sou · GSB36d2 · 2005-01-01 00:00:00 — – att i den mån det av personuppgiftslagen följer att en myndighet saknar befogenhet att göra vissa sökningar eller annars ta ut viss information från sitt datalagrade material, kan detta inte slå igenom när det gäller myndigheternas skyldigheter enligt 2 kap. tryckfri- hetsförordningen.196 Genom vad som angetts i författningskom- mentaren i propositionen får det dock anses klarlagt att ett sådant synsätt inte är riktigt, utan att avsikten är att de begränsningar av myndigheters befogenhet att göra sammanställningar som följer av personuppgiftslagen faktiskt skall få genomslag i fråga om offent- lighetsprincipen. 2001/02:70 s. 38. 196SOU 2001:3 s. 149. Utredningens förslag: De generella bestämmelserna i personupp- giftslagen skall inte inskränka myndigheternas skyldighet enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att på be- gäran söka efter, sammanställa och lämna ut personuppgifter. Även andra organ än myndigheter som har skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen skall om- fattas av bestämmelserna i 8 § personuppgiftslagen om förhållandet till offentlighetsprincipen. Det är när man försöker avgöra vilka begränsningar – med genom- slag i fråga om offentlighetsprincipen – som följer av personupp- giftslagen som svårigheter uppkommer. Vilka bestämmelser i per- sonuppgiftslagen kan medföra att en myndighet saknar befogenhet att göra en viss sammanställning tillgänglig när en sökande begär att myndigheten skall göra sammanställningen? Här skall lämnas några exempel på svårigheterna. Den personuppgiftsansvariga myndigheten är enligt 9 § första stycket d personuppgiftslagen skyldig att se till att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (den s.k. finalitetsprincipen). Myn- digheten har ofta samlat in personuppgifterna för något specifikt myndighetsändamål, t.ex. för att bestämma en viss förmån, såsom bostadsbidrag, eller en viss skyldighet, såsom skattskyldighet. Det är ofta redan finalitetsprincipen som medför att myndigheten inte för vilka ändamål som helst kan söka efter, samköra eller annars sammanställa personuppgifter, eftersom myndigheten vid alla såda- na behandlingar av personuppgifter måste hålla sig inom ramen för de ursprungliga ändamålen. Men hur är det om någon begär att myndigheten skall göra en viss sammanställning av personuppgif- ter? Är det då offentlighetsprincipändamålet eller det faktiska ändamål som sökanden har (t.ex. ren nyfikenhet eller direkt mark- nadsföring) som skall jämföras med det ursprungligen bestämda myndighetsändamålet? Regeringen har visserligen deklarerat att en myndighets utlämnande av personuppgifter med stöd av offentlig- hetsprincipen inte kan anses vara oförenligt med de ändamål för vil- ka uppgifterna ursprungligen samlades in.197 Men här är det ju fråga om en eventuell rättslig begränsning av befogenheten att samman- 1997/98:44 s. 44. Jämför också SOU 2003:99 s. 231–235 för en synnerligen liberal tolkning av finalitetsprincipen vid utlämnanden av personuppgifter mellan myndigheter. ställa uppgifter för ett nytt ändamål inför ett utlämnande, en be- gränsning som i förekommande fall är avsedd att inskränka offent- lighetsprincipen. Av 10 § personuppgiftslagen framgår att personuppgifter utom vid samtycke får behandlas bara när det är nödvändigt i de fall som räknas upp i paragrafen, bl.a. för att fullgöra en rättslig skyldighet. En sammanställning av datorlagrade personuppgifter som utförs på begäran av en sökande är en sådan behandling som måste kunna hänföras till något av de fall som anges i den paragrafen. Till vilket fall skall en sammanställning som en myndighet gör på begäran av en sökande hänföras? I 13 § personuppgiftslagen finns det vidare ett förbud mot att behandla s.k. känsliga personuppgifter. De un- dantag från det förbudet som finns i 15–19 §§ personuppgiftslagen kan inte grunda befogenhet för en myndighet att på en sökandes begäran göra en sammanställning med känsliga personuppgifter. Innebär det att en sammanställning med känsliga personuppgifter, t.ex. en lista över fackliga företrädare vid myndigheten, inte får gö- ras när en sökande begär det? Det anförda visar enligt utredningens mening på en del av de svå- righeter och oklarheter som uppkommer om man försöker tillämpa den generellt utformade personuppgiftslagen för att avgöra vilka sammanställningar av personuppgifter som en myndighet får göra därför att en sökande ber om det. Bakgrunden till svårigheterna är bl.a. att man vid utarbetandet av personuppgiftslagen utgick från att bestämmelserna i 2 kap. tryckfrihetsförordningen ålägger myn- digheterna skyldigheter som går före personuppgiftslagen (och bl.a. utgör stöd för att behandla t.ex. känsliga personuppgifter), medan bestämmelsen i 2 kap. 3 § tredje stycket tryckfrihetsförord- ningen utgår från att personuppgiftslagen kan inskränka skyldighe- terna. Tanken verkar ha varit att det finns sammanställningsförfaran- den som en myndighet aldrig får genomföra enligt personuppgifts- lagen och att samma begränsningar därför skall gälla även när en sökande begär sammanställningen. Personuppgiftslagen innehåller emellertid – till skillnad från många särskilda registerförfattningar – inte några absoluta förbud mot att på visst sätt eller i viss form sammanställa personuppgifter. Lagen innehåller t.ex. inget absolut förbud mot att använda vissa sökbegrepp eller att samköra olika uppgiftssamlingar. Om ett visst sådant förfarande är tillåtet eller inte enligt personuppgiftslagen, beror ofta ytterst på vilket ändamålet är med behandlingen. Myndigheten får t.ex. inte själv för ändamålet ren nyfikenhet söka igenom de personuppgifter man förvarar, eftersom det skulle strida mot de bestämda ändamål för rar, eftersom det skulle strida mot de bestämda ändamål för vilka personuppgifterna samlats in. Men har myndigheten ett annat, be- rättigat ändamål med sökningen – t.ex. det ursprungliga ändamål för vilket uppgifterna samlades in – kan den mycket väl få genom- föras enligt personuppgiftslagen. Det torde till och med vara så att om det enligt personuppgiftslagen väl är tillåtet för en myndighet att inrätta och föra ett register för något visst myndighetsändamål, så får myndigheten enligt personuppgiftslagen i princip utföra alla de sökningar efter och sammanställningar av personuppgifter i det registret som är nödvändiga för att uppfylla ändamålet. En annan sak är att det enligt den särskilda registerförfattning som reglerar registerföringen kan finnas s.k. sökbegränsningar och andra kon- kreta regler som inskränker myndighetens rätt att göra samman- ställningar och att dessa konkreta begränsningar gäller även när en sökande begär att en viss sammanställning skall göras. Det bör här tilläggas att det, såvitt utredningen känner till, aldrig ens har häv- dats att de regler om ändamålsbestämning som till- baka brukar finnas i särskilda registerförfattningar i sig skulle in- skränka myndigheters skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen att sammanställa personuppgifter. Enligt utredningens mening går det inte att på något förnuftigt sätt tillämpa de generella, normalt ändamålsberoende bestämmel- serna i personuppgiftslagen för att avgöra vilka sammanställnings- förfaranden en myndighet skall vara förhindrad att genomföra på begäran av en sökande. Det är möjligt att man genom olika mer eller mindre välgrundade tolkningsoperationer kan komma fram till att det alltid är tillåtet enligt personuppgiftslagen att göra en sammanställning som en sö- kande begär.198 Men i sådant fall har ju hänvisningen i 2 kap. 3 § tredje stycket tryckfrihetsförordningen till personuppgiftslagen inte någon reell innebörd. Det andra alternativet vore att konstatera att det varierar bero- ende på sökandens begäran om det enligt personuppgiftslagen är tillåtet eller inte för myndigheten att göra som sökanden begär. Här kan man tänka sig att tillåtligheten är beroende av t.ex. vilket ändamål sökanden har med sin begäran eller vilket slags uppgifter – t.ex. känsliga personuppgifter eller personnummer – sammanställ- ningen skulle beröra. Men en sådan tillämpning skulle strida mot 198Man skulle givetvis teoretiskt också kunna komma fram till att en sådan sammanställning aldrig fick göras, men det skulle utgöra en sådan häpnadsväckande inskränkning av of- fentlighetsprincipen att den tolkningen måste avvisas. den s.k. likställighetsprincipen. Den principen innebär att allmän- heten med stöd av offentlighetsprincipen skall ha tillgång till dator- lagrad information i samma utsträckning som denna är tillgänglig för myndigheten. Principen har åberopats vid införandet av såväl den ursprungliga som den ändrade lydelsen av nuvarande 2 kap. 3 § tredje stycket tryckfrihetsförordningen.199 Myndigheten som har lagrat uppgifterna i enlighet med personuppgiftslagen för något visst ändamål får ju enligt den lagen i princip använda alla slags uppgifter och alla sök- och sammanställningsförfaranden som är nödvändiga för att uppfylla det ändamålet (och som inte är för- bjudna enligt någon särskild registerförfattning). Utredningens slutsats av det anförda är att personuppgiftslagen inte bör vara en sådan lag som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. Det bör åstadkommas genom att det i 8 § första stycket personuppgiftslagen uttryckligen anges att lagen inte innebär en sådan begränsning av en myndighets befogenhet att göra en sammanställning tillgänglig som avses i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. Det är således utredningens mening att de inskränkningar i möj- ligheterna att göra sammanställningar som bör gälla för myndighe- ternas egen hantering och därmed få genomslag även för allmänhe- tens tillgång till informationen liksom bör framgå i första hand av särskilda registerförfattningar med konkreta bestämmelser om begränsning av de sökbegrepp som får användas och liknande. Dessutom kan det givetvis liksom vara aktuellt med sekre- tessbestämmelser som begränsar allmänhetens tillgång till sådan information som myndigheten har tillgång till för egen del. I av- snitt 15.3 går utredningen in på sekretessbestämmelsen i 7 kap. 16 § sekretesslagen, som hänvisar till personuppgiftslagen. Först finns det emellertid anledning att ta upp ett par andra frå- gor om hur bestämmelserna i personuppgiftslagen förhåller sig till offentlighetsprincipen. Enligt 8 § första stycket personuppgiftslagen skall lagen inte till- lämpas i den utsträckning det skulle inskränka en myndighets skyl- dighet enligt 2 kap. tryckfrihetsförordningen att lämna ut person- 1975/76:160 s. 88: Föredragande departementschefen förordade att den allmänna tillgången till ADB-lagrade persondata hos handläggande myndighet begränsas i samma omfattning som myndighetens rättsliga befogenhet att för egen del överföra data till läs- bar form. 2001/02:70 s. 23: Syftet med denna bestämmelse är att allmänheten inte med stöd av offentlighetsprincipen skall kunna ta del av sammanställningar av upp- gifter ur upptagningar som myndigheten av hänsyn till skyddet för enskildas integritet själv är förhindrad att ta fram i sin egen verksamhet. Av 2 kap. 3 § andra stycket tryckfrihetsförordningen följer emellertid att en myndighet i viss utsträckning är skyldig att när någon begär det med åberopande av offentlighetsprincipen söka fram och sammanställa uppgifter från datorlagrat material för att lämna ut dem. Det som krävs för att uppfylla grundlagsenliga skyl- digheter skall givetvis få ske oberoende av bestämmelserna i per- sonuppgiftslagen. En sammanställning av personuppgifter förutsät- ter så gott som alltid en föregående sökning efter sådana uppgifter. Utredningen anser att regleringen blir tydligare och mer heltäckan- de om, förutom skyldigheten att lämna ut personuppgifter, de grundlagsenliga skyldigheterna att söka efter och sammanställa per- sonuppgifter uttryckligen nämns i 8 § första stycket personupp- giftslagen. Den andra frågan gäller det förhållandet att i 8 § personuppgifts- lagen nämns bara myndigheter, trots att även andra organ enligt särskilda föreskrifter kan ha allmänna handlingar och skyldigheter enligt offentlighetsprincipen i 2 kap. tryckfrihetsförordningen. Enligt utredningens mening blir regleringen tydligast om alla or- gan som har att tillämpa offentlighetsprincipen omfattas av undan- tagen i 8 § personuppgiftslagen när de hanterar allmänna handling- ar. Utredningen kan inte heller se annat än att de skäl som åbero- pats för att undantagen för myndigheter i 8 § personuppgiftslagen är förenliga med EG-direktivet200 har samma giltighet även för and- ra organ som har att tillämpa grundlagsreglerna om offentlighets- principen. Utredningen föreslår därför en uttrycklig bestämmelse om att sådana andra organ skall jämställas med myndigheter vid tillämpningen av 8 § personuppgiftslagen. 15.3Bestämmelsen i 7 kap. 16 § sekretesslagen Redan i samband med att datalag infördes togs det i före- gångaren till sekretesslagen (1980:100) – 13 § andra stycket lagen (1937:249) om inskränkningar i rätten att utbekomma allmänna 200 Se prop. 1997/98:44 s. 43 ff. handlingar – in en bestämmelse om att en personuppgift som in- gick i ett sådant personregister som avsågs i datalagen inte fick lämnas ut om det fanns anledning att anta att uppgiften skulle an- vändas för automatisk databehandling i strid med datalagen. Fanns det anledning att anta att en sådan personuppgift skulle användas för automatisk databehandling i utlandet, fick uppgiften lämnas ut bara efter medgivande av Datainspektionen. Motsvarande förbud mot utlämnande togs också in i datalagen. Datalagen gällde bara för regelrätta datoriserade personregister, och det krävdes ursprungligen ett tillstånd från Datainspektionen eller särskilt författningsstöd för att få inrätta och föra ett person- register. I förarbetena konstaterades det att ett syfte med lagstift- ningen var att skapa kontroll över möjligheterna att genom inhäm- tande av uppgifter från befintliga register bygga upp nya register som används för andra ändamål än de ursprungliga registren. Till största delen kunde sådana förfaranden kontrolleras genom till- ståndsprövningen, men det kunde inte uteslutas att tillståndssy- stemet kunde kringgås, bl.a. genom att personregister inrättades utomlands. Därför borde möjligheterna att lämna ut personuppgif- ter från personregister inskränkas. Departementschefen konstate- rade dock att inskränkningen knappast skulle medföra något effek- tivt skydd mot att personregister upprättas obehörigen.201 Syftet med regeln var alltså att förhindra att personregister inrät- tades i strid med datalagen eller utomlands där datalagen inte gäll- de. Det skulle förhindras genom förbudet mot att lämna ut uppgif- ter från ett befintligt personregister om det fanns anledning att anta något sådant. I författningskommentaren konstaterades det att det i många fall skulle bli svårt för den registeransvarige att avgöra om det fanns risk för att en uppgift som begärs utlämnad skulle användas på ett otillbörligt sätt. Anledning till försiktighet torde i första hand föreligga, om den regis- teransvarige får en begäran om massuppgifter eller selekterade uppgif- ter. En sådan begäran bör alltid utgöra anledning för den registeransva- rige att närmare utreda hur det är avsett att uppgifterna skall användas. Först om den som begär utlämnandet anger en godtagbar förklaring härom bör uppgifterna lämnas ut. 1973:33 s. 100 f. 1973:33 s. 140. När sekretesslagen infördes togs bestämmelsen i sak oförändrad in i 7 kap. 16 §.203 I samband med att anslöt sig till Europarå- dets dataskyddskonvention (se avsnitt 4.2.2) infördes i bestämmel- sen om utlandsutlämnande en regel om att sekretess inte gällde om personuppgiften skulle användas för automatisk databehandling enbart i en stat som anslutit sig till konventionen.204 Det gjordes därvid inte någon ändring i bestämmelsen om sekretess när det fanns anledning att anta att uppgiften skulle användas för automa- tisk databehandling i strid med datalagen. Eftersom datalagen bara gällde i , verkar det ha inneburit att någon egentlig prövning av vad som kunde ske efter utlämnandet med personuppgiften i en (annan) konventionsstat (än ) inte behövde göras. I samband med att personuppgiftslagen infördes ändrades be- stämmelsen i 7 kap. 16 § sekretesslagen enligt följande. Sekretess gäller för person- uppgift i personregister som avses i datalagen (1973:289), om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i strid med datalagen. Sekretess gäller för personupp- gift, om det kan antas att ett ut- lämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen (1998:204). 1979/80:2 Del A s. 212 f. 1981/82:189 s. 40 ff. och 62 f. Sekretess för uppgift som anges i första stycket gäller också, om det kan antas att utlämnande skulle medföra att uppgiften används för automatisk databehandling i ut- landet och att detta medför otill- börligt intrång i personlig integri- tet. Vid tillämpning av denna bestämmelse ankommer det på Datainspektionen att pröva fråga om utlämnande. Sekretess enligt detta stycke gäller dock ej, om uppgiften skall användas för au- tomatisk databehandling enbart i en stat som har anslutit sig till Eu- roparådets konvention om skydd för enskilda vid automatisk data- behandling av personuppgifter. I förarbetena framställdes ändringarna i första stycket som formella följdändringar som innebar att sekretessbestämmelsen samordna- des med de nya bestämmelserna i personuppgiftslagen.205 I fråga om upphävandet av andra stycket om utlandsutlämnande anfördes följande i förarbetena:206 I personuppgiftslagen finns det i 33–35 §§ bestämmelser om förut- sättningarna för överföring av personuppgifter till tredje land som gäll- er även för myndigheter. Redan första stycket i denna paragraf medför att sekretess gäller om ett utlämnande av personuppgifter till tredje land skulle stå i strid med de nämnda bestämmelserna i person- uppgiftslagen. Andra stycket i paragrafen behövs således inte längre. Det uttalandet är emellertid svårt att förstå. Det är uppenbart att man enligt första stycket inte skall pröva om myndighetens utlämnande står i strid med dataskyddslagstift- ningen utan att det som skall prövas är om det finns anledning att anta att personuppgiften efter ett utlämnande kommer att behand- las av mottagaren i strid med den lagstiftningen. Det framgår tyd- ligt av lagstiftningens förhistoria. Första stycket (dvs. 1997/98:44 s. 113 och 147. 1997/98:44 s. 147. kvar av paragrafen efter ändringen) berör därför inte i sig det fallet att myndighetens utlämnande står i strid med bestämmelserna i personuppgiftslagen om överföring av personuppgifter till tredje land207. Däremot kan det givetvis gälla sekretess för personuppgif- terna därför att myndigheten kan anta att den som begärt att få ut uppgifterna kommer att – efter myndighetsutlämnandet – överföra dem till tredje land i strid med 33–35 §§ personuppgiftslagen.208 Det är i och för sig riktigt att bestämmelserna i personuppgifts- lagen om bl.a. överföring av personuppgifter till tredje land gäller även för myndigheter och kan förhindra dessa att på eget initiativ göra både det ena och det andra med personuppgifter. Men när det finns en skyldighet för myndigheten att efter begäran lämna ut en personuppgift enligt bestämmelserna om offentlighetsprincipen i 2 kap. tryckfrihetsförordningen, gäller denna skyldighet före be- stämmelserna i personuppgiftslagen.209 Och det är just för att in- skränka det uppgiftsutlämnande som annars kan ske med stöd av offentlighetsprincipen som det behövs en bestämmelse i sekre- tesslagen. I förarbetena till ändringen skedde det således en sammanbland- ning av frågan om det är den behandling som myndighetens utläm- nande innebär eller den behandling som kan antas ske efter ett ut- lämnande som skall jämföras med bestämmelserna i personupp- giftslagen. Det i sig är ägnat att leda till oklarheter. Även ordalydel- sen av bestämmelsen (ett utlämnande skulle medföra att uppgiften behandlas i strid med personuppgiftslagen) kan leda till tveksam- het om det är myndighetsutlämnandet eller den efterföljande be- handlingen som avses. Att det är sökandens efterföljande behand- ling som avses när personuppgiftslagen gäller för sökanden får dock anses fastslaget genom den rättspraxis som kommit efter änd- ringen (jämför avsnitt 5.2.2). Hur 7 kap. 16 § sekretesslagen i änd- rad lydelse skall tillämpas vid sådant utlämnande till tredje land som kan ske enligt offentlighetsprincipen är, såvitt känt, inte prö- vat . 207Med tredje land avses enligt 3 § personuppgiftslagen en stat som inte ingår i Europeiska unionen (EU) eller är ansluten till Europeiska ekonomiska samarbetsområdet (EES). 208Detta förutsätter att personuppgiftslagen är tillämplig på mottagarens behandling, av personuppgifterna dvs. att denne är etablerad i enligt 4 § personuppgiftslagen. Jämför SOU 2003:34 s. 212. 209Utredningen har utgått från att det enligt 2 kap. tryckfrihetsförordningen finns en skyl- dighet för myndighet att på begäran lämna ut personuppgifter även till någon i utlandet. Ändringen och införandet av personuppgiftslagen har, såsom Offentlighets- och sekretesskommittén noterat210, inneburit att 7 kap. 16 § sekretesslagen fått ett vidare tillämpningsområde och att sekretessprövningen blivit mer komplicerad. Bestämmelsen måste numera beaktas av myndigheten vid alla utlämnanden av per- sonuppgifter, oavsett om uppgiften hos myndigheten finns i ett personregister, på ett papper, i ett ordbehandlingsdokument i dator eller bara i en tjänstemans huvud, och oavsett i vilken form – på papper, i datorformat eller muntligt – utlämnandet sker samt oav- sett om sökanden avser att ha personuppgiften i ett datoriserat per- sonregister eller behandla den på något annat sätt som omfattas av personuppgiftslagen. Sekretessprövningen kan vidare inte längre i praktiken inskränkas till att kontrollera att sökanden har tillstånd från Datainspektionen eller är undantagen från tillståndskrav. Prövningen måste i stället avse om sökanden kommer att hålla sig till alla de bestämmelser som finns i personuppgiftslagen. Offentlighets- och sekretesskommittén noterade att det hade kommit ett allt mer ökande antal mål i förvaltningsdomstolarna om tillämpningen av 7 kap. 16 § sekretesslagen och konstaterade efter en granskning av de avgöranden som dittills kommit att myndighe- terna vid tillämpningen av bestämmelsen varit restriktiva med ut- lämnanden av personuppgifter.211 Offentlighets- och sekretesskommittén har föreslagit en ny sekretesslag och att bestämmelsen i 7 kap. 16 § i den nuvarande lagen skall med bara språkliga ändringar föras över till den nya la- gen.212 210SOU 2001:3 s. 190 ff. och 212 ff. 211SOU 2001:3 s. 213 f. 212SOU 2003:99 s. 449. Utredningens förslag: Sekretess skall gälla för en personuppgift, om det finns skäl att anta att uppgiften efter ett utlämnande kom- mer att behandlas i strid med personuppgiftslagen eller om myn- dighetens utlämnande av uppgiften står i strid med bestämmelsen om överföring till tredje land i 33 § personuppgiftslagen. Att myn- dighetens utlämnande står i strid med bestämmelsen om överföring till tredje land i 33 § personuppgiftslagen skall dock inte medföra sekretess för uppgifter i allmänt register som enligt lag eller för- ordning är avsett att ge allmänheten information. Det är utredningens uppfattning att det inledningsvis funnits en viss osäkerhet hos myndigheterna om tillämpningen av 7 kap. 16 § sekretesslagen och att det har lett till att de ibland varit väl restrik- tiva med utlämnande av personuppgifter. är emellertid läget ett annat. De fall där myndigheterna inledningsvis vägrade utlämnande har överprövats i domstol, och det finns en hel del vägledande rättspraxis, bl.a. tre avgöranden från högsta instans.