sou · GSB36d2 · 2005-01-01 00:00:00 — Det är som framgår av redogörelsen för rättspraxis i avsnitt 5.2.2 bara i några få fall som utlämnande slutligen vägrats med hänvisning till sekretess enligt 7 kap. 16 § sekretesslagen.213 Det finns nu också en del skrivet om tillämpningen av 7 kap. 16 § sekretesslagen som kan ge vägledning.214 Att det finns mera vägledning och inget som tyder på att myndigheterna skulle tillämpa bestämmelsen fel eller så att of- fentligheten inskränks mer än avsett utgör givetvis inga giltiga ar- gument mot att förtydliga bestämmelsen. Enligt utredningens me- ning finns det tvärtom anledning att göra vad man kan för att för- tydliga bestämmelsen, som blir aktuell vid alla utlämnanden av per- sonuppgifter. 213Kammarrättens i dom i mål nr 3865-1999, som får anses överspe- lad efter RÅ 2001 ref. 68, Kammarrättens i dom i mål nr 1443-2000 och dom i mål nr 2670-2001. 214Se, förutom SOU 2001:3 s. 190 ff. och 212 ff., , Personuppgiftslagen – En kommentar, andra upplagan 2001, s. 327–336. Även Statstjäns- temannaförbundets debattbok 7:16 – och andra hot mot öppenheten bör nämnas. Det som enligt utredningens mening främst behöver förtydligas är i vilken utsträckning det är myndighetens utlämnande av per- sonuppgifter respektive sökandens efterföljande behandling av dem som skall bedömas i förhållande till personuppgiftslagen. Sekretess när sökanden kan antas bryta mot personuppgiftslagen Att sekretess, liksom , alltid bör gälla om det kan antas att sökandens efterföljande behandling kommer att innebära ett brott mot personuppgiftslagen står klart. En myndighet skall inte lämna ut personuppgifter om det på goda grunder kan misstänkas att mottagaren kommer att använda dem på ett enligt personuppgifts- lagen olagligt sätt. Det är en självklar princip. Den kan man knap- past klara sig utan om man vill undvika orimliga konsekvenser av vår principiella handlingsoffentlighet, i detta fall att en myndighet mer eller mindre medvetet skulle tvingas att medverka till ett lag- brott. Det bör dock markeras tydligare i lagtexten att det är sökandens efterföljande behandling som skall bedömas i förhållande till per- sonuppgiftslagen och inte den behandling som myndighetens ut- lämnande utgör. Det bör ske genom att det föreskrivs sekretess för personuppgift, om det kan antas att uppgiften efter ett utlämnande kommer att behandlas i strid med personuppgiftslagen. Sekretess gäller således bara om det kan antas en efterföljande behandling som är olaglig enligt personuppgiftslagen. Bestämmel- sen i 7 kap. 16 § sekretesslagen skall alltså inte försvåra utfåendet av allmänna handlingar med personuppgifter för den som inte kom- mer att behandla personuppgifterna på ett sätt som omfattas av personuppgiftslagen eller som tänker följa den lagen vid behand- lingen. Privatpersoner som vill behandla de utlämnade personupp- gifterna i dator som ett led i en verksamhet av rent privat natur (vilken behandling inte omfattas av personuppgiftslagen, se 6 §) är ett exempel. Den som vill göra något journalistiskt med person- uppgifterna är ett annat exempel (se 7 § personuppgiftslagen). En i praktiken väsentlig fråga vid tillämpningen av offentlighets- principen är när en sekretessbestämmelse medför att en myndighet får efterforska vad den som vill ha en allmän handling skall göra med uppgifterna i den. Enligt 2 kap. 14 § tredje stycket tryckfri- hetsförordningen får myndigheten nämligen efterforska vem den sökande är och vilket syfte han eller hon har med sin begäran bara i den utsträckning det behövs för att myndigheten skall kunna pröva om det finns något hinder mot att handlingen lämnas ut, t.ex. i form av sekretess. Ofta kan utformningen av det s.k. skaderekvisit som finns i den aktuella sekretessbestämmelsen ha stor betydelse för frågan om när en myndighet får börja efterforska. I förarbetena till sekretesslagen anges följande allmänna principer i fråga om skaderekvisit och myndigheters efterforskningar.215 I departementsförslaget finns endast två typer av skaderekvisit, ett rakt som innebär presumtion för offentlighet och ett omvänt som in- nebär presumtion för sekretess. Det raka skaderekvisitet innebär att sekretess föreligger, om det kan antas att viss angiven skada uppkom- mer om uppgiften röjs. Det omvända rekvisitet innebär att sekretess gäller, om det inte står klart att uppgiften kan röjas utan skada. Det raka skaderekvisitet innebär att tillämparen kan göra sin be- dömning inom ganska vida ramar. Avsikten är att skadebedömningen i dessa fall i huvudsak skall kunna göras med utgångspunkt i själva upp- giften. Det innebär att frågan huruvida sekretess gäller eller inte i första hand inte behöver knytas till en skadebedömning i det enskilda fallet. Avgörande bör i stället vara om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det in- tresse som skall skyddas genom bestämmelsen. Om uppgiften är sådan att den genomsnittligt sett måste betraktas som harmlös, skall den allt- så normalt falla utanför sekretessen. Som exempel på uppgifter av detta slag kan nämnas utlännings adress eller civilstånd. Skulle uppgiften å andra sidan vara av sådant slag att den lätt kan komma att missbrukas, [] skall den enligt min mening i de flesta fall anses vara omfattad av sekretess. Sammanfattningsvis anser vi att avgörande betydelse som re- gel bör tillmätas arten av den uppgift som efterfrågas. Härigenom vin- ner man den fördelen att man sällan behöver frångå den till offentlig- hetsprincipen hörande grundsatsen att den som begär en uppgift hos myndighet inte skall behöva legitimera sig och tala om varför han vill ta del av viss uppgift. [K]onstruktionen med skaderekvisit [innebär emellertid] att frågan om vem som begär en uppgift eller ändamålet med begäran kan få bety- delse när sekretessfrågan skall avgöras. Om det t.ex. i ett särskilt fall framgår att den som begär ut en uppgift om utlännings adress kan antas använda denna uppgift för att utsätta vederbörande för trakasserier, skall uppgiften just i den situationen anses vara omfattad av sekretess. Avsikten är emellertid inte att tjänstemannen normalt skall försöka ut- röna om omständigheter av nu nämnt slag föreligger i ett visst utläm- 1979/80:2 Del A s. 80 f. En sådan åtgärd bör enligt min mening förekomma endast om det finns särskild anledning till det, t.ex. om en tjänsteman har fått veta att man från visst håll samlar in uppgifter av det aktuella slaget i il- legitimt syfte. De uttalanden som jag nu har gjort om skadebedömningen vid ut- lämnandet av en särskild uppgift har i stort sett sin giltighet också i frå- ga om massuttag. Situationen är emellertid här i viss mån en annan så till vida att den berörde tjänstemannen av naturliga skäl inte kan bilda sig en uppfattning om den särskilda skaderisk som kan vara förbunden med en enskild uppgift. Å andra sidan har han emellertid alltid känne- dom om beställarens identitet och oftast också om dennes avsikt med uppgifterna. Dessa kunskaper i förening med en bedömning av den skaderisk som typiskt sett är förbunden med uppgifter av det slag som avses med beställningen bör enligt min mening i de allra flesta fall ge fullt tillräckligt underlag för bedömningen av om sekretessregleringen skall anses hindra ett utlämnande eller inte. Vid rakt skaderekvisit skall således normalt sekretessfrågan bedö- mas med utgångspunkt i själva den uppgift som begärs utlämnad och inte vad som kan tänkas ske i det enskilda fallet efter ett ut- lämnande. Bara om det finns särskild anledning till det, får myn- digheten normalt börja efterforska. Bestämmelsen i 7 kap. 16 § sekretesslagen innehåller ett rakt skaderekvisit (om det kan antas att ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen), men det är lite speciellt i förhållande till de flesta andra sådana rekvisit i sek- retesslagen. Av den ursprungliga författningskommentaren till den bestämmelsen framgår nämligen att i första hand en begäran om massuppgifter eller selekterade uppgifter alltid bör utgöra anled- ning för myndigheten att närmare utreda hur det är avsett att upp- gifterna skall användas och att det är först om sökanden anger en godtagbar förklaring härom som uppgifterna bör lämnas ut.216 Om massuppgifter eller selekterade uppgifter begärs utlämnade och sö- kanden inte besvarar en förfrågan om den tilltänkta användningen av uppgifterna, finns det således enligt förarbetena anledning att anta en olaglig behandling och vägra utlämnande på grund av sekre- tess. Arten av den uppgift som begärs utlämnad verkar, såvitt framgår av författningskommentaren, inte på det sätt som är normalt vid tillämpningen av sekretesslagen ha direkt betydelse (annat än att 1973:33 s. 140, citerat ovan i avsnitt 15.3.1. det naturligtvis måste vara fråga om en personuppgift) för pröv- ningen av skaderekvisitet och för frågan om när myndigheten får börja efterforska vad sökanden skall använda uppgifterna till. Det är i och för sig naturligt, eftersom varje slag av personuppgift kan behandlas i strid med lagstiftningen till skydd för personuppgifter. Det avgörande för om en efterforskning bör göras verkar i stället, såvitt framgår av författningskommentaren, i första hand vara om det på grund av någon omständighet kring sökandens begäran (massuppgifter eller selekterade uppgifter) kan antas att sökanden kommer att hantera uppgifterna på ett sätt som omfattas av den lagstiftningen (företrädesvis med hjälp av dator). Att skaderekvisitet i 7 kap. 16 § sekretesslagen och förutsätt- ningarna för när myndigheten får börja efterforska således skall tillämpas på ett i förhållande till övriga sekretessregler speciellt sätt bör enligt utredningens mening markeras på något sätt i lagtexten. Därmed bör tillämpningen av bestämmelsen underlättas. Det klar- görs då också att myndigheten inte får börja ställa frågor om den tilltänkta användningen bara för att en personuppgift begärs utläm- nad. Det bör därför föreskrivas att sekretess gäller för personuppgift, om det finns skäl att anta att uppgiften efter ett utlämnande kom- mer att behandlas i strid med personuppgiftslagen. Myndigheten får således efterforska den tilltänkta användningen bara om det på grund av någon konkret omständighet, t.ex. att uppgifter om en massa människor begärs utlämnade, finns skäl att anta en efterföljande behandling som i och för sig omfattas av per- sonuppgiftslagen. Om sökanden då inte besvarar myndighetens frågor, finns det, i enlighet med författningskommentaren, skäl att anta en olaglig behandling och vägra utlämnande på grund av sekre- tess. Det finns däremot inte någon skyldighet att besvara myndig- hetens frågor. Det bör här noteras att det framgår av 2 kap. 14 § tredje stycket tryckfrihetsförordningen och ligger i sakens natur att myndigheten inte får ställa mer inträngande eller fler frågor än som behövs för att göra en bedömning enligt den aktuella sekretessbestämmelsen. Det innebär i detta sammanhang att myndigheten – i de fall an- vändningen alls får efterforskas – inledningsvis bara bör fråga om sökanden över huvud taget avser att behandla den begärda person- uppgiften på ett sätt som omfattas av 5 § personuppgiftslagen, dvs. automatiserat med hjälp av dator eller i ett regelrätt manuellt per- sonregister. Först om så är fallet, finns det anledning för myndig- heten att ställa flera frågor om den tilltänkta behandlingen, bl.a. för att ta reda på om behandlingen är helt eller delvis undantagen från personuppgiftslagen. Om sökanden väl lämnar en redogörelse för sin tilltänkta be- handling, uppkommer frågan om när den redogörelsen skall godtas. Av förarbetena till personuppgiftslagen framgår att en invändning om att en behandling avser sådant som är undantaget enligt 7 § per- sonuppgiftslagen (om undantag med hänsyn till tryck- och yttran- defriheten) får godtas, om det inte av omständigheterna framgår att invändningen är så osannolik att den kan lämnas utan avseende.217 Detsamma får enligt utredningens mening antas gälla en invänd- ning om att en behandling avser sådant som är undantaget enligt 6 § personuppgiftslagen om undantag för privat behandling av per- sonuppgifter. Dessa principer, som innebär att det är bara i rena undantagsfall som man inte bör lita på de invändningar och den redogörelse som lämnas, bör naturligtvis tillämpas också vid en sekretessprövning enligt 7 kap. 16 § sekretesslagen. Om myndigheten fått en redogörelse från sökanden, som i en- lighet med det sagda inte kan lämnas utan avseende, får myn- digheten göra en bedömning av om den uppgivna behandlingen omfattas av personuppgiftslagen och, om så är fallet, om den be- handlingen strider mot personuppgiftslagen. Sekretess när myndighetens utlandsutlämnande strider mot personuppgiftslagen Nästa fråga är om och i vilken utsträckning det förhållandet att själva utlämnandet från myndigheten av en personuppgift i sig skulle innebära ett brott mot personuppgiftslagen skall medföra sekretess. Det bör här för det första betonas att den frågan bara har betydelse när det gäller myndighetens skyldighet att enligt offent- lighetsprincipen i 2 kap. tryckfrihetsförordningen lämna ut person- uppgifter. Finns det ingen sådan skyldighet, får den personupp- giftsansvariga myndigheten ju nämligen – oberoende av sekretess- bestämmelserna – inte bryta mot personuppgiftslagen (eller för den delen någon annan lag). Myndigheter får t.ex. inte självmant lägga ut personuppgifter öppet på Internet utan att följa bestämmelserna i personuppgiftslagen. 1997/98:44 s. 119. Se också Kammarrättens i dom i mål nr 6296-2002. Det har ända sedan datalagen infördes funnits en bestämmelse om sekretess när personuppgifter lämnas utomlands, där den svenska dataskyddslagstiftningen inte kan få genomslag. När 7 kap. 16 § sekretesslagen ändrades i samband med att personuppgiftsla- gen trädde i kraft var avsikten också att det skall gälla sekretess om ett utlämnande av personuppgifter till tredje land skulle stå i strid med bestämmelserna i personuppgiftslagen om överföring av per- sonuppgifter till tredje land.218 Även utredningen anser att det är befogat att behålla en bestämmelse om sekretess i samband med överföring av personuppgifter till tredje land. Sekretessbestämmelsen om utlandsutlämnande bör, liksom hit- tills, ha samma materiella innehåll som bestämmelserna i data- skyddslagstiftningen om utlandsutlämnande. Sekretessbestämmel- sen bör således föreskriva sekretess för personuppgift, om myndig- hetens utlämnande av uppgiften står i strid med bestämmelsen om förbud mot överföring av personuppgifter till tredje land i 33 § per- sonuppgiftslagen. Är utlämnandet tillåtet enligt t.ex. 34 § person- uppgiftslagen, som innehåller undantag från det principiella förbu- det mot överföring av personuppgifter till tredje land utan adekvat skyddsnivå, eller enligt bestämmelser eller beslut som innebär avvi- kelser från 33 § personuppgiftslagen, står utlämnandet naturligtvis inte i strid med den sistnämnda bestämmelsen. Vid avgörandet av om myndighetens utlämnande står i strid med 33 § personuppgiftslagen skall man dock givetvis bortse från be- stämmelsen i 8 § första stycket personuppgiftslagen om att be- stämmelserna i lagen inte tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsför- ordningen att lämna ut personuppgifter. Det är bestämmelsen i 7 kap. 16 § sekretesslagen, med sin hänvisning till viss bestämmelse i personuppgiftslagen, och inte personuppgiftslagen i sig som in- skränker myndighetens skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. Utredningen har övervägt att i syfte att förtydliga i 8 § personuppgiftslagen ta in en hänvis- ning till sekretesslagen, men funnit att förhållandet är så självklart att en sådan hänvisning inte är nödvändig. Att det är bara utlämnanden som står i strid med 33 § person- uppgiftslagen som avses i sekretessbestämmelsen innebär att be- stämmelsen bara omfattar personuppgifter som myndigheten be- handlar på ett sätt som omfattas av personuppgiftslagen. 1997/98:44 s. 147, citerat ovan. melsen omfattar således inte t.ex. en personuppgift som bara finns i ett enstaka pappersdokument eller i en tjänstemans huvud. Enligt artikel 26.1 f i EG-direktivet finns det en skyldighet för medlemsstaterna att föreskriva att överföring av personuppgifter till ett tredje land utan adekvat skyddsnivå får ske om överföring- en görs från ett offentligt register som enligt lagar eller andra för- fattningar är avsett att ge allmänheten information och som är till- gängligt antingen för allmänheten eller för var och en som kan styrka ett berättigat intresse, i den utsträckning som de i lagstift- ningen angivna villkoren för tillgänglighet uppfylls i det enskilda fallet.219 Någon motsvarande bestämmelse finns dock inte i personupp- giftslagen, och frågan om införandet av en sådan verkar inte ha uppmärksammats i förarbetena till personuppgiftslagen. Den outta- lade avsikten verkar ha varit att de författningar som reglerar av- sedda offentliga register skall innehålla nödvändiga föreskrifter om överföring till tredje land.220 Så är dock som regel inte fallet i de registerförfattningar som utfärdats eller ändrats efter personupp- giftslagen.221 Mot den bakgrunden anser utredningen att det är befogat och, med hänsyn till EG-direktivet, nödvändigt att föreskriva undantag från sekretessbestämmelsen i fråga om uppgifter i sådana register som avses i artikel 26.1 f i EG-direktivet. Det undantaget medför i praktiken att personuppgifter i sådana register får lämnas till utlan- det, om det finns en skyldighet för myndigheten att göra det enligt bestämmelserna om offentlighetsprincipen i 2 kap. tryckfrihetsför- ordningen (och, givetvis, om inte någon annan sekretessbestäm- melse hindrar det). Om myndigheten i andra fall vill föra över personuppgifter i så- dana register till tredje land, t.ex. genom att göra registret öppet tillgängligt via Internet, måste myndigheten således tillämpa be- stämmelserna i personuppgiftslagen. Det medför i sin tur att t.ex. 219I ingresspunkt 58 i EG-direktivet tilläggs följande: Undantag från överföringsförbudet skall medges om överföringen utförs med utgångspunkt i ett register som upprättats ge- nom lagstiftning och som är avsett att vara tillgängligt för allmänheten eller för personer som har ett berättigat intresse. En sådan överföring bör inte omfatta alla uppgifter eller hela kategorier av uppgifter som finns i registret. När registret är avsett att vara tillgäng- ligt för personer med ett berättigat intresse skall överföringen göras endast på begäran av dessa personer eller om de själva är mottagarna. 220Se svar på skriftlig fråga i 1998/99:5, där dåvarande justitieministern anger att frågan om utlandsöverföring skall tillåtas från olika offentliga register får avgöras i samband med att de särskilda registerförfattningar som finns för offentliga re- gister successivt gås igenom. 221Se t.ex. lagen (2000:224) om fastighetsregister och lagen (2001:558) om vägtrafikregister. frågor om att göra myndighetsregister öppet tillgängliga via Inter- net i tillämpliga fall får regleras genom särskilda bestämmelser med eventuella avvikelser från personuppgiftslagen. Utredningen anser att det i princip är lämpligt och befogat att i varje särskilt fall över- väga om och i vilken utsträckning ett myndighetsregister bör göras öppet tillgängligt via Internet. Det är anledning till att utredningen inte i stället föreslår att katalogen i 34 § personuppgiftslagen med undantag från överföringsförbudet skall kompletteras med ett un- dantag för personuppgifter i offentliga register. När det gäller den närmare utformningen av undantagsbestäm- melsen skulle man kunna tänka sig att, t.ex. i en bilaga till sekre- tesslagen eller i sekretessförordningen (1980:657), ha en lista över de register som omfattas av bestämmelsen i EG-direktivet. Utred- ningen har emellertid kommit fram till att det bör räcka med en generellt utformad bestämmelse om att sekretessen inte gäller för uppgifter i allmänt register som enligt lag eller förordning är avsett att ge allmänheten information. I samband med införande eller översyn av författningsbestämmelser om särskilda register bör det tillses att det i tillämpliga fall finns tillräckligt tydliga bestämmelser om att registret är avsett att ge allmänheten information. I avvaktan på att en sådan precisering sker bör det utan större olägenhet vara tillräckligt att med nedanstående vägledning överlämna frågan åt rättstillämpningen. Med undantagsbestämmelsen avses detsamma som enligt artikel 26.1 f i EG-direktivet. Uttrycket allmänt register, som återfinns i 2 kap. 3 § första stycket regeringsformen222, har utan någon saklig skillnad använts i stället för uttrycket offentligt register som an- vänds i EG-direktivet. Med register avses enligt artikel 2 c i EG- direktivet varje strukturerad samling av personuppgifter som är tillgänglig enligt särskilda kriterier, oavsett om samlingen är centra- liserad, decentraliserad eller spridd på grundval av funktionella eller geografiska förhållanden, jämför 5 § andra stycket personuppgifts- lagen. Eftersom det enligt undantagsbestämmelsen krävs att regist- ret enligt lag eller förordning skall vara avsett att ge allmänheten information, torde registerbegreppet i sig sällan vålla några tolk- ningssvårigheter för tillämparen. Av de ändamålsbestämmelser som normalt finns i särskilda regis- terförfattningar torde regelmässigt framgå om ett register är avsett att ge allmänheten information. I många av författningarna om s.k. 222Enligt Hans Ragnemalm, Grundlagar, 1980, s. 51 är allmänna register sådana register som upprättas och förs av offentlig myndighet. publicitetsregister som finns över olika slags egendom eller rättig- heter (fastigheter, bilar, fartyg, bolag, varumärken etc.) eller behö- righeter (t.ex. försäkringsmäklare) eller egenskaper (t.ex. personer med viss insyn i näringsverksamhet, s.k. insiders) finns det ända- målsbestämmelser om att det aktuella registret skall ge offentlighet åt uppgifter eller tillhandahålla uppgifter för allmänheten. kan det också av en bestämmelse indirekt framgå att ett regis- ter är avsett att bl.a. ge allmänheten information. Så får t.ex. anses vara fallet med de s.k. diarieregister över allmänna handlingar som myndigheter skall föra i enlighet med 15 kap. 1 och 2 §§ sekre- tesslagen.223 Av 15 kap. 2 § andra stycket sekretesslagen framgår det nämligen att registreringen skall ordnas på visst sätt så att registret skall kunna företes för allmänheten. Det bör i sammanhanget ånyo påpekas att den föreslagna ändringen i sekretesslagen i praktiken inte berör möjligheterna för myndigheter att frivilligt göra t.ex. diarier öppet tillgängliga via Internet; tillåtligheten av sådant be- döms i stället i praktiken enligt personuppgiftslagen och särskilda författningar med avvikelser från den lagen. Utlämnande av uppgifter för direkt marknadsföring som den enskilde motsatt sig Enligt utredningens mening finns det bara ett ytterligare fall där det finns anledning att överväga sekretess därför att myndighetens utlämnande av personuppgifter i sig står i strid med bestämmelser i personuppgiftslagen. Det gäller utlämnande av en personuppgift när det kan antas att sökanden skall använda uppgiften för direkt marknadsföring. Enligt 11 § personuppgiftslagen gäller att personuppgifter inte får behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling. Anmälan måste ske hos den personuppgiftsansvarige eller på annat sätt som denne anvisat, t.ex. till ett s.k. reservationsregister.224 Bestämmelsen medför t.ex. att en privat personuppgiftsansvarig som vill lämna ut sitt kundregister till annan för att denne skall an-