sou · GRB340d2 · 2004-01-01 00:00:00 — Utlämnande på medium för automatiserad behandling utgör, som sagts, en form av behandling av personuppgifter enligt 3 § personuppgiftslagen och är som sådan tillåten under förutsättning att utlämnandet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Dataskyddsdirektivet och personupp- giftslagen saknar särbestämmelser som reglerar om eller under vilka förutsättningar uppgifter får lämnas ut i elektronisk form. Någon åtskillnad mellan elektroniskt utlämnande av personuppgifter och utlämnande som sker på papper görs således inte. Inte heller görs någon åtskillnad mellan olika former av utlämnande i 7 kap. 16 § sekretesslagen, som föreskriver att sekretess gäller för personupp- gifter, om det kan antas att ett utlämnande skulle medföra att upp- gifterna behandlas i strid mot personuppgiftslagen. Särskild författningsreglering krävs således inte för att utläm- nande av personuppgifter på medium för automatiserad behandling skall vara tillåten. Med tanke på de särskilda möjligheterna att bearbeta erhållen information som finns vid elektroniskt utlämnan- de, kan det emellertid finnas anledning att överväga om utlämnande på automatiserat medium bör underkastas någon begränsning i utlänningsdatalagen i syfte att minska risken för otillbörliga intrång i den enskildes integritet. Det bör observeras att frågan enbart gäller sättet för utlämnande och inte huruvida personuppgifter över huvud taget får lämnas ut. I några motsvarande lagar för myndigheters behandling av personuppgifter finns särbestämmelser om utlämnande på medium för automatiserad behandling. Här kan t.ex. nämnas lagarna som reglerar behandling av personuppgifter inom skatteförvaltningen, kronofogdemyndigheterna och (SFS 2001:181, SFS 2001:182, SFS 2001:184 och SFS 2001:185). I dessa lagar föreskrivs att personuppgifter som behandlas i databaser får lämnas ut till enskild på medium för automatiserad behandling endast om rege- ringen har meddelat föreskrifter om det. Någon särbestämmelse såvitt avser elektronisk utlämnande till myndigheter finns inte. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 112) anförde regeringen, som skäl för att inte särskilt reglera utlämnande till myndigheter på medium för automatiserad behandling, att det är mindre tillfredsställande ur effektivitetssynpunkt om den utlämnande myndigheten först gör utskrifter av elektronisk lagrade uppgifter som den mottagande myndigheten därefter för in i sina register eller databaser. Genom sådana förfaranden ökar dessutom riskerna för överföringsfel, vilket i sig kan utgöra ett integritetsproblem. Regeringen fortsatte sitt resonemang i enlighet med det följande. En utgångspunkt bör vara att myndigheter skall kunna utnyttja auto- matiserade förfaranden i sin ärendehantering i största möjliga omfatt- ning, dock under förutsättning att behandlingen av personuppgifter inte medför risk för otillbörliga intrång i enskildas personliga integritet. För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgifts- samlingar som får föras av myndigheten eller annars på vilket sätt personuppgifter får behandlas. I dessa författningar regleras även ända- målen med behandlingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Någon risk för att mottagande myndigheter skall behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett torde inte finnas. Under förutsättning att den utlämnande myndigheten har möjlighet att av- göra vilka uppgifter som skall lämnas ut saknas det därför enligt regeringens mening anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. Det finns med andra ord inte bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektro- niskt. När det däremot gäller elektroniskt utlämnande till enskilda, såväl privatpersoner som företag och organisationer, poängterade rege- ringen att det normalt saknades särskilda bestämmelser, utöver personuppgiftslagen, om hur personuppgifter får behandlas hos Med hänsyn till de integritetsrisker som kan följa med utlämnande av personuppgifter på medium för automatiserad behandling till företag och privatpersoner, fann regeringen att så- dant utlämnande endast bör vara tillåtet när det efter särskild prövning anses lämpligt. Vidare fann regeringen att det inte är möjligt att i lag reglera i vilka fall så lämpligen kan ske utan att det i stället bör åligga regeringen att göra dessa bedömningar. Här kan nämnas lagen (2002:546) om behandling av person- uppgifter i den arbetsmarknadspolitiska verksamheten som också föreskriver att personuppgifter som behandlas i en databas får utlämnas till enskild på medium för automatiserad behandling endast om regeringen föreskriver det. I lagens förarbeten (prop. 2001/02:144 s. 39) sägs bl.a. med hänvisning till nyssnämnda lag- stiftningsärende att det inte erfordras någon särskild reglering i lag av uppgiftsutlämnande till myndigheter på medium för automati- serad behandling. I lagen föreskrivs dock att regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automa- tiserad behandling till myndigheter och enskilda. Samma bedömningar har inte gjorts vid utformandet av alla s.k. registerlagar som införts i samband med eller efter det att person- uppgiftslagen trädde i kraft. I lagen (2001:454) om behandling av personuppgifter inom samt i lagen (2001:617) om behandling av personuppgifter inom kriminalvården saknas t.ex. helt särbestämmelser för uppgiftsutlämnande på medium för automatiserad behandling. I lagen (1998:543) om hälsodataregister föreskrivs att personuppgifter får lämnas ut på medium för automatiserad behandling endast för vissa ändamål, dvs. oavsett om utlämnandet sker till myndighet eller till enskild. I förarbetena motiverades denna begränsning med hänsyn till intresset av integri- tetsskydd för den enskilde (prop. 1997/98:108 s. 77). Möjligheten att elektroniskt ta emot – måhända stora mängder – information som efter mottagandet kan bearbetas av mottagaren har länge ansetts innebära särskilda risker från integritetssynpunkt jämfört med om samma information endast fås i pappersutskrift. Detta, menar utredningen, gäller fortfarande trots att det finns tämligen lättillgänglig teknik, t.ex. skanning, som medger att information överförs från papper till automatiserat medium. Vid bedömningen av om begränsningar bör införas såvitt avser elektro- niskt utlämnande av personuppgifter anser utredningen dock att en åtskillnad måste göras – på motsvarande sätt som gjorts i de i detta avsnitt först nämnda s.k. registerlagarna – mellan utlämnande som sker till myndigheter respektive till enskilda. När det gäller utlämnande till svenska myndigheter talar effektivi- tetsskäl med betydande styrka för att myndigheter, som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen, skall kunna lämna ut uppgifter genom användning av modern informationsteknik till en annan myndighet efter en prövning av om utlämnandet är förenligt med utlänningsdatalagens ändamåls- bestämning och sekretesslagen. I takt med att myndigheterna inom den offentliga förvaltningen i allt större utsträckning övergår till fullständig elektronisk informationshantering ter sig begränsningar av möjligheten till elektroniskt informationsutbyte mellan myndig- heterna i motsvarande grad mindre lämpligt. Även i de fall en s.k. registerförfattning inte finns för den mottagande myndighetens behandling, anser utredningen att det saknas anledning att befara att personuppgifter av den mottagande myndigheten kommer att behandlas för andra syften än vad den utlämnande myndigheten kunnat ta i beaktande vid sitt beslut att, efter vederbörlig prövning enligt utlänningsdatalagen och sekretesslagen, utlämna uppgifterna. Risken för otillbörliga integritetsintrång torde därför inte öka i nämnvärd mån på grund av att utlämnandet sker på medium för automatiserad behandling i stället för på papper. Enligt utred- ningens mening finns därför inte tillräcklig anledning att föreslå en särbestämmelse som begränsar möjligheterna att till en svensk myndighet lämna ut personuppgifter på medium för automatiserad behandling. Givetvis åligger det ändå personuppgiftsansvarig myn- dighet att göra övervägningar utifrån hänsyn till säkerhets- och integritetsfrågor vid valet mellan att lämna ut personuppgifter på automatiserat medium eller på pappersutskrift. Vid t.ex. användan- det av e-post kan därvid en mottagande myndighets säkerhets- skydd vara av betydelse för bedömningen. Ett av dataskyddsdirektivets syften är att genom gemensamma regler till skydd för enskildas integritet ge förutsättningar för att personuppgifter inom direktivets ram skall kunna flöda fritt inom EU-området. Såsom översiktligt har belysts i avsnitt 3.1 har samarbetet inom EU i asyl- och migrationsfrågor intensifierats . För myndigheter som bedriver verksamhet enligt utlän- ningslagstiftningen medför detta att personuppgifter i olika sam- manhang lämnas ut eller inhämtas från utländska myndigheter i EU- länder. I avsnitt 4.1.3 har t.ex. beskrivits de konsultationer mellan EU-länderna som görs via ett automatiserat förfarande i viserings- ärenden (Visionsystemet). Även och den EG- förordning nr 343/2003 som ersatt konventionen (se avsnitt 3.1) förpliktar medlemsstaterna att utbyta personuppgifter. Delvis sker detta utbyte i enlighet med Eurodacförordningen, som gäller per- sonuppgifter om fingeravtryck och kön. Denna behandling av personuppgifter omfattas inte av den föreslagna utlänningsdata- lagen (se härom avsnitt 6.2.3.2). Den nämnda uppgiftsskyldigheten omfattar dock även en mängd andra personuppgifter än dem Eurodacförordningen avser (se bl.a. artikel 21.2 i EG-förordningen jämförd med artikel 5.1, 8.2, och 11.2 i Eurodacförordningen). Enligt utredningens mening skulle EU-samarbetet i alltför hög grad försvåras om nödvändigt informationsutbyte inte får ske elektroniskt. Med tanke på svårigheterna att överblicka konsekven- serna från integritessynpunkt av ett utlämnande av personuppgifter till ett annat land bör emellertid möjligheten till elektroniskt ut- lämnande begränsas. Personuppgifter bör få lämnas ut på detta sätt endast om det sker för att fullgöra ett uppgiftsutlämnande som sker med stöd av lag eller förordning eller följer av medlemskapet i EU eller av en uppgiftsskyldighet enligt en konvention eller ett av godkänt avtal med främmande stat eller mellanfolklig organisation. Dessutom bör uppgifter få lämnas ut elektroniskt om utlämnandet är nödvändigt för att den utlämnande myndigheten, i allmänhet eller polisen, skall kunna utföra en arbetsuppgift som sker för ändamålen handläggning av ärenden eller biträde i sådant ärende samt annan kontroll av utlänningar. Vidare bör personuppgifter som behandlas för ändamålet att ge information om praxis, förhållanden i olika länder m.m. kunna utlämnas elektroniskt, om rättsliga förutsättningar för utlämnande i och för sig är uppfyllda. Utredningen föreslår således att lagen begränsar möjligheten att lämna ut personuppgifter på medium för automatiserad behandling i enlighet med det sagda. Sådant utlämnande föreslås få ske till myndigheter i EU-länder och i länder anslutna till samt även till organ som har inrättats av EU, t.ex. kommissionen. Med tanke på den pågående intensifieringen av samarbetet inom EU är det dock inte otänkbart att bestämmelsen får revideras . Utlämnande till enskilda enligt 2 kap. tryckfrihetsförordningen av allmänna handlingar vari finns personuppgifter som behandlas enligt den föreslagna utlänningsdatalagen kan ofta inte medges på grund av sekretess enligt 7 kap. 14 § andra stycket sekretesslagen. Det kan emellertid nämnas att en myndighet enligt 2 kap. 13 § tryckfrihetsförordningen i dess lydelse fr.o.m. inte är skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behandling i annan form än utskrift. Det är alltså möjligt att i lag föreskriva en skyldighet att lämna ut allmänna handlingar på medium för automatiserad behand- ling. fanns ingen sådan möjlighet enligt den dåvarande lydelsen av 2 kap. 13 § tryckfrihetsförordningen, som föreskrev ett absolut s.k. utskriftsundantag. Undantagets syfte var enligt för- arbetena att förhindra att utlämnade uppgifter behandlas auto- matiserat på ett sätt som kan medföra intrång i enskildas personliga integritet, t.ex. genom uppkomsten av privata personregister (prop. 1973:33 s. 85 f. och 113). I det lagstiftningsärende som föregick ändringen i 2 kap. 13 § tryckfrihetsförordningen hade Offentlighets- och sekretess- kommittén i delbetänkandet Offentlighetsprincipen och den nya tekniken (SOU 2001:3) föreslagit en ändring enligt en omvänd princip, nämligen att det skulle införas en skyldighet för en myn- dighet att lämna ut elektroniskt lagrade allmänna handlingar, dvs. upptagningar, i elektronisk form, såvida det inte för myndigheten i lag eller förordning finns en bestämmelse som förbjuder det. Kommittén förutsatte därvid att det i registerförfattningar införs undantag från skyldigheten att lämna ut allmänna handlingar i elektronisk form i den mån det behövs för att undvika eventuella integritetsproblem som följer på ett avskaffande av utskriftsundan- taget. Vid remissbehandlingen av betänkandet var flera instanser tveksamma till förslaget i fråga, bl.a. med hänsyn till att konsekvenserna med avseende på eventuella integritetsproblem inte var tillräckligt väl utredda (prop. 2001/02:70 s. 28). Regeringen instämde i denna tvekan. Med hänsyn bl.a. härtill fann regeringen att kommitténs förslag inte borde genomföras. I stället föreslog regeringen en möjlighet att i lag införa en skyldighet för myndigheter att lämna ut allmänna handlingar i elektronisk form. Med tanke på IT-utvecklingen inom förvaltningen fann regeringen nämligen anledning att överväga att i vanlig lag, t.ex. 15 kap. sekretesslagen, införa en sådan skyldighet, generell eller med av- seende på vissa kategorier av allmänna handlingar. Regeringen avsåg dock att återkomma till frågan först efter det att ytterligare ut- redningsarbete av Offentlighets- och sekretesskommittén respektive (som bl.a. skall göra en översyn av 7 kap. 16 § sekretesslagen, dir. 2002:31) har utförts. anslöt sig, som framgått ovan, till regeringens förslag (bet. 2000/02:KU17, rskr. 2002/03:7). Som påpekats vid ett flertal tillfällen är personuppgifter som finns i verksamhet enligt utlännings- och medborgarskapslagstift- ningen av integritetskänslig karaktär. Det är därför befogat att i utlänningsdatalagen skilja på olika sätt att lämna ut personuppgifter till enskilda genom att begränsa möjligheten att lämna ut upp- gifterna på medium för automatiserad behandling. Något absolut förbud mot elektroniskt utlämnande ter sig emellertid inte lämp- ligt. Självfallet bör t.ex. en handläggande myndighet kunna använda sig av e-post vid kommunikation med en enskild, t.ex. när myn- digheten skall upplysa en sökande om att en viss person lämnat uppgifter i ett ärende som rör sökanden. Även andra situationer kan tänkas då ett elektroniskt utlämnande enskild bör tillåtas. Närmare överväganden härvidlag bör emellertid inte göras i lagen utan av regeringen. Utredningen föreslår därför att utlämnande av personuppgifter på medium för automatiserad behandling får ske till enskilda endast om regeringen har föreskrivit det. Utredningen återkommer i avsnitt 6.18.2 med överväganden angående speciella fall som bör detaljregleras i en förordning som utfärdas i anslutning till lagen. Utredningens förslag: , , , och polismyndigheterna samt utlandsmyndigheterna skall för ändamålet handläggning eller biträde vid handläggning av ärenden få ha direktåtkomst till personuppgifter som behandlas automatiserat av Migrations- verket för samma ändamål. och polis- myndigheternas direktåtkomst till personuppgifterna får också användas för ändamålet utlänningskontroll enligt 5 kap. utlänningslagen. och utlandsmyndigheterna skall vidare få ha direktåtkomst till personuppgifter som behandlas för ändamålet att ge referensinformation om förhål- landen i andra länder, praxis m.m. Annan direktåtkomst än den i lagen medgivna skall inte vara tillåten. Åtkomst till automatiserat behandlade personuppgifter skall vara förbehållen de personer som behöver tillgång till uppgifterna för att kunna utföra sina arbetsuppgifter. Som nämnts i avsnitt 6.9 kan personuppgifter lämnas ut på flera sätt. Det har också påpekats att varken dataskyddsdirektivet eller personuppgiftslagen innehåller några särskilda bestämmelser som tar sikte på just det sätt på vilket uppgifter lämnas ut. Sättet har emellertid, som utredningen redan framhållit, betydelse från integri- tetssynpunkt när det gäller att bedöma hur stora risker för obehö- riga intrång i enskildas personliga integritet som ett utlämnande typiskt sett medför. Utredningen har därför funnit anledning att i vissa fall reglera uppgiftsutlämnande på medium för automatiserad behandling. I detta avsnitt behandlas en specialform av elektroniskt uppgifts- utlämnande till mottagare utanför en myndighet, nämligen direktåt- komst. För direktåtkomst gäller, för övrigt i likhet med allt utläm- nande av personuppgifter, att den måste vara förenlig dels med de ändamål för vilka den utlämnande myndigheten får behandla personuppgifter, dels med sekretessregleringen. Begreppet direktåtkomst används ibland också för personalens åtkomst till uppgifter som behandlas inom en myndighet eller inom en myndighets verksamhetsgren. Sådan åtkomst kallas dock i fortsättningen bara för åtkomst för att skilja begreppet från vad som brukar betecknas som direktåtkomst. Även personalens åtkomst behandlas i det följande. Någon rättslig definition av begreppet direktåtkomst finns inte. Enligt en vedertagen uppfattning, som också lyfts fram i flera lagförarbeten, innebär direktåtkomst en möjlighet att på egen hand ta del av och söka efter uppgifter i en informationssamling som behandlas automatiserat, dock utan att man själv kan bearbeta eller på annat sätt påverka innehållet (se t.ex. prop. 2000/2001:33 s. 110 f.). I vissa fall har användaren emellertid en möjlighet att kopiera och så att säga hämta hem informationen till sitt eget system och bearbeta den där (jfr prop. 2001/002:144 s. 35 och Domstolsdata- utredningen, SOU 2001:100 s. 149). Personal inom en myndighet som har åtkomst till myndighetens informationssamlingar har förstås ofta också möjlighet att bearbeta och påverka innehållet i samlingen, t.ex. i ett ärendehanteringssystem. Direktåtkomst kan avse all information som finns samlad i ett datasystem eller endast en på förhand bestämd del av denna. I flera författningar som reglerar myndigheters behandling av personuppgifter förekommer det bestämmelser om direktåtkomst till ett visst automatiserat register eller andra samlingar av per- sonuppgifter som behandlas automatiserat. Som exempel härpå kan nämnas 27 § lagen (2001:184) om behandling av uppgifter i krono- fogdemyndigheternas verksamhet som föreskriver att skattemyn- digheterna, och Säkerhetspolisen får ha direktåtkomst till vissa uppgiftskategorier som behandlas i kronofogdemyndig- heternas gemensamma utsöknings- och indrivningsdatabas. I 6 § lagen (2001:617) om behandling av personuppgifter inom kriminal- vården finns en mer allmänt hållen bestämmelse om åtkomst till personuppgifter som behandlas. Enligt bestämmelsen skall åtkomst till personuppgifter som behandlas enligt lagen vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminal- vården behöver tillgång till uppgifterna. (I lagen används dock termen direktåtkomst.) Från integritetssynpunkt har givetvis bestämmelser som dessa betydelse främst för uppgiftssamlingar som är tillgängliga och sökbara via många terminaler i ett datoriserat nätverk. 6.10.2Nuvarande direktåtkomst i verksamhet enligt utlännings- och medborgarskapslagstiftningen I verksamhet enligt utlännings- och medborgarskapslagstiftningen har vissa andra myndigheter direktåtkomst till personuppgifter som finns lagrade i omfattande datorsystem STAMM. Som närmare redovisats i avsnitt 4.1.1.2 har , , och polismyndig- heterna, de utlandsmyndigheter som är anslutna till ärendehanterings- systemet samt sådan direktåt- komst. Direktåtkomsten varierar såväl till omfattning som till uppgiftsslag. Därutöver har viss direktåtkomst till personuppgifter i några av STAMM:s delsystem. Åtkomsten föranleds av regeringens behov av uppgifterna vid sin handläggning av utlännings- och medborgarskapsärenden. har vidare direktåtkomst till system LIFOS, vari samlas praxis, länderinformation och annan information som behövs som allmänt referens- och kunskapsunderlag vid handläggning av utlänningsärenden. har direktåtkomst till belastningsregistret och misstankeregistret samt till den nationella enhetens spärrlista i Schengens informationssystem. direktåtkomst till dessa av förda register är redan författnings- reglerad i förordningen (1999:1134) om belastningsregister, för- ordningen (1999:1135) om misstankeregistret samt förordningen (2000:836) om Schengens informationssystem. Denna åtkomst berörs därför inte av utredningens vidare överväganden. I utlänningsdataförordningen föreskrivs att , , och polismyndigheterna samt utlandsmyndigheterna får ha direktåtkomst till verksamhetsregister samt att får ha direktåt- komst till landinformationsregister över infor- mation som lämnats rörande förhållanden i andra länder. Centrala och direktåtkomst till STAMM är däremot inte författningsreglerad. Inte heller har åtkomst till annan information i LIFOS än den som rör förhållanden i andra länder getts författningsstöd i utlänningsdataförordningen. När det gäller åtkomst inom en myndighet är det givet att arbetstagare i alla här berörda myndigheter har åtkomst till register, ärendehanteringssystem eller andra gemensamt tillgängliga uppgiftssamlingar som förs inom den myndighet vid vilken arbets- tagaren är anställd. I avsnitt 4.1 har kort berörts att anställdas tillgång till STAMM, LIFOS och andra uppgiftssamlingar prövas individuellt. tilldelar således varje anställd behö- righet att ta del av och arbeta med personuppgifter i den utsträck- ning arbetstagaren behöver detta för att kunna utföra sina arbets- uppgifter. En mängd olika behörighetsnivåer finns. Trots detta är det ett relativt stort antal arbetstagare som har tillgång till integritetskänsliga personuppgifter som behandlas för ändamålen handläggning av ärenden, utlänningskontroll, mottagningsverksamhet och för informationsåtersökning. När det däremot gäller t.ex. direktåtkomst till personuppgifter i statistik- och uppföljnings- datasystemet PLUS har endast ett begränsat antal anställda tillgång till de i systemet behandlade personuppgifterna. En annan sak är att tillgången till framställd statistik eller andra rapporter kan vara vida spridd sedan uppgifterna väl avidentifierats. Även vid övriga myndigheter som omfattas av utlännings- datalagens tillämpningsområde krävs behörigheter av olika grad för åtkomst till myndighetens personuppgiftssamlingar. Myndigheters direktåtkomst till personuppgifter som behandlas i register eller andra uppgiftssamlingar av en annan myndighet har betraktas som särskilt integritetskänslig. I än högre grad har utlämnande till andra än myndigheter genom direkt- åtkomst ansetts medföra särskilda risker för enskilda. Det för- hållandet att den utlämnande myndigheten inte har kontroll över vilka uppgifter som mottagaren vid varje enskilt tillfälle tar del av, har genomgående åberopats som grund för att utifrån integritets- synpunkt särskilt reglera direktåtkomst (se t.ex. prop. 2000/01:126 s. 34).