sou · GRB340d2 · 2004-01-01 00:00:00 — Ett ytterligare skäl att vara återhållsam i fråga om myndigheters direktåtkomst till andra myndigheters automatiserade uppgifts- samlingar är att de upptagningar som direktåtkomsten avser blir allmänna handlingar hos en mottagande myndighet. Ju fler myn- digheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet att få tillgång till dessa uppgifter. Avser direktåtkomsten sekretessbelagda uppgifter hos den utlämnande myndigheten – vilket ofta är fallet beträffande personuppgifter som behandlas i verksamhet enlighet utlännings- och medborgarskapslagstiftningen – är det därför, enligt utred- ningens mening, väsentligt att uppgifterna har ett sekretesskydd även hos den mottagande myndigheten. Det kan här anmärkas att den sekretess enligt 7 kap. 14 § andra stycket sekretesslagen som i allmänhet gäller för personuppgifter inom det aktuella verksam- hetsområdet inte automatiskt följer med då uppgifterna sprids utanför det område vari uppgifterna sekretesskyddas. Det sagda innebär enligt utredningens uppfattning att utlämnan- de av personuppgifter genom direktåtkomst bör särregleras i förhållande till personuppgiftslagen i syfte att genom regleringen minimera de särskilda risker för otillbörliga intrång i enskildas integritet som är förknippade med direktåtkomst. De grund- läggande principerna för utlämnande av personuppgifter genom direktåtkomst bör därvid anges i den föreslagna lagen. Dessa är dels vilka mottagare som skall tillåtas ha direktåtkomst, dels för vilket eller vilka ändamål direktåtkomsten skall tillåtas. Mer detaljerade bestämmelser bör kunna meddelas i en förordning som utfärdas i anslutning till lagen. Vad utredningen föreslår i det följande avses uttömmande reg- lera i vilken mån direktåtkomst till personuppgifter som behandlas automatiserat i verksamhet enligt utlännings- och medborgar- skapslagstiftningen skall vara tillåten. Personuppgifter får alltså inte lämnas ut genom direktåtkomst i annan utsträckning än vad utlänningsdatalagen medger. Med tanke på att personuppgiftssamlingarna inom verksamhets- området generellt sett är av integritetskänslig karaktär och på att sträng sekretess gäller för en stor del av de behandlade personupp- gifterna, bör särregleringen präglas av restriktivitet. Direktåtkomst till personuppgifter bör därför medges endast i den mån det finns särskilda skäl att tillhandahålla uppgifterna på det sättet. Ett sådant särskilt skäl kan vara att direktåtkomst leder till väsentliga effekti- vitetsvinster jämfört med annat utlämnande på medium för auto- matiserad behandling. Detta kräver bl.a. att mottagaren har ett påtagligt behov av att hämta in uppgifter från värdmyndigheten i en betydande och frekvent omfattning. Om en mottagande myndig- hets direktåtkomst leder såväl till en snabbare genomströmning av ärenden som till att beslutsunderlaget blir fylligare och säkrare, är direktåtkomsten till gagn både för samhället och för enskilda sökande. Direktåtkomst bör vid sådant förhållande kunna tillåtas, under förutsättning att den inte medför oacceptabla försämringar av skyddet för enskildas integritet. är central utlänningsmyndighet i och har i denna egenskap en viktig funktion som informationsförsörjare till andra myndigheter som också bedriver verksamhet enligt utlän- nings- och medborgarskapslagstiftningen eller som annars behöver upplysningar om utlänningar som berörs av deras verksamhet. Det är också bara andra myndigheters direktåtkomst till Migrations- verkets personuppgifter som det i detta lagstiftningsärende finns behov av att tillåta. Utredningen föreslår därför att lagen enbart tillåter direktåtkomst till personuppgifter. Utred- ningen har vidare funnit att det inte finns något behov av att utvidga kretsen av myndigheter som skall ha direktåtkomst jämfört med vad som gäller . Frågan är i stället om alla de myndigheter som har direkt- åtkomst – , , Integrations- verket, , polismyndigheterna, utlandsmyndig- heterna samt – bör ha detta utifrån de utgångspunkter som utredningen anfört i det föregående. När det gäller , , Integrations- verket, och polismyndigheterna samt utlandsmyndig- heterna är det uppenbart att effektivitetsvinsterna med direktåtkomst är stora. Gemensamt för myndigheterna är dessutom att de behöver uppgifterna för att utföra arbetsuppgifter i verksamhet som föreslås omfattas av utlänningsdatalagens bestämmelser (se avsnitt 6.2.3.1) och för ändamål som anges i utlänningsdatalagen (se avsnitt 6.5.3). Riskerna från integritetssynpunkt med direktåtkomst för myndig- heter med samma verksamhetsområde som är, enligt utredningens uppfattning, betydligt mindre än om de sprids utanför detta område. Visserligen kommer och polismyndigheternas fortsatta behandling att ofta regleras av polisdatalagen. Den lagen ger dock, enligt utredningens mening, ett tillfredsställande integritetsskydd. I övrigt kommer myndig- heternas fortsatta hantering av personuppgifterna att regleras av utlänningsdatalagen och dess bestämmelser till skydd för enskildas personliga integritet. Sekretesskyddet för uppgifterna är vidare, med ett undantag som behandlas nedan, lika starkt hos dessa mot- tagande myndigheter som hos . Som utredningen närmare kommer att utveckla i avsnitt 7 har de uppgifter som skulle få direktåtkomst till inte ett lika starkt sekretesskydd hos som hos Migra- tionsverket. Detta talar i någon mån mot att tillåta direktåtkomst. Uppgifterna som har direktåtkomst till är emellertid förhållandevis harmlösa. Vidare kommer uppgifterna att behandlas enligt utlänningsdatalagen med det skydd som detta innebär för enskildas personliga integritet. Utredningens slutsats blir därför att bör medges direktåtkomst. Vid en samlad bedömning anser utredningen sålunda att det finns skäl att tillåta , , Integrations- verket, och polismyndigheterna samt utlandsmyn- digheterna att ha direktåtkomst till personuppgifter som behandlas av . En bestämmelse härom föreslås införas i utlänningsdatalagen. När det gäller har nämnden direktåtkomst till personuppgifter som nämnden behö- ver för handläggning av ärenden om hemutrustningslån till flykt- ingar och vissa andra utlänningar (avsnitt 3.3). Enligt utredningens uppfattning är det mindre lämpligt att sprida integritetskänsliga uppgifter genom direktåtkomst till en mot- tagande myndighet som behandlar uppgifterna för andra ändamål än de för vilka uppgifterna ursprungligen har insamlats. Det kan vidare påpekas att de vid direktåtkomst tillgängliga personupp- gifterna avser också utlänningar som inte är aktuella i Centrala ärenden. Nämndens behandling styrs dess- utom i huvudsak endast av personuppgiftslagens bestämmelser. För nämnden gäller t.ex. inga sökbegränsningar vid behandlingen av dessa uppgifter. Även om det torde åvila att i egenskap av personuppgiftsansvarig myndighet genomföra de rätts- liga sökbegränsningarna tekniskt så att det rent faktiskt inte går att söka i uppgiftssamlingarna på ett otillåtet sätt, är detta svagare rättsliga skydd för uppgifterna en omständighet som talar mot att tillåta direktåtkomst för . Mot bakgrund av det anförda anser utredningen att nämndens direktåtkomst kan medföra en försämring av de enskildas integritets- skydd jämfört med om uppgifterna lämnas ut på annat sätt. Det bör också vägas in att Centrala behov av uppgifter om utlänningar, som omfattas av nämndens handläggning, utan alltför mycket merarbete torde kunna tillgodoses på annat sätt än genom direktåtkomst. Ett ytterligare skäl mot att tillåta direktåtkomst är att de tillgängliga uppgifterna inte får ett lika gott sekretesskydd hos som hos . Enligt 9 kap. 5 § andra stycket sekretesslagen gäller sekretess i ärenden om studiestöd och hemutrustningslån för uppgifter om enskilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde lider skada eller men om uppgiften röjs. Såvitt gäller annat än studiestöd under sjukdom gäller sekretessen dock inte beslut i ärenden. Ett rakt skaderekvisit gäller således hos Centrala studie- uppgifter som hos presumeras vara sekretessbelagda enligt ett omvänt skaderekvisit, dvs. som får lämnas ut bara om det står klart att uppgiften kan röjas utan att den enskilde eller honom närstående lider men (7 kap. 14 § andra stycket sekretesslagen). Sekretessen enligt 9 kap. 5 § andra stycket sekretesslagen gäller inte heller för tillgängliga uppgifter om utlänningar som inte förekommer i nämndens ärenden. Utredningen föreslår således att inte skall medges direktåtkomst enligt utlänningsdatalagen. Försla- get hindrar självfallet inte att lämnar ut person- uppgifterna till nämnden på medium för automatiserad behandling. Enligt vad utredningen erfarit förbereds inom en snar övergång till ett sådant utlämnandesätt. Personuppgifter, som omfattas av författningsreglerade uppgiftsskyldigheter, kommer enligt det nya systemet att överföras från verket till nämnden genom s.k. filöverföring. Närmare om hur utlämnande av personuppgifter genom direktåtkomst skall regleras Enligt utredningens uppfattning är det inte lämpligt att i lagen precisera vilka uppgifter eller vilka uppgiftskategorier som direkt- åtkomsten får avse mer än att direktåtkomsten bara skall vara tillåten till uppgifter som behandlar för vissa ändamål. Närmare preciseringar eller begränsning bör dock kunna ges i förordningsform, se avsnitt 6.18.3. Vidare bör av lagen ut- tryckligen framgå för vilka ändamål de mottagande myndigheterna får ha direktåtkomst. Enligt utredningens bedömning bör direktåtkomsten enbart få förekomma dels till personuppgifter som behand- lar för ändamålet handläggning av ärenden, dels till personuppgifter som behandlar för ändamålet informations- återsökning. Av integritetsskäl bör direktåtkomsten inte få avse andra personuppgifter hos än de nu nämnda. Förslaget i denna del överensstämmer med vad som gäller. När det gäller det först nämnda ändamålet, handläggning av ärenden, bör samtliga övriga myndigheter som omfattas av ut- länningsdatalagens tillämpningsområde få ha direktåtkomst. , och utlandsmyndigheter- nas del föreslås att direktåtkomsten enbart får syfta till att ge information om personuppgifter som behövs i den mottagande myndighetens handläggning eller biträde vid handläggning av ärenden enligt utlännings- och medborgarskapslagstiftningen (dvs. samma ändamål för vilket behandlar uppgifterna). Även och polismyndigheterna bör tillåtas direkt- åtkomst för detta ändamål. Polisens åtkomst till dessa uppgifter bör därutöver få användas för att inhämta information som polisen behöver för sin yttre och inre utlänningskontroll. För att markera att möjligheterna till direktåtkomsten skall tillämpas restriktivt, bör föreskrivas att de tillgängliga personupp- gifterna skall vara oundgängligen nödvändiga för att den mot- tagande myndigheten skall kunna utföra sina arbetsuppgifter. Vidare bör , liksom , samt utlandsmyn- digheterna få ha direktåtkomst till personuppgifter som behandlas av för ändamålet informationsåtersökning och som de mottagande myndigheterna behöver för samma ändamål. Ändamålsbegränsningen innebär att mottagande myndigheter inte får använda direktåtkomsten för annat ändamål än det som bestämmelserna om direktåtkomst anger. Givetvis får informa- tionen inte heller användas i verksamhet som inte alls omfattas av utlänningsdatalagens tillämpningsområde. Polisen får t.ex. inte i brottsutredande syfte kontrollera en brottsmisstänkt utlänning i . Det förhållandet att en mottagande myndighet, såsom t.ex. är fallet med Wilma-anslutna utlandsmyndigheter, kan registrera upp- gifter i den uppgiftssamling till vilken man har direktåtkomst, innebär en fristående behandling av personuppgifter som regleras av utlänningsdatalagens bestämmelser. I enlighet med utredningens förslag sker utlandsmyndigheternas och behandling av personuppgifter för ärende- handläggning under personuppgiftsansvar. Migra- tionsverkets personuppgiftsansvar innebär bl.a. att personuppgifter som behandlas av utlandsmyndigheterna och och som registreras i eller annars överförs till Migrationsverkets uppgiftssamlingar för fortsatt behandling inte lämnas ut till i personuppgiftslagens mening. ansvarar ju också för dessa myndigheters behandlingar av person- uppgifterna, däribland för registreringen i STAMM och för annan överföring. Det sagda innebär att i princip får ha åtkomst till sådana personuppgifter hos utlandsmyndigheter och som omfattas av personuppgiftsansvaret utan att det särskilt behöver anges i utlänningsdatalagen, eftersom åtkomsten inte innebär något utlämnande av personuppgifter. En annan sak är att sekretess kan hindra att uppgifterna överförs till datasystem. Som sagts återkommer utredningen till frågan om direktåtkomst och sekretess i avsnitt 7. Under utredningens arbete har det inte framkommit att det finns något behov hos enskilda subjekt av direktåtkomst till person- uppgifter som behandlas av . Av hänsyn till risken för oacceptabla integritetsintrång anser utredningen vidare att det inte utan mycket starka skäl bör förekomma att andra än myndigheter får direktåtkomst till uppgifter som behandlas enligt utlänningsdatalagen. Även om det i och för sig kan tänkas finnas ett intresse för en enskild sökande att ha omedelbar tillgång till vissa automatiserat behandlade personuppgifter i ärenden som berör honom eller henne anser utredningen att säkerhetsmässiga skäl åtminstone talar emot en sådan åtkomst. Vilka personer inom myndigheterna skall få ges åtkomst? Från integritetssynpunkt är det givetvis angeläget att personalens möjlighet att via en direktuppkopplad terminal ta del av och söka efter uppgifter som behandlas inom myndigheten eller av en annan myndighet inte är vidare än nödvändigt. Endast de personer som på grund av sina arbetsuppgifter behöver tillgång till uppgifterna bör därför ha åtkomst till dem. Redan den sekretess som i stor utsträckning gäller för de integritetskänsliga personuppgifter som behandlas inom myndigheterna utgör emellertid ett starkt inci- tament för myndigheterna att begränsa personalens åtkomst till uppgifterna. Personuppgiftslagens allmänna bestämmelser om grundläggande krav på säkerhet vid behandling av personuppgifter (30 och 31 §§ personuppgiftslagen) medför vidare att den personuppgiftsansva- riga myndigheten måste vidta olika åtgärder för att förhindra missbruk. Ett exempel på en säkerhetsåtgärd kan vara just att åtkomsten till personuppgifter som behandlas begränsas genom system med olika behörighetsnivåer. Vid utredningens kartläggning av den nuvarande behandlingen av personuppgifter har som nämnts framkommit att myndigheterna tillämpar behörighets- system vars syfte är att begränsa den krets som har tillgång till integritetskänslig eller annars hemlig information till det nöd- vändiga. Enligt utredningens mening är det i och för sig inte nödvändigt att införa en bestämmelse i utlänningsdatalagen som närmare anger vilka personer som skall få ges åtkomst till behandlade personupp- gifter. Det bör dock uttryckligen framgå av lagen att personupp- giftsansvarig myndighet endast får ge åtkomstbehörighet till de personer som på grund av sina arbetsuppgifter har ett verkligt behov av uppgifterna. Den föreslagna bestämmelsen gäller åtkomst till personuppgifter som behandlas såväl inom den egna myndig- heten som av en annan myndighet men till vilken den egna myn- digheten har direktåtkomst enligt vad som föreslagits i det föregående. Utredningen återkommer i avsnitt 6.12 till vad som föreslås gälla i fråga om säkerhet vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. 6.11Information till den registrerade Utredningens bedömning: Personuppgiftslagens bestämmelser i 23–27 §§ om den information som skall lämnas till den registrerade bör gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Några ytterligare bestämmelser om information behövs inte. 6.11.1Personuppgiftslagens bestämmelser om information I 23–27 §§ personuppgiftslagen finns bestämmelser om information om behandling av personuppgifter som den personuppgiftsansva- rige är skyldig att lämna till den registrerade. Dessa bestämmelser har sin motsvarighet i artikel 10–13 i dataskyddsdirektivet. Regleringen gäller dels den personuppgiftsansvariges skyldighet att självmant lämna information till den registrerade i samband med att personuppgifterna samlas in (23–25 §§), dels den personupp- giftsansvariges skyldighet att lämna information på den registre- rades begäran (26 §). Gemensamt för båda fallen är att bestäm- melser om sekretess och tystnadsplikt går före skyldigheten att lämna information (27 §). Enligt 23 § personuppgiftslagen skall den personuppgiftsansva- rige i samband med att personuppgifter samlas in från personen själv, självmant lämna den registrerade information om behand- lingen av uppgifterna. Enligt kommentaren till personuppgiftslagen bör huvudregeln vara att den registrerade får information innan han eller hon lämnar uppgifterna eller uppgifterna annars samlas in från honom eller henne (– , Personuppgiftslagen En kommentar, 2001, andra uppl, s. 187). har beträffande frågan om när information bör lämnas i det fallet att den registrerade själv har sänt in uppgifter till den person- uppgiftsansvarige, ansett att det är en rimlig utgångspunkt att myndigheten första gången den tar skriftlig kontakt med den enskilde lämnar information om att uppgifter om denne som lämnas i ett mål eller ärende kan komma att registreras och fort- sättningsvis behandlas automatiserat vid handläggningen av målet eller ärendet (SOU 2001:32 s. 125). När uppgifterna samlas in från någon annan källa än den registrerade, skall den personuppgiftsansvarige enligt 24 § som huvudregel självmant lämna den registrerade information om be- handlingen av uppgifterna när de registreras, dvs. när de matas in i en dator eller sorteras in i ett manuellt register som omfattas av lagen. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut . Från informationsskyldigheten i fråga om uppgifter som samlas in från annan källa än den enskilde själv finns några undan- tag. Information behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifter i lag eller någon annan författning. Vidare behöver information inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en opro- portionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. I 25 § anges vilken information som skall lämnas självmant enligt 23 eller 24 §. Informationen skall omfatta uppgift om den person- uppgiftsansvariges identitet, uppgift om ändamålen med behand- lingen och all övrig information som behövs för att den registre- rade skall kunna ta till vara sina rättigheter i samband med be- handlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om informa- tion och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till, t.ex. på grund av att han eller hon redan har fått informationen i enlighet med annan lagstiftning. En gång per kalenderår är den personuppgiftsansvarige enligt 26 § skyldig att till var och en som ansöker om det gratis lämna besked huruvida personuppgifter som rör den registrerade be- handlas eller ej. Behandlas sådana uppgifter, skall skriftlig informa- tion lämnas också om vilka uppgifter om den sökande som behand- las, varifrån dessa uppgifter har hämtas, ändamålen med behand- lingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 26 § andra stycket finns det bestämmelser dels om den registrerades ansökan, dels om efter ansökan som den personuppgiftsansvarige skall lämna infor- mation. Från informationsplikten enligt 26 § gäller endast undantag för personuppgifter i löpande text som inte har fått sin slutliga utformning när den registrerade gjorde sin ansökan eller som utgör minnesanteckning. Förebilden till undantagen är regleringen i 2 kap. 9 § tryckfrihetsförordningen. Praxis kring denna tryckfri- hetsbestämmelse torde kunna ge en viss vägledning vid tolkningen av undantagen i 26 § personuppgiftslagen. Med löpande text avses text som inte har strukturerats så att sökning av personuppgifter underlättas. Undantagen gäller emellertid inte om personuppgifter i den löpande texten har lämnats ut till tredje man eller om person- uppgifterna i den löpande texten behandlas enbart för historiska, statistiska eller vetenskapliga ändamål. Vidare gäller inte undan- tagen från informationsplikten om personuppgifterna i den löpande texten har behandlats före den registre- rades ansökan. Från informationsskyldigheten i 23–26 §§ finns ett väsentligt och generellt undantag vid sekretess och tystnadsplikt som enligt 27 § alltid gäller före skyldigheten att lämna information. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att upp- gifter inte får lämnas ut till den registrerade gäller, enligt 27 §, inte bestämmelserna i 23–26 §§. Regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om vilken information som skall lämnas till den registrerade och hur lämnandet av informationen skall gå till (50 § e). Regeringen har i 13 § 5 personuppgiftsför- ordningen bemyndigat Datainspektionen att meddela sådana föreskrifter. Några föreskrifter har emellertid ännu inte utfärdats. Däremot har Datainspektionen gett ut allmänna råd om informa- tion till den registrerade enligt personuppgiftslagen. I det föregående har påpekats att personuppgiftslagen inte inne- håller någon bestämmelse som medger ytterligare undantag i fråga om informationsskyldigheten än dem som framgår av lagen. Anled- ningen därtill är att personuppgiftslagen inte går längre än vad som krävs med hänsyn till dataskyddsdirektivet (prop. 1997/98:44 s. 79). Personuppgiftslagens informationsbestämmelser uppfyller således direktivets minimikrav. I en särlag för behandling av per- sonuppgifter i en viss verksamhet är det därför bara möjligt att göra andra undantag än dem personuppgiftslagen anger, om verksam- heten i fråga inte omfattas av dataskyddsdirektivets tillämpnings- område. Direktivet tillåter dock att informationsskyldigheten utvidgas eller preciseras. Som utredningen tidigare konstaterat (avsnitt 5.3) är verksamhet enligt utlännings- och medborgarskapslagstiftningen till övervägan- de del sådan som omfattas av gemenskapsrätten. Utredningen har också bedömt att utlänningsdatalagen inte bör innehålla från data- skyddsdirektivet avvikande särbestämmelser i fråga om behandling av personuppgifter i verksamhet som faller utanför direktivets tillämpningsområde. Vad som faller utanför är t.ex. verksamhet enligt medborgarskapslagstiftningen och lagen om särskild utlän- ningskontroll. Den enskildes rätt att få information om behandling av person- uppgifter som gäller honom eller henne är en viktig del av det integritetsskydd som personuppgiftslagen och dataskyddsdirek- tivet syftar till att säkerställa, eftersom den enskilde behöver infor- mationen för att kunna ta till vara sina rättigheter i samband med behandlingen. Enligt utredningens mening finns det inte något beaktansvärt skäl att minska detta integritetsskydd för sådan behand- ling enligt utlänningsdatalagen som inte omfattas av dataskydds- direktivet. Enhetliga regler som bygger på direktivet bör således gälla. Det sagda innebär att utredningen inte föreslår någon inskränkning i förhållande till personuppgiftslagens bestämmelser om informationsskyldighet.