligen måste den offentliga förvaltningen i det avseendet ses som en enhet, vilket skulle innebära att det är tillräckligt om det i någon författning anges att vissa upp gifter från en viss databas får användas för ett angivet syfte, för att utläm nande skall vara tillåtet. En särställning har utlämnande som sker enligt offentlighets principen, dvs. utlämnande med stöd av 2 kap. tryckfri hetsförord ningen (TF). Sådant utlämnande kräver inte att det finns sär skilt angivna ändamål som tillåter utlämnande. Detta framgår uttryckligen i 8 § personuppgiftslagen och anses ha stöd av vad som sägs i data skyddsdirektivets ingresspunkt 72. Det innebär att offentlighetsprincipen måste anses utgöra ett särskilt ändamål som gäller för all behandling av person uppgifter i offentlig verksamhet. Det är enligt vår uppfattning mer tveksamt hur man skall se på ut- lämnande av uppgifter från en reglerad databas hos en myndighet till en annan myndighet som begär uppgifterna med stöd av 15 kap. 5 § sekretesslagen eller utlämnande som sker med stöd av 14 kap. 1–3 §§ samma lag. Om utlämnande i dessa fall strider mot dataskyddsdirektivet torde vara en fråga om utformningen av ändamålsbestämmelserna hos den utlämnande eller mottagande myndigheten, vad den mottagande myndigheten har för funktion och vad den skall använda uppgifterna till samt tolkningen av begreppet oförenligt i direktivet (se ovan). Det är enligt vår uppfattning därför inte möj ligt att ange i vilka fall utlämnande av uppgifter från en myndighet till en annan med stöd av sek retesslagen strider mot dataskyddsdirektivet. En avvägning måste göras i varje enskilt fall och frågan får därför ha sin när mare lösning i framtida praxis. Behandling i databaser 255 6.6.2Utlämnande på medium för automatiserad behandling Det är vanligt att det i registerlagstiftning regleras i vilka fall upp- gifter ur ett personregister får lämnas ut till andra myndigheter eller till enskilda med hjälp av automatiserad behandling. Som exempel kan nämnas skatteregisterlagen, där det anges att uppgifter i register får läm - nas ut till andra myndigheter på medium för automatisk data behandling endast om det följer av lag eller förordning eller om re geringen medger det. Motsvarande eller liknande reglering finns i flera andra register- författ ningar, t.ex. lagen om folkbokföringsregister, ut sök - ningsregisterlagen och tullregisterlagen. Dessa bestämmelser skall ses mot bakgrund av 7 kap. 16 § sekretesslagen i dess lydelse före per- sonuppgiftslagens ikraftträdande. Regleringen innebar i huvudsak att det för utlämnande av personuppgifter på medium för automatisk da tabe- handling krävdes att mottagaren med stöd av författning eller till stånd av Datainspektionen fick föra ett personregister som skulle innehålla de uppgifter som avsågs med utlämnandet. I 7 kap. 16 § sekretesslagen anges numera att sekretess gäller för uppgifter om det kan antas att ett utlämnande skulle medföra att upp- gifter behandlas i strid med personuppgiftslagen. Med behandling av personuppgifter avses enligt personuppgiftslagen varje åtgärd som vidtas med uppgiften. Det saknar alltså ur sekretesslagens synvinkel direkt betydelse om utlämnande av en uppgift görs med hjälp av auto matiserad behandling eller manuellt på papper, eftersom utlämnandet under alla förhållanden om fattas av personuppgiftslagens bestämmelser. Det finns med andra ord ingen anledning att författningsreglera utlämnande med automatiserad behandling på den grunden att sådant stöd – eller tillstånd från Datainspektionen – behövs för att det över huvud taget skall vara tillåtet att lämna ut upp gifterna. Vi har dock haft att ta ställning till om det i de för oss aktuella sam- manhangen finns anledning att på annan grund ha avvikande bestäm- melser för utlämnande som sker med hjälp av automatiserad behand ling jämfört med om det sker på annat sätt. För direktåtkomst bör särskilda bestämmelser gälla, vilket vi motiverar i avsnitt 6.7. Frågan är då vad som bör gälla för utlämnande med hjälp av annan automatiserad be- handling än direktåtkomst och om det för sådant ut lämnande på medium för auto matiserad behandling finns anledning att göra olika bedömningar beroende på till vem uppgifterna lämnas ut. 256 Behandling i databaser 1999:105 För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgiftssamlingar som får föras av myndig heten eller annars på vilket sätt personuppgifter får behandlas. I de för fattningarna regleras även ändamålen med behand- lingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författ ningarna. Riskerna för att mottagande myndigheter på ett icke avsett sätt skall behandla person- uppgifter som hämtas in på medium för automatiserad behandling bedömer vi därför vara små. tidigt kan det inte sättas i fråga att det kan innebära stora effektivitetsvinster för myn digheter att uppgifter som skall behandlas på automatiserad väg hämtas in ge nom automatiserade för faranden, t.ex. på diskett eller via telenätet. När en myn dighet hämtar in uppgifter från andra myndigheters register eller databaser, är det frå n effektivitetssynpunkt mindre tillfredsställande att den utlämnande myn- digheten först gör ut skrifter av uppgifterna och den mottagande myndigheten därefter för in upp gifterna i sina register eller databaser. Genom sådana förfaranden ökar även riskerna för överfö ringsfel, vilket i sig kan utgöra ett integritetsproblem. En utgångspunkt för våra författningsförslag är att myndigheter skall kunna utnyttja automatiserade förfaranden i sin ärendehantering i största möjliga omfattning, dock under förutsättning att behandlingen av personuppgifter inte medför risk för otill börligt intrång i enskildas personliga integritet. Som vi nämnt ovan anser vi att det inte föreligger någon större risk för att uppgifter som lämnas ut på medium för auto- matiserad behandling till andra myndigheter behandlas på ett felaktigt sätt. Under förutsättning att den utlämnande myndig heten har möjlighet att avgöra vilka uppgifter som skall lämnas ut – vilket inte är fallet när uppgifter lämnas ut genom direktåtkomst – saknas det därför enligt vår uppfattning anledning att reglera när uppgifter får lämnas ut på medium för auto matiserad behandling. Det finns med andra ord inte några bärande skäl för att i infor mationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utläm nande som sker elektroniskt, dock med undantag för direktåtkomst. Om en myndighet får eller skall lämna ut uppgifter till annan myndighet, t.ex. med stöd av sekretess lagen eller andra författningar, bör det således vara upp till myn digheterna att avgöra på vilket sätt det skall göras. förekommer det särskilda bestämmelser som innebär att en ut- lämnande myndighet skall lämna uppgifter på medium för auto matiserad behandling när den mottagande myndigheten begär det. Som exempel kan nämnas skatteregisterförord ningen (1980:556). Behandling i databaser 257 fattning kommer motsvarande bestämmelser inte att behövas , eftersom utlämnande på medium för automatiserad behandling vanligtvis innebär fördelar från effektivi tetssynpunkt för såväl den ut lämnande som den mottagande myndigheten. Om en myndighet som har rätt att ta del av uppgifter från en annan myndighet ber att få göra detta på medium för automatiserad behandling, torde det med andra ord inte finnas någon anledning för den utlämnande myndigheten att vägra lämna ut uppgifterna på det sättet. Vi föreslår således inga begränsningar – eller reglering i övrigt – av möjligheterna för de myndigheter som omfattas av våra lagförslag att lämna ut uppgifter till andra myndigheter på medium för automatiserad behandling. Särskilda bestämmelser skall emellertid gälla för direkt- åtkomst (se avsnitt 6.7). Förutom att uppgifter lämnas ut till andra myndigheter kan det även bli aktuellt att lämna ut uppgifter ur olika databaser till enskilda, dvs. såväl privatpersoner som företag och organisationer. I dessa fall saknas, till skillnad mot vad som gäller för myndigheter, normalt särskilda bestäm- melser om hur personuppgifter får behandlas hos mottagaren. För mot- tagaren är det därför vanligtvis personuppgiftslagens bestäm melser som är tillämpliga på behandlingen av de mottagna uppgifterna. Med hän syn till de integritetsrisker som kan följa med utlämnande av person uppgifter på medium för automatiserad behandling till företag och privatpersoner, bör sådant utlämnande endast vara tillåtet när det efter sär skild prövning anses lämpligt. Det bör enligt vår mening åligga rege ringen att göra dessa bedömningar. Vi föreslår därför att uppgifter i da tabaser bör få lämnas ut till enskilda på medium för automatiserad be handling endast om regeringen har föreskrivit det. Från regeln om att uppgifter får lämnas ut på medium för auto- matiserad behandling till enskilda endast med stöd av föreskrifter från regeringen, bör ett undantag göras. Det gäller när utlämnandet av upp- gifterna följer av en internationell över enskommelse som efter godkännande har tillträtt. Att det enligt dataskyddsdirektivet finns begränsningar av när överföring av personuppgifter till tredje land får förekomma, innebär inte att det föreligger några hinder mot utläm- nande av uppgifter med stöd av internationella överenskommelser (se avsnitt 5.2.1). I de fall har åtagit sig att bistå utländska myn - digheter eller offentliga organ med uppgifter – som kan vara under behandling i en databas – förefaller det enligt vår mening vara mindre lämpligt att det sätt på vilket uppgifterna får lämnas över skall vara be- roende av att regeringen har reglerat frågan i en förordning. 258 Behandling i databaser bör det enligt vår uppfattning i stället vara en fråga för den ut lämnande myndigheten och det mottagande organet på vilket sätt informationen skall överföras. Undantag bör dock göras för utlämnande ge nom di- rektåtkomst (se avsnitt 6.7). Fråga om utlämnande av uppgifter med stöd av internationella överenskommelser aktualiseras främst i skatte för- valtningens beskattningsverksamhet och i verksamhet.