sou · GTB361 · 2006-01-01 00:00:00 — Det skall finnas ett skriftligt avtal mellan den personuppgiftsansvarige och personuppgiftsbiträdet som reglerar hur behandlingen skall gå till. Datainspektionen är tillsynsmyndighet och har enligt PuL rätt att vidta åtgärder mot den som behandlar personuppgifter i strid mot lagen. Den personuppgiftsansvarige kan förordna ett person- uppgiftsombud. Personuppgiftsombudet övertar då i viss utsträckning de tillsynsuppgifter som annars handhas av Data- inspektionen. Om ett personuppgiftsombud utses gäller som regel inte den anmälningsplikt som nämnts ovan.3 PuL gäller endast om behandlingen av personuppgifter sker i eller om den personuppgiftsansvarige är etablerad här. När personuppgifter lämnas ut för behandling i utlandet skall i stället detta lands lagstiftning tillämpas på behandlingen. Eftersom PuL bygger på ett EG-direktiv (dataskyddsdirektivet) finns mot- svarande reglering i samtliga EU- och EES-länder. 3 Vid behandling av särskilt integritetskänsliga uppgifter är dock förhandsanmälan obligatorisk och skall göras även om ett personuppgiftsombud har förordnats. Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet 6.2.3När behandling av personuppgifter är tillåten I PuL anges vissa grundläggande krav som gäller vid all behandling av personuppgifter (9 §). Den personuppgiftsansvarige skall se till att dessa regler iakttas; bl.a. att personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, endast samlas in för särskilda, uttryckligt angivna och berättigade ändamål, samt inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlats in. Vidare finns regler om när behandling av personuppgifter överhuvudtaget är tillåten (10 §). Personuppgifter får behandlas endast om den registrerade har lämnat sitt samtycke härtill eller om behandlingen är nödvändig för att ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade har begärt skall kunna vidtas innan avtal träffas, den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, vitala intressen för den registrerade skall kunna skyddas, en arbetsuppgift av allmänt intresse skall kunna utföras, den personuppgiftsansvarige eller tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. För behandling av s.k. känsliga personuppgifter gäller särskilt stränga regler (11–22 §§). 6.2.4Direktreklamspärr och angivande av källa Enligt 11 § PuL får personuppgifter behandlas för ändamål som rör direkt marknadsföring, om inte den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling (s.k. direktreklamspärr). Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet direktreklamutskick måste det tydligt framgå varifrån adress- uppgifterna har hämtats, så att den registrerade vet till vem han eller hon skall vända sig för att göra en anmälan om reklamspärr. Bortsett från rätten att spärra sina uppgifter mot att användas för direktreklam, har den registrerade inte rätt att motsätta sig sådan behandling som är tillåten enligt PuL. 26 § PuL handlar om den enskildes rätt att få information. Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det, gratis en gång , lämna besked om huruvida personuppgifter som rör den sökande har behandlats eller inte. Om sökandens personuppgifter har behandlats skall den person- uppgiftsansvarige utan kostnad för den registrerade även lämna skriftlig information om vilka uppgifter som behandlats, varifrån uppgifterna har hämtats, ändamålen med behandlingen och till vilka mottagare eller kategorier av mottagare som uppgifterna har lämnats ut. Eftersom även lagring av personuppgifter klassificeras som behandling måste den personuppgiftsansvarige redovisa alla uppgifter som finns registrerade om sökanden, såvida ett utlämnade av uppgifterna inte strider mot någon sekretess- bestämmelse. 6.2.6Utlämnande av personuppgifter till utlandet En begäran om utlämnande av personuppgifter skall behandlas på samma sätt oavsett om mottagaren finns i eller i ett annat EU-land. Som redan påpekats gäller PuL endast om behandlingen av personuppgifter sker i eller om den personuppgifts- ansvarige är etablerad här. När personuppgifter lämnas ut för behandling i utlandet skall i stället detta lands lagstiftning tillämpas på villkoren för behandlingen. I varje EU-land skall det finnas en tillsynsmyndighet med uppgift att självständigt bevaka att all behandling av personuppgifter sker i enlighet med dataskydds- direktivets regler. I PuL anges att personuppgifter får lämnas ut om mottagaren är etablerad i ett EU- eller EES-land eller i ett land som är anslutet till konvention om skydd för enskilda vid automatisk Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet databehandling av personuppgifter. Utlämnade av personuppgifter för behandling i något annat land (tredje land) får endast ske om landet i fråga har en adekvat nivå för skyddet av personuppgifter (33–35 §§). Offentliga myndigheter svarar för stora delar av samhällets informationsförsörjning. Inom den offentliga förvaltningen finns en mängd information som samlats in eller framställts för olika ändamål. Att utnyttja sådana handlingar för andra ändamål än det för vilket handlingarna ursprungligen inhämtades eller framställdes utgör vidareutnyttjande. Utbyte av handlingar mellan offentliga myndigheter som enbart sker i samband med myndigheternas offentliga verksamhet anses dock inte vara vidareutnyttjande. och rådets direktiv /98/EG av om vidareutnyttjande av information från den offentliga sektorn (PSI-direktivet) syftar till att uppmuntra vidareutnyttjande av den information som finns hos den offentliga sektorn. Informationen anses ha en värdepotential, som bör kunna utnyttjas av näringslivet för att därigenom bidra till ekonomisk tillväxt och skapande av nya arbetstillfällen i EU. Enligt PSI- direktivet bör skapandet av gemenskapsomfattande informations- produkter och informationstjänster som bygger på handlingar från den offentliga sektorn uppmuntras. PSI-direktivet skall vara infört i nationell lagstiftning . Medlemsstaternas regler för vidareutnyttjande av offentliga handlingar har varit mycket olika. Skillnaden i regel- systemen har ansetts utgöra ett hinder för att den fulla potentialen hos dessa handlingar skall kunna utnyttjas. PSI-direktivets regler skall säkerställa att samma grundvillkor gäller för alla aktörer på den europeiska informationsmarknaden och förhindra omotiverade snedvridningar av konkurrensen. Direktivets regler innebär bl.a. att svenska myndigheter måste tillämpa samma villkor för alla företag inom EU som vill vidareutnyttja svenska offentliga handlingar. PSI-direktivet innehåller ingen skyldighet att tillåta vidareut- nyttjande av offentliga handlingar. Beslutet, att tillåta eller inte tillåta vidareutnyttjande, fattas av medlemsstaterna själva. Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet direktivet gäller bara sådana handlingar som görs tillgängliga för vidareutnyttjande. I direktivet rekommenderas att alla offentliga handlingar, om det är möjligt och lämpligt, görs elektroniskt tillgängliga. framhålls att PSI-direktivets bestämmelser inte på något sätt får inskränka skyddsnivån för enskilda personer med avseende på behandling av personuppgifter enligt den skyddslagstiftning som finns i gemenskapsrätten (i första hand åsyftas bestämmelserna i dataskyddsdirektivet) eller motsvarande nationell lagstiftning. En bedömning av om svenska offentliga handlingar skall lämnas ut för vidareutnyttjande skall således alltid prövas mot bakgrund av bestämmelserna i bl.a. sekretesslagen och PuL. 6.3.2När är PSI-direktivet tillämpligt? Det är alltså varje enskilt medlemsland som bestämmer om en handling som finns inom den offentliga sektorn skall göras tillgänglig för vidareutnyttjande eller inte. Svenska förhållanden är unika i den bemärkelsen att vårt land tillämpar en vidsträckt offentlighetsprincip som ger var och en rätt att utan närmare motivering få tillgång till allmänna handlingar. Vad som är att bedöma som allmän handling regleras i 2 kap. TF och sekretess- lagen. Offentlighetsprincipen innebär emellertid ingen skyldighet för svenska myndigheter att lämna ut uppgifterna i elektronisk form.4 PSI-direktivets inverkan på svenska förhållanden medför därför inget tvång att tillhandahålla allmänna handlingar på elektronisk väg, men i de fall vidareutnyttjande av handlingar som finns i den offentliga sektorn tillåts skall dessa, om det är möjligt och lämpligt, göras elektroniskt tillgängliga. har i uppdrag att pröva hur myndigheters, företags och andra organisationers behov av folkbokförings- uppgifter skall tillgodoses . Tillhandahållande av folkbokföringsuppgifter för annat ändamål än de insamlats för innebär att handlingarna görs tillgängliga för vidareutnyttjande och att PSI-direktivets regler måste iakttas. I fall utredningen föreslår att folkbokföringsuppgifter skall göras tillgängliga för vidare- 4 Enligt 2 kap. 13 § TF är en myndighet inte skyldig att lämna ut en upptagning för automatisk databehandling i annan form än utskrift på papper, såvida en sådan skyldighet inte följer av lag. Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet utnyttjande måste förslaget därför stämma överens med PSI- direktivets regler. Om svensk rätt tillåter att företag och andra organisationer får vidareutnyttja folkbokföringsuppgifter måste bl.a. följande bestämmelser i iakttas. Vid behandling av personuppgifter skall alltid bestämmelserna i Det kan uttryckas så att bestämmelserna i dataskyddsdirektivet har företräde framför PSI-direktivets bestämmelser. Vidareutnyttjade av folkbokföringsuppgifter måste ske i kontrollerbara former och får inte påverka skyddsnivån för enskilda personer med avseende på behandling av personuppgifter. Reglerna i dataskyddsdirektivet och personuppgiftslagen får således inte sättas åt sidan. Om avgift tas ut får de samlade inkomsterna från leverans och tillstånd att vidareutnyttja folkbokföringsuppgifter inte överstiga kostnaden för insamling, framställning, reproduktion och spridning av dem, inklusive en rimlig avkastning på investeringar (övre gräns). Någon nedre gräns för avgiften finns inte och myndigheterna bör sträva efter att ta betalt endast för marginalkostnaderna för reproduktionen och spridning av uppgifterna. Tillämpliga villkor och avgifter skall offentliggöras Alla tillämpliga villkor och standardavgifter för vidareutnyttjande av folkbokföringsuppgifter skall fastställas i förväg och offentliggöras. Det skall vara enkelt för den som vill vidareutnyttja uppgifterna att beräkna kostnaden. I vissa fall kan det vara lämpligt att förena tillåtelsen att vidareutnyttja uppgifter med särskilda villkor om säkerhet m.m. Om det är lämpligt skall standardiserade licenser används. Licensvillkoren skall vara skäliga och tydliga samt utformas så att de inte i onödan begränsar möjligheterna till vidareutnyttjande. Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet SOU 2005:61 Villkoren i licenserna får inte användas för att begränsa konkurrensen. Samma villkor för vidareutnyttjande av folkbokföringsuppgifter skall tillämpas för alla marknadsaktörer. Principen om icke- diskriminering hindrar emellertid inte att olika avgifter tillämpas för kommersiellt och icke-kommersiellt vidareutnyttjande. Det är inte heller något som hindrar ett avgiftsfritt utbyte av uppgifter mellan myndigheter när de utövar sin offentliga verksamhet. Om en offentlig myndighet skall använda folkbokföringsuppgifterna i kommersiell verksamhet skall emellertid samma avgift och villkor gälla för myndigheten som för andra användare. Målet med PSI-direktivet är att underlätta och uppmuntra gemenskapsomfattande informationsprodukter och informations- tjänster som bygger på handlingar från den offentliga sektorn. Principen om icke-diskriminering innebär att jämförbara kategorier av användare inom EU skall behandlas på lika villkor. En ansökan om att få vidareutnyttja svenska folkbokföringsuppgifter skall behandlas på samma sätt, oavsett om den som ansöker har säte i eller i något annat EU-land. Förbud mot exklusiva avtal Kontrakt eller andra avtal mellan en offentlig myndighet hos vilken handlingen finns och tredje man får inte innehålla något beviljande av ensamrätt, utom i vissa undantagsfall. Alla potentiella marknads- aktörer skall kunna vidareutnyttja handlingar som görs tillgängliga för sådant nyttjande. Undantag från förbudet mot exklusiva avtal får göras endast om det bedöms vara nödvändigt för att staten skall kunna tillhandahålla en tjänst av allmänt intresse. Skälet för att ge en aktör ensamrätt skall omprövas regelbundet och under alla förhållanden . Avtal om ensamrätt som ingås efter det att PSI-direktivet har trätt i kraft skall var öppna för insyn och göras tillgängliga för allmänheten. Befintliga avtal om ensamrätt, som inte motiveras av att det för tillhandahållandet av handlingarna är nödvändigt med ett exklusivt avtal, skall upphöra . Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet 6.3.4Utredningens bedömning av hur PSI-direktivet påverkar villkoren för tillhandahållandet av folkbokförings- uppgifter PSI-direktivet handlar om vidareutnyttjande av handlingar som finns inom den offentliga sektorn. Tolkning av termen vidare- utnyttjande har därför en central betydelse för direktivets räckvidd. Vad som menas med vidareutnyttjande definieras i direktivets artikel 2 punkt 4. Där sägs att vidareutnyttjande är personers eller rättssubjekts användning av handlingar som finns hos offentliga myndigheter för andra ändamål än det ursprungliga ändamål för vilket handlingarna framställdes inom den offentliga verksamheten. Utbyte av handlingar mellan offentliga myndigheter som enbart sker i samband med deras offentliga verksamhet skall inte anses utgöra vidareutnyttjande. Av avgörande betydelse för direktivets tillämplighet är alltså om den offentliga myndigheten, i detta fall , lämnar ut uppgifter för att användas för annat ändamål än det för vilket uppgifterna insamlats eller framställts.5 Ändamålet med folkbokföring framgår av 1 kap. 4 § FbdL. Där sägs att uppgifter får behandlas för tillhandahållande av information som behövs för bl.a. samordnad behandling, kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter (1 p. ), framställning av personbevis och andra registerutdrag (4 p. ), aktualisering, komplettering och kontroll av personuppgifter (5 p.) samt uttag av urval av personuppgifter (6 p.). Skulle ändamålet med folkbok- föringsverksamheten preciseras närmare, så att det klart och tydligt anges att ändamålet med folkbokföringsverksamhet innefattar tillhandahållande av personuppgifter till hela samhället, borde det innebära att ett utlämnade i enlighet därmed inte skulle omfattas av PSI-direktivets bestämmelser om spridning av uppgifter för vidareutnyttjande. En strikt tolkning i enlighet med PSI-direktivets ordalydelse ger således vid handen att utredningen inte måste följa PSI-direktivets bestämmelser vid utformningen av sitt förslag till en framtida ordning för tillhandahållande av 5 Det ligger nära till hands att jämföra med bestämmelserna i dataskyddsdirektivet där det, i artikel 6.1 punkt b, stadgas att personuppgifter skall samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att uppgifterna senare inte får behandlas på ett sätt som är oförenligt med dessa ändamål. PSI-direktivets tillämpningsområde vid spridning av folkbokföringsuppgifter bör därför avse de fall uppgifterna behandlas, t.ex. lämnas ut till företag och organisationer, för annat nytt ändamål som är förenligt med det ursprungliga. Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet folkbokföringsuppgifter till myndigheter, företag och andra organisationer. Som nämnts bör inte heller ett utlämnande enligt offentlig- hetsprincipen innebära att PSI-direktivets regler blir tillämpliga. I dessa fall lämnas uppgifter ut, inte för att vidareutnyttjas, utan för att säkerställa den enskildes insyn i den offentliga verksamheten. PSI-direktivet är inte skrivet med sikte på en utvidgning av den svenska offentlighetsprincipen och är inte heller avsett att frammana regler om mindre öppenhet, vilket skulle kunna bli fallet om PSI-direktivets regler var tillämpliga på alla uppgifter som kan lämnas ut med stöd av offentlighetsprincipen. Den svenska offentlighetsprincipen är unik och saknar i princip motsvarighet i andra länder. Vidare är den svenska offentliga förvaltningen i jämförelse med flertalet andra EU-länder långt framme när det gäller datorisering, tillgänglighet samt ordning och reda på uppgifter. Sist nämnda förhållande förändrar inte det faktum att är bundet att följa bestämmelserna i . Däremot får det betydelse för tolkningen av direktivet, eftersom dess tillämpning ofta förutsätter att medlemsstaten gör en skälighetsbedömning. I flera av direktivets artiklar anges att de skall tillämpas i den utsträckning det är möjligt och lämpligt, se t.ex. artiklarna 5 och 7. Även om en snäv tolkning av PSI-direktivet skulle kunna försvaras när det gäller tillhandahållandet av personuppgifter, anser utredningen att utgångspunkten måste vara att direktivets bestämmelser, mål och inriktning skall följas såvida det inte finns starka skäl som talar i motsatt riktning. Utredningen vill särskilt framhålla att PSI-direktivet uttryckligen klargör att tillhanda- hållandet av personuppgifter inte på något sätt får påverka skyddsnivån för enskilda personer med avseende på behandling av personuppgifter (artikel 1.4). PSI-direktivets bestämmelser kan därför inte rättfärdiga att svenska myndigheter medverkar till att folkbokföringsuppgifter distribueras på ett sätt som innebär ett oacceptabelt intrång i enskildas personliga integritet och rätt till privatliv. Offentlighetsprincipen, personuppgiftslagen och PSI-direktivet 6.3.5Utredningens bedömning av PSI-direktivets tillämplig- het då uppgifter i beskattningsdatabas används som urvalsgrund för uttag av personuppgifter Vid uttag av urval av personuppgifter ur SPAR är det tillåtet att som urvalsgrund använda uppgifter som hämtats från beskattningsdatabas. Även om resultatet av urvalsdragningarna redovisas i form av namn och adress till dem som stämmer in på urvalsgrunderna, innebär det indirekt ett utlämnande av uppgifter i beskattningsdatabasen för vidareutnyttjande. Enligt utredningens bedömning är PSI-direktivet därför tillämpligt vid hanteringen av urvalsdragningar som sker med stöd av uppgifter från beskattnings- databasen. Det sekretesskydd som gäller med hänsyn till enskildas ekonomiska förhållanden, bl.a. vid uttag av uppgifter ur beskattningsdatabasen, är starkare än skyddet för folkbokförings- uppgifter. Taxeringsuppgifterna i SPAR anses därför vara mer integritetskänsliga än de folkbokföringsuppgifter som finns i registret. Det visar sig inte minst genom att taxeringsuppgifterna i SPAR inte får lämnas ut i elektronisk form till andra än RPS, polismyndigheter och . Eftersom PSI-direktivet inte på något sätt får innebära en inskränkning av det sekretesskydd som gäller vid behandling av personuppgifter bör direktivets påverkan på formerna för utlämnandet av uppgifter ur beskattningsdatabasen bli tämligen begränsad. I de fall taxeringsuppgifter lämnas ut för vidareutnyttjade måste emellertid PSI-direktivets bestämmelser följas (jfr med vad som sagt i avsnitt 6.3.4). 7.1Det generella regelverket för avgifter i staten RF innehåller bland annat bestämmelser om den så kallade normgivningsmakten, dvs. vad skall besluta om och vad som gäller för att regeringen skall få bestämma. I statsrättsliga sammanhang är det därför viktigt att veta om skall bestämma att en viss verksamhet skall vara avgiftsbelagd eller om regeringen har rätt att göra det. Regeringen har successivt utvecklat formerna för sin styrning av avgiftsbelagd verksamhet. I avgiftsförordningen (1992:191) slås fast att en myndighet skall ha bemyndigande för att ta ut en avgift och bestämma storleken på den. Där står också att full kostnadstäckning gäller som ekonomiskt mål om inget annat beslutats. Vidare skall myndigheten ha stöd för att disponera avgiftsinkomsterna, som annars tillfaller statskassan. Förordningen beskrivs närmare i särskilt avsnitt. Med avgift förstås normalt en penningprestation som betalas för en specificerad motprestation från det allmänna. Det framgår av förarbetena till RF. Motprestationen som staten skall ge i utbyte mot en avgift preciseras som en direkt, särskild eller en specificerad motprestation. Följaktligen kan en avgift normalt definieras som en ersättning som helt eller delvis skall täcka kostnaderna för en direkt motprestation. Avgiftsbelagd verksamhet avser såväl verksamhet där avgifterna disponeras av myndigheten som verksamhet där avgifterna redovisas mot inkomsttitel. Enligt RF är det som skall fatta beslut om att införa sådana avgifter som innebär ingrepp i enskildas ekonomiska förhållanden. Dessa avgifter kallas offentligrättsliga eller tvingande. kan delegera rätten att meddela föreskrifter om offentligrättsliga avgifter till regeringen eller till kommunerna. Denna befogenhet har också utnyttjats i stor utsträckning. Bara om medgivit det kan regeringen överlåta åt en myndighet att bestämma nivån på en offentligrättslig avgift. En offentligrättslig avgiftsbelagd verksamhet innebär alltid myndighetsutövning i någon form, vilket placerar den enskilde – ett företag eller en privatperson – i en beroendeställning gentemot myndigheten. Genom besiktningar, auktorisationer och kontroller av olika slag vill staten utöva en samhällelig kontroll som direkt eller indirekt kommer den enskilde medborgaren till godo. Den som skall betala avgiften har begränsade möjligheter att avstå från prestationen och i regel ingen möjlighet att vända sig till någon annan än myndigheten. Gränsen kan i vissa fall vara otydlig, särskilt om man utgår från graden av tvång respektive frivillighet i efterfrågan. Avgiftsbelagd verksamhet som inte är offentligrättslig kan definieras som uppdragsverksamhet. Den som efterfrågar myndighetens tjänster kan – åtminstone i teorin – välja att i stället t.ex. utföra tjänsten själv eller ge uppdraget till någon annan. Konkurrensen är dock i praktiken ofta begränsad såtillvida att utbudet i form av myndighetens tjänster endast finns tillgängligt på en enda myndighet. Interndebiteringar mellan statliga myndigheter hänförs också till uppdragsverksamhet oavsett om efterfrågan kan betraktas som frivillig eller tvingande. Även om efterfrågan är tvingande för en myndighet är det ju inte fråga om något ingrepp i enskildas förhållanden. Att besluta om att införa avgifter för prestationer som efterfrågas frivilligt (uppdragsverksamhet) hör till regeringens kompetensområde. Regeringen kan också bestämma att en myndighet skall ta ut ersättning av andra myndigheter för en viss prestation. Regeringen har i regel delegerat rätten att bestämma storleken på avgifter inom sitt kompetensområde till den myndighet som bedriver verksamheten. Uppdragsverksamheten har oftast sitt ursprung i eller en koppling till den anslagsfinansierade verksamheten eller till en offentligrättslig avgiftsbelagd verksamhet som myndigheten bedriver med stöd av lag och förordning. I sådana fall arbetar ofta samma personer i bägge verksamheterna och utrustning, lokaler etc. används gemensamt. Exempel på uppdragsverksamhet är konsultationer, laboratorietjänster och informationstjänster av olika slag.